【网络安全等级保护基本要求】

【网络安全等级保护基本要求（三级）】

参考文件：
GB/T 22239-2019		信息安全技术 网络安全等级保护基本要求
T/ISEAA 001-2020      网络安全等级保护测评高风险判定指引

安全要求

（一）安全物理环境

①物理位置选择

测评项	关注点
a)机房场地应选择在具有防震、防风和防雨等能力的建筑内；
b)机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。	需记录机房在几幢几层

②物理访问控制

测评项	注意项
机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进入的人员。	需记录门禁系统版本型号

高风险判例
机房出入口访问控制措施缺失
本判例包括以下内容:
a) 标准要求:机房出入口应配置电子门禁系统,控制、鉴别和记录进入的人员
b) 适用范围:二级及以上系统。
c) 判例场景:机房出入口无任何访问控制措施,例如未安装电子或机械门锁(包括机房大门处于未上锁状态)、无专人值守等。
d) 补偿因素:机房所在位置处于受控区域,非授权人员无法随意进出机房,可根据实际措施效果酌情判定风险等级。

③防盗窃和防破坏

测评项	注意项
a)应将设备或主要部件进行固定，并设置明显的不易除去的标识；
b) 应将通信线缆铺设在隐蔽安全处。
c) 应设置机房防盗报警系统或设置有专人值守的视频监控系统。（三级新增）

高风险判例
机房防盗措施缺失
本判例包括以下内容:
a) 标准要求:应设置机房防盗报警系统或设置有专人值守的视频监控系统60适用范围:三级及以上系统。
b) 判例场景(所有):
1) 机房或机房所在区域无防盗报警系统,无法对盗窃事件进行告警、追溯;
2) 未设置有专人值守的视频监控系统。
c) 补偿因素:机房出入口或机房所在区域有其他控制措施,例如机房出入口设有专人值守,机房所在位置处于受控区域等,非授权人员无法进入该区域,可根据实际措施效果,酌情判定风险等级。

④防雷击

测评项	注意项
a) 应将各类机柜、设施和设备等通过接地系统安全接地。
b) 应采取措施防止感应雷，例如设置防雷保安器或过压保护装置等。（三级新增）	电源电源防雷箱

⑤防火

测评项	注意项
a) 机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；
b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料。
c) 应对机房划分区域进行管理，区域和区域之间设置隔离防火措施。（三级新增）

高风险判例
机房防火措施缺失
本判例包括以下内容:
a) 标准要求:机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火.
b) 适用范围:二级及以上系统。
c) 判例场景(任意):
* 1) 机房无任何有效消防措施,例如无检测火情、感应报警设施,手提式灭火器等灭火设施，消防设备未进行年检或已失效无法正常使用等情况 ;
* 2) 机房所采取的灭火系统或设备不符合国家的相关规定。
d) 补偿因素:机房安排专人值守或设置了专人值守的视频监控系统,并且机房附近有符合国家消防标准的灭火设备，一旦发生火灾,能及时进行灭火,可根据实际措施效果,酌情判定风险等级。

⑥防水和防潮

测评项	注意项
a) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；
b) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。
c) 应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。

⑦防静电

测评项	注意项
a)应采用防静电地板或地面并采用必要的接地防静电措施。
b) 应采取措施防止静电的产生，例如采用静电消除器、佩戴防静电手环等。（三级新增）

⑧温湿度控制

测评项	注意项
应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围之内。

⑨电力供应

测评项	注意项
a)应在机房供电线路上配置稳压器和过电压防护设备；
b)应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求。	需记录UPS型号及供电时间
c) 应设置冗余或并行的电力电缆线路为计算机系统供电。（三级新增）

高风险判例
机房短期备用电力供应措施缺失
本判例包括以下内容:
a) 标准要求:应提供短期的备用电力供应,至少满足设备在断电情况下的正常运行要求。
b) 适用范围:二级及以上系统。
c) 判例场景(任意):
* 1) 机房无短期备用电力供应设备,例如 UPS、柴油发电机、应急供电车等;
* 2) 机房现有备用电力供应无法满足定级对象短期正常运行。
d) 补偿因素:对于机房配备多路供电的情况,可从供电方同时断电发生概率等角度进行综合风险分析,根据分析结果,酌情判定风险等级。

