等保要求设计与实施自评内容(二级)

等保要求设计与实施自评内容 （二级）

安全物理环境

控制点 GB/T 22239-2019《基本要求》 通用要求要求项 （标识☆的粗体字为高风险判定项） a)机房场地应选择在具有防震、防风和防雨等能力的建筑内。 技术措施设计与实施要求 1)机房所在建筑物是否具有建筑物抗震设防审批文档； 2)机房是否存在雨水渗漏； 3)机房门窗是否存在因风导致的尘土严重； 4)屋顶、墙体、门窗和地面等是否没有破损开裂。 b)机房场地应避免设在建筑物的顶层或地下室 ，否则应加强防水和防潮措施。 1)机房是否位于所在建筑物的顶层或地下室，如果否，则核查机房是否采取了防水和防潮措施。 序号 1 物理位置选（G） 2 3 4 5 6 7 8 9 10 物理访问控（G） a)机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进入的人1)是否安排专人值守或配置电子门禁系统； 员。（☆） 2)相关记录是否能够控制、鉴别和记录进入的人员。 防盗窃和防破坏 （G） a)应将设备或主要部件进行固定，并设置明显的不易除去的标识。 b)应将通信线缆铺设在隐蔽安全处。 a)机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火 。（☆） b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料 。 a)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。 防水和防（G） b)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透 。 防静电（G） a)应采用防静电地板或地面并采用必要的接地防静电措施 。 湿温度控（G） 1)机房内设备或主要部件是否固定； 2)机房内设备或主要部件上是否设置了明显且不易除去的标识。 1)机房内通信线缆是否铺设在隐蔽安全处，如桥架中等。 1)机房内机柜、设施和设备等是否进行接地处理。 1)机房内是否设置火灾自动消防系统； 2)火灾自动消防系统是否可以自动检测火情、自动报警并自动灭火。 1)机房验收文档是否明确相关建筑材料的耐火等级。 1)窗户、屋顶和墙壁是否采取了防雨水渗透的措施。 1)机房内是否采取了防止水蒸气结露的措施； 2)机房内是否采取了排泄地下积水，防止地下积水渗透的措施。 1)机房内是否安装了防静电地板或地面； 2)机房内是否采用了接地防静电措施。 a)应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围 1)机房内是否配备了专用空调； 之内。 2)机房内温湿度是否在设备运行所允许的范围之内。 a)应在机房供电线路上配置稳压器和过电压防护设备 。 1)供电线路上是否配置了稳压器和过电压防护设备。 防雷击（G） a)应将各类机柜、设施和设备等通过接地系统安全接地。 防火（G） 电力供应（A） b)应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求 。 1)机房是否配备UPS等后备电源系统； （☆） 2)UPS等后备电源系统是否满足设备在断电情况下的正常运行要求。 电磁防护（S） a)电源线和通信线缆应隔离铺设，避免互相干扰。 1)机房内电源线缆和通信线缆是否隔离铺设。

等保要求设计与实施自评内容 （二级）

安全通信网络

序号 1 控制点 网络架构（G） GB/T 22239-2019《基本要求》 通用要求要求项 技术措施设计与实施要求 （标识☆的粗体字为高风险判定项） a)应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地 1)是否依据重要性、部门等因素划分不同的网络区域； 址。（☆） 2)相关网络设备配置信息，验证划分的网络区域是否与划分原则一致。 b)应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采1)网络拓扑图是否与实际网络运行环境一致； 取可靠的技术隔离手段。（☆） 2)重要网络区域是否部署在网络边界处； 3)重要网络区域与其他网络区域之间是否采取可靠的技术隔离手段 ，如网闸、防火墙和设备访问控制列表（ACL）等。 1)是否在数据传输过程中使用校验技术来保护其完整性。 1)是否基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证； 2)当检测到通信设备的可信性受到破坏后是否进行报警； 3)验证结果是否以审计记录的形式送至安全管理中心。 2 3 通信传输（G） a)应采用校验技术保证通信过程中数据的完整性 。 a)可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应可信验证（S） 用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

