網(wǎng)絡(luò)安全等級保護(hù)測評高風(fēng)險(xiǎn)判定指引

信息安全測評聯(lián)盟2019年6月

目錄TOC\o"1-4"\h\z\u1 適用范圍 12 術(shù)語和定義 13 參考依據(jù) 24 安全物理環(huán)境 2 物理訪問控制 2 防盜竊和防破壞 3 防火 4 溫濕度控制 5 電力供應(yīng) 5 電磁防護(hù) 75 安全通信網(wǎng)絡(luò) 8 網(wǎng)絡(luò)架構(gòu) 8 通信傳輸 136 安全區(qū)域邊界 14 邊界防護(hù) 14 訪問控制 19 入侵防范 20 惡意代碼和垃圾郵件防范 22 安全審計(jì) 237 安全計(jì)算環(huán)境 24 網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機(jī)設(shè)備等 24 身份鑒別 24 訪問控制 27 安全審計(jì) 28 入侵防范 29 惡意代碼防范 32 應(yīng)用系統(tǒng) 33 身份鑒別 33 訪問控制 37 安全審計(jì) 39 入侵防范 40 數(shù)據(jù)完整性 43 數(shù)據(jù)保密性 44 數(shù)據(jù)備份恢復(fù) 45 剩余信息保護(hù) 48 個(gè)人信息保護(hù) 498 安全區(qū)域邊界 51 集中管控 519 安全管理制度 53 管理制度 5310 安全管理機(jī)構(gòu) 54 崗位設(shè)置 5411 安全建設(shè)管理 55 產(chǎn)品采購和使用 55 外包軟件開發(fā) 56 測試驗(yàn)收 5712 安全運(yùn)維管理 58 漏洞和風(fēng)險(xiǎn)管理 58 網(wǎng)絡(luò)和系統(tǒng)安全管理 59 惡意代碼防范管理 62 變更管理 63 備份與恢復(fù)管理 64 應(yīng)急預(yù)案管理 65附件基本要求與判例對應(yīng)表 67網(wǎng)絡(luò)安全等級保護(hù)測評高風(fēng)險(xiǎn)判定指引適用范圍本指引是依據(jù)GB/T22239-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》有關(guān)條款，對測評過程中所發(fā)現(xiàn)的安全性問題進(jìn)行風(fēng)險(xiǎn)判斷的指引性文件。指引內(nèi)容包括對應(yīng)要求、判例內(nèi)容、適用范圍、補(bǔ)償措施、整改建議等要素。需要指出的是，本指引無法涵蓋所有高風(fēng)險(xiǎn)案例，測評機(jī)構(gòu)須根據(jù)安全問題所實(shí)際面臨的風(fēng)險(xiǎn)做出客觀判斷。本指引適用于網(wǎng)絡(luò)安全等級保護(hù)測評活動、安全檢查等工作。信息系統(tǒng)建設(shè)單位亦可參考本指引描述的案例編制系統(tǒng)安全需求。術(shù)語和定義可用性要求較高的系統(tǒng)指出現(xiàn)短時(shí)故障無法提供服務(wù)，可能對社會秩序、公共利益等造成嚴(yán)重?fù)p害的系統(tǒng)，即可用性級別大于等于%，年度停機(jī)時(shí)間小于等于小時(shí)的系統(tǒng)；一般包括但不限于銀行、證券、非金融支付機(jī)構(gòu)、互聯(lián)網(wǎng)金融等交易類系統(tǒng)，提供公共服務(wù)的民生類系統(tǒng)、工業(yè)控制類系統(tǒng)等。核心網(wǎng)絡(luò)設(shè)備指部署在核心網(wǎng)絡(luò)節(jié)點(diǎn)的關(guān)鍵設(shè)備，一般包括但不限于核心交換機(jī)、核心路由器、核心邊界防火墻等。數(shù)據(jù)傳輸完整性要求較高的系統(tǒng)指數(shù)據(jù)在傳輸過程中遭受惡意破壞或篡改，可能造成較大的財(cái)產(chǎn)損失，或造成嚴(yán)重破壞的系統(tǒng)，一般包括但不限于銀行、證券、非金融支付機(jī)構(gòu)、互聯(lián)網(wǎng)金融等交易類系統(tǒng)等。不可控網(wǎng)絡(luò)環(huán)境指互聯(lián)網(wǎng)、公共網(wǎng)絡(luò)環(huán)境、內(nèi)部辦公環(huán)境等無管控措施，可能存在惡意攻擊、數(shù)據(jù)竊聽等安全隱患的網(wǎng)絡(luò)環(huán)境。可被利用的漏洞指可被攻擊者用來進(jìn)行網(wǎng)絡(luò)攻擊，可造成嚴(yán)重后果的漏洞，一般包括但不限于緩沖區(qū)溢出、提權(quán)漏洞、遠(yuǎn)程代碼執(zhí)行、嚴(yán)重邏輯缺陷、敏感數(shù)據(jù)泄露等。參考依據(jù)GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求GB/T28448-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)測評要求GB/T25069-2010信息安全技術(shù)術(shù)語安全物理環(huán)境物理訪問控制機(jī)房出入口控制措施對應(yīng)要求：機(jī)房出入口應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員。判例內(nèi)容：機(jī)房出入口區(qū)域無任何訪問控制措施，機(jī)房無電子或機(jī)械門鎖，機(jī)房入口也無專人值守；辦公或外來人員可隨意進(jìn)出機(jī)房，無任何管控、監(jiān)控措施，存在較大安全隱患，可判高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、機(jī)房出入口區(qū)域無任何訪問控制措施；2、機(jī)房無電子或機(jī)械門鎖，機(jī)房入口也無專人值守；3、辦公或外來人員可隨意進(jìn)出機(jī)房，無任何管控、監(jiān)控措施。補(bǔ)償措施：如機(jī)房無電子門禁系統(tǒng)，但有其他防護(hù)措施，如機(jī)房出入配備24小時(shí)專人值守，采用攝像頭實(shí)時(shí)監(jiān)控等，可酌情降低風(fēng)險(xiǎn)等級。整改建議：機(jī)房出入口配備電子門禁系統(tǒng)，通過電子門禁鑒別、記錄進(jìn)入的人員信息。防盜竊和防破壞機(jī)房防盜措施對應(yīng)要求：應(yīng)設(shè)置機(jī)房防盜報(bào)警系統(tǒng)或設(shè)置有專人值守的視頻監(jiān)控系統(tǒng)。判例內(nèi)容：機(jī)房無防盜報(bào)警系統(tǒng)，也未設(shè)置有專人值守的視頻監(jiān)控系統(tǒng)，出現(xiàn)盜竊事件無法進(jìn)行告警、追溯的，可判高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)所在機(jī)房；2、機(jī)房無防盜報(bào)警系統(tǒng)；3、未設(shè)置有專人值守的視頻監(jiān)控系統(tǒng)；4、機(jī)房環(huán)境不可控；5、如發(fā)生盜竊事件無法進(jìn)行告警、追溯。補(bǔ)償措施：如果機(jī)房有專人24小時(shí)值守，并且能對進(jìn)出人員進(jìn)出物品進(jìn)行登記的（如部分IDC機(jī)房有要求設(shè)備進(jìn)出需單登記），可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議機(jī)房部署防盜報(bào)警系統(tǒng)或設(shè)置有專人值守的視頻監(jiān)控系統(tǒng)，如發(fā)生盜竊事件可及時(shí)告警或進(jìn)行追溯，確保機(jī)房環(huán)境的安全可控。防火機(jī)房防火措施對應(yīng)要求：機(jī)房應(yīng)設(shè)置火災(zāi)自動消防系統(tǒng)，能夠自動檢測火情、自動報(bào)警，并自動滅火。判例內(nèi)容：機(jī)房內(nèi)無防火措施（既無自動滅火，也無手持滅火器/或手持滅火器藥劑已過期），一旦發(fā)生火情，無任何消防處置措施，可判高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：機(jī)房內(nèi)無任何防火措施（既無自動滅火，也無手持滅火器/或手持滅火器藥劑已過期）。補(bǔ)償措施：無。整改建議：建議機(jī)房設(shè)置火災(zāi)自動消防系統(tǒng)，能夠自動檢測火情、自動報(bào)警，并自動滅火，相關(guān)消防設(shè)備如滅火器等應(yīng)定級檢查，確保防火措施有效。溫濕度控制機(jī)房溫濕度控制措施對應(yīng)要求：應(yīng)設(shè)置溫濕度自動調(diào)節(jié)設(shè)施，使機(jī)房溫濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)。判例內(nèi)容：機(jī)房無有效的溫濕度控制措施，或溫濕度長期高于或低于設(shè)備允許的溫濕度范圍，可能加速設(shè)備損害，提高設(shè)備的故障率，對設(shè)備的正常運(yùn)行帶來安全隱患，可判高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、機(jī)房無溫濕度調(diào)節(jié)措施；2、機(jī)房溫濕度長期處于設(shè)備運(yùn)運(yùn)行的范圍之外。補(bǔ)償措施：對于一些特殊自然條件或特殊用途的系統(tǒng)，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議機(jī)房設(shè)置溫、濕度自動調(diào)節(jié)設(shè)備，確保機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)。電力供應(yīng)機(jī)房短期的備用電力供應(yīng)措施對應(yīng)要求：應(yīng)提供短期的備用電力供應(yīng)，至少滿足設(shè)備在斷電情況下的正常運(yùn)行要求。判例內(nèi)容：對于可用性要求較高的系統(tǒng)，如銀行、證券等交易類系統(tǒng)，提供公共服務(wù)的民生類系統(tǒng)、工控類系統(tǒng)等，機(jī)房未配備短期備用電力供應(yīng)設(shè)備（如UPS）或配備的設(shè)備無法在短時(shí)間內(nèi)滿足斷電情況下的正常運(yùn)行要求的，可判高風(fēng)險(xiǎn)。適用范圍：對可用性要求較高的3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、系統(tǒng)可用性要求較高；3、無法提供短期備用電力供應(yīng)或備用電力供應(yīng)無法滿足系統(tǒng)短期正常運(yùn)行。補(bǔ)償措施：如機(jī)房配備多路供電，且供電方同時(shí)斷電概率較低的情況下，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議配備容量合理的后備電源，并定期對UPS進(jìn)行巡檢，確保在在外部電力供應(yīng)中斷的情況下，備用供電設(shè)備能滿足系統(tǒng)短期正常運(yùn)行。機(jī)房電力線路冗余措施對應(yīng)要求：應(yīng)設(shè)置冗余或并行的電力電纜線路為計(jì)算機(jī)系統(tǒng)供電。判例內(nèi)容：機(jī)房未配備冗余或并行電力線路供電來自于同一變電站，可判高風(fēng)險(xiǎn)。適用范圍：對可用性要求較高的3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、系統(tǒng)可用性要求較高；3、機(jī)房未配備冗余或并行電力線路供電來自于同一變電站。補(bǔ)償措施：如機(jī)房配備大容量UPS，且足夠保障斷電情況下，一定時(shí)間內(nèi)系統(tǒng)可正常運(yùn)行或保障數(shù)據(jù)存儲完整的，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議配備冗余或并行的電力線路，電力線路應(yīng)來自于不同的變電站；對于可用性要求較高的系統(tǒng)（4級系統(tǒng)），建議變電站來自于不同的市電。機(jī)房應(yīng)急供電措施對應(yīng)要求：應(yīng)提供應(yīng)急供電設(shè)施。判例內(nèi)容：系統(tǒng)所在的機(jī)房必須配備應(yīng)急供電措施，如未配備，或應(yīng)急供電措施無法使用，可判高風(fēng)險(xiǎn)。適用范圍：4級系統(tǒng)。