⑩电磁防护

测评项	注意项
a) 电源线和通信线缆应隔离铺设，避免互相干扰。	需记录走线方式
b) 应对关键设备实施电磁屏蔽。（三级新增）

（二）安全通信网络

①网络架构

测评项	注意项
a)应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；
b)应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段。
c) 应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；（三级新增）
d) 应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段；（三级新增）
e) 应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性。（三级新增）

高风险判例
网络设备业务处理能力不足
本案例包括以下内容：
a) 标准要求:应保证网络设备的业务处理能力满足业务高峰期需要
b) 适用范围:高可用性的三级及以上系统。
c) 判例场景:核心交换机、核心路由器、边界防火墙等网络链路上的关键设备性能无法满足高峰期需求,可能导致服务质量严重下降或中断,例如性能指标平均达到 80%以上。
d) 补偿因素:对于采用多数据中心方式部署,且通过技术手段实现应用级灾备,能降低单一机房发生设备故障所带来的可用性方面影响的情况,可从影响程度、RTO 等角度进行综合风险分析,根据分析结果,酌情判定风险等级。
网络区域划分不当
本判例包括以下内容:
a) 标准要求:应划分不同的网络区域,并按照方便管理和控制的原则为各网络区域分配地址
b) 适用范围:二级及以上系统。
c) 判例场景:重要网络区域与非重要网络在同一子网或网段,例如承载业务系统的生产网络与员工日常办公网络,面向互联网提供服务的服务器区域与内部网络区域在同一子网或网段等。
d) 补偿因素:同一子网之间有技术手段实现访问控制,可根据实际措施效果,酌情判定风险等级。
网络边界访问控制设备不可控
本判例包括以下内容:
a) 标准要求:应避免将重要网络区域部署在边界处,重要网络区域与其他网络区域之间应采取可靠的技术隔离手段。
b) 适用范围:二级及以上系统
c) 判例场景(所有):
1) 网络边界访问控制设备无管理权限;
2) 未采取其他任何有效的访问控制措施,例如服务器自带防火墙未配置访问控制策略等;
3) 无法根据业务需要或所发生的安全事件及时调整访问控制策略。
d) 补偿因素:网络边界访问控制措施由云服务商提供或由集团公司统一管理,管理方能够根据系统的业务及安全需要及时调整访问控制策略,可从策略更改响应时间、策略有效性、执行效果等角度进行综合风险分析,根据分析结果,酌情判定风险等级。
重要网络区域边界访问控制措施缺失
本判例包括以下内容:
a) 标准要求:应避免将重要网络区域部署在边界处,重要网络区域与其他网络区域之间应采取可靠的技术隔离手段。
b) 适用范围:二级及以上系统。
c) 判例场景:在网络架构上,重要网络区域与其他网络区域之间(包括内部区域边界和外部区域边界)无访问控制设备实施访问控制措施,例如重要网络区域与互联网等外部非安全可控网络边界处、生产网络与员工日常办公网络之间、生产网络与无线网络接入区之间未部署访问控制设备实施访问控制措施等
补偿因素:无。
关键线路和设备冗余措施缺失
本判例包括以下内容:
a) 标准要求:应提供通信线路、关键网络设备和关键计算设备的硬件冗余,保证系统的可用性。
b) 适用范围:高可用性的三级及以上系统。
c) 判例场景:核心通信线路、关键网络设备和关键计算设备无冗余设计，一旦出现线路或设备故障,就可能导致服务中断。
d) 补偿因素:
1) 对于采用多数据中心方式部署,且通过技术手段实现应用级灾备,能降低生产环境设备故障所带来的可用性方面影响的情况,可从影响程度、RTO 等角度进行综合风险分析,根据分析结果，酌情判定风险等级;
2)对于关键计算设备采用虚拟化技术的情况,可从虚拟化环境的硬件冗余和虚拟化计算设备(如虚拟机、虚拟网络设备等)冗余等角度进行综合风险分析,根据分析结果,酌情判定风险等级。

