三级等保所需设备及服务培训资料
三级等保培训
23
数据安全及备份恢复的整2021改/7/1 要点
数据完整性 数据保密性
备份和恢复
鉴别数据传输的完整性 鉴别数据存储的保密性
重要数据的备份 硬件冗余
各类数据传输及存储 检测和恢复
各类数据的传输及存储
网络冗余、硬件冗余
（沪公发[2009]187号）－－－沪公发[2009]173号、沪密局[2009]39号、。。。
5
等级保护－－十大核心2021标/7/1 准
基础类
《计算机信息系统安全保护等级划分准则》GB 17859-1999 《信息系统安全等级保护实施指南》GB/T CCCC-CCCC 报批稿
应用类
定级：《信息系统安全保护等级定级指南》GB/T 22240-2008 建设：《信息系统安全等级保护基本要求》GB/T 22239-2008
整改要点：信息安全领导小组与职能部门、 专职安全员、定期全面安全检查、定期协调 会议、外部沟通与合作等
28
三级系统安全保护要求—人20员21/7/1 安全管理
对人员安全的管理，主要涉及两方面： 对内部 人员的安全管理和对外部人员的安全管理。
人员安全管理具体包括：5个控制点 人员录用、人员离岗、人员考核、 安全意识教育及培训、外部人员访问管理
《信息系统通用安全技术要求》GB/T 20271-2006 《信息系统等级保护安全设计技术要求》 测评：《信息系统安全等级保护测评要求》 GB/T DDDD-DDDD 报批稿 《信息系统安全等级保护测评过程指南》 管理：《信息系统安全管理要求》GB/T 20269-2006 《信息系统安全工程管理要求》GB/T 20282-2006
信息安全等级保护建设(二三级)需上的设备
信息安全等级保护二级：一、机房方面的安全措施需求（二级标准）如下：1、防盗报警系统2、灭火设备和火灾自动报警系统3、水敏感检测仪及漏水检测报警系统4、精密空调5、备用发电机二、主机和网络安全层面需要部署的安全产品如下：1、防火墙或者入侵防御系统2、上网行为管理系统3、网络准入系统4、审计平台或者统一监控平台（可满足主机、网络和应用层面的监控需求，在条件不允许的情况下，至少要使用数据库审计）5、防病毒软件三、应用及数据安全层面需要部署的安全产品如下：1、VPN2、网页防篡改系统（针对网站系统）3、数据异地备份存储设备4、主要网络设备、通信线路和数据处理系统的硬件冗余（关键设备双机冗余）。
信息安全等级保护三级：一、机房方面的安全措施需求（三级标准）如下：1、需要使用彩钢板、防火门等进行区域隔离2、视频监控系统3、防盗报警系统4、灭火设备和火灾自动报警系统5、水敏感检测仪及漏水检测报警系统6、精密空调7、除湿装置8、备用发电机9、电磁屏蔽柜二、主机和网络安全层面需要部署的安全产品如下：1、入侵防御系统2、上网行为管理系统3、网络准入系统4、统一监控平台（可满足主机、网络和应用层面的监控需求）5、防病毒软件6、堡垒机7、防火墙8、审计平台（满足对操作系统、数据库、网络设备的审计，在条件不允许的情况下，至少要使用数据库审计）三、应用及数据安全层面需要部署的安全产品如下：1、VPN2、网页防篡改系统（针对网站系统）3、数据异地备份存储设备4、主要网络设备、通信线路和数据处理系统的硬件冗余（关键设备双机冗余）。
5、数据加密软件（满足加密存储，且加密算法需获得保密局认可）。
（以上内容为个人建议，不作为标准答案，仅供参考）没有绝对安全的网络，只有相对安全的策略。
没有绝对稳定的网络，只有相对稳定的运维！等级保护一门企业必要掌握的知识技能——信息安全等级保护是指对存储、传输、处理信息的信息系统分等级实行安全保护，对信息系统中使用的安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级进行响应、处置。
三级等保所需设备及服务
三级等保所需设备及服务一、设备：1. 防火墙（Firewall）：用于阻止非法访问信息系统，并进行入侵检测和防范。
2.IDS/IPS系统（入侵检测与防御系统）：用于监控和检测系统中的入侵行为，并采取相应的防御措施。
3.安全硬件设备：如加密机、安全存储设备、虚拟专用网设备等，用于保障数据的加密和存储安全。
4.安全审计设备：用于对系统的安全事件进行审计和记录，以便追溯和防范安全威胁。
5.服务器设备：用于存储和处理大量的敏感数据，并提供相应的服务功能。
6.数据备份与恢复设备：用于保障数据的可靠备份和紧急恢复，以应对数据泄露或系统崩溃等情况。
二、服务：1.安全评估与测试服务：对信息系统进行安全评估和测试，发现潜在漏洞和安全风险，并提出相应的修补和改进建议。
2.漏洞管理服务：对系统进行漏洞扫描和漏洞管理，及时修复系统中的漏洞，防止黑客利用漏洞进行攻击。
3.安全运维服务：对信息系统进行安全运维和管理，包括安全事件响应、安全日志分析和异常流量检测等。
4.信息安全培训服务：对系统用户进行安全意识和操作培训，提高用户的信息安全意识和防范能力。
5.网络监控与安全响应服务：对网络流量进行监控和分析，及时发现异常流量和安全事件，并采取相应的安全响应措施。
6.安全策略制定与执行服务：制定系统的安全策略和规范，确保系统遵循相关的安全标准和规范，并实施相应的安全措施。
