等保2.0VS等保1.0（三級）對比

網絡安全等級保護基本規定通用規定技術部分與信息安全等級保護基本規定技術部分結構由本來的五個層面：

物理安全、網絡安全、主機安全、應用安全、數據安全，調整為四個部分：物理和環境安全、網絡和通信安

全、設備和計算安全、應用和數據安全；技術規定“從面到點”提出安全規定，“物理和環境安全”重要對機

房設施提出規定，“網絡和通信安全”重要對網絡整體提出規定，“設備和計算安全”重要對構成節點（涉

及網絡設備、安全設備、操作系統、數據庫、中間件等）提出規定，“應用和數據安全”重要對業務應用和數

據凝出規定。（標粗內容為三級和二級的變化，標紅部門為新標準重要變化）

1二物理和環境安全VS本來物理安全

控制點未原控制點規定項數新控制點規定項數

發生變

化，規定

項數由本

來的32

項調整為

22項。控

制點規定

項數修改

情況如下

圖：

1物理位置的選擇一

物理安全1物理位置的選擇2物理和2

2物理訪問控制4環境安2物理訪問控制1

3防盜竊和防破壞6全3防盜竊和防破壞_3

4防雷擊J34防雷擊2

5防火35防火3

『6防水和防潮]

46防水和防潮3

7防靜電27防靜電2

8溫濕度控制18溫濕度控制1

9電力供應49電力供應3

10電磁防護310電磁防護2

規定項的變化如下：網絡安全等級保護基本規定通用規定一物理和環境

信息安全等級保護基本規定一物理安全（三級）安全（三級）

物a）機房和辦公場地應選擇在具有防震、防風和物a）機房和辦公場地應選擇在具有防震、防風和

理防雨等能力的建筑內；理防雨等能力的建筑內：

位b）機房場地應避免設在建筑物的高層或地下室，位b）機房場地應避免設在建筑物的頂層或地下室，

置以及用水設備的下層或隔壁。置否則應加強防水和防潮措施。

的的

選選

擇擇

物］

a）機房出入口應安排專人值守，控制、鑒別和物a）機房出入口應配置電子門禁系統，控制、鑒

理記錄進入的人員：理別和記錄進入的人員。

訪訪

問b）需進入機房的來訪人員應通過申請和審批流問

控程，并限制和監控其活動范圍；控

制制

C）應對機房劃分區域進行管理，區域和區域之

間設立物理隔離裝置，在重要區域前設立交付

或安裝等過渡區域；

d）重要區域應配置電子門禁系統，控制、鑒別

和記錄進入的人員。

防1

a）應將重要設備放置在機房內：防a）應將設備或重要部件進行固定，并設立明顯

籃b）應將設備或重要部件進行固定，并設立明顯盜的不易除去的標記；

竊的不易除去的標記：竊

和和b）應將通信線纜鋪設在隱蔽處，可鋪設在地下

防c）應將通信線纜鋪設在隱蔽處，可鋪設在地卜.防或管道中；

破或管道中：破

壞壞c）應設立機房防盜報警系統或設立有專人值守

的視頻監控系統。

d）應對介質分類標記，存儲在介質庫或檔案室

中；

e）應運用光、電等技術設立機房防盜報警系

統；

f）應對機房設立監控報警系統。

防］

a）機房建筑應設立避雷裝置：防a）應將各類機柜、設施和設備等通過接地系統

雷雷安全接地；

擊b）應設立防雷保安器，防止感應雷；擊b）應采用措施防止感應雷，例如設立防雷保安

器或過壓保護裝置等。

c）機房應設立交流電源地線。

防］

a）機房應設立火災自動消防系統，可以自動檢防a）機房應設立火災自動消防系統，可以自動檢

火測火情、自動報警，并自動滅火；火測火情、自動報警，并自動滅火；

b）機房及相關的工作房間和輔助房應采用品有b）機房及相關的工作房間和輔助房應采用品有

耐火等級的建筑材料；耐火等級的建筑材料；

c）機房應采用區域隔離防火措施，將重要設備c）應對機房劃分區域進行管理，區域和區域之

與其他設備隔離開。間設立隔離防火措施。

