证券期货业信息系统安全等级保护基本要求
证券期货业信息系统安全等级保护基本要求编制说明(送审稿)

证券期货业信息系统安全等级保护基本要求编制说明(送审稿)第一篇:证券期货业信息系统安全等级保护基本要求编制说明(送审稿)《证券期货业信息系统安全等级保护基本要求》编制说明(送审稿)证券期货业信息系统安全等级保护基本要求》编写组二〇一〇年五月I《目次一、背景及意义 (1)二、编制目的与原则 (1)三、编制内容 (1)四、主要编制过程 (2)五、适用范围 (2)六、总体框架 (2)七、重大分歧意见的处理和依据 (2)八、行业标准属性的建议 (2)九、废止现行有关标准的建议 (3)十、其他应予说明的事项.............3一、背景及意义国家标准《信息系统安全等级保护基本要求》(以下简称《国标》)是证券期货行业各机构开展安全建设整改、测评机构进行安全测评、公安机关开展检查的重要依据。
证券期货业具有信息化程度高、业务持续性要求高、对信息系统的容量和处理能力要求高的特点。
但由于《国标》是通用性标准,适用范围大,有些规定不够完全适应证券期货行业的实际情况,为了增强标准的可操作性,需要根据行业特点进行明确、细化和调整。
公安部文件《关于印送<关于开展信息安全等级保护安全建设整改工作的指导意见>的函》(公信安[2009]1429号)明确要求:“重点行业信息系统主管部门可以按照《信息系统安全等级保护基本要求》等国家标准,结合行业特点,确定《信息系统安全等级保护基本要求》的具体指标;在不低于等级保护基本要求的情况下,结合系统安全保护的特殊需求,在有关部门指导下制定行业标准或细则,指导本行业信息系统安全建设整改工作。
”因此,制定《证券期货业信息系统安全等级保护基本要求》(以下简称《行标》)对于全行业开展好信息安全等级保护工作是必要和迫切的。
二、编制目的与原则(一)编制目的《行标》主要用于指导和规范证券期货行业信息安全等级保护安全建设整改、测评和监督管理工作。
(二)编制原则本标准的编制遵循以下原则:1、《行标》严格按照《国标》开展规范的编制工作,在体例、条款上保持一致,不对《国标》条款进行增、删、改。
证券期货业信息系统等级保护基本要求(草案)

