二級(jí)等保治理要求二級(jí)等保 實(shí)現(xiàn)狀況安 a)應(yīng)制定信息安全工作的總體方針和安全策略，說明機(jī)構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架等；全 治理制b)應(yīng)對安全治理活動(dòng)中重要的治理內(nèi)容建立安全治理管 〔G2〕制度；理 c)應(yīng)對安全治理人員或操作人員執(zhí)行的重要治理操作制 建立操作規(guī)程。應(yīng)指定或授權(quán)特地的部門或人員負(fù)責(zé)安全治理制度度制定和的制定；應(yīng)組織相關(guān)人員對制定的安全治理制度進(jìn)展論證和公布 審定；〔G2〕c)應(yīng)將安全治理制度以某種方式公布到相關(guān)人員手中。評審和修訂〔G2〕安

應(yīng)定期對安全治理制度進(jìn)展評審，對存在缺乏或需要改進(jìn)的安全治理制度進(jìn)展修訂。崗位設(shè)并定義各負(fù)責(zé)人的職責(zé)；全〔G2〕b)應(yīng)設(shè)立系統(tǒng)治理員、網(wǎng)絡(luò)治理員、安全治理員等崗管 位，并定義各個(gè)工作崗位的職責(zé)。理 a)應(yīng)配備肯定數(shù)量的系統(tǒng)治理員、網(wǎng)絡(luò)治理員、安全機(jī) 人員配治理員等；〔G2〕b)安全治理員不能兼任網(wǎng)絡(luò)治理員、系統(tǒng)治理員、數(shù)構(gòu) 據(jù)庫治理員等。應(yīng)依據(jù)各個(gè)部門和崗位的職責(zé)明確授權(quán)審批部門及授權(quán)和批準(zhǔn)人，對系統(tǒng)投入運(yùn)行、網(wǎng)絡(luò)系統(tǒng)接入和重要資源審批〔G2〕溝通和

的訪問等關(guān)鍵活動(dòng)進(jìn)展審批；應(yīng)針對關(guān)鍵活動(dòng)建立審批流程，并由批準(zhǔn)人簽字確認(rèn)。a)應(yīng)加強(qiáng)各類治理人員之間、組織內(nèi)部機(jī)構(gòu)之間以及信息安全職能部門內(nèi)部的合作與溝通；合作 b)應(yīng)加強(qiáng)與兄弟單位、公安機(jī)關(guān)、電信公司的合作與〔G2〕溝通。審核和檢查〔G2〕人員 人員錄

安全治理員應(yīng)負(fù)責(zé)定期進(jìn)展安全檢查，檢查內(nèi)容包括系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等狀況。應(yīng)指定或授權(quán)特地的部門或人員負(fù)責(zé)人員錄用；應(yīng)標(biāo)準(zhǔn)人員錄用過程，對被錄用人員的身份、背景和專業(yè)資格等進(jìn)展審查，對其所具有的技術(shù)技能進(jìn)展安 〔G2〕考核；應(yīng)與從事關(guān)鍵崗位的人員簽署保密協(xié)議。二級(jí)等保 實(shí)現(xiàn)狀況全 a)應(yīng)標(biāo)準(zhǔn)人員離崗過程，準(zhǔn)時(shí)終止離崗員工的全部訪問權(quán)限；管 人員離應(yīng)取回各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)供給理 〔G2〕的軟硬件設(shè)備；應(yīng)辦理嚴(yán)格的調(diào)離手續(xù)。應(yīng)定期對各個(gè)崗位的人員進(jìn)展安全技能及安全認(rèn)知的人員考〔G2〕

考核。應(yīng)對各類人員進(jìn)展安全意識(shí)教育、崗位技能培訓(xùn)和安全意相關(guān)安全技術(shù)培訓(xùn)；識(shí)教育b)應(yīng)告知人員相關(guān)的安全責(zé)任和懲戒措施，并對違反和培訓(xùn)違反安全策略和規(guī)定的人員進(jìn)展懲戒；c)〔G2〕崗位操作規(guī)程等進(jìn)展培訓(xùn)。外部人員訪問治理〔G2〕系

