二级基本要求
1.1 技术要求
1.1.1 物理安全
1.1.1.1 选择物理位置（G2）
机房和办公空间应选择在具有防震、防风、防雨能力的建筑物内。
1.1.1.2 物理访问控制（G2）
要求包括：
a) 机房出入口应安排专人值班，控制、识别和记录进入人员；
b)需要进入机房的游客应通过申请和审批程序，限制和监控其活动范围。
1.1.1.3 防盗、防破坏（G2）
要求包括：
a) 机房内应放置主要设备；
b) 固定设备或主要部件，并设置明显不易去除的标志；
c)隐蔽处应铺设通信电缆，可铺设在地下或管道中；
d)介质分类标志应存储在介质库或档案中；
e)必要的防盗报警设施应安装在主机房。
1.1.1.4 防雷击（G2）
要求包括：
a) 机房建筑应设置避雷装置；
b)交流电源地线应设置在机房内。
1.1.1.4 防雷击（G2）
要求包括：a) 机房建筑应设置避雷装置；
b)
交流电源地线应设置在机房内。1.1.1.5 防火（G2）机房应设置灭火设备
火灾自动报警系统。
1.1.1.6 防水和防潮（G2）要求包括：
a)
水管安装不得穿过机房屋顶和活动地板；b) 应采取措施防止雨水渗入机房窗户、屋顶和墙壁；
c)
采取措施防止机房内水蒸气结露和地下积水的转移和渗透。1.1.1.7 防静电（G2）
关键设备应采取必要的接地防静电措施。1.1.1.8 温湿度控制（G2）
机房应设置温湿度自动调节设施，在设备运行允许的范围内，使机房温湿度发生变化。
1.1.1.9 电力供应（A2）
要求包括：a) 稳压器和过压防护设备应配置在机房供电线路上；
b)
应提供短期备用电源，至少满足关键设备断电时的正常运行要求。1.1.1.10 电磁防护（S2）
隔离铺设电源线和通信电缆，避免相互干扰。
1.1.2 网络安全1.1.2.1 结构安全（G2）
要求包括：
a) 关键网络设备的业务处理能力应保证冗余空间，满足业务高峰需求；
b) 接入网络和核心网络的带宽应确保
满足业务高峰期的需求；
c) 应绘制符合当前运行条件的网络拓扑结构图；
d)不同的子网或网段应根据各部门的工作职能、重要性和信息的重要性进行划分，各子网、网段按照管理和控制方便的原则分配地址段。
1.1.2.2 访问控制（G2）要求包括：
a) 访问控制设备应部署在网络边界，启用访问控制功能；b)
应能够根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，并将粒度控制为网段级。c) 根据用户与系统之间的允许访问规则，决定允许或拒绝用户访问控制系统的资源，控制粒度为
单个用户；d)
应限制有拨号访问权限的用户数量。1.1.2.3 安全审计（G2）
要求包括：
a)记录网络设备在网络系统中的运行状态、网络流量和用户行为；
b)
审计记录应包括与审计相关的日期和时间、用户、类型、成功与否等信息。1.1.2.4 边界完整性检查（S2）
内部网络中的内部用户未经允许擅自联系外部网络，应能够检查。1.1.2.5 入侵防范（G2）
以下攻击行为应在网络边界进行监控：端口扫描、强攻、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。
1.1.2.6 网络设备保护（G2）要求包括：
a) 识别登录网络设备的用户；b)
限制网络设备管理员的登录地址；c)
网络设备用户的标识应该是唯一的；d)
身份鉴定信息应具有不易冒用的特点，密码要求复杂，定期更换；e) 具有登录失败处理功能，可采取结束会话、限制非法登录次数、网络登录连接超时自动退出等措施；
f) 远程管理网络设备时，应采取必要措施，防止识别信息在网络传输过程中被窃听。1.1.3 主机安全
1.1.3.1 身份鉴别（S2）要求包括：
a) 识别和识别登录操作系统和数据库系统的用户；b)
管理用户身份识别的操作系统和数据库系统应具有不易冒用的特点，密码要求复杂，定期更换；c)
应用登录失败处理功能，可采取结束会话、限制非法登录次数、自动退出等措施；
d)
远程管理服务器时，应采取必要措施，防止识别信息在网络传输过程中被窃听；e)不同的用户名应分配给操作系统和数据库系统，以确保用户名的独特性。
1.1.3.2 访问控制（S2）
要求包括：
a) 应根据安全策略，启用访问控制功能，控制用户对资源的访问；
b)
