等保2.0测评表-设备和计算安全-服务器
等保2.0一二三级测评指标大全
等保2.0测评详细指标（1-3级）PS：一级指标没有整理成表格，二三级整理成表格，看的会清晰一点。
一级测评要求指标一．技术安全大类1.安全的物理环境物理访问控制：机房出入口应安排专人值守或配置电子门禁系统，控制，鉴别和记录进入的人员。
防盗窃和破坏：应将设备或主要部件进行固定，并设置明显的不易除去的标识。
防雷击：应将各类机柜，设施和设备等通过基地系统安全接地。
防火：机房应该设置灭火设备。
防水和防潮：应采取措施防止雨水通过机房窗户，屋顶和墙壁渗透。
温湿度控制：应设置必要的温湿度调节设施，使机房温湿度的变化在设备运行所允许的范围之内。
电力供应：应在机房供电线路上配置稳压器和过电压防护设备。
2.安全的通信网络通信传输：应采用检验技术保证通信过程中数据的完整性。
可信验证：可给予可信根对通信设备的系统引导程序，系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
3.安全的计算环境身份鉴别：1.应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份辨别信息具有复杂度要求并定期更换。
2.应具有登陆失败处理功能，应配置并启用结束会话，限制非法登录次数和挡登录连接超时自动退出等相关措施。
访问控制：1.应对登录的用户分配账户和权限2.应重命名或删除默认账户，修改默认账户的默认口令。
3.应及时删除或停用多余的，过期的账户，避免共享账户的存在。
入侵防范：1.应遵循最小安装的原则，仅安装需要的组件和应用程序。
2.应关闭不需要的系统服务，默认共享和高危端口。
恶意代码防范：应安装放恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库。
可信验证：可基于可信根对计算机设备的系统引导程序，系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
数据完整性：应采用检验技术保证重要数据在传输过程中的完整性。
数据备份恢复：应提供重要数据的本地数据备份与恢复功能。
4.安全的区域边界边界防护：应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。
等保2.0梳理表(含1-4级)excel表格
安全通用要求
安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求
四级 安全通用要求
四级 四级 四级 四级
四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求
安全通用要求
四级 安全通用要求
四级 安全通用要求
四级 安全通用要求
四级
四级 四级 四级 四级 四级
环境管理 环境管理 环境管理
资产管理 资产管理 资产管理 介质管理
四级 安全通用要求 四级 安全通用要求
四级 安全通用要求
四级 安全通用要求
四级 安全通用要求
四级 四级 四级 四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求
四级 安全通用要求
四级 四级
安全通用要求 安全通用要求
四级 安全通用要求
安全运维管理 安全运维管理 安全运维管理
安全运维管理 安全运维管理 安全运维管理 安全运维管理
自行软件开发 自行软件开发 外包软件开发 外包软件开发 外包软件开发 测试验收 测试验收 系统交付 系统交付 系统交付 等级测评 等级测评 等级测评 服务供应商选择 服务供应商选择 服务供应商选择 环境管理
制定和发布 评审和修订
岗位设置
岗位设置
岗位设置 人员配备 人员配备 人员配备 授权和审批 授权和审批 授权和审批 沟通和合作 沟通和合作 沟通和合作 审核和检查 审核和检查
审核和检查 人员录用 人员录用 人员录用 人员录用 人员离岗 人员离岗
四级 四级 四级 四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求
四级 安全通用要求
安全计算环境 安全计算环境 安全计算环境 安全计算环境 安全计算环境
最新等保2.0-服务器与网络设备安全检查记录单
服务器配置、外设及接口
服务器的网卡设置及IP情况
服务器的外接设备情况
（光驱或软驱的共享设置情况）
服务器的外接接口情况
（USB借口的封闭状况）
服务器防病毒设置
服务器所安装防病毒软件情况
防病毒软件更新情况
服务器所安装病毒过滤软件情况
病毒过滤软件更新情况
设备日志情况
应用程序日志情况
系统日志情况
服务器与网络设备检查记录单
记录顺序号：
检查日期
设备编号
检查人
所属部门
确认人
设备管理员
所属项目
设备用途
放置地点
类别
检查项
情况描述
结果确认项
职责
设备管理员的职责情况
