信息安全等级保护四级防护技术要求
信息安全等级保护制度
信息安全等级保护制度概述信息安全等级保护制度（简称“等保制度”）是中国政府在信息安全领域的重要措施之一，目的在于建立一套科学、合理、可有效执行的信息安全保护制度，减少信息安全风险并维护国家信息安全。
等保制度的核心是建立信息安全等级评估机制和信息安全等级保护措施。
等保等级等保制度是按照“等级+分类”的方式执行的，也就是将不同的信息系统分为不同的安全等级，给出相应的等保等级控制要求和技术要求。
根据国家标准《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2008），等保等级分为4个级别，从高到低分别是：一级、二级、三级、四级。
其中一级要求最高，四级要求最低。
不同等保等级的信息系统，需要采取不同的安全保护措施。
等保评估信息安全等级评估是指对信息系统的安全性进行全面评估，确定其实际受到的攻击威胁以及存在的安全风险，从而确定系统的等保等级。
等保评估是等保制度的核心环节，也是等保保护措施的依据。
等保评估分为两种类型：自我评估和第三方评估。
自我评估适用于等保一级、二级信息系统，第三方评估适用于等保三级、四级信息系统。
等保保护根据等保评估结果，完成等保系统以后需要进行等保保护工作。
等保保护工作包括物理安全措施、技术安全措施、管理安全措施三个方面。
其中物理安全措施主要是对硬件设备的保护，如安装门禁、监控等；技术安全措施是对软件设备的保护，如防火墙、入侵检测等；管理安全措施是对人员进行管理，如实施权限控制、制定密码规则等。
等保保护需要全面、周密地组织实施，保障对信息系统的全面保护，确保系统安全稳定可靠。
信息安全等级保护的意义等保制度是一项非常重要的信息安全保护措施，有着广泛的应用价值。
它的重要意义表现在以下几个方面：内部保护等保制度为企业和组织内部的信息系统提供了全面的信息安全保护，确保了系统的稳定性和可靠性。
企业和组织可以根据等保等级要求对信息系统进行详细的评估，制定相应的保护措施，从而避免或者最大程度上减少信息安全事件的发生。
等保定级标准
等保定级标准信息安全在现代社会的发展中扮演着越来越重要的角色。
为了有效地保护信息系统的安全，中国国家标准化管理委员会发布了一系列的等级标准，其中包括等保定级标准。
本文将对等保定级标准进行详细的解析，旨在帮助读者更好地理解和应用该标准。
一、等保定级标准的概述等保定级标准是指中国国家标准化管理委员会制定的信息安全等级保护评估标准，主要用于评估和确定信息系统的安全等级。
该标准根据信息系统的安全等级需求，将信息系统划分为不同的保护等级，以此来指导和规范信息系统的设计、构建和运营。
二、等保定级标准的分类根据中国国家标准化管理委员会发布的《信息安全技术等级保护分类与定级准则》（以下简称《定级准则》），等保定级标准被分为五个等级，分别为一级、二级、三级、四级和五级。
每个等级都有相应的安全要求和技术措施，以满足不同敏感程度的信息系统的保护需求。
三、等保定级标准的要求根据《定级准则》，等保定级标准对信息系统的安全要求主要包括以下几个方面：1. 安全策略与规划：包括制定和实施全面的信息安全管理策略、制定安全规划与方案，确保信息系统的安全性。
2. 安全组织与管理：建立健全的安全管理组织架构，设立专门的信息安全管理职能部门，明确安全责任，保障信息系统的安全管理运作。
3. 安全运维与支持：包括对信息系统进行运维和技术支持，确保其正常运行和安全性。
4. 安全技术与控制措施：采取各种安全技术手段和控制措施，包括访问控制、身份认证、数据加密、事件响应等，保障信息系统的安全性。
5. 安全审计与评估：定期进行安全审计和评估，对信息系统的安全控制措施进行检查和验证。
四、等保定级标准的实施过程等保定级标准的实施过程主要包括以下几个步骤：1. 确定信息系统的保护等级：根据信息系统的敏感程度和风险评估结果，确定其保护等级。
2. 分析和评估：根据《定级准则》中的标准和要求，对信息系统进行详细的分析和评估，确定其在各个安全要求方面的达标情况。
信息系统等级保护
信息系统等级保护信息系统等级保护是指根据国家安全的需要，按照一定的标准和要求，对信息系统进行分类、评定和认证，并采取相应的安全保护措施，确保信息系统的安全性和可靠性。
信息系统等级保护的目标是保护国家的重要信息资产，防范和应对各类网络威胁和攻击，确保国家信息基础设施的安全和稳定。
信息系统等级保护分为五个等级，分别是一级、二级、三级、四级和五级，等级越高，所要求的安全防护措施越多，对应的安全风险也越高。
具体来说，一级是最低等级，五级是最高等级，一级的安全防护要求相对较低，五级的安全防护要求则相对较高。
根据信息安全等级保护的要求，信息系统等级保护需要满足以下几个方面的要求。
首先，要有严格的安全管理制度。
包括制定安全管理规定，明确安全保密责任，设立安全组织机构，以及组织信息安全培训等。
这样可以确保信息系统的管理和运行符合安全要求，提高整个信息系统的安全性。
其次，要进行全面的安全风险评估。
通过对信息系统和网络进行全面的安全风险评估，确定现有的安全风险和威胁，制定相应的安全策略和技术措施，预防和防范各类网络攻击和威胁。
再次，要有完善的安全保护措施。
根据不同的等级要求，采取相应的安全技术和措施来进行信息系统的保护。
包括建立物理安全控制措施、网络安全控制措施、主机安全控制措施等。
同时，要加强对信息系统的监控和审计，及时发现并解决安全事件和漏洞。
最后，要进行定期的安全检测和评估。
通过定期进行安全检测和评估，确保信息系统和网络的安全性能符合要求。
及时发现和解决存在的安全隐患和漏洞，提高信息系统的安全性和可靠性。
信息系统等级保护的实施，可以有效地提高信息系统的抗攻击能力和安全防护水平，减少信息安全风险和漏洞的发生。
保障信息系统中重要信息的安全和可靠，对维护国家的政治稳定、经济发展、社会秩序起着至关重要的作用。
然而，信息系统等级保护工作也面临一些挑战。
首先，随着网络技术的不断发展和进步，网络攻击手段也不断更新和升级，对信息系统的安全形成了巨大的威胁。
4-信息安全技术 信息系统安全等级保护基本要求