等保要求设计与实施自评内容 （二级）

安全区域边界

控制点 边界防护（G） GB/T 22239-2019《基本要求》 通用要求要求项 （标识☆的粗体字为高风险判定项） a)应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。 技术措施设计与实施要求 1)在网络边界处是否部署访问控制设备； 2)设备配置信息是否指定端口进行跨越边界的网络通信，指定端口是否配置并启用了安全策略； 序号 1 2 a)应在网络边界或区域之间根据访问控制策略设置访问控制规则 ，默认情况下除1)在网络边界或区域之间是否部署访问控制设备并启用访问控制策略； 允许通信外受控接口拒绝所有通信。（☆） 2)设备的最后一条访问控制策略是否为禁止所有网络通信。 访问控制（G） b)应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规 1)是否不存在多余或无效的访问控制策略； 则数量最小化。 2)不同的访问控制策略之间的逻辑关系及前后排列顺序是否合理。 c)应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝 1)设备的访问控制策略中是否设定了源地址、目的地址、源端口、目的端口和协议等相关配置参数据包进出。 数。 d)应能根据会话状态信息为进出数据流提供明确的允许 /拒绝访问的能力。 1）是否采用会话认证等机制为进出数据流提供明确的允许/拒绝访问的能力。 3 a)应在关键网络节点处监视网络攻击行为 。（☆） 入侵防范（G） 1)是否能够检测到以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等； 2)相关系统或设备的规则库版本是否已经更新到最新版本； 3)相关系统或设备配置信息或安全策略是否能够覆盖网络所有关键节点。 4 5 a)应在关键网络节点处对恶意代码进行检测和清除 ，并维护恶意代码防护机1)在关键网络节点处是否部署防恶意代码产品等技术措施； 恶意代码防范制的升级和更新。（☆） 2)防恶意代码产品运行是否正常，恶意代码库是否已经更新到最新。 （G） a)应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要 1)是否部署了综合安全审计系统或类似功能的系统平台； 的用户行为和重要安全事件进行审计。（☆） 2)安全审计范围是否覆盖到每个用户； 3)是否对重要的用户行为和重要安全事件进行了审计。 安全审计（G） b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他 1)审计记录信息是否包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关与审计相关的信息。 的信息。 c)应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。 1)是否采取了技术措施对审计记录进行保护； 2)是否采取技术措施对审计记录进行定期备份，并核查其备份策略。 6 a)可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防1)是否基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等 可信验证（S） 护应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警 ，并将进行可信验证； 验证结果形成审计记录送至安全管理中心。 2)当检测到边界设备的可信性受到破坏后是否进行报警； 3)验证结果是否以审计记录的形式送至安全管理中心。

等保要求设计与实施自评内容 （二级）

安全管理中心

控制点 GB/T 22239-2019《基本要求》 通用要求要求项 技术措施设计与实施要求 （标识☆的粗体字为高风险判定项） a)应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系 1)是否对系统管理员进行身份鉴别； 统管理操作，并对这些操作进行审计。 2)是否只允许系统管理员通过特定的命令或操作界面进行系统管理操作； 系统管理（G） 3)是否对系统管理的操作进行审计。 b)应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与 恢复等。 a)应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安 全审计操作，并对这些操作进行审计。 1)是否通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户、身份、资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等。 1)是否对审计管理员进行身份鉴别； 2)是否只允许审计管理员通过特定的命令或操作界面进行安全审计操作； 3)是否对审计管理员的操作进行审计。 b)应通过审计管理员对审计记录进行分析 ，并根据分析结果进行处理，包括根 1)是否通过审计管理员对审计记录进行分析 ，并根据分析结果进行处理，包括根据安全审计策据安全审计策略对审计记录进行存储、管理和查询等。 略对审计记录进行存储、管理和查询等。 序号 1 2 审计管理（G）