除了设备和服务之外，三级等保还涉及到一系列的技术措施和管理措施，如密码策略、访问控制、权限管理、数据备份和恢复方案等。
同时，还需要进行定期的风险评估和安全审计，及时发现和处理系统中的安全威胁，保障信息系统的安全性。
总之，三级等保所需的设备和服务是多方面的，包括硬件设备、软件服务和安全运维服务等，通过综合运用这些设备和服务，可以有效保障信息系统的安全性，防止信息泄露和黑客攻击。
(完整版)三级等保所需设备及服务
序号
服务名称
功能
是否必须
备注
1
信息安全制度完善
完善信息安全管理制度，评审修订
是
2
安全检查
网络安全检查
是
3
安全培训
安全意识培训或安全技术培训
是
4
安全专家
应聘请信息安全专家作为常年的安全顾问，征询信息安全相关事宜
是
与防毒墙代码库相异；及时更新；支持统一管理
安全管理区
是
3
Web防火墙
防SQL注入、跨站攻击等
服务器前端
是
4
网页防篡改系统
篡改检测模块（数字水印技术和应用防护模块（防注入攻击），实现了对静态和动态网页和脚本的实时检测和恢复，
服务器区
6
漏洞扫描设备
通过漏洞扫描发现漏洞；通过终端安全分发补丁
核心交换区
7
堡垒机
等级
1物理安全部分
序号
设备或措施
功能
部署位置
是否必须
备注
1
电子门禁
重要出入口（包括机房出入口和重要区域出入口等）
1、机房入口
2、重要服务器区入口
是
2
光电防盗报警
视频监控系统
防盗报警
机房窗户、入口等处
是
可通过监控弥补
3
防雷保安器
防感应雷
配电箱
是
4
自动消防系统
要求自动检测火情、自动报警、自动灭火
可以用手动灭火器加报警器组成
实现对网络设备、安全设备、服务器设备的远程集中管理、运维监控
核心交换区
8
数据库审计
实现对数据库的操作监控，语句回溯
服务器区或核心交换去
等保2.0-二、三级系统所需安全设备
一、等级保护二级系统（一）物理和环境安全层面安全措施需求如下：1、防盗报警系统2、灭火设备和火灾自动报警系统3、水敏感检测仪及漏水检测报警系统4、精密空调5、备用发电机（二）网络和通信安全及设备和计算安全层面需要部署的安全产品如下：1、防火墙或者入侵防御系统2、上网行为管理系统3、网络准入系统4、审计平台或者统一监控平台（可满足主机、网络和应用层面的监控需求，在条件不允许的情况下，至少要使用数据库审计）5、防病毒软件（三）应用及数据安全层面需要部署的安全产品如下：1、VPN2、网页防篡改系统（针对网站系统）3、数据异地备份存储设备4、主要网络设备、通信线路和数据处理系统的硬件冗余（关键设备双机冗余）。
二、等级保护三级系统（一）物理和环境安全层面安全措施需求如下：1、需要使用彩钢板、防火门等进行区域隔离2、视频监控系统3、防盗报警系统4、灭火设备和火灾自动报警系统5、水敏感检测仪及漏水检测报警系统6、精密空调7、除湿装置8、备用发电机9、电磁屏蔽柜（二）网络和通信安全及设备和计算安全层面需要部署的安全产品如下：1、入侵防御系统2、上网行为管理系统3、网络准入系统4、统一监控平台（可满足主机、网络和应用层面的监控需求）5、防病毒软件6、堡垒机7、防火墙8、审计平台（满足对操作系统、数据库、网络设备的审计，在条件不允许的情况下，至少要使用数据库审计）（三）应用及数据安全层面需要部署的安全产品如下：1、VPN2、网页防篡改系统（针对网站系统）3、数据异地备份存储设备4、主要网络设备、通信线路和数据处理系统的硬件冗余（关键设备双机冗余）5、数据加密软件（满足加密存储，且加密算法需获得保密局认可）。
三级等保测评服务内容
三级等保测评服务内容
三级等保测评是指对信息系统的安全性进行评估和测试，以确定其是否符合国
家三级等级保护标准的要求。
在进行三级等保测评时，需要按照以下内容进行服务：
1.系统资产确认与分类：通过对信息系统中的各种资产进行确认和分类，包括
软件、硬件、网络设备、数据库等，以便全面评估其安全性。
2.安全策略与规划评估：对信息系统的安全策略和规划进行评估，包括密码策略、网络安全策略、应急响应计划等，以确保其与国家三级等保标准相符。
3.权限与访问控制评估：评估系统中的权限管理和访问控制机制，包括用户权
限分配、身份认证、访问控制列表等，以确保系统只被授权人员访问。
4.安全运维管理评估：对系统的安全运维管理进行评估，包括安全事件管理、
日志审计、漏洞管理等，以确保对系统进行有效的监控和管理。
5.物理环境评估：评估物理环境中的安全措施，包括设备布置、防火墙设置、
电力和环境监控等，以确保系统能在安全的物理环境下运行。
6.网络安全评估：评估系统的网络安全性，包括网络拓扑结构、入侵检测与防御、防火墙设置等，以确保系统在网络层面上的安全性。
7.安全培训与意识评估：评估系统用户的安全培训和安全意识程度，并提供相
应的培训和改进建议，以提高系统用户的安全防范意识。
以上是三级等保测评的主要服务内容，通过对系统的各个方面进行评估，可以
帮助企业或组织发现潜在的安全风险，并采取相应的措施进行改进和强化，以确保系统的安全性达到国家三级等级保护标准的要求。
二级等保三级等保所需设备
用情况； 2、应限制单个用户对系统资
运维管理系统
源的最大或最小使用限度；
3、应能够对系统的服务水平
降低到预先规定的最小值进行