ICS35.040L80中 华 人 民 共 和 国 国 家 标 准GB/T 22239—2008信息安全技术信息系统安全等级保护基本要求Information security technology —Baseline for classified protection of information system2008-06-19 发布中 华人 民 共 和 国 国 家 质 量 监 督 检 验 检 疫 总 局 中 国 国 家 标 准 化 管 理 委 员会 2008-11-01实施 发 布GB/T 22239—2008目次前言 (III)引言 (IV)信息系统安全等级保护基本要求 (1)1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)3.1 (1)4 信息系统安全等级保护概述 (1)4.1 信息系统安全保护等级 (1)4.2 不同等级的安全保护能力 (1)4.3 基本技术要求和基本管理要求 (2)4.4 基本技术要求的三种类型 (2)5 第一级基本要求 (2)5.1 技术要求 (2)5.1.1 物理安全 (2)5.1.2 网络安全 (3)5.1.3 主机安全 (3)5.1.4 应用安全 (4)5.1.5 数据安全及备份恢复 (4)5.2 管理要求 (4)5.2.1 安全管理制度 (4)5.2.2 安全管理机构 (4)5.2.3 人员安全管理 (5)5.2.4 系统建设管理 (5)5.2.5 系统运维管理 (6)6 第二级基本要求 (7)6.1 技术要求 (7)6.1.1 物理安全 (7)6.1.2 网络安全 (8)6.1.3 主机安全 (9)6.1.4 应用安全 (10)6.1.5 数据安全及备份恢复 (11)6.2 管理要求 (11)6.2.1 安全管理制度 (11)6.2.2 安全管理机构 (11)6.2.3 人员安全管理 (12)6.2.4 系统建设管理 (12)6.2.5 系统运维管理 (14)7 第三级基本要求 (16)7.1 技术要求 (16)7.1.1 物理安全 (16)7.1.2 网络安全 (17)IGB/T 22239—20087.1.3 主机安全 (19)7.1.4 应用安全 (20)7.1.5 数据安全及备份恢复 (22)7.2 管理要求 (22)7.2.1 安全管理制度 (22)7.2.2 安全管理机构 (23)7.2.3 人员安全管理 (24)7.2.4 系统建设管理 (25)7.2.5 系统运维管理 (27)8 第四级基本要求 (30)8.1 技术要求 (30)8.1.1 物理安全 (30)8.1.2 网络安全 (32)8.1.3 主机安全 (33)8.1.4 应用安全 (35)8.1.5 数据安全及备份恢复 (37)8.2 管理要求 (37)8.2.1 安全管理制度 (37)8.2.2 安全管理机构 (38)8.2.3 人员安全管理 (39)8.2.4 系统建设管理 (40)8.2.5 系统运维管理 (42)9 第五级基本要求 (46)附录A (47)关于信息系统整体安全保护能力的要求 (47)附录B (49)基本安全要求的选择和使用 (49)参考文献 (51)IIGB/T 22239—2008 前言（略）IIIGB/T 22239—2008引言依据国家信息安全等级保护管理规定制定本标准。
信息安全等级保护四级防护技术要求
信息安全等级保护（四级）具体技术要求我国信息安全等级保护与涉密信息系统分级保护关系等级保护分级保护保护对象不同非涉密信息系统涉密信息系统管理体系不同公安机关国家保密工作部门标准体系不同国家标准（GB、GB/T）国家保密标准（BMB，强制执行）级别划分不同第一级：自主保护级第二级：指导保护级第三级：监督保护级秘密级第四级：强制保护级机密级第五级：专控保护级绝密级涉密信息系统分级保护与信息安全等级保护制度相衔接，三个等级的防护水平不低于国家等级保护的第三、四、五级要求一、网络安全1.1网络安全审计1、对网络系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录；2、对于每一个事件，其审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功，及其他与审计相关的信息；3、安全审计应可以根据记录数据进行分析，并生成审计报表；4、安全审计应可以对特定事件，提供指定方式的实时报警；5、审计记录应受到保护避免受到未预期的删除、修改或覆盖等；6、安全审计应能跟踪监测到可能的安全侵害事件，并终止违规进程；7、审计员应能够定义审计跟踪极限的阈值，当存储空间接近极限时，能采取必要的措施（如报警并导出），当存储空间被耗尽时，终止可审计事件的发生；8、安全审计应根据信息系统的统一安全策略，实现集中审计；9、网络设备时钟应与时钟服务器时钟保持同步。
1.2边界完整性检查1、应能够检测内部网络中出现的内部用户未通过准许私自联到外部网络的行为（即“非法外联”行为）；2、应能够对非授权设备私自联到网络的行为进行检查，并准确定位、有效阻断；3、应能够对内部网络用户私自联到外部网络的行为进行检查后准确定出位置，并对其进行有效阻断；4、应能够根据信息流控制策略和信息流的敏感标记，阻止重要信息的流出。
（网络设备标记，指定路由信息标记）。
1.3网络入侵防范1、在网络边界处应监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等入侵事件的发生；2、当检测到入侵事件时，应记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间等，并发出安全警告（如可采取屏幕实时提示、E-mail告警、声音告警等几种方式）及自动采取相应动作。
信息安全技术信息系统安全等级保护定级指南
信息安全技术信息系统安全等级保护定级指南在当今数字化的时代，信息系统已经成为了企业、组织乃至整个社会运转的重要支撑。
然而，伴随着信息系统的广泛应用，信息安全问题也日益凸显。
为了保障信息系统的安全稳定运行，保护公民、法人和其他组织的合法权益，我国制定了信息系统安全等级保护制度。
其中，定级是等级保护工作的首要环节和关键步骤，它决定了信息系统所需采取的安全保护措施和投入的资源。
本文将为您详细介绍信息系统安全等级保护定级的指南。
一、信息系统安全等级保护定级的重要性信息系统安全等级保护定级是对信息系统的重要性和潜在风险进行评估和划分等级的过程。
其重要性主要体现在以下几个方面：1、明确安全责任：通过定级，能够明确信息系统所有者、运营者和使用者在信息安全方面的责任和义务，确保各方对信息安全工作有清晰的认识和目标。
2、合理配置资源：根据信息系统的等级，合理分配安全防护资源，避免过度投入或投入不足，提高安全防护的效率和效果。
3、提高安全意识：定级过程能够促使相关人员增强对信息安全的重视，提升整体的安全意识和防范能力。
4、满足法律法规要求：符合国家关于信息安全等级保护的法律法规和政策要求，避免因未履行相关义务而面临法律风险。
二、信息系统安全等级保护定级的原则在进行信息系统安全等级保护定级时，需要遵循以下原则：1、自主定级原则：信息系统的运营使用单位应当按照相关标准规范，自主确定信息系统的安全保护等级。
2、客观公正原则：定级过程应当基于信息系统的实际情况，客观、公正地评估其重要性和潜在风险，不受主观因素的干扰。
3、科学合理原则：采用科学的方法和手段，综合考虑信息系统的业务特点、数据类型、用户规模等因素，合理确定等级。