证券期货业信息系统安全等级保护基本要求(征求意见稿)1目次1 范围 (9)2规范性引用文件 (9)3术语和定义 (9)3.1 (9)4信息系统安全等级保护概述 (9)4.1 信息系统安全保护等级 (9)4.2 不同等级的安全保护能力 (9)4.3 基本技术要求和基本管理要求 (10)4.4 基本技术要求的三种类型 (10)5第一级基本要求 (10)5.1 技术要求 (10)5.1.1物理安全 (10)5.1.1.1 物理访问控制(G1) (10)5.1.1.2 防盗窃和防破坏(G1) (10)5.1.1.3 防雷击(G1) (10)5.1.1.4 防火(G1) (10)5.1.1.5 防水和防潮(G1) (11)5.1.1.6 温湿度控制(G1) (11)5.1.1.7 电力供应(A1) (11)5.1.2网络安全 (11)5.1.2.1 结构安全(G1) (11)5.1.2.2 访问控制(G1) (11)5.1.2.3 网络设备防护(G1) (11)5.1.3主机安全 (11)5.1.3.1 身份鉴别(S1) (11)5.1.3.2 访问控制(S1) (11)5.1.3.3 入侵防范(G1) (11)5.1.3.4 恶意代码防范(G1) (11)5.1.4应用安全 (12)5.1.4.1 身份鉴别(S1) (12)5.1.4.2 访问控制(S1) (12)5.1.4.3 通信完整性(S1) (12)5.1.4.4 软件容错(A1) (12)5.1.5数据安全及备份恢复 (12)5.1.5.1 数据完整性(S1) (12)5.1.5.2 备份和恢复(A1) (12)5.2 管理要求 (12)5.2.1安全管理制度 (12)5.2.1.1 管理制度(G1) (12)5.2.1.2 制定和发布(G1) (12)5.2.2安全管理机构 (12)5.2.2.1 岗位设置(G1) (12)5.2.2.2 人员配备(G1) (12)5.2.2.3 授权和审批(G1) (12)5.2.2.4 沟通和合作(G1) (12)5.2.3人员安全管理 (12)5.2.3.1 人员录用(G1) (13)5.2.3.2 人员离岗(G1) (13)5.2.3.4 外部人员访问管理(G1) (13)5.2.4系统建设管理 (13)5.2.4.1 系统定级(G1) (13)5.2.4.2 安全方案设计(G1) (13)5.2.4.3 产品采购和使用(G1) (13)5.2.4.4 自行软件开发(G1) (13)5.2.4.5 外包软件开发(G1) (13)5.2.4.6 工程实施(G1) (13)5.2.4.7 测试验收(G1) (14)5.2.4.8 系统交付(G1) (14)5.2.4.9 安全服务商选择(G1) (14)5.2.5系统运维管理 (14)5.2.5.1 环境管理(G1) (14)5.2.5.2 资产管理(G1) (14)5.2.5.3 介质管理(G1) (14)5.2.5.4 设备管理(G1) (14)5.2.5.5 网络安全管理(G1) (14)5.2.5.6 系统安全管理(G1) (14)5.2.5.7 恶意代码防范管理(G1) (15)5.2.5.8 备份与恢复管理(G1) (15)5.2.5.9 安全事件处置(G1) (15)6第二级基本要求 (15)6.1 技术要求 (15)6.1.1物理安全 (15)6.1.1.1 物理位置的选择(G2) (15)6.1.1.2 物理访问控制(G2) (15)6.1.1.3 防盗窃和防破坏(G2) (15)6.1.1.4 防雷击(G2) (15)6.1.1.5 防火(G2) (15)6.1.1.6 防水和防潮(G2) (16)6.1.1.7 防静电(G2) (16)6.1.1.8 温湿度控制(G2) (16)6.1.1.9 电力供应(A2) (16)6.1.1.10 电磁防护(S2) (16)6.1.2网络安全 (16)6.1.2.1 结构安全(G2) (16)6.1.2.2 访问控制(G2) (16)6.1.2.3 安全审计(G2) (16)6.1.2.4 边界完整性检查(S2) (16)6.1.2.5 入侵防范(G2) (16)6.1.2.6 网络设备防护(G2) (17)6.1.3主机安全 (17)6.1.3.1 身份鉴别(S2) (17)6.1.3.2 访问控制(S2) (17)6.1.3.3 安全审计(G2) (17)6.1.3.4 入侵防范(G2) (17)6.1.3.5 恶意代码防范(G2) (17)6.1.3.6 资源控制(A2) (17)6.1.4应用安全 (18)6.1.4.1 身份鉴别(S2) (18)6.1.4.2 访问控制(S2) (18)36.1.4.4 通信完整性(S2) (18)6.1.4.5 通信保密性(S2) (18)6.1.4.6 软件容错(A2) (18)6.1.4.7 资源控制(A2) (18)6.1.5数据安全及备份恢复 (19)6.1.5.1 数据完整性(S2) (19)6.1.5.2 数据保密性(S2) (19)6.1.5.3 备份和恢复(A2) (19)6.2 管理要求 (19)6.2.1安全管理制度 (19)6.2.1.1 管理制度(G2) (19)6.2.1.2 制定和发布(G2) (19)6.2.1.3 评审和修订(G2) (19)6.2.2安全管理机构 (19)6.2.2.1 岗位设置(G2) (19)6.2.2.2 人员配备(G2) (19)6.2.2.3 授权和审批(G2) (19)6.2.2.4 沟通和合作(G2) (20)6.2.2.5 审核和检查(G2) (20)6.2.3人员安全管理 (20)6.2.3.1 人员录用(G2) (20)6.2.3.2 人员离岗(G2) (20)6.2.3.3 人员考核(G2) (20)6.2.3.4 安全意识教育和培训(G2) (20)6.2.3.5 外部人员访问管理(G2) (20)6.2.4系统建设管理 (20)6.2.4.1 系统定级(G2) (20)6.2.4.2 安全方案设计(G2) (20)6.2.4.3 产品采购和使用(G2) (21)6.2.4.4 自行软件开发(G2) (21)6.2.4.5 外包软件开发(G2) (21)6.2.4.6 工程实施(G2) (21)6.2.4.7 测试验收(G2) (21)6.2.4.8 系统交付(G2) (21)6.2.4.9 安全服务商选择(G2) (21)6.2.5系统运维管理 (22)6.2.5.1 环境管理(G2) (22)6.2.5.2 资产管理(G2) (22)6.2.5.3 介质管理(G2) (22)6.2.5.4 设备管理(G2) (22)6.2.5.5 网络安全管理(G2) (22)6.2.5.6 系统安全管理(G2) (23)6.2.5.7 恶意代码防范管理(G2) (23)6.2.5.8 密码管理(G2) (23)6.2.5.9 变更管理(G2) (23)6.2.5.10 备份与恢复管理(G2) (23)6.2.5.11 安全事件处置(G2) (23)6.2.5.12 应急预案管理(G2) (24)7第三级基本要求 (24)7.1 技术要求 (24)7.1.1物理安全 (24)7.1.1.2 物理访问控制(G3) (24)7.1.1.3 防盗窃和防破坏(G3) (24)7.1.1.4 防雷击(G3) (24)7.1.1.5 防火(G3) (25)7.1.1.6 防水和防潮(G3) (25)7.1.1.7 防静电(G3) (25)7.1.1.8 温湿度控制(G3) (25)7.1.1.9 电力供应(A3) (25)7.1.1.10 电磁防护(S3) (25)7.1.2网络安全 (25)7.1.2.1 结构安全(G3) (25)7.1.2.2 访问控制(G3) (26)7.1.2.3 安全审计(G3) (26)7.1.2.4 边界完整性检查(S3) (26)7.1.2.5 入侵防范(G3) (26)7.1.2.6 恶意代码防范(G3) (26)7.1.2.7 网络设备防护(G3) (26)7.1.3主机安全 (27)7.1.3.1 身份鉴别(S3) (27)7.1.3.2 访问控制(S3) (27)7.1.3.3 安全审计(G3) (27)7.1.3.4 剩余信息保护(S3) (27)7.1.3.5 入侵防范(G3) (28)7.1.3.6 恶意代码防范(G3) (28)7.1.3.7 资源控制(A3) (28)7.1.4应用安全 (28)7.1.4.1 身份鉴别(S3) (28)7.1.4.2 访问控制(S3) (28)7.1.4.3 安全审计(G3) (29)7.1.4.4 剩余信息保护(S3) (29)7.1.4.5 通信完整性(S3) (29)7.1.4.6 通信保密性(S3) (29)7.1.4.7 抗抵赖(G3) (29)7.1.4.8 软件容错(A3) (29)7.1.4.9 资源控制(A3) (29)7.1.5数据安全及备份恢复 (30)7.1.5.1 数据完整性(S3) (30)7.1.5.2 数据保密性(S3) (30)7.1.5.3 备份和恢复(A3) (30)7.2 管理要求 (30)7.2.1安全管理制度 (30)7.2.1.1 管理制度(G3) (30)7.2.1.2 制定和发布(G3) (30)7.2.1.3 评审和修订(G3) (30)7.2.2安全管理机构 (31)7.2.2.1 岗位设置(G3) (31)7.2.2.2 人员配备(G3) (31)7.2.2.3 授权和审批(G3) (31)7.2.2.4 沟通和合作(G3) (31)7.2.2.5 审核和检查(G3) (31)7.2.3人员安全管理 (32)57.2.3.2 人员离岗(G3) (32)7.2.3.3 人员考核(G3) (32)7.2.3.4 安全意识教育和培训(G3) (32)7.2.3.5 外部人员访问管理(G3) (32)7.2.4系统建设管理 (32)7.2.4.1 系统定级(G3) (32)7.2.4.2 安全方案设计(G3) (33)7.2.4.3 产品采购和使用(G3) (33)7.2.4.4 自行软件开发(G3) (33)7.2.4.5 外包软件开发(G3) (33)7.2.4.6 工程实施(G3) (33)7.2.4.7 测试验收(G3) (34)7.2.4.8 系统交付(G3) (34)7.2.4.9 系统备案(G3) (34)7.2.4.10 等级测评(G3) (34)7.2.4.11 安全服务商选择(G3) (34)7.2.5系统运维管理 (35)7.2.5.1 环境管理(G3) (35)7.2.5.2 资产管理(G3) (35)7.2.5.3 介质管理(G3) (35)7.2.5.4 设备管理(G3) (35)7.2.5.5 监控管理和安全管理中心(G3) (36)7.2.5.6 网络安全管理(G3) (36)7.2.5.7 系统安全管理(G3) (36)7.2.5.8 恶意代码防范管理(G3) (37)7.2.5.9 密码管理(G3) (37)7.2.5.10 变更管理(G3) (37)7.2.5.11 备份与恢复管理(G3) (37)7.2.5.12 安全事件处置(G3) (37)7.2.5.13 应急预案管理(G3) (38)8第四级基本要求 (38)8.1 技术要求 (38)8.1.1物理安全 (38)8.1.1.1 物理位置的选择(G4) (38)8.1.1.2 物理访问控制(G4) (38)8.1.1.3 防盗窃和防破坏(G4) (38)8.1.1.4 防雷击(G4) (38)8.1.1.5 防火(G4) (39)8.1.1.6 防水和防潮(G4) (39)8.1.1.7 防静电(G4) (39)8.1.1.8 温湿度控制(G4) (39)8.1.1.9 电力供应(A4) (39)8.1.1.10 电磁防护(S4) (39)8.1.2网络安全 (39)8.1.2.1 结构安全(G4) (39)8.1.2.2 访问控制(G4) (40)8.1.2.3 安全审计(G4) (40)8.1.2.4 边界完整性检查(S4) (40)8.1.2.5 入侵防范(G4) (40)8.1.2.6 恶意代码防范(G4) (40)8.1.2.7 网络设备防护(G4) (40)8.1.3.1 身份鉴别(S4) (41)8.1.3.2 安全标记(S4) (41)8.1.3.3 访问控制(S4) (41)8.1.3.4 可信路径(S4) (41)8.1.3.5 安全审计(G4) (41)8.1.3.6 剩余信息保护(S4) (42)8.1.3.7 入侵防范(G4) (42)8.1.3.8 恶意代码防范(G4) (42)8.1.3.9 资源控制(A4) (42)8.1.4应用安全 (42)8.1.4.1 身份鉴别(S4) (42)8.1.4.2 安全标记(S4) (43)8.1.4.3 访问控制(S4) (43)8.1.4.4 可信路径(S4) (43)8.1.4.5 安全审计(G4) (43)8.1.4.6 剩余信息保护(S4) (43)8.1.4.7 通信完整性(S4) (43)8.1.4.8 通信保密性(S4) (43)8.1.4.9 抗抵赖(G4) (44)8.1.4.10 软件容错(A4) (44)8.1.4.11 资源控制(A4) (44)8.1.5数据安全及备份恢复 (44)8.1.5.1 数据完整性(S4) (44)8.1.5.2 数据保密性(S4) (44)8.1.5.3 备份和恢复(A4) (44)8.2 管理要求 (45)8.2.1安全管理制度 (45)8.2.1.1 管理制度(G4) (45)8.2.1.2 制定和发布(G4) (45)8.2.1.3 评审和修订(G4) (45)8.2.2安全管理机构 (45)8.2.2.1 岗位设置(G4) (45)8.2.2.2 人员配备(G4) (46)8.2.2.3 授权和审批(G4) (46)8.2.2.4 沟通和合作(G4) (46)8.2.2.5 审核和检查(G4) (46)8.2.3人员安全管理 (46)8.2.3.1 人员录用(G4) (46)8.2.3.2 人员离岗(G4) (47)8.2.3.3 人员考核(G4) (47)8.2.3.4 安全意识教育和培训(G4) (47)8.2.3.5 外部人员访问管理(G4) (47)8.2.4系统建设管理 (47)8.2.4.1 系统定级(G4) (47)8.2.4.2 安全方案设计(G4) (47)8.2.4.3 产品采购和使用(G4) (48)8.2.4.4 自行软件开发(G4) (48)8.2.4.5 外包软件开发(G4) (48)8.2.4.6 工程实施(G4) (48)8.2.4.7 测试验收(G4) (48)8.2.4.8 系统交付(G4) (49)78.2.4.10 等级测评(G4) (49)8.2.4.11 安全服务商选择(G4) (49)8.2.5系统运维管理 (49)8.2.5.1 环境管理(G4) (49)8.2.5.2 资产管理(G4) (50)8.2.5.3 介质管理(G4) (50)8.2.5.4 设备管理(G4) (50)8.2.5.5 监控管理和安全管理中心(G4) (51)8.2.5.6 网络安全管理(G4) (51)8.2.5.7 系统安全管理(G4) (51)8.2.5.8 恶意代码防范管理(G4) (52)8.2.5.9 密码管理(G4) (52)8.2.5.10 变更管理(G4) (52)8.2.5.11 备份与恢复管理(G4) (52)8.2.5.12 安全事件处置(G4) (52)8.2.5.13 应急预案管理(G4) (53)9第五级基本要求 (53)附录A (54)关于信息系统整体安全保护能力的要求 (54)附录B (56)基本安全要求的选择和使用 (56)参考文献 (58)证券期货业信息系统安全等级保护基本要求1 范围本要求规定了不同安全保护等级信息系统的基本保护要求,包括基本技术要求和基本管理要求,适用于指导分等级的信息系统的安全建设和监督管理。
信息系统安全等级保护基本要求

