等保测评--安全管理制度(三级)V1.0

技术测评要求 （S3A3G3）

等级保护三级技术类测评控制点 （S3A3G3）

类别 序号 测评内容 测评方法 结果记录 符合情况

Y N

物理

安全 物理 位置 的选

择 1. 机房和办公场地应选择在具有防震、防风和防

雨等能力的建筑内。 （G2 ） 访谈，检查。 物理安全负责人， 机房，

办公场地， 机房场地设计 / 验收文档。

2. 机房场地应避免设在建筑物的高层或地下室，

以及用水设备的下层或隔壁。 （ G3）

物理

访问

控制 3. 机房出入口应安排专人值守，控制、鉴别和记

录进入的人员。 （G2 ） 访谈，检查。 物理安全负责人，机房值守

人 员，机房，机房安全管理制度， 值守记录，进入机房的 登记记 录，来访人员进入机房的审批记 录。

4. 需进入机房的来访人员应经过申请和审批流

程，并限制和监控其活动范围。 （ G2）

等级保护三级技术类测评控制点 （S3A3G3）

类别 序号 测评内容 测评方法 结果记录 符合情况

Y N

5. 应对机房划分区域进行管理，区域和区域之间

设置物理隔离装置，在重要区域前设置交付或

安装等过渡区域。 （ G3）

6. 重要区域应配置电子门禁系统，控制、鉴别和

记录进入的人员。 （ G3 ）

防盗 窃和 防破

坏 7. 应将主要设备放置在机房内。 （G2 ）

访谈，检查。 物理安全负责人， 机房维护人员， 资产管理员，机房设施，设备管 理制度文档，通信 线路布线文 档，报警设施的安装测试 / 验收报 告。

8. 应将设备或主要部件进行固定，并设置明显的

不易除去的标记。 （ G2）

9. 应将通信线缆铺设在隐蔽处，可铺设在地下或

管道中。（ G2 ）

等级保护三级技术类测评控制点 （S3A3G3）

类别 序号 测评内容 测评方法 结果记录 符合情况

Y N

10. 应对介质分类标识， 存储在介质库或档案室中。

第1篇

第一章 总则

第一条 为加强信息系统安全保护，根据《中华人民共和国网络安全法》、《信息安全技术 信息系统安全等级保护基本要求》（GB/T 22239-2008）等相关法律法规，结合本单位的实际情况，制定本规章制度。

第二条 本规章制度适用于本单位所有三级信息系统，包括但不限于内部办公系统、业务系统、数据库系统等。

第三条 本规章制度旨在规范信息系统安全管理工作，确保信息系统安全稳定运行，防止信息泄露、破坏、篡改等安全事件的发生。

第四条 本单位应建立健全信息系统安全管理制度，明确安全责任，加强安全防护，提高信息系统安全防护能力。

第二章 组织机构与职责

第五条 成立信息系统安全保护工作领导小组，负责组织、协调、监督本单位信息系统安全保护工作。

第六条 信息安全管理部门负责信息系统安全保护的日常管理工作，具体职责如下：

1. 负责制定和实施信息系统安全保护计划；

2. 负责信息系统安全评估和风险评估；

3. 负责信息系统安全事件的监测、预警、处置和报告；

4. 负责信息系统安全培训和宣传教育；

5. 负责信息系统安全设备的采购、配置和维护；

6. 负责信息系统安全日志的记录、分析和报告。

第七条 各部门应指定信息系统安全管理员，负责本部门信息系统安全保护的日常工作，具体职责如下：

1. 负责本部门信息系统安全评估和风险评估；

2. 负责本部门信息系统安全事件的监测、预警、处置和报告；

3. 负责本部门信息系统安全培训和宣传教育； 4. 负责本部门信息系统安全设备的采购、配置和维护；

5. 负责本部门信息系统安全日志的记录、分析和报告。

第三章 安全管理制度

第八条 信息系统安全等级保护制度

1. 信息系统按照国家信息系统安全等级保护标准进行分类定级；

2. 根据信息系统安全等级保护等级，制定相应的安全防护措施；

3. 定期对信息系统进行安全评估，确保安全防护措施的有效性。

第九条 信息安全管理制度

三级等保复测依据

三级等保复测是指在完成三级等保测评后，需要对已经实施的安全措施、技术措施以及管理制度进行再次评估和测试的过程。其依据主要包括以下几个方面：

1.国家相关标准：在三级等保复测时需要参考《信息系统安全等级保护基本要求》(GB/T 22240-2008)以及其他相关标准，比如《信息系统安全技术要求》(GB/T 22080-2008)等。

2.前期测评报告：三级等保测评中生成的前期测评报告是进行复测的重要依据。该报告包括对系统的核心设备、软件、网络设施、关键数据等进行的评估结果，并提出了相应的安全风险和问题。

3.法规法规定：根据国家有关法规的规定，企业需要按照法律法规要求的安全标准执行，复测依据需要参照相关法规的要求，如《中华人民共和国网络安全法》等。

4.技术标准：在复测依据中需要参考一些相关的技术标准，如密码算法标准、网络安全协议标准等。

5.风险评估结果：复测依据还包括前期测评中的风险评估结果，进行二次评估和测试，重点关注前期评估报告中提到的风险问题，并对已采取的安全措施进行验证。

综上所述，三级等保复测的依据主要包括国家相关标准、前期测评报告、法规要求、技术标准以及风险评估结果等。在进行复测时，需要严格按照这些依据进行评估和验证，以进一步提高信息系统的安全性。

2023等保三级测评标准

2023等保三级测评标准是指中国国家信息安全等级保护测评标准（GB/T 22239-2023）中规定的安全等级评估要求。该标准适用于对政府机关、金融机构、电信运营商等重要信息系统进行安全等级测评。

下面是2023等保三级测评标准的主要内容：

1. 安全管理能力要求：包括组织管理、制度建设、安全策略与目标、安全人员配备等方面，要求被测评单位具备完善的安全管理体系和相关制度。

2. 系统建设要求：包括网络架构设计、系统安全配置、身份认证与访问控制、数据保护、应急响应与恢复等方面，要求被测评系统满足一定的技术要求和安全防护措施。

3. 安全事件管理要求：要求被测评单位建立健全的安全事件管理机制，包括安全事件监测与检测、安全事件响应与处置、安全事件溯源与分析等方面。

4. 安全审计与评估要求：要求被测评单位实施日常安全审计和定期安全评估，包括安全漏洞扫描、风险评估、合规性审计等方面。

5. 安全培训与意识要求：要求被测评单位开展定期的安全培训和教育，提高人员的信息安全意识和技能。

6. 安全保障措施要求：要求被测评单位在物理安全、网络安全、应用安全、数据安全等方面采取一系列的安全保障措施，确保信息系统的整体安全性。

以上是2023等保三级测评标准的主要内容，该标准旨在帮助各类重要信息系统达到一定的安全等级要求，确保信息系统的安全运行和保护。