二級(jí)等保治理要求安全治理制管度(G2〕理制度制定和公布〔G2〕

二級(jí)等保應(yīng)制定信息安全工作的總體方針和安全策略，說(shuō)明機(jī)構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架等；應(yīng)對(duì)安全治理活動(dòng)中重要的治理內(nèi)容建立安全治理制度;c)應(yīng)對(duì)安全治理人員或操作人員執(zhí)行的重要治理操作建立操作規(guī)程。應(yīng)指定或授權(quán)特地的部門(mén)或人員負(fù)責(zé)安全治理制度的制定；應(yīng)組織相關(guān)人員對(duì)制定的安全治理制度進(jìn)展論證和審定；應(yīng)將安全治理制度以某種方式公布到相關(guān)人員手中。

實(shí)現(xiàn)狀況評(píng)審和修訂〔G2〕

應(yīng)定期對(duì)安全治理制度進(jìn)展評(píng)審,對(duì)存在缺乏或需要改進(jìn)的安全治理制度進(jìn)展修訂。安崗位設(shè)全

a〕應(yīng)設(shè)立安全主管、安全治理各個(gè)方面的負(fù)責(zé)人崗位，并定義各負(fù)責(zé)人的職責(zé)；〔G2〕b)應(yīng)設(shè)立系統(tǒng)治理員、網(wǎng)絡(luò)治理員、安全治理員等崗管 位,并定義各個(gè)工作崗位的職責(zé).理機(jī) 人員配

a〕應(yīng)配備肯定數(shù)量的系統(tǒng)治理員、網(wǎng)絡(luò)治理員、安全治理員等；備(G2〕b〕安全治理員不能兼任網(wǎng)絡(luò)治理員、系統(tǒng)治理員、構(gòu) 數(shù)據(jù)庫(kù)治理員等。授權(quán)和審批〔G2〕

a〕應(yīng)依據(jù)各個(gè)部門(mén)和崗位的職責(zé)明確授權(quán)審批部門(mén)及批準(zhǔn)人，對(duì)系統(tǒng)投入運(yùn)行、網(wǎng)絡(luò)系統(tǒng)接入和重要資源的訪(fǎng)問(wèn)等關(guān)鍵活動(dòng)進(jìn)展審批；b)應(yīng)針對(duì)關(guān)鍵活動(dòng)建立審批流程，并由批準(zhǔn)人簽字確二級(jí)等保 實(shí)現(xiàn)狀況認(rèn)。溝通和合作〔G2)審核和檢查(G2〕人員安 人員錄全 〔G2〕管理人員離崗(G2〕人員考〔G2〕

應(yīng)加強(qiáng)各類(lèi)治理人員之間、組織內(nèi)部機(jī)構(gòu)之間以及信息安全職能部門(mén)內(nèi)部的合作與溝通;應(yīng)加強(qiáng)與兄弟單位、公安機(jī)關(guān)、電信公司的合作與溝通。安全治理員應(yīng)負(fù)責(zé)定期進(jìn)展安全檢查,檢查內(nèi)容包括系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等狀況。應(yīng)指定或授權(quán)特地的部門(mén)或人員負(fù)責(zé)人員錄用；應(yīng)標(biāo)準(zhǔn)人員錄用過(guò)程，對(duì)被錄用人員的身份、背景和專(zhuān)業(yè)資格等進(jìn)展審查，對(duì)其所具有的技術(shù)技能進(jìn)展考核;應(yīng)與從事關(guān)鍵崗位的人員簽署保密協(xié)議。a〕應(yīng)標(biāo)準(zhǔn)人員離崗過(guò)程,準(zhǔn)時(shí)終止離崗員工的全部訪(fǎng)問(wèn)權(quán)限；應(yīng)取回各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)供給的軟硬件設(shè)備;應(yīng)辦理嚴(yán)格的調(diào)離手續(xù)。應(yīng)定期對(duì)各個(gè)崗位的人員進(jìn)展安全技能及安全認(rèn)知的考核。安全意識(shí)教育和培訓(xùn)〔G2)

a)應(yīng)對(duì)各類(lèi)人員進(jìn)展安全意識(shí)教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)；b〕應(yīng)告知人員相關(guān)的安全責(zé)任和懲戒措施，并對(duì)違反違反安全策略和規(guī)定的人員進(jìn)展懲戒；c)崗位操作規(guī)程等進(jìn)展培訓(xùn)。外部人員訪(fǎng)問(wèn)治理〔G2〕

二級(jí)等保應(yīng)確保在外部人員訪(fǎng)問(wèn)受控區(qū)域前得到授權(quán)或?qū)徟鷾?zhǔn)后由專(zhuān)人全程伴隨或監(jiān)視，并登記備案。

