【网络安全等级保护基本要求】_信息安全技术网络安全等级保护基本要求

【网络安全等级保护基本要求（三级）】

参考文件：
GB/T 22239-2019		信息安全技术 网络安全等级保护基本要求
T/ISEAA 001-2020      网络安全等级保护测评高风险判定指引
1
2
3

安全要求

（一）安全物理环境

①物理位置选择

②物理访问控制

高风险判例
机房出入口访问控制措施缺失
本判例包括以下内容:
a) 标准要求:机房出入口应配置电子门禁系统,控制、鉴别和记录进入的人员
b) 适用范围:二级及以上系统。
c) 判例场景:机房出入口无任何访问控制措施,例如未安装电子或机械门锁(包括机房大门处于未上锁状态)、无专人值守等。
d) 补偿因素:机房所在位置处于受控区域,非授权人员无法随意进出机房,可根据实际措施效果酌情判定风险等级。

③防盗窃和防破坏

高风险判例
机房防盗措施缺失
本判例包括以下内容:
a) 标准要求:应设置机房防盗报警系统或设置有专人值守的视频监控系统60适用范围:三级及以上系统。
b) 判例场景(所有):
1) 机房或机房所在区域无防盗报警系统,无法对盗窃事件进行告警、追溯;
2) 未设置有专人值守的视频监控系统。
c) 补偿因素:机房出入口或机房所在区域有其他控制措施,例如机房出入口设有专人值守,机房所在位置处于受控区域等,非授权人员无法进入该区域,可根据实际措施效果,酌情判定风险等级。

④防雷击

⑤防火

高风险判例
机房防火措施缺失
本判例包括以下内容:
a) 标准要求:机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火.
b) 适用范围:二级及以上系统。
c) 判例场景(任意):
* 1) 机房无任何有效消防措施,例如无检测火情、感应报警设施,手提式灭火器等灭火设施，消防设备未进行年检或已失效无法正常使用等情况 ;
* 2) 机房所采取的灭火系统或设备不符合国家的相关规定。
d) 补偿因素:机房安排专人值守或设置了专人值守的视频监控系统,并且机房附近有符合国家消防标准的灭火设备，一旦发生火灾,能及时进行灭火,可根据实际措施效果,酌情判定风险等级。

⑥防水和防潮

⑦防静电

⑧温湿度控制

⑨电力供应

高风险判例
机房短期备用电力供应措施缺失
本判例包括以下内容:
a) 标准要求:应提供短期的备用电力供应,至少满足设备在断电情况下的正常运行要求。
b) 适用范围:二级及以上系统。
c) 判例场景(任意):
* 1) 机房无短期备用电力供应设备,例如 UPS、柴油发电机、应急供电车等;
* 2) 机房现有备用电力供应无法满足定级对象短期正常运行。
d) 补偿因素:对于机房配备多路供电的情况,可从供电方同时断电发生概率等角度进行综合风险分析,根据分析结果,酌情判定风险等级。