防a）水管安裝，不得穿過機房屋頂和活動地板防a）應采用措施防止雨水通過機房窗戶、屋頂和

水下；水墻壁滲透：

和和

防b）應采用措施防止雨水通過機房窗戶、屋頂和防b）應采用措施防止機房內水蒸氣結露和地下積

潮墻壁滲透；潮水的轉移與滲透；

c）應采用措施防止機房內水蒸氣結露和地下枳c）應安裝對水敏感的檢測儀表或元件，對機房

水的轉移與滲透：進行防水檢測和報警。

d）應安裝對水敏感的檢測儀表或元件，對機房

進行防水檢測和報警。

防a）重要設備應采用必要的接地防靜電措施；防a）應安裝防靜電地板并采用必要的接地防靜電

靜b）機房應采用防岸電地板。靜措施：

電電b）應采用措施防止靜電的產生，例如采用靜電

消除潘、佩戴防靜電手環等。（新增）

溫機房應設立溫、濕度自動調節設施，使機房溫機房應設立溫、濕度自動調節設施，使機房

濕溫、濕度的變化在設備運營所允許的范圍之濕溫、濕度的變化在設備運營所允許的范圍之

度內。度內。

控控

制制

電a）應在機房供電線路上配置穩壓器和過電壓防電a）應在機房供電線路上配置穩壓器和過電壓防

力護設備：力護設備：

供b）應提供短期的備用電力供應，至少滿足重要供b）應提供短期的備用電力供應，至少滿足設備

應設備在斷電情況下的正常運營規定；應在斷電情況下的正常運營規定；

C）應設立冗余或并行的電力電纜線路為計算機c）應設立冗余或并行的電力電纜線路為計算機

系統供電；系統供電；

d）應建立備用供電系統。

電a）應采用接地方式防止外界電磁干擾和設備寄電a電源線和通信線纜應隔離鋪設，避免互相干

磁生耦合干擾：磁擾：

防防

護b）電源線和通信線纜應隔離鋪設，避免互相干護b）應對關鍵設備實行電磁屏蔽。

擾：

c）應對關鍵設備和磁介質實行電磁屏蔽。

12網絡和通信安全VS本來網絡安全

新標準減少了結構安全、邊界完整性檢查、網絡設備防護三個控制點，增長了網絡架構、通信傳輸、邊界防

護、集中管控四個控制點。

原結構安全中部分規定項納入了網絡架構控制點中，原應用安全中通信完整性和保密性的規定項納入了通信傳

輸左制點中，原邊界完整性檢查和訪問控制中部分規定項內容納入了邊界防護控制點中，原網絡設備防護控制

點規定并到設備和計算安全規定中。

規定原控制點規定項數新控制點規定項數

項總

數本

來為

33

項，

調整

為還

是

33

項，

但規

定項

內容

有變

化。

控制

點和

控制

點規

定項

數修

改情

況如

下

圖：

1結構安全一

網絡7網1網絡架構5

安全2訪問控制8絡2通信傳輸2

3安全審計4和3邊界防護4

4邊界完整性檢查2通4訪問控制5

5入侵防范2信5入侵防范4

6惡意代碼防范二

2安6惡意代碼防范2

7網絡設備防護8全7安全審計5

8集中管控6

具體規定項的變化如下表：網絡安全等級保護基本規定通用規定一網絡和通信

信息安全等級保護基本規定-網絡安全（三級）安全（三級）

給a）應保證重要網絡設備的業務解決能力具有冗網a）應保證網絡設備的業務解決能力具有冗余空

構余空間，滿足業務高峰期需要：絡間，滿足業務高峰期需要：

安架

全b）應保證網絡各個部分的帶寬滿足業務高峰期構b）應保證網絡各個部分的帶寬滿足業務高峰期

需要；需要；

C）應在業務終端與業務服務器之間進行路由控C）應劃分不同的網絡區域，并按照方便管理和

制建立安全的訪問途徑；控制的原則為各網絡區域分派地址：

d）應繪制與當前運營情況相符的網絡拓撲結構d）應避免將重要網絡區域部署在網絡邊界處且

圖；沒有邊界防護措施：

e）應根據各部門的工作職能、重要性和所涉及e）應提供通信線路、關鍵網絡設備的硬件冗余,

信息的重要限度等因素，劃分不同的子網或網保證系統的可用性。

