(完整版)等保2.0测评表-设备和计算安全-网络设备
等保2.0一二三级测评指标大全
等保2.0测评详细指标（1-3级）PS：一级指标没有整理成表格，二三级整理成表格，看的会清晰一点。
一级测评要求指标一．技术安全大类1.安全的物理环境物理访问控制：机房出入口应安排专人值守或配置电子门禁系统，控制，鉴别和记录进入的人员。
防盗窃和破坏：应将设备或主要部件进行固定，并设置明显的不易除去的标识。
防雷击：应将各类机柜，设施和设备等通过基地系统安全接地。
防火：机房应该设置灭火设备。
防水和防潮：应采取措施防止雨水通过机房窗户，屋顶和墙壁渗透。
温湿度控制：应设置必要的温湿度调节设施，使机房温湿度的变化在设备运行所允许的范围之内。
电力供应：应在机房供电线路上配置稳压器和过电压防护设备。
2.安全的通信网络通信传输：应采用检验技术保证通信过程中数据的完整性。
可信验证：可给予可信根对通信设备的系统引导程序，系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
3.安全的计算环境身份鉴别：1.应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份辨别信息具有复杂度要求并定期更换。
2.应具有登陆失败处理功能，应配置并启用结束会话，限制非法登录次数和挡登录连接超时自动退出等相关措施。
访问控制：1.应对登录的用户分配账户和权限2.应重命名或删除默认账户，修改默认账户的默认口令。
3.应及时删除或停用多余的，过期的账户，避免共享账户的存在。
入侵防范：1.应遵循最小安装的原则，仅安装需要的组件和应用程序。
2.应关闭不需要的系统服务，默认共享和高危端口。
恶意代码防范：应安装放恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库。
可信验证：可基于可信根对计算机设备的系统引导程序，系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
数据完整性：应采用检验技术保证重要数据在传输过程中的完整性。
数据备份恢复：应提供重要数据的本地数据备份与恢复功能。
4.安全的区域边界边界防护：应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。
等保2.0梳理表(含1-4级)excel表格
安全通用要求
安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求
四级 安全通用要求
四级 四级 四级 四级
四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求
安全通用要求
四级 安全通用要求
四级 安全通用要求
四级 安全通用要求
四级
四级 四级 四级 四级 四级
环境管理 环境管理 环境管理
资产管理 资产管理 资产管理 介质管理
四级 安全通用要求 四级 安全通用要求
四级 安全通用要求
四级 安全通用要求
四级 安全通用要求
四级 四级 四级 四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求
四级 安全通用要求
四级 四级
安全通用要求 安全通用要求
四级 安全通用要求
安全运维管理 安全运维管理 安全运维管理
安全运维管理 安全运维管理 安全运维管理 安全运维管理
自行软件开发 自行软件开发 外包软件开发 外包软件开发 外包软件开发 测试验收 测试验收 系统交付 系统交付 系统交付 等级测评 等级测评 等级测评 服务供应商选择 服务供应商选择 服务供应商选择 环境管理
制定和发布 评审和修订
岗位设置
岗位设置
岗位设置 人员配备 人员配备 人员配备 授权和审批 授权和审批 授权和审批 沟通和合作 沟通和合作 沟通和合作 审核和检查 审核和检查
审核和检查 人员录用 人员录用 人员录用 人员录用 人员离岗 人员离岗
四级 四级 四级 四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求
四级 安全通用要求
安全计算环境 安全计算环境 安全计算环境 安全计算环境 安全计算环境
等级保护2.0三级测评要求(含云安全扩展要求)
8.1.5 安全管理中心
8. 1.5.4. 1 测评单元(L3SMC1-07)
8.1.5 安全管理中心
8.1.5.4.2 测评单元(L3SMC1-08)
8.1.5.4.3 测评单元(L3SMC1-09)
8.1.5.4 集中管控
8.1.5.4.4 测评单元(L3SMC1-10)
8. 1.9.4.6 测评单元(L3CMS1-16)
8.1.9 安全建设管理
8.1.9.4.7 测评单元(L3CMS1-17)
8.1.9.5.1 测评单元(L3CMS1-l 8)
8.1.9.5 外包软件开发
8.1.9 安全建设管理
8.1.9.5 外包软件开发