目次前言 (IX)引言 (X)1 范围 (11)2规范性引用文件 (11)3术语和定义 (11)4信息系统安全等级保护概述 (11)4.1 信息系统安全保护等级 (11)4.2 不同等级的安全保护能力 (11)4.3 基本技术要求和基本管理要求 (12)4.4 基本技术要求的三种类型 (12)5第一级基本要求 (12)5.1 技术要求 (12)5.1.1物理安全 (12)5.1.1.1 物理访问控制(G1) (12)5.1.1.2 防盗窃和防破坏(G1) (12)5.1.1.3 防雷击(G1) (13)5.1.1.4 防火(G1) (13)5.1.1.5 防水和防潮(G1) (13)5.1.1.6 温湿度控制(G1) (13)5.1.1.7 电力供应(A1) (13)5.1.2网络安全 (13)5.1.2.1 结构安全(G1) (13)5.1.2.2 访问控制(G1) (13)5.1.2.3 网络设备防护(G1) (13)5.1.3主机安全 (13)5.1.3.1 身份鉴别(S1) (13)5.1.3.2 访问控制(S1) (13)5.1.3.3 入侵防范(G1) (14)5.1.3.4 恶意代码防范(G1) (14)5.1.4应用安全 (14)5.1.4.1 身份鉴别(S1) (14)5.1.4.2 访问控制(S1) (14)5.1.4.3 通信完整性(S1) (14)5.1.4.4 软件容错(A1) (14)5.1.5数据安全及备份恢复 (14)5.1.5.1 数据完整性(S1) (14)5.1.5.2 备份和恢复(A1) (14)5.2 管理要求 (14)5.2.1安全管理制度 (14)5.2.1.1 管理制度(G1) (14)5.2.1.2 制定和发布(G1) (14)5.2.2安全管理机构 (14)I5.2.2.1 岗位设置(G1) (14)5.2.2.2 人员配备(G1) (14)5.2.2.3 授权和审批(G1) (14)5.2.2.4 沟通和合作(G1) (15)5.2.3人员安全管理 (15)5.2.3.1 人员录用(G1) (15)5.2.3.2 人员离岗(G1) (15)5.2.3.3 安全意识教育和培训(G1) (15)5.2.3.4 外部人员访问管理(G1) (15)5.2.4系统建设管理 (15)5.2.4.1 系统定级(G1) (15)5.2.4.2 安全方案设计(G1) (15)5.2.4.3 产品采购和使用(G1) (15)5.2.4.4 自行软件开发(G1) (15)5.2.4.5 外包软件开发(G1) (15)5.2.4.6 工程实施(G1) (16)5.2.4.7 测试验收(G1) (16)5.2.4.8 系统交付(G1) (16)5.2.4.9 安全服务商选择(G1) (16)5.2.5系统运维管理 (16)5.2.5.1 环境管理(G1) (16)5.2.5.2 资产管理(G1) (16)5.2.5.3 介质管理(G1) (16)5.2.5.4 设备管理(G1) (16)5.2.5.5 网络安全管理(G1) (17)5.2.5.6 系统安全管理(G1) (17)5.2.5.7 恶意代码防范管理(G1) (17)5.2.5.8 备份与恢复管理(G1) (17)5.2.5.9 安全事件处置(G1) (17)6第二级基本要求 (17)6.1 技术要求 (17)6.1.1物理安全 (17)6.1.1.1 物理位置的选择(G2) (17)6.1.1.2 物理访问控制(G2) (17)6.1.1.3 防盗窃和防破坏(G2) (17)6.1.1.4 防雷击(G2) (18)6.1.1.5 防火(G2) (18)6.1.1.6 防水和防潮(G2) (18)6.1.1.7 防静电(G2) (18)6.1.1.8 温湿度控制(G2) (18)6.1.1.9 电力供应(A2) (18)6.1.1.10 电磁防护(S2) (18)6.1.2网络安全 (18)6.1.2.1 结构安全(G2) (18)II6.1.2.2 访问控制(G2) (18)6.1.2.3 安全审计(G2) (19)6.1.2.4 边界完整性检查(S2) (19)6.1.2.5 入侵防范(G2) (19)6.1.2.6 网络设备防护(G2) (19)6.1.3主机安全 (19)6.1.3.1 身份鉴别(S2) (19)6.1.3.2 访问控制(S2) (19)6.1.3.3 安全审计(G2) (19)6.1.3.4 入侵防范(G2) (20)6.1.3.5 恶意代码防范(G2) (20)6.1.3.6 资源控制(A2) (20)6.1.4应用安全 (20)6.1.4.1 身份鉴别(S2) (20)6.1.4.2 访问控制(S2) (20)6.1.4.3 安全审计(G2) (20)6.1.4.4 通信完整性(S2) (20)6.1.4.5 通信保密性(S2) (20)6.1.4.6 软件容错(A2) (21)6.1.4.7 资源控制(A2) (21)6.1.5数据安全及备份恢复 (21)6.1.5.1 数据完整性(S2) (21)6.1.5.2 数据保密性(S2) (21)6.1.5.3 备份和恢复(A2) (21)6.2 管理要求 (21)6.2.1安全管理制度 (21)6.2.1.1 管理制度(G2) (21)6.2.1.2 制定和发布(G2) (21)6.2.1.3 评审和修订(G2) (21)6.2.2安全管理机构 (21)6.2.2.1 岗位设置(G2) (21)6.2.2.2 人员配备(G2) (22)6.2.2.3 授权和审批(G2) (22)6.2.2.4 沟通和合作(G2) (22)6.2.2.5 审核和检查(G2) (22)6.2.3人员安全管理 (22)6.2.3.1 人员录用(G2) (22)6.2.3.2 人员离岗(G2) (22)6.2.3.3 人员考核(G2) (22)6.2.3.4 安全意识教育和培训(G2) (22)6.2.3.5 外部人员访问管理(G2) (22)6.2.4系统建设管理 (23)6.2.4.1 系统定级(G2) (23)6.2.4.2 安全方案设计(G2) (23)III6.2.4.3 产品采购和使用(G2) (23)6.2.4.4 自行软件开发(G2) (23)6.2.4.5 外包软件开发(G2) (23)6.2.4.6 工程实施(G2) (23)6.2.4.7 测试验收(G2) (23)6.2.4.8 系统交付(G2) (24)6.2.4.9 安全服务商选择(G2) (24)6.2.5系统运维管理 (24)6.2.5.1 环境管理(G2) (24)6.2.5.2 资产管理(G2) (24)6.2.5.3 介质管理(G2) (24)6.2.5.4 设备管理(G2) (24)6.2.5.5 网络安全管理(G2) (25)6.2.5.6 系统安全管理(G2) (25)6.2.5.7 恶意代码防范管理(G2) (25)6.2.5.8 密码管理(G2) (25)6.2.5.9 变更管理(G2) (25)6.2.5.10 备份与恢复管理(G2) (26)6.2.5.11 安全事件处置(G2) (26)6.2.5.12 应急预案管理(G2) (26)7第三级基本要求 (26)7.1 技术要求 (26)7.1.1物理安全 (26)7.1.1.1 物理位置的选择(G3) (26)7.1.1.2 物理访问控制(G3) (26)7.1.1.3 防盗窃和防破坏(G3) (26)7.1.1.4 防雷击(G3) (27)7.1.1.5 防火(G3) (27)7.1.1.6 防水和防潮(G3) (27)7.1.1.7 防静电(G3) (27)7.1.1.8 温湿度控制(G3) (27)7.1.1.9 电力供应(A3) (27)7.1.1.10 电磁防护(S3) (27)7.1.2网络安全 (28)7.1.2.1 结构安全(G3) (28)7.1.2.2 访问控制(G3) (28)7.1.2.3 安全审计(G3) (28)7.1.2.4 边界完整性检查(S3) (28)7.1.2.5 入侵防范(G3) (29)7.1.2.6 恶意代码防范(G3) (29)7.1.2.7 网络设备防护(G3) (29)7.1.3主机安全 (29)7.1.3.1 身份鉴别(S3) (29)7.1.3.2 访问控制(S3) (29)IV7.1.3.3 安全审计(G3) (30)7.1.3.4 剩余信息保护(S3) (30)7.1.3.5 入侵防范(G3) (30)7.1.3.6 恶意代码防范(G3) (30)7.1.3.7 资源控制(A3) (30)7.1.4应用安全 (30)7.1.4.1 身份鉴别(S3) (31)7.1.4.2 访问控制(S3) (31)7.1.4.3 安全审计(G3) (31)7.1.4.4 剩余信息保护(S3) (31)7.1.4.5 通信完整性(S3) (31)7.1.4.6 通信保密性(S3) (31)7.1.4.7 抗抵赖(G3) (31)7.1.4.8 软件容错(A3) (32)7.1.4.9 资源控制(A3) (32)7.1.5数据安全及备份恢复 (32)7.1.5.1 数据完整性(S3) (32)7.1.5.2 数据保密性(S3) (32)7.1.5.3 备份和恢复(A3) (32)7.2 管理要求 (32)7.2.1安全管理制度 (32)7.2.1.1 管理制度(G3) (32)7.2.1.2 制定和发布(G3) (33)7.2.1.3 评审和修订(G3) (33)7.2.2安全管理机构 (33)7.2.2.1 岗位设置(G3) (33)7.2.2.2 人员配备(G3) (33)7.2.2.3 授权和审批(G3) (33)7.2.2.4 沟通和合作(G3) (34)7.2.2.5 审核和检查(G3) (34)7.2.3人员安全管理 (34)7.2.3.1 人员录用(G3) (34)7.2.3.2 人员离岗(G3) (34)7.2.3.3 人员考核(G3) (34)7.2.3.4 安全意识教育和培训(G3) (34)7.2.3.5 外部人员访问管理(G3) (35)7.2.4系统建设管理 (35)7.2.4.1 系统定级(G3) (35)7.2.4.2 安全方案设计(G3) (35)7.2.4.3 产品采购和使用(G3) (35)7.2.4.4 自行软件开发(G3) (35)7.2.4.5 外包软件开发(G3) (36)7.2.4.6 工程实施(G3) (36)7.2.4.7 测试验收(G3) (36)V7.2.4.8 系统交付(G3) (36)7.2.4.9 系统备案(G3) (36)7.2.4.10 等级测评(G3) (37)7.2.4.11 安全服务商选择(G3) (37)7.2.5系统运维管理 (37)7.2.5.1 环境管理(G3) (37)7.2.5.2 资产管理(G3) (37)7.2.5.3 介质管理(G3) (37)7.2.5.4 设备管理(G3) (38)7.2.5.5 监控管理和安全管理中心(G3) (38)7.2.5.6 网络安全管理(G3) (38)7.2.5.7 系统安全管理(G3) (39)7.2.5.8 恶意代码防范管理(G3) (39)7.2.5.9 密码管理(G3) (39)7.2.5.10 变更管理(G3) (39)7.2.5.11 备份与恢复管理(G3) (39)7.2.5.12 安全事件处置(G3) (40)7.2.5.13 应急预案管理(G3) (40)8第四级基本要求.......................................................错误!未定义书签。
4-信息安全等级保护基本要求解读

