GB/T22239—2019中第三级安全要求与本文件判例对应关系；
为方便测评人员在测评过程中使用本文件，表A.1给出了本文件中高风险判例与GB/T22239—2019中第三级安全要求的对应关系。
|
序号 |
层面 |
控制点 |
标准要求 |
本文件判例 |
适用 范围 |
|
1 |
安全物理环境 |
物理访问控制 |
机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员 |
机房出入口访问控制措施缺失 |
二级及以上系统 |
|
2 |
防盗窃和防破坏 |
应设置机房防盗报警系统或设置有专人值守的视频监控系统 |
机房防盗措施缺失 |
三级及以上系统 |
|
|
3 |
防火 |
机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火 |
机房防火措施缺失 |
二级及以上系统 |
|
|
4 |
电力供应 |
应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求 |
机房短期备用电力供应措施缺失 |
二级及以上系统 |
|
|
5 |
应提供应急供电设施 |
机房应急供电措施缺失 |
高可用性的四级系统 |
||
|
6 |
基础设施位置 |
应保证云计算基础设施位于中国境内 |
云计算基础设施物理位置不当 |
二级及以上云计算平台 |
|
|
7 |
安全通信网络 |
网络架构 |
应保证网络设备的业务处理能力满足业务高峰期需要 |
网络设备业务处理能力不足 |
高可用性的三级及以上系统 |
|
8 |
应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址 |
网络区域划分不当 |
二级及以上系统 |
||
|
9 |
应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段 |
网络边界访问控制设备不可控 |
二级及以上系统 |
||
|
10 |
重要网络区域边界访问控制措施缺失 |
二级及以上系统 |
|||
|
11 |
应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性 |
关键线路和设备冗余措施缺失 |
高可用性的三级及以上系统 |
||
|
12 |
应保证云计算平台不承载高于其安全保护等级的业务应用系统 |
云计算平台等级低于承载业务系统等级 |
二级及以上系统 |
||
|
13 |
通信传输 |
应采用校验技术或密码技术保证通信过程中数据的完整性 |
重要数据传输完整性保护措施缺失 |
三级及以上系统 |
|
|
14 |
应采用密码技术保证通信过程中数据的保密性 |
重要数据明文传输 |
三级及以上系统 |
||
|
15 |
安全区域边界 |
边界防护 |
应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络 |
无线网络管控措施缺失 |
三级及以上系统 |
|
16 |
访问控制 |
应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信 |
重要网络区域边界访问控制配置不当 |
二级及以上系统 |
|
|
17 |
入侵防范 |
应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为 |
外部网络攻击防御措施缺失 |
二级及以上系统 |
|
|
18 |
应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为 |
内部网络攻击防御措施缺失 |
三级及以上系统 |
||
|
19 |
恶意代码和垃圾邮件防范 |
应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新 |
恶意代码防范措施缺失 |
二级及以上系统 |
|
|
20 |
安全审计 |
应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计 |
网络安全审计措施缺失 |
二级及以上系统 |
|
|
21 |
安全计算环境 |
身份鉴别 |
应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换 |
设备存在弱口令或相同口令 |
二级及以上系统 |
|
22 |
应用系统口令策略缺失 |
二级及以上系统 |
|||
|
23 |
应用系统存在弱口令 |
二级及以上系统 |
|||
|
24 |
应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施 |
应用系统口令*力暴**破解防范机制缺失 |
二级及以上系统 |
||
|
25 |
当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被*听窃** |
设备鉴别信息防*听窃**措施缺失 |
二级及以上系统 |
||
|
26 |
应用系统鉴别信息明文传输 |
二级及以上系统 |
|||
|
27 |
应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现 |
设备未采用多种身份鉴别技术 |
三级及以上系统 |
||
|
28 |
应用系统未采用多种身份鉴别技术 |
三级及以上系统 |
|||
|
29 |
访问控制 |
应重命名或删除默认账户，修改默认账户的默认口令 |
设备默认口令未修改 |
二级及以上系统 |
|
|
30 |
应用系统默认口令未修改 |
二级及以上系统 |
|||
|
31 |
应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则 |
应用系统访问控制机制存在缺陷 |
二级及以上系统 |
||
|
32 |
安全计算环境 |
安全审计 |
应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计 |
设备安全审计措施缺失 |
二级及以上系统 |
|
33 |
应用系统安全审计措施缺失 |
二级及以上系统 |
|||
|
34 |
应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等 |
设备审计记录不满足保护要求 |
二级及以上系统 |
||
|
35 |
应用系统审计记录不满足保护要求 |
二级及以上系统 |
|||
|
36 |
入侵防范 |
应关闭不需要的系统服务、默认共享和高危端口 |
设备开启多余的服务、高危端口 |
二级及以上系统 |
|
|
37 |
应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制 |
设备管理终端限制措施缺失 |
二级及以上系统 |
||