8.1.9.5.2 测评单元(L3CMS1-19)
8. 1.3. 1.4 测评单元(L3ABS1-04)
8. 1.3. 2.1 测评单元(L3ABS1-05)
8. 1.3. 2.2 测评单元(L3ABS1-06)
8. 1.3. 2 访问控制
8.1.3.2.3 测评单元(L3ABS1-07)
8.1.3 安全区域边界
8.1.3.2.4 测评单元(L3ABS1-08)
8.1.3.2.5 测评单元(L3ABS1-09)
8. 1.3.3. 1 测评单元(L3ABS1-10)
8. 1.3.3 入侵防范
8. 1.3.3.2 测评单元(L3ABS1-11)
8. 1.3.3.3 测评单元(L3ABS1-12)
8. 1.3.3.4 测评单元(L3ABS1-13)
8.1.3.4. 1 测评单元(L3ABS1-14)
8. 1.6.2.3 测评单元(L3PSS1-04)
等保2.0测评表-网络和通信安全
24
25 安全审计 26
27
28
集中管控
29
30 集中管控 31
集中管控
32 33
e) 应对安全策略、恶意代码 、补丁升级等安全相关事项进 行集中管理； f) 应能对网络中发生的各类 安全事件进行识别、报警和分 析。
确认人: 确认时间:
序号 1 2 3 4 5 6 7 8 9 10 11
测评对象
测评指标
控制项 a) 应保证网络设备的业务处 理能力满足业务高峰期需要； b) 应保证网络各个部分的带 宽满足业务高峰期需要； c) 应划分不同的网络区域， 并按照方便管理和控制的原则 为各网络区域分配地址； d) 应避免将重要网络区域部 署在网络边界处且没有边界防 护措施； e) 应提供通信线路、关键网 络设备的硬件冗余，保证系统 的可用性。 a) 应采用校验码技术或密码 技术保证通信过程中数据的完 整性； b) 应采用密码技术保证通信 过程中敏感信息字段或整个报 文的保密性。 a) 应保证跨越边界的访问和 数据流通过边界防护设备提供 的受控接口进行通信； b) 应能够对非授权设备私自 联到内部网络的行为进行限制 或检查； c) 应能够对内部用户非授权 联到外部网络的行为进行限制 或检查； d) 应限制无线网络的使用， 确保无线网络通过受控的边界 防护设备接入内部网络。 a) 应在网络边界或区域之间 根据访问控制策略设置访问控 制规则，默认情况下除允许通 信外受控接口拒绝所有通信；
结果记录
符合情况
备注
网络架构
通信传输 通信传输 边界防护
边界防护
12
访问控制
13
14 访问控制 15
16
b) 应删除多余或无效的访问 控制规则，优化访问控制列 表，并保证访问控制规则数量 最小化； c) 应对源地址、目的地址、 源端口、目的端口和协议等进 行检查，以允许/拒绝数据包 进出； d) 应能根据会话状态信息为 进出数据流提供明确的允许/ 拒绝访问的能力，控制粒度为 端口级； e) 应在关键网络节点处对进 出网络的信息内容进行过滤， 实现对内容的访问控制。 a) 应在关键网络节点处检测 、防止或限制从外部发起的网 络攻击行为； b) 应在关键网络节点处检测 、防止或限制从内部发起的网 络攻击行为； c) 应采取技术措施对网络行 为进行分析，实现对网络攻击 特别是新型网络攻击行为的分 析； d) 当检测到攻击行为时，记 录攻击源 IP、攻击类型、攻 击目的、攻击时间，在发生严 重入侵事件时应提供报警。 a) 应在关键网络节点处对恶 意代码进行检测和清除，并维 护恶意代码防护机制的升级和 更新；
等保2.0测评高危项自查表(等保三级系统)
器和网络设备进行管理，可判定为高风险
对可用性要求较高的系统，若网络链路为单链路，核心网络节点、核心网络设备或
关键计算设备无冗余设计，一旦出现故障，可能导致业务中断，可判定为高风险。
对数据传输完整性要求较高的系统，数据在网络层传输无完整性保护措施，一旦数
据遭到篡改，可能造成财产损失的，可判定为高风险。建议采用校验技术或密码技
21 计算环境部分 22 计算环境部分
23 计算环境部分
24 计算环境部分
25 计算环境部分
26 计算环境部分 27 计算环境部分
28 计算环境部分
29 计算环境部分 30 计算环境部分 31 计算环境部分 32 计算环境部分 33 计算环境部分 34 计算环境部分 35 计算环境部分 36 计算环境部分 37 计算环境部分 38 计算环境部分 39 计算环境部分
判定为高风险。（包括1如相关漏洞暴露在可控的网络环境，可酌情降低风险等 级；2如某网络设备的WEB管理界面存在高风险漏洞，而该WEB管理界面只能通过
特定的IP或特定可控环境下才可访问，可酌情降低风险等级） 通过验证测试或渗透测试能够确认并利用的，可对网络设备、安全设备、操作系统 、数据库等造成重大安全隐患的漏洞（包括但不限于缓冲区溢出、提权漏洞、远程
置不当；2非授权接入无线网络将对内部核心网络带来较大安全隐患）
与互联网互连的系统，边界处如无专用的访问控制设备或配置了全通策略，可判定