检测和报警。
网络设备防护：
1、主要网络设备应对同一用
户选择两种或两种以上组合的
鉴别技术来进行身份鉴别；
18
无要求
2、 应采用两种或两种以上组 合的鉴别技术对管理用户进行
堡垒机+UKey认证
序号 1 2 3 4 5 6
7 8 9 10
11
二等级保护基本要求
三级等保基本要求
所需设备
物理访问控制：
物理访问控制：
1、重要区域应配置电子门禁 1、重要区域应配置电子门禁 系统，控制、鉴别和记录进入 系统，控制、鉴别和记录进入
电子门禁系统
的人员。
的人员。
防盗窃和防破坏：
防盗窃和防破坏：
主机房应安装必要的防盗报警 1、应利用光、电等技术设置
避免受到未预期的删除、修改
或覆盖等
14
安全审计（G3） 1、 审计范围应覆盖到服务器 和重要客户端上的每个操作系 统用户和数据库用户；
日志审计系统 日志服务器 数据库审计系统
2、 审计内容应包括重要用户
行为、系统资源的异常使用和
重要系统命令的使用等系统内
重要的安 全相关事件；3、
审计记录应包括事件的日期、
设施。
机房防盗报警系统；
机房防盗报警系统
2、 应对机房设置监控报警系
统。
防火：
防火：
1、机房应设置灭火设备和火 1、机房应设置灭火设备和火
灾自动报警系统。
灾自动报警系统。
灭火设备 火灾自动报警系统
二级等保与三级等保所需设备
b）应提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求。
UPS
访冋控制（G2）
a） 应在网络边界部署访问控制设备，启用访问控制功能； b） 应能根据会话状态信息为数据流提供明硕的允许/拒绝访问的能力，控制粒度为网段级。 c） 应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户
物理访问控制
1、机房出入口应安排专人值守或配置电子门禁系统、控制、鉴别和记录进入的人员
1、机房出入口应安排专人值守或配置电子门禁系统、控制、鉴别和记录进入的人员
防盗窃和防破坏
1、应将设备或主要部件进行固定，并设置明显的不易除去的标识
1、应将设备或主要部件进行固定，并设置明显的不易除去的标识
2、应将通信线缆铺设在隐蔽安全处
所需设备
物理访问控制（G3）
d）重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。
电子门禁系统
防盜窃和防磁坏（G3）
e） 应利用光、电等技术设置机房防盜报警系统； f） 应对机房设置监控报警系统。
机房防盗报警系统 监控报警系统
防火（G3）
a）机房应设置火灾自动消防系统，能够自动检检测火情、自动报警， 并自动灭火：
边界完整性栓查（S3）
a） 应能够对非授权设备私自联到内部网络的行为进行检查，准确定岀位置.并对其进行有效阻断； b） 应能够对内部网络用户私自联到外部网络的行为进行检査，准确 定出位置，并对其进行有效阻断
准入准岀设备
入侵防范（G3）
a） 应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢岀攻击、IP碎片攻击和网络蠕虫攻击等； b） 当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。
等保2.0三级需要的设备
VPN设备、SSL
可信验证
重要应用程序的动态可信验证
安全管理中心
系统管理
运维堡垒主机、安全管理平台
审计管理（网络、主机、应用）
安全审计系统、运维堡垒主机、数据库审计、日志审计
安全管理
运维堡垒主机、APM
集中管理
运维堡垒主机、主机安全管理平台、态势感知
下一代防火墙、安全感知平台
访问控制
下一代防火墙、上网行为管理
入侵防范
IPS、安全感平台、IDS
恶意代码和垃圾邮件防范
下一代防火墙+AV模块、邮件安全网关、防病毒网关、沙箱
安全审计
日志审计系统、上网行为管理、下一代防火墙、SSL VPN
可信验证
重要应用程序的动态可信验证
安全通信网络
网络架构
下一代防火墙、负载均衡、上网行为管理
等保2.0三级需要的设备
三级系统安全保护环境基本要求与对应产品
使用范围
基本要求
产品类型举例
安全计算环境
身份鉴别
堡垒机、VPN、主机配置项
访问控制（权限分离）
主机配置项+下一代防火墙、VPN、运维堡垒机
安全审计
下一代防火墙、日志审计系统
入侵防范
主机配置项+IPS、安全感知平台、EDR、主机入侵检测产品（HIDS）
恶意代码防范
主机安全组件（EDR）、网络版防病毒软件
可信验证
重要应用程序的动态可信验证
数据完整性
VPN、CA、系统使用HTTPS,SSL
数据保密性
VPN、数据加密软件
数据备份恢复
数据备份软件+容灾备份系统、HCIXYClouds、热备
三级等保培训
5
16
11
45
13
60
73（类） 290（项）
10
三级系统安全保护要求—2021/7物/1 理安全
物理安全主要涉及的方面包括环境安全ห้องสมุดไป่ตู้防火、 防水、防雷击等）设备和介质的防盗窃防破坏等 方面。
物理安全具体包括：10个控制点 物理位置的选择（G）、 物理访问控制（G）、 防盗窃和防破坏（G）、 防雷击（G)、 防火（G）、防水和防潮（G） 、防静电（G） 、 温湿度控制（G）、电力供应（A）、 电磁防护（S）
