a)應指定專門的部門或人員負責機房安全，對機房出入進行管理，定期對機房供配電、空調、溫濕度控制、消防等設施進行維護管理；
b)應建立機房安全管理制度，對有關物理訪問、物品進出和環境安全等方面的管理作出規定；
c)應不在重要區域接待來訪人員，不隨意放置含有敏感資訊的紙檔檔案和移動介質等。
a)應編制並儲存與保護物件相關的資產清單，包括資產責任部門、重要程度和所處位置等內容；
b)應根據資產的重要程度對資產進行標識管理，根據資產的價值選擇相應的管理措施；
c)應對資訊分類與標識方法作出規定，並對資訊的使用、傳輸和儲存等進行規範化管理。
a)應將介質存放在安全的環境中，對各類介質進行控制和保護，實行儲存介質專人管理，並根據存檔介質的目錄清單定期盤點；
b)應對介質在物理傳輸過程中的人員選擇、打包、交付等情況進行控制， 並對介質的歸檔和查詢等進行登記記錄。
a)應對各種裝置（包括備份和冗餘裝置）、線路等指定專門的部門或人員定期進行維護管理；
b)應建立配套設施、軟硬體維護方面的管理制度，對其維護進行有效管理， 包括明確維護人員的責任、維修和服務的審批、維修過程的監督控制等；
c)資訊處理裝置必須經過審批才能帶離機房或辦公地點，含有儲存介質的裝置帶出工作環境時其中重要資料必須加密；
d)含有儲存介質的裝置在報廢或重用前，應進行完全清除或被安全覆蓋， 保證該裝置上的敏感資料和授權軟體無法被恢復重用。
a)應採取必要的措施識別安全漏洞和隱患，對發現的安全漏洞和隱患及時進行修補或評估可能的影響後進行修補；
b)應定期開展安全測評，形成安全測評報告，採取措施應對發現的安全問題。
a)應劃分不同的管理員角色進行網路和系統的運維管理，明確各個角色的責任和許可權；
b)應指定專門的部門或人員進行賬戶管理，對申請賬戶、建立賬戶、刪除賬戶等進行控制；
c)應建立網路和系統安全管理制度，對安全策略、賬戶管理、配置管理、日誌管理、日常操作、公升級與打補丁、口令更新週期等方面作出規定；
d)應制定重要裝置的配置和操作手冊，依據手冊對裝置進行安全配置和優化配置等；
e)應詳細記錄運維操作日誌，包括日常巡檢工作、執行維護記錄、引數的設定和修改等內容；
f)應指定專門的部門或人員對日誌、監測和報警資料等進行分析、統計， 及時發現可疑行為；
g)應嚴格控制變更性運維，經過審批後才可改變連線、安裝系統元件或調整配置引數，操作過程中應保留不可更改的審計日誌，操作結束後應同步更新配置資訊庫；
h)應嚴格控制運維工具的使用，經過審批後才可接入進行操作，操作過程中應保留不可更改的審計日誌，操作結束後應刪除工具中的敏感資料；
i)應嚴格控制遠端運維的開通，經過審批後才可開通遠端運維介面或通道， 操作過程中應保留不可更改的審計日誌，操作結束後立即關閉介面或通道；
j)應保證所有與外部的連線均得到授權和批准，應定期檢查違反規定無線上網及其他違反網路安全策略的行為。
a)應提高所有使用者的防惡意**意識，對外來計算機或儲存裝置接入系統前進行惡意**檢查等；
b)應定期驗證防範惡意**攻擊的技術措施的有效性。
a)應記錄和儲存基本配置資訊，包括網路拓撲結構、各個裝置安裝的軟體元件、軟體元件的版本和補丁資訊、各個裝置或軟體元件的配置引數等；
b)應將基本配置資訊改變納入變更範疇，實施對配置資訊改變的控制，並及時更新基本配置資訊庫。
a)應遵循密碼相關的國家標準和行業標準；
b)應使用國家密碼管理主管部門認證核准的密碼技術和產品。
a)應明確變更需求，變更前根據變更需求制定變更方案，變更方案經過評審、審批後方可實施；
b)應建立變更的申報和審批控制程式，依據程式控制所有的變更，記錄變更實施過程；
c)應建立中止變更並從失敗變更中恢復的程式，明確過程控制方法和人員職責，必要時對恢復過程進行演練。
a)應識別需要定期備份的重要業務資訊、系統資料及軟體系統等；
b)應規定備份資訊的備份方式、備份頻度、儲存介質、儲存期等；
c)應根據資料的重要性和資料對系統執行的影響，制定資料的備份策略和恢復策略、備份程式和恢復程式等。
a)應及時向安全管理部門報告所發現的安全弱點和可疑事件；
b)應制定安全事件報告和處置管理制度，明確不同安全事件的報告、處置和響應流程，規定安全事件的現場處理、事件報告和後期恢復的管理職責等；
c)應在安全事件報告和響應處理過程中，分析和鑑定事件產生的原因，收集證據，記錄處理過程，總結經驗教訓；
d)對造成系統中斷和造成資訊洩漏的重大安全事件應採用不同的處理程式和報告程式。
a)應規定統一的應急預案框架，包括啟動預案的條件、應急組織構成、應急資源保障、事後教育和培訓等內容；
b)應制定重要事件的應急預案，包括應急處理流程、系統恢復流程等內容；
c)應定期對系統相關的人員進行應急預案培訓，並進行應急預案的演練；
d)應定期對原有的應急預案重新評估，修訂完善。
a)應確保外包運維服務商的選擇符合國家的有關規定；
b)應與選定的外包運維服務商簽訂相關的協議，明確約定外包運維的範圍、工作內容；
c)應保證選擇的外包運維服務商在技術和管理方面均應具有按照等級保護要求開展安全運維工作的能力，並將能力要求在簽訂的協議中明確；
d)應在與外包運維服務商簽訂的協議中明確所有相關的安全要求，如可能涉及對敏感資訊的訪問、處理、儲存要求，對 it 基礎設施中斷服務的應急保障要求等。
等保測評 安全建設管理（二）
資訊保安等級保護，是對資訊和資訊載體按照重要性等級分級別進行保護的一種工作，在中國 美國等很多國家都存在的一種資訊保安領域的工作。在中國，資訊保安等級保護廣義上為涉及到該工作的標準 產品 系統 資訊等均依據等級保護思想的安全工作 狹義上一般指資訊系統安全等級保護。安全建設管理cms 工程實施 測試驗...
等保測評之安全管理制度
a 應制定網路安全工作的總體方針和安全策略，闡明機構安全工作的總體目標 範圍 原則和安全框架等。a 應對安全管理活動中的各類管理內容建立安全管理制度 b 應對管理人員或操作人員執行的日常管理操作建立操作規程 c 應形成由安全策略 管理制度 操作規程 記錄表單等構成的全面的安全管理制度體系。a 應指定...
等保測評之安全管理人員
a 應指定或授權專門的部門或人員負責人員錄用 b 應對被錄用人員的身份 安全背景 專業資格或資質等進行審查，對其所具有的技術技能進行考核 c 應與被錄用人員簽署保密協議，與關鍵崗位人員簽署崗位責任協議。a 應及時終止離崗人員的所有訪問許可權，取回各種身份證件 鑰匙 徽章等以及機構提供的軟硬體裝置 b...