下载文档原格式
网络安全等级保护建设案（安全通用要求）北京启明星辰信息安全技术有限公司Beijing Venustech Information Security Technology Co., Ltd.二零一九年五月目录1.项目概述 (4)1.1.项目概述 (4)1.2.项目建设背景 (4)1.2.1.法律依据 (4)1.2.2.政策依据 (5)1.3.项目建设目标及容 (6)1.3.1.建设目标 (6)1.3.2.建设容 (7)1.4.等级保护对象分析与介绍 (8)2.案设计说明 (8)2.1.设计依据 (8)2.2.设计原则 (9)2.2.1.分区分域防护原则 (9)2.2.2.均衡性保护原则 (9)2.2.3.技管并重原则 (9)2.2.4.动态调整原则 (9)2.2.5.三同步原则 (10)2.3.设计思路 (10)2.4.设计框架 (12)3.安全现状及需求分析 (12)3.1.安全现状概述 (12)3.2.安全需求分析 (13)3.2.1.物理环境安全需求 (13)3.2.2.通信网络安全需求 (14)3.2.3.区域边界安全需求 (15)3.2.4.计算环境安全需求 (17)3.2.5.安全管理中心安全需求 (18)3.2.6.安全管理制度需求 (18)3.2.7.安全管理机构需求 (19)3.2.8.安全管理人员需求 (19)3.2.9.安全建设管理需求 (20)3.2.10.安全运维管理需求 (21)3.3.合规差距分析 (22)4.技术体系设计案 (22)4.1.技术体系设计目标 (22)4.2.技术体系设计框架 (23)4.3.安全技术防护体系设计 (23)4.3.1.安全计算环境防护设计 (23)4.3.2.安全区域边界防护设计 (28)4.3.3.安全通信网络防护设计 (31)4.3.4.安全管理中心设计 (34)5.管理体系设计案 (35)5.1.管理体系设计目标 (35)5.2.管理体系设计框架 (35)5.3.安全管理防护体系设计 (35)5.3.1.安全管理制度设计 (36)5.3.2.安全管理机构设计 (36)5.3.3.安全管理人员设计 (37)5.3.4.安全建设管理设计 (38)5.3.5.安全运维管理设计 (39)6.产品选型与投资概算 (47)7.部署示意及合规性分析 (48)7.1.部署示意及描述 (48)7.2.合规性分析 (48)7.2.1.技术层面 (48)7.2.2.管理层面 (50)1.项目概述1.1.项目概述根据实际项目情况编写、完善。
信息安全技术网络安全等级保护安全设计技术要求第4部分：物联网安全要求1范围本标准依据《网络安全等级保护安全设计技术要求第1部分：安全通用要求》和《网络安全等级保护基本要求第4部分：物联网安全扩展要求》，规范了信息系统等级保护安全设计要求对物联网系统的扩展设计要求，包括第一级至第四级物联网系统安全保护环境的安全计算环境、安全区域边界、安全通信网络和安全管理中心等方面的设计技术要求。
本标准适用于指导信息系统等级保护物联网系统安全技术方案的设计和实施，也可作为信息安全职能部门对物联网系统进行监督、检查和指导的依据。
2规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。
凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。
凡是不注明日期的引用文件，其最新版本适用于本标准。
GB/T 25069-2010信息安全技术术语GB17859-1999计算机信息系统安全保护等级划分准则GB/T 22240-2008信息安全技术信息系统安全等级保护定级指南GB/T 25070-2010网络安全等级保护安全设计技术要求第1部分：安全通用要求GB/T 22239.4-XXXX网络安全等级保护基本要求第4部分：物联网安全扩展要求GB/T XXXX物联网第2部分：术语GB/T XXXX物联网第3部分：参考体系结构与通用技术要求3术语和定义下列术语和定义适用于本标准。
3.1定级系统classified system按照已确定安全保护等级的物联网系统。
定级系统分为第一级、第二级、第三级和第四级物联网系统。
3.2定级系统安全保护环境security environment of classified system由安全计算环境、安全区域边界、安全通信网络和（或）安全管理中心构成的对定级系统进行安全保护的环境。
定级系统安全保护环境包括第一级物联网系统安全保护环境、第二级物联网系统安全保护环境、第三级物联网系统安全保护环境、第四级物联网系统安全保护环境以及定级系统的安全互联。
信息安全技术信息系统安全等级保护基本要求引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息系统安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号）等有关文件要求，制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南；——GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求；——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护实施指南。