信息系统安全等级保护基本要求
描述模型 安全保护能力—定义
威胁源——是指任何能够导致非预期的不利事件发生的因素,通常分 为自然 (如自然灾害)环境(如电力故障)IT系统(如系统故障)和 人员 (如心怀不满的员工)四类。 动 机——与威胁源和目标有着密切的联系,不同的威胁源对应不同的 目标 有着不同的动机,通常可分为不可抗外力(如自然灾害)无意的 (如员工的疏忽大意)和故意的(如情报机构的信息收集活动)。 范 围——是指威胁潜在的危害范畴,分为局部和整体两种情况;如 病毒威胁,有些计算机病毒的传染性较弱,危害范围是有限的;但是 蠕 虫类病毒则相反,它们可以在网络中以惊人的速度迅速扩散并导致 整个网络瘫痪。 能 力—— 主要是针对威胁源为人的情况,它是衡量攻击成功可能性 的主要因素。能力主要体现在威胁源占有的计算资源的多少、工具的 先进程度、人力资源(包括经验)等方面。
四.各级的要求 五.标准的使用
信息系统安全等级保护基本要求 概述
内容与作用 为信息系统主管和运营、使用单位提供技术指导。 为测评机构提供测评依据。
为职能监管部门提供监督检查依据。
用户范围 信息系统的主管部门及运营使用单位;测评机构;信息安全监管职能
部门。
适用环节 系统建设、验收、运维、测评、自查。
信息系统安全等级保护基本要求 逐级增强的特点-要求项增强
要求细化:如,人员安全管理中心的“安全 意识教育和培训”,二级要求“应制定安全教育 和培训计划,对信息安全基础知识、岗位操作规 程等进行培训”,二三级在对培训计划进行了进 一步的细化,为“应针对不同岗位制定不同培训 计划”,培训计划有了针对性,更符合个人岗位 人员的实际需要。
信息系统安全等级保护基本要求
描述模型
信息系统安全等级保护等级保护基本要求

技术要求-网络安全
合计3 6 7 7 网络设备防护* * * * 恶意代码防范* * 入边侵界防完范 整性*控*检制* 查点*一*级* 二级三级四级 安全审计* * * 访问控制* * * * 结构安全* * * *
技术要求-主机安全
合计4 6 7 9 资源控制* * * 恶意代码防范* * * * 入侵防范* * * * 剩安余全信审息 计保*控*护制* *点*一级二级三级四级 可信路径* 访问控制* * * * 安全标记* 身份鉴别* * * *
《基本要求》定位举例
• A点——B点,500KM 5H
• 飞机 OK
• 火车 OK
• 汽车 OK
• 自行车 NO
等级保护的基本要求
• 内容与作用
– 为信息系统主管和运营、使用单位提供技术指导 – 为测评机构提供测评依据 – 为监管职能部门提供监督检查依据
• 适用环节
– 建设整改、验收、测评、运维、检查
安全要素与安全保护等级的关系
国家安全特别严重损害第五级极端重要系统 专门监督检查 国家安全严重损害 第四级强制监督检查 社会秩序和特别严重损害 公共利益 国家安全一般损害 监督检查 重要系统 第三级 社会秩序和严重损害 公共利益 社会秩序和一般损害 公共利益 第二级指导保护 严重损害 自主保护 一般系统 一般损害第一级 合法权益 侵害客体侵害程度等级对象监管强度
技术要求-物理安全
控制点一级二级三级四级
合计7 10 10 10 电磁防护* * * 电力供应* * * * 温湿度控制* * * * 防静电* * * 防水和防潮* * * * 防火* * * * 防雷击* * * * 防盗窃和防破坏* * * * 物理访问控制* * * * 物理位置的选择* * *
信息系统安全等级保护基本要求