應(yīng)確保在外部人員訪問受控區(qū)域前得到授權(quán)或?qū)徟?，批?zhǔn)后由專人全程伴隨或監(jiān)視，并登記備案。應(yīng)明確信息系統(tǒng)的邊界和安全保護(hù)等級(jí)；系統(tǒng)定b)應(yīng)以書面的形式說明信息系統(tǒng)確定為某個(gè)安全保護(hù)統(tǒng)〔G2〕等級(jí)的方法和理由；建 c)應(yīng)確保信息系統(tǒng)的定級(jí)結(jié)果經(jīng)過相關(guān)部門的批準(zhǔn)。設(shè) a)應(yīng)依據(jù)系統(tǒng)的安全保護(hù)等級(jí)選擇根本安全措施，依管 據(jù)風(fēng)險(xiǎn)分析的結(jié)果補(bǔ)充和調(diào)整安全措施；應(yīng)以書面形式描述對系統(tǒng)的安全保護(hù)要求、策略和理 安全方措施等內(nèi)容，形成系統(tǒng)的安全方案；案設(shè)計(jì)c)〔G2〕

安全產(chǎn)品選購和使用的具體設(shè)計(jì)方案；d)應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對安全設(shè)計(jì)方案的合理性和正確性進(jìn)展論證和審定，并且經(jīng)過批準(zhǔn)后，才能正式實(shí)施。產(chǎn)品采a)應(yīng)確保安全產(chǎn)品選購和使用符合國家的有關(guān)規(guī)定；購和使b)應(yīng)確保密碼產(chǎn)品選購和使用符合國家密碼主管部門〔G2〕的要求；c)應(yīng)指定或授權(quán)特地的部門負(fù)責(zé)產(chǎn)品的選購。a)應(yīng)確保開發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理分開；自行軟b)應(yīng)制定軟件開發(fā)治理制度，明確說明開發(fā)過程的控件開發(fā)制方法和人員行為準(zhǔn)則；〔G2〕

c)應(yīng)確保供給軟件設(shè)計(jì)的相關(guān)文檔和使用指南，并由專人負(fù)責(zé)保管。外包軟

二級(jí)等保 實(shí)現(xiàn)狀況應(yīng)依據(jù)開發(fā)要求檢測軟件質(zhì)量；應(yīng)確保供給軟件設(shè)計(jì)的相關(guān)文檔和使用指南；應(yīng)在軟件安裝之前檢測軟件包中可能存在的惡意代件開發(fā)碼；〔G2〕d)應(yīng)要求開發(fā)單位供給軟件源代碼，并審查軟件中可能存在的后門。應(yīng)指定或授權(quán)特地的部門或人員負(fù)責(zé)工程實(shí)施過程工程實(shí)

的治理；〔G2〕b)應(yīng)制定具體的工程實(shí)施方案，掌握工程實(shí)施過程。應(yīng)對系統(tǒng)進(jìn)展安全性測試驗(yàn)收；測試驗(yàn)〔G2〕

在測試驗(yàn)收前應(yīng)依據(jù)設(shè)計(jì)方案或合同要求等制訂測試驗(yàn)收方案，在測試驗(yàn)收過程中應(yīng)具體記錄測試驗(yàn)收結(jié)果，并形成測試驗(yàn)收報(bào)告；應(yīng)組織相關(guān)部門和相關(guān)人員對系統(tǒng)測試驗(yàn)收報(bào)告進(jìn)行審定，并簽字確認(rèn)。a)應(yīng)制定系統(tǒng)交付清單，并依據(jù)交付清單對所交接的設(shè)備、軟件和文檔等進(jìn)展清點(diǎn)；系統(tǒng)交b)應(yīng)對負(fù)責(zé)系統(tǒng)運(yùn)行維護(hù)的技術(shù)人員進(jìn)展相應(yīng)的技能〔G2〕培訓(xùn)；c)應(yīng)確保供給系統(tǒng)建設(shè)過程中的文檔和指導(dǎo)用戶進(jìn)展系統(tǒng)運(yùn)行維護(hù)的文檔。安全效勞商選〔G2〕系統(tǒng)運(yùn)