滿足條件（同時(shí)）：1、4級系統(tǒng)；2、機(jī)房未配備應(yīng)急供電措施，或應(yīng)急供電措施不可用/無法滿足系統(tǒng)正常允許需求。補(bǔ)償措施：如果系統(tǒng)采用多數(shù)據(jù)中心方式部署，且通過技術(shù)手段能夠?qū)崿F(xiàn)應(yīng)用級災(zāi)備，一定程度上可降低單一機(jī)房發(fā)生故障所帶來的可用性方面影響，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議配備應(yīng)急供電設(shè)施，如備用發(fā)電設(shè)備。電磁防護(hù)機(jī)房電磁防護(hù)措施對應(yīng)要求：應(yīng)對關(guān)鍵設(shè)備或關(guān)鍵區(qū)域?qū)嵤╇姶牌帘?。判例?nèi)容：對于涉及大量核心數(shù)據(jù)的系統(tǒng)，如機(jī)房或關(guān)鍵設(shè)備所在的機(jī)柜未采取電磁屏蔽措施，可判高風(fēng)險(xiǎn)。適用范圍：對于數(shù)據(jù)防泄漏要求較高的4級系統(tǒng)。滿足條件（同時(shí)）：1、4級系統(tǒng)；2、系統(tǒng)存儲數(shù)據(jù)敏感性較高，有較高的保密性需求；3、機(jī)房環(huán)境復(fù)雜，有電磁泄露的風(fēng)險(xiǎn)。補(bǔ)償措施：如該4級系統(tǒng)涉及的信息對保密性要求不高，或者機(jī)房環(huán)境相對可控，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議機(jī)房或重要設(shè)備或重要設(shè)備所在的機(jī)柜采用電磁屏蔽技術(shù)，且相關(guān)產(chǎn)品或技術(shù)獲得相關(guān)檢測認(rèn)證資質(zhì)的證明。安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)網(wǎng)絡(luò)設(shè)備業(yè)務(wù)處理能力對應(yīng)要求：應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足業(yè)務(wù)高峰期需要。判例內(nèi)容：對可用性要求較高的系統(tǒng)，網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力不足，高峰時(shí)可能導(dǎo)致設(shè)備宕機(jī)或服務(wù)中斷，影響金融秩序或引發(fā)群體事件，若無任何技術(shù)應(yīng)對措施，可判定為高風(fēng)險(xiǎn)。適用范圍：對可用性要求較高的3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、系統(tǒng)可用性要求較高；3、核心網(wǎng)絡(luò)設(shè)備性能無法滿足高峰期需求，存在業(yè)務(wù)中斷隱患，如業(yè)務(wù)高峰期，核心設(shè)備性能指標(biāo)平均達(dá)到80%以上。補(bǔ)償措施：針對設(shè)備宕機(jī)或服務(wù)中斷制定了應(yīng)急預(yù)案并落實(shí)執(zhí)行，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議更換性能滿足業(yè)務(wù)高峰期需要的設(shè)備，并合理預(yù)計(jì)業(yè)務(wù)增長，制定合適的擴(kuò)容計(jì)劃。網(wǎng)絡(luò)區(qū)域劃分對應(yīng)要求：應(yīng)劃分不同的網(wǎng)絡(luò)區(qū)域，并按照方便管理和控制的原則為各網(wǎng)絡(luò)區(qū)域分配地址。判例內(nèi)容：應(yīng)按照不同網(wǎng)絡(luò)的功能、重要程度進(jìn)行網(wǎng)絡(luò)區(qū)域劃分，如存在重要區(qū)域與非重要網(wǎng)絡(luò)在同一子網(wǎng)或網(wǎng)段的，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（任意條件）：1、涉及資金類交易的支付類系統(tǒng)與辦公網(wǎng)同一網(wǎng)段；2、面向互聯(lián)網(wǎng)提供服務(wù)的系統(tǒng)與內(nèi)部系統(tǒng)同一網(wǎng)段；3、重要核心網(wǎng)絡(luò)區(qū)域與非重要網(wǎng)絡(luò)在同一網(wǎng)段。補(bǔ)償措施：無。整改建議：建議根據(jù)各工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的網(wǎng)絡(luò)區(qū)域，并做好各區(qū)域之間的訪問控制措施。網(wǎng)絡(luò)訪問控制設(shè)備不可控對應(yīng)要求：應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段。判例內(nèi)容：互聯(lián)網(wǎng)邊界訪問控制設(shè)備無管理權(quán)限，且無其他邊界防護(hù)措施的，難以保證邊界防護(hù)的有效性，也無法根據(jù)業(yè)務(wù)需要或所發(fā)生的安全事件及時(shí)調(diào)整訪問控制策略，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、互聯(lián)網(wǎng)邊界訪問控制設(shè)備無管理權(quán)限；2、無其他任何有效訪問控制措施；3、無法根據(jù)業(yè)務(wù)需要或所發(fā)生的安全事件及時(shí)調(diào)整訪問控制策略。補(bǔ)償措施：無。整改建議：建議部署自有的邊界訪問控制設(shè)備或租用有管理權(quán)限的邊界訪問控制設(shè)備，且對相關(guān)設(shè)備進(jìn)行合理配置?；ヂ?lián)網(wǎng)邊界訪問控制對應(yīng)要求：應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段。判例內(nèi)容：互聯(lián)網(wǎng)出口無任何訪問控制措施，或訪問控制措施配置失效，存在較大安全隱患，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（任意條件）：1、互聯(lián)網(wǎng)出口無任何訪問控制措施。2、互聯(lián)網(wǎng)出口訪問控制措施配置不當(dāng)，存在較大安全隱患。3、互聯(lián)網(wǎng)出口訪問控制措施配置失效，無法起到相關(guān)控制功能。補(bǔ)償措施：邊界訪問控制設(shè)備不一定一定要是防火墻，只要是能實(shí)現(xiàn)相關(guān)的訪問控制功能，形態(tài)為專用設(shè)備，且有相關(guān)功能能夠提供相應(yīng)的檢測報(bào)告，可視為等效措施，判符合。如通過路由器、交換機(jī)或者帶ACL功能的負(fù)載均衡器等設(shè)備實(shí)現(xiàn)，可根據(jù)系統(tǒng)重要程度，設(shè)備性能壓力等因素，酌情判定風(fēng)險(xiǎn)等級。整改建議：建議在互聯(lián)網(wǎng)出口部署專用的訪問控制設(shè)備，并合理配置相關(guān)控制策略，確?？刂拼胧┯行?。不同區(qū)域邊界訪問控制對應(yīng)要求：應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在邊界處，重要網(wǎng)絡(luò)區(qū)域與其他網(wǎng)絡(luò)區(qū)域之間應(yīng)采取可靠的技術(shù)隔離手段。判例內(nèi)容：辦公網(wǎng)與生產(chǎn)網(wǎng)之間無訪問控制措施，辦公環(huán)境任意網(wǎng)絡(luò)接入均可對核心生產(chǎn)服務(wù)器和網(wǎng)絡(luò)設(shè)備進(jìn)行管理，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、辦公網(wǎng)與生產(chǎn)網(wǎng)之間無訪問控制措施；2、辦公環(huán)境任意網(wǎng)絡(luò)接入均可對核心生產(chǎn)服務(wù)器和網(wǎng)絡(luò)設(shè)備進(jìn)行管理。補(bǔ)償措施：邊界訪問控制設(shè)備不一定一定要是防火墻，只要是能實(shí)現(xiàn)相關(guān)的訪問控制功能，形態(tài)為專用設(shè)備，且有相關(guān)功能能夠提供相應(yīng)的檢測報(bào)告，可視為等效措施，判符合。如通過路由器、交換機(jī)或者帶ACL功能的負(fù)載均衡器等設(shè)備實(shí)現(xiàn)，可根據(jù)系統(tǒng)重要程度，設(shè)備性能壓力等因素，酌情判定風(fēng)險(xiǎn)等級。整改建議：建議不同網(wǎng)絡(luò)區(qū)域間應(yīng)部署訪問控制設(shè)備，并合理配置訪問控制策略，確保控制措施有效。關(guān)鍵線路、設(shè)備冗余對應(yīng)要求：應(yīng)提供通信線路、關(guān)鍵網(wǎng)絡(luò)設(shè)備和關(guān)鍵計(jì)算設(shè)備的硬件冗余，保證系統(tǒng)的可用性。判例內(nèi)容：對可用性要求較高的系統(tǒng)，若網(wǎng)絡(luò)鏈路為單鏈路，核心網(wǎng)絡(luò)節(jié)點(diǎn)、核心網(wǎng)絡(luò)設(shè)備或關(guān)鍵計(jì)算設(shè)備無冗余設(shè)計(jì)，一旦出現(xiàn)故障，可能導(dǎo)致業(yè)務(wù)中斷，可判定為高風(fēng)險(xiǎn)。適用范圍：對可用性要求較高的3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、系統(tǒng)可用性要求較高；3、關(guān)鍵鏈路、核心網(wǎng)絡(luò)設(shè)備或關(guān)鍵計(jì)算設(shè)備無任何無冗余措施，存在單點(diǎn)故障。補(bǔ)償措施：1、如系統(tǒng)采取多數(shù)據(jù)中心部署，或有應(yīng)用級災(zāi)備環(huán)境，能在生產(chǎn)環(huán)境出現(xiàn)故障情況下提供服務(wù)的，可酌情降低風(fēng)險(xiǎn)等級。2、對于系統(tǒng)可用性要求不高的其他3級系統(tǒng)，如無冗余措施，可酌情降低風(fēng)險(xiǎn)等級。3、如核心安全設(shè)備采用并聯(lián)方式部署，對安全防護(hù)能力有影響，但不會形成單點(diǎn)故障，也不會造成重大安全隱患的，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議關(guān)鍵網(wǎng)絡(luò)鏈路、核心網(wǎng)絡(luò)設(shè)備、關(guān)鍵計(jì)算設(shè)備采用冗余設(shè)計(jì)和部署（如采用熱備、負(fù)載均衡等部署方式），保證系統(tǒng)的高可用性。通信傳輸傳輸完整性保護(hù)對應(yīng)要求：應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。判例內(nèi)容：對數(shù)據(jù)傳輸完整性要求較高的系統(tǒng)，數(shù)據(jù)在網(wǎng)絡(luò)層傳輸無完整性保護(hù)措施，一旦數(shù)據(jù)遭到篡改，可能造成財(cái)產(chǎn)損失的，可判定為高風(fēng)險(xiǎn)。適用范圍：對數(shù)據(jù)傳輸完整性要求較高的3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、系統(tǒng)數(shù)據(jù)傳輸完整性要求較高；3、數(shù)據(jù)在網(wǎng)絡(luò)層傳輸無任何完整性保護(hù)措施。補(bǔ)償措施：如應(yīng)用層提供完整性校驗(yàn)等措施，或采用可信網(wǎng)絡(luò)傳輸，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議采用校驗(yàn)技術(shù)或密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。傳輸保密性保護(hù)對應(yīng)要求：應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的保密性。