4、动态调整原则：信息系统的安全保护等级应根据其变化情况进行动态调整，确保等级的准确性和有效性。
三、信息系统安全等级保护的等级划分信息系统安全等级保护分为五级，从低到高依次为：第一级（自主保护级）、第二级（指导保护级）、第三级（监督保护级）、第四级（强制保护级）和第五级（专控保护级）。
信息安全等级保护制度
信息安全等级保护制度概述信息安全等级保护制度是指一种根据信息内容重要程度划分等级，按照不同等级的安全保障要求和分类管理标准，采取针对性的安全防范措施，降低信息泄露和网络攻击等风险的管理制度。
制度等级分类根据国家《保密法》和《信息安全等级保护管理办法》规定，信息安全等级保护分为4个等级，由高到低分别为：特级、一级、二级、三级。
1.特级：适用于涉国家安全和重要决策的核心信息；2.一级：适用于涉及国家利益和重要业务的重要信息；3.二级：适用于企事业单位的核心信息和关键技术信息；4.三级：适用于企事业单位的一般信息和管理信息。
制度要求1.信息分类：对企事业单位的信息资产进行分类，根据不同等级进行安全保护和管理。
2.安全措施：采取适当的技术措施和管理制度，确保信息在存储、传输、处理等过程中的安全性和完整性。
3.安全培训：针对不同的岗位，制定不同的安全培训计划和内容，加强安全教育，提升员工的安全意识和技能。
4.安全评估：定期进行信息安全评估和风险评估，及时发现和解决安全问题，提高信息安全等级保护能力。
5.安全应急：建立完善的安全事件应急预案，及时应对和处理安全事件，降低安全风险。
实施措施在实施信息安全等级保护制度时，需要根据企业的实际情况采取相应的措施，包括以下几个方面：制度建设1.制定信息安全管理制度，建立相关部门和岗位，明确职责和权限。
2.制定信息分类和等级划分标准，明确各级别信息的保密程度和安全要求。
3.建立安全保障和检查机制，设置安全巡查、监督和管理流程，保障信息安全。
技术措施1.建立物理安全措施，包括防火墙、入侵检测和防病毒系统等。
2.建立网络安全措施，包括网络拓扑结构设计、网络访问控制和数据加密等。
3.建立数据安全措施，采用数据加密、备份和恢复等技术手段，保障数据安全。
培训和评估1.建立安全教育、培训和考核机制，提升员工的安全意识和技能。
2.建立信息安全评估和风险评估机制，定期进行评估和改进。
总结信息安全等级保护制度是企业信息安全管理的基础和核心，通过科学的等级划分和针对性的防护措施，可以有效预防和减少信息泄露和网络攻击等风险，降低企业的安全风险，提高信息安全保护能力。
信息安全技术—网络安全等级保护安全设计技术要求
2019年5月10日，国家标准《信息安全技术—网络安全等级保护安全设计技术要求》（GB/T 25070-2019） 由中华人民共和国国家市场监督管理总局、中国国家标准化管理委员会发布。
2019年12月1日，国家标准《信息安全技术—网络安全等级保护安全设计技术要求》（GB/T 25070-2019） 实施，全部代替国家标准《信息安全技术—信息系统等级保护安全设计技术要求》（GB/T 25070-2010）。
标准目次
参考资料：
内容范围
《信息安全技术—网络安全等级保护安全设计技术要求》（GB/T 25070-2019）规定了第一级到第四级等级 保护对象的安全设计技术要求，每个级别的安全设计技术要求均由安全通用设计技术要求和安全扩展设计技术要 求构成，安全扩展设计技术要求包括了云计算、移动互联、物联网、工业控制系统等方面。第一级到第三级的安 全设计技术要求均包含安全计算环境、安全区域边界、安全通信网络、安全管理中心等四个方面。在第四级的安 全设计技术要求增加了系统安全保护环境结构化设计技术要求方面。
国家标准《信息安全技术—网络安全等级保护安全设计技术要求》（GB/T 25070-2019）依据中国国家标准 《标准化工作导则第1部分：标准的结构和编写规则》（GB/T 1.1-20（GB/T 25070-2019）与《信息安全技术—信息系 统等级保护安全设计技术要求》（GB/T 25070-2010）相比较，主要变化如下：
信息安全等级保护的5个级别
信息安全等级保护的5个级别信息安全是当今社会中不可忽视的重要问题，随着互联网技术的发展和普及，信息安全问题也日益凸显。
为了更好地保护信息安全，不同的信息系统需要根据其特点和重要性采取不同的安全等级保护措施。
在我国，信息安全等级保护分为5个级别，分别是一级、二级、三级、四级和五级。
下面将逐级介绍这5个级别的信息安全等级保护标准。
一级信息安全等级保护是指对一般信息系统的保护要求，主要针对一般的商业信息系统和政府信息系统。
在一级保护中，主要的安全措施包括对系统的基本管理、网络安全防护、数据备份和恢复等方面的要求。
一级信息安全等级保护要求相对较低，适用于一般的商业和政府信息系统。
二级信息安全等级保护是在一级的基础上进一步提高了安全保护的要求，主要针对一些重要的商业信息系统和政府信息系统。
在二级保护中，除了满足一级保护的要求外，还需要加强对系统的访问控制、数据加密、安全审计等方面的保护措施。
二级信息安全等级保护适用于一些对信息安全要求较高的商业和政府信息系统。
三级信息安全等级保护是在二级的基础上进一步提高了安全保护的要求，主要针对一些非常重要的商业信息系统和政府信息系统。
在三级保护中，除了满足二级保护的要求外，还需要加强对系统的身份认证、安全通信、安全管理等方面的保护措施。
三级信息安全等级保护适用于一些对信息安全要求非常高的商业和政府信息系统。
四级信息安全等级保护是在三级的基础上进一步提高了安全保护的要求，主要针对一些非常重要的商业信息系统和政府信息系统。
在四级保护中，除了满足三级保护的要求外，还需要加强对系统的安全审计、安全管理、应急响应等方面的保护措施。
四级信息安全等级保护适用于一些对信息安全要求非常高的商业和政府信息系统。
五级信息安全等级保护是在四级的基础上进一步提高了安全保护的要求，主要针对一些绝对重要的商业信息系统和政府信息系统。
在五级保护中，除了满足四级保护的要求外，还需要加强对系统的安全评估、安全认证、安全监控等方面的保护措施。
信息系统安全等级保护(四级)基本要求
24
25
26
27