實(shí)現(xiàn)狀況系統(tǒng) 系統(tǒng)定

應(yīng)明確信息系統(tǒng)的邊界和安全保護(hù)等級(jí);應(yīng)以書(shū)面的形式說(shuō)明信息系統(tǒng)確定為某個(gè)安全保護(hù)建 級(jí)(G2〕等級(jí)的方法和理由；設(shè)c〕應(yīng)確保信息系統(tǒng)的定級(jí)結(jié)果經(jīng)過(guò)相關(guān)部門(mén)的批準(zhǔn)。管理 a〕應(yīng)依據(jù)系統(tǒng)的安全保護(hù)等級(jí)選擇根本安全措施，依據(jù)風(fēng)險(xiǎn)分析的結(jié)果補(bǔ)充和調(diào)整安全措施;安全方案設(shè)計(jì)

b〕應(yīng)以書(shū)面形式描述對(duì)系統(tǒng)的安全保護(hù)要求、策略和措施等內(nèi)容，形成系統(tǒng)的安全方案；應(yīng)對(duì)安全方案進(jìn)展細(xì)化,形成能指導(dǎo)安全系統(tǒng)建設(shè)、〔G2〕安全產(chǎn)品選購(gòu)和使用的具體設(shè)計(jì)方案；應(yīng)組織相關(guān)部門(mén)和有關(guān)安全技術(shù)專(zhuān)家對(duì)安全設(shè)計(jì)方案的合理性和正確性進(jìn)展論證和審定,并且經(jīng)過(guò)批準(zhǔn)后，才能正式實(shí)施。產(chǎn)品選購(gòu)和使〔G2〕

應(yīng)確保安全產(chǎn)品選購(gòu)和使用符合國(guó)家的有關(guān)規(guī)定；應(yīng)確保密碼產(chǎn)品選購(gòu)和使用符合國(guó)家密碼主管部門(mén)的要求;應(yīng)指定或授權(quán)特地的部門(mén)負(fù)責(zé)產(chǎn)品的選購(gòu)。a〕應(yīng)確保開(kāi)發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理分開(kāi)；自行軟件開(kāi)發(fā)(G2〕

b〕應(yīng)制定軟件開(kāi)發(fā)治理制度,明確說(shuō)明開(kāi)發(fā)過(guò)程的掌握方法和人員行為準(zhǔn)則;應(yīng)確保供給軟件設(shè)計(jì)的相關(guān)文檔和使用指南，并由專(zhuān)人負(fù)責(zé)保管。外包軟件開(kāi)發(fā)〔G2)工程實(shí)〔G2〕

二級(jí)等保應(yīng)依據(jù)開(kāi)發(fā)要求檢測(cè)軟件質(zhì)量;應(yīng)確保供給軟件設(shè)計(jì)的相關(guān)文檔和使用指南；應(yīng)在軟件安裝之前檢測(cè)軟件包中可能存在的惡意代碼；應(yīng)要求開(kāi)發(fā)單位供給軟件源代碼，并審查軟件中可能存在的后門(mén).a)應(yīng)指定或授權(quán)特地的部門(mén)或人員負(fù)責(zé)工程實(shí)施過(guò)程的治理；b〕應(yīng)制定具體的工程實(shí)施方案，掌握工程實(shí)施過(guò)程。a〕應(yīng)對(duì)系統(tǒng)進(jìn)展安全性測(cè)試驗(yàn)收；

實(shí)現(xiàn)狀況測(cè)試驗(yàn)b〕在測(cè)試驗(yàn)收前應(yīng)依據(jù)設(shè)計(jì)方案或合同要求等制訂〔G2〕測(cè)試驗(yàn)收方案，在測(cè)試驗(yàn)收過(guò)程中應(yīng)具體記錄測(cè)試驗(yàn)收結(jié)果，并形成測(cè)試驗(yàn)收?qǐng)?bào)告；c)應(yīng)組織相關(guān)部門(mén)和相關(guān)人員對(duì)系統(tǒng)測(cè)試驗(yàn)收?qǐng)?bào)告進(jìn)展審定,并簽字確認(rèn)。a)應(yīng)制定系統(tǒng)交付清單，并依據(jù)交付清單對(duì)所交接的設(shè)備、軟件和文檔等進(jìn)展清點(diǎn)；系統(tǒng)交b〕應(yīng)對(duì)負(fù)責(zé)系統(tǒng)運(yùn)行維護(hù)的技術(shù)人員進(jìn)展相應(yīng)的技付(G2) 能培訓(xùn)；c〕應(yīng)確保供給系統(tǒng)建設(shè)過(guò)程中的文檔和指導(dǎo)用戶(hù)進(jìn)展系統(tǒng)運(yùn)行維護(hù)的文檔。安全服

a)應(yīng)確保安全效勞商的選擇符合國(guó)家的有關(guān)規(guī)定；務(wù)商選b〕應(yīng)與選定的安全效勞商簽訂與安全相關(guān)的協(xié)議，〔G2) 明確商定相關(guān)責(zé)任；c)應(yīng)確保選定的安全效勞商供給技術(shù)支持和效勞承諾，必要的與其簽訂效勞合同.系統(tǒng)運(yùn)維管 環(huán)境管