段，并按照方便管理和控制的原則為各子網、

網段分派地址段；

f）應避免將重要網段部署在網絡邊界處且直接

連接外部信息系統，重要網段與其他網段之間

采用可靠的技術隔離手段；

g）應按照對業務服務的重要順序來指定帶寬分

派優先級別，保證在網絡發生擁堵的時候優先

保護重要主機。

邊a）應可以對非授權設備私自聯到內部網絡的行通a）應采用校驗碼技術或密碼技術保證通信過程

界為進行檢查，準擬定出位置，并對其進行有效信中數據的完整性；

完阻斷；傳b）應采用密碼技術保證通信過程中敏感信息字

整輸段或整個報文的保密性。

性b）應可以對內部網絡用戶私自聯到外部網絡的

檢行為進行檢查，準擬定出位置，并對其進行有

邊a）應保證跨越邊界的訪問和數據流通過邊界防

查效阻斷。界護設備提供的受控接口進行通信；

防b）應可以對非授權設備私自聯到內部網絡的行

護為進行限制或檢查；

C）應可以對內部用戶非授權聯到外部網絡的行

為進行限制或檢查；

d）應限制無線網絡的使用，保證無線網絡通過

受控的邊界防護設備接入內部網絡。

訪a）應在網絡邊界部署訪問控制設備，啟用訪問訪a）應在網絡邊界或區域之間根據訪問控制策略

問控制功能：問設立訪問控制規則，默認情況下除允許通信外

受控接口拒絕所有通信；

控b）應能根據會話狀態信息為數據流提供明確的控

制允許/拒絕訪問的能力，控制粒度為端口級：制b）應刪除多余或無效的訪問控制規則，優化訪

問控制列表，并保證訪問控制規則數量最小

C）應對進出網絡的信息內容進行過濾，實現相化；

應用層HTTP、FTP、TELNET、SMTP、POP3等協

議命令級的控制；

C）應對源地址、目的地址、源端口、目的端口

和協議等進行檢查，以允許/拒絕數據包進出；

d）應在會話處在非活躍一定期間或會話結束后

終止網絡連接；

e）應限制網絡最大流量數及網絡連接數；d）應能根據會話狀態信息為數據流提供明確的

f）重要網段應采用技術手段防止地址欺騙；允許/拒絕訪問的能力，控制粒度為端口級；

g）應按用戶和系統之間的允許訪問規則，決定

允許或拒絕用戶對受控系統進行資源訪問，控e）應在關鍵網絡節點處對進出網絡的信息內容

制粒度為單個用戶：進行過濾，實現對內容的訪問控制。

h）應限制具有撥號訪問權限的用戶數量。

入a）應在網絡邊界處監視以下襲擊行為：端口掃入a）應在關鍵網絡節點處檢測、防止或限制從外

侵描、強力襲擊、木馬后門襲擊、拒絕服務襲侵部發起的網絡襲擊行為；

防擊、緩沖區溢出襲擊、IP碎片襲擊和網絡蠕蟲防b）應在關鍵網絡節點處檢測、防止或限制從內

范襲擊等：范部發起的網絡襲擊行為；（新增）

b）當檢測到襲擊行為時，記錄襲擊源IP、襲擊

類型、襲擊目的、襲擊時間，在發生嚴重入侵c）應采用技術措施對網絡行為進行分析，實現

事件時應提供報警。對網絡襲擊特別是新型網絡襲擊行為的分析；

（新增）

b）當檢測到襲擊行為時，記錄襲擊源IP、襲擊

類型、襲擊目的、襲擊時間，在發生嚴重入侵

事件時應提供報警。

惡a）應在網絡邊界處對惡意代碼進行檢測和清惡a）應在關鍵網絡節點處對惡意代碼進行檢測和

意除；盡清除，并維護惡意代碼防護機制的升級和更

代代新；

碼碼

防b）應維護惡意代碼庫的升級和檢測系統的更防

范新。范b）應在關鍵網絡節點處對垃圾郵件進行檢測和

防護，并維護垃圾郵件防護機制的升級和更

新。（新增）

安a）應對網絡系統中的網絡設備運營狀況、網絡安a）應在網絡邊界、重要網絡節點進行安全審計，

全流量、用戶行為等進行日記記錄；全審計覆蓋到每個用戶，對重要的用戶行為和重

審審要安全事件進行審計；

計計

b）審計記錄應涉及：事件的日期和時間、用b）審計記錄應涉及：事件的日期和時間、用