應(yīng)確保安全效勞商的選擇符合國家的有關(guān)規(guī)定；應(yīng)與選定的安全效勞商簽訂與安全相關(guān)的協(xié)議，明確商定相關(guān)責(zé)任；應(yīng)確保選定的安全效勞商供給技術(shù)支持和效勞承諾，必要的與其簽訂效勞合同。溫濕度掌握等設(shè)施進(jìn)展維護(hù)治理；應(yīng)配備機(jī)房安全治理人員，對機(jī)房的出入、效勞器的開機(jī)或關(guān)機(jī)等工作進(jìn)展治理；維 環(huán)境管c)應(yīng)建立機(jī)房安全治理制度，對有關(guān)機(jī)房物理訪問，管 〔G2〕物品帶進(jìn)、帶出機(jī)房和機(jī)房環(huán)境安全等方面的治理作出規(guī)定；理 d)應(yīng)加強(qiáng)對辦公環(huán)境的保密性治理，包括工作人員調(diào)離辦公室應(yīng)馬上交還該辦公室鑰匙和不在辦公區(qū)接待來訪人員等。應(yīng)編制與信息系統(tǒng)相關(guān)的資產(chǎn)清單，包括資產(chǎn)責(zé)任部門、重要程度和所處位置等內(nèi)容；資產(chǎn)管

應(yīng)建立資產(chǎn)安全治理制度，規(guī)定信息系統(tǒng)資產(chǎn)治理〔G2〕的責(zé)任人員或責(zé)任部門，并標(biāo)準(zhǔn)資產(chǎn)治理和使用的行為。二級(jí)等保 實(shí)現(xiàn)狀況應(yīng)確保介質(zhì)存放在安全的環(huán)境中，對各類介質(zhì)進(jìn)展掌握和保護(hù)，并實(shí)行存儲(chǔ)環(huán)境專人治理；應(yīng)對介質(zhì)歸檔和查詢等過程進(jìn)展記錄，并依據(jù)存檔介質(zhì)管介質(zhì)的名目清單定期盤點(diǎn)；〔G2〕c)應(yīng)對需要送出修理或銷毀的介質(zhì)，首先去除其中的敏感數(shù)據(jù)，防止信息的非法泄漏；d)應(yīng)依據(jù)所承載數(shù)據(jù)和軟件的重要程度對介質(zhì)進(jìn)展分類和標(biāo)識(shí)治理。應(yīng)對信息系統(tǒng)相關(guān)的各種設(shè)備〔包括備份和冗余設(shè)備、線路等指定特地的部門或人員定期進(jìn)展維護(hù)管理；應(yīng)建立基于申報(bào)、審批和專人負(fù)責(zé)的設(shè)備安全治理制度，對信息系統(tǒng)的各種軟硬件設(shè)備的選型、選購、設(shè)備管發(fā)放和領(lǐng)用等過程進(jìn)展標(biāo)準(zhǔn)化治理；〔G2〕c)應(yīng)對終端計(jì)算機(jī)、工作站、便攜機(jī)、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進(jìn)展標(biāo)準(zhǔn)化治理，按操作規(guī)程實(shí)現(xiàn)關(guān)鍵設(shè)備〔包括備份和冗余設(shè)備〕/停頓、加電/斷電等操作；d)應(yīng)確保信息處理設(shè)備必需經(jīng)過審批才能帶離機(jī)房或辦公地點(diǎn)。應(yīng)指定人員對網(wǎng)絡(luò)進(jìn)展治理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報(bào)警信息分析和處理工作；應(yīng)建立網(wǎng)絡(luò)安全治理制度，對網(wǎng)絡(luò)安全配置、日志保存時(shí)間、安全策略、升級(jí)與打補(bǔ)丁、口令更周期網(wǎng)絡(luò)安等方面作出規(guī)定；全治理c)應(yīng)依據(jù)廠家供給的軟件升級(jí)版本對網(wǎng)絡(luò)設(shè)備進(jìn)展更〔G2〕