|
38 |
应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求 |
应用系统数据有效性检验功能缺失 |
二级及以上系统 |
||
|
39 |
应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞 |
互联网设备存在已知高危漏洞 |
二级及以上系统 |
||
|
40 |
内网设备存在可被利用的高危漏洞 |
二级及以上系统 |
|||
|
41 |
应用系统存在可被利用的高危漏洞 |
二级及以上系统 |
|||
|
42 |
恶意代码防范 |
应采用主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断 |
恶意代码防范措施缺失 |
二级及以上系统 |
|
|
43 |
数据完整性 |
应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等 |
重要数据传输完整性保护措施缺失 |
三级及以上系统 |
|
|
44 |
数据保密性 |
应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等 |
重要数据明文传输 |
三级及以上系统 |
|
|
45 |
应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等 |
重要数据存储保密性保护措施缺失 |
三级及以上系统 |
||
|
46 |
安全计算环境 |
数据备份恢复 |
应提供重要数据的本地数据备份与恢复功能 |
数据备份措施缺失 |
二级及以上系统 |
|
47 |
应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地 |
异地备份措施缺失 |
三级及以上系统 |
||
|
48 |
应提供重要数据处理系统的热冗余，保证系统的高可用性 |
数据处理系统冗余措施缺失 |
三级及以上系统 |
||
|
49 |
应建立异地灾难备份中心，提供业务应用的实时切换 |
未建立异地灾难备份中心 |
四级系统 |
||
|
50 |
剩余信息保护 |
应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除 |
鉴别信息释放措施失效 |
二级及以上系统 |
|
|
51 |
应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除 |
敏感数据释放措施失效 |
三级及以上系统 |
||
|
52 |
个人信息保护 |
应仅采集和保存业务必需的用户个人信息 |
违规采集和存储个人信息 |
二级及以上系统 |
|
|
53 |
应禁止未授权访问和非法使用用户个人信息 |
违规访问和使用个人信息 |
二级及以上系统 |
||
|
54 |
数据完整性和保密性 |
应确保云服务客户数据、用户个人信息等存储于中国境内，如需出境应遵循国家相关规定 |
云服务客户数据和用户个人信息违规出境 |
二级及以上云计算平台 |
|
|
55 |
安全管理中心 |
集中管控 |
应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测 |
运行监控措施缺失 |
高可用性的三级及以上系统 |
|
56 |
应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求 |
审计记录存储时间不满足要求 |
三级及以上系统 |
||
|
57 |
应能对网络中发生的各类安全事件进行识别、报警和分析 |
安全事件发现处置措施缺失 |
三级及以上系统 |
||
|
58 |
安全管理制度和机构 |
管理制度 |
应对安全管理活动中的各类管理内容建立安全管理制度 |
管理制度缺失 |
二级及以上系统 |
|
59 |
岗位设置 |
应成立指导和管理网络安全工作的委员会或领导小组，其最高领导由单位主管领导担任或授权 |
未建立网络安全领导小组 |
三级及以上系统 |
|
|
60 |
安全管理人员 |
安全意识教育和培训 |
应对各类人员进行安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施 |
未开展安全意识和安全技能培训 |
二级及以上系统 |
|
61 |
外部人员访问管理 |
应在外部人员接入受控网络访问系统前先提出书面申请，批准后由专人开设账户、分配权限，并登记备案 |
外部人员接入网络管理措施缺失 |
二级及以上系统 |
|
|
62 |
安全建设管理 |
产品采购和使用 |
应确保网络安全产品采购和使用符合国家的有关规定 |
违规采购和使用网络安全产品 |
三级及以上系统 |
|
63 |
外包软件开发 |
应保证开发单位提供软件源代码，并审查软件中可能存在的后门和隐蔽信道 |
外包开发代码审计措施缺失 |
三级及以上系统 |
|
|
64 |
测试验收 |
应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用安全性测试相关内容 |
上线前未开展安全测试 |
三级及以上系统 |
|
|
65 |
安全运维管理 |
网络和系统安全管理 |
应严格控制运维工具的使用，经过审批后才可接入进行操作，操作过程中应保留不可更改的审计日志，操作结束后应删除工具中的敏感数据 |
运维工具管控措施缺失 |
三级及以上系统 |
|
66 |
应保证所有与外部的连接均得到授权和批准，应定期检查违反规定无线上网及其他违反网络安全策略的行为 |
设备外联管控措施缺失 |
三级及以上系统 |
||
|
67 |
恶意代码防范管理 |
应提高所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意代码检查等 |
外来接入设备恶意代码检查措施缺失 |
二级及以上系统 |
|
|
68 |
变更管理 |
应明确变更需求，变更前根据变更需求制定变更方案，变更方案经过评审、审批后方可实施 |
变更管理制度缺失 |
二级及以上系统 |
|
|
69 |
备份与恢复管理 |
应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略、备份程序和恢复程序等 |
数据备份策略缺失 |
二级及以上系统 |
|
|
70 |
应急预案管理 |
应制定重要事件的应急预案，包括应急处理流程、系统恢复流程等内容 |
重要事件应急预案缺失 |
二级及以上系统 |
|
|
71 |
应定期对系统相关的人员进行应急预案培训，并进行应急预案的演练 |
未对应急预案进行培训演练 |
三级及以上系统 |
||
|
72 |
云计算环境管理 |
云计算平台的运维地点应位于中国境内，境外对境内云计算平台实施运维操作应遵循国家相关规定 |
云计算平台运维方式不当 |
二级及以上云计算平台 |