戶、事件類型、事件是否成功及其他與審計相戶、事件類型、事件是否成功及其他與審計相

關的信息：關的信息；

C）應可以根據記錄數據進行分析，并生成審計c）應對審計記錄進行保護，定期備份，避免受

報表；到未預期的刪除、修改或覆蓋等；

d）應對審計記錄進行保護，避免受到未預期的d）應保證審計氾錄的留存時間符合法律法規規

刪除、修改或覆蓋等。定；（新增）

e）應能對遠程訪問的用戶行為、訪問互聯網的

用戶行為等單獨進行行為審計和數據分析。（新

增）

無無集a）應劃分出特定的管理區域，對分布在網絡中

中的安全設備或安全組件進行管控；（新增）

管

控b）應可以建立一條安全的信息傳輸途徑，對網

絡中的安全設備或安全組件進行管理；（新增）

c）應對網絡鏈路、安全設備、網絡設備和服務

器等的運營狀況進行集中監測；（新增）

d）應對分散在各個設備上的審計數據進行收集

匯總和集中分析；（新增）

e）應對安全策略、惡意代碼、補丁升級等安全

相關事項進行集中管理；

f）應能對網絡中發生的各類安全事件進行辨

認、報警和分析。（新增）

網a）應對登錄網絡設備的用戶進行身份鑒別；無無

絡b）應對網絡設備的管理員登錄地址進行限制：

設c）網絡設備用戶的標記應唯一；

備d）重要網絡設備應對同一用戶選擇兩種或兩種

防以上組合的鑒別技術來進行身份鑒別；

護e）身份鑒別信息應具有不易被冒用的特點，口

令應有復雜度規定并定期更換；

f）應具有登錄失敗解決功能，可采用結束會

話、限制非法登錄次數和當網絡登錄連接超時

自動退出等措施；

g）當對網絡設備進行遠程管理時，應采用必要

措施防止鑒別信息在網絡傳輸過程中被竊聽；

h）應實現設備特權用戶的權限分離。

13設備和計算安全VS本來主機安全

新標準減少了剩余信息保護一個控制點，在測評對象上，把網絡設備、安全設備也納入了此層面的測評范圍。

規定項由本來的32項調整為26項。

控制點和各控制原控制點規定項數新控制點規定項數

點規定項數修改

情況如下圖：

主機安全1身份鑒別6設備和計算安1身份鑒別4

2訪問控制7全2訪問控制7

3安全審計63安全審計5

4剩余信息保護24入侵防范5

5入侵防范35惡意代碼防范1

6惡意代碼防范3G資源控制4

7資源控制5

具體規定項的變化如下表：網絡安全等級保護基本規定通用規定一設名和計算安

信息安全等級保護基本規定一主機安全（三級）全（三級）

身a）應對登錄操作系統和數據渾系統的用戶進身a）應對登錄的用戶進行身份標記和鑒別，身份標

份行身份標記和鑒別：份記具有唯一性，身份鑒別信息具有復雜度規定并

鑒b）操作系統和數據庫系統管理用戶身份標記鑒定期更換；

另1應具有不易被冒用的特點，口令應有復雜度別

規定并定期更換；b）應具有登錄失敗解決功能，應配置并啟用結束

會話、限制非法登錄次數和當登錄連接超時自動

退出等相關措施：

c）應啟用登錄失敗解決功能，可采用結束會

話、限制非法登錄次數和自動退出等措施；d）當正行遠程管理時，應采用必要措施，防止鑒

別信息在網絡傳輸過程中被竊聽：

d）應采用兩種或兩種以上組合的鑒別技術對用戶

d）當對服務器進行遠程管理時，應采用必要

進行身份鑒別，且其中一種鑒別技術至少應使用

措施，防止鑒別信息在網絡傳輸過程中被竊

動態口令、密碼技術或生物技術來實現。

聽；

d）應采用兩種或兩種以上組合的鑒別技術對用戶

進行身份鑒別，且其中一種鑒別技術至少應使用

應為操作系統和數據庫系統的不同用戶分

動態口令、密碼技術或生物技術來實現。

派不同的用戶名，保證用戶名具有唯一性。

f）應采用兩種或兩種以上組合的鑒別技術對

管理用戶進行身份鑒別。

訪a）應啟用訪問控制功能，依據安全策略控制訪a）應對登錄的用戶分派賬戶和權限：

