序號控制點測評項測評要求1環(huán)境管理a）應指定專門的部門或人員負責機房安全，對機房出入進行管理，定期對機房供配電、空調(diào)、溫濕度控制、消防等設施進行維護管理；機房是存放等級保護對象基礎設施的重要場所，要落實機房環(huán)境的管理責任人，因此要確保機房的運行環(huán)境良好、安全，應對機房環(huán)境進行嚴格管理和控制2b）應建立機房安全管理制度，對有關物理訪問、物品帶進出和環(huán)境安全等方面的管理作出規(guī)定；為保證系統(tǒng)有個良好安會的運行環(huán)境，應針對機房建立管理規(guī)定或要求

3c）應不在重要區(qū)域接待來訪人員，不隨意放置含有敏感信息的紙檔文件和移動介質等。加強內(nèi)部辦公環(huán)境的管理是控制網(wǎng)絡安全風險的措施之一，為保證內(nèi)部辦公環(huán)境的獨立性、敏感性，應降低外部人員無意或有意訪問內(nèi)部區(qū)域的可能性，同時杜絕都員工因無意行為而泄露敏感文檔而導致網(wǎng)絡安全事件的發(fā)生4資產(chǎn)管理a）應編制并保存與保護對象相關的資產(chǎn)清單，包括資產(chǎn)責任部門、重要程度和所處位置等內(nèi)容；等級保護對象資產(chǎn)種類較多，如保護對象的資產(chǎn)管理比較混舌L，容易導致等級保護對象發(fā)生安全問題或不利于發(fā)生安全問題時有效應急5b）應根據(jù)資產(chǎn)的重要程度對資產(chǎn)進行標識管理，根據(jù)資產(chǎn)的價值選擇相應的管理措施；信息資產(chǎn)的重要程度不同，在系統(tǒng)中所起的作用也不盡相同，應綜合考慮資產(chǎn)的價值、在系統(tǒng)件的地位，作用等因素，按照重要程度高低對資產(chǎn)進行分類、分級管理，分類的原則應在相關文檔中選行明確，且需明確重要資產(chǎn)和非重要資產(chǎn)在資產(chǎn)管理環(huán)節(jié)（如入庫、維修、出庫）的不同要求

6c）應對信息分類與標識方法作出規(guī)定，并對信息的使用、傳輸和存儲等進行規(guī)范化管理。信息作為資產(chǎn)的一種，可根據(jù)其所屬的類別不同，重要程度不同進行信息的整理分類（一般可分為:敏感、內(nèi)部公開、對外公開等不同類別），不同類別的信息在使用、傳輸和存儲等方面管理要求也應不同7介質管理a）應將介質存放在安全的環(huán)境中，對各類介質進行控制和保護，實行存儲環(huán)境專人管理，并根據(jù)存檔介質的目錄清單定期盤點；介質類型可包括紙介質、磁介質、光介質等，由于存儲介質是用來存放系統(tǒng)相關數(shù)據(jù)的，因此，介質管理工作非常重要，如果管理不善，可能會造成數(shù)據(jù)的丟失或損壞，應為存儲介質提供安全的存放環(huán)境并進行妥善的管控8b）應對介質在物理傳輸過程中的人員選擇、打包、交付等情況進行控制，并對介質的歸檔和查詢等進行登記記錄。需系統(tǒng)存在離線的存儲備份介質應對其進行管控，如對介質進行兩地傳輸時，應遵循一定的管理要求，應選擇可靠的傳送人員，并對打包交付過程簽字確認等