一般来说，信息系统需要靠多种安全措施进行综合防范以降低其面临的安全风险。
本标准针对信息系统中的单项安全措施和多个安全措施的综合防范，对应地提出单元测评和整体测评的技术要求，用以指导测评人员从信息安全等级保护的角度对信息系统进行测试评估。
单元测评对安全技术和安全管理上各个层面的安全控制点提出不同安全保护等级的测评要求。
整体测评根据安全控制点间、层面间和区域间相互关联关系以及信息系统整体结构对信息系统整体安全保护能力的影响提出测评要求。
本标准给出了等级测评结论中应包括的主要内容，未规定给出测评结论的具体方法和量化指标。
如果没有特殊指定，本标准中的信息系统主要指计算机信息系统。
在本标准文本中，黑体字的测评要求表示该要求出现在当前等级而在低于当前等级信息系统的测评要求中没有出现过。
信息系统安全等级保护测评要求1 范围本标准规定了对信息系统安全等级保护状况进行安全测试评估的要求，包括对第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统进行安全测试评估的单元测评要求和信息系统整体测评要求。
本标准略去对第五级信息系统进行单元测评的具体内容要求。
本标准适用于信息安全测评服务机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。
《GB∕T 28448-2019信息安全技术网络安全等级保护测评要求》试卷姓名：分数：一、填空题（每空3分，共30分）1.安全测评通用要求中安全物理环境的测评对象是__________和__________。
2.机房__________设在地下室。
3.二级测评通用要求对机房设置防盗报警系统或有专人值守的视频监控系统__________（有或没有）作要求。
4.三级测评通用要求机房电力供应设置__________电力电缆线路。
5.三级测评通用要求网络设备的业务处理能力满足业务高峰期的要求，可通过查看网络设备的__________使用率和__________使用率。
6.边界防护中，__________级测评要求内外网的非法互联进行检测和限制。
7.云计算安全测评扩展要求云计算基础设施位于__________。
8.工业控制系统与企业其他系统之间应划分为__________个区域。
二、不定项选择（每题5分，共30分）1.三级测评通用要求机房出入口应__________。
A．安排专人值守B．放置灭火器C．安装玻璃门D．配置电子门禁系统2.三级测评通用要求防雷击除了将各类机柜、设施和设备等通过接地系统安全接地，还要求设置__________。
A．照明灯具B．过压保护器C．防雷保安器D．空气清新剂3.身份鉴别要求采用__________等两种或两种以上的鉴别技术。
A．动态口令B．数字证书C．生物技术D．设备指纹4.三级测评通用要求安全计算环境中，访问控制的粒度应达到主体为__________。
A．端口级B．用户级C．进程级D．应用级5.安全管理中心是《GB∕T 28448-2019信息安全技术网络安全等级保护测评要求》新增加的内容，三级测评通用要求安全管理中心内容包括__________。
A．系统管理B．审计管理C．安全管理D．集中管控6.工业控制系统内使用广域网进行进行控制指令或相关数据交换的应采用加密认证技术手段实现__________加密传输。
国家标准《信息安全技术网络安全等级保护安全设计技术要求第1部分：通用设计要求》（征求意见稿）编制说明一、工作简况1.1任务来源《信息安全技术信息系统等级保护安全设计技术要求第1部分：通用设计要求》是国家标准化管理委员会 2014年下达的信息安全国家标准制定项目，国标计划号为：GB/T 25070.1-2010，由公安部第一研究所承担，参与单位包括北京工业大学、北京中软华泰信息技术有限责任公司、中国电子信息产业集团有限公司第六研究所、工业和信息化部电信研究院、阿里云计算技术有限公司、公安部第三研究所、中国信息安全测评中心、国家信息技术安全研究中心、浙江中烟工业有限责任公司、中央电视台、北京江南天安科技有限公司、华为技术有限公司、浪潮电子信息产业股份有限公司、浪潮集团、北京启明星辰信息安全技术有限公司。
1.2主要工作过程1)准备阶段2014年3月，在公安部11局的统一领导下，公安部第一研究所同协作单位共同成立标准编写项目组。
2）调研阶段标准起草组成立以后，项目组收集了大量国内外相关标准，进行了研讨，对信息安全的模型、威胁和脆弱性进行了充分讨论。
同时项目组参考了国内等级保护相关标准，为了真实了解行业内的安全要求，项目组也对行业内的企事业单位进行了调研。