服务器的登录及权限设置
服务器登录密码设置及更新情况
可登录服务器人员情况
（项目中可登录服务器的人员一览）
服务器的权限设置情况
服务器中共享目录的设置情况
服务器安全日志情况
服务器运行情况
CPU性能
内存性能
硬盘剩余存储空间
服务器操作设置
服务器的时间设置
服务器屏保设置，包括名称、来源、版本、lisence信息等
服务器上的软件工具种类
其他
服务器的信息备份情况
服务器的补丁更新情况
服务器的封条粘贴情况
等保2.0测评手册之安全计算环境
控制点安全要求要求解读a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换一般来说，用户登录路由器的方式包话:利用控制台端口(Console)通过串口进行本地登录连接。
利用辅助端口(AUX)通过Modem进行远程拨号连接登录或者利用虚拟终端（VTY）通过TCP/IP网络进行TelnetT登录等。
无论是哪一种登录方式，都需要对用户身份进行鉴别，口令是路由器用来防止非受权访问的常用手段，是路由器本身安全的一部分，因此需要加强对路由器口令的管理,包括口令的设置和存储，最好的口令存储方法是保存在TACACS+或RADIUS认证服务器上。
管理员应当依据需要为路由器相应的端口加上身份签别最基本的安全控制。
路由器不允许配置用户名相同的用户，同时要防止多人共用一个账户，实行分账户管理，每名管理员设置一个单独的账户，避免出现问题后不能及时进行追查。
为避免身份鉴别信息被冒用，可以通过采用今牌、认证服务器等措施，加强身份鉴别信息的保护。
如果仅仅基于口令的身份鉴别，应当保证口令复杂度和定期更改的要求。
使用“service password-encryption"命令对存储在配置文件中的所有口令和类似数据进行加密，避免通过读取配置文件而获取口令的明文b)应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施可以通过配置结束会话、限制管理员的最大登录失败次数、网络连接超时自动退出等多种措施实现登录失败处理功能。
例如，可以利用“exec-timeout"命令.配置VTY的超时。
避免一个空闲的任务一直占用VTY，从而避免恶意的攻击或远端系统的意外崩溃导致的资源独占。
设置管理员最大登录失败次数，一旦该管理员的登录失败次数超过设定数值，系统将对其进行登录锁定，从而防止非法用户通过暴力破解的方式登录到路由器身份鉴别c)当进行远程管理时，应采取必要措施、防止鉴别信息在网络传输过程中被窃听当对网络设备进行远程管理时，为避免口令传输过程中别窃取，不应当使用明文传送的Telnet服务，而应当采用SSH、ITTPS等加密协议等方式进行交互式管理d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现采用双因子鉴别是防止欺骗的有效方法，双因子鉴别不仅要求访问者知道一些鉴别信息，还需要访问者拥有鉴别特征，例如采用令牌、智能卡等a)应对登录的用户分配账户和权限为了确保交换机的安全，需要对登录的用户分配账户，并合理配置账户权限。
(完整版)等保2.0二级通用测评要求
1安全物理环境1.1 物理地点选择本项要求包含：a）机房场所应选择在拥有防震、防风和防雨等能力的建筑内；b）机房场所应防止设在建筑物的顶层或地下室，不然应增强防水和防潮措施。
1.2 物理接见控制机房进出口应安排专人值守或配置电子门禁系统，控制、鉴识和记录进入的人员。
1.3 防偷窃和防损坏本项要求包含：a）应将设备或主要零件进行不变，并设置明显的不易除掉的表记；b）应将通讯线缆铺设在隐蔽安全处。
1.4 防雷击应将各种机柜、设备和设备等经过接地系统安全接地。
1.5 防火本项要求包含：a）机房应设置火灾自动消防系统，可以自动检测火情、自动报警，并自动灭火； b）机房及有关的工作房间和协助房应采纳拥有耐火等级的建筑资料。
1.6 防水和防潮本项要求包含：a）应采纳举措防备雨水经过机房窗户、屋顶和墙壁浸透；b）应采纳举措防备机房内水蒸气结露和地下积水的转移与浸透。
1.7 防静电应采纳防静电地板或地面并采纳必需的接地防静电举措。
1.8 温湿度控制应设置温湿度自动调理设备，使机房温湿度的变化在设备运转所同意的范園以内。
1.9 电力供给本项要求包含：a）应在机房供电线路上配置稳压器和过电压防备设备；b）应供给短期的备用电力供给，起码知足设备在断电状况下的正常运转要求。
1.10 电磁防备电源线和通讯线缆应隔绝铺设，防止相互扰乱。
2安全通讯网络2.1 网络架构本项要求包含：a）应区分例外的网络地区，并依照方便管理和控制的原则为各网络地区分派地点； b）应防止将严重络地区部署在界限处，严重网络地区与其余网络地区之间应采纳靠谱的技术隔绝手段。
2.2 通讯传输应采纳校验技术保证通讯过程中数据的完好性。