a) 应能够检测到对重要服务器进行入侵的行为，能够 记录入侵的源 IP 、攻击的类型、攻击的目的、攻击的 时间，并在发生严重入侵事件时提供报警； b) 应能够对重要程序的完整性进行检测，并在检测到 完整性受到破坏后具有恢复的措施； c) 操作系统应遵循最小安装的原则，仅安装需要的组 件和应用程序，并通过设置升级服务器等方式保持系 统补丁及时得到更新。 恶 意 代 码 防 范 a) 应安装防恶意代码软件，并及时更新防恶意代码软 （G4） 件版本和恶意代码库； b) 主机防恶意代码产品应具有与网络防恶意代码产品 不同的恶意代码库； c) 应支持防恶意代码的统一管理。 资源控制（A4） a) 应通过设定终端接入方式、网络地址范围等条件限 制终端登录； b) 应根据安全策略设置登录终端的操作超时锁定； c) 应对重要服务器进行监视，包括监视服务器的 CPU 、硬盘、内存、网络等资源的使用情况； d) 应限制单个用户对系统资源的最大或最小使用限 度； e) 应能够对系统的服务水平降低到预先规定的最小值 应用安全 身份鉴别（S4） a) 应提供专用的登录控制模块对登录用户进行身份标 识和鉴别； b) 应对同一用户采用两种或两种以上组合的鉴别技术 实现用户身份鉴别，其中一种是不可伪造的； c) 应提供用户身份标识唯一和鉴别信息复杂度检查功 能，保证应用系统中不存在重复用户身份标识，身份 鉴别信息不易被冒用； d) 应提供登录失败处理功能，可采取结束会话、限制 非法登录次数和自动退出等措施； e) 应启用身份鉴别、用户身份标识唯一性检查、用户 身份鉴别信息复杂度检查以及登录失败处理功能，并 根据安全策略配置相关参数。
6
7
8 9
10
11
防水和防潮（G4） a) 水管安装，不得穿过机房屋顶和活动地板下； b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗 透； c) 应采取措施防止机房内水蒸气结露和地下积水的转 移与渗透； d) 应安装对水敏感的检测仪表或元件，对机房进行防 防静电（G4） a) 设备应采用必要的接地防静电措施； b) 机房应采用防静电地板； c) 应采用静电消除器等装置，减少静电的产生。 温湿度控制（G4） 机房应设置温湿度自动调节设施，使机房温、湿度的 变化在设备运行所允许的范围之内。 电力供应（A4） a) 应在机房供电线路上配置稳压器和过电压防护设 备； b) 应提供短期的备用电力供应，至少满足设备在断电 情况下的正常运行要求； c) 应设置冗余或并行的电力电缆线路为计算机系统供 电磁防护（S4） a) 应采用接地方式防止外界电磁干扰和设备寄生耦合 干扰； b) 电源线和通信线缆应隔离铺设，避免互相干扰； c) 应对关键区域实施电磁屏蔽。 网络安全 结构安全（G4） a) 应保证网络设备的业务处理能力具备冗余空间，满 足业务高峰期需要； b) 应保证网络各个部分的带宽满足业务高峰期需要； c) 应在业务终端与业务服务器之间进行路由控制建立 安全的访问路径； d) 应绘制与当前运行情况相符的网络拓扑结构图； e) 应根据各部门的工作职能、重要性和所涉及信息的 重要程度等因素，划分不同的子网或网段，并按照方 便管理和控制的原则为各子网、网段分配地址段； f) 应避免将重要网段部署在网络边界处且直接连接外 部信息系统，重要网段与其他网段之间采取可靠的技 术隔离手段； g) 应按照对业务服务的重要次序来指定带宽分配优先 级别，保证在网络发生拥堵的时候优先保护重要主机
等保四级建设方案
等保四级建设方案信息安全是当今社会发展的重要组成部分，各行各业都需要保护自己的信息资产免受黑客和恶意攻击的威胁。
为了提高网络安全的保障水平，加强信息技术的防护能力，我国国家互联网信息办公室于2019年发布了《关于加强网络安全等级保护工作的意见》，提出了等保四级建设方案，以确保信息系统的安全性和可用性。
本文将重点介绍这一建设方案的主要内容和实施方式。
一、等保四级的定义和要求等保四级是指按照国家标准将信息系统安全性划分为四个等级，分别是一级、二级、三级和四级，其中四级要求最高。
等保四级建设的目标是建立全面、有序、有效的信息安全保障体系，确保关键信息系统的安全稳定运行。
根据国家标准，等保四级的要求主要包括以下几个方面：1. 风险评估和安全等级确定：对关键信息资产进行全面的风险评估，确定其所属的安全等级，并制定相应的安全措施。
2. 安全响应和事件管理：建立健全的安全事件报告和响应机制，及时监测和处理网络安全事件，减小安全事件对信息系统的影响。
3. 访问控制和身份认证：采取有效的措施，限制用户的权限，保护信息系统免受未经授权的访问，确保用户身份的真实性和合法性。
4. 数据保护和加密：对敏感数据进行加密处理，确保数据在传输和存储过程中的安全性，防止数据泄漏和篡改。
5. 漏洞管理和补丁更新：定期进行漏洞扫描和安全评估，及时修复系统中的漏洞，防止黑客利用漏洞进行攻击。
6. 网络安全监测和预警：建立网络安全监测系统，对网络流量进行实时监控和分析，及时发现和预警异常行为。
二、等保四级建设方案的实施方式为了落实等保四级的要求，组织实施相应的安全措施是非常必要的。
以下是等保四级建设方案的主要实施方式：1. 制定安全政策和规程：建立一套完善的信息安全管理制度，包括安全政策、安全规程、安全管理手册等，对信息系统安全管理进行规范。
2. 进行全面的风险评估：对关键信息资产进行全面的风险评估，确定其所属的安全等级，并制定相应的安全保护方案。
等保四级建设方案
等保四级建设方案在信息化时代，网络安全的重要性不言而喻。
为了保护国家和个人的网络安全，中国国家互联网信息办公室于2018年发布了《等保四级建设方案》，旨在提高网络安全防护能力并规范信息系统的建设与运行。
本文将简要介绍等保四级建设方案的重要性和基本内容。
首先，等保四级建设方案的重要性无法忽视。
随着黑客技术的不断发展，网络攻击的频率和威力也在逐年增长。
国家和企事业单位的网络安全问题已经成为国家发展和社会稳定的重要因素。
遵循等保四级建设方案，能够有效提升网络安全的防护能力，保障国家信息安全以及个人隐私的保护。
其次，等保四级建设方案主要包括系统安全保护、数据安全保护、应用系统安全保护和基础设施安全保护四个方面。
在系统安全保护方面，要求国家和企事业单位建立网络安全管理制度，完善用户身份认证机制和权限管理体系，加强系统安全监控和应急演练。
在数据安全保护方面，要求加强数据加密和备份，确保数据传输和存储的安全性。
在应用系统安全保护方面，要求建立漏洞扫描和修复机制，加强应用程序的开发和检测。
在基础设施安全保护方面，要求确保服务器、网络设备和存储设备的安全和可靠性。
同时，等保四级建设方案还强调了网络安全管理的重要性。
尤其是建立健全的网络安全管理体系，包括网络安全等级保护责任制、网络安全检测预警机制、网络安全事件应急处理机制等。
这些管理措施的实施，将有助于提高网络安全的整体水平和响应能力。
此外，等保四级建设方案还提出了网络安全风险评估和等级保护的要求。
通过科学、客观的风险评估，有助于识别和评估网络安全风险。
同时，等级保护的实施，能够根据系统的安全等级要求，制定有针对性的安全保护措施，从而提高网络安全的防护能力。
总之，等保四级建设方案的发布，为国家和企事业单位的网络安全提供了有力的指导和规范。
遵循该方案，能够有效提升网络安全的防护能力，保护国家信息安全和个人隐私。
然而，网络安全问题依然严峻，需要各个相关方的共同努力来保护网络安全。