⑩电磁防护

（二）安全通信网络

①网络架构

高风险判例
网络设备业务处理能力不足
本案例包括以下内容：
a) 标准要求:应保证网络设备的业务处理能力满足业务高峰期需要
b) 适用范围:高可用性的三级及以上系统。
c) 判例场景:核心交换机、核心路由器、边界防火墙等网络链路上的关键设备性能无法满足高峰期需求,可能导致服务质量严重下降或中断,例如性能指标平均达到 80%以上。
d) 补偿因素:对于采用多数据中心方式部署,且通过技术手段实现应用级灾备,能降低单一机房发生设备故障所带来的可用性方面影响的情况,可从影响程度、RTO 等角度进行综合风险分析,根据分析结果,酌情判定风险等级。
网络区域划分不当
本判例包括以下内容:
a) 标准要求:应划分不同的网络区域,并按照方便管理和控制的原则为各网络区域分配地址
b) 适用范围:二级及以上系统。
c) 判例场景:重要网络区域与非重要网络在同一子网或网段,例如承载业务系统的生产网络与员工日常办公网络,面向互联网提供服务的服务器区域与内部网络区域在同一子网或网段等。
d) 补偿因素:同一子网之间有技术手段实现访问控制,可根据实际措施效果,酌情判定风险等级。
网络边界访问控制设备不可控
本判例包括以下内容:
a) 标准要求:应避免将重要网络区域部署在边界处,重要网络区域与其他网络区域之间应采取可靠的技术隔离手段。
b) 适用范围:二级及以上系统
c) 判例场景(所有):
1) 网络边界访问控制设备无管理权限;
2) 未采取其他任何有效的访问控制措施,例如服务器自带防火墙未配置访问控制策略等;
3) 无法根据业务需要或所发生的安全事件及时调整访问控制策略。
d) 补偿因素:网络边界访问控制措施由云服务商提供或由集团公司统一管理,管理方能够根据系统的业务及安全需要及时调整访问控制策略,可从策略更改响应时间、策略有效性、执行效果等角度进行综合风险分析,根据分析结果,酌情判定风险等级。
重要网络区域边界访问控制措施缺失
本判例包括以下内容:
a) 标准要求:应避免将重要网络区域部署在边界处,重要网络区域与其他网络区域之间应采取可靠的技术隔离手段。
b) 适用范围:二级及以上系统。
c) 判例场景:在网络架构上,重要网络区域与其他网络区域之间(包括内部区域边界和外部区域边界)无访问控制设备实施访问控制措施,例如重要网络区域与互联网等外部非安全可控网络边界处、生产网络与员工日常办公网络之间、生产网络与无线网络接入区之间未部署访问控制设备实施访问控制措施等
补偿因素:无。
关键线路和设备冗余措施缺失
本判例包括以下内容:
a) 标准要求:应提供通信线路、关键网络设备和关键计算设备的硬件冗余,保证系统的可用性。
b) 适用范围:高可用性的三级及以上系统。
c) 判例场景:核心通信线路、关键网络设备和关键计算设备无冗余设计，一旦出现线路或设备故障,就可能导致服务中断。
d) 补偿因素:
1) 对于采用多数据中心方式部署,且通过技术手段实现应用级灾备,能降低生产环境设备故障所带来的可用性方面影响的情况,可从影响程度、RTO 等角度进行综合风险分析,根据分析结果，酌情判定风险等级;
2)对于关键计算设备采用虚拟化技术的情况,可从虚拟化环境的硬件冗余和虚拟化计算设备(如虚拟机、虚拟网络设备等)冗余等角度进行综合风险分析,根据分析结果,酌情判定风险等级。

②通信传输

③可信验证

（三）安全区域边界

①边界防护

高风险判例
无线网络管控措施缺失
本判例包括以下内容:
a) 标准要求:应限制无线网络的使用,保证无线网络通过受控的边界设备接入内部网络。
b) 适用范围:三级及以上系统。
c) 判例场景:内部重要网络与无线网络互联,且不通过任何受控的边界设备,或边界设备控制策略设置不当，一旦非授权接入无线网络即可访问内部重要资源。
d) 补偿因素:对于必须使用无线网络的场景,可从无线接入设备的管控和身份认证措施、非授权d接入的可能性等角度进行综合风险分析,根据分析结果,酌情判定风险等级。