9設備維護管理a）應對各種設備（包括備份和冗余設備）、線路等指定專門的部門或人員定期進行維護管理；對設備進行有效的維護管理，在一定程度上可降低系統(tǒng)發(fā)生安全問題的概率，應明確設備管理的責任部門或人員10b）應建立配套設施、軟硬件維護方面的管理制度，對其維護進行有效的管理，包括明確維護人員的責任、維修和服務的審批、維修過程的監(jiān)督控制等；系統(tǒng)的正常運行依賴于對設備的正確使用和維護。為了保證對設備的正確使用和維護，應建立相應的管理規(guī)定或要求，相關人員必須嚴格按照規(guī)定要求對設備進行使用和維護，并認真做好使用和維護記錄11c）信息處理設備應經(jīng)過審批才能帶離機房或辦公地點，含有存儲介質的設備帶出工作環(huán)境時其中重要數(shù)據(jù)應加密；信息處理設備的流轉容易引起信息泄露的風險，必須嚴加管控，因此信息處理設備帶離機房或辦公等常規(guī)使用的地點時必須經(jīng)過審批或采取加密的管控措施12d）含有存儲介質的設備在報廢或重用前，應進行完全清除或被安全覆蓋，保證該設備上的敏感數(shù)據(jù)和授權軟件無法被恢復重用。存儲介質在報廢或重用時，容易引起敏感信息的泄露，應采取相應的處理的措施施

13漏洞和風險管理a）應采取必要的措施識別安全漏洞和隱患，對發(fā)現(xiàn)的安全漏洞和隱患及時進行修補或評估可能的影響后進行修補；安全漏洞和隱患是引起安全問題的主要根源，采取有效的措施來及時識別系統(tǒng)漏洞和隱患，并對識別出的漏洞和隱患根據(jù)評估的情況進行修補14b）應定期開展安全測評，形成安全測評報告，采取措施應對發(fā)現(xiàn)的安全問題。定期開展安全測評有利于及時發(fā)現(xiàn)系統(tǒng)潛在的安全問題，安全測評局限于風險評估、等級測評，只要是通過對系統(tǒng)的全面測試評估方法15網(wǎng)絡和系統(tǒng)安全管理a）應劃分不同的管理員角色進行網(wǎng)絡和系統(tǒng)的運維管理，明確各個角色的責任和權限；沒有明確的責任和權限要求，容易發(fā)生泄職事件，因此要對管理員進行明確的劃分并進行崗位職責的定義16b）應指定專門的部門或人員進行賬戶管理，對申請賬戶、建立賬戶、刪除賬戶等進行控制；賬戶管理應由專門的部門或人員來負責，并對賬戶的生命周期進行管控

17c）應建立網(wǎng)絡和系統(tǒng)安全官理制度，對安全策略、賬戶管理、配置管理、日志管理、日常操作、升級與打補丁、口令更新周期等方面作出規(guī)定；對系統(tǒng)和網(wǎng)絡安全管理缺之規(guī)范性指導或規(guī)范性指導規(guī)定不一致，容易造成人員讀職或無作為，因此對網(wǎng)絡和系統(tǒng)安全應建立相應的管理策略和規(guī)程類的管理要求18d）應制定重要設備的配置和操作手冊，依據(jù)手冊對設備進行安全配置和優(yōu)化配置等；配置規(guī)范和配置基線是保障等級保護對象安全運行的基本前提，應對設備的配置和操作建立操作規(guī)范和配置基線19e）應詳細記錄運維操作日志，包括日常巡檢工作、運行維護記錄、參數(shù)的設置和修改等內(nèi)容；運維操作日志缺失，不利于安全事件的回溯或追蹤，因此要對日常的記錄運維操作日志進行詳細的記錄20f）應指定專門的部門或人員對日志、監(jiān)測和報警數(shù)據(jù)等進行分析、統(tǒng)計，及時發(fā)現(xiàn)可疑行為；沒有明確的職責要求，密易引起人員讀職或無作為，應對日志、監(jiān)測、報警數(shù)據(jù)等指定專人負責和統(tǒng)計

