정보 보안 수준 보호의 3 단계 요구 사항
인증 프로세스는 동등한 보증 평가 자격 (관련 부서의 승인) 을 가진 회사가 평가 단위를 등급을 매기고, 평가 후 시정 의견을 제시하고, 평가 단위를 정비하는 과정으로, 평가, 정비, 재평가, 재조정, 최종 달성 및 평가를 통과한 과정이다. 예를 들어, 3 급 등액 보험은 일 년에 한 번 평가해야 한다.
레벨 3 보험의 기술적 요구 사항은 물리적, 네트워크, 호스트, 애플리케이션, 데이터의 다섯 가지 측면을 포함합니다.
물리적 보안 섹션
1, 기계실은 호스트실과 감시구역의 두 부분으로 나뉜다.
2, 기계실에는 전자 출입 통제 시스템, 도난 경보 시스템, 모니터링 시스템이 갖추어져 있어야 합니다.
3. 기계실에는 창문이 없어야 하며, 전용 가스 소화와 ups 전원 공급 시스템을 갖추어야 한다.
네트워크 보안 섹션
1, 현재 작업과 일치하는 토폴로지를 그려야 합니다.
2, 스위치, 방화벽 등의 디바이스 구성은 Vlan 조닝 (zoning) 및 각 Vlan 의 논리적 격리, Qos 흐름 제어 정책, 액세스 제어 정책, 중요한 네트워크 디바이스, 서버의 IP/MAC 바인딩 등의 요구 사항을 충족해야 합니다.
3, 네트워크 감사 장비, 침입 탐지 또는 방어 장비를 갖추어야 합니다.
4. 스위치 및 방화벽 인증 메커니즘은 사용자 이름 및 암호 복잡성 정책, 로그인 액세스 실패 처리 메커니즘, 사용자 역할 및 권한 제어 등 동일한 보안 요구 사항을 충족해야 합니다.
5. 네트워크 링크, 핵심 네트워크 장치 및 보안 장치에는 중복 설계가 필요합니다.
호스트 보안 섹션
1. 서버의 자체 구성은 인증 메커니즘, 액세스 제어 메커니즘, 보안 감사 메커니즘, 안티바이러스 등 요구 사항을 충족해야 합니다. 필요한 경우 타사 호스트 및 데이터베이스 감사 장비를 구입할 수 있습니다.
2. 서버 (응용 프로그램 및 데이터베이스 서버) 는 중복해야 합니다 (예: 이중 시스템 핫 스페어 또는 클러스터 배치 필요).
3. 서버와 중요한 네트워크 장치는 온라인 전에 취약점 검사와 평가가 필요하며, 중급 이상의 취약점 (예: windows 시스템 취약점, Apache 등 미들웨어 취약점, 데이터베이스 소프트웨어 취약점, 기타 시스템 소프트웨어 및 포트 취약점 등) 은 없어야 합니다. );
4, 호스트, 데이터베이스 감사 로그를 저장하기 위해 전용 로그 서버를 갖추어야 합니다.
보안 섹션 적용
1, 애플리케이션 자체의 기능은 인증 메커니즘, 감사 로그, 통신, 스토리지 암호화 등 동등한 보안 요구 사항을 충족해야 합니다.
응용 프로그램 부서는 웹 페이지 변조 방지 장비 배치를 고려해야합니다.
3. 응용 프로그램 보안 평가 (응용 보안 검사, 침투 테스트 및 위험 평가 포함) 에는 중간 및 고급 위험 이상의 취약점 (예: SQL 주입, 사이트 간 스크립팅, 웹 사이트 말 걸기, 웹 페이지 변조, 민감한 정보 유출, 약한 비밀번호 및 비밀번호 추측, 관리 백그라운드 취약성) 이 없어야 합니다.
4. 애플리케이션 시스템에서 생성한 로그는 전용 로그 서버에 저장해야 합니다.
데이터 보안 백업
1. 매일 로컬 백업을 수행하고 오프사이트에 저장하는 데이터의 로컬 백업 메커니즘을 제공해야 합니다.
2. 시스템에 핵심 중요 데이터가 있는 경우, 백업을 위해 네트워크를 통해 원격 사이트로 데이터를 전송하는 원격 데이터 백업 기능을 제공해야 합니다.
법적 근거
정보 보안 수준 보호 관리 방법
제 3 조 정보 시스템 보안 등급은 정보 및 정보 시스템이 국가 안보, 경제 건설 및 사회 생활에서 얼마나 중요한지에 따라 정보 및 정보 시스템이 파괴된 후 국가 안보, 사회 질서, 공익 및 시민, 법인 및 기타 조직의 합법적 권익에 미치는 피해 정도와 정보 및 정보 시스템이 달성해야 하는 기본 보안 수준에 따라 결정되어야 합니다.
제 4 조 정보 시스템의 보안 수준은 다음 5 단계로 나뉜다.
(1) 첫 번째 수준은 일반 정보 시스템에 적용되는 자체 보호 수준입니다. 손해를 입게 되면 시민, 법인 및 기타 단체의 합법적인 권익은 손상될 수 있지만 국가 안보, 사회질서 및 공익은 해를 끼치지 않는다.
(2) 2 급은 부팅 보호 수준이며 일반 정보 시스템에 적용됩니다. 파손되면 사회질서와 공익에 약간의 손해를 입힐 수 있지만 국가 안보를 위태롭게 하지는 않는다.
(3) 3 급은 규제 보호급으로 국가 안보, 사회질서, 공익과 관련된 중요한 정보 시스템에 적용된다. 파괴될 경우 국가 안보, 사회질서, 공익에 손해를 끼칠 수 있다.
(4) 4 급은 강제 보호급으로 국가 안보, 사회질서, 공익과 관련된 중요한 정보 시스템에 적용된다. 파괴될 경우 국가 안보, 사회질서, 공익에 심각한 피해를 입힐 수 있다.
(5) 5 급은 전속통제보호급으로 국가안보, 사회질서, 공익과 관련된 중요한 정보시스템의 핵심 서브시스템에 적용된다. 파괴되면 국가 안보, 사회질서, 공익에 특히 심각한 피해를 입힐 수 있다.