主要设备冗余空间 整体网络带宽 重要网段部署
路由控制 带宽分配优先级
访问控制
访问控制设备（用户、网段） 拨号访问限制
端口控制
防止地址欺骗
应用层协议过滤
会话终止
最大流量数及最大连接数
安全审计
日志记录
审计报表
审计记录的保护
边界完整性检查
内部的非法联出
非授权设备私自外联 定位及阻断
入侵防范
检测常见攻击
记录、报警
技术/管理 安全技术 安全管理
层面
物理安全 网络安全 主机安全 应用安全 数据安全 安全管理制度 安全管理机构 人员安全管理 系统建设管理 系统运维管理
指标类
类数量
S类 (3级)
A类 (3级)
G类 (3级)
1
1
8
1
0
6
3
1
3
5
2
2
2
1
0
N/A
合计
项数量
小计
小计
10
32
7
33
7
32
9
31
3
二级等保与三级等保所需设备
网络设备防护（G3）
d）主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别； 身份鉴别（S3） f）应釆用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别 身份鉴别（S3） b）应对同一用户釆用两种或两种以上组合的鉴别技术实现用户身份鉴别；
堡垒机+UKey认证
备份和恢复（A3）
二级等保要求及所需设备
等级保护基本要求
所需设备
防盗窃和防破坏（G2〉
e）主机房应安装必要的防盗报警设施。
机房防盜报警系统
防火（G2）
机房应设置灭火设备和火灾自动报警系统。
灭火设备 火灾自动报警系统
温湿度控制（G2）
机房应设置湿、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。
机房专用空调
a） 应提供本地数据备份与恢复功能，完全数据备份至少每天一次， 备份介质场外存放； b） 应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地；
IDS （或IPS〉
安全审计（G2）
a）应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录； 安全审计（G2〉 a）审计范围应覆盖到服务器上的每个操作系统用户和数据库用户； d）应保护审计记录，避免受到未预期的删除、修改或覆盖等
日志审计系统 日志服务器
恶意代码防范（G2）
a） 应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库； b） 应支持防恶意代码软件的统一管理
网络版杀毒软件
备份和恢复（A2）
a）应能够对重要信息进行备份和恢复；
数据备份系统
网络安全管理（G2）
d）应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补; 系统安全管理＜G2） b）应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补；
三级等保测评所需文档一览表
三级等保测评所需文档一览表
建设：
1、风险评估
2、系统近期或远期工作计划
3、公司管理制度
4、系统测试文档
5、恶意代码检查文档
6、软件开发源代码
7、工程实施方案或部署方案（系统）
8、设计方案
9、验收报告
10、系统运行维护的文档
11、系统培训记录
12、项目交付清单
13、软件开发服务协议
机构:
1、外联单位联系列表
2、内部公司会议记录
3、成立信息安全工作组文档，正式发文有公司盖章的
4、与外联单位会议记录
5、系统方面审批流程
人员：
1、外包服务单位或人员签署保密协议
2、内部人员签署保密协议
3、人员招聘、离职制度
4、安全意识教育、岗位技能培训记录
5、公司惩罚制度
6、安全培训计划
运维：
1、系统安全管理制度
2、系统操作日志记录
3、变更安全管理制度
4、备份与恢复的安全管理制度
5、安全事件报告和处置管理制度
6、应急预案框架文件
7、系统资产清单
8、介质安全管理制度
9、云盾记录
10、网络安全管理制度
11、系统变更方案
12、安全事件记录。
03-三级等保需要的文档
03-三级等保需要的文档三级等保需要的文档物理安全层面1、机房进出登记表（记录人员进出机房的情况，包含姓名、身份证号、进出的日期时间、携带的设备、事由、陪同人员等）2、机房进出申请审批表（带有申请审批记录的机房出入授权表）3、机房安全验收报告（针对自建机房）/机房环境租用协议（针对服务器托管在第三方机房）4、机房环境巡检记录网络安全层面5、网络拓扑图（绘制与当前运行情况相符的网络拓扑结构图）应用安全层面6、应用系统的详细设计说明书7、应用系统操作说明书8、应用系统的安全验收报告安全管理制度层面9、信息安全总体方针和安全策略文档（说明机构安全工作的总体目标、范围、原则和安全框架等）10、信息系统重要操作规范（比如：备份安全操作规范、系统变更操作规范、系统升级操作规范、数据迁移操作规范等）安全管理机构层面11、安全管理职能部门的岗位职责、分工和技能要求（描述与信息安全管理相关的各岗位职责、分工