判例內(nèi)容：口令、密鑰等重要敏感信息在網(wǎng)絡(luò)中明文傳輸，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、設(shè)備、主機(jī)、數(shù)據(jù)庫、應(yīng)用等口令、密鑰等重要敏感信息在網(wǎng)絡(luò)中明文傳輸；3、該網(wǎng)絡(luò)管控措施不到位，存在口令被竊取并遠(yuǎn)程登錄的風(fēng)險(xiǎn)。補(bǔ)償措施：1、如網(wǎng)絡(luò)接入管控較好且網(wǎng)絡(luò)環(huán)境為內(nèi)網(wǎng)封閉可控環(huán)境，確保密碼被竊取難度較大，或使用多因素等措施確保即使密碼被竊取也無法進(jìn)行管理，可酌情降低風(fēng)險(xiǎn)等級。2、如業(yè)務(wù)形態(tài)上必須使用遠(yuǎn)程Internet訪問的相關(guān)設(shè)備，設(shè)備采用多因素認(rèn)證，且嚴(yán)格限制管理地址的，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議相關(guān)設(shè)備開啟SSH或HTTPS協(xié)議或創(chuàng)建加密通道，通過這些加密方式傳輸敏感信息。安全區(qū)域邊界邊界防護(hù)互聯(lián)網(wǎng)邊界訪問控制對應(yīng)要求：應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進(jìn)行通信。判例內(nèi)容：互聯(lián)網(wǎng)出口無任何訪問控制措施，或訪問控制措施配置失效，存在較大安全隱患，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（任意條件）：1、互聯(lián)網(wǎng)出口無任何訪問控制措施。2、互聯(lián)網(wǎng)出口訪問控制措施配置不當(dāng)，存在較大安全隱患。3、互聯(lián)網(wǎng)出口訪問控制措施配置失效，無法起到相關(guān)控制功能。補(bǔ)償措施：邊界訪問控制設(shè)備不一定一定要是防火墻，只要是能實(shí)現(xiàn)相關(guān)的訪問控制功能，形態(tài)為專用設(shè)備，且有相關(guān)功能能夠提供相應(yīng)的檢測報(bào)告，可視為等效措施，判符合。如通過路由器、交換機(jī)或者帶ACL功能的負(fù)載均衡器等設(shè)備實(shí)現(xiàn)，可根據(jù)系統(tǒng)重要程度，設(shè)備性能壓力等因素，酌情判定風(fēng)險(xiǎn)等級。整改建議：建議在互聯(lián)網(wǎng)出口部署專用的訪問控制設(shè)備，并合理配置相關(guān)控制策略，確?？刂拼胧┯行А＞W(wǎng)絡(luò)訪問控制設(shè)備不可控對應(yīng)要求：應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設(shè)備提供的受控接口進(jìn)行通信。判例內(nèi)容：互聯(lián)網(wǎng)邊界訪問控制設(shè)備若無管理權(quán)限，且未按需要提供訪問控制策略，無法根據(jù)業(yè)務(wù)需要或所發(fā)生的安全事件及時(shí)調(diào)整訪問控制策略，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、互聯(lián)網(wǎng)邊界訪問控制設(shè)備無管理權(quán)限；2、無其他任何有效訪問控制措施；3、無法根據(jù)業(yè)務(wù)需要或所發(fā)生的安全事件及時(shí)調(diào)整訪問控制策略。補(bǔ)償措施：無。整改建議：建議部署自有的邊界訪問控制設(shè)備或租用有管理權(quán)限的邊界訪問控制設(shè)備，且對相關(guān)設(shè)備進(jìn)行合理配置。違規(guī)內(nèi)聯(lián)檢查措施對應(yīng)要求：應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查或限制。判例內(nèi)容：非授權(quán)設(shè)備能夠直接接入重要網(wǎng)絡(luò)區(qū)域，如服務(wù)器區(qū)、管理網(wǎng)段等，且無任何告警、限制、阻斷等措施的，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、機(jī)房、網(wǎng)絡(luò)等環(huán)境不可控，存在非授權(quán)接入可能；3、可非授權(quán)接入網(wǎng)絡(luò)重要區(qū)域，如服務(wù)器區(qū)、管理網(wǎng)段等；4、無任何控制措施，控制措施包括限制、檢查、阻斷等。補(bǔ)償措施：如接入的區(qū)域有嚴(yán)格的物理訪問控制，采用靜態(tài)IP地址分配，關(guān)閉不必要的接入端口，IP-MAC地址綁定等措施的，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議部署能夠?qū)`規(guī)內(nèi)聯(lián)行為進(jìn)行檢查、定位和阻斷的安全準(zhǔn)入產(chǎn)品。違規(guī)外聯(lián)檢查措施對應(yīng)要求：應(yīng)能夠?qū)?nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查或限制。判例內(nèi)容：核心重要服務(wù)器設(shè)備、重要核心管理終端，如無法對非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查或限制，或內(nèi)部人員可旁路、繞過邊界訪問控制設(shè)備私自外聯(lián)互聯(lián)網(wǎng)，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、機(jī)房、網(wǎng)絡(luò)等環(huán)境不可控，存在非授權(quán)外聯(lián)可能；3、對于核心重要服務(wù)器、重要核心管理終端存在私自外聯(lián)互聯(lián)網(wǎng)可能；4、無任何控制措施，控制措施包括限制、檢查、阻斷等。補(bǔ)償措施：如機(jī)房、網(wǎng)絡(luò)等環(huán)境可控，非授權(quán)外聯(lián)可能較小，相關(guān)設(shè)備上的USB接口、無線網(wǎng)卡等有管控措施，對網(wǎng)絡(luò)異常進(jìn)行監(jiān)控及日志審查，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議部署能夠?qū)`規(guī)外聯(lián)行為進(jìn)行檢查、定位和阻斷的安全管理產(chǎn)品。無線網(wǎng)絡(luò)管控措施對應(yīng)要求：應(yīng)限制無線網(wǎng)絡(luò)的使用，保證無線網(wǎng)絡(luò)通過受控的邊界設(shè)備接入內(nèi)部網(wǎng)絡(luò)。判例內(nèi)容：內(nèi)部核心網(wǎng)絡(luò)與無線網(wǎng)絡(luò)互聯(lián)，且之間無任何管控措施，一旦非授權(quán)接入無線網(wǎng)絡(luò)即可訪問內(nèi)部核心網(wǎng)絡(luò)區(qū)域，存在較大安全隱患，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、內(nèi)部核心網(wǎng)絡(luò)與無線網(wǎng)絡(luò)互聯(lián)，且不通過任何受控的邊界設(shè)備，或邊界設(shè)備控制策略設(shè)置不當(dāng)；3、非授權(quán)接入無線網(wǎng)絡(luò)將對內(nèi)部核心網(wǎng)絡(luò)帶來較大安全隱患。補(bǔ)償措施：1、在特殊應(yīng)用場景下，無線覆蓋區(qū)域較小，且嚴(yán)格受控，僅有授權(quán)人員方可進(jìn)入覆蓋區(qū)域的，可酌情降低風(fēng)險(xiǎn)等級；2、對無線接入有嚴(yán)格的管控及身份認(rèn)證措施，非授權(quán)接入可能較小，可根據(jù)管控措施的情況酌情降低風(fēng)險(xiǎn)等級。整改建議：如無特殊需要，內(nèi)部核心網(wǎng)絡(luò)不應(yīng)與無線網(wǎng)絡(luò)互聯(lián)；如因業(yè)務(wù)需要，則建議加強(qiáng)對無線網(wǎng)絡(luò)設(shè)備接入的管控，并通過邊界設(shè)備對無線網(wǎng)絡(luò)的接入設(shè)備對內(nèi)部核心網(wǎng)絡(luò)的訪問進(jìn)行限制，降低攻擊者利用無線網(wǎng)絡(luò)入侵內(nèi)部核心網(wǎng)絡(luò)。訪問控制互聯(lián)網(wǎng)邊界訪問控制對應(yīng)要求：應(yīng)在網(wǎng)絡(luò)邊界或區(qū)域之間根據(jù)訪問控制策略設(shè)置訪問控制規(guī)則，默認(rèn)情況下除允許通信外受控接口拒絕所有通信。判例內(nèi)容：與互聯(lián)網(wǎng)互連的系統(tǒng)，邊界處如無專用的訪問控制設(shè)備或配置了全通策略，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（任意條件）：1、互聯(lián)網(wǎng)出口無任何訪問控制措施。2、互聯(lián)網(wǎng)出口訪問控制措施配置不當(dāng)，存在較大安全隱患。3、互聯(lián)網(wǎng)出口訪問控制措施配置失效，啟用透明模式，無法起到相關(guān)控制功能。補(bǔ)償措施：邊界訪問控制設(shè)備不一定一定要是防火墻，只要是能實(shí)現(xiàn)相關(guān)的訪問控制功能，形態(tài)為專用設(shè)備，且有相關(guān)功能能夠提供相應(yīng)的檢測報(bào)告，可視為等效措施，判符合。如通過路由器、交換機(jī)或者帶ACL功能的負(fù)載均衡器等設(shè)備實(shí)現(xiàn)，可根據(jù)系統(tǒng)重要程度，設(shè)備性能壓力等因素，酌情判定風(fēng)險(xiǎn)等級。整改建議：建議在互聯(lián)網(wǎng)出口部署專用的訪問控制設(shè)備，并合理配置相關(guān)控制策略，確?？刂拼胧┯行?。通信協(xié)議轉(zhuǎn)換及隔離措施對應(yīng)要求：應(yīng)在網(wǎng)絡(luò)邊界通過通信協(xié)議轉(zhuǎn)換或通信協(xié)議隔離等方式進(jìn)行數(shù)據(jù)交換。判例內(nèi)容：可控網(wǎng)絡(luò)環(huán)境與不可控網(wǎng)絡(luò)環(huán)境之間數(shù)據(jù)傳輸未采用通信協(xié)議轉(zhuǎn)換或通信協(xié)議隔離等方式進(jìn)行數(shù)據(jù)轉(zhuǎn)換，可判定為高風(fēng)險(xiǎn)。適用范圍：4級系統(tǒng)。滿足條件（同時(shí)）：1、4級系統(tǒng)；2、可控網(wǎng)絡(luò)環(huán)境與不可控網(wǎng)絡(luò)環(huán)境之間數(shù)據(jù)傳輸未進(jìn)行數(shù)據(jù)格式或協(xié)議轉(zhuǎn)化，也未采用通訊協(xié)議隔離措施。補(bǔ)償措施：如通過相關(guān)技術(shù)/安全專家論證，系統(tǒng)由于業(yè)務(wù)場景需要，無法通過通信協(xié)議轉(zhuǎn)換或通信協(xié)議隔離等方式進(jìn)行數(shù)據(jù)轉(zhuǎn)換的，但有其他安全保障措施的，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議數(shù)據(jù)在不同等級網(wǎng)絡(luò)邊界之間傳輸時(shí)，通過通信協(xié)議轉(zhuǎn)換或通信協(xié)議隔離等方式進(jìn)行數(shù)據(jù)交換。入侵防范外部網(wǎng)絡(luò)攻擊防御對應(yīng)要求：應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為。判例內(nèi)容：關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)（如互聯(lián)網(wǎng)邊界處）未采取任何防護(hù)措施，無法檢測、阻止或限制互聯(lián)網(wǎng)發(fā)起的攻擊行為，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)（如互聯(lián)網(wǎng)邊界處）無任何入侵防護(hù)手段（如入侵防御設(shè)備、云防、WAF等對外部網(wǎng)絡(luò)發(fā)起的攻擊行為進(jìn)行檢測、阻斷或限制）。