为高风险。（包括1互联网出口无任何访问控制措施；2互联网出口访问控制措施配
置不当，存在较大安全隐患；互联网出口访问控制措施配置失效，启用透明模式，
无法起到相关控制功能）
的，可判定为高风险。 判例内容：未建立任何与安全管理活动相关的管理制度或相关管理制度无法适用于
等保2.0-二、三级系统所需安全设备
一、等级保护二级系统（一）物理和环境安全层面安全措施需求如下：1、防盗报警系统2、灭火设备和火灾自动报警系统3、水敏感检测仪及漏水检测报警系统4、精密空调5、备用发电机（二）网络和通信安全及设备和计算安全层面需要部署的安全产品如下：1、防火墙或者入侵防御系统2、上网行为管理系统3、网络准入系统4、审计平台或者统一监控平台（可满足主机、网络和应用层面的监控需求，在条件不允许的情况下，至少要使用数据库审计）5、防病毒软件（三）应用及数据安全层面需要部署的安全产品如下：1、VPN2、网页防篡改系统（针对网站系统）3、数据异地备份存储设备4、主要网络设备、通信线路和数据处理系统的硬件冗余（关键设备双机冗余）。
二、等级保护三级系统（一）物理和环境安全层面安全措施需求如下：1、需要使用彩钢板、防火门等进行区域隔离2、视频监控系统3、防盗报警系统4、灭火设备和火灾自动报警系统5、水敏感检测仪及漏水检测报警系统6、精密空调7、除湿装置8、备用发电机9、电磁屏蔽柜（二）网络和通信安全及设备和计算安全层面需要部署的安全产品如下：1、入侵防御系统2、上网行为管理系统3、网络准入系统4、统一监控平台（可满足主机、网络和应用层面的监控需求）5、防病毒软件6、堡垒机7、防火墙8、审计平台（满足对操作系统、数据库、网络设备的审计，在条件不允许的情况下，至少要使用数据库审计）（三）应用及数据安全层面需要部署的安全产品如下：1、VPN2、网页防篡改系统（针对网站系统）3、数据异地备份存储设备4、主要网络设备、通信线路和数据处理系统的硬件冗余（关键设备双机冗余）5、数据加密软件（满足加密存储，且加密算法需获得保密局认可）。
等保2.0自查表
28
安全通信网络
通信传输
a)应采用校验技术或加解密技术保证通信过程中数据的完整性；
VPN、加密机、SSH、SSL、MD5、防篡改等
1.要求业务应用和运维管理的通信过程都采用非对称加密、哈希校验等密码技术，保障数据传输过程安全可靠。
2.检查所选设备是否具有国家相关部门加解密认证证书及其证书有效性，如国密算法、商密算法等。
3.测试设备是否满足业务高峰期需求。
4.按照业务系统服务的重要次序定义带宽分配的优先级，在网络拥堵时优先保障重要主机；
24
安全通信网络
网络架构
b)应保证网络各个部分的带宽满足业务高峰期需要；
关键网络节点双机冗余、网管软件、QoS监控、CDN网络加速
1.要求网络进出口和核心网络的流量满足高峰期需求；
2.尽量采用不同运营商网络通信线路，保障网络业务的连续性
防盗报警系统、视频监控系统、机房动力环境监控系统
要求部署防盗报警系统或视频监控系统，对于监控信息需保存6个月以上
机房专人值守，定期复查视频记录等，并进行记录告
7
安全物理环境
防雷击
a)应将各类机柜、设施和设备等通过接地系统安全接地；
建设接地网、机房动力环境监控系统
管理制度中规定范围内的设备必须接地
定期检查接地电阻，并进行记录
复合岩棉彩钢板、铯钾防火玻璃等
1.要求对机房中重要信息或者关键业务系统需要和常规信息系统和设备进行隔离；
2.要求隔断防火设备需采用复合岩棉彩钢板、铯钾防火玻璃等;
1.检查存储重要信息和关键信息系统是否有与普通信息系统进行隔离，隔离方式是否满足要求，并出具分析报告；
信息系统安全等级保护等级测评报告模板【等保2.0】
报告编号：XXXXXXXXXXX-XXXXX-XX-XXXXXX-XX网络安全等级保护[被测对象名称]等级测评报告等保2.0委托单位：测评单位：报告时间：年月网络安全等级测评基本信息表声明【填写说明：声明是测评机构对测评报告的有效性前提、测评结论的适用范围以及使用方式等有关事项的陈述。
针对特殊情况下的测评工作，测评机构可在以下建议内容的基础上增加特殊声明。
】本报告是[被测对象名称]的等级测评报告。
本报告是对[被测对象名称]的整体安全性进行检测分析，针对等级测评过程中发现的安全问题，结合风险分析，提出合理化建议。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测对象当时的安全状态有效。
当测评工作完成后，由于被测对象发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对被测对象内部部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。
单位名称（加盖单位公章）年月日等级测评结论【填写说明：此表描述等级保护对象及等级测评活动中的一般属性。
包括被测对象名称、安全保护等级、被测对象描述、测评工作描述、等级测评结论及综合得分。