二級(jí)等保應(yīng)指定特地的部門(mén)或人員定期對(duì)機(jī)房供配電、空調(diào)、溫濕度掌握等設(shè)施進(jìn)展維護(hù)治理；應(yīng)配備機(jī)房安全治理人員,對(duì)機(jī)房的出入、效勞器的開(kāi)機(jī)或關(guān)機(jī)等工作進(jìn)展治理;c)應(yīng)建立機(jī)房安全治理制度，對(duì)有關(guān)機(jī)房物理訪(fǎng)問(wèn)，

實(shí)現(xiàn)狀況理 〔G2〕物品帶進(jìn)、帶出機(jī)房和機(jī)房環(huán)境安全等方面的治理作出規(guī)定；d〕應(yīng)加強(qiáng)對(duì)辦公環(huán)境的保密性治理，包括工作人員調(diào)離辦公室應(yīng)馬上交還該辦公室鑰匙和不在辦公區(qū)接待來(lái)訪(fǎng)人員等.資產(chǎn)管〔G2〕

應(yīng)編制與信息系統(tǒng)相關(guān)的資產(chǎn)清單，包括資產(chǎn)責(zé)任部門(mén)、重要程度和所處位置等內(nèi)容；應(yīng)建立資產(chǎn)安全治理制度，規(guī)定信息系統(tǒng)資產(chǎn)治理的責(zé)任人員或責(zé)任部門(mén)，并標(biāo)準(zhǔn)資產(chǎn)治理和使用的行為。應(yīng)確保介質(zhì)存放在安全的環(huán)境中，對(duì)各類(lèi)介質(zhì)進(jìn)展掌握和保護(hù)，并實(shí)行存儲(chǔ)環(huán)境專(zhuān)人治理；b〕應(yīng)對(duì)介質(zhì)歸檔和查詢(xún)等過(guò)程進(jìn)展記錄,并依據(jù)存檔介質(zhì)管介質(zhì)的名目清單定期盤(pán)點(diǎn)；〔G2〕c〕應(yīng)對(duì)需要送出修理或銷(xiāo)毀的介質(zhì)，首先去除其中的敏感數(shù)據(jù)，防止信息的非法泄漏；d〕應(yīng)依據(jù)所承載數(shù)據(jù)和軟件的重要程度對(duì)介質(zhì)進(jìn)展分類(lèi)和標(biāo)識(shí)治理。設(shè)備治理〔G2)

a〕應(yīng)對(duì)信息系統(tǒng)相關(guān)的各種設(shè)備(包括備份和冗余設(shè)備、線(xiàn)路等指定特地的部門(mén)或人員定期進(jìn)展維護(hù)管理；應(yīng)建立基于申報(bào)、審批和專(zhuān)人負(fù)責(zé)的設(shè)備安全治理制度，對(duì)信息系統(tǒng)的各種軟硬件設(shè)備的選型、選購(gòu)、發(fā)放和領(lǐng)用等過(guò)程進(jìn)展標(biāo)準(zhǔn)化治理；應(yīng)對(duì)終端計(jì)算機(jī)、工作站、便攜機(jī)、系統(tǒng)和網(wǎng)絡(luò)網(wǎng)絡(luò)安全治理(G2〕

二級(jí)等保等設(shè)備的操作和使用進(jìn)展標(biāo)準(zhǔn)化治理，按操作規(guī)程實(shí)現(xiàn)關(guān)鍵設(shè)備〔包括備份和冗余設(shè)備〕的啟動(dòng)/停頓、加電/斷電等操作；應(yīng)確保信息處理設(shè)備必需經(jīng)過(guò)審批才能帶離機(jī)房或辦公地點(diǎn).應(yīng)指定人員對(duì)網(wǎng)絡(luò)進(jìn)展治理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報(bào)警信息分析和處理工作；應(yīng)建立網(wǎng)絡(luò)安全治理制度，對(duì)網(wǎng)絡(luò)安全配置、日志保存時(shí)間、安全策略、升級(jí)與打補(bǔ)丁、口令更周期等方面作出規(guī)定；應(yīng)依據(jù)廠(chǎng)家供給的軟件升級(jí)版本對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)展更,并在更前對(duì)現(xiàn)有的重要文件進(jìn)展備份；d〕應(yīng)定期對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)展漏洞掃描，對(duì)覺(jué)察的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)展準(zhǔn)時(shí)的修補(bǔ)；e)應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的配置文件進(jìn)展定期備份；f〕應(yīng)保證全部與外部系統(tǒng)的連接均得到授權(quán)和批準(zhǔn)。a)應(yīng)依據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪(fǎng)問(wèn)掌握策略;b〕應(yīng)定期進(jìn)展漏洞掃描，對(duì)覺(jué)察的系統(tǒng)安全漏洞準(zhǔn)時(shí)進(jìn)展修補(bǔ);