信息安全等级保护四级防护技术要求
信息安全等级保护（四级）具体技术要求我国信息安全等级保护与涉密信息系统分级保护关系等级保护分级保护保护对象不同非涉密信息系统涉密信息系统管理体系不同公安机关国家保密工作部门标准体系不同国家标准（GB、GB/T）国家保密标准（BMB，强制执行）级别划分不同第一级：自主保护级&第二级：指导保护级第三级：监督保护级秘密级第四级：强制保护级机密级第五级：专控保护级绝密级涉密信息系统分级保护与信息安全等级保护制度相衔接，三个等级的防护水平不低于国家等级保护的第三、四、五级要求.一、二、网络安全网络安全审计1、对网络系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录；2、对于每一个事件，其审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功，及其他与审计相关的信息；3、安全审计应可以根据记录数据进行分析，并生成审计报表；4、安全审计应可以对特定事件，提供指定方式的实时报警；5、(6、审计记录应受到保护避免受到未预期的删除、修改或覆盖等；7、安全审计应能跟踪监测到可能的安全侵害事件，并终止违规进程；8、9、审计员应能够定义审计跟踪极限的阈值，当存储空间接近极限时，能采取必要的措施（如报警并导出），当存储空间被耗尽时，终止可审计事件的发生；10、安全审计应根据信息系统的统一安全策略，实现集中审计；11、网络设备时钟应与时钟服务器时钟保持同步。
边界完整性检查1、应能够检测内部网络中出现的内部用户未通过准许私自联到外部网络的行为（即“非法外联”行为）；2、-3、应能够对非授权设备私自联到网络的行为进行检查，并准确定位、有效阻断；4、应能够对内部网络用户私自联到外部网络的行为进行检查后准确定出位置，并对其进行有效阻断；5、应能够根据信息流控制策略和信息流的敏感标记，阻止重要信息的流出。
（网络设备标记，指定路由信息标记）。
网络入侵防范1、在网络边界处应监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等入侵事件的发生；2、当检测到入侵事件时，应记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间等，并发出安全警告（如可采取屏幕实时提示、E-mail告警、声音告警等几种方式）及自动采取相应动作。
信息系统安全等级保护基本要求
信息系统安全等级保护基本要求信息系统安全等级保护基本要求是根据我国《信息安全等级保护管理办法》所规定的要求，为保护信息系统安全，进行信息分类和安全等级划分，确定了不同等级信息系统的安全保护要求。
下面将从信息系统安全等级划分和保护基本要求两个方面进行详细介绍。
一、信息系统安全等级划分我国将信息系统安全等级划分为5个等级，分别是1级到5级，等级越高，对信息系统的安全保护要求越严格。
具体划分如下：1.1级：对一般性风险的系统，主要保护系统的基本功能和敏感信息，主要依靠常规的技术手段进行保护。
2.2级：对重要性风险的系统，主要保护系统的基本功能和关键数据，主要依靠成熟的技术手段进行保护。
3.3级：对较大风险的系统，主要保护系统的基本功能和核心数据，需要采取更加严格的技术手段进行保护。
4.4级：对重大风险的系统，主要保护系统的基本功能和重要数据，需要采取高级的技术手段进行保护。
5.5级：对特大风险的系统，主要保护系统的基本功能和最重要的数据，需要采取最高级的技术手段进行保护。
1.安全策略和制度要求：要制定相关的安全策略和制度，明确责任和权限，建立健全的安全管理制度，明确信息系统的安全目标和保护措施。
2.安全管理要求：要建立健全的安全管理架构，制定详细的安全管理规范，建立安全审计和安全漏洞管理机制，确保安全管理的有效性。
3.人员安全要求：要进行人员背景调查和职责分工，对从事信息系统重要操作的用户进行特殊安全培训，确保人员的安全意识和安全操作。
4.物理环境要求：要做好入侵监控和访客管理，设置合理的网络分段和安全区域，确保关键设备和机房的物理安全。
5.通信与网络安全要求：要采取数据加密和防火墙技术，进行网络监测和入侵检测，确保通信和网络的安全。
6.系统安全要求：要对系统进行漏洞扫描和漏洞修复，安装杀毒软件和防护软件，设置访问控制和密码策略，确保系统的安全运行。
7.数据安全要求：要对重要数据进行加密和备份，建立数据访问控制机制，确保数据的安全性和完整性。
GBT22239-2019信息安全技术网络安全等级保护各等级基本要求
c)应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。
c)应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。
7.1.1.7
防静电
8.1.1.7
防静电
9.1.1.7
防静电
应采用防静电地板或地面并采用必要的接地防静电措施。
a)应采用防静电地板或地面并采用必要的接地防静电措施；
a)电源线和通信线缆应隔离铺设，避免互相干扰；
a)电源线和通信线缆应隔离铺设，避免互相干扰；
b)应对关键设备实施电磁屏蔽。
b)应对关键设备或关键区实施电磁屏蔽。
b)应将通信线缆铺设在隐蔽安全处；
b)应将通信线缆铺设在隐蔽安全处；
c)应设置机房防盗报警系统或设置有专人值守的视频监控系统。
c)应设置机房防盗报警系统或设置有专人值守的视频监控系统。
6.1.1.3
防雷击
7.1.1.4
防雷击
8.1.1.4
防雷击
9.1.1.4
防雷击
应将各类机柜、设施和设备等通过接地系统安全接地。
b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料。
b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料。
c)应对机房划分区域进行管理，区域和区域之间设置隔离防火措施。
c)应对机房划分区域进行管理，区域和区域之间设置隔离防火措施。
6.1.1.5
防水和防潮
7.1.1.6
防水和防潮
8.1.1.6
应在机房供电线路上配置稳压器和过电压防护设备。
a)应在机房供电线路上配置稳压器和过电压防护设备。
a)应在机房供电线路上配置稳压器和过电压防护设备；
国家信息安全等级保护标准
国家信息安全等级保护标准国家信息安全等级保护标准（以下简称“保护标准”）是中华人民共和国国家标准，旨在规范和提升我国信息系统安全防护水平，保护国家机密信息和重要信息基础设施的安全。
保护标准共分为四个等级，分别是一级、二级、三级和四级。
其中一级为最高等级，四级为最低等级。
各个等级根据信息系统所需的信息安全防护能力和技术措施来确定。
保护标准的实施范围包括国家行政机关、军事、科研、教育、金融、电信、能源、交通、水利、卫生、社会保障等行业和领域。