2.3 可信考证可鉴于可信根对通讯设备的系统指引程序、系统程序、严重配置参数和通讯应用程序等进行可信考证，并在检测到其可信性遇到损坏后进行报警，并将考证结果形成审计记录送至安全管理中心。
3 安全地区界限3.1 界限防备应保证超越界限的接见和数据流经过界限设备供给的受控接口进行通讯。
等保2.0测评高危项自查表(等保三级系统)
器和网络设备进行管理，可判定为高风险
对可用性要求较高的系统，若网络链路为单链路，核心网络节点、核心网络设备或
关键计算设备无冗余设计，一旦出现故障，可能导致业务中断，可判定为高风险。
对数据传输完整性要求较高的系统，数据在网络层传输无完整性保护措施，一旦数
据遭到篡改，可能造成财产损失的，可判定为高风险。建议采用校验技术或密码技
21 计算环境部分 22 计算环境部分
23 计算环境部分
24 计算环境部分
25 计算环境部分
26 计算环境部分 27 计算环境部分
28 计算环境部分
29 计算环境部分 30 计算环境部分 31 计算环境部分 32 计算环境部分 33 计算环境部分 34 计算环境部分 35 计算环境部分 36 计算环境部分 37 计算环境部分 38 计算环境部分 39 计算环境部分
判定为高风险。（包括1如相关漏洞暴露在可控的网络环境，可酌情降低风险等 级；2如某网络设备的WEB管理界面存在高风险漏洞，而该WEB管理界面只能通过
特定的IP或特定可控环境下才可访问，可酌情降低风险等级） 通过验证测试或渗透测试能够确认并利用的，可对网络设备、安全设备、操作系统 、数据库等造成重大安全隐患的漏洞（包括但不限于缓冲区溢出、提权漏洞、远程
置不当；2非授权接入无线网络将对内部核心网络带来较大安全隐患）
与互联网互连的系统，边界处如无专用的访问控制设备或配置了全通策略，可判定
为高风险。（包括1互联网出口无任何访问控制措施；2互联网出口访问控制措施配
置不当，存在较大安全隐患；互联网出口访问控制措施配置失效，启用透明模式，
无法起到相关控制功能）
的，可判定为高风险。 判例内容：未建立任何与安全管理活动相关的管理制度或相关管理制度无法适用于
(完整版)等保2.0测评表-设备和计算安全-网络设备
删除、修改或覆盖等；
15
d) 应确保审计记录的留存时 间符合法律法规要求；
16
e) 应对审计进程进行保护， 防止未经授权的中断。
a) 应采用免受恶意代码攻击
的技术措施或可信验证机制对
17
恶意代码防范
系统程序、应用程序和重要配 置文件/参数进行可信执行验
证，并在检测到其完整性受到
破坏时采取恢
符合情况 备注
网络设备
a) 应启用安全审计功能，审
12
安全审计
计覆盖到每个用户，对重要的 用户行为和重要安全事件进行
审计； b) 审计记录应包括事件的日
13
期和时间、用户、事件类型、 事件是否成功及其他与审计相
关的信息； c) 应对审计记录进行保护，
14
安全审计
定期备份，避免受到未预期的
a) 应限制单个用户或进程对 系统资源的最大使用限度；
19
b) 应提供重要节点设备的硬 件冗余，保证系统的可用性；
资源控制
c) 应对重要节点进行监视，
20
包括监视CPU、硬盘、内存等
资源的使用情况；
d) 应能够对重要节点的服务
21
水平降低到预先规定的最小值
进行检测和报警。
确认人: 确认时间:
序号 1
测评对象
测评指标
2 身份鉴别
3
4
5
访问控制
6
7
8 访问控制
9
10
11
网络设备
控制项
结果记录
a) 应对登录的用户进行身份
标识和鉴别，身份标识具有唯
一性，身份鉴别信息具有复杂
度要求并定期更换；
b) 应具有登录失败处理功 能，应配置并启用结束会话、 限制非法登录次数和当登录连 接超时自动退出等相关措施；
等保2.0-二、三级系统所需安全设备
一、等级保护二级系统（一）物理和环境安全层面安全措施需求如下：1、防盗报警系统2、灭火设备和火灾自动报警系统3、水敏感检测仪及漏水检测报警系统4、精密空调5、备用发电机（二）网络和通信安全及设备和计算安全层面需要部署的安全产品如下：1、防火墙或者入侵防御系统2、上网行为管理系统3、网络准入系统4、审计平台或者统一监控平台（可满足主机、网络和应用层面的监控需求，在条件不允许的情况下，至少要使用数据库审计）5、防病毒软件（三）应用及数据安全层面需要部署的安全产品如下：1、VPN2、网页防篡改系统（针对网站系统）3、数据异地备份存储设备4、主要网络设备、通信线路和数据处理系统的硬件冗余（关键设备双机冗余）。
二、等级保护三级系统（一）物理和环境安全层面安全措施需求如下：1、需要使用彩钢板、防火门等进行区域隔离2、视频监控系统3、防盗报警系统4、灭火设备和火灾自动报警系统5、水敏感检测仪及漏水检测报警系统6、精密空调7、除湿装置8、备用发电机9、电磁屏蔽柜（二）网络和通信安全及设备和计算安全层面需要部署的安全产品如下：1、入侵防御系统2、上网行为管理系统3、网络准入系统4、统一监控平台（可满足主机、网络和应用层面的监控需求）5、防病毒软件6、堡垒机7、防火墙8、审计平台（满足对操作系统、数据库、网络设备的审计，在条件不允许的情况下，至少要使用数据库审计）（三）应用及数据安全层面需要部署的安全产品如下：1、VPN2、网页防篡改系统（针对网站系统）3、数据异地备份存储设备4、主要网络设备、通信线路和数据处理系统的硬件冗余（关键设备双机冗余）5、数据加密软件（满足加密存储，且加密算法需获得保密局认可）。