，并在更前對現(xiàn)有的重要文件進(jìn)展備份；應(yīng)定期對網(wǎng)絡(luò)系統(tǒng)進(jìn)展漏洞掃描，對覺察的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)展準(zhǔn)時(shí)的修補(bǔ)；應(yīng)對網(wǎng)絡(luò)設(shè)備的配置文件進(jìn)展定期備份；應(yīng)保證全部與外部系統(tǒng)的連接均得到授權(quán)和批準(zhǔn)。應(yīng)依據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問掌握策略；應(yīng)定期進(jìn)展漏洞掃描，對覺察的系統(tǒng)安全漏洞準(zhǔn)時(shí)進(jìn)展修補(bǔ)；系統(tǒng)安c)應(yīng)安裝系統(tǒng)的最補(bǔ)丁程序，在安裝系統(tǒng)補(bǔ)丁前，全治理應(yīng)首先在測試環(huán)境中測試通過，并對重要文件進(jìn)展備〔G2〕份后，方可實(shí)施系統(tǒng)補(bǔ)丁程序的安裝；應(yīng)建立系統(tǒng)安全治理制度，對系統(tǒng)安全策略、安全配置、日志治理和日常操作流程等方面作出規(guī)定；應(yīng)依據(jù)操作手冊對系統(tǒng)進(jìn)展維護(hù)，具體記錄操作日志，包括重要的日常操作、運(yùn)行維護(hù)記錄、參數(shù)的設(shè)置和修改等內(nèi)容，嚴(yán)禁進(jìn)展未經(jīng)授權(quán)的操作；二級(jí)等保應(yīng)定期對運(yùn)行日志和審計(jì)數(shù)據(jù)進(jìn)展分析，以便準(zhǔn)時(shí)覺察特別行為。a)應(yīng)提高全部用戶的防病毒意識(shí)，告知準(zhǔn)時(shí)升級(jí)防病毒軟件，在讀取移動(dòng)存儲(chǔ)設(shè)備上的數(shù)據(jù)以及網(wǎng)絡(luò)上接惡意代收文件或郵件之前，先進(jìn)展病毒檢查，對外來計(jì)算機(jī)碼防范或存儲(chǔ)設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也應(yīng)進(jìn)展病毒檢查；

實(shí)現(xiàn)狀況治理 b)應(yīng)指定專人對網(wǎng)絡(luò)和主機(jī)進(jìn)展惡意代碼檢測并保存檢測記錄；〔G2〕c)定期匯報(bào)等作出明確規(guī)定。密碼管〔G2〕

應(yīng)使用符合國家密碼治理規(guī)定的密碼技術(shù)和產(chǎn)品。應(yīng)確認(rèn)系統(tǒng)中要發(fā)生的重要變更，并制定相應(yīng)的變變更管更方案；〔G2〕b)系統(tǒng)發(fā)生重要變更前，應(yīng)向主管領(lǐng)導(dǎo)申請，審批前方可實(shí)施變更，并在實(shí)施后向相關(guān)人員通告。應(yīng)識(shí)別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；備份與

保存期等；恢復(fù)管c)應(yīng)依據(jù)數(shù)據(jù)的重要性及其對系統(tǒng)運(yùn)行的影響，制定〔G2〕數(shù)據(jù)的備份策略和恢復(fù)策略，備份策略指明備份數(shù)據(jù)的放置場所、文件命名規(guī)章、介質(zhì)替換頻率和數(shù)據(jù)離站運(yùn)輸方法。應(yīng)報(bào)告所覺察的安全弱點(diǎn)和可疑大事，但任何狀況下用戶均不應(yīng)嘗試驗(yàn)證弱點(diǎn)；應(yīng)制定安全大事報(bào)告和處置治理制度，明確安全事安全大事處置〔G2〕

件類型，規(guī)定安全大事的現(xiàn)場處理、大事報(bào)告和后期恢復(fù)的治理職責(zé)；應(yīng)依據(jù)國家相關(guān)治理部門對計(jì)算機(jī)安全大事等級(jí)劃分方法和安全