等保要求设计与实施自评内容 （二级）

安全计算环境

控制点 身份鉴别（S） GB/T 22239-2019《基本要求》 通用要求要求项 技术措施设计与实施要求 （标识☆的粗体字为高风险判定项） a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具1)用户在登录时是否采用了身份鉴别措施； 有复杂度要求并定期更换。（☆） 2)用户列表确认用户身份标识是否具有唯一性； 3)用户配置信息是否存在空口令用户； 4)用户鉴别信息是否具有复杂度要求并定期更换。 b)应具有登录失败处理功能，应配置并启用结束会话、非法登录次数和当 1)是否配置并启用了登录失败处理功能； 登录连接超时自动退出等相关措施。（☆） 2)是否配置并启用了非法登录功能，非法登录达到一定次数后采取特定动作，如账户锁定等； 3)是否配置并启用了登录连接超时及自动退出功能。 c)当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听 。（☆） 1）是否采用加密等安全方式对系统进行远程管理，防止鉴别信息在网络传输过程中被窃听。 1)是否为用户分配了账户和权限及相关设置情况； 2)是否已禁用或匿名、默认账户的访问权限。 b)应重命名或删除默认账户，修改默认账户的默认口令。（☆） c)应及时删除或停用多余的、过期的账户，避免共享账户的存在。 d)应授予管理用户所需的最小权限，实现管理用户的权限分离。 1)是否已经重命名默认账户或默认账户已被删除； 2)是否已修改默认账户的默认口令。 1)是否存在多余或过期账户，管理员用户与账户之间是否一一对应； 1)是否进行角色划分； 2)管理用户的权限是否已进行分离； 3)管理用户权限是否为其工作任务所需的最小权限。 序号 1 2 访问控制（S） a)应对登录的用户分配账户和权限。 3 a)应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全 1)是否提供并开启了安全审计功能； 事件进行审计。（☆） 2)安全审计范围是否覆盖到每个用户； 安全审计（G） 3)是否对重要的用户行为和重要安全事件进行审计。 b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他 与审计相关的信息。 c)应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等 。（☆） 1)审计记录信息是否包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。 1)是否采取了保护措施对审计记录进行保护； 2)是否采取技术措施对审计记录进行定期备份，并核查其备份策略。 1)是否遵循最小安装原则； 2)是否安装非必要的组件和应用程序。 b)应关闭不需要的系统服务、默认共享和高危端口。（☆） 1)是否关闭了非必要的系统服务和默认共享； 2)是否存在非必要的高危端口。 c)应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进 1)配置文件或参数是否对终端接入范围进行。 行。（☆） 4 入侵防范（G） a)应遵循最小安装的原则，仅安装需要的组件和应用程序。