問用戶對資源的訪問；問b）應由授權主體配置訪問控制策略，訪問控制策

略規定主體對客體的訪問規則；

控b）應根據管理用戶的角色分派權限，實現管控c）應在行角色劃分，并授予管理用戶所需的最小

制理用戶的權限分離，僅授予管理用戶所需的制權限，實現管理用戶的權限分離；

最小權限；b）應重命名或刪除默認賬戶，修改默認賬戶的默

認口令；

C）應實現操作系統和數據庫系統特權用戶的e）應及時刪除或停用多余的、過期的賬戶，避免

權限分離：共享賬戶的存在：

d）應嚴格限制默認帳戶的訪句權限，重命名f）訪問控制的粒度應達成主體為用戶級或進程

系統默認帳戶，修改這些帳戶的默認口令；級，客體為文獻、數據庫表級；

必應對敏感信息資源設立安全標記，并控制主體

e）應及時刪除多余的、過期的帳戶，避免共對有安全標記信息資源的訪問。

享帳戶的存在。g）應對敏感信息資源設立安全標記，并控制主體

對有安全標記信息資源的訪問。

f）應對重要信息資源設立敏感標記；

g）應依據安全策略嚴格控制用戶對有敏感標

記重要信息資源的操作；

安a）審計范圍應覆蓋到服務器和重要客戶端上安a應啟用安全審計功能，審計覆蓋到每個用戶，

全的每個操作系統用尸和數據庫用尸：全對重要的用尸行為和重要安全事件進行審計；

審b）審計內容應涉及重要用戶行為、系統資源審b）審計記錄應涉及事件的日期和時間、用戶、事

計的異常使用和重要系統命令的使用等系統內計件類型、事件是否成功及其他與審計相關的信

重要的安全相關事件：息：

c）審計記錄應涉及事件的日期、時間、類e）應對審計進程進行保護，防止未經授權的中

型、主體標記、客體標記和結果等；斷。

d）應可以根據記錄數據進行分析，并生成審c）應對審計記錄進行保護，定期備份，避免受到

計報表；未預期的刪除、修改或覆蓋等：

d）應保證審計記錄的留存時間符合法律法規規

e）應保護審計進程，避免受到未預期的中定：（新增）

斷；

f）應保護審計記錄，避免受到未預期的刪

除、修改或覆蓋等。

剩a）應保證操作系統和數據庫系統用戶的鑒別

余信息所在的存儲空間，被釋放或再分派給其

信他用戶前得到完全清除，無論這些信息是存

息放在硬盤上還是在內存中；

保

護b）應保證系統內的文獻、目錄和數據庫記錄

等資源所在的存儲空間，被釋放或重新分派

給其他用戶前得到完全清除。

入a）應可以檢測到對重要服務器進行入侵的行入e）應可以檢測到對重要節點進行入侵的行為，并

侵為，可以記錄入侵的源IP、襲擊的類型、襲侵在發生嚴重入侵事件時提供報警。

防擊的目的、襲擊的時間，并在發生嚴重入侵防a）應遵循最小安裝的原則，僅安裝需要的組件和

范事件時提供報警；范應用程序。

b）應關閉不需要的系統服務、默認共享和高危端

b）應可以對重要程序的完整性進行檢測，并口；

在檢測到完整性受到破壞后具有恢復的措c）應通過設定終端接入方式或網絡地址范圍對通

施；過網絡進行管理的管理終端進行限制；

d）應能發現也許存在的漏洞，并在通過充足測試

C）操作系統應遵循最小安裝的原則，僅安裝評估后，及時修補漏洞：

需要的組件和應用程序，并通過設立升級服d）應能發現也許存在的漏洞，并在通過充足測試

務器等方式保持系統補丁及時得到更新。評估后，及時修補漏洞；

惡a）應安裝防惡意代碼軟件，并及時更新防惡應采用免受惡意代碼襲擊的技術措施或可信驗證

意意代碼軟件版本和惡意代碼庫；機制對系統程序、應用程序和重要配置文獻/參

代代數進行可信執行驗證，并在檢測到其完整性受到

碼b）主機防惡意代碼產品應具有與網絡防惡意碼破壞時采用恢復措施。

防代碼產品不同的惡意代碼庫；防

范C）應支持防惡意代碼的統一管理。范

資a）應通過設定終端接入方式、網絡地址范圍資c）應對重要節點進行監視，涉及監視CPU、硬