3）编写阶段2014年4月，标准起草组组织了多次内部研讨会议，邀请了来自国内相关领域著名的专家、学者开展交流与研讨，确定了标准的总体技术框架、核心内容。
标准起草组按照分工，对标准各部分进行了编写，形成了《信息安全技术信息系统等级保护安全设计技术要求第1部分：通用设计要求》（草案）。
4）首次征求专家意见2014年4月，公安部11局组织业内专家对标准初稿进行了研讨，专家对标准范围、内容、格式等进行了详细讨论，提出了很多宝贵意见。
项目组根据专家意见，对标准进行了修改。
5）第二次征求专家意见2014年9、10月，公安部11局组织业内专家对标准初稿再次进行了研讨，专家再次对标准范围、内容、格式等进行了详细讨论，提出了宝贵意见。
网络安全等级保护基本要求第1部分：安全通用要求一、技术要求:基本要求第一级第二级第三级第四级物理和环境安全物理位置的选择/a) 机房场地应选择在具有防震、防风和防雨等能力的建筑内；b) 机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施a) ;b) ;a) ;b) ;物理访问控制a) 机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进入的人员a) a) 机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员a) ;b) 重要区域应配置第二道电子门禁系统，控制、鉴别和记录进入的人员防盗窃和防破坏a) 应将机房设备或主要部件进行固定，并设置明显的不易除去的标记a) ；b) 应将通信线缆铺设在隐蔽处，可铺设在地下或管道中。
a) ；b) ；c) 应设置机房防盗报警系统或设置有专人值守的视频监控系统a) ;b) ;c) ;防雷击a) 应将各类机柜、设施和设备等通过接地系统安全接地a) a) ；b) 应采取措施防止感应雷，例如设置防雷保安器或过压保护装置等a) ;b) ;防火a) 机房应设置灭火设备a) 机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料a) ；b) ；c) 应对机房划分区域进行管理，区域和区域之间设置隔离防火措施。
a) ;b) ;c) ;防水和防潮a) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透a) ；b) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透a) ；b) ；c) 应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。
a) ;b) ;c) ;防静电/ a)应安装防静电地板并采用必要的接地防静电措施a) ；b) 应采用措施防止静电的产生，例如采用静电消除器、佩戴防静电手环等。
a) ;b) ;温湿度控制a) 机房应设置必要的温、湿度控制设施，使机房温、湿度的变化在设备运行所允许的范围之内a) 机房应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围之内a) ; a) ;电力供应a) 应在机房供电线路上配置稳压器和过电压防护设备a) ；b) 应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求a) ；b) ；c) 应设置冗余或并行的电力电缆线路为计算机系统供电。
信息安全技术网络安全等级保护测评要求第1部分：安全通用要求编制说明1概述1.1任务来源《信息安全技术信息系统安全等级保护测评要求》于2012年成为国家标准,标准号为GB/T 28448—2012,被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。
但是随着信息技术的发展,尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高,2013年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T 28448—2012进行修订.根据全国信息安全标准化技术委员会2013年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd—WG5—006.1.2制定本标准的目的和意义《信息安全等级保护管理办法》（公通字［2007]43号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术测评报告是其检查内容之一。
这就要求等级测评过程规范、测评结论准确、公正及可重现.《信息安全技术信息系统安全等级保护基本要求》（GB/T22239—2008）（简称《基本要求》）和《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）(简称《测评要求》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。