等保要求设计与实施自评内容 （二级）

安全计算环境

控制点 入侵防范（G） GB/T 22239-2019《基本要求》 通用要求要求项 （标识☆的粗体字为高风险判定项） 技术措施设计与实施要求 序号 4 d)应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的 1)系统设计文档的内容是否包括数据有效性检验功能的内容或模块。 内容符合系统设定要求。（☆） e)应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。 1)是否具有经过测试评估及修补已知漏洞的机制和措施； （☆） a)应安装防恶意代码软件或配置具有相应功能的软件 ，并定期进行升级和更1)是否安装了防恶意代码软件或相应功能的软件； 新防恶意代码库。（☆） 2)是否定期进行升级和更新防恶意代码库。 5 6 恶意代码防范（G） a)可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程1)是否基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信可信验证（S） 序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形验证； 成审计记录送至安全管理中心。 2)当检测到计算设备的可信性受到破坏后是否进行报警； 3)验证结果是否以审计记录的形式送至安全管理中心。 数据完整性（S） a)应采用校验技术保证重要数据在传输过程中的完整性。 数据备份恢复（A） a)应提供重要数据的本地数据备份与恢复功能 。（☆） 1)系统设计文档，重要管理数据、重要业务数据在传输过程中是否采用了校验技术或密码技术保证完整性。 1)是否按照备份策略进行本地备份； 2)备份策略设置是否合理、配置是否正确； 3)备份结果是否与备份策略一致； 4)近期恢复测试记录是否能够进行正常的数据恢复。 b)应提供异地数据备份功能，利用通信网络将重要数据定时批量传送至备用场 1)是否提供异地数据备份功能，并通过通信网络将重要配置数据、重要业务数据定时批量传送至地。 备份场地。 a)应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除 。（☆） 1)相关配置信息或系统设计文档，用户的鉴别信息所在的存储空间被释放或重新分配前是否得到完全清除。 a)应仅采集和保存业务必需的用户个人信息 。（☆） 1)采集的用户个人信息是否是业务应用必需的； 2)是否制定了有关用户个人信息保护的管理制度和流程。 b)应禁止未授权访问和非法使用用户个人信息 。（☆） 1)是否采用技术措施对用户个人信息的访问和使用； 2)是否制定了有关用户个人信息保护的管理制度和流程。 7 8 9 10 剩余信息保护（S） 个人信息保护（S）

等保要求设计与实施自评内容（二级）

云计算安全扩展要求

序号 1 2 层面 控制点 GB/T22239-2019《基本要求》通用要求要项 技术措施设计与实施要求 云计算服务器、存储设备、网络设备、云管理平台、信息系统等运行业务和承载数据的软 硬件是否均位于中国境内。 云计算平台安全保护等级是否低于其承载的业务应用系统安全保护等级。 1)云服务客户之间是否采取网络隔离措施； 2)云服务客户之间是否设置并启用网络资源隔离策略； 安全物理 环境 安全通信网络 网络架构 （标识☆的粗体字为高风险判定项） 基础设施位置 a)应保证云计算基础设施位于中国境内。（☆） a)应保证云计算平台不承载高于其安全保护等级的业务应用系统。 （☆） b)应实现不同云服务客户虚拟网络之间的隔离。 3 访问控制 安全区域边界 入侵防范 c)应具有根据云服务客户业务需求提供通信传输、边界防护、入侵 防范等安全机制的能力。 a)应在虚拟化网络边界部署访问控制机制，并设置访问控制规则； 1)云计算平台是否具备为云服务客户提供通信传输、边界防护、入侵防范等安全防护机制 的能力； 1)是否在虚拟化网络边界部署访问控制机制，并设置访问控制规则； 2)云计算平台和云服务客户业务系统虚拟化网络边界访问控制规则和访问控制策略是否有 效； b)应在不同等级的网络区域边界部署访问控制机制，设置访问控制规则。 1)是否在不同等级的网络区域边界部署访问控制机制，设置访问控制规则； 2)不同安全等级网络区域边界的访问控制规则和访问控制策略是否有效。 a)应能检测到云服务客户发起的网络攻击行为，并能记录攻击类型、攻击1)是否采取了入侵防范措施对网络入侵行为进行防范，如部署抗APT攻击系统、网络回溯系时间、攻击流量等； 统和网络入侵保护系统等入侵防范设备或相关组件； 2)抗APT攻击系统、网络入侵保护系统等入侵防范设备或相关组件的规则库升级方式，规 则库是否进行及时更新； b)应能检测到对虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击1)是否部署网络攻击行为检测设备或相关组件对虚拟网络节点的网络攻击行为进行防范，并时间、攻击流量等； 能记录攻击类型、攻击时间、攻击流量等； 2)网络攻击行为检测设备或相关组件的规则库是否为最新； c)应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量； 1)是否具备虚拟机与宿主机之间、虚拟机与虚拟机之间的异常流量的检测功能； 1)云服务商（含第三方运维服务商）和云服务客户在远程管理时执行的远程命令是否 有相关审计记录； 1)是否能够保证云服务商对云服务客户系统和数据的操作（如增、删、改、查等操作）可 被云服务客户审计； 安全审计 a)应对云服务商和云服务客户在远程管理时执行的命令进行审 计，至少包括虚拟机删除、虚拟机重启； b)应保证云服务商对云服务客户系统和数据的操作可被云服务客户 审计。