源等條件限制終端登錄；源盤、內存等資源的使用情況；

控b）應根據安全策略設立登錄終端的操作超時控a）應限制單個用戶或進程對系統資源的最大使用

制鎖定：制限度；

C）應對重要服務器進行監視，涉及監視服務e）應可以對重要節點的服務水平減少到預先規定

器的CPU、硬盤、內存、網絡等資源的使用情的最小值進行檢測和報警。

況；b）應提供重要節點設備的硬件冗余，保證系統的

可用性；

d）應限制單個用戶對系統資源的最大或最小b）應提供重要節點設備的硬件冗余，保證系統的

使用限度；可用性；

e）應可以對系統的服務水平減少到預先規定

的最小值進行檢測和報警。

1.4.應用和數據安全VS本來應用安全+數據安全及備份恢復

新標準將應用安全.數據安全及備份恢復兩個層|切合并成r應用和數據安全一個層面，減少r通信完整性，通

信架密性和抗抵賴三個控制點，增長了個人信息保護控制點。通信完整性和通信保密性的規定納入了網絡和通

信安全層面的通信傳輸控制點。

規定項由本來的39項調整為33項。

控制點和控制點原控制點規定項數新控制點規定項數

規定項數修改情

況如下圖：

應用安全1身份鑒別5應用和數據1身份鑒別5

2訪問控制6安全2訪問控制7

3安全審計43安全審計5

4剩余信息保尹24軟件容錯3

5通信完整性15資源控制2

6通信保密性26數據完整性2

7抗抵賴27數據保密性2

8軟件容錯28數據備份和恢復3

9資源控制79剩余信息保護2

數據安全及備份9數據完整性210個人信息保護2

恢復10數據保密性2

11備份和恢復4

具體規定項的變化如下表：網絡安全等級保護基本規定通用規定一設備和計算安全（三

信息安全等級保護基本規定一主機安全（三級）

級）

身a）應提供專用的登錄控制模塊對登錄身a）應對登錄的用戶進行身份標記和鑒別，身份標記具

份用戶進行身份標記和鑒別：份有唯一性，鑒別信息具有復雜度規定并定期更換：

鑒鑒

另］b）應對同一用戶采用兩種或兩種以上別e）應采用兩種或兩種以上組合的鑒別技術對用戶進行

組合的鑒別技術實現用戶身份鑒別；身份鑒別，且其中一種鑒別技術至少應使用動態口

令、密碼技術或生物技術來實現。

c）應提供用戶身份標記唯一和鑒別信b）應提供并啟用登錄失敗解決功能,多次登錄失敗后

息復雜度檢查功能，保證應用系統中應采用必要的保護措施；

不存在反復用戶身份標記，身份鑒別

信息不易被冒用；

d）應提供登錄失敗解決功能，可采用

結束會話、限制非法登錄次數和自動

退出等措施：

e）應啟用身份鑒別、用戶身份標記唯e）應啟用身份鑒別、用戶身份標記唯一性檢查、用戶

一性檢查、用戶身份鑒別信息復雜度身份鑒別信息復雜度檢查以及登錄失敗解決功能，并

檢杳以及登錄失敗解決功能，并根據根據安全策略配置相關參數。

安全策略配置相關參數。

c）應強制用戶初次登錄時修改初始口令：（新增）

d）用戶身份鑒別信息丟失或失效時，應采用技術措施

保證鑒別信息重置過程的安全；（新增）

訪a）應提供訪問控制功能，依據安全策訪a）應提供訪句控制功能，對登錄的用戶分派賬戶和權

問略控制用戶對文獻、數據庫表等客體問限；

控的訪問；控

制制b）應重命名或刪除默認賬戶，修改默認賬戶的默認口

令；

c）應及時刪除或停用多余的、過期的賬戶，避免共享

b）訪問控制的覆蓋范圍應涉及與資源賬戶的存在；

訪問相關的主體、客體及它們之間的

操作：

c）應由授權主體配置訪問控制策略，e）應由授權主體配置訪問控制策略，訪問控制策略規

并嚴格限制默認帳戶的訪問權限：定主體對客體的訪問規則；

d）應授予不同帳戶為完畢各自承擔任d）應授予不同帳戶為完畢各自承擔任務所需的最小權