補(bǔ)償措施：如具備入侵檢測能力（IDS），且監(jiān)控措施較為完善，能夠及時(shí)對入侵行為進(jìn)行干預(yù)的，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)（如互聯(lián)網(wǎng)邊界處）合理部署可對攻擊行為進(jìn)行檢測、阻斷或限制的防護(hù)設(shè)備（如抗APT攻擊系統(tǒng)、網(wǎng)絡(luò)回溯系統(tǒng)、威脅情報(bào)檢測系統(tǒng)、入侵防護(hù)系統(tǒng)等），或購買云防等外部抗攻擊服務(wù)。內(nèi)部網(wǎng)絡(luò)攻擊防御對應(yīng)要求：應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測、防止或限制從內(nèi)部發(fā)起的網(wǎng)絡(luò)攻擊行為。判例內(nèi)容：關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)（如核心服務(wù)器區(qū)與其他內(nèi)部網(wǎng)絡(luò)區(qū)域邊界處）未采取任何防護(hù)措施，無法檢測、阻止或限制從內(nèi)部發(fā)起的網(wǎng)絡(luò)攻擊行為，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)（如核心服務(wù)器區(qū)與其他內(nèi)部網(wǎng)絡(luò)區(qū)域邊界處）無任何入侵防護(hù)手段（如入侵防御、防火墻等對內(nèi)部網(wǎng)絡(luò)發(fā)起的攻擊行為進(jìn)行檢測、阻斷或限制）。補(bǔ)償措施：如核心服務(wù)器區(qū)與其他內(nèi)部網(wǎng)絡(luò)之間部署了防火墻等訪問控制設(shè)備，且訪問控制措施較為嚴(yán)格，發(fā)生內(nèi)部網(wǎng)絡(luò)攻擊可能性較小或有一定的檢測、防止或限制能力，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處（如核心服務(wù)器區(qū)與其他內(nèi)部網(wǎng)絡(luò)區(qū)域邊界處）進(jìn)行嚴(yán)格的訪問控制措施，并部署相關(guān)的防護(hù)設(shè)備，檢測、防止或限制從內(nèi)部發(fā)起的網(wǎng)絡(luò)攻擊行為。惡意代碼和垃圾郵件防范網(wǎng)絡(luò)層惡意代碼防范對應(yīng)要求：應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處對惡意代碼進(jìn)行檢測和清除，并維護(hù)惡意代碼防護(hù)機(jī)制的升級和更新。判例內(nèi)容：主機(jī)和網(wǎng)絡(luò)層均無任何惡意代碼檢測和清除措施的，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、主機(jī)層無惡意代碼檢測和清除措施；2、網(wǎng)絡(luò)層無惡意代碼檢測和清除措施。補(bǔ)償措施：1、如主機(jī)層部署惡意代碼檢測和清除產(chǎn)品，且惡意代碼庫保持更新，可酌情降低風(fēng)險(xiǎn)等級。2、如2級及以下系統(tǒng)，使用Linux、Unix系統(tǒng)，主機(jī)和網(wǎng)絡(luò)層均未部署惡意代碼檢測和清除產(chǎn)品，可視總體防御措施酌情降低風(fēng)險(xiǎn)等級。3、對與外網(wǎng)完全物理隔離的系統(tǒng)，其網(wǎng)絡(luò)環(huán)境、USB介質(zhì)等管控措施較好，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處部署惡意代碼檢測和清除產(chǎn)品，且與主機(jī)層惡意代碼防范產(chǎn)品形成異構(gòu)模式，有效檢測及清除可能出現(xiàn)的惡意代碼攻擊。安全審計(jì)網(wǎng)絡(luò)安全審計(jì)措施對應(yīng)要求：應(yīng)在網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點(diǎn)進(jìn)行安全審計(jì)，審計(jì)覆蓋到每個(gè)用戶，對重要的用戶行為和重要安全事件進(jìn)行審計(jì)。判例內(nèi)容：在網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點(diǎn)無任何安全審計(jì)措施，無法對重要的用戶行為和重要安全事件進(jìn)行日志審計(jì)，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、無法對重要的用戶行為和重要安全事件進(jìn)行日志審計(jì)。補(bǔ)償措施：無。整改建議：建議在網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點(diǎn)，對重要的用戶行為和重要安全事件進(jìn)行日志審計(jì)，便于對相關(guān)事件或行為進(jìn)行追溯。安全計(jì)算環(huán)境網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機(jī)設(shè)備等身份鑒別設(shè)備弱口令對應(yīng)要求：應(yīng)對登錄的用戶進(jìn)行身份標(biāo)識和鑒別，身份標(biāo)識具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換。判例內(nèi)容：網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫等存在空口令或弱口令帳戶，并可通過該弱口令帳戶登錄，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、存在空口令或弱口令帳戶；2、可使用該弱口令帳戶登錄。補(bǔ)償措施：1、如采用雙因素認(rèn)證等管控手段，惡意用戶使用該空/弱口令帳號無法直接登錄相關(guān)設(shè)備，可酌情降低風(fēng)險(xiǎn)等級。2、如測評對象重要性較低，不會對整個(gè)信息系統(tǒng)安全性產(chǎn)生任何影響，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議刪除或重命名默認(rèn)賬戶，制定相關(guān)管理制度，規(guī)范口令的最小長度、復(fù)雜度與生存周期，并根據(jù)管理制度要求，合理配置賬戶口令策略，提高口令質(zhì)量。遠(yuǎn)程管理防護(hù)對應(yīng)要求：當(dāng)進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽。判例內(nèi)容：通過不可控網(wǎng)絡(luò)環(huán)境遠(yuǎn)程管理的網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫等，鑒別信息明文傳輸，容易被監(jiān)聽，造成數(shù)據(jù)泄漏，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、通過不可控網(wǎng)絡(luò)環(huán)境遠(yuǎn)程進(jìn)行管理；2、管理帳戶口令以明文方式傳輸；3、使用截獲的帳號可遠(yuǎn)程登錄。補(bǔ)償措施：1、如整個(gè)遠(yuǎn)程管理過程中，只能使用加密傳輸通道進(jìn)行鑒別信息傳輸?shù)模梢暈榈刃Т胧?，判符合?、如采用多因素身份認(rèn)證、訪問地址限定、僅允許內(nèi)部可控網(wǎng)絡(luò)進(jìn)行訪問的措施時(shí)，竊聽到口令而無法直接進(jìn)行遠(yuǎn)程登錄的，可酌情降低風(fēng)險(xiǎn)等級。3、如通過其他技術(shù)管控手段（如準(zhǔn)入控制、桌面管理、行為管理等），降低數(shù)據(jù)竊聽隱患的，可酌情降低風(fēng)險(xiǎn)等級。4、在有管控措施的情況下，如果默認(rèn)采用加密進(jìn)行管理，但同時(shí)也開啟非加密管理方式，可根據(jù)實(shí)際管理情況，酌情判斷風(fēng)險(xiǎn)等級。5、可根據(jù)被測對象的作用以及重要程度，可根據(jù)實(shí)際情況，酌情判斷風(fēng)險(xiǎn)等級。整改建議：建議盡可能避免通過不可控網(wǎng)絡(luò)對網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫等進(jìn)行遠(yuǎn)程管理，如確有需要，則建議采取措施或使用加密機(jī)制（如VPN加密通道、開啟SSH、HTTPS協(xié)議等），防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽。雙因素認(rèn)證對應(yīng)要求：應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進(jìn)行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實(shí)現(xiàn)。判例內(nèi)容：重要核心設(shè)備、操作系統(tǒng)等未采用兩種或兩種以上鑒別技術(shù)對用戶身份進(jìn)行鑒別。例如僅使用用戶名/口令方式進(jìn)行身份驗(yàn)證，削弱了管理員賬戶的安全性，無法避免賬號的未授權(quán)竊取或違規(guī)使用，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、重要核心設(shè)備、操作系統(tǒng)等通過不可控網(wǎng)絡(luò)環(huán)境遠(yuǎn)程進(jìn)行管理；3、設(shè)備未啟用兩種或兩種以上鑒別技術(shù)對用戶身份進(jìn)行鑒別；4級系統(tǒng)多種鑒別技術(shù)中未用到密碼技術(shù)或生物技術(shù)。補(bǔ)償措施：1、如設(shè)備通過本地登錄方式（非網(wǎng)絡(luò)方式）維護(hù)，本地物理環(huán)境可控，可酌情降低風(fēng)險(xiǎn)等級。2、采用兩重用戶名/口令認(rèn)證措施（兩重口令不同），例如身份認(rèn)證服務(wù)器、堡壘機(jī)等手段，可酌情降低風(fēng)險(xiǎn)等級。3、如設(shè)備所在物理環(huán)境、網(wǎng)絡(luò)環(huán)境安全可控，網(wǎng)絡(luò)竊聽、違規(guī)接入等隱患較小，口令策略和復(fù)雜度、長度符合要求的情況下，可酌情降低風(fēng)險(xiǎn)等級。4、可根據(jù)被測對象的作用以及重要程度，根據(jù)實(shí)際情況，酌情判斷風(fēng)險(xiǎn)等級。整改建議：建議重要核心設(shè)備、操作系統(tǒng)等增加除用戶名/口令以外的身份鑒別技術(shù)，如密碼/令牌、生物鑒別方式等，實(shí)現(xiàn)雙因子身份鑒別，增強(qiáng)身份鑒別的安全力度。訪問控制默認(rèn)口令處理對應(yīng)要求：應(yīng)重命名或刪除默認(rèn)賬戶，修改默認(rèn)賬戶的默認(rèn)口令。判例內(nèi)容：網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫等默認(rèn)賬號的默認(rèn)口令未修改，使用默認(rèn)口令進(jìn)行登錄設(shè)備，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、未修改默認(rèn)帳戶的默認(rèn)口令；2、可使用該默認(rèn)口令賬號登錄。補(bǔ)償措施：無。整改建議：建議網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫等重命名或刪除默認(rèn)管理員賬戶，修改默認(rèn)密碼，使其具備一定的強(qiáng)度，增強(qiáng)賬戶安全性。安全審計(jì)設(shè)備安全審計(jì)措施對應(yīng)要求：應(yīng)啟用安全審計(jì)功能，審計(jì)覆蓋到每個(gè)用戶，對重要的用戶行為和重要安全事件進(jìn)行審計(jì)。判例內(nèi)容：重要核心網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫等未開啟任何審計(jì)功能，無法對重要的用戶行為和重要安全事件進(jìn)行審計(jì)，也無法對事件進(jìn)行溯源，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)2、重要核心網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫等未開啟任何審計(jì)功能，無法對重要的用戶行為和重要安全事件進(jìn)行審計(jì)；3、無其他技術(shù)手段對重要的用戶行為和重要安全事件進(jìn)行溯源。