如被测对象为云计算（包括平台/系统）或大数据（包括平台/应用/资源），则需要增加云计算安全扩展表或大数据安全扩展表。
】等级测评结论扩展表（云计算安全）【填写说明：此表描述与云计算（包括平台/系统）相关的扩展信息。
云计算形态用于明确被测对象为云计算平台还是云服务客户业务应用系统，此处为单选。
运维所在地用于明确云计算服务的后台技术管理者所在位置，方便公安机关监管。
云服务模式用于明确被测对象所采用的服务模式，此处为单选。
注意，一个云计算平台可能有多种服务模式，每种服务模式单独构成一个定级系统，对应一份定级报告及一份等级测评报告。
等保2.0(3级)安全计算环境评测项与详细评测步骤
和应用程序；
动终端、移动终端管理系统、 应用程序。
移动终端管理客户端、感知节
点设备、网关节点设备、控制
16
设备等；
b)应关闭不需要的系统
服务、默认共享和高危 同上
17
端口；
1、应核查是否关闭了非必要的系统服 务和默认共享； 2、应核查是否不存在非必要的高危端 口。
c)应通过设定终端接入
方式或网络地址范围对 通过网络进行管理的管
15
断。
应测试验证通过非审计管理员的其他账 户来中断审计进程，验证审计进程是否 受到保护。
终端和服务器等设备中的操作
系统（包括宿主机和虚拟机操 作系统）、网络设备（包括虚
a)应遵循最小安装的原 拟机网络设备）、安全设备 1、应核查是否遵循最小安装原则；
则，仅安装需要的组件 （包括虚拟机安全设备）、移 2、应核查是否未安装非必要的组件和
拟机网络设备）、安全设备 （包括虚拟机安全设备）、移 动终端、移动终端管理系统、 移动终端管理客户端、感知节 点设备、网关节点设备、控制
1、应核查是否为用户分配了账户和权 限及相关设置情况； 2、应核查是否已禁用或限制匿名、默 认账户的访问权限
设备、业务应用系统、数据库
管理系统、中间件和系统管理
5
软件及系统设计文档等；
1
求并定期更换；
软件及系统设计文档等；
1、应核查是否配置并启用了登录失败
b)应具有登录失败处理
处理功能；
身份鉴 功能，应配置并启用结 别 束会话、限制非法登录 次数和当登录 连接超时自动退出等相
2、应核查是否配置并启用了限制非法 登录功能，非法登录达到一定次数后采 取特定动作，如账号锁定等； 3、应核查是否配置并启用了登录连续
信息安全等级保护2.0测评大全
控制点安全要求要求解读a)应指定专门的部门或人是负责机房安全、对机房的出入进行管理，定期对机房供配电、空调、温湿度控制，消防等设施进行维护管理机房是存放等级保护对象基础设施的重要场所,要落实机房环境的管理责任人，因此要确保机房的运行环境良好、安全，应对机房环境进行严格管理和控制b)应建立机房安全管理制度，对有关物理访问、物品进出和环境安全等方面的管理作出规定为保证系统有个良好安会的运行环境，应针对机房建立管理规定或要求c)应不在重要区域接待来访人员，不随意放置含有敏感信息的纸质文件和移动介质等加强内部办公环境的管理是控制网络安全风险的措施之一，为保证内部办公环境的独立性、敏感性，应降低外部人员无意或有意访问内部区域的可能性，同时杜绝都员工因无意行为而泄露敏感文档而导致网络安全事件的发生a)应编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容等级保护对象资产种类较多，如保护对象的资产管理比较混乱，容易导致等级保护对象发生安全问题或不利于发生安全问题时有效应急b)根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施信息资产的重要程度不同，在系统中所起的作用也不尽相同，应综合考虑资产的价值、在系统件的地位，作用等因素，按照重要程度高低对资产进行分类、分级管理，分类的原则应在相关文档中选行明确，且需明确重要资产和非重要资产在资产管理环节(如入库、维修、出c）应对信息分类与标识方法作出规定，并对信息的使用，传输和存储等进行规范化管理信息作为资产的一种，可根据其所属的类别不同，重要程度不同进行信息的整理分类(一般可分为:敏感、内部公开、对外公开等不同类别），不同类别的信息在使用、传输和存储等方面管理要求也应不同a)应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储介质专人管理，并根据存档介质的目录清单定期查点介质类型可包括纸介质、磁介质、光介质等，由于存储介质是用来存放系统相关数据的，因此，介质管理工作非常重要，如果管理不善，可能会造成数据的丢失或损坏，应为存储介质提供安全的存放环境并进行妥善的管控b)应对介质的物理传输过程中的人员选择、打包、交付等情况进行控制，并对介质的归等进行登记记录需系统存在离线的存储备份介质应对其进行管控，如对介质进行两地传输时，应遵循一定的管理要求，应选择可靠的传送人员，并对打包交付过程签字确认等a)应对各种设备(包括备份和冗余设备)、线路等指定专门的部门成人员定期进行维护管理对设备进行有效的维护管理，在一定程度上可降低系统发生安全问题的概率，应明确设备管理的责任部门或人员环境管理资产管理介质管理b)应建立配套设施、软硬件维护方面的管理制度。