信息系统安全等级保护等级测评报告模板【等保2.0】
报告编号：XXXXXXXXXXX-XXXXX-XX-XXXXXX-XX网络安全等级保护[被测对象名称]等级测评报告等保2.0委托单位：测评单位：报告时间：年月网络安全等级测评基本信息表声明【填写说明：声明是测评机构对测评报告的有效性前提、测评结论的适用范围以及使用方式等有关事项的陈述。
针对特殊情况下的测评工作，测评机构可在以下建议内容的基础上增加特殊声明。
】本报告是[被测对象名称]的等级测评报告。
本报告是对[被测对象名称]的整体安全性进行检测分析，针对等级测评过程中发现的安全问题，结合风险分析，提出合理化建议。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测对象当时的安全状态有效。
当测评工作完成后，由于被测对象发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对被测对象内部部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。
单位名称（加盖单位公章）年月日等级测评结论【填写说明：此表描述等级保护对象及等级测评活动中的一般属性。
包括被测对象名称、安全保护等级、被测对象描述、测评工作描述、等级测评结论及综合得分。
如被测对象为云计算（包括平台/系统）或大数据（包括平台/应用/资源），则需要增加云计算安全扩展表或大数据安全扩展表。
】等级测评结论扩展表（云计算安全）【填写说明：此表描述与云计算（包括平台/系统）相关的扩展信息。
云计算形态用于明确被测对象为云计算平台还是云服务客户业务应用系统，此处为单选。
运维所在地用于明确云计算服务的后台技术管理者所在位置，方便公安机关监管。
云服务模式用于明确被测对象所采用的服务模式，此处为单选。
注意，一个云计算平台可能有多种服务模式，每种服务模式单独构成一个定级系统，对应一份定级报告及一份等级测评报告。
等保2.0(3级)安全计算环境评测项与详细评测步骤
和应用程序；
动终端、移动终端管理系统、 应用程序。
移动终端管理客户端、感知节
点设备、网关节点设备、控制
16
设备等；
b)应关闭不需要的系统
服务、默认共享和高危 同上
17
端口；
1、应核查是否关闭了非必要的系统服 务和默认共享； 2、应核查是否不存在非必要的高危端 口。
c)应通过设定终端接入
方式或网络地址范围对 通过网络进行管理的管
15
断。
应测试验证通过非审计管理员的其他账 户来中断审计进程，验证审计进程是否 受到保护。
终端和服务器等设备中的操作
系统（包括宿主机和虚拟机操 作系统）、网络设备（包括虚
a)应遵循最小安装的原 拟机网络设备）、安全设备 1、应核查是否遵循最小安装原则；
则，仅安装需要的组件 （包括虚拟机安全设备）、移 2、应核查是否未安装非必要的组件和
拟机网络设备）、安全设备 （包括虚拟机安全设备）、移 动终端、移动终端管理系统、 移动终端管理客户端、感知节 点设备、网关节点设备、控制
1、应核查是否为用户分配了账户和权 限及相关设置情况； 2、应核查是否已禁用或限制匿名、默 认账户的访问权限
设备、业务应用系统、数据库
管理系统、中间件和系统管理
5
软件及系统设计文档等；
1
求并定期更换；
软件及系统设计文档等；
1、应核查是否配置并启用了登录失败
b)应具有登录失败处理
处理功能；
身份鉴 功能，应配置并启用结 别 束会话、限制非法登录 次数和当登录 连接超时自动退出等相
2、应核查是否配置并启用了限制非法 登录功能，非法登录达到一定次数后采 取特定动作，如账号锁定等； 3、应核查是否配置并启用了登录连续
等保2.0管理测评文档清单(三级)
包括备份和冗余设备
明确维护人员的责任、维修和服务的审批、维修过程 的监督控制管理等
设备带离机房或办公地点的申报材料或审批记录
描述存在的漏洞、严重级别、原因分析和改进意见等 方面
具有安全整改应对措施文档
明确要求对网络和系统管理员用户进行分类，并定义 各个角色的责任和权限（比如：划分不同的管理角 色，系统管理权限与安全审计权限分离等）
需主管领导的批准签字
此处可举一个重要系统变更的案例
规定变更失败后的恢复流程
具有定期备份的重要业务信息、系统数据、软件系统 的列表或清单
备份方式、备份频度、存储介质和保存期等方面内容