信息系统安全等级保护基本要求信息系统安全等级保护的基本要求包括以下几个方面:1. 完整性保护要求:信息系统应当具备完整性保护能力,能够有效地防范未经授权的修改、删除和篡改操作,确保信息的完整性和可靠性。
2. 机密性保护要求:信息系统应当具备机密性保护能力,能够有效地防范未经授权的访问和泄露操作,确保敏感信息的保密性和隐私性。
3. 可用性保护要求:信息系统应当具备可用性保护能力,能够有效地防范各类网络攻击和服务中断,确保系统正常运行和服务持续可用。
4. 安全审计要求:信息系统应当具备安全审计能力,能够对系统的各项操作和访问进行全面记录和审计,确保系统的合规性和安全性。
5. 风险管理要求:信息系统应当具备风险管理能力,能够对系统的各类安全风险进行有效的评估和管理,制定相应的安全策略和应急预案。
6. 安全培训要求:信息系统应当具备安全培训能力,能够对系统管理员和用户进行有效的安全培训,提升其安全意识和应对能力。
以上是信息系统安全等级保护的基本要求,不同等级的信息系统可能还存在其他特定的安全保护要求,需要根据具体情况进行相应的定制和实施。
信息系统安全等级保护工作是一项长期的系统工程,需要各方的共同努力和不断创新,才能有效地保护信息系统的安全和稳定运行。
信息系统安全等级保护是一项复杂而又重要的工作,其基本要求不仅在于技术层面的保护,还包括管理、人员培训和持续改进。
在进行信息系统安全等级保护时,需要系统地对系统进行评估和分类,并根据不同等级的保护需求,采取相应的安全措施。
评估和分类是信息系统安全等级保护的基础工作。
根据国家或行业标准的要求,对信息系统进行综合的安全评估,包括系统架构、数据传输、访问控制、身份验证、安全审计等多个方面的安全性指标。
通过对系统的评估,根据涉密信息的重要性和敏感程度,将信息系统划分为不同的保护等级,如秘密级、机密级、绝密级等,以便在后续的安全管理中对系统实施相应的安全保护措施。
针对不同等级的信息系统,需要采取不同的安全保护措施。
信息系统安全等级保护基本要求(三级要求)

信息系统安全等级保护基本要求(三级要求)信息系统安全等级保护基本要求1 三级基本要求 (6)1.1 技术要求 (6)1.1.1 物理安全 (6)1.1.1.1 物理位置的选择(G3) (6)1.1.1.2 物理访问控制(G3) (6)1.1.1.3 防盗窃和防破坏(G3) (7)1.1.1.4 防雷击(G3) (7)1.1.1.5 防火(G3) (8)1.1.1.6 防水和防潮(G3) (8)1.1.1.7 防静电(G3) (8)1.1.1.8 温湿度控制(G3) (9)1.1.1.9 电力供应(A3) (9)1.1.1.10 电磁防护(S3) (9)1.1.2 网络安全 (10)1.1.2.1 结构安全(G3) (10)1.1.2.2 访问控制(G3) (10)1.1.2.3 安全审计(G3) (11)1.1.2.4 边界完整性检查(S3) (12)1.1.2.5 入侵防范(G3) (12)1.1.2.6 恶意代码防范(G3) (13)1.1.2.7 网络设备防护(G3) (13)1.1.3 主机安全 (14)1.1.3.1 身份鉴别(S3) (14)1.1.3.2 访问控制(S3) (14)1.1.3.3 安全审计(G3) (15)1.1.3.4 剩余信息保护(S3) (16)1.1.3.5 入侵防范(G3) (16)1.1.3.6 恶意代码防范(G3) (17)1.1.3.7 资源控制(A3) (17)1.1.4 应用安全 (18)1.1.4.1 身份鉴别(S3) (18)1.1.4.2 访问控制(S3) (18)1.1.4.3 安全审计(G3) (19)1.1.4.4 剩余信息保护(S3) (20)1.1.4.5 通信完整性(S3) (20)1.1.4.6 通信保密性(S3) (20)1.1.4.7 抗抵赖(G3) (20)1.1.4.8 软件容错(A3) (21)1.1.4.9 资源控制(A3) (21)1.1.5 数据安全及备份恢复 (22)1.1.5.1 数据完整性(S3) (22)1.1.5.2 数据保密性(S3) (22)1.1.5.3 备份和恢复(A3) (23)1.2 管理要求 (23)1.2.1 安全管理制度 (23)1.2.1.1 管理制度(G3) (23)1.2.1.2 制定和发布(G3) (24)1.2.1.3 评审和修订(G3) (24)1.2.2 安全管理机构 (25)1.2.2.1 岗位设置(G3) (25)1.2.2.2 人员配备(G3) (25)1.2.2.3 授权和审批(G3) (26)1.2.2.4 沟通和合作(G3) (26)1.2.2.5 审核和检查(G3) (27)1.2.3 人员安全管理 (28)1.2.3.1 人员录用(G3) (28)1.2.3.2 人员离岗(G3) (28)1.2.3.3 人员考核(G3) (29)1.2.3.4 安全意识教育和培训(G3) (29)1.2.3.5 外部人员访问管理(G3) (29)1.2.4 系统建设管理 (30)1.2.4.1 系统定级(G3) (30)1.2.4.2 安全方案设计(G3) (30)1.2.4.3 产品采购和使用(G3) (31)1.2.4.4 自行软件开发(G3) (32)1.2.4.5 外包软件开发(G3) (32)1.2.4.6 工程实施(G3) (33)1.2.4.7 测试验收(G3) (33)1.2.4.8 系统交付(G3) (34)1.2.4.9 系统备案(G3) (35)1.2.4.10 等级测评(G3) (35)1.2.4.11 安全服务商选择(G3) (36)1.2.5 系统运维管理 (36)1.2.5.1 环境管理(G3) (36)1.2.5.2 资产管理(G3) (37)1.2.5.3 介质管理(G3) (37)1.2.5.4 设备管理(G3) (38)1.2.5.5 监控管理和安全管理中心(G3). 39 1.2.5.6 网络安全管理(G3) (40)1.2.5.7 系统安全管理(G3) (41)1.2.5.8 恶意代码防范管理(G3) (42)1.2.5.9 密码管理(G3) (43)1.2.5.10 变更管理(G3) (43)1.2.5.11 备份与恢复管理(G3) (43)1.2.5.12 安全事件处置(G3) (44)1.2.5.13 应急预案管理(G3) (45)第三级安全保护能力:应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害,能够发现安全漏洞和安全事件,在系统遭到损害后,能够较快恢复绝大部分功能。
信息系统安全等级保护基本要求-一级

基本要求规定的范围:对象:不同安全保护等级信息系统内容:基本技术要求管理要求作用:指导分等级信息系统安全建设监督管理引用:保护等级:依重要程度、危害程度、由低到高分5级见:GB/T 22240-2008不同等级的安全保护能力:共5级基本技术要求和管理要求:信统安全等保应让系统有它们相应等级的基本安全保护能力。
基本安全要求,依实现方式,分基本技术要求、基本管理要求。
技术要求:立基于技术安全机制,通过在信统中部署软硬件,正确配置其安全功能。
管理要求:聚焦于信统中各种角色和角色参与的活动。
控制角色活动、从政策、制度、规范、流程以及记录等方面做出规定来实现。
基本技术要求:从物理、网络、主机、应用和数据安全,4个层面提出要求。
基本管理要求:从安全管理制度、机构、人员、系统建设、运维几方面提要求。
基本安全要求从各个层面方面,提出系统的每个组件应该满足的安全要求。
整体的安全保护能力依赖于其内部各不同组件的安全实现来满足。
基本技术要求的三种类型:技术类安全要求进一步细分为:保护数据在存储、传输、处理过程中不被泄漏、破坏、和免受未授权的修改的要求(S 要求)保护系统正常运行、免受对系统未授权修改、破坏而导致系统不可用的服务保护类要求(S 要求)通用安全保护类要求(G要求)第一级基本要求:技术要求:物理安全:访问控制:防盗窃、破坏:防雷击:防火:防水和防潮:温湿度控制:电力控制:网络安全:结构安全:a.保证关键网络设备的业务处理能力满足基本业务需要b.保证接入网络和核心网络的带宽满足基本业务需要c.绘制与当前运行情况相符的网络拓扑结构图访问控制:(G1)a.在网络边界部署访问控制设备,启用访问控制功能b.根据访问控制列表对源地址、目的地址、源端口、目的端口和协议等进行检查,允许/拒绝数据包出入c.通过访问控制列表对系统资源实现允许或拒绝用户访问,控制粒度至少为用户组。
网络设备防护:a.应对登录网络设备的用户进行身份鉴别b.有登录失败处理功能,采取结束会话、限制非法登录次数、和当网络登录连接超时自动退出等措施c.对网络设备进行远程管理时,采措施防止信息传输中被窃听主机安全:身份鉴别:(S1)对登录操作系统和数据库系统的用户进行身份标识和鉴别。
证券期货业网络关于等级保护对象整体安全保护能力的要求、等级保护安全框架和关键技术使用要求