(完整版)等保2.0三级需要的设备
使用范围
基本要求
产品类型Байду номын сангаас例
安全计算环境
身份鉴别
堡垒机、VPN、主机配置项
访问控制（权限分离）
主机配置项+下一代防火墙、VPN、运维堡垒机
安全审计
下一代防火墙、日志审计系统
入侵防范
主机配置项+IPS、安全感知平台、EDR、主机入侵检测产品（HIDS）
恶意代码防范
通讯传输
VPN设备、SSL
可信验证
重要应用程序的动态可信验证
安全管理中心
系统管理
运维堡垒主机、安全管理平台
审计管理（网络、主机、应用）
安全审计系统、运维堡垒主机、数据库审计、日志审计
安全管理
运维堡垒主机、APM
集中管理
运维堡垒主机、主机安全管理平台、态势感知
主机安全组件（EDR）、网络版防病毒软件
可信验证
重要应用程序的动态可信验证
数据完整性
VPN、CA、系统使用HTTPS,SSL
数据保密性
VPN、数据加密软件
数据备份恢复
数据备份软件+容灾备份系统、HCIXYClouds、热备
剩余信息保护
终端综合管理系统
个人信息保护
行为审计
安全区域边界
边界防护
下一代防火墙、安全感知平台
访问控制
下一代防火墙、上网行为管理
入侵防范
IPS、安全感知平台、IDS
恶意代码和垃圾邮件防范
下一代防火墙+AV模块、邮件安全网关、防病毒网关、沙箱
安全审计
日志审计系统、上网行为管理、下一代防火墙、SSL VPN
可信验证
(完整版)网络安全等级保护2.0-通用要求-表格版
网络安全等级保护基本要求第1 部分：安全通用要求一、技术要求:基本要求第一级第二级第三级第四级a) 机房场地应选择在具有防a) ; a) ;b) ; b) ;震、防风和防雨等能力的建筑内；物理位置的选择/b) 机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施a) a) 机房出入口应配置电子门禁a) 机房出入口应安排专人值a) ;物理访问控制守或配置电子门禁系统，控制、鉴别和记录进入的人员系统，控制、鉴别和记录进入的人员b) 重要区域应配置第二道电子门禁系统，控制、鉴别和记录进入的人员物理和环境安全防盗窃和防破坏a) 应将机房设备或主要部件进行固定，并设置明显的不易除去的标记a) ；b) 应将通信线缆铺设在隐蔽处，可铺设在地下或管道中。
a) ；b) ；c) 应设置机房防盗报警系统或设置有专人值守的视频监控系统a) ;b) ;c) ;a) a) ；a) 应将各类机柜、设施和设a) ;b) ;备等通过接地系统安全接地b) 应采取措施防止感应雷，防雷击例如设置防雷保安器或过压保护装置等a) 机房应设置灭火设备a) 机房应设置火灾自动消防a) ；a) ;b) ;系统，能够自动检测火情、自b) ；c) ;动报警，并自动灭火；c) 应对机房划分区域进行管防火b) 机房及相关的工作房间和理，区域和区域之间设置隔离辅助房应采用具有耐火等级的防火措施。
建筑材料a) ; a) 应采取措施防止雨水通过a) ；a) ；防水和防潮机房窗户、屋顶和墙壁渗透b) 应采取措施防止机房内水蒸气结露和地下积水的转移与b) ；c) 应安装对水敏感的检测仪b) ;c) ;渗透表或元件，对机房进行防水检测和报警。
a) 应安装防静电地板并采用a) ；a) ;防静电/ 必要的接地防静电措施b) 应采用措施防止静电的产生，例如采用静电消除器、佩b) ;戴防静电手环等。
a) ; a) ; a)机房应设置必要的温、湿a) 机房应设置温湿度自动调节温湿度控制度控制设施，使机房温、湿度的变化在设备运行所允许的范围之内设施，使机房温湿度的变化在设备运行所允许的范围之内a) 应在机房供电线路上配置a) ；a) ；a) ；电力供应稳压器和过电压防护设备b) 应提供短期的备用电力供应，至少满足设备在断电情况b) ；c) 应设置冗余或并行的电力b) ；c) ；下的正常运行要求电缆线路为计算机系统供电。
干货!网络安全等保2.0一图知所有
网络安全等级保护2.0介绍网络安全建设需求分析政策驱动：ü《网络安全法》——第21条、第31条明确规定了网络运营者和关键信息基础设施运营者都应该按等级保护要求对系统进行安全保护；违者将面临暂停业务、停业整顿、吊销相关业务许可证或者吊销营业执照等处罚，最高处罚金额可达人民币100万元。
ü 2019年5月13日网络安全等级保护技术2.0版本正式公开发布，2019年12月底正式实施。