補(bǔ)償措施：1、如使用堡壘機(jī)或其他第三方審計(jì)工具進(jìn)行日志審計(jì)，能有效記錄用戶行為和重要安全事件，可視為等效措施，判符合。2、如通過其他技術(shù)或管理手段能對事件進(jìn)行溯源的，可酌情降低風(fēng)險(xiǎn)等級。3、如核查對象非重要核心設(shè)備，對整個(gè)信息系統(tǒng)影響有限的情況下，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議在重要核心設(shè)備、安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫性能允許的前提下，開啟用戶操作類和安全事件類審計(jì)策略或使用第三方日志審計(jì)工具，實(shí)現(xiàn)對相關(guān)設(shè)備操作與安全行為的全面審計(jì)記錄，保證發(fā)生安全問題時(shí)能夠及時(shí)溯源。入侵防范不必要服務(wù)處置對應(yīng)要求：應(yīng)關(guān)閉不需要的系統(tǒng)服務(wù)、默認(rèn)共享和高危端口。判例內(nèi)容：網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)等存在多余系統(tǒng)服務(wù)/默認(rèn)共享/高危端口存在，且存在可被利用的高危漏洞或重大安全隱患，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件：操作系統(tǒng)上的多余系統(tǒng)服務(wù)/默認(rèn)共享/高危端口存在可被利用的高風(fēng)險(xiǎn)漏洞或重大安全隱患。補(bǔ)償措施：如通過其他技術(shù)手段能降低漏洞影響，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)等關(guān)閉不必要的服務(wù)和端口，減少后門等安全漏洞；根據(jù)自身應(yīng)用需求，需要開啟共享服務(wù)的，應(yīng)合理設(shè)置相關(guān)配置，如設(shè)置賬戶權(quán)限等。管理終端管控措施對應(yīng)要求：應(yīng)通過設(shè)定終端接入方式或網(wǎng)絡(luò)地址范圍對通過網(wǎng)絡(luò)進(jìn)行管理的管理終端進(jìn)行限制。判例內(nèi)容：通過不可控網(wǎng)絡(luò)環(huán)境遠(yuǎn)程管理的網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫等，未采取技術(shù)手段對管理終端進(jìn)行限制，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、可通過不可控網(wǎng)絡(luò)環(huán)境遠(yuǎn)程進(jìn)行管理；3、未采取技術(shù)手段對管理終端進(jìn)行管控（管控措施包括但不限于終端接入管控、網(wǎng)絡(luò)地址范圍限制、堡壘機(jī)等）。補(bǔ)償措施：如管理終端部署在運(yùn)維區(qū)、可控網(wǎng)絡(luò)或采用多種身份鑒別方式等技術(shù)措施，可降低終端管控不善所帶來的安全風(fēng)險(xiǎn)的，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議通過技術(shù)手段，對管理終端進(jìn)行限制。已知重大漏洞修補(bǔ)對應(yīng)要求：應(yīng)能發(fā)現(xiàn)可能存在的已知漏洞，并在經(jīng)過充分測試評估后，及時(shí)修補(bǔ)漏洞。判例內(nèi)容：對于一些互聯(lián)網(wǎng)直接能夠訪問到的網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫等，如存在外界披露的重大漏洞，未及時(shí)修補(bǔ)更新，無需考慮是否有POC攻擊代碼，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、該設(shè)備可通過互聯(lián)網(wǎng)訪問；2、該設(shè)備型號、版本存在外界披露的重大安全漏洞；3、未及時(shí)采取修補(bǔ)或其他有效防范措施。補(bǔ)償措施：1、如相關(guān)漏洞暴露在可控的網(wǎng)絡(luò)環(huán)境，可酌情降低風(fēng)險(xiǎn)等級。2、如某網(wǎng)絡(luò)設(shè)備的WEB管理界面存在高風(fēng)險(xiǎn)漏洞，而該WEB管理界面只能通過特定IP或特定可控環(huán)境下才可訪問，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議訂閱安全廠商漏洞推送或本地安裝安全軟件，及時(shí)了解漏洞動態(tài)，在充分測試評估的基礎(chǔ)上，彌補(bǔ)嚴(yán)重安全漏洞。測試發(fā)現(xiàn)漏洞修補(bǔ)對應(yīng)要求：應(yīng)能發(fā)現(xiàn)可能存在的已知漏洞，并在經(jīng)過充分測試評估后，及時(shí)修補(bǔ)漏洞。判例內(nèi)容：通過驗(yàn)證測試或滲透測試能夠確認(rèn)并利用的，可對網(wǎng)絡(luò)設(shè)備、安全設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫等造成重大安全隱患的漏洞（包括但不限于緩沖區(qū)溢出、提權(quán)漏洞、遠(yuǎn)程代碼執(zhí)行、嚴(yán)重邏輯缺陷、敏感數(shù)據(jù)泄露等），可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、存在可被利用的高風(fēng)險(xiǎn)漏洞；2、通過驗(yàn)證測試或滲透測試確認(rèn)該高風(fēng)險(xiǎn)漏洞可能對該設(shè)備造成重大安全隱患。補(bǔ)償措施：只有在相關(guān)設(shè)備所在的物理、網(wǎng)絡(luò)、管理環(huán)境嚴(yán)格受控，發(fā)生攻擊行為可能性較小的情況下，方可酌情降低風(fēng)險(xiǎn)等級；對于互聯(lián)網(wǎng)可訪問到的設(shè)備，原則上不宜降低其風(fēng)險(xiǎn)等級。整改建議：建議在充分測試的情況下，及時(shí)對設(shè)備進(jìn)行補(bǔ)丁更新，修補(bǔ)已知的高風(fēng)險(xiǎn)安全漏洞；此外，還應(yīng)定期對設(shè)備進(jìn)行漏掃，及時(shí)處理發(fā)現(xiàn)的風(fēng)險(xiǎn)漏洞，提高設(shè)備穩(wěn)定性與安全性。惡意代碼防范操作系統(tǒng)惡意代碼防范對應(yīng)要求：應(yīng)采用主動免疫可信驗(yàn)證機(jī)制及時(shí)識別入侵和病毒行為，并將其有效阻斷。判例內(nèi)容：Windows操作系統(tǒng)未安裝防惡意代碼軟件，并進(jìn)行統(tǒng)一管理，無法防止來自外部的惡意攻擊或系統(tǒng)漏洞帶來的危害，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（任意條件）：1、Windows操作系統(tǒng)未安裝殺毒軟件。2、Windows操作系統(tǒng)安裝的殺毒軟件病毒庫一月以上未更新。（可根據(jù)服務(wù)器部署環(huán)境、行業(yè)或系統(tǒng)特性縮短或延長病毒庫更新周期）補(bǔ)償措施：1、如一個(gè)月以上未更新，但有完備的補(bǔ)丁更新/測試計(jì)劃，且有歷史計(jì)劃執(zhí)行記錄的，可根據(jù)服務(wù)器部署環(huán)境、行業(yè)或系統(tǒng)特性酌情降低風(fēng)險(xiǎn)等級。2、可與網(wǎng)絡(luò)安全部分中的入侵防范和訪問控制措施相結(jié)合來綜合評定風(fēng)險(xiǎn)，如網(wǎng)絡(luò)層部署了惡意代碼防范設(shè)備，可酌情降低風(fēng)險(xiǎn)等級。3、對與外網(wǎng)完全物理隔離的系統(tǒng)，其網(wǎng)絡(luò)環(huán)境、USB介質(zhì)等管控措施較好，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議操作系統(tǒng)統(tǒng)一部署防病毒軟件，或采用集成性質(zhì)防病毒服務(wù)器或虛擬化底層防病毒措施，并及時(shí)更新病毒庫，抵擋外部惡意代碼攻擊。應(yīng)用系統(tǒng)身份鑒別口令策略對應(yīng)要求：應(yīng)對登錄的用戶進(jìn)行身份標(biāo)識和鑒別，身份標(biāo)識具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換。判例內(nèi)容：應(yīng)用系統(tǒng)無任何用戶口令復(fù)雜度校驗(yàn)機(jī)制，校驗(yàn)機(jī)制包括口令的長度、復(fù)雜度等，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、應(yīng)用系統(tǒng)無口令長度、復(fù)雜度校驗(yàn)機(jī)制；2、可設(shè)置6位以下，單個(gè)數(shù)字或連續(xù)數(shù)字或相同數(shù)字等易猜測的口令。補(bǔ)償措施：1、如應(yīng)用系統(tǒng)采用多種身份鑒別認(rèn)證技術(shù)的，即使有口令也無法直接登錄應(yīng)用系統(tǒng)的，可酌情降低風(fēng)險(xiǎn)等級。2、如應(yīng)用系統(tǒng)僅為內(nèi)部管理系統(tǒng)，只能內(nèi)網(wǎng)訪問，且訪問人員相對可控，可酌情降低風(fēng)險(xiǎn)等級。3、如應(yīng)用系統(tǒng)口令校驗(yàn)機(jī)制不完善，如只有部分校驗(yàn)機(jī)制，可根據(jù)實(shí)際情況，酌情降低風(fēng)險(xiǎn)等級。4、特定應(yīng)用場景中的口令（如PIN碼）可根據(jù)相關(guān)要求，酌情判斷風(fēng)險(xiǎn)等級。整改建議：建議應(yīng)用系統(tǒng)對用戶的賬戶口令長度、復(fù)雜度進(jìn)行校驗(yàn)，如要求系統(tǒng)賬戶口令至少8位，由數(shù)字、字母或特殊字符中2種方式組成；對于如PIN碼等特殊用途的口令，應(yīng)設(shè)置弱口令庫，通過對比方式，提高用戶口令質(zhì)量。弱口令對應(yīng)要求：應(yīng)對登錄的用戶進(jìn)行身份標(biāo)識和鑒別，身份標(biāo)識具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換。判例內(nèi)容：應(yīng)用系統(tǒng)存在易被猜測的常用/弱口令帳戶，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件：通過滲透測試或常用/弱口令嘗試，發(fā)現(xiàn)應(yīng)用系統(tǒng)中存在可被登錄弱口令帳戶。補(bǔ)償措施：如該弱口令帳號為前臺自行注冊，自行修改的普通用戶帳戶，被猜測登錄后只會影響單個(gè)用戶，而不會對整個(gè)應(yīng)用系統(tǒng)造成安全影響的，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議應(yīng)用系統(tǒng)通過口令長度、復(fù)雜度校驗(yàn)、常用/弱口令庫比對等方式，提高應(yīng)用系統(tǒng)口令質(zhì)量。登錄失敗處理對應(yīng)要求：應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時(shí)自動退出等相關(guān)措施。判例內(nèi)容：可通過互聯(lián)網(wǎng)登錄的應(yīng)用系統(tǒng)未提供任何登錄失敗處理措施，攻擊者可進(jìn)行口令猜測，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件：1、3級及以上系統(tǒng)；2、可通過互聯(lián)網(wǎng)登錄，且對帳號安全性要求較高，如帳戶涉及金融、個(gè)人隱私信息、后臺管理等；3、對連續(xù)登錄失敗無任何處理措施；4、攻擊者可利用登錄界面進(jìn)行口令猜測。