②通信传输

测评项	注意项
a) 应采用校验技术或密码技术保证通信过程中数据的完整性；
b) 应采用密码技术保证通信过程中数据的保密性。（三级新增）

③可信验证

测评项	注意项
可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

（三）安全区域边界

①边界防护

测评项	注意项
a) 应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信；	记录受控端口号
b) 应能够对非授权设备私自联到内部网络的行为进行检查或限制；（三级新增）
c) 应能够对内部用户非授权联到外部网络的行为进行检查或限制； （三级新增）
d) 应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络。（三级新增）

高风险判例
无线网络管控措施缺失
本判例包括以下内容:
a) 标准要求:应限制无线网络的使用,保证无线网络通过受控的边界设备接入内部网络。
b) 适用范围:三级及以上系统。
c) 判例场景:内部重要网络与无线网络互联,且不通过任何受控的边界设备,或边界设备控制策略设置不当，一旦非授权接入无线网络即可访问内部重要资源。
d) 补偿因素:对于必须使用无线网络的场景,可从无线接入设备的管控和身份认证措施、非授权d接入的可能性等角度进行综合风险分析,根据分析结果,酌情判定风险等级。

②访问控制

测评项	注意项
a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；
b) 应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化；
c) 应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出；	记录具体策略
d) 应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力；
e) 应对进出网络的数据流实现基于应用协议和应用内容的访问控制。（三级新增）	通常看是否具备WAF

高风险判例
重要网络区域边界访问控制配置不当
本判例包括以下内容:
a) 标准要求:应在网络边界或区域之间根据访问控制策略设置访问控制规则,默认情况下除允许通信外受控接口拒绝所有通信
b) 适用范围:二级及以上系统。
c) 判例场景:重要网络区域与其他网络区域之间(包括内部区域边界和外部区域边界)访问控制设备配置不当或控制措施失效,存在较大安全隐患。例如办公网络任意网络终端均可访问核心生产服务器和网络设备:无线网络接入区终端可直接访问生产网络设备等。
d) 补偿因素:无。
外部网络攻击防御措施缺失
本判例包括以下内容:
a) 标准要求:应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为。
b) 适用范围:二级及以上系统。
c) 判例场景(任意):
* 1) 二级系统关键网络节点无任何网络攻击行为检测手段,例如未部署人侵检测系统;
* 2）三级及以上系统关键网络节点对外部发起的攻击行为无任何防护手段,例如未部署 IPS人侵防御设备、应用防火墙、反垃圾邮件、态势感知系统或抗 DDOS 设备等;
* 3) 网络攻击/防护检测措施的策略库、规则库半年及以上未更新,无法满足防护需求。
d) 补偿因素:主机设备部署人侵防范产品，且策略库、规则库更新及时,能够对攻击行为进行检测、阻断或限制,可根据实际措施效果，酌情判定风险等级。
内部网络攻击防御措施缺失
本判例包括以下内容:
a) 标准要求:应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为。
b) 适用范围:三级及以上系统。
c) 判例场景(任意):
* 1）关键网络节点对内部发起的攻击行为无任何检测、防护手段,例如未部署人侵检测系统1IPS 入侵防御设备、态势感知系统等;
* 2）网络攻击/防护检测措施的策略库、规则库半年及以上未更新,无法满足防护需求
c) 补偿因素:
* 1）对于主机设备部署入侵防范产品的情况,可从策略库、规则库更新情况,对攻击行为的防护能力等角度进行综合风险分析,根据分析结果,酌情判定风险等级;
* 2）对于重要网络区域与其他内部网络之间部署防火墙等访问控制设备,且对访问的目标地址、目标端口、源地址、源端口、访问协议等有严格限制的情况.可从现有措施能否对内部网络攻击起到限制作用等角度进行综合风险分析,根据分析结果,酌情判定风险等级;对于与互联网完全物理隔离或强逻辑隔离的系统,可从网络、终端采取的管控,攻击源讲
* 3）人内部网络的可能性等角度进行综合风险分析,根据分析结果,酌情判定风险等级

③入侵防范

测评项	注意项
a) 应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为；
b) 应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为；
c) 应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析；
d) 当检测到攻击行为时，记录攻击源 IP、攻击类型、攻击目标、攻击时间，在发生严重入侵事件时应提供报警。

④恶意代码防范

测评项	注意项
a) 应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新；	记录恶意代码规则库的版本和更新周期
b) 应在关键网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新。