《等保2.0》的正式出台，减少了等保二、三级控制项，进一步完善优化等保建设标准体系；业务现状：ü各行各业都面临着勒索病毒、挖矿病毒泛滥的问题，医疗行业更是重灾区，有29%勒索软件的攻击目标是各类医疗相关机构，数据重要性强，his、pcas、LIS等重要数据，命中勒索病毒后，付费赎买几率较大；ü医疗行业也是黑客攻击主要目标，公民基础身份信息附加价值大，电信诈骗等黑产，对病患医疗信息重视，可以花比较大的价钱购买，刺激数据盗窃行为；ü安全问题处理效率低下，业务系统出现问题不能及时定位，事故处理效率低，影响正常业务进展，甚至造成医疗事故；核心诉求：Ø符合《网络安全法》和《等保2.0》相关法律标准要求Ø有效抵御外界安全攻击，避免医院和病患经济损失Ø提升业务系统安全问题处理效率，保障医院正常业务不中断等保2.0基本要求结构信息系统物理安全技术要求变化管理要求变化基本要求网络安全主机安全应用安全数据安全及备份恢复安全管理制度安全管理机构人员安全管理系统建设管理系统运维管理物理和环境安全网络和通信安全设备和计算安全应用和数据安全安全策略和管理制度安全管理机构和人员安全建设管理安全运维管理安全物理环境安全通信网络安全区域边界安全计算环境安全管理中心安全管理制度安全管理机构安全管理人员安全建设管理安全运维管理等保1.0等保2.0试行稿等保2.0最新稿一个中心三重防御围绕“一个中心三重防护”的等保方案设计防病毒防病毒防病毒防病毒互联网出口区NGFW电信出口路由器移动联通APT检测行为管理核心交换机运维审计身份认证流量探针大数据安全IT运维漏洞扫描VPNNGFW业务系统1业务系统2业务系统3WG入侵防御业务系统4动态防御NGFWNGFW动态防御动态防御防篡改防篡改防篡改防篡改数据库审计安全服务防病毒防病毒防病毒防病毒安全等保2.0典型拓扑大数据安全(流量+日志)IT运维管理堡垒机漏洞扫描下一代防火墙VPN 路由器交换机下一代防火墙(防病毒+垃圾邮件)入侵检测/防御上网行为管理安全沙箱动态防御系统身份认证管理流量探针WEB应用防护入侵检测/防御数据库审计网页防篡改漏洞风险评估(渗透+漏扫服务)动态防御系统杀毒软件等保建设咨询服务•对安全进行统一管理与把控•集中分析与审计•定期识别漏洞与隐患•构建安全的网络通信架构•保障信息传输安全•强化安全边界防护及入侵防护•优化访问控制策略•强调系统及应用安全•加强身份鉴别机制与入侵防范双因素认证等保2.0配置推荐表序号等保所需产品与服务必备/可选(等保二级)必备/可选(等保三级)1防火墙必备必备2入侵防御【IPS】必备必备3日志审计【BDS】必备必备4渗透测试服务可选可选5漏洞扫描服务必备必备6堡垒机【OAS】必备必备7上网行为管理【UAC】必备必备8WAF应用防火墙可选必备9终端准入系统可选必备10双因素认证可选可选11数据库审计【DBS】可选必备12等级保护建设咨询可选可选13安全事件处置服务可选可选14网站防篡改可选必备15机房运维管理软件可选可选16新型攻击防御可选可选17网络版杀毒软件必备必备18数据存储备份必备必备序号等保产品名称功能作用1防火墙网络安全的第一道防线，用于监控和控制进出网络的数据包，根据预设的安全规则允许或阻止网络流量。
等保2.0梳理表内容
安全运维管理
网络和系统安全管理
安全运维管理 安全运维管理
网络和系统安全管理 网络和系统安全管理
四级 四级
安全通用要求 安全通用要求
四级 安全通用要求
四级 四级 四级 四级 四级 四级 四级 四级 四级 四级 四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求
安全运维管理 安全运维管理 安全运维管理
安全运维管理 安全运维管理 安全运维管理 安全运维管理
自行软件开发 自行软件开发 外包软件开发 外包软件开发 外包软件开发 测试验收 测试验收 系统交付 系统交付 系统交付 等级测评 等级测评 等级测评 服务供应商选择 服务供应商选择 服务供应商选择 环境管理
四级 四级 四级 四级 四级 四级
安全通用要求
安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求
四级 安全通用要求
四级 四级 四级 四级
四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求
安全通用要求
四级 安全通用要求
四级 安全通用要求
四级 安全通用要求
四级
四级 四级 四级 四级 四级
四级 安全通用要求
四级 四级 四级 四级 四级 四级 四级
安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求 安全通用要求
安全运维管理 安全运维管理
安全运维管理
安全运维管理 安全运维管理 安全运维管理 安全运维管理 安全运维管理 安全运维管理 安全运维管理 安全运维管理 安全运维管理 安全运维管理 安全运维管理
等保2.0测评表-应用和数据安全-业务软件
12
13
安全审计
14
15 16 17 20 21 22 资源控制 资源控制
资源控制 23
24
数据完整性
25
数据完整性
26
数据保密性