補(bǔ)償措施：1、如應(yīng)用系統(tǒng)采用多種身份鑒別認(rèn)證技術(shù)的，可酌情降低風(fēng)險(xiǎn)等級。2、僅通過內(nèi)部網(wǎng)絡(luò)訪問的內(nèi)部/后臺管理系統(tǒng)，如訪問人員相對可控，可酌情降低風(fēng)險(xiǎn)等級。3、如登錄頁面采用圖像驗(yàn)證碼等技術(shù)可在一定程度上提高自動化手段進(jìn)行口令暴力破解難度的，可酌情降低風(fēng)險(xiǎn)等級。4、可根據(jù)登錄帳戶的重要程度、影響程度，可酌情判斷風(fēng)險(xiǎn)等級。但如果登錄帳戶涉及到金融行業(yè)、個(gè)人隱私信息、信息發(fā)布、后臺管理等，不宜降低風(fēng)險(xiǎn)等級。整改建議：建議應(yīng)用系統(tǒng)提供登錄失敗處理功能（如帳戶鎖定、多重認(rèn)證等），防止攻擊者進(jìn)行口令暴力破解。雙因素認(rèn)證對應(yīng)要求：應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進(jìn)行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實(shí)現(xiàn)。判例內(nèi)容：通過互聯(lián)網(wǎng)方式訪問，且涉及大額資金交易、核心業(yè)務(wù)等操作的系統(tǒng)，在進(jìn)行重要操作前應(yīng)采用兩種或兩種以上方式進(jìn)行身份鑒別，如只采用一種驗(yàn)證方式進(jìn)行鑒別，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、通過互聯(lián)網(wǎng)方式訪問的系統(tǒng)，在進(jìn)行涉及大額資金交易、核心業(yè)務(wù)等重要操作前未啟用兩種或兩種以上鑒別技術(shù)對用戶身份進(jìn)行鑒別；4級系統(tǒng)多種鑒別技術(shù)中未用到密碼技術(shù)或生物技術(shù)。補(bǔ)償措施：1、采用兩重用戶名/口令認(rèn)證措施，且兩重口令不可相同等情況，可酌情降低風(fēng)險(xiǎn)等級。2、如應(yīng)用服務(wù)訪問的網(wǎng)絡(luò)環(huán)境安全可控，網(wǎng)絡(luò)竊聽、違規(guī)接入等隱患較小，口令策略和復(fù)雜度、長度符合要求的情況下，可酌情降低風(fēng)險(xiǎn)等級。3、在完成重要操作前的不同階段兩次或兩次以上使用不同的方式進(jìn)行身份鑒別，可根據(jù)實(shí)際情況，酌情降低風(fēng)險(xiǎn)等級。4、涉及到主管部門認(rèn)可的業(yè)務(wù)形態(tài)，例如快捷支付、小額免密支付等，可酌情降低風(fēng)險(xiǎn)等級。5、可根據(jù)被測對象中用戶的作用以及重要程度，在口令策略和復(fù)雜度、長度符合要求的情況下，可根據(jù)實(shí)際情況，酌情判斷風(fēng)險(xiǎn)等級。6、系統(tǒng)用戶群體為互聯(lián)網(wǎng)用戶，且冒名登錄、操作不會對系統(tǒng)或個(gè)人造成重大惡劣影響或經(jīng)濟(jì)損失的，可酌情判斷風(fēng)險(xiǎn)等級。整改建議：建議應(yīng)用系統(tǒng)增加除用戶名/口令以外的身份鑒別技術(shù)，如密碼/令牌、生物鑒別方式等，實(shí)現(xiàn)雙因子身份鑒別，增強(qiáng)身份鑒別的安全力度。訪問控制登錄用戶權(quán)限控制對應(yīng)要求：應(yīng)對登錄的用戶分配賬戶和權(quán)限。判例內(nèi)容：應(yīng)用系統(tǒng)訪問控制功能存在缺失，無法按照設(shè)計(jì)策略控制用戶對系統(tǒng)功能、數(shù)據(jù)的訪問；可通過直接訪問URL等方式，在不登錄系統(tǒng)的情況下，非授權(quán)訪問系統(tǒng)功能模塊，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件：可通過直接訪問URL等方式，在不登錄系統(tǒng)的情況下，非授權(quán)訪問系統(tǒng)重要功能模塊。補(bǔ)償措施：1、如應(yīng)用系統(tǒng)部署在可控網(wǎng)絡(luò)，有其他防護(hù)措施能限制、監(jiān)控用戶行為的，可酌情降低風(fēng)險(xiǎn)等級。2、可根據(jù)非授權(quán)訪問模塊的重要程度、越權(quán)訪問的難度，酌情提高/減低風(fēng)險(xiǎn)等級。整改建議：建議完善訪問控制措施，對系統(tǒng)重要頁面、功能模塊進(jìn)行訪問控制，確保應(yīng)用系統(tǒng)不存在訪問控制失效情況。默認(rèn)口令處理對應(yīng)要求：應(yīng)重命名或刪除默認(rèn)賬戶，修改默認(rèn)賬戶的默認(rèn)口令。判例內(nèi)容：應(yīng)用系統(tǒng)默認(rèn)賬號的默認(rèn)口令未修改，可利用該默認(rèn)口令登錄系統(tǒng)，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、未修改默認(rèn)帳戶的默認(rèn)口令；2、可使用該默認(rèn)口令賬號登錄。補(bǔ)償措施：無。整改建議：建議應(yīng)用系統(tǒng)重命名或刪除默認(rèn)管理員賬戶，修改默認(rèn)密碼，使其具備一定的強(qiáng)度，增強(qiáng)賬戶安全性。訪問控制策略對應(yīng)要求：應(yīng)由授權(quán)主體配置訪問控制策略，訪問控制策略規(guī)定主體對客體的訪問規(guī)則。判例內(nèi)容：應(yīng)用系統(tǒng)訪問控制策略存在缺陷，可越權(quán)訪問系統(tǒng)功能模塊或查看、操作其他用戶的數(shù)據(jù)。如存在平行權(quán)限漏洞，低權(quán)限用戶越權(quán)訪問高權(quán)限功能模塊等，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件：系統(tǒng)訪問控制策略存在缺陷，可越權(quán)訪問系統(tǒng)功能模塊或查看、操作其他用戶的數(shù)據(jù)。如存在平行權(quán)限漏洞，低權(quán)限用戶越權(quán)訪問高權(quán)限功能模塊等。補(bǔ)償措施：1、如應(yīng)用系統(tǒng)部署在可控網(wǎng)絡(luò)，有其他防護(hù)措施能限制、監(jiān)控用戶行為的，可酌情降低風(fēng)險(xiǎn)等級。2、可根據(jù)非授權(quán)訪問模塊的重要程度、越權(quán)訪問的難度，酌情提高/減低風(fēng)險(xiǎn)等級。整改建議：建議完善訪問控制措施，對系統(tǒng)重要頁面、功能模塊進(jìn)行重新進(jìn)行身份、權(quán)限鑒別，確保應(yīng)用系統(tǒng)不存在訪問控制失效情況。安全審計(jì)安全審計(jì)措施對應(yīng)要求：應(yīng)啟用安全審計(jì)功能，審計(jì)覆蓋到每個(gè)用戶，對重要的用戶行為和重要安全事件進(jìn)行審計(jì)。判例內(nèi)容：應(yīng)用系統(tǒng)（包括前端系統(tǒng)和后臺管理系統(tǒng)）無任何日志審計(jì)功能，無法對用戶的重要行為進(jìn)行審計(jì)，也無法對事件進(jìn)行溯源，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)2、應(yīng)用系統(tǒng)無任何日志審計(jì)功能，無法對用戶的重要行為進(jìn)行審計(jì)；3、無其他技術(shù)手段對重要的用戶行為和重要安全事件進(jìn)行溯源。補(bǔ)償措施：1、如有其他技術(shù)手段對重要的用戶行為進(jìn)行審計(jì)、溯源，可酌情降低風(fēng)險(xiǎn)等級。2、如審計(jì)記錄不全或?qū)徲?jì)記錄有記錄，但無直觀展示，可根據(jù)實(shí)際情況，酌情降低風(fēng)險(xiǎn)等級。整改建議：建議應(yīng)用系統(tǒng)完善審計(jì)模塊，對重要用戶操作、行為進(jìn)行日志審計(jì)，審計(jì)范圍不僅針對前端用戶的操作、行為，也包括后臺管理員的重要操作。入侵防范數(shù)據(jù)有效性檢驗(yàn)功能對應(yīng)要求：應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過人機(jī)接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設(shè)定要求。判例內(nèi)容：由于校驗(yàn)機(jī)制缺失導(dǎo)致的應(yīng)用系統(tǒng)存在如SQL注入、跨站腳本、上傳漏洞等高風(fēng)險(xiǎn)漏洞，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件：1、應(yīng)用系統(tǒng)存在如SQL注入、跨站腳本、上傳漏洞等可能導(dǎo)致敏感數(shù)據(jù)泄露、網(wǎng)頁篡改、服務(wù)器被入侵等安全事件的發(fā)生，造成嚴(yán)重后果的高風(fēng)險(xiǎn)漏洞；2、無其他技術(shù)手段對該漏洞進(jìn)行防范。補(bǔ)償措施：1、如應(yīng)用系統(tǒng)存在SQL注入、跨站腳本等高風(fēng)險(xiǎn)漏洞，但是系統(tǒng)部署了WAF、云盾等應(yīng)用防護(hù)產(chǎn)品，在防護(hù)體系下無法成功利用，可酌情降低風(fēng)險(xiǎn)等級。2、不與互聯(lián)網(wǎng)交互的內(nèi)網(wǎng)系統(tǒng)，可根據(jù)系統(tǒng)重要程度、漏洞危害情況等，酌情判斷風(fēng)險(xiǎn)等級。整改建議：建議通過修改代碼的方式，對數(shù)據(jù)有效性進(jìn)行校驗(yàn)，提交應(yīng)用系統(tǒng)的安全性，防止相關(guān)漏洞的出現(xiàn)。已知重大漏洞修補(bǔ)對應(yīng)要求：應(yīng)能發(fā)現(xiàn)可能存在的已知漏洞，并在經(jīng)過充分測試評估后，及時(shí)修補(bǔ)漏洞。判例內(nèi)容：應(yīng)用系統(tǒng)所使用的環(huán)境、框架、組件等存在可被利用的高風(fēng)險(xiǎn)漏洞，導(dǎo)致敏感數(shù)據(jù)泄露、網(wǎng)頁篡改、服務(wù)器被入侵等安全事件的發(fā)生，可能造成嚴(yán)重后果的，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、應(yīng)用系統(tǒng)所使用的環(huán)境、框架、組件等存在可被利用的，可能導(dǎo)致敏感數(shù)據(jù)泄露、網(wǎng)頁篡改、服務(wù)器被入侵等安全事件的發(fā)生，造成嚴(yán)重后果的高風(fēng)險(xiǎn)漏洞；2、無其他有效技術(shù)手段對該漏洞進(jìn)行防范。補(bǔ)償措施：1、如應(yīng)用系統(tǒng)使用的環(huán)境、框架、組件等存在高風(fēng)險(xiǎn)漏洞，但是系統(tǒng)部署了WAF、云盾等應(yīng)用防護(hù)產(chǎn)品，在防護(hù)體系下無法成功利用，可酌情降低風(fēng)險(xiǎn)等級。2、不與互聯(lián)網(wǎng)交互的內(nèi)網(wǎng)系統(tǒng)，可通過分析內(nèi)網(wǎng)環(huán)境對相關(guān)漏洞的影響、危害以及利用難度，酌情提高/降低風(fēng)險(xiǎn)等級。整改建議：建議定期對應(yīng)用系統(tǒng)進(jìn)行漏洞掃描，對可能存在的已知漏洞，在重復(fù)測試評估后及時(shí)進(jìn)行修補(bǔ)，降低安全隱患。測試發(fā)現(xiàn)漏洞修補(bǔ)對應(yīng)要求：應(yīng)能發(fā)現(xiàn)可能存在的已知漏洞，并在經(jīng)過充分測試評估后，及時(shí)修補(bǔ)漏洞。判例內(nèi)容：如應(yīng)用系統(tǒng)的業(yè)務(wù)功能（如密碼找回功能等）存在高風(fēng)險(xiǎn)安全漏洞或嚴(yán)重邏輯缺陷，可能導(dǎo)致修改任意用戶密碼、繞過安全驗(yàn)證機(jī)制非授權(quán)訪問等情況，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件：通過測試，發(fā)現(xiàn)應(yīng)用系統(tǒng)的業(yè)務(wù)功能（如密碼找回功能等）存在高風(fēng)險(xiǎn)安全漏洞或嚴(yán)重邏輯缺陷，可能導(dǎo)致修改任意用戶密碼、繞過安全驗(yàn)證機(jī)制非授權(quán)訪問等情況。