2025年信息系统安全等级保护基本要求三级要求.doc

信息系统安全等级保护基本规定

TOC\o1-4\h\z\u1三级基本规定 3

1.1技术规定 3

1.1.1物理安全 3

物理位置的选择（G3） 3

物理访問控制（G3） 3

防盗窃和防破壞（G3） 3

防雷击（G3） 3

防火（G3） 4

防水和防潮（G3） 4

防静電（G3） 4

温湿度控制（G3） 4

電力供应（A3） 4

0電磁防护（S3） 4

1.1.2网络安全 4

构造安全（G3） 4

访問控制（G3） 5

安全审计（G3） 5

边界完整性检查（S3） 5

入侵防备（G3） 5

惡意代码防备（G3） 6

网络设备防护（G3） 6

1.1.3主机安全 6

身份鉴别（S3） 6

访問控制（S3） 6

安全审计（G3） 7

剩余信息保护（S3） 7

入侵防备（G3） 7

惡意代码防备（G3） 7

资源控制（A3） 7

1.1.4应用安全 7

身份鉴别（S3） 8

访問控制（S3） 8

安全审计（G3） 8

剩余信息保护（S3） 8

通信完整性（S3） 8

通信保密性（S3） 8

抗抵赖（G3） 8

软件容錯（A3） 9

资源控制（A3） 9

1.1.5数据安全及备份恢复 9

数据完整性（S3） 9

数据保密性（S3） 9

备份和恢复（A3） 9

1.2管理规定 10

1.2.1安全管理制度 10

管理制度（G3） 10

制定和公布（G3） 10

评审和修订（G3） 10

1.2.2安全管理机构 10

岗位设置（G3） 10

人员配置（G3） 10

授权和审批（G3） 10

沟通和合作（G3） 11

审核和检查（G3） 11

1.2.3人员安全管理 11

人员录取（G3） 11

人员离岗（G3） 11

人员考核（G3） 12

安全意识教育和培训（G3） 12

外部人员访問管理（G3） 12

1.2.4系统建设管理 12

系统定级（G3） 12

安全方案设计（G3） 12

产品采购和使用（G3） 13

自行软件開发（G3） 13

外包软件開发（G3） 13

工程实行（G3） 13

测试验收（G3） 13

系统交付（G3） 14

系统立案（G3） 14

0等级测评（G3） 14

1安全服务商选择（G3） 14

1.2.5系统运维管理 14

环境管理（G3） 14

资产管理（G3） 15

介质管理（G3） 15

设备管理（G3） 15

监控管理和安全管理中心（G3） 16

网络安全管理（G3） 16

系统安全管理（G3） 16

惡意代码防备管理（G3） 16

密码管理（G3） 17

0变更管理（G3） 17

1备份与恢复管理（G3） 17

2安全事件处置（G3） 17

3应急预案管理（G3） 18

第三级安全保护能力：应可以在统一安全方略下防护系统免受来自外部有组织的团体、拥有较為丰富资源的威胁源发起的惡意袭击、较為严重的自然劫难、以及其他相称危害程度的威胁所导致的重要资源损害，可以发現安全漏洞和安全事件，在系统遭到损害後，可以较快恢复绝大部分功能。

1三级基本规定

1.1技术规定

1.1.1物理安全

物理位置的选择（G3）

本项规定包括：

a)机房和办公場地应选择在具有防震、防風和防雨等能力的建筑内；

b)机房場地应防止设在建筑物的高层或地下室，以及用水设备的下层或隔壁。

物理访問控制（G3）

本项规定包括：

a)机房出入口应安排专人值守，控制、鉴别和记录進入的人员；

b)需進入机房的来访人员应通過申請和审批流程，并限制和监控其活動范围；

c)应對机房划分区域進行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等過渡区域；

d)重要区域应配置電子门禁系统，控制、鉴别和记录進入的人员。

防盗窃和防破壞（G3）

本项规定包