和胜任这份工作的所要求的具备的技能）12、授权管理清单（根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等）13、对被测系统相关重要事项建立审批程序，并符合逐级审批要求（对系统变更、重要操作、物理访问和系统接入等事项建立审批程序）14、重要事项申请审批表15、外联单位联系列表（包括外联单位名称、合作内容、联系人和联系方式等信息）16、安全检查表（检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等）17、安全审核和安全检查制度（比如规定检查周期、检查责任、检查对象、检查内容、检查后问题处置等）人员安全管理层面18、人员录用过程管理规范（描述人员录用流程、考查资格/资质、背景调查以及技能考核等要求） 19、信息安全保密协议（与全体人员签订保密协议） 20、岗位安全协议（与重要岗位人员签订岗位安全协议）21、人员离职离岗管理规范（规范离职/离岗流程、注销相关系统账户、取回公司物品、离职后的保密要求等）22、信息安全考核计划/考核表/考核记录（针对各岗位的人员进行的信息安全考核）23、信息安全教育培训计划/培训课件/培训记录（对各岗位进行的信息安全意识、安全技能方面的培训、定期培训计划、培训记录等）24、安全惩戒措施规范25、外部人员访问安全管理规范（描述允许外部人员访问的区域/对象、访问接待规范、访问过程管理规范等）系统建设管理层面26、系统定级报告27、系统安全建设总体规划方案（描述近期和远期的安全建设工作计划）28、信息安全设计方案（包括安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案）29、信息安全设计方案的论证审批记录（通过单位领导、专家的论证证明信息安全设计方案的合理性、科学性、可行性等）30、目前所使用的信息安全产品的安全资质证书（如销售许可证、产品型号证书、3C 认证证书等） 31、目前所使用的密码产品的安全资质证书（如商用密码销售许可证等）32、软件开发安全管理制度（明确说明开发过程的控制方法和人员行为准则） 33、代码编写安全规范（要求开发人员参照规范编写代码）34、程序资源库访问授权审批表（证明对程序资源库的修改、更新、发布进行授权和批准） 35、外包软件开发安全承诺书或安全测试报告36、信息系统集成工程实施方案37、信息系统工程实施方面的管理制度38、信息系统测试验收过程管理规定（对系统测试验收的控制方法和人员行为准则进行书面规定） 39、信息系统测试验收方案和测试验收报告（要有相关部门的盖章确认）40、项目验收交付清单41、信息系统建设过程中的文档和指导用户进行系统运行维护的文档（类似于4、5、6，但范围大于应用软件）42、信息系统交付过程管理规定（对系统交付的控制方法和人员行为准则进行书面规定） 43、系统备案证明44、与安全服务商的合作协议（判定选择的安全服务商是否符合国家要求，且是否进行安全责任的约束）系统运维管理层面45、机房安全管理制度（对有关机房物理访问，物品带进、带出机房和机房环境安全等方面作出规定）46、办公环境管理规定（规范办公环境人员行为，包括工作人员调离办公室应立即交还该办公室钥匙、不在办公区接待来访人员、工作人员离开座位应确保终端计算机退出登录状态和桌面上没有包含敏感信息的纸档文件等）47、信息系统相关资产清单（包括资产责任部门、重要程度和所处位置等内容）48、信息系统资产安全管理制度（规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为）49、信息分类与标识规范（规定信息分类与标识的原则和方法，并对信息的使用、存储和传输等进行规范化管理。
二三级等保所需设备
二三级等保所需设备二级等保序号建议功能或模块建议方案或产品重要程度主要依据安全层面二级分项二级测评指标权重备注1边界防火墙入侵检测系统2模块）WEB应用防火墙（模3块）4日志审计系统syslog服务器运维审计系统5堡垒机）非常重要网络安全非常重要网络安全重要应用安全网络安全非常重要主机安全一般网络安全访问控制(G2)入侵防范（G2）软件容错(A2)安全审计(G2)安全审计(G2)网络设备防护(G2)a)应在网络边界部署访问控制设备，启用访问控制1功用；b)应能根据会话状态信息为数据流提供明确的允许1拒绝访问的能力，控制粒度为网段级。
应在收集边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢1出攻击、IP碎片攻击和网络蠕虫攻击等a）应提供数据有效性检验功能，保证通过人机接口输入或经由过程通讯接口输入的数据花式或长度吻合系1统设定要求；a)应对收集系统中的收集装备运行状况、收集流量、1用户行为等进行日志记录；b)审计记录应包括变乱的日期和工夫、用户、变乱0.5类型、事件是否成功及其他与审计相关的信息。
c)应保护审计记录，避免受到未预期的删除、修改0.5或覆盖等。
d)身份鉴别信息应具有不易被冒用的特点，口令应1有复杂度要求并定期调换；部分老旧应用无相关校验功能，可由WEB应用防火墙对应用请求进行合法性过滤部分网络设备不支持口令复杂度策略与调换策略，需要第三方运维管理工具实现。