高风险判例
恶意代码防范措施缺失
本判例包括以下内容:
a) 标准要求:应在关键网络节点处对恶意代码进行检测和清除,并维护恶意代码防护机制的更新。
b) 适用范围:二级及以上系统
c) 判例场景(所有):
1) 主机层无恶意代码检测和清除措施,或恶意代码库一个月以上未更新;
2) 网络层无恶意代码检测和清除措施,或恶意代码库一个月以上未更新
d) 补偿因素:
1) 对于使用 LinuxUnix,Solaris,CentOS、AIX、Mac 等非 Windows 操作系统的二级系统，主机和网络层均未部署恶意代码检测和清除产品,可从总体防御措施、恶意代码入侵的可能性等角度进行综合风险分析,根据分析结果,酌情判定风险等级;
2）与互联网完全物理隔离或强逻辑隔离的系统,其网络环境可控,并采取 USB 介质管控、部署主机防护软件、软件白名单等技术措施,能有效防范恶意代码进入被测主机或网络,可根据实际措施效果，酌情判定风险等级;
3）主机设备采用可信基的防控技术,对设备运行环境进行有效度量,可根据实际措施效果，3)酌情判定风险等级。

⑤安全审计

测评项	注意项
a) 应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；
b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；
c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；	记录备份周期和备份位置
d) 应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。（三级新增）

高风险判例
网络安全审计措施缺失
本判例包括以下内容:
a) 标准要求;应在网络边界、重要网络节点进行安全审计,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计
b) 适用范围:二级及以上系统。
c) 判例场景(所有):
1) 在网络边界、关键网络节点无法对重要的用户行为进行日志审计;
2) 在网络边界、关键网络节点无法对重要安全事件进行日志审计。
d) 补偿因素:无。
注:网络安全审计指通过对网络边界或重要网络节点的流量数据进行分析,从而形成的网络安全审计数据。网络安全审计包括网络流量审计和网络安全事件审计,其中网络流量审计主要是通过对网络流量进行统计、关联分析、识别和筛选,实现对网络中特定重要行为的审计,例如对各种违规的访问协议及其流量的审计、对访问敏感数据的人员行为或系统行为的审计等;网络安全事件审计包括但不限于对网络人侵检测、网络入侵防御、防病毒产品等设备检测到的网络攻击行为、恶意代码传播行为的审计等

⑥可信验证

测评项	注意项
可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

(四) 安全计算环境

①身份鉴别

测评项	注意项
a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；
b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；
c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；
d) 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别， 且其中一种鉴别技术至少应使用密码技术来实现。

②访问控制

测评项	注意项
a) 应对登录的用户分配账户和权限；
b) 应重命名或删除默认账户，修改默认账户的默认口令；
c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在；
d) 应授予管理用户所需的最小权限，实现管理用户的权限分离；	记录管理员账户名称
e) 应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；
f) 访问控制的粒度应达到主体为用户级或进程级，客体为文件或数据库表级；
g) 应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。

③安全审计

测评项	注意项
a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；
b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；
c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；	记录备份周期及位置
d) 应对审计进程进行保护，防止未经授权的中断。

④入侵防范

测评项	注意项
a) 应遵循最小安装的原则，仅安装需要的组件和应用程序；
b) 应关闭不需要的系统服务、默认共享和高危端口；
c) 应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制；	记录限制的地址
d) 应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求；	（安全设备及网络设备不适用）
e) 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞；
f) 应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。	（安全设备及网络设备不适用）

⑤恶意代码防范

测评项	注意项
应采用免受恶意代码攻击的技术措施 或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。	（安全设备及网络设备不适用）

⑥数据完整性

测评项	注意项
a) 应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；
b) 应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。	记录使用的密码算法

⑦数据保密性

测评项	注意项
a) 应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等；
b) 应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。

⑧数据备份恢复

测评项	注意项
a) 应提供重要数据的本地数据备份与恢复功能；	最近备份时间、位置；最近恢复性测试时间
b) 应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地；
c) 应提供重要数据处理系统的热冗余，保证系统的高可用性。

⑨剩余信息保护

测评项	注意项
a) 应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除；
b) 应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。

⑩个人信息保护

测评项	注意项
a) 应仅采集和保存业务必需的用户个人信息；
b) 应禁止未授权访问和非法使用用户个人信息。