覆盖数据的存放场所、文件命名规则、介质替换频率 、数据离站传输方法等方面 系统已发生的和需要防止发生的安全事件类型，明确 安全事件的现场处理、事件报告和后期恢复的管理职 责 记录引发安全事件的系统弱点、不同安全事件发生的 原因、处置过程、经验教训总结、补救措施等内容； 根据不同安全事件制定不同的处理和报告程序，明确 具体报告方式、报告内容、报告人等方面内容 覆盖启动应急预案的条件、应急处理流程、系统恢复 流程、事后教育和培训等方面 根据应急预案框架制定重要事件的应急预案（如针对 机房、系统、网络等各个层面）
11
外联单位联系列表
12
日常安全检查记录
审核和检查
13
审核和检查 全面安全检查记录
14
安全检查时的安全检查表、安全检查记录 和结果通告记录
15
人员安全管理文档
16
人员录用审查记录
17
人员录用
人员录用时的技能考核文档或记录
18
保密协议
19
岗位安全协议
信息安全等级保护2.0测评大全
控制点安全要求要求解读a)应指定专门的部门或人是负责机房安全、对机房的出入进行管理，定期对机房供配电、空调、温湿度控制，消防等设施进行维护管理机房是存放等级保护对象基础设施的重要场所,要落实机房环境的管理责任人，因此要确保机房的运行环境良好、安全，应对机房环境进行严格管理和控制b)应建立机房安全管理制度，对有关物理访问、物品进出和环境安全等方面的管理作出规定为保证系统有个良好安会的运行环境，应针对机房建立管理规定或要求c)应不在重要区域接待来访人员，不随意放置含有敏感信息的纸质文件和移动介质等加强内部办公环境的管理是控制网络安全风险的措施之一，为保证内部办公环境的独立性、敏感性，应降低外部人员无意或有意访问内部区域的可能性，同时杜绝都员工因无意行为而泄露敏感文档而导致网络安全事件的发生a)应编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容等级保护对象资产种类较多，如保护对象的资产管理比较混乱，容易导致等级保护对象发生安全问题或不利于发生安全问题时有效应急b)根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施信息资产的重要程度不同，在系统中所起的作用也不尽相同，应综合考虑资产的价值、在系统件的地位，作用等因素，按照重要程度高低对资产进行分类、分级管理，分类的原则应在相关文档中选行明确，且需明确重要资产和非重要资产在资产管理环节(如入库、维修、出c）应对信息分类与标识方法作出规定，并对信息的使用，传输和存储等进行规范化管理信息作为资产的一种，可根据其所属的类别不同，重要程度不同进行信息的整理分类(一般可分为:敏感、内部公开、对外公开等不同类别），不同类别的信息在使用、传输和存储等方面管理要求也应不同a)应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储介质专人管理，并根据存档介质的目录清单定期查点介质类型可包括纸介质、磁介质、光介质等，由于存储介质是用来存放系统相关数据的，因此，介质管理工作非常重要，如果管理不善，可能会造成数据的丢失或损坏，应为存储介质提供安全的存放环境并进行妥善的管控b)应对介质的物理传输过程中的人员选择、打包、交付等情况进行控制，并对介质的归等进行登记记录需系统存在离线的存储备份介质应对其进行管控，如对介质进行两地传输时，应遵循一定的管理要求，应选择可靠的传送人员，并对打包交付过程签字确认等a)应对各种设备(包括备份和冗余设备)、线路等指定专门的部门成人员定期进行维护管理对设备进行有效的维护管理，在一定程度上可降低系统发生安全问题的概率，应明确设备管理的责任部门或人员环境管理资产管理介质管理b)应建立配套设施、软硬件维护方面的管理制度。
等保2.0之大数据层面测评(大数据安全测评)
大数据是指无法在可承受的时间范围内用常规软件工具进行捕捉、 管理和处理的数据集合。
略，重要数字资产的范围确定和相关使用流程，数据类 别和级别评审和变更的要求
第四级：与第三级要求相同
大数据等级保护对 象 大数据的定级 大数据的安全保 护 大数据基本要 求 大数据测评
32
大数据测评
测评类型 时间 对象 范围 切入点
粒度
系统测评
大数据测评
业务系统测评
业务系统测评通过之后
业务系统
大数据
8
大数据的安全保护等 级
大数据的定级
数据资源可单独定级 当安全责任主体相同，大数据、大数据平台和应
用可作为一个整体对象定级
10
大数据的定级
组件
大数据 大数据应用 大数据平台
基础设施
责任主体
数据所有者
大数据应用服务提供 者 大数据平台服务提供 者
基础设施提供者
11
定级对象
大数据 大数据系统
4
大数据等级保护对象
多样性（variety)
价值性（Value）
……
速度（velocity)
体量（volume)
真实性（veracity)
多变性（variability)
5
大数据等级保护对 象
数据拥有者和管理者 的 分离； 单一系统对数据的保
护 不足；
保护措施的如何延续