6数据库审计重要主机安全安全审计(G2)a)审计范围应覆盖到服务器上的每个操作系统用户和数据库用户；应能够对内部网络中出现的内部用户未通过准许私1通过终端管理软件限制终端多网络安全边界完整性检查（S2）1终端管理软件7(补丁分发系重要统)主机安全入侵提防（G2）8企业版杀毒软件重要主机安全恶意代码防范(G2) 9当地备份方案重要数据管理备份和恢复(A2)安全三级等保序号主要依据建议功用或模块建议方案或产品重要水平安全层面三级分项边界防火墙与区域防火墙1十分重要收集安全访问控制(G3)带宽管理模块)自联到内部收集的行为进行检查。
三级等保所需设备及服务
等级保护三级系统应配备设备及服务清单1物理安全部分序号设备或措施功能部署位置重要出入口（包括机1、机房入口1 电子门禁房出入口和重要区域2、重要服务器出入口等）区入口2 光电防盗报警防盗报警机房窗户、入视频监控系统口等处3 防雷保安器防感应雷配电箱4 自动消防系统要求自动检测火情、自动报警、自动灭火5 新风换气防水防潮6动力环境监测系统-水敏感检测仪表7 机房专用空调防水防潮、温湿度控制8 接地系统防雷接地9 UPS系统不间断电源（UPS）是否备注必须是是可通过监控弥补是可以用手动灭火器加报警器组成可人工检测海洛斯、艾默生是等是华为、APC、台是达、山特等2网络安全部分序号设备或措施功能部署位置是否备注必须访问控制：实现路由控制，数据流控制，控制粒度到端口级；1、网络边界1 应用级防火墙实现应用层访问控制2、重要服务器是和过滤；控制空闲会区前端话数、最大网络连接原创内容侵权必究数等对网络流量进行监2 流量控制设备控，保障重要资源的1、网络边界优先访问1、网络边界3 流量清洗设备防止DDos攻击2、服务器前端对网络设备、服务器、数据库、应用等4 IT运维管理软件进行监控，包括监视安全管理区是CPU、硬盘、内存、网络资源的使用情况对网络设备、安全设5 日志审计系统备、操作系统的日志安全管理区是进行集中存储、分析原创内容侵权必究6 网络审计系统分析网络流量，排除核心交换区网络故障支持多元化认证方7 无线WIFI控制系统式，如短信认证、二核心交换区维码认证、微信认证等终端健康状态检查、8 终端安全管理系统终端准入控制、外设安全管理区是(含准入硬件) 控制、终端非法外联控制IDS系统网络攻击检测/报警：1、核心交换区9 或IPS系统在网络边界处监视各是2、网络边界无线IDS系统种攻击行为10 防毒墙网络入口病毒检测、网络边界是查杀云接入身份认证、链1、网络入口11 VPN/VFW等路安全、虚拟服务器2、虚拟服务间访问控制器12 上网行为管理网络出口处是对网络设备、服务器、数据库、应用等13 集中管控平台进行监控，包括监视网络管理中心是CPU、硬盘、内存、网络资源的使用情况14 EMM安全运行环境、代码审核、安全app加壳对网络设备身份鉴原创内容侵权必究别、管理地址控制、人工配置，不需15 网络加固密码复杂度、鉴别处手工加固是要加固理、加密传输等进行功能加固。
网络安全等保三级培训材料
网络安全等保三级培训材料网络安全培训材料1、测试环境路由器、交换机、防火墙2、测试说明网络安全测评共有7步，分别是结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护，如下是步骤详解。
3、测试步骤3.1 三级等保要求3.1.1 结构安全a)应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要。
检查方法和判断标准：询问网络管理员，主要网络设备的性能及业务高峰期流量，性能指的是网络设备中的CPU、内存等资源的占用是否合理，是否具备冗余空间，一般来说CPU、内存占用率不超过30%，未发生业务高峰流量瓶颈事件，则符合。
主要网络设备是指：核心交换机、汇聚层交换机、核心到互联网出口的设备核心网络设备：核心交换机、互联网边界网络设备（看业务需求）b)应保证网络各个部分的带宽满足业务高峰期需要。
检查方法和判断标准：确认内部的网络带宽，一般是千兆以上，大网络可能是万兆，主要网络设备间可能是光纤万兆接口。
外部出口带宽：无论出口带宽多少，建议保持在80%一下，或看实际业务需求对出口带宽做单独要求（如学校开学期间数据流陡增，日常出口流量建议在50%左右）。
c)应在业务终端与业务服务器之间进行路由控制建立安全的访问路径。
检查方法和判断标准：主要查看网络设备中的路由控制是否建立了安全的访问路径，也就是说在网络设备中应配置路由认证功能，则算符合；如果网络设备中未配置此功能，则不符合。
或直接采用静态路由指向。
d)应绘制与当前运行情况相符的网络拓扑结构图。
检测方法和判断标准：询问网络管理员，检查网络拓扑图，查看其与当前运行的网络情况是否一致。
应绘制与当前运行情况相符合的网络拓扑结构图，当网络拓扑结构发生改变时，应及时更新，则算符合；其他一律不符合。
e)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段。
检查方法和判断标准：应在主要网络设备上进行VLAN划分或者子网划分，不同VLAN 内的报文在传输时是相互隔离的。
三级等保培训