伴随着IT技术的发展，《基本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展尤其是信息安全技术发展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力,提出新的各等级的安全保护目标。
作为《基本要求》的姊妹标准，《测评要求》需要同步修订,依据《基本要求》的更新内容对应修订相关的单元测评章节.此外,《测评要求》还需要吸收近年来的测评实践，更新整体测评方法和测评结论形成方法.1.3 与其他标准的关系图1 等级保护标准相互关系从上图可以看出，在等级保护对象实施安全保护过程中，首先利用《信息安全技术 信息系统安全等级保护定级指南》(GB/T 22240-2008）(简称“《定级指南》"）确定等级保护对象的安全保护等级，然后根据《信息安全技术 网络安全等级保护基本要求》系列标准选择安全控制措施,随后利用《信息安全技术 信息系统安全等级保护实施指南》(简称“《实施指南》”）或其他相关标准确定其特殊安全需求，进行等级保护对象的安全规划和建设工作,此后利用《信息安全技术 网络安全等级保护测评过程指南》（GB/T 28449-20XX)(简称“《测评过程指南》”）来规范测评过程和各项活动，利用《信息安全技术 网络安全等级保护测评要求》系列标准来判断安全控制措施的有效性。
2022 年网络等级保护考试题库及答案一、单项选择题1.在等保1.0 的根本要求中，网络设备防护的内容归属于网络安全，在等保2.0 中将其归属到〔〕。
A 安全通信网络B 安全区域边界C 安全计算环境D 安全治理中心答案：c2.应成立指导和治理网络安全工作的委员会或领导小组，其最高领导由〔〕担当或授权。
A 系统治理员B 安全治理员C 技术负责人D 单位主管领导答案D3.在保证各等级保护对象自治和安全的前提下，有效掌握异构等级保护对象间的安全互操作，从而实现分布式资源的共享和交互，是指的〔〕技术？A 强制访问掌握B 可信计算C 构造化保护D 多级互联答案D4.在〔〕级系统安全保护环境中开头要求使用强制访问掌握？A 一B 二C 三D 四答案C5.在〔〕中规定了计算机系统安全保护力量的五个等级A 《计算机信息系统安全保护等级划分准则》B 《信息安全技术网络安全等级保护定级指南》C 《信息安全技术网络安全等级保护根本要求》D 《信息安全技术网络安全等级保护测评要求》答案A6.关键信息根底设施的运营者应当自行或者托付网络安全效劳机构对其网络的安全性和可能存在的风险每年至少进展〔〕次检测评估。
A 一B 二C 三D 四答案A7.关键信息根底设施的安全保护等级应不低于等保〔〕A 第一级B 其次级C 第三级D 第四级答案c8.对于三级系统安全治理要求中，以下哪个掌握点不属于安全运维治理方面要求〔〕.A 环境治理B 介质治理C 效劳供给商选择D 变更治理答案c9.三级系统应依据等保2.0 要求承受密码技术保证通信过程中数据的〔〕.A 完整性B 保密性C 可用性D 可控性答案B10.信息系统遭到破坏后，会对国家安全造成一般损害的，应定为〔〕？A 一B 二C 三D 四答案c11.在等保2.0 中，以下测评结论与判定依据描述正确的选项是？A 被测对象中存在安全问题，但不会导致被测对象面临中、高等级安全风险，且系统综合得分90 分以上〔含90 分〕的，判定为优。
《信息安全技术网络安全等级保护测评要求》（G B/T28448-2019）标准解读原版标准详见附录0引言信息系统等级保护系列国家标准在我国推行信息安全工作开展过程中发挥了重要作用，被广泛应用于网络安全职能部门、各行业和领域的网络安全管理部门及等级测评机构开展系统定级、安全建设整改、等级测评、安全自查和安全监督检查等相关工作。
但随着IT技术的飞速发展，特别是在云计算、移动互联、物联网、工业控制和大数据等新技术、新应用环境下，GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》和GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》在应用过程中遇到了一些新的问题，在适用性、时效性、易用性、可操作性上需要进一步完善。
2017年6月1日颁布实施的《中华人民共和国网络安全法》也要求各网络安全职能部门、各行业和领域的网络安全管理部门等配合落实国家网络安全等级保护制度，需要同时对GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》和GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》进行修订。
为适应我国网络安全等级保护工作发展的需要，进一步与新版的GB/T22239-2019相协调，有必要对GB/T28448-2012进行修订。
