2024网络护安全等级保二级系统基要求规范本.docx

网络安全等级保护二级系统基本要求规范

目 次

前 言 3

范围 1

规范性引用文件 1

术语和定义 1

缩略语 7

网络安全等级保护概述 7

等级保护对象 7

不同级别的安全保护能力 8

安全通用要求和安全扩展要求 8

增强性安全要求 8

网络安全保障框架 8

概述 8

技术体系 9

管理体系 10

第二级系统安全要求 11

安全通用要求 11

云计算安全扩展要求 22

移动互联安全扩展要求 23

物联网安全扩展要求 25

参考文献 27

3

网络安全等级保护二级系统基本要求规范

依据《金融行业网络安全等级护实施指引第2部分：基本要求》（JR/T0071.2—2020），结合本行实际，制定本标准。

范围

本标准规范了网络安全保障框架和网络安全等级保护二级系统的安全要求，适用于指导本行实施网络安全等级保护工作。

规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。

凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T22239—2019信息安全技术网络安全等级保护基本要求GB/T22240—2020信息安全技术网络安全等级保护定级指南GB/T25070—2019信息安全技术网络安全等级保护安全设计技术要求GB/T31167—2014信息安全技术云计算服务安全指南

GB/T31168—2014信息安全技术云计算服务安全能力要求GB/T32400—2015信息技术云计算概览与词汇GM/T0054—2018信息系统密码应用基本要求JR/T0171—2020个人金融信息保护技术规范

JR/T0071.2—2020金融行业网络安全等级护实施指引第2部分：基本要求

术语和定义

下列术语和定义适用于本文件。

3.1

网络安全cybersecurity

通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳

定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。

3.2

定级系统classifiedsystem

已确定安全保护等级的系统。

注1：定级系统分为第一级、第二级、第三级、第四级和第五级系统。

注2：改写GB/T25070—2019，定义3.2。

3.3

1

安全保护能力securityprotectionability

能够抵御威胁、发现安全事件以及在遭到损害后能够恢复先前状态等的程度。[GB/T22239—2019，定义3.2]

3.4

定级系统安全保护环境securityenvironmentofclassifiedsystem

由安全计算环境、安全区域边界、安全通信网络和（或）安全管理中心构成的对定级系统进行安全保护的环境。

[GB/T25070—2019，定义3.3]

3.5

安全计算环境securitycomputingenvironment

对定级系统的信息进行存储、处理及实施安全策略的相关部件。[GB/T25070—2019，定义3.4]

3.6

安全区域边界securityareaboundary

对定级系统的安全计算环境边界，以及安全计算环境与安全通信网络之间实现连接并实施安全策略的

相关部件。

[GB/T25070—2019，定义3.5]

3.7

安全通信网络securitycommunicationnetwork

对定级系统安全计算环境之间进行信息传输及实施安全策略的相关部件。[GB/T25070—2019，定义3.6]

3.8

安全管理中心securitymanagementcenter

对定级系统的安全策略及安全计算环境、安全区域边界和安全通信网络上的安全机制实施统一管理的

平台或区域。

[GB/T25070—2019，定义3.7]

3.9

跨定级系统安全管理中心securitymanagementcenterforcrossclassifiedsystem

对相同或不同等级的定级系统之间互联的安全策略及安全互联部件上的安全机制实施统一管理的平台或区域。

[GB/T25070—2019，定义3.8]

3.10

定级系统互联classifiedsysteminterconnection

通过安全互联部件和跨定级系统安全管理中心实现的相同或不同等级的定级系统安全保护环境之间的

2

安全连接。

3.11

云计算cloudcomputing

通过网络访问可扩展的、灵活的物理或虚拟共享资源池，并按需自助获取和管理资源的模式。注：资源实例包括服务器、操作系统、网络、软件、应用和存储设备等。