自动消防系统 主要设备 主要设备 接地防干扰 电磁屏蔽
区域隔离措施 防静电地板
冗余/并行线路 备用供电系统
12
电力供应 防盗窃和防破坏
物理访问控202制1/7/1 物理位置选择
电磁防护
防雷击、防火、防水和防潮、防静电、温湿度控制
不做硬 性要求
13
三级系统安全保护要求—2021/7/网1 络安 全
11
物理位置的选择 物理访问控制
防盗窃和防破坏 防雷击 防火 防静电
电力供应 电磁防护 防水和防潮
物理安全的整改要点2021/7/1
基本防护能力
高层、地下室
基本出入控制 在机房中的活动
分区域管理
电子门禁
存放位置、标记标识
监控报警系统
建筑防雷、机房接地
设备防雷
灭火设备、自动报警 关键设备
稳定电压、短期供应 线缆隔离
信息系统定级主要考虑两方面，一是业务信息受到 破坏客体是谁，二是对客体侵害程度如何。两方面结 合起来根据下表制定信息系统应该定位第几级。
4
等级保护－－政策推2进021/7/1过程
Before 2005
《中华人民共和国计算机信息系统安全保护条例》（1994年 国务院147号令） 《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号） 《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）
第五级为专控保护级 主要对象为涉及国家安全、社会秩序和公共利益的重要信息系 统的核心子系统，其业务信息安全性或业务服务保证性受到破 坏后，会对国家安全、社会秩序和公共利益造成特别严重损害； 本级系统依照国家管理规范和技术标准进行自主保护，国家指 定专门部门、专门机构进行专门监督、检查。
物理安全等保三级培训记录
物理安全培训文档1.、测试说明物理安全测评共有10步，分别是机房物理位置的选择、机房物理的访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护，如下是步骤详解。
2.、现场检测步骤和预期结果2.1机房物理位置的选择a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。
1、查看机房是否在具有防风、防雨能力的建筑内，对防震能力，先询问机房建设等级，如可以看建设文档，但一般机房管理员不知情，机房所在建筑肉眼可见非危楼默认符合即可。
b)机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层和隔壁。
1、查看机房应不在顶楼和负一楼，因为顶楼渗水的风险较大，且太阳直射温度较高，负一楼存在雨水倒灌和易受潮的风险。
2、机房左右是否有厕所、厨房设备间，如机房在顶楼，需要注意机房上方是否有蓄水罐。
3.2 物理访问控制a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员。
1、检查一下机房外有专人值守或者进入机房设置了电子门禁系统（满足一个即可），如有专人值守，则应有人员进出机房的记录；如设置了电子门禁系统，则电子门禁系统需要有来访人员身份记录，且记录信息需要保持6个月以上。
b)需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。
1、查看进入机房检查是否需要提前申请（口头、电话、电子或纸质申请单均算）进入机房是否有配合人员全程随同。
（需要记录机房有几个门，分别做什么用，是否有门禁）如园区有访问控制如进去需要登记、或人员接也可以写c)应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装过度区域。
1、对机房是否划分了不同的区域，如UPS房间、主要设备间、存储设备间或操作间等区，中间是否有墙壁（玻璃或实体墙壁或其他具有防火功能隔离物均符合）隔离开，入下图。
机房分为哪几个区，每个区的功能，并画出机房分区草图d)重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。
等保建设(二-三级)需上的设备
信息安全等级保护建设（二，三级）需上的设备信息安全等级保护二级：一、机房方面的安全措施需求（二级标准）如下：1、防盗报警系统2、灭火设备和火灾自动报警系统3、水敏感检测仪及漏水检测报警系统4、精密空调5、备用发电机二、主机和网络安全层面需要部署的安全产品如下：1、防火墙或者入侵防御系统2、上网行为管理系统3、网络准入系统4、审计平台或者统一监控平台（可满足主机、网络和应用层面的监控需求，在条件不允许的情况下，至少要使用数据库审计）5、防病毒软件三、应用及数据安全层面需要部署的安全产品如下：1、VPN2、网页防篡改系统（针对网站系统）3、数据异地备份存储设备4、主要网络设备、通信线路和数据处理系统的硬件冗余（关键设备双机冗余）。