補(bǔ)償措施：無。整改建議：建議通過修改應(yīng)用程序的方式對發(fā)現(xiàn)的高風(fēng)險(xiǎn)/嚴(yán)重邏輯缺陷進(jìn)行修補(bǔ)，避免出現(xiàn)安全隱患。數(shù)據(jù)完整性傳輸完整性保護(hù)對應(yīng)要求：應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計(jì)數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個(gè)人信息等。判例內(nèi)容：對傳輸完整性要求較高的系統(tǒng)，如未采取任何措施保障重要數(shù)據(jù)傳輸完整性，重要數(shù)據(jù)在傳輸過程中被篡改可能造成嚴(yán)重后果的，可判定為高風(fēng)險(xiǎn)。適用范圍：對數(shù)據(jù)傳輸完整性要求較高的3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、未對傳輸?shù)闹匾獢?shù)據(jù)進(jìn)行完整性保護(hù)；3、通過中間人劫持等攻擊技術(shù)修改傳輸數(shù)據(jù)，可能對系統(tǒng)造成重大安全影響。補(bǔ)償措施：1、如通過技術(shù)手段確保無法對傳輸數(shù)據(jù)進(jìn)行修改，可酌情降低風(fēng)險(xiǎn)等級。2、可根據(jù)傳輸數(shù)據(jù)的重要程度、傳輸數(shù)據(jù)篡改的難度、篡改后造成的影響等情況，酌情提高/降低風(fēng)險(xiǎn)等級。整改建議：建議在應(yīng)用層通過密碼技術(shù)確保傳輸數(shù)據(jù)的完整性，并在服務(wù)器端對數(shù)據(jù)有效性進(jìn)行校驗(yàn)，確保只處理未經(jīng)修改的數(shù)據(jù)。數(shù)據(jù)保密性傳輸保密性保護(hù)對應(yīng)要求：應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個(gè)人信息等。判例內(nèi)容：用戶鑒別信息、公民敏感信息數(shù)據(jù)或重要業(yè)務(wù)數(shù)據(jù)等以明文方式在不可控網(wǎng)絡(luò)中傳輸，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、用戶身份認(rèn)證信息、個(gè)人敏感信息數(shù)據(jù)或重要業(yè)務(wù)數(shù)據(jù)等以明文方式在不可控網(wǎng)絡(luò)中傳輸。補(bǔ)償措施：1、如使用網(wǎng)絡(luò)加密的技術(shù)確保數(shù)據(jù)在加密通道中傳輸，可根據(jù)實(shí)際情況，視為等效措施，判為符合。2、如敏感信息在可控網(wǎng)絡(luò)中傳輸，網(wǎng)絡(luò)竊聽等風(fēng)險(xiǎn)較低，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議采用密碼技術(shù)確保重要數(shù)據(jù)在傳輸過程中的保密性。存儲保密性保護(hù)對應(yīng)要求：應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個(gè)人信息等。判例內(nèi)容：用戶身份認(rèn)證信息、個(gè)人敏感信息數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、行業(yè)主管部門定義的非明文存儲類數(shù)據(jù)等以明文方式存儲，且無其他有效保護(hù)措施，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、用戶身份認(rèn)證信息、個(gè)人敏感信息數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、行業(yè)主管部門定義的非明文存儲類數(shù)據(jù)等以明文方式存儲；2、無其他有效數(shù)據(jù)保護(hù)措施。補(bǔ)償措施：如采取區(qū)域隔離、部署數(shù)據(jù)庫安全審計(jì)等安全防護(hù)措施的，可通過分析造成信息泄露的難度和影響程度，酌情降低風(fēng)險(xiǎn)等級。整改建議：采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性。數(shù)據(jù)備份恢復(fù)數(shù)據(jù)備份措施對應(yīng)要求：應(yīng)提供重要數(shù)據(jù)的本地?cái)?shù)據(jù)備份與恢復(fù)功能。判例內(nèi)容：應(yīng)用系統(tǒng)未提供任何數(shù)據(jù)備份措施，一旦遭受數(shù)據(jù)破壞，無法進(jìn)行數(shù)據(jù)恢復(fù)的，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件：應(yīng)用系統(tǒng)未提供任何數(shù)據(jù)備份措施，一旦遭受數(shù)據(jù)破壞，無法進(jìn)行數(shù)據(jù)恢復(fù)。補(bǔ)償措施：無。整改建議：建議建立備份恢復(fù)機(jī)制，定期對重要數(shù)據(jù)進(jìn)行備份以及恢復(fù)測試，確保在出現(xiàn)數(shù)據(jù)破壞時(shí)，可利用備份數(shù)據(jù)進(jìn)行恢復(fù)。異地備份措施對應(yīng)要求：應(yīng)提供異地實(shí)時(shí)備份功能，利用通信網(wǎng)絡(luò)將重要數(shù)據(jù)實(shí)時(shí)備份至備份場地。判例內(nèi)容：對系統(tǒng)、數(shù)據(jù)容災(zāi)要求較高的系統(tǒng)，如金融、醫(yī)療衛(wèi)生、社會保障等行業(yè)系統(tǒng)，如無異地?cái)?shù)據(jù)災(zāi)備措施，或異地備份機(jī)制無法滿足業(yè)務(wù)需要，可判定為高風(fēng)險(xiǎn)。適用范圍：對系統(tǒng)、數(shù)據(jù)容災(zāi)要求較高的3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、對容災(zāi)要求較高的系統(tǒng)；3、系統(tǒng)無異地?cái)?shù)據(jù)備份措施，或異地備份機(jī)制無法滿足業(yè)務(wù)需要。補(bǔ)償措施：1、一般來說同城異地機(jī)房直接距離不低于為30公里，跨省市異地機(jī)房直線距離不低于100公里，如距離上不達(dá)標(biāo)，可酌情降低風(fēng)險(xiǎn)等級。2、系統(tǒng)數(shù)據(jù)備份機(jī)制存在一定時(shí)間差，若被測單位評估可接受時(shí)間差內(nèi)數(shù)據(jù)丟失，可酌情降低風(fēng)險(xiǎn)等級。3、可根據(jù)系統(tǒng)容災(zāi)要求及行業(yè)主管部門相關(guān)要求，根據(jù)實(shí)際情況酌情提高/減低風(fēng)險(xiǎn)等級。整改建議：建議設(shè)置異地災(zāi)備機(jī)房，并利用通信網(wǎng)絡(luò)將重要數(shù)據(jù)實(shí)時(shí)備份至備份場地。數(shù)據(jù)處理冗余措施對應(yīng)要求：應(yīng)提供重要數(shù)據(jù)處理系統(tǒng)的熱冗余，保證系統(tǒng)的高可用性。判例內(nèi)容：對數(shù)據(jù)處理可用性要求較高系統(tǒng)（如金融行業(yè)系統(tǒng)、競拍系統(tǒng)、大數(shù)據(jù)平臺等），應(yīng)采用熱冗余技術(shù)提高系統(tǒng)的可用性，若核心處理節(jié)點(diǎn)（如服務(wù)器、DB等）存在單點(diǎn)故障，可判定為高風(fēng)險(xiǎn)。適用范圍：對數(shù)據(jù)處理可用性要求較高的3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、對數(shù)據(jù)處理可用性要求較高系統(tǒng)；3、處理重要數(shù)據(jù)的設(shè)備（如服務(wù)器、DB等）未采用熱冗余技術(shù)，發(fā)生故障可能導(dǎo)致系統(tǒng)停止運(yùn)行。補(bǔ)償措施：如當(dāng)前采取的恢復(fù)手段，能夠確保被測單位評估的RTO在可接受范圍內(nèi)，可根據(jù)實(shí)際情況酌情降低風(fēng)險(xiǎn)等級。整改建議：建議對重要數(shù)據(jù)處理系統(tǒng)采用熱冗余技術(shù)，提高系統(tǒng)的可用性。異地災(zāi)難備份中心對應(yīng)要求：應(yīng)建立異地災(zāi)難備份中心，提供業(yè)務(wù)應(yīng)用的實(shí)時(shí)切換。判例內(nèi)容：對容災(zāi)、可用性要求較高的系統(tǒng)，如金融行業(yè)系統(tǒng)，如未設(shè)立異地應(yīng)用級容災(zāi)中心，或異地應(yīng)用級容災(zāi)中心無法實(shí)現(xiàn)業(yè)務(wù)切換，可判定為高風(fēng)險(xiǎn)。適用范圍：對容災(zāi)、可用性要求較高的4級系統(tǒng)。滿足條件（同時(shí)）：1、4級系統(tǒng)；2、對容災(zāi)、可用性要求較高的系統(tǒng)；3、未設(shè)立異地應(yīng)用級容災(zāi)中心，或異地應(yīng)用級容災(zāi)中心無法實(shí)現(xiàn)業(yè)務(wù)切換。補(bǔ)償措施：如當(dāng)前采取的恢復(fù)手段，能夠確保被測單位評估的RTO在可接受范圍內(nèi)，可根據(jù)實(shí)際情況酌情降低風(fēng)險(xiǎn)等級。整改建議：建議對重要數(shù)據(jù)處理系統(tǒng)采用熱冗余技術(shù)，提高系統(tǒng)的可用性。剩余信息保護(hù)鑒別信息釋放措施對應(yīng)要求：應(yīng)保證鑒別信息所在的存儲空間被釋放或重新分配前得到完全清除。判例內(nèi)容：身份鑒別信息釋放或清除機(jī)制存在缺陷，如在正常進(jìn)行釋放或清除身份鑒別信息操作后，仍可非授權(quán)訪問系統(tǒng)資源或進(jìn)行操作，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（同時(shí)）：1、身份鑒別信息釋放或清除機(jī)制存在缺陷；2、利用剩余鑒別信息，可非授權(quán)訪問系統(tǒng)資源或進(jìn)行操作。補(bǔ)償措施：無。整改建議：建議完善鑒別信息釋放/清除機(jī)制，確保在執(zhí)行釋放/清除相關(guān)操作后，鑒別信息得到完全釋放/清除。敏感數(shù)據(jù)釋放措施對應(yīng)要求：應(yīng)保證存有敏感數(shù)據(jù)的存儲空間被釋放或重新分配前得到完全清除。判例內(nèi)容：身份鑒別信息釋放或清除機(jī)制存在缺陷，如在正常進(jìn)行釋放或清除身份鑒別信息操作后，仍可非授權(quán)訪問系統(tǒng)資源或進(jìn)行操作，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、敏感數(shù)據(jù)釋放或清除機(jī)制存在缺陷；3、利用剩余信息，可非授權(quán)獲得相關(guān)敏感數(shù)據(jù)。補(bǔ)償措施：如因特殊業(yè)務(wù)需要，需要在存儲空間保留敏感數(shù)據(jù)，相關(guān)敏感數(shù)據(jù)進(jìn)行了有效加密/脫敏處理的，且有必要的提示信息，可根據(jù)實(shí)際情況，酌情降低風(fēng)險(xiǎn)等級。整改建議：建議完善敏感數(shù)據(jù)釋放/清除機(jī)制，確保在執(zhí)行釋放/清除相關(guān)操作后，敏感數(shù)據(jù)得到完全釋放/清除。個(gè)人信息保護(hù)個(gè)人信息采集、存儲對應(yīng)要求：應(yīng)僅采集和保存業(yè)務(wù)必需的用戶個(gè)人信息。判例內(nèi)容：在采集和保存用戶個(gè)人信息時(shí)，應(yīng)通過正式渠道獲得用戶同意、授權(quán)，如在未授權(quán)情況下，采取、存儲用戶個(gè)人隱私信息，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（任意條件）：1、在未授權(quán)情況下，采取、存儲用戶個(gè)人隱私信息，無論該信息是否是業(yè)務(wù)需要。