操作系统与数据库系统特权用户的权限分离；c) 应限制默认账户的访问权限，重命名系统默认账户，修改这些账户的默认密码；
d) 多余、过期的账户应及时删除，避免共享账户的存在。1.1.3.3 安全审计（G2）
要求包括：a)
审计范围应覆盖服务器上的每个操作系统用户和数据库用户；b)
审计内容应包括系统中重要的安全相关事件，如重要用户行为、系统资源的异常使用和重要系统命令的使用；c)审计记录应包括日期、时间、类型、主体标志、客体标志和事件结果；
d)
审计记录应当保护，避免意外删除、修改或覆盖。1.1.3.4 入侵防范（G2）
操作系统应遵循最小安装的原则，只安装所需的组件和应用程序，通过设置升级服务器及时更新系统补丁。
1.1.3.5 防止恶意代码（G2）
要求包括：
a) 应安装反恶意代码软件，并及时更新反恶意代码软件版本和恶意代码库；b)
应支持反恶意代码软件的统一管理。1.1.3.6 资源控制（A2）
要求包括：a)
终端登录应通过设置终端接入模式和网络地址范围来限制；b)
登录终端的操作应按照安全策略加时锁定；c)
限制单个用户对系统资源的最大或最小使用。1.1.4 应用安全
1.1.4.1 身份鉴别（S2）
要求包括：a) 登录用户身份识别应提供专用登录控制模块；
b)
应提供用户身份识别和识别信息复杂性的唯一检查功能，以确保应用系统中没有重复的用户身份识别，身份识别信息不易被冒用；c) 可采取结束会话、限制非法登录次数、自动退出等措施，提供登录失败处理功能；d) 应用身份识别，
用户身份识别唯一性检查，用户身份识别信息复杂性检查以及登录失败处理功能，并根据安全策略配置相关参数。1.1.4.2 访问控制（S2）
要求包括：
a) 访问控制功能，根据安全策略控制用户访问文件、数据库表等客体；
b)
访问控制的覆盖范围应包括与资源访问相关的主体、对象及其操作；c) 访问控制策略应由授权主体配置，并严格限制默认账户的访问权限；d)
不同完成各自的任务，不同的账户应该获得最小的权限，并形成相互限制的关系。1.1.4.3 安全审计（G2）
要求包括：a)
为每个用户提供安全审计功能，审计应用系统的重要安全事件；b)审计记录不能删除、修改或覆盖；
c)
审计记录的内容至少应包括事件日期、时间、发起人信息、类型、描述和结果。1.1.4.4 通信完整性（S2）
通信过程中数据的完整性应采用校验码技术。1.1.4.5 通信保密性（S2）
要求包括：
a)
应用系统方建立连接之前，应用系统应使用密码技术对会话进行初始验证；b)加密通信过程中的敏感信息字段。
1.1.4.6 软件容错（A2）
要求包括：
a) 通过人机接口或通信接口输入的数据格式或长度应提供数据有效性检验功能；b)
在发生故障时，应用系统应能够继续提供部分功能，以确保必要的措施。1.1.4.7 资源控制（A2）
要求包括：a)
应用系统通信双方中的一方在一段时间内没有回应，另一方应能自动结束会话；b)
限制应用系统的最大并发会话连接数；c)
限制单个账户的多个并发会话。1.1.5 数据安全及备份恢复1.1.5.1 数据完整性（S2）
在传输过程中，应能够检测到识别信息和重要业务数据的完整性。1.1.5 数据安全及备份恢复
1.1.5.1 数据完整性（S2）
在传输过程中，应能够检测到识别信息和重要业务数据的完整性。1.1.5.2 数据保密性（S2）
识别信息的存储保密性应采取加密或其他保护措施。1.1.5.3 备份和恢复（A2）要求包括：
a) 能够备份和恢复重要信息；b)
提供关键网络设备、通信线路和数据处理系统的硬件冗余，以确保系统的可用性。1.2 管理要求
1.2.1 安全管理制度
1.2.1.1 管理制度（G2）
要求包括：a)
制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架；b) 应对
安全管理活动中重要的管理内容建立安全管理制度；
c)
建立安全管理人员或操作人员执行的重要管理操作规程。1.2.1.2 制定和发布（G2）
要求包括：
a) 指定或授权
专门的部门或负责制定安全管理制度；
b)组织有关人员论证审批制定的安全管理制度；
c) 以某种方式向相关人员发布安全管理制度。
1.2.1.3 评审和修订（G2）
安全管理制度应定期审查，存在不足或需要改变 进的