等保要求设计与实施自评内容（二级）

云计算安全扩展要求

序号 4 层面 控制点 GB/T22239-2019《基本要求》通用要求要项 （标识☆的粗体字为高风险判定项） a)应保证当虚拟机迁移时，访问控制策略随其迁移； b)应允许云服务客户设置不同虚拟机之间的访问控制策略。 技术措施设计与实施要求 1)虚拟机迁移时访问控制策略是否随之迁移； 1)云服务客户是否能够设置不同虚拟机间访问控制策略； 1)是否对生成的虚拟机镜像进行必要的加固措施，如关闭不必要的端口、服务及进行安全 加固配置。 1)是否对快照功能生成的镜像或快照文件进行完整性校验，是否具有严格的校验记录机 制，防止虚拟机镜像或快照被恶意篡改； 1)云服务客户数据、用户个人信息所在的服务器及数据存储设备是否位于中国境内； 1)云服务客户数据管理权限授权流程、授权方式、授权内容； 2)云计算平台是否具有云服务客户数据的管理权限，如果具有，核查是否有相关授权证明。 1)在虚拟资源迁移过程中，是否采取加密、签名等措施保证虚拟资源数据及重要数据的完 整性，并在检测到完整性受到破坏时是否采取必要的恢复措施。 1)是否提供备份措施保证云服务客户可以在本地备份其业务数据。 1)云服务商是否为云服务客户提供数据及备份存储位置查询的接口或其他技术、管理手段。 1)虚拟机的内存和存储空间回收时，是否得到完全清除； 2)在迁移或删除虚拟机后，数据以及备份数据（如镜像文件、快照文件等）是否已清理。 1)当云服务客户删除业务应用数据时，云存储中所有副本是否被删除 访问控制 镜像和快照保 护 安全计算环境 a)应针对重要业务系统提供加固的操作系统镜像或操作系统安全加 固服务； b)应提供虚拟机镜像、快照完整性校验功能，防止虚拟机镜像被恶 意篡改； a)应确保云服务客户数据、用户个人信息等存储于中国境内，如需 出境应遵循国家相关规定；（☆） 数据完整性和b)应确保只有在云服务客户授权下，云服务商或第三方才具有云服务客户保密性 数据的管理权限； c)应确保虚拟机迁移过程中重要数据的完整性，并在检测到完整性 受到破坏时采取必要的恢复措施； a)云服务客户应在本地保存其业务数据的备份； 数据备份恢复 b)应提供查询云服务客户数据及备份存储位置的能力； a)应保证虚拟机所使用的内存和存储空间回收时得到完全清除； 剩余信息保护 b)云服务客户删除业务应用数据时，云计算平台应将云存储中所有 副本删除。