21g）應嚴格控制變更性運維，經(jīng)過審批后才可改變連接、安裝系統(tǒng)組件或調(diào)整配置參數(shù)，操作過程中應保留不可更改的審計日志，操作結束后應同步更新配置信息庫；變更管理不當，極易引起安全問題，對運維過程中的變更操作需嚴格控制，變更的審批過程中保留痕跡，事后能夠更新變更內(nèi)容22h）應嚴格控制運維工具的使用，經(jīng)過審批后才可接入進行操作，操作過程中應保留不可更改的審計日志，操作結束后應刪除工具中的敏感數(shù)據(jù)；IT運維工具包括商業(yè)的專用運維工具，也有自行開發(fā)運維工具，無論采取哪種工具，都需進行嚴格的管控23i）應嚴格控制遠程運維的開通，經(jīng)過審批后才可開通遠程運維接口或通道，操作過程中應保留不可更改的審計日志，操作結束后立即關閉接口或通道；遠程運維是系統(tǒng)安全的隱患之一，如遠程控制不當容易通成安全事件，應對遠程運維的開通進行嚴格的控制，如確實需要開通，需要對操作過程日志進彳丁留存并保證不可更改，運維結束后即刻關閉

24j）應保證所有與外部的連接均得到授權和批準，應定期檢查違反規(guī)定無線上網(wǎng)及其他違反網(wǎng)絡安全策略的行為。對所有外部鏈接進行管控，并且定期對違規(guī)外聯(lián)進行檢查25惡意代碼防范管理a）應提高所有用戶的防惡意代碼意識，對外來計算機或存儲設備接入系統(tǒng)前進行惡意代碼檢查等；惡意代碼對等級保護對象的危害極大，并且傳播途徑有多種方式，提升所有用戶的防惡意代碼意識是規(guī)避惡意代碼發(fā)生概率的基本途徑。惡意代碼的防范不僅僅需要安裝防惡意代碼工具來解決，為有效預防惡意代碼的侵入，除了提高用戶的防惡意代碼象識外，還應建立完美的惡意代碼管理制度并有效實施

26b）應定期驗證防范惡意代碼攻擊的技術措施的有效性。防惡意代碼工具的技術措施最常見的是安裝惡意代碼軟件，該類措施有效性保障就是定期升級惡意代碼庫，并對檢測的惡意代碼進行分析，另外如采用可信計算機技術也可防惡意代碼攻擊，需定期驗證可信技術的有效性27配置管理a）應記錄和保存基本配置信息，包括網(wǎng)絡拓撲結構、各個設備安裝的軟件組件、軟件組件的版本和補丁信息、各個設備或軟件組件的配置參數(shù)等；系統(tǒng)配置信息的準確性，是系統(tǒng)正常運行的有效保障，因此要對系統(tǒng)的基本信息予以及時有效的記錄和保存28b）應將基本配置信息改變納入變更范疇，實施對配置信息改變的控制，并及時更新基本配置信息庫。配置信息及時間同步是配置管理流程的重要環(huán)節(jié)，該條要求與變更管理和系統(tǒng)管理中的相關條款比較類似，應關注幾方面信息保持致29密碼管理a）應遵循密碼相關國家標準和行業(yè)標準；密碼生產(chǎn)需要授權許可，密碼產(chǎn)品需要符合國家和行業(yè)的相關標準

30b）應使用國家密碼管理主管部門認證核準的密碼技術和產(chǎn)品。系統(tǒng)使用的密碼產(chǎn)品要有國家密碼主管部門核發(fā)的相關型號證書31變更管理a）應明確變更需求，變更前根據(jù)變更需求制定變更方案，變更方案經(jīng)過評審、審批后方可實施；變更管理受控是降低系統(tǒng)由變更帶來安全問題的有效手段，因此要對變更策略進行明確的規(guī)定，并對變更流程進行全程管控32b）應建立變更的申報和審批控制程序，依據(jù)程序控制所有的變更，記錄變更實施過程；執(zhí)行變更操作要遵循變更管控的相關控制程序，約束變更過程，并有效記錄