c) 应能够对单个账户的多重 并发会话进行限制。 a) 应采用校验码技术或密码 技术保证重要数据在传输过程 中的完整性，包括但不限于鉴 别数据、重要业务数据、重要 审计数据、重要配置数据、重 要视频数据和重要个人信息 等； b) 应采用校验码技术或密码 技术保证重要数据在存储过程 中的完整性，包括但不限于鉴 别数据、重要业务数据、重要 审计数据、重要配置数据、重 要视频数据和重要个人信息等 。 a) 应采用密码技术保证重要 数据在传输过程中的保密性， 包括但不限于鉴别数据、重要 业务数据和重要个人信息等； b) 应采用密码技术保证重要 数据在存储过程中的保密性， 包括但不限于鉴别数据、重要 业务数据和重要个人信息等。 a) 应提供重要数据的本地数 据备份与恢复功能； b) 应提供异地实时备份功 能，利用通信网络将重要数据 实时备份至备份场地； c) 应提供重要数据处理系统 的热冗余，保证系统的高可用 性。 a) 应保证鉴别信息所在的存 储空间被释放或重新分配前得 到完全清除；
序号 1
测评对象
测评指标
2 3 身份鉴别 4
控制项 结果记录 a) 应对登录的用户进行身份 标识和鉴别，身份标识具有唯 一性，鉴别信息具有复杂度要 求并定期更换； b) 应提供并启用登录失败处 理功能，多次登录失败后应采 取必要的保护措施； c) 应强制用户首次登录时修 改初始口令； d) 用户身份鉴别信息丢失或 失效时，应采用技术措施确保 鉴别信息重置过程的安全； e) 应采用两种或两种以上组 合的鉴别技术对用户进行身份 鉴别，且其中一种鉴别技术至 少应使用动态口令、密码技术 或生物技术来实现。 a) 应提供访问控制功能，对 登录的用户分配账户和权限； b) 应重命名或删除默认账 户，修改默认账户的默认口 令； c) 应及时删除或停用多余的 、过期的账户，避免共享账户 的存在； d) 应授予不同账户为完成各 自承担任务所需的最小权限， 并在它们之间形成相互制约的 关系； e) 应由授权主体配置访问控 制策略，访问控制策略规定主 体对客体的访问规则；
等保2.0 测评项目清单内容 228项清单
等保2.0 是指信息系统安全等级保护2.0的缩写，是我国信息安全领域的重要标准之一。
为了评估一个信息系统是否符合等保2.0的标准，就需要进行等保2.0的测评。
而在进行等保2.0的测评时，就需要使用到228项的测评项目清单。
下面就来详细介绍一下等保2.0测评项目清单的内容。
一、网络安全1. 网络安全管理制度是否健全2. 网络安全保护技术是否到位3. 网络边界安全防护能力是否强化4. 网络安全监测和预警系统是否完善5. 网络安全事件应急响应能力是否有保障二、数据安全1. 数据安全管理制度是否健全2. 数据备份与恢复是否得当3. 数据加密技术是否应用到位4. 数据安全监测和预警系统是否完善5. 数据泄露风险防范能力是否符合要求三、应用安全1. 应用系统安全管理制度是否健全2. 应用系统权限控制是否有效3. 应用系统漏洞管理是否及时4. 应用系统安全防护技术是否到位5. 应用系统安全审计与监测能力是否完善四、系统安全1. 操作系统安全配置是否合规2. 系统基线配置是否达标3. 系统安全防护能力是否强化4. 系统漏洞管理是否及时5. 系统安全审计和监测系统是否完善五、物理安全1. 机房和设备的物理安全控制是否符合要求2. 机房和设备的入侵检测与防范能力是否到位3. 机房和设备的监控与报警系统是否完善4. 机房和设备的灾备和可用性控制是否有效5. 机房和设备的维护管理制度是否健全六、人员安全1. 信息安全人员的保密意识与责任制度是否健全2. 信息安全人员的权限控制管理是否有效3. 信息安全人员的培训与考核是否得当4. 信息安全事件处置与报告流程是否符合要求5. 信息安全人员的岗位责任是否明确七、管理安全1. 信息安全管理制度是否健全2. 信息安全政策与规范是否完善3. 信息安全管理控制是否有效4. 信息安全内部审核与评估是否及时5. 信息安全管理体系是否符合等保2.0标准要求总结：等保2.0 测评项目清单内容共包括228项清单，涵盖了网络安全、数据安全、应用安全、系统安全、物理安全、人员安全和管理安全等多个方面。
网络安全等级保护V2.0测评指标
c）应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测；
d）应对分散在各个设备上的审计数据进行收集汇总和集中分析；
e）应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理；
f）应对网络中发生的各类安全事件进行识别、报警和分析。
6、安全管理机构和人员
7、安全建设管理
8、安全运维管理
网络安全等级保护（等保V2.0）
测评类
测评项
测评指标
物理和环境安全
物理位置选择
a) 机房场地应选择在具有防震、防风和防雨等能力的建筑内；
b) 机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。
物理访问控制
a）机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。
边界防护
a）应保证跨越边界的访问和数据流通过边界防护设备提供的受控接地进行通信