； 数据价值的提升与
不确 定性；
数据生命期超出原生
3 等保2.0移动互联安全扩展要求 测评权重表
1
a) 应保证移动终端安装、运行的应用软件 来自可靠分发渠道或使用可靠证书签名；
1
b) 应保证移动终端安装、运行的应用软件由指定 的开发者开发。
0.4
b) 应保证移动终端安装、运行的应用软件 由指定的开发者开发。
0.4
a) 应对移动业务应用软件开发者进行资格审查；
0.4
a) 应对移动业务应用软件开发者进行资格 审查；
边界防护
应保证有线网络与无线网络边界之间的访问 和数据流通过无线接入安全网关设备。
1
应保证有线网络与无线网络边界之间的访问和数据 流通过无线接入网关设备。
无线接入设备应开启接入认证功能，并且禁
无线接入设备应开启接入认证功能，并且禁止使用
访问控制
止使用WEP方式进行认证，如使用口令，长
1
WEP方式进行认证，如使用口令，长度不小于8位字
1
f) 应能够阻断非授权无线接入设备或非授 权移动终端。
0.4
a) 应保证移动终端安装、注册并运行终端管理客 户端软件；
1
a) 应保证移动终端安装、注册并运行终端 管理客户端软件；
0.4
b) 移动终端应接受移动终端管理服务端的设备生
b) 移动终端应接受移动终端管理服务端的
命周期管理、设备远程控制，如：远程锁定、远程
1
无线接入设备应开启接入认证功能，并支持采用认
无线接入设备应开启接入认证功能，并支
证服务器认证或国家密码管理机构批准的密码模块
1
持采用认证服务器认证或国家密码管理机
1
进行认证。
构批准的密码模块进行认证。
a) 应能够检测到非授权无线接入设备和非授权移 动终端的接入行为；
1
等级保护2.0二级通用要求测评方法
等级保护 2.0二级通用要求测评方法(总57页)--本页仅作为文档封面，使用时请直接删除即可----内页可以根据需求调整合适字体及大小--安全物理环境物理位置选择测评单元（L2-PES1-01）该测评单元包括以下要求：a）测评指标：机房场地应选择在具有防震、防风和防雨等能力的建筑内。
b）测评对象：记录类文档和机房。
c）测评实施包括以下内容：1）应核查所在建筑物是否具有建筑物抗震设防审批文档；2）应核查机房是否不存在雨水渗漏；3）应核查机房门窗是否不存在因风导致的尘土严重；4）应核查屋顶、墙体、门窗和地面等是否没有破损开裂。
d）单元判定：如果1）~4）均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
测评单元（L2-PES1-02）该测评单元包括以下要求：a）测评指标：机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。
b）测评对象：机房。
c）测评实施：应核查机房是否不位于所在建筑物的顶层或地下室，如果否，则核查机房是否采取了防水和防潮措施。
d）单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
物理访问控制测评单元（L2-PES1-03）该测评单元包括以下要求：a）测评指标：机房出人口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进入的人员。
b）测评对象：机房电子门禁系统和值守记录。
c）测评实施包括以下内容：1）应核查是否安排专人值守或配置电子门禁系统；。
2）应核查相关记录是否能够控制、鉴别和记录进人的人员。
d）单元判定：如果 1）和2）均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
防盗窃和防破坏测评单元（L2-PES1-04）该测评单元包括以下要求：a）测评指标：应将设备或主要部件进行固定，并设置明显的不易除去的标识。
b）测评对象：机房设备或主要部件。
c）测评实施包括以下内容：1）应核查机房内设备或主要部件是否固定；2）应核查机房内设备或主要部件上是否设置了明显且不易除去的标识。
等保2.0测评高风险判定指引-安全计算环境
3、使用截获的 5、可根据被测对 输过程中被
帐号可远程登录 象的作用以及重要 窃听
1、如设备通过
本地登录方式
（非网络方式）
维护，本地物理
环境可控，可酌
情降低风险等级
。
2、采用两重用
户名/口令认证
措施（两重口令
不同），例如身
份认证服务器、
堡垒机等手段，
可酌情降低风险
1、3级及以上系 等级。
统；
3、如设备所在
网络设备 、安全设 备、操作 系统、数 据库等存 在空口令 或弱口令 帐户，并 可通过该 弱口令帐 户登录， 可判定为 高风险
所有系统
登录失败处 理
应具有登录失败处理 功能，应配置并启用 结束会话、限制非法 登录次数和当登录连 接超时自动退出等相 关措施
可通过互 联网登录 的应用系 统未提供 任何登录 失败处理 措施，攻 击者可进 行口令猜 测，可判 定为高风 险
所有系统 3级及以上系统 所有系统。
