三级等保2.0标准

等保2.0测评详细指标（1-3级）

PS：一级指标没有整理成表格，二三级整理成表格，看的会清晰一点。

一级测评要求指标

一．技术安全大类

1.安全的物理环境

物理访问控制：

机房出入口应安排专人值守或配置电子门禁系统，控制，鉴别和记录进入的人员。

防盗窃和破坏：

应将设备或主要部件进行固定，并设置明显的不易除去的标识。

防雷击：

应将各类机柜，设施和设备等通过基地系统安全接地。

防火：

机房应该设置灭火设备。

防水和防潮：

应采取措施防止雨水通过机房窗户，屋顶和墙壁渗透。

温湿度控制：

应设置必要的温湿度调节设施，使机房温湿度的变化在设备运行所允许的范围之内。

电力供应：

应在机房供电线路上配置稳压器和过电压防护设备。 2.安全的通信网络

通信传输：

应采用检验技术保证通信过程中数据的完整性。

可信验证：

可给予可信根对通信设备的系统引导程序，系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。

3.安全的计算环境

身份鉴别：

1.应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份辨别信息具有复杂度要求并定期更换。

2.应具有登陆失败处理功能，应配置并启用结束会话，限制非法登录次数和挡登录连接超时自动退出等相关措施。

访问控制：

1.应对登录的用户分配账户和权限

2.应重命名或删除默认账户，修改默认账户的默认口令。

3.应及时删除或停用多余的，过期的账户，避免共享账户的存在。

入侵防范：

1.应遵循最小安装的原则，仅安装需要的组件和应用程序。

2.应关闭不需要的系统服务，默认共享和高危端口。

恶意代码防范：

应安装放恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库。

可信验证：

可基于可信根对计算机设备的系统引导程序，系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。 数据完整性：

应采用检验技术保证重要数据在传输过程中的完整性。

等级保护2.0 三级 概述

等级保护2.0（等保2.0）是我国信息安全保障的基本制度，其三级标准是在法律法规的基础上，对信息系统安全、物理和环境安全、网络通信安全、设备和计算安全、应用和数据安全、安全管理、评估与审计、应急响应等方面提出的具体要求。