2、采集、保存法律法規(guī)、主管部門嚴(yán)令禁止采集、保存的用戶隱私信息。補(bǔ)償措施：如在用戶同意、授權(quán)的情況下，采集和保存業(yè)務(wù)非必需的用戶個(gè)人信息，可根據(jù)實(shí)際情況，酌情提高/降低風(fēng)險(xiǎn)等級。整改建議：建議通過官方正式渠道向用戶表明采集信息的內(nèi)容、用途以及相關(guān)的安全責(zé)任，并在用戶同意、授權(quán)的情況下采集、保存業(yè)務(wù)必需的用戶個(gè)人信息。個(gè)人信息訪問、使用對應(yīng)要求：應(yīng)禁止未授權(quán)訪問和非法使用用戶個(gè)人信息。判例內(nèi)容：未授權(quán)訪問和非法使用個(gè)人信息，如在未授權(quán)情況下將用戶信息提交給第三方處理，未脫敏的情況下用于其他業(yè)務(wù)用途，未嚴(yán)格控制個(gè)人信息查詢以及導(dǎo)出權(quán)限，非法買賣、泄露用戶個(gè)人信息等，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（任意條件）：1、在未授權(quán)情況下將用戶個(gè)人信息共享給其他公司、機(jī)構(gòu)、個(gè)人（國家、法律規(guī)定的公安、司法機(jī)構(gòu)除外）。2、未脫敏的情況下用于其他非核心業(yè)務(wù)系統(tǒng)或測試環(huán)境等。3、未嚴(yán)格控制個(gè)人信息查詢以及導(dǎo)出權(quán)限。4、非法買賣、泄露用戶個(gè)人信息。補(bǔ)償措施：如互聯(lián)網(wǎng)系統(tǒng)在收集用戶的個(gè)人敏感信息前，數(shù)據(jù)收集方明確數(shù)據(jù)的用途，可能涉及使用數(shù)據(jù)的單位、機(jī)構(gòu)，權(quán)責(zé)清晰，并根據(jù)各自職責(zé)與用戶簽訂個(gè)人信息保密協(xié)議和個(gè)人信息收集聲明許可協(xié)議的，可根據(jù)實(shí)際情況酌情提降低風(fēng)險(xiǎn)等級。整改建議：建議通過官方正式渠道向用戶表明采集信息的內(nèi)容、用途以及相關(guān)的安全責(zé)任，并在用戶同意、授權(quán)的情況下采集、保存業(yè)務(wù)必需的用戶個(gè)人信息，通過技術(shù)和管理手段，防止未授權(quán)訪問和非法使用安全區(qū)域邊界集中管控運(yùn)行監(jiān)控措施對應(yīng)要求：應(yīng)對網(wǎng)絡(luò)鏈路、安全設(shè)備、網(wǎng)絡(luò)設(shè)備和服務(wù)器等的運(yùn)行狀況進(jìn)行集中監(jiān)測。判例內(nèi)容：對可用性要求較高的系統(tǒng)，若沒有任何監(jiān)測措施，發(fā)生故障時(shí)難以及時(shí)對故障進(jìn)行定位和處理，可判定為高風(fēng)險(xiǎn)。適用范圍：可用性要求較高的3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、對可用性要求較高的系統(tǒng)；3、無任何監(jiān)控措施，發(fā)生故障也無法及時(shí)對故障進(jìn)行定位和處理。補(bǔ)償措施：無。整改建議：建議對網(wǎng)絡(luò)鏈路、安全設(shè)備、網(wǎng)絡(luò)設(shè)備和服務(wù)器等的運(yùn)行狀況進(jìn)行集中監(jiān)測。日志集中收集存儲對應(yīng)要求：應(yīng)對分散在各個(gè)設(shè)備上的審計(jì)數(shù)據(jù)進(jìn)行收集匯總和集中分析，并保證審計(jì)記錄的留存時(shí)間符合法律法規(guī)要求。判例內(nèi)容：《網(wǎng)絡(luò)安全法》要求“采取監(jiān)測、記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措施，并按照規(guī)定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個(gè)月”；因此，如相關(guān)設(shè)備日志留存不滿足法律法規(guī)相關(guān)要求，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、對網(wǎng)絡(luò)運(yùn)行狀態(tài)、網(wǎng)絡(luò)安全事件等日志的留存不滿足法律法規(guī)規(guī)定的相關(guān)要求（不少于六個(gè)月）。補(bǔ)償措施：對于一些特殊行業(yè)或日志時(shí)效性短于6個(gè)月的，可根據(jù)實(shí)際情況，可酌情降低風(fēng)險(xiǎn)等級。整改建議：建議部署日志服務(wù)器，統(tǒng)一收集各設(shè)備的審計(jì)數(shù)據(jù)，進(jìn)行集中分析，并根據(jù)法律法規(guī)的要求留存日志。安全事件發(fā)現(xiàn)處置措施對應(yīng)要求：應(yīng)能對網(wǎng)絡(luò)中發(fā)生的各類安全事件進(jìn)行識別、報(bào)警和分析。判例內(nèi)容：未部署相關(guān)安全設(shè)備，識別網(wǎng)絡(luò)中發(fā)生的安全事件，并對重要安全事件進(jìn)行報(bào)警的，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、無法對網(wǎng)絡(luò)中發(fā)生的安全事件（包括但不限于網(wǎng)絡(luò)攻擊事件、惡意代碼傳播事件等）進(jìn)行識別、告警和分析。補(bǔ)償措施：無。整改建議：建議部署相關(guān)專業(yè)防護(hù)設(shè)備，對網(wǎng)絡(luò)中發(fā)生的各類安全事件進(jìn)行識別、報(bào)警和分析，確保相關(guān)安全事件得到及時(shí)發(fā)現(xiàn)，及時(shí)處置。安全管理制度管理制度管理制度建設(shè)對應(yīng)要求：應(yīng)對安全管理活動中的各類管理內(nèi)容建立安全管理制度。判例內(nèi)容：未建立任何與安全管理活動相關(guān)的管理制度或相關(guān)管理制度無法適用于當(dāng)前被測系統(tǒng)的，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件（任意條件）：1、未建立任何與安全管理活動相關(guān)的管理制度。2、相關(guān)管理制度無法適用于當(dāng)前被測系統(tǒng)。補(bǔ)償措施：無。整改建議：建議按照等級保護(hù)的相關(guān)要求，建立包括總體方針、安全策略在內(nèi)的各類與安全管理活動相關(guān)的管理制度。安全管理機(jī)構(gòu)崗位設(shè)置網(wǎng)絡(luò)安全領(lǐng)導(dǎo)小組建立對應(yīng)要求：應(yīng)成立指導(dǎo)和管理網(wǎng)絡(luò)安全工作的委員會或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)擔(dān)任或授權(quán)。判例內(nèi)容：未成立指導(dǎo)和管理信息安全工作的委員會或領(lǐng)導(dǎo)小組，或其最高領(lǐng)導(dǎo)不是由單位主管領(lǐng)導(dǎo)委任或授權(quán)，可判定為高風(fēng)險(xiǎn)。適用范圍：3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、未成立指導(dǎo)和管理信息安全工作的委員會或領(lǐng)導(dǎo)小組，或領(lǐng)導(dǎo)小組最高領(lǐng)導(dǎo)不是由單位主管領(lǐng)導(dǎo)委任或授權(quán)。補(bǔ)償措施：無。整改建議：建議成立指導(dǎo)和管理網(wǎng)絡(luò)安全工作的委員會或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)擔(dān)任或授權(quán)。安全建設(shè)管理產(chǎn)品采購和使用網(wǎng)絡(luò)安全產(chǎn)品采購和使用對應(yīng)要求：應(yīng)確保網(wǎng)絡(luò)安全產(chǎn)品采購和使用符合國家的有關(guān)規(guī)定。判例內(nèi)容：網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品的使用違反國家有關(guān)規(guī)定，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件：網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品的使用違反國家有關(guān)規(guī)定。補(bǔ)償措施：無。整改建議：建議依據(jù)國家有關(guān)規(guī)定，采購和使用網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品。（《網(wǎng)絡(luò)安全法》第二十三條規(guī)定網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品應(yīng)當(dāng)按照相關(guān)國家標(biāo)準(zhǔn)的強(qiáng)制性要求，由具備資格的機(jī)構(gòu)安全認(rèn)證合格或者安全檢測符合要求后，方可銷售或者提供。國家網(wǎng)信部門會同國務(wù)院有關(guān)部門制定、公布網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品目錄，并推動安全認(rèn)證和安全檢測結(jié)果互認(rèn)，避免重復(fù)認(rèn)證、檢測。）密碼產(chǎn)品與服務(wù)采購和使用對應(yīng)要求：應(yīng)確保密碼產(chǎn)品與服務(wù)的采購和使用符合國家密碼管理主管部門的要求。判例內(nèi)容：密碼產(chǎn)品與服務(wù)的使用違反國家密碼管理主管部門的要求，可判定為高風(fēng)險(xiǎn)。適用范圍：所有系統(tǒng)。滿足條件：密碼產(chǎn)品與服務(wù)的使用違反國家密碼管理主管部門的要求。補(bǔ)償措施：無。整改建議：建議依據(jù)國家密碼管理主管部門的要求，使用密碼產(chǎn)品與服務(wù)。（如《商用密碼產(chǎn)品使用管理規(guī)定》等）外包軟件開發(fā)外包開發(fā)代碼審計(jì)對應(yīng)要求：應(yīng)保證開發(fā)單位提供軟件源代碼，并審查軟件中可能存在的后門和隱蔽信道。判例內(nèi)容：對于涉及金融、民生、基礎(chǔ)設(shè)施等重要行業(yè)的業(yè)務(wù)核心系統(tǒng)由外包公司開發(fā)，上線前未對外包公司開發(fā)的系統(tǒng)進(jìn)行源代碼審查，外包商也無法提供相關(guān)安全檢測證明，可判定為高風(fēng)險(xiǎn)。適用范圍：涉及金融、民生、基礎(chǔ)設(shè)施等重要核心領(lǐng)域的3級及以上系統(tǒng)。滿足條件（同時(shí)）：1、3級及以上系統(tǒng)；2、涉及金融、民生、基礎(chǔ)設(shè)施等重要行業(yè)的業(yè)務(wù)核心系統(tǒng)；3、被測單位為對外包公司開發(fā)的系統(tǒng)進(jìn)行源代碼安全審查；4、外包公司也無法提供第三方安全檢測證明。補(bǔ)償措施：1、開發(fā)公司可提供國家認(rèn)可的第三方機(jī)構(gòu)出具的源代碼安全審查報(bào)告/證明，可視為等效措施，判符合。2、可根據(jù)系統(tǒng)的用途以及外包開發(fā)公司的開發(fā)功能的重要性，根據(jù)實(shí)際情況，酌情提高/減低風(fēng)險(xiǎn)等級。3、如第三方可提供軟件安全性測試證明（非源碼審核），可視實(shí)際情況，酌情減低風(fēng)險(xiǎn)等級。4、如被測方通過合同等方式與外包開發(fā)公司明確安全責(zé)任或采取相關(guān)技術(shù)手段進(jìn)行防控的，可視實(shí)際情況，酌情降低風(fēng)險(xiǎn)等級。5、如被測系統(tǒng)建成時(shí)間較長，但定期對系統(tǒng)進(jìn)行安全檢測，當(dāng)前管理制度中明確規(guī)定外包開發(fā)代碼審計(jì)的，可根據(jù)實(shí)際情況，酌情減低風(fēng)險(xiǎn)等級。整改建議：建議對外包公司開發(fā)的核心系統(tǒng)進(jìn)行源代碼審查，檢查是否存在后門和隱蔽信道。如沒有技術(shù)手段進(jìn)行源碼審查