JR/T0060—XXXX74附录B(规范性附录)关于等级保护对象整体安全保护能力的要求网络安全等级保护的核心是保证不同安全保护等级的对象具有相适应的安全保护能力。
本标准第5章提出了不同级别的等级保护对象的安全保护能力要求,第6章到第10章分别针对不同安全保护等级的对象应该具有的安全保护能力提出了相应的安全通用要求和安全扩展要求。
依据本标准分层面采取各种安全措施时,还应考虑以下总体性要求,保证等级保护对象的整体安全保护能力。
a)构建纵深的防御体系本标准从技术和管理两个方面提出安全要求,在采取由点到面的各种安全措施时,在整体上还应保证各种安全措施的组合从外到内构成一个纵深的安全防御体系,保证等级保护对象整体的安全保护能力。
应从通信网络、网络边界、局域网络内部、各种业务应用平台等各个层次落实本标准中提到的各种安全措施,形成纵深防御体系。
b)采取互补的安全措施本标准以安全控制的形式提出安全要求,在将各种安全控制落实到特定等级保护对象中时,应考虑各个安全控制之间的互补性,关注各个安全控制在层面内、层面间和功能间产生的连接、交互、依赖、协调、协同等相互关联关系,保证各个安全控制共同综合作用于等级保护对象上,使得等级保护对象的整体安全保护能力得以保证。
c)保证一致的安全强度本标准将安全功能要求,如身份鉴别、访问控制、安全审计、入侵防范等内容,分解到等级保护对象的各个层面,在实现各个层面安全功能时,应保证各个层面安全功能实现强度的一致性。
应防止某个层面安全功能的减弱导致整体安全保护能力在这个安全功能上消弱。
例如,要实现双因子身份鉴别,则应在各个层面的身份鉴别上均实现双因子身份鉴别;要实现基于标记的访问控制,则应保证在各个层面均实现基于标记的访问控制,并保证标记数据在整个等级保护对象内部流动时标记的唯一性等。
d)建立统一的支撑平台本标准针对较高级别的等级保护对象,提到了使用密码技术、可信技术等,多数安全功能(如身份鉴别、访问控制、数据完整性、数据保密性等)为了获得更高的强度,均要基于密码技术或可信技术,为了保证等级保护对象的整体安全防护能力,应建立基于密码技术的统一支撑平台,支持高强度身份鉴别、访问控制、数据完整性、数据保密性等安全功能的实现。
证监会发布《证券期货业信息系统托管基本要求》行业标准

证监会发布《证券期货业信息系统托管基本要求》行
业标准
文章属性
•【公布机关】中国证券监督管理委员会,中国证券监督管理委员会,中国证券监督管理委员会
•【公布日期】2016.01.15
•【分类】法规、规章解读
正文
证监会发布《证券期货业信息系统托管基本要求》行业标准
中国证监会于近日发布并实施了《证券期货业信息系统托管基本要求》金融行业标准。
《证券期货业信息系统托管基本要求》是以实践为基础,以服务行业发展实际需求为出发点,制定的行业统一的信息系统托管标准。
一是能够为业内经营机构选择托管机构提供明确参考,同时为向行业提供托管服务的机构进行系统建设和管理提供指导;二是以“谁控制,谁负责”为原则,明确划分托管方、受托方双方的责任边界,最大程度避免托管业务系统发生故障或事故后产生的纠纷和争议;三是根据托管系统的重要程度对托管要求进行了分级,实现了差异化管理,在充分保证系统安全性、可用性的同时,避免了“一刀切”导致的成本过高和资源浪费等问题。
2016年,为了持续推进资本市场信息化建设工作,降低行业信息系统运行风险,提高行业运行效率,提升行业标准化水平,中国证监会还将陆续组织制定多项金融行业标准。
信息系统安全等级保护基本要求

引言依据《中华人民共和国计算机信息系统安全保护条例》(国务院147号令)、《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)、《关于信息安全等级保护工作的实施意见》(公通字[2004]66号)和《信息安全等级保护管理办法》(公通字[2007]43号),制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括:——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南;——GB/T CCCC-CCCC 信息安全技术信息系统安全等级保护实施指南。
本标准与GB17859-1999、GB/T20269-2006、GB/T20270-2006 、GB/T20271-2006 等标准共同构成了信息系统安全等级保护的相关配套标准。
其中GB17859-1999是基础性标准,本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。
本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上,根据现有技术的发展水平,提出和规定了不同安全保护等级信息系统的最低保护要求,即基本安全要求,基本安全要求包括基本技术要求和基本管理要求,本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。
信息系统安全等级保护基本要求1范围本标准规定了不同安全保护等级信息系统的基本保护要求,包括基本技术要求和基本管理要求,适用于指导分等级的信息系统的安全建设和监督管理。
2规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。
凡是注日期的引用文件,其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准,然而,鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。
凡是不注明日期的引用文件,其最新版本适用于本标准。
信息系统安全等级保护基本要求

信息系统安全等级保护基本要求信息系统安全等级保护是指在安全风险评估的基础上,通过实行相应的技术、管理和组织措施,保障信息系统的安全性、完整性、可用性,防止信息泄露、篡改、破坏和否认等安全事件的发生。
信息系统安全等级保护已成为各个行业的必需和政府组织的紧要任务,对于保障国家安全、保护企业利益和个人隐私具有特别紧要的意义。
本文将从安全等级的划分、保护要求和管理措施三个方面介绍信息系统安全等级保护基本要求。
一、安全等级的划分信息系统安全等级的划分需要依据信息系统的紧要性、敏感度、保密等级、功能需求和安全风险等级等方面进行评估。
我国安全等级管理体系共分为四个等级:初级、一级、二级、三级。
其中四个等级分别对信息系统的保护要求进行了不同的划分,大体分为以下几个方面。
1.初级保护初级保护适用于对信息曝光和信息服务进行简单保护的网络系统,划分在初级保护等级的信息系统重要是一般的网站和信息发布平台。
初级保护作为等级保护中的最低级别,在保障系统基本的安全性和完整性的同时,强调在安全使用和管理上的规范。
保护要求:初级保护要求系统采纳常规火墙、入侵检测、杀毒软件等技术手段进行保护。
系统设置应采纳最小权限原则,用户权限仅限于其职权范围内。
同时,定期备份数据,完整记录、存储和管理系统日志。
2.一级保护一级保护适用于需要进行基本保密的网络系统,一级保护重要适用于机构、公司内部的信息系统,以对信息的渗透和泄露进行肯定的保护。
保护要求:在一级保护中,系统可以采纳多层次安全防护体系,采纳IPSEC、VPN、SSL等方式进行数据传输加密及用户身份认证。
系统的日志备份要定期进行,备份数据要保证数据的完整性和适时性。
同时,对于系统中的数据能够进行备份、存储和恢复功能的测试。
3.二级保护二级保护适用于国家紧要部门以及紧要企业的需要保密的网络系统,二级保护重要适用于信息敏感度高、保密性强、危害性大的信息系统。
保护要求:在二级保护的系统中需要采纳安全认证、虚拟专用网、访问掌控等多种保护手段,使得系统的可用性、牢靠性和安全性得到加强。
证券期货业网络安全等级保护基本要求

证券期货业网络安全等级保护基本要求
随着互联网的发展,证券期货服务的信息技术需求不断增加,网络安全等级保护工作亦十分重要。
中国证券监督管理委员会出台的证券期货业网络安全等级保护(以下简称“等级保护”),将网络安全等级保护分为五个等级,分别为高级、中级、低级、低于低级和未转换等级,以更细化地监管服务主体的网络安全管理和风险控制工作,保护服务主体及社会投资者利益。
等级保护要求,各级别网络安全管理和技术控制要求应体现在证券期货服务主体安全信息系统的制度设计、合法合规操作活动、系统安全实施与管理、备份防范措施、审计监督机制等方面。
要原则性完善应用系统安全控制、业务安全控制和网络安全控制;客户数据、业务流程、数据准入、系统访问、访问记录、数据安全、网络安全等,应按照等级要求进行防范控制,安全隐患要及时发现处理;要加强技术控制的合法合规性,避免违反法规的行为;对风险治理体系必须做到完善,监督实施有效;要按照国家法律法规规定全面建立审计机制,确保审计准确、及时性。
此外,为了迎接国际信息安全标准,中国证券监督管理委员会应当把国际信息安全标准适应中国实际,对等级保护框架和原则作出进一步提高,同时对服务主体实施等级保护安全的检查和评估,以评定他们的安全等级。
以确保证券期货服务主体及社会投资者利益的维护和安全社会的建设成为可能。
信息系统安全等级保护基本要求和建设

