GBT22239-2019中第三级安全要求与高风险判定对应关系.xlsxVIP

2 3 6 7 14 16 序号 层面 控制点 标准要求 对应条款号 本文件判例 适用范围 1 安全物理_x000D_ 环境 物理访问控制 6.1.1 6.1.2 机房防查措施缺失 6.1.3 机房防火措施缺失 4 电力供应 5 6.1.5 基础设施位置 安全通信_x000D_ 网络 网络架构 6.2.1 8 6.2.2 网络区域划分不当 9 6.2.3 10 6.2.4 11 6.2.5 12 6.2.6 13 通信传输 6.2.7 6.2.8 重要数据明文传输 三级及以上系统 防火 15 边界防护 6.3.1 访问控制 6.3.2 17 人侵防范 6.3.3 18 6.3.4 19 6.3.5 20 安全审计 6.3.6 21 身份鉴别 6.4.1.1 22 6.4.2.1 23 6.4.2.2 24 6.4.2.3 25 6.4.1.2 26 6.4.2.4 27 6.4.1.3 28 6.4.2.5 29 6.4.1.4 30 6.4.2.6 31 6.4.2.7 6.4.3.3 45 6.4.3.2 44 6.4.3.1 43 6.4.1.11 42 6.4.2.11 41 6.4.1.10 40 6.4.1.9 39 6.4.2.10 38 6.4.1.8 37 6.4.1.7 36 6.4.2.9 35 6.4.1.6 34 6.4.2.8 33 6.4.1.5 32 6.6.2 59 6.6.1 58 6.5.3 57 6.5.2 56 6.5.1 55 6.4.3.12 54 6.4.3.11 53 6.4.3.10 52 6.4.3.9 51 6.4.3.8 50 四级系统 6.4.3.7 49 6.4.3.6 48 6.4.3.5 47 6.4.3.4 46 6.9.8 72 6.9.7 71 6.9.6 70 6.9.5 69 6.9.4 68 6.9.3 67 6.9.2 66 6.9.1 65 6.8.3 64 6.8.2 外包软件开发 63 6.8.1 62 6.7.2 61 6.7.1 60 机房应设置火灾自动消防系统，_x000D_能够自动检测火情、自动警_x000D_并自动灭火 应设置机房防盗报警系统成设_x000D_置有专人值守的视频监控系统 机房出人口应配置电子门禁系_x000D_统，控制、鉴别和记录进人的_x000D_人员 二级及以上_x000D_系统 三级及以上_x000D_系统 高可用性的_x000D_四级系统 二级及以上_x000D_云计算平台 高可用性的三_x000D_级及以上系统 级及以上_x000D_系统 三级及以上系统 无线网络管控措施_x000D_缺失 应限制无线网络的使用，保证无_x000D_线网络通过受控的边界设备接_x000D_ 人内部网络 应在网络边界或区域之间根据_x000D_访问控制策略设置访问控制规_x000D_则，默认情况下除允许通信外受_x000D_控接口拒绝所有通信 外部网络攻击防御措_x000D_施缺失 内部网络攻击防御措_x000D_施缺失 恶意代码防范措施_x000D_缺失 网络安全审计措施_x000D_缺失 应用系统口令暴力破_x000D_解防范机制缺失 设备存在弱口令或相_x000D_同口令 应用系统口令策略_x000D_缺失 应对登录的用户进行身份标识_x000D_和鉴别，身份标识具有唯一性_x000D_身份鉴别信息具有复杂度要求_x000D_并定期更换 应在网络边界、重要网络节点进_x000D_行安全审计，审计覆盖到每个用_x000D_户，对重要的用户行为和重要安_x000D_全事件进行审计 应在关键网络节点处对恶意代_x000D_码进行检测和清除，并维护恶意_x000D_代码防护机制的升级和更新 应在关键网络节点处检测、防止或_x000D_限制从内部发起的网络攻击行为 应在关键网络节点处检测、防止或_x000D_限制从外部发起的网络攻击行为 应采用校验技术或密码技术保_x000D_证通信过程中数据的完整性 应提供短期的备用电力供应，至_x000D_少满足设备在断电情况下的正_x000D_常运行要求 应保证云计算基础设施位于中_x000D_国境内 应保证网络设备的业务处理能_x000D_力满足业务高峰期需要 应划分不同的网络区域，并按照_x000D_方便管理和控制的原则为各网_x000D_络区域分配地址 应保证云计算平台不承载高于其_x000D_安全保护等级的业务应用系统 应采用密码技术保证通信过程中数据的保密性 应具有登录失败处理功能，应配_x000D_置并启用结束会话、限制非法登_x000D_录次数和当登录连接超时自动_x000D_退出等相关措施 当进行远程管理时，应采取必要_x000D_措施防止鉴别信息在网络传输_x000D_过程