测试发现漏 洞修补
应能发现可能存在的 已知漏洞，并在经过 充分测试评估后，及 时修补漏洞
通过验证 测试或渗 透测试能 够确认并 利用的， 可对网络 设备、安 全设备、 操作系统 、数据库 等造成重 大安全隐 患的漏洞 （包括但 不限于缓 冲区溢出 、提权漏 洞、远程 代码执行 、严重逻 辑缺陷、
入侵防 范
数据有效性 检验功能
已知重大漏 洞修补
测试发现漏 洞修补
应提供数据有效性检 验功能，保证通过人 机接口输入或通过通 信接口输入的内容符 合系统设定要求
应能发现可能存在的 已知漏洞，并在经过 充分测试评估后，及 时修补漏洞
应能发现可能存在的 已知漏洞，并在经过 充分测试评估后，及 时修补漏洞
等保2.0梳理表内容
安全运维管理
网络和系统安全管理
安全运维管理 安全运维管理
网络和系统安全管理 网络和系统安全管理
四级 四级
安全通用要求 安全通用要求
四级 安全通用要求
四级 四级 四级 四级 四级 四级 四级 四级 四级 四级 四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求
安全运维管理 安全运维管理 安全运维管理
安全运维管理 安全运维管理 安全运维管理 安全运维管理
自行软件开发 自行软件开发 外包软件开发 外包软件开发 外包软件开发 测试验收 测试验收 系统交付 系统交付 系统交付 等级测评 等级测评 等级测评 服务供应商选择 服务供应商选择 服务供应商选择 环境管理
四级 四级 四级 四级 四级 四级
安全通用要求
安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求
四级 安全通用要求
四级 四级 四级 四级
四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求
安全通用要求
四级 安全通用要求
四级 安全通用要求
四级 安全通用要求
四级
四级 四级 四级 四级 四级
四级 安全通用要求
四级 四级 四级 四级 四级 四级 四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求
安全运维管理 安全运维管理
安全运维管理
安全运维管理 安全运维管理 安全运维管理 安全运维管理 安全运维管理 安全运维管理 安全运维管理 安全运维管理 安全运维管理 安全运维管理 安全运维管理
最新等保2.0-安全考核表
被考核人签名：
安全需求
状况（是/否/n/a）
说明
开机口令
是否设置了开机口令？
口令长度是否大于6位？
口令中是否包含数字？
屏保
是否在15分钟的非活动状态内自动激活带密码保护的屏保？
密码长度是否大于6位？
密码中是否包含数字？
邮件系统是否加了密码？
工作结束时，是否关闭台式计算机？
工作结束时，是否妥善保管便携电脑，如锁入文件柜？
软件
是否擅自改变预安装软件？
是否安装与工作无关的软件，安装非法使用的软件？
共享
是否开启匿名FTP, TFTP, HTTP等服务？
是否将本地硬盘文件匿名共享？
防病毒
是否安装指定的防病毒软件？
版本是否正确？
病毒特征码是否每天更新？
病毒特征码版本是否正确？
是否每星期至少扫描一次？
网络安全等级保护V2.0测评指标
c）应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测；
d）应对分散在各个设备上的审计数据进行收集汇总和集中分析；
e）应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理；
f）应对网络中发生的各类安全事件进行识别、报警和分析。
6、安全管理机构和人员
7、安全建设管理
8、安全运维管理
网络安全等级保护（等保V2.0）
测评类
测评项
测评指标
物理和环境安全
物理位置选择
a) 机房场地应选择在具有防震、防风和防雨等能力的建筑内；
b) 机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。
物理访问控制
a）机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。
边界防护
a）应保证跨越边界的访问和数据流通过边界防护设备提供的受控接地进行通信
b）应能够对非授权设备私自联到内部网络的行为进行限制或检查；
c）应能够对内部用户非授权联到外部网络的行为进行限制或检查；
d）应限制无线网络的使用，确保无线网络通过受控的边界防护设备接入内部往来；
访问控制
a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；
c) 应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；
d) 应避免将重要网络区域部署在网络边界处且没有边界防护措施；