信息系统安全等级保护基本要求和建设
第四部分——基本要求的主要内容 „基本技术要求的三种类型 ➢ 根据保护侧重点的不同,技术类安全要求进一步细分为:
➢ 保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授 权的修改的信息安全类要求(简记为S);
➢ 保护系统连续正常的运行,免受对系统的未授权修改、破坏而导 致系统不可用的服务保证类要求(简记为A);
主机安全 应用安全
类
类
数据安全 及备份恢
复类
安全管理 安全管理 人员安全 系统建设 系统运维
制度类
机构类
管理类
管理类
管理类
控制点
控制点 10
控制点 7
控制点 9
控制点 11
控制点 3
项
具体要求 具体要求 具体要求 具体要求
项33
项32
项36
项36
具体要求 项11
控制点 3
控制点 5
控制点 5
控制点 11
/ /
一级 7 3 4 4 2
2 4 4 9 9 48 /
二级 10 6 6 7 3
三级 10 7 7 9 3
四级 10 7 9 11 3
3
3
3
5
5
5
5
5
5
9
11
11
12
13
13
66
73
77
18
7
4
信息系统安全等级保护基本要求和建设
第五部分——基本要求的级差
控制项的分布
安全要求类 技术要求
管理要求 合计 级差
层面 物理安全 网络安全 主机安全 应用安全 数据安全及备份 恢复 安全管理制度 安全管理机构 人员安全管理 系统建设管理 系统运维管理
信息系统等级保护基本要求2.0

信息系统等级保护基本要求2.0一、引言在当今数字化时代,信息系统的安全性和保护至关重要。
信息系统等级保护基本要求2.0(以下简称为“基本要求2.0”)作为信息安全领域的重要标准,对于保障信息系统的安全运行起着至关重要的作用。
本文将从深度和广度的角度,全面探讨基本要求2.0的重要性、实施要求以及对信息系统安全的价值。
二、基本要求2.0的重要性1.1 关于信息系统等级保护信息系统等级保护是指针对不同级别和类型的信息系统,根据其保护需求和安全防护能力,进行等级划分和要求规定的一种保护措施。
基本要求2.0作为信息系统等级保护的基本规范和要求,对于保障国家重要信息系统的安全运行至关重要。
1.2 对信息系统安全的价值基本要求2.0的实施,可以有效提高信息系统的安全性和保护等级,降低信息系统遭受安全威胁的风险。
通过严格的安全要求和规范,可以有效保护国家重要信息资源的安全,确保国家安全和社会稳定。
基本要求2.0在信息系统安全领域的重要性不言而喻。
三、基本要求2.0的实施要求2.1 安全标准和控制要求基本要求2.0包括了丰富的安全标准和控制要求,涵盖了信息系统安全的各个方面,包括物理安全、网络安全、应用安全等。
实施基本要求2.0需要全面理解和严格执行这些安全标准和控制要求,确保信息系统的全面安全保护。
2.2 安全管理和运行要求基本要求2.0还对信息系统的安全管理和运行提出了严格要求,包括安全管理制度的建立、安全运维的实施等。
实施基本要求2.0需要建立健全的安全管理体系,确保信息系统的安全性和稳定性。
四、对基本要求2.0的个人观点和理解基本要求2.0的实施对于信息系统的安全具有重要意义,但同时也需要充分考虑信息系统的灵活性和可用性。
在实施基本要求2.0的过程中,需要充分考虑信息系统的应用场景和特点,灵活运用各项安全标准和控制要求,确保信息系统的安全性与可用性的平衡。
五、总结与回顾基本要求2.0作为信息安全领域的重要标准,对于保障信息系统的安全运行具有重要意义。
信息系统安全等级保护基本要求

附件2: 信息系统安全等级保护基本要求1 第一级基本要求1.1 技术要求1.1.1 物理安全1.1.1.1 物理访问控制(G1)机房出入应安排专人负责,控制、鉴别和记录进入的人员。
1.1.1.2 防盗窃和防破坏(G1)本项要求包括:a)应将主要设备放置在机房内;b)应将设备或主要部件进行固定,并设置明显的不易除去的标记。
1.1.1.3 防雷击(G1)机房建筑应设置避雷装置。
1.1.1.4 防火(G1)机房应设置灭火设备。
1.1.1.5 防水和防潮(G1)本项要求包括:a)应对穿过机房墙壁和楼板的水管增加必要的保护措施;b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。
1.1.1.6 温湿度控制(G1)机房应设置必要的温、湿度控制设施,使机房温、湿度的变化在设备运行所允许的范围之内。
1.1.1.7 电力供应(A1)应在机房供电线路上配置稳压器和过电压防护设备。
1.1.2 网络安全1.1.2.1 结构安全(G1)本项要求包括:a)应保证关键网络设备的业务处理能力满足基本业务需要;b)应保证接入网络和核心网络的带宽满足基本业务需要;c)应绘制与当前运行情况相符的网络拓扑结构图。
1.1.2.2 访问控制(G1)本项要求包括:a)应在网络边界部署访问控制设备,启用访问控制功能;b)应根据访问控制列表对源地址、目的地址、源端口、目的端口和协议等进行检查,以允许/拒绝数据包出入;c)应通过访问控制列表对系统资源实现允许或拒绝用户访问,控制粒度至少为用户组。
1.1.2.3 网络设备防护(G1)本项要求包括:a)应对登录网络设备的用户进行身份鉴别;b)应具有登录失败处理功能,可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施;c)当对网络设备进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听。
1.1.3 主机安全1.1.3.1 身份鉴别(S1)应对登录操作系统和数据库系统的用户进行身份标识和鉴别。
02 信息系统安全等级保护基本要求

计算机信息系统可信计算基包含能够监控可审计安全事件发生与积累的 机制,当超过阈值时,能够立即向安全管理员发出报警。并且,如果这些与 安全相关的事件继续发生或积累,系统应以最小的代价中止它们。
?不同等级的安全保护能力
? 第一级 应能够防护系统免受来自个人的、拥有很少资源(如利用公开可获取 的工具等)的威胁源发起的恶意攻击、一般的自然灾难(灾难发生的 强度弱、持续时间很短等)以及其他相当危害程度的威胁(无意失误 、技术故障等)所造成的关键资源损害,在系统遭到损害后,能够恢 复部分功能。
? 第二级 应能够防护系统免受来自外部小型组织的(如自发的三两人组成的黑 客组织)、拥有少量资源(如个别人员能力、公开可获或特定开发的 工具等)的威胁源发起的恶意攻击、一般的自然灾难(灾难发生的强 度一般、持续时间短、覆盖范围小等)以及其他相当危害程度的威胁 (无意失误、技术故障等)所造成的重要资源损害,能够发现重要的 安全漏洞和安全事件,在系统遭到损害后,能够在一段时间内恢复部 分功能。
? 9 可信路径
当连接用户时(如注册、更改主体安全级),计算机信息系统可信计算基提供它 与用户之间的可信通信路径。可信路径上的通信只能由该用户或计算机信息系统可信 计算基激活,且在逻辑上与其他路径上的通信相隔离,且能正确地加以区分。
教育部教湖育北管教理信育息信中息心信化息发安展全中测评心部
基本要求—第二部分 概述
基本安全要求是针对不同安全保护等级信息系统 应该具有的基本安全保护能力提出的安全要求, 根据实现方式的不同,基本安全要求分为 基本技 术要求和基本管理要求 两大类。
信息系统安全等级保护基本要求000002)

蓝色部分是操作系统安全等级划分,红色部分是四级操作系统关于网络部分的要求:)《信息系统安全等级保护基本要求》中华人民共和国国家标准GB/T 22239-2008引言依据《中华人民共和国计算机信息系统安全保护条例》(国务院147号令)、《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)、《关于信息安全等级保护工作的实施意见》(公通字[2004]66号)和《信息安全等级保护管理办法》(公通字[2007]43号),制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括:——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南;——GB/T CCCC-CCCC 信息安全技术信息系统安全等级保护实施指南。
本标准与GB17859-1999、GB/T 20269-2006 、GB/T 20270-2006 、GB/T 20271-2006等标准共同构成了信息系统安全等级保护的相关配套标准。
其中GB17859-1999是基础性标准,本标准、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等是在GB17859-1999基础上的进一步细化和扩展。
本标准在GB17859-1999、GB/T20269-2006、GB/T20270-2006、GB/T20271-2006等技术类标准的基础上,根据现有技术的发展水平,提出和规定了不同安全保护等级信息系统的最低保护要求,即基本安全要求,基本安全要求包括基本技术要求和基本管理要求,本标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。
在本标准文本中,黑体字表示较低等级中没有出现或增强的要求。
信息系统安全等级保护基本要求1范围本标准规定了不同安全保护等级信息系统的基本保护要求,包括基本技术要求和基本管理要求,适用于指导分等级的信息系统的安全建设和监督管理。
2规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。
信息系统安全等级保护基本要求内容