同时，非国家行政机关、重要信息基础设施也可以根据自身需要采用保护标准。
保护标准主要包括以下重要内容：1.标准体系结构：规定了保护标准的组织结构和标准体系，明确了各个等级的划分原则和技术要求。
通过建立标准体系，可以统一各个行业和领域的信息安全防护力度，提升整体的防护能力。
2.安全需求分析：为不同的信息系统进行安全需求分析，根据系统的特点和所处环境确定相应的等级。
通过分析系统的安全需求，可以针对性地制定相应的技术措施，提高防护效果。
3.技术要求：根据不同等级的系统安全需求，制定了相应的技术要求。
包括身份认证、访问控制、数据加密、系统完整性保护、事件响应等方面的要求。
技术要求的制定旨在提供有效的技术手段，防止信息泄露和系统遭受攻击。
4.评估与认证：对采用保护标准的信息系统进行定期的评估和认证。
评估过程包括对系统安全性进行检查，验证系统是否满足相应等级的技术要求。
认证过程则是对评估结果进行审查和确认，从而获得认证证书。
5.运行与维护：明确了信息系统运行和维护的要求。
包括安全事件的处理、安全培训和演练、系统升级与漏洞修复等方面的内容。
运行与维护的要求有助于保持信息系统的稳定性和安全性。
保护标准的实施对于提升我国信息系统的安全防护能力、保护国家机密信息和重要信息基础设施安全具有重要的意义。
通过统一的标准和要求，可以建立一个有效的信息安全管理体系，提高信息系统的整体安全性和可靠性。
信息安全等级保护方案
2.第二级：对个人、法人及其他组织的合法权益造成中度损害，或对社会秩序和公共利益造成轻度损害。
3.第三级：对社会秩序和公共利益造成中度损害，或对国家安全造成轻度损害。
4.第四级：对国家安全造成中度损害。
5.第五级：对国家安全造成重大损害。
四、安全保护措施
5.第五级安全保护措施：
在第四级的基础上，根据实际情况，采取更加严格的安全保护措施，确保信息系统安全。
四、实施与监督
1.组织实施：明确责任分工，组织相关人员按照本方案实施信息安全等级保护工作。
2.定期检查：定期对信息系统进行安全检查，确保安全保护措施的有效性。
3.监督管理：建立健全信息安全监督管理制度，对信息系统安全保护工作进行持续监督。
1.第一级：信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
2.第二级：信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
3.第三级：信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
1.第一级保护措施：
-基础物理安全：采取必要措施保护信息系统硬件设备免受破坏。
-网络边界保护：部署防火墙、入侵检测系统等，防范外部攻击。
-基本主机安全：安装操作系统补丁，防范恶意代码。
-数据备份：定期备份数据，保障数据可恢复性。
-用户培训：提高用户安全意识，防止不当操作。
2.第二级保护措施：
-加强访问控制：实施身份认证、权限分配，防止未授权访问。
（3）安全漏洞管理：定期开展安全漏洞扫描和风险评估，及时修复安全漏洞。
国家信息安全等级保护
国家信息安全等级保护国家信息安全等级保护是在国家信息安全领域应用的一种机制，是针对国家重要信息系统、重要信息资源和配套设施等采取的一种保护等级分类措施。
该机制旨在以不同安全保护要求划分不同等级的保护水平，并采取精心设计的安全措施和管理程序，确保被保护的国家信息资源的正常运行和实现安全的数据交换。
根据中国信息安全等级保护规定，国家信息安全等级保护应分为四个级别：高度保密、重要保护、一般保护和低等保护。
每个级别的保护要求逐级提高，反映出网络信息安全防护和管理规定的不同要求；安全级别从低到高，保护措施和安全管理程序也从低到高，其安全级别应以具体信息安全需求、相关行业安全规定以及国家信息安全管理要求为依据，综合综合考虑四个层面。
国家信息安全等级保护各级应包括以下内容：（1）安全需求分析，对用户要求的保密要求和可用的资源进行评估和分析；（2）安全技术选择，采用系统运行安全需要的适当安全技术；（3）安全规程编写，制定保护特定级别系统所需的安全规程；（4）安全管理体系建立，通过保护机制与应用安全技术，实现保护要求的最优效果；（5）安全防护规程，落实安全技术和安全管理机制；（6）安全运行规范，使用安全技术及运行软件等符合安全要求；（7）后续审计，定期对信息安全保护系统进行评审。
此外，为保证信息安全，网络安全应按不同安全保护级别建立详细的信息安全管理规章，以及合理划分特定级别的访问权限，提高网络安全管理水平。
国家信息安全等级保护的实施不仅能保护信息系统的正常运行，还有助于提高数字信息安全的保护水平。
但是，也存在部分保护等级高低不一的情况，这就需要事先制定细化的安全管理制度以确保信息安全。
如此，仅通过国家信息安全等级保护机制往往难以获得最佳保护水平，必须配以专业的信息安全管理和运行管理体系，才能真正发挥其作用。
信息系统安全等级保护四级
信息系统安全等级保护四级信息系统安全等级保护四级是我国信息安全保护体系中的最高级别，也是对重要信息系统进行保护的最高要求。
本文将从四个方面介绍信息系统安全等级保护四级的相关内容。
一、信息系统安全等级保护四级的概述信息系统安全等级保护四级是指对涉密信息系统进行的安全保护，主要面向涉密信息系统领域，包括国家秘密和商业秘密等重要信息。
这一级别的保护要求最高，安全风险最大，需要采取更加严格的安全防护措施。
1. 安全性能要求：信息系统在保密性、完整性、可用性、不可抵赖性等方面都要达到极高水平，确保信息的安全性和可信度。
2. 安全技术要求：采用先进的安全技术手段，包括加密技术、访问控制技术、身份认证技术等，以保证信息在传输和存储过程中的安全。
3. 安全管理要求：建立完善的信息安全管理制度和流程，包括安全策略、安全审计、事件响应等，确保信息系统的安全运行。
4. 安全保密要求：严格遵守国家有关涉密信息保密的法律法规，保护重要信息的机密性，防止信息泄露和非法获取。
5. 安全审计要求：定期对信息系统进行安全审计和评估，发现和解决潜在的安全风险和问题，保障信息系统的持续稳定运行。
三、信息系统安全等级保护四级的应用范围信息系统安全等级保护四级主要适用于国家机关、军队单位、重要基础设施、金融机构、电信运营商等重要行业和领域。
这些领域中的信息系统承载着重要的国家秘密和商业秘密，一旦泄露或遭到攻击，将对国家安全和社会稳定造成严重影响。
四、信息系统安全等级保护四级的意义和挑战信息系统安全等级保护四级的实施，对于保护国家利益、维护社会稳定、促进经济发展具有重要意义。
同时，由于信息技术的快速发展和网络环境的复杂多变，信息系统安全等级保护四级也面临着诸多挑战。
