颐卓咨询
颐卓咨询总公司
  • 关注微信
  • 公司总机: 020-38860656
    业务咨询: 134 339 33194
    【颐卓咨询集团】020-38860656专业提供ISO认证咨询、管理咨询、培训辅导服务,集团经过超15年发展及管理沉甸,聚集100余名各行业专业精英咨询团队。颐卓咨询本着"专业诚信,一心为客户提升管理水平"的服务理念,发展成为华南地区规模最大的咨询机构之一!
    有目标、沉住气、踏实干。拒绝喧嚷、拒绝浮躁、拒绝摆秀、拒绝浮名、拒绝速成,慢慢地蓄深养厚,最终把事业搞辉煌,把自己搞平淡。
    真诚沟通,互动双赢

    关于三级等保及相关问题

    来源: 网络
    日期: 2021-04-07
    浏览次数:


    为了提高信息安全保障能力和水平,维护国家安全、社会稳定和公共利益,保障和促进信息化建设,在信息系统建设过程中,运营、使用单位应当按照《计算机信息系统安全保护等级划分准则》(GB17859-1999)、《信息系统安全等级保护基本要求》等技术标准,参照《信息安全技术 信息系统通用安全技术要求》(GB/T20271-2006)、《信息安全技术 网络基础安全技术要求》(GB/T20270-2006)、《信息安全技术 操作系统安全技术要求》(GB/T20272-2006)、《信息安全技术 数据库管理系统安全技术要求》(GB/T20273-2006)、《信息安全技术 服务器技术要求》、《信息安全技术 终端计算机系统安全等级技术要求》(GA/T671-2006)等技术标准同步建设符合该等级要求的信息安全设施。

    1.如何去判断和定义自己的网络分级?

    信息系统的安全保护等级分为以下五级:

    第一级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益造成损害,但不损害国家安全、社会秩序和公共利益。

    第二级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益产生严重损害,或者对社会秩序和公共利益造成损害,但不损害国家安全,比如一些企业的门户网站,中小企业的一些对外办公网站等等。

    第三级,信息系统受到破坏后,会对社会秩序和公共利益造成严重损害,或者对国家安全造成损害,如果涉及到科研成果,社会,国家等方面的系统。比如铁路网站,医保,社保等系统。

    第四级,信息系统受到破坏后,会对社会秩序和公共利益造成特别严重损害,或者对国家安全造成严重损害。

    第五级,信息系统受到破坏后,会对国家安全造成特别严重损害。

    2.信息安全等级保护三级的认证流程有哪些?

    认证流程是具有等保测评资质的公司(经过相关部门认可的)对要进行等保测评的单位进行定级并测评,测评后提出整改意见并对被测评单位进行整改,就是一个测评整改再测评再整改的过程,最终达到并通过测评,例如等保三级需要每年测评一次。

    3.如何有效的利用等保分级来构建自己的安全网络环境?

    等保分级是为规范信息安全等级保护管理,提高信息安全保障能力和水平,维护国家安全、社会稳定和公共利益,保障和促进信息化建设的,依据等保分级的具体要求来对现有的网络进行调整,可以保障网络环境的安全,网络安全了数据才能安全。

    4.关于三级等保的技术要求

    技术要求,包括物理、网络、主机、应用、数据5个方面:

    物理安全部分

    1、机房应区域划分至少分为主机房和监控区两个部分;

    2、机房应配备电子门禁系统、防盗报警系统、监控系统;

    3、机房不应该有窗户,应配备专用的气体灭火、ups供电系统;

    网络安全部分

    1、应绘制与当前运行情况相符合的拓扑图;

    2、交换机、防火墙等设备配置应符合要求,例如应进行Vlan划分并各Vlan逻辑隔离,应配置Qos流量控制策略,应配备访问控制策略,重要网络设备和服务器应进行IP/MAC绑定等;

    3、应配备网络审计设备、入侵检测或防御设备。

    4、交换机和防火墙的身份鉴别机制要满足等保要求,例如用户名密码复杂度策略,登录访问失败处理机制、用户角色和权限控制等;

    5、网络链路、核心网络设备和安全设备,需要提供冗余性设计。

    主机安全部分

    1、服务器的自身配置应符合要求,例如身份鉴别机制、访问控制机制、安全审计机制、防病毒等,必要时可购买第三方的主机和数据库审计设备;

    2、服务器(应用和数据库服务器)应具有冗余性,例如需要双机热备或集群部署等;

    3、服务器和重要网络设备需要在上线前进行漏洞扫描评估,不应有中高级别以上的漏洞(例如windows系统漏洞、apache等中间件漏洞、数据库软件漏洞、其他系统软件及端口漏洞等);

    4、 应配备专用的日志服务器保存主机、数据库的审计日志。

    应用安全部分

    1、应用自身的功能应符合等保要求,例如身份鉴别机制、审计日志、通信和存储加密等;

    2、应用处应考虑部署网页防篡改设备;

    3、应用的安全评估(包括应用安全扫描、渗透测试及风险评估),应不存在中高级风险以上的漏洞(例如SQL注入、跨站脚本、网站挂马、网页篡改、敏感信息泄露、弱口令和口令猜测、管理后台漏洞等);

    4、应用系统产生的日志应保存至专用的日志服务器。

    数据安全备份

    1、应提供数据的本地备份机制,每天备份至本地,且场外存放;

    2、如系统中存在核心关键数据,应提供异地数据备份功能,通过网络等将数据传输至异地进行备份;

    管理制度要求,应包括以下5方面的制度和记录:

    1、安全管理制度

    2、安全管理机构

    3、人员安全管理

    4、系统建设管理

    5、系统运维管理


    公司地址:中国 · 广州市番禺区兴南大道421号南村壹号大厦608室

    热线电话:020-38860656

    体系认证:13822209696

    课程培训:020-38860656

    公司邮箱:1197097228@qq.com

    版权所有:www.chinakec.com广州市颐卓企业管理咨询有限公司
    地址:广州市番禺区南村镇兴南大道421号南村壹号大厦608室
    X
    3

    SKYPE 设置

    4

    阿里旺旺设置

    5

    电话号码管理

    • 020-38860656
    6

    二维码管理

    展开