1. 法律法规基础：等保2.0三级依据国家法律法规和标准，对信息系统的合规性进行严格要求，确保信息系统符合法律法规的要求。

2. 信息系统安全：等保2.0三级对信息系统的安全性提出更高要求，包括信息的保密性、完整性和可用性等。

3. 物理和环境安全：等保2.0三级强调物理和环境安全，对物理访问控制、物理安全监测等提出具体要求。

4. 网络通信安全：等保2.0三级在网络通信安全方面要求建立完善的网络安全体系，包括网络隔离、入侵检测、漏洞扫描等。

5. 设备和计算安全：等保2.0三级对设备和计算安全提出要求，包括防病毒、身份认证、访问控制等。

6. 应用和数据安全：等保2.0三级要求应用和数据安全得到保障，包括数据加密、数据备份等。

7. 安全管理：等保2.0三级强调安全管理，要求建立完善的安全管理体系，包括安全组织、安全策略、安全制度等。

8. 评估与审计：等保2.0三级要求对信息系统进行定期的评估和审计，确保信息系统的安全性。

9. 应急响应：等保2.0三级要求建立完善的应急响应机制，包括应急预案、应急演练等。

10. 技术要求符合性验证：等保2.0三级还要求对各项安全技术要求进行符合性验证，确保各项安全措施的有效性。

11. 人员安全：等保2.0三级强调人员安全的重要性，包括对员工的安全培训、岗位管理以及权限管理等方面提出了具体要求。

12. 供应链安全：等保2.0三级要求对供应链安全进行管理，包括对供应商的评估、管理以及控制等方面提出了具体要求。

通过满足等级保护2.0三级的要求，组织可以有效地提高信息系统的安全防护能力，减少安全风险，保障业务的正常运行。

等保2.0三级评分标准

根据《信息系统安全等级保护基本要求》，等级保护三级的评分标准涵盖了以下方面：

1. 物理安全：

a. 建筑安全：机房和办公场地应具备相应的防盗、防毁、防水、防震、防静电等物理防护措施，并满足国家相关规定。

b. 设备安全：应采取必要的防电磁泄漏、抗电磁干扰等防护措施，保障关键设备、设施的安全运行。

c. 电力安全：应提供不间断电源或应急电源，确保设备、设施的正常运行。

2. 网络安全：

a. 区域划分：应按照安全控制层次和安全责任划分不同安全区域，对不同区域之间的边界应采取相应安全措施。

b. 网络访问控制：应对网络访问实施必要的控制，如实施防火墙、入侵检测、审计等技术手段。

c. 通信保密：应采取加密、解密、混淆等技术手段保护数据传输和存储的安全性。

3. 主机安全：

a. 身份鉴别：应对重要账户和远程访问实施身份认证和访问授权管理，确保只有授权人员才能访问数据和资源。

b. 访问控制：应根据需要实施合适的访问控制策略，限制对重要数据的访问和操作。

c. 安全审计：应对重要操作和事件进行审计记录，以便及时发现和处理安全问题。

4. 应用安全：

a. 身份鉴别：应提供身份认证功能，对用户进行身份标识和鉴别。

b. 访问控制：应根据用户角色和权限实施合适的访问控制策略，限制对敏感信息的访问和操作。

c. 安全审计：应对应用系统的重要操作进行审计记录，以便及时发现和处理安全问题。

5. 数据安全：

a. 数据完整性：应采取必要的校验和验证措施，确保数据的完整性和准确性。

b. 数据保密性：应采取加密、解密、混淆等技术手段保护数据的保密性。

c. 数据备份恢复：应建立数据备份和恢复机制，确保数据的安全性和可用性。

6. 管理制度：

a. 安全策略和管理制度：应制定完善的安全策略和管理制度，明确各级管理人员的职责和工作流程。

b. 安全检查和评估：应对信息系统进行定期的安全检查和评估，及时发现和处理安全问题。

二级等保标准

文件管理序列号：[K8UY-K9IO69-O6M243-OL889-F88688]

二级等级保护要求

一、 技术要求

技术要求项 二级等保 实现方式

物理安全 物理位置的选择 1） 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。 机房建设

物理访问控制 1） 机房出入口应有专人值守，鉴别进入的人员身份并登记在案；

2） 应批准进入机房的来访人员，限制和监控其活动范围。 门禁管理系统

防盗窃和防破坏 1） 应将主要设备放置在物理受限的范围内；

2） 应对设备或主要部件进行固定，并设置明显的不易除去的标记；

3） 应将通信线缆铺设在隐蔽处，如铺设在地下或管道中等；

4） 应对介质分类标识，存储在介质库或档案室中；

5） 应安装必要的防盗报警设施，以防进入机房的盗窃和破坏行为。 机房建设

防雷击 1） 机房建筑应设置避雷装置；

2） 应设置交流电源地线。 防雷系统

防火 1） 应设置灭火设备和火灾自动报警系统，并保持灭火设备和火灾自动报警系统的良好状态。 消防系统

防水和防潮 1） 水管安装，不得穿过屋顶和活动地板下；

2） 应对穿过墙壁和楼板的水管增加必要的保护措施，如设置套管；

3） 应采取措施防止雨水通过屋顶和墙壁渗透；

4） 应采取措施防止室内水蒸气结露和地下积水的转移与渗透。 机房建设

防静电 1） 应采用必要的接地等防静电措施 静电地板

温湿1） 应设置温、湿度自动调节设施，使机房温、湿度的变机房动力环境监

技术要求项 二级等保 实现方式

度控制 化在设备运行所允许的范围之内。 控系统

电力供应 1） 计算机系统供电应与其他供电分开；

2） 应设置稳压器和过电压防护设备；

3） 应提供短期的备用电力供应（如UPS设备）。 UPS

电磁防护 1） 应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；