33C）應建立中止變更并從失敗變更中恢復的程序，明確過程控制方法和人員職責，必要時對恢復過程進行演練。變更失敗恢復程序般會在變更方案中予以明確，變更方案除了描述變更過程操作外，重要的是明確變更失敗后的恢復操作34備份與恢復管理a）應識別需要定期備份的重要業(yè)務信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；對于要備份的信息進行識別，并制定相應的備份策略35b）應規(guī)定備份信息的備份方式、備份頻度、存儲介質、保存期等；對需要備份的制定相應的備份策略，如備份方式、備份頻度、存儲介質等等

36c）應根據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對系統(tǒng)運行的影響，制定數(shù)據(jù)的備份策略和恢復策略、備份程序和恢復程序等。數(shù)據(jù)備份策略是根據(jù)數(shù)據(jù)性質的不同，選擇不同的備分內(nèi)容、備份方式等，數(shù)據(jù)恢復策略是指數(shù)據(jù)庫在遭到各種事件導致數(shù)據(jù)丟失時利用介質備份數(shù)據(jù)進行恢復的方法和操作37安全事件處置a）應及時向安全管理部門報告所發(fā)現(xiàn)的安全弱點和可疑事件；如發(fā)現(xiàn)系統(tǒng)有潛在的弱點和可疑事件，應及時向安全主管部門匯報，并提交相應的報告或信息38b）應制定安全事件報告和處置管理制度，明確不同安全事件的報告、處置和響應流程，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復的管理職責等；安全事件的分類分級標準可參考GB/T20986-2007《信息安全技術信息安全事件分類分級指南》

39c）應在安全事件報告和響應處理過程中，分析和鑒定事件產(chǎn)生的原因，收集證據(jù)，記錄處理過程，總結經(jīng)驗教訓；對安全事件報告和響應處理的過程應進行詳細的記錄，并對事件發(fā)生的原因進行分析和總結40d）對造成系統(tǒng)中斷和造成信息泄漏的重大安全事件應采用不同的處理程序和報告程序。對不同的安全事件應制定不同的處理程序和報告程序41應急預案管理a）應規(guī)定統(tǒng)一的應急預案框架，包括啟動預案的條件、應急組織構成、應急資源保障、事后教育和培訓等內(nèi)容；應急預案框架一般為單位總體應急預案管理的頂層文件，明確應急組織構成員職責、應急預案啟動條件、響應、后期處置、預案日常管理、資源保障等內(nèi)容，與各類網(wǎng)絡安全事件專項應急預案共同構成整個應急預案體系

42b）應制定重要事件的應急預案，包括應急處理流程、系統(tǒng)恢復流程等內(nèi)容；對重要事件制定專定應急預案，并對處理流程、恢復流程進行定義43c）應定期對系統(tǒng)相關的人員進行應急預案培訓，并進行應急預案的演練；應急預案培訓和演練是應急的重要環(huán)節(jié)。應定期組織相關人員予以培訓和演練，以保障及時有效的處理應急事件

44d）應定期對原有的應急預案重新評估，修訂完善。根據(jù)每次應急演練的情況，對應急預案進行重新評估和修訂45外包運維管理a）應確保外包運維服務商的選擇符合國家的有關規(guī)定；外包服務商應滿足國家相關主管部門的相關規(guī)定和要求，以證明其具有相應的服務能力46b）應與選定的外包運維服務商簽訂相關的協(xié)議，明確約定外包運維的范圍、工作內(nèi)容；針對外包運維服務商提供那些服務內(nèi)容，應在相關協(xié)議中予以明確47c）應保證選擇的外包運維服務商在技術和管理方面均應具有按照等級保護要求開展安全運維工作的能力，并將能力要求在簽訂的協(xié)議中明確；外包服務運維服務商應具有按照等級保護要求的開展安全運維工作的能力，意味著該外包運維服務商以往具有根