②访问控制

高风险判例
重要网络区域边界访问控制配置不当
本判例包括以下内容:
a) 标准要求:应在网络边界或区域之间根据访问控制策略设置访问控制规则,默认情况下除允许通信外受控接口拒绝所有通信
b) 适用范围:二级及以上系统。
c) 判例场景:重要网络区域与其他网络区域之间(包括内部区域边界和外部区域边界)访问控制设备配置不当或控制措施失效,存在较大安全隐患。例如办公网络任意网络终端均可访问核心生产服务器和网络设备:无线网络接入区终端可直接访问生产网络设备等。
d) 补偿因素:无。
外部网络攻击防御措施缺失
本判例包括以下内容:
a) 标准要求:应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为。
b) 适用范围:二级及以上系统。
c) 判例场景(任意):
* 1) 二级系统关键网络节点无任何网络攻击行为检测手段,例如未部署人侵检测系统;
* 2）三级及以上系统关键网络节点对外部发起的攻击行为无任何防护手段,例如未部署 IPS人侵防御设备、应用防火墙、反垃圾邮件、态势感知系统或抗 DDOS 设备等;
* 3) 网络攻击/防护检测措施的策略库、规则库半年及以上未更新,无法满足防护需求。
d) 补偿因素:主机设备部署人侵防范产品，且策略库、规则库更新及时,能够对攻击行为进行检测、阻断或限制,可根据实际措施效果，酌情判定风险等级。
内部网络攻击防御措施缺失
本判例包括以下内容:
a) 标准要求:应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为。
b) 适用范围:三级及以上系统。
c) 判例场景(任意):
* 1）关键网络节点对内部发起的攻击行为无任何检测、防护手段,例如未部署人侵检测系统1IPS 入侵防御设备、态势感知系统等;
* 2）网络攻击/防护检测措施的策略库、规则库半年及以上未更新,无法满足防护需求
c) 补偿因素:
* 1）对于主机设备部署入侵防范产品的情况,可从策略库、规则库更新情况,对攻击行为的防护能力等角度进行综合风险分析,根据分析结果,酌情判定风险等级;
* 2）对于重要网络区域与其他内部网络之间部署防火墙等访问控制设备,且对访问的目标地址、目标端口、源地址、源端口、访问协议等有严格限制的情况.可从现有措施能否对内部网络攻击起到限制作用等角度进行综合风险分析,根据分析结果,酌情判定风险等级;对于与互联网完全物理隔离或强逻辑隔离的系统,可从网络、终端采取的管控,攻击源讲
* 3）人内部网络的可能性等角度进行综合风险分析,根据分析结果,酌情判定风险等级

③入侵防范

④恶意代码防范

高风险判例
恶意代码防范措施缺失
本判例包括以下内容:
a) 标准要求:应在关键网络节点处对恶意代码进行检测和清除,并维护恶意代码防护机制的更新。
b) 适用范围:二级及以上系统
c) 判例场景(所有):
1) 主机层无恶意代码检测和清除措施,或恶意代码库一个月以上未更新;
2) 网络层无恶意代码检测和清除措施,或恶意代码库一个月以上未更新
d) 补偿因素:
1) 对于使用 LinuxUnix,Solaris,CentOS、AIX、Mac 等非 Windows 操作系统的二级系统，主机和网络层均未部署恶意代码检测和清除产品,可从总体防御措施、恶意代码入侵的可能性等角度进行综合风险分析,根据分析结果,酌情判定风险等级;
2）与互联网完全物理隔离或强逻辑隔离的系统,其网络环境可控,并采取 USB 介质管控、部署主机防护软件、软件白名单等技术措施,能有效防范恶意代码进入被测主机或网络,可根据实际措施效果，酌情判定风险等级;
3）主机设备采用可信基的防控技术,对设备运行环境进行有效度量,可根据实际措施效果，3)酌情判定风险等级。

⑤安全审计

高风险判例
网络安全审计措施缺失
本判例包括以下内容:
a) 标准要求;应在网络边界、重要网络节点进行安全审计,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计
b) 适用范围:二级及以上系统。
c) 判例场景(所有):
1) 在网络边界、关键网络节点无法对重要的用户行为进行日志审计;
2) 在网络边界、关键网络节点无法对重要安全事件进行日志审计。
d) 补偿因素:无。
注:网络安全审计指通过对网络边界或重要网络节点的流量数据进行分析,从而形成的网络安全审计数据。网络安全审计包括网络流量审计和网络安全事件审计,其中网络流量审计主要是通过对网络流量进行统计、关联分析、识别和筛选,实现对网络中特定重要行为的审计,例如对各种违规的访问协议及其流量的审计、对访问敏感数据的人员行为或系统行为的审计等;网络安全事件审计包括但不限于对网络人侵检测、网络入侵防御、防病毒产品等设备检测到的网络攻击行为、恶意代码传播行为的审计等

⑥可信验证

(四) 安全计算环境

①身份鉴别

②访问控制

③安全审计

④入侵防范

⑤恶意代码防范

⑥数据完整性

⑦数据保密性

⑧数据备份恢复

⑨剩余信息保护

⑩个人信息保护