務所需的最小權限，并在它們之間形限，并在它們之間形成互相制約的關系。

成互相制約的關系。

f）訪問控制與粒度應達成主體為用戶級，客體為文

獻、數據庫表級、記錄或字段級；

e）應具有對重要信息資源設立敏感標g）應對敏感信息資源設立安全標記，并控制主體對有

記的功能；安全標記信息資源的訪問。

f）應依據安全策略嚴格控制用戶對有

敏感標記重要信息資源的操作；

安a）應提供覆蓋到每個用戶的安全審計安a）應提供安全審計功能，審計覆蓋到每個用戶，對重

全功能，相應用系統重要安全事件進行全要的用戶行為和重要安全事件進行審計：

審審計；審

計計

b）應保證無法單獨中斷審計進程，無e）應對審計進程進行保護，防止未經授權的中斷。

法刪除、修改或覆蓋審計記錄；

d）應保證審計記錄的留存時間符合法律法規規定：

（新增）

c）應對審計記錄進行保護，定期備份，避免受到未預

期的刪除、修改或覆蓋等：

c）審計記錄的內容至少應涉及事件的b）審計記錄應涉及事件的日期和時間、用戶、事件類

日期、時間、發起者信息、類型、描型、事件是否成功及其他與審計相關的信息：

述和結果等；

d）應提供對審計記錄數據進行記錄、

查詢、分析及生成審計報表的功能。

軟a）應提供數據有效性檢行功能，保證軟a）應提供數據有效性檢查功能，保證通過人機接口輸

仔通過人機接口輸入或通過通信接口輸件入或通過通信接口輸入的內容符合系統設定規定；

容入的數據格式或長度符合系統設定規容

錯定；錯

b）應提供自動保護功能，當故障發生b）在故障發生時，應可以繼續提供一部分功能，保證

時自動保護當前所有狀態，保證系統可以實行必要的措施；

可以進行恢復。

c）在故障發生時，應自動保存易失性數據和所有狀態,

保證系統可以進行恢復。（新增）

資a）當應用系統的通信雙方中的一方在資a）當通信雙方中的一方在一段時間內未作任何響應，

源一段時間內未作任何響應，另一方應源另一方應可以自動結束會話；

控可以自動結束會話；控

制制

b）應可以對系統的最大并發會話連接b）應可以對系統的最大并發會話連接數進行限制：

數進行限制；

c）應可以對單個帳戶的多重并發會話c）應可以對單個賬戶的多重并發會話進行限制。

進行限制；

d）應可以對一個時間段內也許的并發

會話連接數進行限制；

e）應可以對一個訪問帳戶或一個請求

進程占用的資源分派最大限額和最小

限額；

f）應可以對系統服務水平減少到預先

規定的最小值進行檢測和報警；

g）應提供服務優先級設定功能，并在

安裝后根據安全策略設定訪問帳戶或

請求進程的優先級，根據優先級分派

系統資源。

剩a）應保證用戶鑒別信息所在的存儲空剩a）應保證鑒別信息所在的存儲空間被釋放或重新分派

余間被釋放或再分派給其他用戶前得到余前得到完全清除；

信完全清除，無論這些信息是存放在硬信

息盤上還是在內存中；息

保保

護b）應保證系統內的文獻、目錄和數據護b）應保證存有敏感數據的存儲空間被釋放或重新分派

庫記錄等資源所在的存儲空間被釋放前得到完全清除。

或重新分派給其他用戶前得到完全清

除。

通應采用密碼技術保證通信過程中數據

信的完整性。

完

整

性

通a）在通信雙方建立連接之前，應用系

信統應運用密碼技術進行會話初始化驗

保證；

密

性b）應對通信過程中的整個報文或會話

過程進行加密。

抗a）應具有在請求的情況下為數據原發

抵者或接受者提供數據原發證據的功

賴能；

b）應具有在請求的情況下為數據原發

者或接受者提供數據接受證據的功

能。

數a）應可以檢測到系統管理數據、鑒別數a）應采用校蛤碼技術或密碼技術保證重要數據在傳輸

據信息利重要業務數據在傳輸過程中完據過程中的完推性，涉及但不限于鑒別數據、重要業務

完整性受