e) 应提供通信线路、关键网络设备的硬件冗余，保证系统的可用性。
通信传输
a) 应采用校验码技术或加解密技术保证通信过程中数据的完整性；
b) 应采用加解密技术保证通信过程中敏感信息字段或整个报文的保密性。
等保2.0测评表-设备和计算安全-服务器
23 24 资源控制 25 26
a) 应限制单个用户或进程对 系统资源的最大使用限度； b) 应提供重要节点设备的硬 件冗余，保证系统的可用性； c) 应对重要节点进行监视， 包括监视CPU、硬盘、内存等 资源的使用情况； d) 应能够对重要节点的服务 水平降低到预先规定的最小值 进行检测和报警。
19 入侵防范 20 21
22
恶意代码防范
d) 应能发现可能存在的漏 洞，并在经过充分测试评估 后，及时修补漏洞； e) 应能够检测到对重要节点 进行入侵的行为，并在发生严 重入侵事件时提供报警。 a) 应采用免受恶意代码攻击 的技术措施或可信验证机制对 系统程序、应用程序和重要配 置文件/参数进行可信执行验 证，并在检测到其完整性受到 破坏时采取恢复措施。
符合情况
备注
4
5 6 7 8
访问控制
访问控制 9 10 11
服务器
12
安全审计
13
服务器
14 15 16 17 18
安全审计
入侵防范
a) 应启用安全审计功能，审 计覆盖到每个用户，对重要的 用户行为和重要安全事件进行 审计； b) 审计记录应包括事件的日 期和时间、用户、事件类型、 事件是否成功及其他与审计相 关的信息； c) 应对审计记录进行保护， 定期备份，避免受到未预期的 删除、修改或覆盖等； d) 应确保审计记录的留存时 间符合法律法规要求； e) 应对审计进程进行保护， 防止未经授权的中断。 a) 应遵循最小安装的原则， 仅安装需要的组件和应用程序 。 b) 应关闭不需要的系统服务 、默认共享和高危端口； c) 应通过设定终端接入方式 或网络地址范围对通过网络进 行管理的管理终端进行限制；
序号 1
测评对象
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
22
恶意代码防范
系统程序、应用程序和重要配 置文件/参数进行可信执行验
证，并在检测到其完整性受到
破坏时采取恢复措施。
23 24 25 26
确认人: 确认时间:
资源控制
a) 应限制单个用户或进程对 系统资源的最大使用限度；
b) 应提供重要节点设备的硬 件冗余，保证系统的可用性；
c) 应对重要节点进行监视， 包括监视CPU、硬盘、内存等 资源的使用情况； d) 应能够对重要节点的服务 水平降低到预先规定的最小值 进行检测和报警。
的存在； d) 应进行角色划分，并授予
管理用户所需的最小权限，实
现管理用户的权限分离； e) 应由授权主体配置访问控
制策略，访问控制策略规定主
体对客体的访问规则； f) 访问控制的粒度应达到主
体为用户级或进程级，客体为
文件、数据库表级； g) 应对敏感信息资源设置安
全标记，并控制主体对有安全
标记信息资源的访问。
服务器
符合情况 备注
12
安全审计
13
服务器
14
安全审计
15 16
17
入侵防范
18
a) 应启用安全审计功能，审 计覆盖到每个用户，对重要的 用户行为和重要安全事件进行 审计； b) 审计记录应包括事件的日 期和时间、用户、事件类型、 事件是否成功及其他与审计相 关的信息； c) 应对审计记录进行保护， 定期备份，避免受到未预期的 删除、修改或覆盖等； d) 应确保审计记录的留存时 间符合法律法规要求； e) 应对审计进程进行保护， 防止未经授权的中断。 a) 应遵循最小安装的原则， 仅安装需要的组件和应用程序 。 b) 应关闭不需要的系统服务 、默认共享和高危端口；
取必要措施，防止鉴别信息在
网络传输过程中被窃听； d) 应采用两种或两种以上组
合的鉴别技术对用户进行身份
鉴别，且其中一种鉴别技术至
少应使用动态口令、密码技术
或生物技术来实现。 a) 应对登录的用户分配账户
和权限； b) 应重命名或删除默认账
户，修改默认账户的默认口
令； c) 应及时删除或停用多余的
、过期的账户，避免共享账户
c) 应通过设定终端接入方式
19
或网络地址范围对通过网络进
入侵防范
行管理的管理终端进行限制； d) 应能发现可能存在的漏
20
洞，并在经过充分测试评估
后，及时修补漏洞；
e) 应能够检测到对重要节点
21
进行入侵的行为，并在发生严
重入侵事件时提供报警。
a) 应采用免受恶意代码攻击评对象
测评指标
2 身份鉴别
3
4
5
访问控制
6
7
8 访问控制
9
10
11
控制项
结果记录
a) 应对登录的用户进行身份
标识和鉴别，身份标识具有唯
一性，身份鉴别信息具有复杂
度要求并定期更换；
b) 应具有登录失败处理功
能，应配置并启用结束会话、
限制非法登录次数和当登录连
接超时自动退出等相关措施；
c) 当进行远程管理时，应采