2014年，公安部第三研究所（公安部信息安全等级保护评估中心）根据国家标准编号制修订计划，牵头组织了对GB/T28448-2012的修订工作，前后共有20多家单位、70多人参与修订工作。
修订工作历经调查研究、草案形成、征求意见稿、送审稿和报批稿等过程，收到了各行业职能部门、用户、专家的宝贵意见。
2019年，《信息安全技术网络安全等级保护测评要求》（GB/T28448-2019）国家标准正式实施。
本文分析了GB/T28448-2019发生的主要变化，解读其内容修订和等级测评工作变化等主要内容，以便读者更好地了解和掌握GB/T28448-2019的内容标准主要内容变化0.1标准文本结构变化GB/T28448-2019标准文本分为12章，3个附录。
信息安全技术网络安全等级保护测评要求第2部分：云计算安全扩展要求1 范围本部分规定了对不同等级的等级保护对象是否符合GB/T 22239.2-20XX所进行的测试评估活动的要求，包括对第二级等级保护对象、第三级等级保护对象和第四级等级保护对象进行安全测试评估的要求。
本部分略去对第一级等级保护对象、第五级等级保护对象进行安全测评评估的要求。
本部分规定了不同等级的保护对象的云计算安全扩展测评要求，除使用本部分外，还需参考通用测评要求。
本部分适用于信息安全测评服务机构、等级保护对象的主管部门及运营使用单位对等级保护对象安全等级保护状况进行的安全测试评估。
信息安全监管职能部门依法进行的信息系统安全等级保护监督检查可以参考使用。
2 规范性引用文件下列文件对于本部分的应用是必不可少的。
凡是注日期的引用文件，仅注日期的版本适用于本部分。
凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本部分。
GB/T 25069-2010 信息安全技术术语GB17859-1999 计算机信息系统安全保护等级划分准则GB/T 22239.1-20XX 信息安全技术网络安全等级保护基本要求第1部分：安全通用要求GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南GB/T 28448.1-20XX 信息安全技术网络安全等级保护测评要求第1部分：通用测评要求GB/T 28449-20XX 信息安全技术信息系统安全等级保护测评过程指南GB/T 22239.2-20XX 信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求GB/T 25070.2-20XX 信息安全技术网络安全等级保护安全设计技术要求第2部分：云计算信息安全等级保护安全设计技术要求3 术语与定义GB/T 25069-2010、GB/T 28448.1-20XX和GB/T 22239.2-20XX界定的以及下列术语和定义适用于本部分。
《信息安全技术网络安全等级保护测评要求》（G B/T28448-2019）标准解读0引言信息系统等级保护系列国家标准在我国推行信息安全工作开展过程中发挥了重要作用，被广泛应用于网络安全职能部门、各行业和领域的网络安全管理部门及等级测评机构开展系统定级、安全建设整改、等级测评、安全自查和安全监督检查等相关工作。
但随着IT技术的飞速发展，特别是在云计算、移动互联、物联网、工业控制和大数据等新技术、新应用环境下，GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》和GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》在应用过程中遇到了一些新的问题，在适用性、时效性、易用性、可操作性上需要进一步完善。
2017年6月1日颁布实施的《中华人民共和国网络安全法》也要求各网络安全职能部门、各行业和领域的网络安全管理部门等配合落实国家网络安全等级保护制度，需要同时对GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》和GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》进行修订。
为适应我国网络安全等级保护工作发展的需要，进一步与新版的GB/T22239-2019相协调，有必要对GB/T28448-2012进行修订。
2014年，公安部第三研究所（公安部信息安全等级保护评估中心）根据国家标准编号制修订计划，牵头组织了对GB/T28448-2012的修订工作，前后共有20多家单位、70多人参与修订工作。
修订工作历经调查研究、草案形成、征求意见稿、送审稿和报批稿等过程，收到了各行业职能部门、用户、专家的宝贵意见。
2019年，《信息安全技术网络安全等级保护测评要求》（GB/T28448-2019）国家标准正式实施。
本文分析了GB/T28448-2019发生的主要变化，解读其内容修订和等级测评工作变化等主要内容，以便读者更好地了解和掌握GB/T28448-2019的内容标准主要内容变化0.1标准文本结构变化GB/T28448-2019标准文本分为12章，3个附录。