b）应能够对非授权设备私自联到内部网络的行为进行限制或检查；
c）应能够对内部用户非授权联到外部网络的行为进行限制或检查；
d）应限制无线网络的使用，确保无线网络通过受控的边界防护设备接入内部往来；
访问控制
a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；
c) 应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；
d) 应避免将重要网络区域部署在网络边界处且没有边界防护措施；
e) 应提供通信线路、关键网络设备的硬件冗余，保证系统的可用性。
通信传输
a) 应采用校验码技术或加解密技术保证通信过程中数据的完整性；
b) 应采用加解密技术保证通信过程中敏感信息字段或整个报文的保密性。
等保记录表格—网络安全(Cisco)
(1)关键区域是否有安装防火墙设备
□是□否
(2)关键区域是否有安装入侵检测设备
□是□否Байду номын сангаас
(3)网络设备是否启用远程登录认证
□是□否
(4)网络设备是否启用本地登录认证
□是□否
(5)是否配置了对登录用户进行身份鉴别
□是□否
5
b)应对网络设备的管理员登录地址进行限制；
1、访谈网络管理员，询问远程管理的设备是否采取措施防止鉴别信息被窃听；
2、应检查边界和关键网络设备，查看是否配置了对设备远程管理所产生的鉴别信息进行保护的功能；
3、应对边界和关键网络设备进行渗透测试，通过使用各种渗透测试技术对网络设备进行渗透测试，验证网络设备防护能力是否符合要求。
是否启用ssh服务
网络安全（Cisco）
序号
指标名称
测评实施过程
测评结果
测评项
测评说明
现场测评记录
要求项符合记录
权值
1
访问控制
a)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；
1、应检查边界网络设备，查看其是否根据会话状态信息对数据流进行控制，控制粒度是否为端口级。
(1)是否根据会话状态信息对数据流进行控制
□是□否
3
b)审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；
1、应访谈安全审计员，询问边界和主要网络设备是否开启安全审计功能，审计内容包括哪些项；询问审计内容是什么；对审计记录的处理方式有哪些；
2、应检查边界和主要网络设备，查看事件审计记录是否包括：事件的日期和时间、用户、事件类型、事件成功情况，及其他与审计相关的信息；
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
删除、修改或覆盖等；
15
d) 应确保审计记录的留存时 间符合法律法规要求；
16
e) 应对审计进程进行保护， 防止未经授权的中断。
a) 应采用免受恶意代码攻击
的技术措施或可信验证机制对
17
恶意代码防范
系统程序、应用程序和重要配 置文件/参数进行可信执行验
证，并在检测到其完整性受到
破坏时采取恢
符合情况 备注
网络设备
a) 应启用安全审计功能，审
12
安全审计
计覆盖到每个用户，对重要的 用户行为和重要安全事件进行
审计； b) 审计记录应包括事件的日
13
期和时间、用户、事件类型、 事件是否成功及其他与审计相
关的信息； c) 应对审计记录进行保护，
14
安全审计
定期备份，避免受到未预期的
a) 应限制单个用户或进程对 系统资源的最大使用限度；
19
b) 应提供重要节点设备的硬 件冗余，保证系统的可用性；
资源控制
c) 应对重要节点进行监视，
20
包括监视CPU、硬盘、内存等
资源的使用情况；
d) 应能够对重要节点的服务
21
水平降低到预先规定的最小值
进行检测和报警。
确认人: 确认时间:
序号 1
测评对象
测评指标
2 身份鉴别
3
4
5
访问控制
6
7
8 访问控制
9
10
11
网络设备
控制项
结果记录
a) 应对登录的用户进行身份
标识和鉴别，身份标识具有唯
一性，身份鉴别信息具有复杂
度要求并定期更换；
b) 应具有登录失败处理功 能，应配置并启用结束会话、 限制非法登录次数和当登录连 接超时自动退出等相关措施；
c) 当进行远程管理时，应采
取必要措施，防止鉴别信息在
网络传输过程中被窃听； d) 应采用两种或两种以上组
合的鉴别技术对用户进行身份
鉴别，且其中一种鉴别技术至
少应使用动态口令、密码技术
或生物技术来实现。 a) 应对登录的用户分配账户
和权限； b) 应重命名或删除默认账
户，修改默认账户的默认口
令； c) 应及时删除或停用多余的
、过期的账户，避免共享账户
的存在； d) 应进行角色划分，并授予
管理用户所需的最小权限，实
现管理用户的权限分离； e) 应由授权主体配置访问控
制策略，访问控制策略规定主
体对客体的访问规则； f) 访问控制的粒度应达到主
体为用户级或进程级，客体为
文件、数据库表级； g) 应对敏感信息资源设置安
全标记，并控制主体对有安全