信息系统安全等级保护基本要求1 围本标准规定了不同安全保护等级信息系统的基本保护要求,包括基本技术要求和基本管理要求,适用于指导分等级的信息系统的安全建设和监督管理。
2 规性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。
凡是注日期的引用文件,其随后所有的修改单(不包括勘误的容)或修订版均不适用于本标准,然而,鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。
凡是不注明日期的引用文件,其最新版本适用于本标准。
GB/T 5271.8 信息技术词汇第8部分:安全GB17859-1999 计算机信息系统安全保护等级划分准则GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南3 术语和定义GB/T 5271.8和GB 17859-1999确立的以及下列术语和定义适用于本标准。
3.1安全保护能力 security protection ability系统能够抵御威胁、发现安全事件以及在系统遭到损害后能够恢复先前状态等的程度。
4 信息系统安全等级保护概述4.1 信息系统安全保护等级信息系统根据其在国家安全、经济建设、社会生活中的重要程度,遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等,由低到高划分为五级,五级定义见GB/T AAAA-AAAA。
4.2 不同等级的安全保护能力不同等级的信息系统应具备的基本安全保护能力如下:第一级安全保护能力:应能够防护系统免受来自个人的、拥有很少资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的关键资源损害,在系统遭到损害后,能够恢复部分功能。
第二级安全保护能力:应能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的重要资源损害,能够发现重要的安全漏洞和安全事件,在系统遭到损害后,能够在一段时间恢复部分功能。
- 1、下载文档前请自行甄别文档内容的完整性,平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益,请联系客服反馈,我们会尽快为您处理(人工客服工作时间:9:00-18:30)。
3 1.企业定员是对劳动力使用的一种( p25 )界限。
A.数量质量 B.劳动力消耗 C.劳动内涵 D.劳动规律
32.在( p25 )管理中,“定员"与“编制”这一术语存在非常密切的关系。
A.人力资源 B.劳动力分配 C.工作制度 D.组织
33.行政编制、企业编制、军事编制统称为( p25 )编制。
A.因人设岗 B.因事设岗 C.按领导意愿设岗 D.因企业结构设岗
9.根据生产总量核算定员人数属于( p26 )。
A.按设备定员 B.按岗位定员 C.按劳动效率定员 D.按比例定员
1 0.( p43 )被称为是企业的“宪法”。
A.企业管理制度 B.技术规范 C.企业基本制度 D.行为规范
11.( p46-p47 )是企业人力资源管理制度规划的基本原则。
22.劳动规范、岗位规则、岗位标准又称为( p4 )。
A.岗位要求 B.岗位规范 C.岗位培训 D.岗位员工规范
23.工作说明书是以岗位的( p7 )为中心,对岗位的内涵进行深入分析。
A.事和物 B.物和规范 C.要求和职责 D.设计和规范
24.准备阶段的具体任务是( p7 )、建立联系、设计岗位调查的方案,规定调查的范围、对象和方法。
A.一般地位 B.特殊地位 C.重要地位 D.突出地位
3.岗位分析为企业员工的考核、晋升提供了( p3 )。
A.坚实基础 B.必要条件 C.基本依据 D.必要前提
4.岗位分析的最终成果是制作出岗位说明书和( p3 )。
A培训制度 B.岗位规范 C.工资制度 D.考勤制度
5.( p17 )能使员工完成任务的内容、形式和手段发生变化。
A.共同发展原则 B.学习与创新并重 C.适合企业特点 D.保持动态性原则
1 2.不属于审核人力资源费用预算基本要求的是( p51 )。
A.确保人力资源费用预算的合理性 B.确保人力资源费用预算的收益性
C.确保人力资源费用预算的准确性 D.确保人力资源费用预算的可比性
13.战略规划与战术计划的统一在企业中体现的是( p1 )。
A.费用计划 B.人员规划 C.费用规划 D.费用管理
20.人力资源规划又被称为人力资源( p2 )。
A.管理活动的确定 B.管理活动的规划 C.管理活动的准备 D.管理活动的纽带
2 1.人力资源是企业内最活跃的因素,人力资源规划是企业规划中起( p2 )作用的规划。
A.战略性 B.决定性 C.根本性 D.关键性
A.人力资源狭义 B.人力资源广义 C.人力资源设计 D.人力资源规划
1 4.人力资源规划长期的计划是( p1 )年以上。
A.5 B.6 C.8 D.1 O
1 5.战略规划是企业人力资源具体计划的( p1 ),是事关全局的关键性规划。
A.组织 B.核心 C.制度 D.规章
1 6.企业整体框架设计可称为( p1 )规划。
A.组织 B.人员 C.机构 D.系统
34.以下对于企业人力资源开发与管理具有重要作用的说法中不合理的是( p26 )。
A.合理的劳动定员是企业用人的科学标准
B.合理的劳动定员是企业人力资源计划的基础
C.合理的劳动定员是企业管理必要的条件之一
D.科学合理定员是企业内部各类员工调配的主要依据
35.定员必须以企业的生产经营目标及保证这一目标实现所需的人员为依据是在说( p27 )原则。
三级 第一章 人力资源规划
一、单项选择题(请将正确答案的序号填写在括号内,每小题只有一个正确答案)
1.狭义的人力资源规划实质上是( p1 )。
A.企业人力资源永久开发规划 B.企业组织变革与组织发展规划
C.企业人力资源制度改革规划 D.企业各类人员需求的补充规划
2.人力资源规划在整个人力资源管理活动中占有( p2 )。
A.了解情况 B.明确目标 C.明确方向D.了解任务
25.岗位的存在是为了实现特定的任务和目标服务的,岗位增加、调整和合并都必须以是否有利于实现工作目标为( p15 )。
A.确定的标准 B.明确的标准 C.衡量标准 D.科学化管理的标准
26.生产工人参与计划制定,自行决定生产目标、作业程序、操作方法,检验衡量工作质量和数量,并进行经济核算,体现在改进岗位设计中的( p16 )。
A.劳动力定员 B.企业定员 C.生产定员 D.产品定员
36.企业在制定岗位用人数量时,应是某类岗位制度时间计划工作任务总量除以( p28 )。
A.某类人员工作量 B.某类人员工作时间
C.某类人员工作效率 D.某类人员参与时间
3 7.按劳动效率定员的公式是( p28 )。
A.制度 B.规章 C.核心 D.组织
1 7.企业人力资源管理( p1 )是人力资源总体目标实现的重要保证。
A.规章制度 B.制度规划 C.核心规划 D.组织规划
1 8.( p2 )是对企业人员总量、构成、流动的整体规划。
A.人力规划 B.人员规划 C.资源劳动力 D.市场劳。动力
1 9.人力资源费用预算、核算、审核、结算,以及人力资源费用控制称为( p2 )。
A.工作扩大化 B.横向扩大化 C.纵向扩大化 D.工作丰富化
27.( p17 )通过增加任务、扩大岗位任务结构,使员工完成任务的内容、形式和手段发生变更。
A.工作丰富化 B.工作扩大化 C.工作结构化 D.工作条例化
28.工作岗位设计方法研究中使研究人员易于发现问题的是( p19 )。
A.程序分析 B.流程图 C.线图 D.作业程序图
A.建工作小组 B.工作丰富化 C.工作扩大化 D.岗位轮换
6.岗位设计工作的内容不包括( p16-p18 )。
A.扩大工作内容 B.员工工作满负荷 C.劳动环境优化 D.劳动关系的改善,
7.人力资源管理的基础工作是( p2 )。
A.人力ห้องสมุดไป่ตู้源计划 B.人员培训 C.劳动定员定额 D.人员分析
8.设置岗位的基本原则是( p15 )。
29.( p22 )是研究人们在生产劳动中的工作规律、工作方法、工作程序、细微动作、作业环境、疲劳规律、人机匹配,以及在工程技术总体设计中人机关系的一门科学。
A.现代工学 B.现代劳动学 C.现代工效学 D.现代配置学
30.( p25 )的基本要素,是任何劳动组织从事经济活动赖以进行的必要条件。
A.人力资源 B.劳动力