2024网络护安全等级保二级系统基要求规范本.pdf

网络安全等级保护二级系统

基本要求规范

目  次

前  言3

1范围1

2规范性引用文件1

3术语和定义1

4缩略语7

5网络安全等级保护概述7

5.1等级保护对象7

5.2不同级别的安全保护能力8

5.3安全通用要求和安全扩展要求8

5.4增强性安全要求8

6网络安全保障框架8

6.1概述8

6.2技术体系9

6.3管理体系10

7第二级系统安全要求11

7.1安全通用要求11

7.2云计算安全扩展要求22

7.3移动互联安全扩展要求23

7.4物联网安全扩展要求25

参 考 文 献27

3

网络安全等级保护二级系统基本要求规范

依据《金融行业网络安全等级护实施指引第2部分：基本要求》（JR/T0071.2—2020），结合本行实

际，制定本标准。

1范围

本标准规范了网络安全保障框架和网络安全等级保护二级系统的安全要求，适用于指导本行实施网络

安全等级保护工作。

2规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。

凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T22239—2019信息安全技术网络安全等级保护基本要求

GB/T22240—2020信息安全技术网络安全等级保护定级指南

GB/T25070—2019信息安全技术网络安全等级保护安全设计技术要求

GB/T31167—2014信息安全技术云计算服务安全指南

GB/T31168—2014信息安全技术云计算服务安全能力要求

GB/T32400—2015信息技术云计算概览与词汇

GM/T0054—2018信息系统密码应用基本要求

JR/T0171—2020个人金融信息保护技术规范

JR/T0071.2—2020金融行业网络安全等级护实施指引第2部分：基本要求

3术语和定义

下列术语和定义适用于本文件。

3.1

网络安全cybersecurity

通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳

定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。

3.2

定级系统classifiedsystem

已确定安全保护等级的系统。

注1：定级系统分为第一级、第二级、第三级、第四级和第五级系统。

注2：改写GB/T25070—2019，定义3.2。

3.3

1

安全保护能力securityprotectionability

能够抵御威胁、发现安全事件以及在遭到损害后能够恢复先前状态等的程度。

[GB/T22239—2019，定义3.2]

3.4

定级系统安全保护环境securityenvironmentofclassifiedsystem

由安全计算环境、安全区域边界、安全通信网络和（或）安全管理中心构成的对定级系统进行安全保

护的环境。

[GB/T25070—2019，定义3.3]

3.5

安全计算环境securitycomputingenvironment

对定级系统的信息进行存储、处理及实施安全策略的相关部件。

[GB/T25070—2019，定义3.4]

3.6

安全区域边界securityareaboundary

对定级系统的安全计算环境边界，以及安全计算环境与安全通信网络之间实现连接并实施安全策略的

相关部件。

[GB/T25070—2019，定义3.5]

3.7

安全通信网络securitycomm