信息安全等级保护三级一、机房方面的安全措施需求（三级标准）如下：1、需要使用彩钢板、防火门等进行区域隔离2、视频监控系统3、防盗报警系统4、灭火设备和火灾自动报警系统5、水敏感检测仪及漏水检测报警系统6、精密空调7、除湿装置8、备用发电机9、电磁屏蔽柜二、主机和网络安全层面需要部署的安全产品如下：1、入侵防御系统2、上网行为管理系统3、网络准入系统4、统一监控平台（可满足主机、网络和应用层面的监控需求）5、防病毒软件6、堡垒机7、防火墙8、审计平台（满足对操作系统、数据库、网络设备的审计，在条件不允许的情况下，至少要使用数据库审计）三、应用及数据安全层面需要部署的安全产品如下：1、VPN2、网页防篡改系统（针对网站系统）3、数据异地备份存储设备4、主要网络设备、通信线路和数据处理系统的硬件冗余（关键设备双机冗余）。
5、数据加密软件（满足加密存储，且加密算法需获得保密局认可欢迎您的下载，资料仅供参考！致力为企业和个人提供合同协议，策划案计划书，学习资料等等打造全网一站式需求。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
是
6
网络审计系统
分析网络流量，排除网络故障
核心交换区
7
无线WIFI控制系统
支持多元化认证方式，如短信认证、二维码认证、微信认证等
核心交换区
8
终端安全管理系统(含准入硬件)
终端健康状态检查、终端准入控制、外设控制、终端非法外联控制
安全管理区
是
9
IDS系统
或IPS系统
无线IDS系统
网络攻击检测/报警：在网络边界处监视各种攻击行为
是
14
EMM
安全运行环境、代码审核、安全app加壳
15
网络加固
对网络设备身份鉴别、管理地址控制、密码复杂度、鉴别处理、加密传输等进行功能加固。
手工加固
是
人工配置，不需要加固
3主机安全部分
序号
设备或措施
功能
部署位置
是否必须
备注
1
主机IPS软件或杀毒软件集成
特定进程、入侵行为监控和完整性检测
服务器
2
网络版防病毒软件
与防毒墙代码库相异；及时更新；支持统一管理
安全管理区
是
3
Web防火墙
防SQL注入、跨站攻击等
服务器前端
是
4
网页防篡改系统
篡改检测模块（数字水印技术和应用防护模块（防注入攻击），实现了对静态和动态网页和脚本的实时检测和恢复，
服务器区
6
漏洞扫描设备
通过漏洞扫描发现漏洞；通过终端安全分发补丁
核心交换区
7
堡垒机
可以用手动灭火器加报警器组成
5
新风换气
防水防潮
6
动力环境监测系统-水敏感检测仪表
可人工检测
7
机房专用空调
防水防潮、温湿度控制
是
海洛斯、艾默生等
8
接地系统
防雷接地
是
9
UPS系统
不间断电源（UPS）
是
华为、APC、台达、山特等
2网络安全部分
序号
设备或措施
功能
部署位置
是否必须
备注
1
应用级防火墙
访问控制：实现路由控制，数据流控制，控制粒度到端口级；实现应用层访问控制和过滤；控制空闲会话数、最大网络连接数等
1、网络边界
2、重要服务器区前端
是
2
流量控ห้องสมุดไป่ตู้设备
对网络流量进行监控，保障重要资源的优先访问
1、网络边界
3
流量清洗设备
防止DDos攻击
1、网络边界2、服务器前端
4
IT运维管理软件
对网络设备、服务器、数据库、应用等进行监控，包括监视CPU、硬盘、内存、网络资源的使用情况
安全管理区
是
5
日志审计系统
对网络设备、安全设备、操作系统的日志进行集中存储、分析
服务器
是
浪潮SSR或人工配置，不需设备
4数据安全部分
序号
设备或措施
功能
部署位置
是否
必须
备注
1
网络设备、服务器设备 备份
关键网络设备、通信线路和数据
处理系统的硬件冗余，保证系统 的可用性
是
可冷备
2
软硬件一体化备份容灾 设备
应能够对重要信息进行备份和恢 复
安全管理区
是
3
负载均衡设
备
要求双线路，负载均衡
边界区
1、核心交换区
2、网络边界
是
10
防毒墙
网络入口病毒检测、查杀
网络边界
是
11
VPN/VFW等
云接入身份认证、链路安全、虚拟服务器间访问控制
1、网络入口2、虚拟服务器
12
上网行为管理
网络出口处
是
13
集中管控平台
对网络设备、服务器、数据库、应用等进行监控，包括监视CPU、硬盘、内存、网络资源的使用情况
网络管理中心
实现对网络设备、安全设备、服务器设备的远程集中管理、运维监控
核心交换区
8
数据库审计
实现对数据库的操作监控，语句回溯
服务器区或核心交换去
是
9
操作系统加固软件
底层操作系统加固、强制访问控制、剩余信息保护
服务器
10
操作系统加固软件及人工配置
控制重要文件权限；禁用或删除不需要的服务、共享等；限制或禁用默认/匿名用户，删除多余、过期及共享用户；用户权限设置；系统管理员不由数据库管理员兼任；特权用户权限分离；对重要信息设置敏感标识并控制访问权限；
三级等保所需设备及服务
等级
1物理安全部分
序号
设备或措施
功能
部署位置
是否必须
备注
1
电子门禁
重要出入口（包括机房出入口和重要区域出入口等）
1、机房入口
2、重要服务器区入口
是
2
光电防盗报警
视频监控系统
防盗报警
机房窗户、入口等处
是
可通过监控弥补
3
防雷保安器
防感应雷
配电箱
是
4
自动消防系统
要求自动检测火情、自动报警、自动灭火
5安全服务
序号
服务名称
功能
是否必须
备注
1
信息安全制度完善
完善信息安全管理制度，评审修订
是
2
安全检查
网络安全检查
是
3
安全培训
安全意识培训或安全技术培训
是
4
安全专家
应聘请信息安全专家作为常年的安全顾问，征询信息安全相关事宜
是