例如，新型网络攻击技术的出现，给信息系统的安全带来了新的威胁；信息系统的复杂性和规模化使得安全管理和保护变得更加困难。
信息系统安全等级保护四级是我国信息安全保护体系中的最高级别，对于保护重要信息系统的安全至关重要。
等保四级建设方案
等保四级建设方案随着互联网技术的不断发展，网络攻击的威胁也在不断增加。
网络安全问题已经成为社会经济不可忽略的重要问题。
为了保障国家的信息安全和经济发展，国家出台了一系列的网络安全政策和规定，其中等保四级建设方案是重点和难点。
等保四级建设方案是指国家信息安全等级保护一级保护措施等级四级建设方案。
这也是国家信息化建设领域重要的政策性文献。
等保四级建设方案的主要目的是为了保证国家重要信息系统的安全，在保障信息安全的同时，实现对国家要素的保护，维护国家安全和社会稳定。
等保四级建设方案要求以最高的标准和最严格的要求来保护国家的信息安全。
这也需要从技术上和管理上进行系统的规划和建设。
技术方面主要是指网络和系统的构建和管理，管理方面主要是指组织和管理网络安全和信息安全的工作。
等保四级建设方案包括在技术、管理和人员培训等多个方面来保障国家信息系统的安全。
在技术建设方面，等保四级建设方案要求对网络和系统做出全面的评估和测试，并在必要的情况下进行更新和升级。
具体来说，需要建立信息化安全管理制度及相关规范、采购管理制度、设备及系统安全配置管理制度、数据安全管理及备份制度等，通过技术的手段实现安全防护和风险控制，确保系统稳定和安全。
在管理方面，等保四级建设方案必须要有严格的管理制度和规范。
需要将信息安全管理纳入到企业管理的体系中，加强对信息安全的管理和监督，确保信息安全的严密性、完整性和保密性。
此外，还需要对保密人员进行培训，提高其信息安全意识和技能，从而提高整个系统的安全性。
为了保障等保四级建设方案的顺利实施，还需要加强第三方评估。
第三方评估包括对信息系统的安全漏洞评估、系统配置评估、安全风险评估、安全保障措施评估等。
通过第三方评估，可以及时发现存在的安全问题，并采取相应的措施，提高整个系统的安全性。
综上所述，等保四级建设方案是中国信息安全等级保护标准中最为严格的标准。
要实现等保四级建设方案的目标，需要从技术和管理等方面入手，采取多种手段加强信息安全保护，确保国家信息系统的高安全性和稳定性。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息安全等级保护四级防护技术要求-标准化文件发布号：（9456-EUATWK-MWUB-WUNN-INNUL-DDQTY-KII信息安全等级保护（四级）具体技术要求我国信息安全等级保护与涉密信息系统分级保护关系等级保护分级保护保护对象不同非涉密信息系统涉密信息系统管理体系不同公安机关国家保密工作部门标准体系不同国家标准（GB、GB/T）国家保密标准（BMB，强制执行）级别划分不同第一级：自主保护级第二级：指导保护级第三级：监督保护级秘密级第四级：强制保护级机密级第五级：专控保护级绝密级涉密信息系统分级保护与信息安全等级保护制度相衔接，三个等级的防护水平不低于国家等级保护的第三、四、五级要求一、网络安全网络安全审计1、对网络系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录；2、对于每一个事件，其审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功，及其他与审计相关的信息；3、安全审计应可以根据记录数据进行分析，并生成审计报表；4、安全审计应可以对特定事件，提供指定方式的实时报警；5、审计记录应受到保护避免受到未预期的删除、修改或覆盖等；6、安全审计应能跟踪监测到可能的安全侵害事件，并终止违规进程；7、审计员应能够定义审计跟踪极限的阈值，当存储空间接近极限时，能采取必要的措施（如报警并导出），当存储空间被耗尽时，终止可审计事件的发生；8、安全审计应根据信息系统的统一安全策略，实现集中审计；9、网络设备时钟应与时钟服务器时钟保持同步。
边界完整性检查1、应能够检测内部网络中出现的内部用户未通过准许私自联到外部网络的行为（即“非法外联”行为）；2、应能够对非授权设备私自联到网络的行为进行检查，并准确定位、有效阻断；3、应能够对内部网络用户私自联到外部网络的行为进行检查后准确定出位置，并对其进行有效阻断；4、应能够根据信息流控制策略和信息流的敏感标记，阻止重要信息的流出。
（网络设备标记，指定路由信息标记）。
网络入侵防范1、在网络边界处应监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等入侵事件的发生；2、当检测到入侵事件时，应记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间等，并发出安全警告（如可采取屏幕实时提示、E-mail告警、声音告警等几种方式）及自动采取相应动作。
恶意代码防范1、应在网络边界及核心业务网段处对恶意代码进行检测和清除；2、应维护恶意代码库的升级和检测系统的更新；3、应支持恶意代码防范的统一管理。
网络设备防护1、应对登录网络设备的用户进行身份鉴别；2、应对网络上的对等实体进行身份鉴别；3、应对网络设备的管理员登录地址进行限制；4、网络设备用户的标识应唯一；5、身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；6、应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；7、网络设备用户的身份鉴别信息至少有一种应是不可伪造的，例如以公私钥对、生物特征等作为身份鉴别信息；8、应具有登录失败处理功能，如结束会话、限制非法登录次数，当网络登录连接超时，自动退出；9、应实现设备特权用户的权限分离，例如将管理与审计的权限分配给不同的网络设备用户。
二、主机系统安全身份鉴别1、操作系统和数据库系统用户的身份标识应具有唯一性；2、应对登录操作系统和数据库系统的用户进行身份标识和鉴别；3、应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；4、操作系统和数据库系统用户的身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期更新等；5、操作系统和数据库系统用户的身份鉴别信息至少有一种应是不可伪造的，例如以公私钥对、生物特征等作为身份鉴别信息；6、应具有登录失败处理功能，如结束会话、限制非法登录次数，当登录连接超时，自动退出；7、应具有鉴别警示功能；8、重要的主机系统应对与之相连的服务器或终端设备进行身份标识和鉴别。