實(shí)現(xiàn)狀況系統(tǒng)安全治理(G2〕

c)應(yīng)安裝系統(tǒng)的最補(bǔ)丁程序,在安裝系統(tǒng)補(bǔ)丁前，應(yīng)首先在測(cè)試環(huán)境中測(cè)試通過(guò),并對(duì)重要文件進(jìn)展備份后,方可實(shí)施系統(tǒng)補(bǔ)丁程序的安裝；應(yīng)建立系統(tǒng)安全治理制度，對(duì)系統(tǒng)安全策略、安全配置、日志治理和日常操作流程等方面作出規(guī)定；應(yīng)依據(jù)操作手冊(cè)對(duì)系統(tǒng)進(jìn)展維護(hù)，具體記錄操作日志,包括重要的日常操作、運(yùn)行維護(hù)記錄、參數(shù)的設(shè)置和修改等內(nèi)容，嚴(yán)禁進(jìn)展未經(jīng)授權(quán)的操作；f)應(yīng)定期對(duì)運(yùn)行日志和審計(jì)數(shù)據(jù)進(jìn)展分析，以便準(zhǔn)時(shí)二級(jí)等保 實(shí)現(xiàn)狀況覺(jué)察特別行為。惡意代碼防范

a)應(yīng)提高全部用戶(hù)的防病毒意識(shí),告知準(zhǔn)時(shí)升級(jí)防病毒軟件，在讀取移動(dòng)存儲(chǔ)設(shè)備上的數(shù)據(jù)以及網(wǎng)絡(luò)上接收文件或郵件之前,先進(jìn)展病毒檢查，對(duì)外來(lái)計(jì)算機(jī)或存儲(chǔ)設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也應(yīng)進(jìn)展病毒檢查；治理 b)應(yīng)指定專(zhuān)人對(duì)網(wǎng)絡(luò)和主機(jī)進(jìn)展惡意代碼檢測(cè)并保存〔G2〕檢測(cè)記錄；c〕應(yīng)對(duì)防惡意代碼軟件的授權(quán)使用、惡意代碼庫(kù)升級(jí)、定期匯報(bào)等作出明確規(guī)定。密碼管〔G2〕

應(yīng)使用符合國(guó)家密碼治理規(guī)定的密碼技術(shù)和產(chǎn)品。a〕應(yīng)確認(rèn)系統(tǒng)中要發(fā)生的重要變更,并制定相應(yīng)的變變更管更方案；〔G2〕b〕系統(tǒng)發(fā)生重要變更前，應(yīng)向主管領(lǐng)導(dǎo)申請(qǐng),審批前方可實(shí)施變更，并在實(shí)施后向相關(guān)人員通告。a)應(yīng)識(shí)別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；備份與恢復(fù)管

b〕應(yīng)規(guī)定備份信息的備份方式、備份頻度、存儲(chǔ)介質(zhì)、保存期等；〔G2〕c)應(yīng)依據(jù)數(shù)據(jù)的重要性及其對(duì)系統(tǒng)運(yùn)行的影響，制定數(shù)據(jù)的備份策略和恢復(fù)策略，備份策略指明備份數(shù)據(jù)的放置場(chǎng)所、文件命名規(guī)章、介質(zhì)替換頻率和數(shù)據(jù)離站運(yùn)輸方法.安全大事處置

a)應(yīng)報(bào)告所覺(jué)察的安全弱點(diǎn)和可疑大事，但任何狀況下用戶(hù)均不應(yīng)嘗試驗(yàn)證弱點(diǎn)；b〕應(yīng)制定安全大事報(bào)告和處置治理制度,明確安全事〔G2〕件類(lèi)型,規(guī)定安全大事的現(xiàn)場(chǎng)處理、大事報(bào)告和后期恢復(fù)的治理職責(zé)；c〕應(yīng)依據(jù)國(guó)家相關(guān)治理部門(mén)對(duì)計(jì)算機(jī)安全大事等級(jí)劃分方法和安全大事對(duì)本系統(tǒng)產(chǎn)生的影響,