等保要求设计与实施自评内容 （二级）

移动互联安全扩展要求

序号 1 2 层面 控制点 GB/T 22239-2019《基本要求》 通用要求项 技术措施设计与实施要求 安全物理环境 无线接入点的物理位置 边界防护 访问控制 安全区域边界 入侵防范 （标识☆的粗体字为高风险判定项） a)应为无线接入设备的安装选择合理位置，避免过度覆盖和电磁干扰。 物理位置与无线信号的覆盖范围是否合理； 无线信号是否可以避免电磁干扰。 a)应保证有线网络与无线网络边界之间的访问和数据流通过无线接入网关设备。 有线网络与无线网络边界之间是否部署无线接入网关设备。 a)无线接入设备应开启接入认证功能，并且禁止使用WEP方式进行认证，是否开启接入认证功能，是否使用除WEP方式以外的其它方式进行认证， 密钥长度不小于8如使用口令，长度不小于8位字符。 位。 a)应能够检测到非授权无线接入设备和非授权移动终端的接入行为。 b)应能够检测到针对无线接入设备的网络扫描、DDoS攻击、密钥破解、中间人攻击和欺骗攻击等行为。 c)应能够检测到无线接入设备的SSID广播、WPS等高风险功能的开启状态。 d)应禁用无线接入设备和无线接入网关存在风险的功能，如： SSID广播、WEP认证等。 e)应禁止多个AP使用同一个鉴别密钥。 是否能够检测非授权无线接入设备和移动终端的接入行为。 是否能够对网络扫描、DDoS攻击、密钥破解、中间人攻击和欺骗攻击等行为进行检测；规则库版本是否及时更新。 是否能够检测无线接入设备的SSID广播、WPS等高风险功能的开启状态。 是否关闭了SSID广播、WEP认证等存在风险的功能。 是否分别使用了不同的鉴别密钥。 是否具有选择应用软件安装、运行的功能。 全部移动应用是否由可靠证书签名。 3 a)应具有选择应用软件安装、运行的功能。 安全计算环境 移动应用管控 b)应只允许可靠证书签名的应用软件安装和运行。

等保要求设计与实施自评内容 （二级）

物联网安全扩展要求

序号 1 层面 控制点 GB/T 22239-2019《基本要求》 通用要求项 技术措施设计与实施要求 安全物理环境 感知节点设备b)感知节点设备在工作状态所处物理环境应能正确反映环境状态 （如温湿度传感器不能安装在阳光直射区域）。 物理防护 （标识☆的粗体字为高风险判定项） a)感知节点设备所处的物理环境应不对感知节点设备造成物理破坏，如挤1)感知节点设备所处物理环境的设计或验收文档中是否有感知节点设备所处物理环境具有防压、强振动。 挤压、防强振动等能力的说明，是否与实际情况一致； 2)感知节点设备所处物理环境是否采取了防挤压、防强振动等的防护措施。 1)感知节点设备所处物理环境的设计或验收文档中是否有感知节点设备在工作状态所处物理环境的说明，是否与实际情况一致； 2)感知节点设备在工作状态所处物理环境是否能正确反映环境状态（如温湿度传感器不能安装在阳光直射区域）。 2 接入控制 安全区域边界 入侵防范 a)应保证只有授权的感知节点可以接入。 1)感知节点设备接入机制设计文档是否包括防止非法的感知节点设备接入网络的机制以及身份鉴别机制的描述； 2)边界和感知层网络是否不存在绕过白名单或相关接入控制措施以及身份鉴别机制的方法。 a)应能够与感知节点通信的目标地址，以避免对陌生地址的攻击行为。 1)感知层安全设计文档是否有对感知节点通信目标地址的控制措施说明。 2)感知节点设备是否配置了对感知节点通信目标地址的控制措施，相关参数配置是否符合设计要求。 b)应能够与网关节点通信的目标地址，以避免对陌生地址的攻击行为。 1)感知层安全设计文档是否有对网关节点通信目标地址的控制措施说明。 2)网关节点设备是否配置了对网关节点通信目标地址的控制措施，相关参数配置是否符合设计要求。