自主访问控制1、应依据安全策略控制用户对客体的访问；2、自主访问控制的覆盖范围应包括与信息安全直接相关的主体、客体及它们之间的操作；3、自主访问控制的粒度应达到主体为用户级，客体为文件、数据库表/记录、字段级；4、应由授权主体设置对客体访问和操作的权限；5、应实现操作系统和数据库系统特权用户的权限分离；6、权限分离应采用最小授权原则，分别授予不同用户各自为完成自己承担任务所需的最小权限，并在他们之间形成相互制约的关系；7、应禁止默认用户访问。
强制访问控制1、应对重要信息资源和访问重要信息资源的所有主体设置敏感标记；2、强制访问控制的覆盖范围应包括与重要信息资源直接相关的所有主体、客体及它们之间的操作；3、强制访问控制的粒度应达到主体为用户级，客体为文件、数据库表/记录、字段级。
可信路径1、在用户进行初始登录和/或鉴别时，系统应在它与用户之间建立一条安全的信息传输通路。
安全审计1、安全审计应覆盖到服务器和客户端上的所有用户；2、安全审计应记录系统内重要的安全相关事件，包括重要用户行为、系统资源的异常使用和重要系统命令的使用；3、安全相关事件的记录应包括日期和时间、类型、主体标识、客体标识、客体敏感标记、事件的结果等；4、安全审计应可以根据记录数据进行分析，并生成审计报表；5、安全审计应可以对特定事件，提供指定方式的实时报警；6、审计进程应受到保护避免受到未预期的中断；7、审计记录应受到保护避免受到未预期的删除、修改或覆盖等；8、安全审计应能跟踪监测到可能的安全侵害事件，并终止违规进程；9、安全审计应根据信息系统的统一安全策略，实现集中审计；10、系统设备时钟应与时钟服务器时钟保持同步。
系统保护1、系统因故障或其他原因中断后，应能够以手动或自动方式恢复运行；2、应对被保护存储单元的访问和操作权限加以控制，当发生对存储单元的未授权执行行为时，系统应能及时报警或者中断执行行为。
剩余信息保护1、应保证操作系统和数据库管理系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；2、应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。
入侵防范1、应进行主机运行监视，包括监视主机的CPU、硬盘、内存、网络等资源的使用情况；2、应设定资源报警域值，以便在资源使用超过规定数值时发出报警；3、应进行特定进程监控，限制操作人员运行非法进程；4、应进行主机账户监控，限制对重要账户的添加和更改；5、应检测各种已知的入侵行为，记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；6、主机系统应根据安全策略阻止某些指定的入侵事件；7、应能够检测重要程序完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。
恶意代码防范1、服务器和终端设备（包括移动设备）均应安装实时检测和查杀恶意代码的软件产品；2、主机系统防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库；3、应支持恶意代码防范的统一管理。
资源控制1、应限制单个用户的多重并发会话；2、应对最大并发会话连接数进行限制；3、应对一个时间段内可能的并发会话连接数进行限制；4、应通过设定终端接入方式、网络地址范围等条件限制终端登录；5、应根据安全策略设置登录终端的操作超时锁定和鉴别失败锁定，并规定解锁或终止方式；6、应禁止同一用户账号在同一时间内并发登录；7、应限制单个用户对系统资源的最大或最小使用限度；8、当系统的服务水平降低到预先规定的最小值时，应能检测和报警；9、应根据安全策略设定主体的服务优先级，根据优先级分配系统资源，保证优先级低的主体处理能力不会影响到优先级高的主体的处理能力。
三、应用安全身份鉴别1、系统用户的身份标识应具有唯一性；2、应对登录的用户进行身份标识和鉴别；3、应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；4、系统用户的身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；5、系统用户的身份鉴别信息至少有一种应是不可伪造的，例如以公私钥对、生物特征等作为身份鉴别信息；6、应具有登录失败处理功能，如结束会话、限制非法登录次数，当登录连接超时自动退出；7、应具有鉴别警示功能；8、应用系统应及时清除存储空间中动态使用的鉴别信息。
访问控制1、应依据安全策略控制用户对客体的访问；2、自主访问控制的覆盖范围应包括与信息安全直接相关的主体、客体及它们之间的操作；3、自主访问控制的粒度应达到主体为用户级，客体为文件、数据库表级；4、应由授权主体设置用户对系统功能操作和对数据访问的权限；5、应实现应用系统特权用户的权限分离，例如将管理与审计的权限分配给不同的应用系统用户；6、权限分离应采用最小授权原则，分别授予不同用户各自为完成自己承担任务所需的最小权限，并在它们之间形成相互制约的关系；7、应用系统的设计应采用二层以上结构，将提供数据显示功能与数据处理功能在物理或者逻辑上分离；8、应禁止默认用户访问；9、主体和客体具有安全标记，通过比较安全标签来确定是授予还是拒绝主体对客体的访问。
安全审计1、安全审计应覆盖到应用系统的每个用户；2、安全审计应记录应用系统重要的安全相关事件，包括重要用户行为、系统资源的异常使用和重要系统功能的执行等；3、安全相关事件的记录应包括日期和时间、类型、主体标识、客体标识、客体敏感标记、事件的结果等；4、安全审计应可以根据记录数据进行分析，并生成审计报表；5、安全审计应可以对特定事件，提供指定方式的实时报警；6、审计进程应受到保护避免受到未预期的中断；7、审计记录应受到保护避免受到未预期的删除、修改或覆盖等；8、安全审计应能跟踪监测到可能的安全侵害事件，并终止违规进程；9、审计员应能够定义审计跟踪极限的阈值，当存储空间接近极限时，能采取必要的措施（如报警并导出），当存储空间被耗尽时，终止可审计事件的发生；10、安全审计应根据信息系统的统一安全策略，实现集中审计。
剩余信息保护1、应保证用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；2、应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。
通信完整性1、通信双方应约定密码算法，计算通信数据报文的报文验证码，在进行通信时，双方根据校验码判断对方报文的有效性。
通信保密性1、当通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；2、在通信双方建立连接之前，利用密码技术进行会话初始化验证；3、在通信过程中，应对整个报文或会话过程进行加密；4、应选用符合国家有关部门要求的密码算法；5、应基于硬件化的设备，产生密钥，进行加解密运算。