犐犆犛３５．０４０

犔８０

中華人民共和國國家標準

犌犅／犜２２２３９—２００８

信息安全技術

信息系統安全等級保護基本要求

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犅犪狊犲犾犻狀犲犳狅狉犮犾犪狊狊犻犳犻犲犱狆狉狅狋犲犮狋犻狅狀狅犳犻狀犳狅狉犿犪狋犻狅狀狊狔狊狋犲犿狊犲犮狌狉犻狋狔

２００８０６１９發布２００８１１０１實施

中華人民共和國國家質量監督檢驗檢疫總局

發布

中國國家標準化管理委員會

書

犌犅／犜２２２３９—２００８

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅳ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４信息系統安全等級保護概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４．１信息系統安全保護等級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４．２不同等級的安全保護能力!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４．３基本技術要求和基本管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．４基本技術要求的三種類型!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５第一級基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１．１物理安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１．２網絡安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．３主機安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．４應用安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．５數據安全及備份恢復!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．１安全管理制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．２安全管理機構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．３人員安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．４系統建設管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．２．５系統運維管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６第二級基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．１技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．１．１物理安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．１．２網絡安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．１．３主機安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．１．４應用安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１．５數據安全及備份恢復!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．２管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．２．１安全管理制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．２．２安全管理機構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．２．３人員安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．２．４系統建設管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．２．５系統運維管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７第三級基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．１技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

Ⅰ

書

犌犅／犜２２２３９—２００８

７．１．１物理安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．１．２網絡安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

７．１．３主機安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．１．４應用安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

７．１．５數據安全及備份恢復!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．２管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．２．１安全管理制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．２．２安全管理機構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

７．２．３人員安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．２．４系統建設管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．２．５系統運維管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

８第四級基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

８．１技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

８．１．１物理安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

８．１．２網絡安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

８．１．３主機安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

８．１．４應用安全!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

８．１．５數據安全及備份恢復!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

８．２管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

８．２．１安全管理制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

８．２．２安全管理機構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

８．２．３人員安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

８．２．４系統建設管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３６

８．２．５系統運維管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

９第五級基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

附錄Ａ（規范性附錄）關于信息系統整體安全保護能力的要求!!!!!!!!!!!!!!!４２

附錄Ｂ（規范性附錄）基本安全要求的選擇和使用!!!!!!!!!!!!!!!!!!!!４３

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

Ⅱ

犌犅／犜２２２３９—２００８

前言

本標準的附錄Ａ和附錄Ｂ是規范性附錄。

本標準由公安部和全國信息安全標準化技術委員會提出。

本標準由全國信息安全標準化技術委員會歸口。

本標準起草單位：公安部信息安全等級保護評估中心。

本標準主要起草人：馬力、任衛紅、李明、袁靜、謝朝海、曲潔、李升、陳雪秀、朱建平、黃洪、劉靜、

羅崢、畢馬寧。

Ⅲ

犌犅／犜２２２３９—２００８

引言

依據國家信息安全等級保護管理規定制定本標準。

本標準是信息安全等級保護相關系列標準之一。

與本標準相關的系列標準包括：

———ＧＢ／Ｔ２２２４０—２００８《信息安全技術信息系統安全等級保護定級指南》；

———國家標準《信息安全技術信息系統安全等級保護實施指南》。

本標準與ＧＢ１７８５９—１９９９、ＧＢ／Ｔ２０２６９—２００６、ＧＢ／Ｔ２０２７０—２００６、ＧＢ／Ｔ２０２７１—２００６等標準

共同構成了信息系統安全等級保護的相關配套標準。其中ＧＢ１７８５９—１９９９是基礎性標準，本標準、

ＧＢ／Ｔ２０２６９—２００６、ＧＢ／Ｔ２０２７０—２００６、ＧＢ／Ｔ２０２７１—２００６等是在ＧＢ１７８５９—１９９９基礎上的進一步

細化和擴展。

本標準在ＧＢ１７８５９—１９９９、ＧＢ／Ｔ２０２６９—２００６、ＧＢ／Ｔ２０２７０—２００６、ＧＢ／Ｔ２０２７１—２００６等技術

類標準的基礎上，根據現有技術的發展水平，提出和規定了不同安全保護等級信息系統的最低保護要

求，即基本安全要求，基本安全要求包括基本技術要求和基本管理要求，本標準適用于指導不同安全保

護等級信息系統的安全建設和監督管理。

在本標準文本中，黑體字表示較低等級中沒有出現或增強的要求。

Ⅳ

犌犅／犜２２２３９—２００８

信息安全技術

信息系統安全等級保護基本要求

１范圍

本標準規定了不同安全保護等級信息系統的基本保護要求，包括基本技術要求和基本管理要求，適

用于指導分等級