等保要求设计与实施自评内容 （二级）

工业控制系统安全扩展要求

序号 层面 控制点 GB/T 22239-2019《基本要求》 通用要求项 （标识☆的粗体字为高风险判定项） 技术措施设计与实施要求 1 安全物理环境 室外控制设备物理防护 网络架构 安全通信网络 通信传输 a)室外控制设备应放置于采用铁板或其他防火材料制作的箱体或装置中并1)室外控制设备是否放置于采用铁板或其他防火材料制作的箱体或装置中并紧固； 紧固；箱体或装置具有透风、散热、防盗、防雨和防火能力等。 2)室外控制设备箱体或装置是否具有透风、散热、防盗、防雨和防火能力等。 b)室外控制设备放置应远离强电磁干扰、强热源等环境，如无法避免应及1)室外控制设备放置位置是否远离强电磁干扰和热源等环境； 时做好应急处置及检修，保证设备正常运行。 2)室外控制设备是否有应急处置及检修维护记录。 a)工业控制系统与企业其他系统之间应划分为两个区域 ，区域间应采用1)工业控制系统和企业其他系统之间是否部署隔离设备； 技术隔离手段。 2)是否采用了有效的隔离策略实施访问控制； 3)使用无线通信的工业控制系统边界是否采用与企业其他系统隔离强度相同的措施。 b)工业控制系统内部应根据业务特点划分为不同的安全域 ，安全域之间1)工业控制系统内部是否根据业务特点划分了不同的安全域； 应采用技术隔离手段。 2)各安全域之间访问控制设备是否配置了有效的访问控制策略。 c)涉及实时控制和数据传输的工业控制系统，应使用的网络设备组网，在物理层面上实现与其它数据网及外部公共信息网的安全隔离。 涉及实时控制和数据传输的工业控制系统是否在物理层面上组网。 2 a)在工业控制系统内使用广域网进行控制指令或相关数据交换的应采用加工业控制系统中使用广域网传输的控制指令或相关数据是否采用加密认证技术实现身份认密认证技术手段实现身份认证、访问控制和数据加密传输。 证、访问控制和数据加密传输。

等保要求设计与实施自评内容 （二级）

工业控制系统安全扩展要求

序号 层面 控制点 GB/T 22239-2019《基本要求》 通用要求项 （标识☆的粗体字为高风险判定项） 技术措施设计与实施要求 3 安全区域边界 访问控制 a)应在工业控制系统与企业其他系统之间部署访问控制设备 ，配置访问1)在工业控制系统与企业其他系统之间的网络边界是否部署访问控制设备 ，是否配置访问控制策略，禁止任何穿越区域边界的E-Mail、Web、 Telnet、Rlogin、控制策略； FTP等通用网络服务。 2)设备安全策略是否禁止E-Mail、Web、Telnet、Rlogin、FTP等通用网络服务穿越边界。 b)应在工业控制系统内安全域和安全域之间的边界防护机制失效时，及时1)设备是否可以在策略失效的时候进行告警； 进行报警。 2)是否部署监控预警系统或相关模块，在边界防护机制失效时可及时告警。 拨号设备是否具有拨号访问权限的用户数量 ，拨号服务器和客户端是否使用账户/口令等身份鉴别方式，是否采用控制账户权限等访问控制措施。 拨号使用控制 a)工业控制系统确需使用拨号访问服务的，应具有拨号访问权限的用户数量，并采取用户身份鉴别和访问控制等措施。 a)应对所有参与无线通信的用户（人员、软件进程或者设备）提供唯一性1)无线通信的用户在登录时是否采用了身份鉴别措施； 标识和鉴别。 2)用户身份标识是否具有唯一性。 无线使用控制 b)应对所有参与无线通信的用户（人员、软件进程或者设备）进行授权无线通信过程中是否对用户进行授权，核查具体权限是否合理，核查未授权的使用是否可以以及执行使用进行。 被发现及告警。 4 安全计算环境 a)控制设备自身应实现相应级别安全通用要求提出的身份鉴别 、访问控1)控制设备是否具有身份鉴别、访问控制和安全审计等功能，如控制设备具备上述功能， 制和安全审计等安全要求，如受条件控制设备无法实现上述要求，应则按照通用要求测评； 由其上位控制或管理设备实现同等功能或通过管理手段控制。 2)如控制设备不具备上述功能，则核查是否由其上位控制或管理设备实现同等功能或通过管 理手段控制。 控制设备安全 1)是否有测试报告或测试评估记录； b)应在经过充分测试评估后，在不影响系统安全稳定运行的情况下对控制2)控制设备版本、补丁及固件是否经过充分测试后进行了更新。 设备进行补丁更新、固件更新等工作。