1.安全物理環境
1.1 物理位置選擇
本項要求包括：
a）機房場地應選擇在具有防震、防風和防雨等能力的建築內；
b）機房場地應避免設在建築物的頂層或地下室，否則應加強防水和防潮措施。
1.2 物理訪問控制
機房出入口應安排專人值守或配置電子門禁系統，控制、鑑別和記錄進入的人員。
1.3 防盜竊和防破壞
a）應將裝置或主要部件進行固定，並設定明顯的不易除去的標識；
b）應將通訊線纜鋪設在隱蔽安全處。
1.4 防雷擊
應將各類機櫃、設施和裝置等透過接地系統安全接地。
1.5 防火
a）機房應設定火災自動消防系統，能夠自動檢測火情、自動報警，並自動滅火；
b）機房及相關的工作房間和輔助房應採用具有耐火等級的建築材料。
1.6 防水和防潮
a）應採取措施防止雨水透過機房窗戶、屋頂和牆壁滲透；
b）應採取措施防止機房內水蒸氣結露和地下積水的轉移與滲透。
1.7 防靜電
應採用防靜電地板或地面並採用必要的接地防靜電措施。
1.8 溫溼度控制
應設定溫溼度自動調節設施，使機房溫溼度的變化在裝置執行所允許的範園之內。
1.9 電力供應
a）應在機房供電線路上配置穩壓器和過電壓防護裝置；
b）應提供短期的備用電力供應，至少滿足裝置在斷電情況下的正常執行要求。
1.10 電磁防護
電源線和通訊線纜應隔離鋪設，避免互相干擾。
2 安全通訊網路
2.1 網路架構
a）應劃分不同的網路區域，並按照方便管理和控制的原則為各網路區域分配地址；
b）應避免將重要 絡區域部署在邊界處，重要網路區域與其他網路區域之間應採取可靠的技術隔離手段。
2.2 通訊傳輸
應採用校驗技術保證通訊過程中資料的完整性。
2.3 可信驗證
可基於可信根對通訊裝置的系統載入程式、系統程式、重要配置引數和通訊應用程式等進行可信驗證，並在檢測到其可信性受到破壞後進行報警，並將驗證結果形成審計記錄送至安全管理中心。
3 安全區域邊界
3.1 邊界防護
應保證跨越邊界的訪問和資料流透過邊界裝置提供的受控介面進行通訊。
3.2 訪問控制
a）應在網路邊界或區域之間根據訪問控制策略設定訪問控制規則，預設情況下除允許通訊外受控介面拒絕所有通訊；
c）應對源地址、目的地址、源埠、目的埠和協議等進行檢查，以允許/拒絕資料包進出；
d）應能根據會話狀態資訊為進出資料流提供明確的允許/拒絕訪問的能力。
3.3 入侵防範
應在關鍵網路節點處監視網路攻擊行為。
3.4 惡意程式碼防範。
應在關鍵網路節點處對惡意程式碼進行檢測和清除，並維護惡意程式碼防護機制的升級和更新。
3.5 安全審計
a）應在網路邊界、重要網路節點進行安全審計，審計覆蓋到每個使用者，對重要的使用者行為和重要安全事件進行審計；
b）審計記錄應包括事件的日期和時間、使用者、事件型別、事件是否成功及其他與審計相關的資訊；
3.6 可信驗證
可基於可信根對邊界裝置的系統載入程式、系統程式、重要配置引數和邊界防護應用程式等進行可信驗證，並在檢測到其可信性受到破壞後進行報警，並將驗證結果形成審計記錄送至安全管理中心。
4 安全計算環境
4.1 身份鑑別
a）應對登入的使用者進行身份標識和鑑別，身份標識具有唯一性，身份鑑別資訊具有複雜度要求並定期更換；
b）應具有登入失敗處理功能，應配置並啟用結束會話、限制非法登入次數和當登入連線超時自動退出等相關措施；
c）當進行遠端管理時，應採取必要措施防止鑑別資訊在網路傳輸過程中被竊聽。
4.2 訪問控制
a）應對登入的使用者分配賬戶和許可權：
d）應授予管理使用者所需的最小許可權，實現管理使用者的許可權分離。
4.3 安全審計
a）應啟用安全審計功能，審計覆蓋到每個使用者，對重要的使用者行為和重要安全事件進行審計；
4.4 入侵防範。
a）應遵循最小安裝的原則，僅安裝需要的元件和應用程式；
b）應關閉不需要的系統服務、預設共享和高危埠；
c）應透過設定終端接入方式或網路地址範圍對透過網路進行管理的管理終端進行限制；
d）應提供資料有效性檢驗功能，保證透過人機介面輸入或透過通訊介面輸入的內容符合系統設定要求；
e）應能發現可能存在的已知漏洞，並在經過充分測試評估後，及時修補漏洞。
4.5 惡意程式碼防範
應安裝防惡意程式碼軟體或配置具有相應功能的軟體，並定期進行升級和更新防惡意程式碼庫。
4.6 可信驗證
可基於可信根對計算裝置的系統載入程式、系統程式、重要配置引數和應用程式等進行可信驗證，並在檢測到其可信性受到破壞後進行報警，並將驗證結果形成審計記錄送至安全管理中心。
4.7 資料完整性
應採用校驗技術保證重要資料在傳輸過程中的完整性。
4.8 資料備份恢復
a）應提供重要資料的本地資料備份與恢復功能；
b）應提供異地資料備份功能，利用通訊網路將重要資料定時批次傳送至備用場地。
4.9 剩餘資訊保護
應保證鑑別資訊所在的儲存空間被釋放或重新分配前得到完全清除。
4.10 個人資訊保護
a）應僅採集和儲存業務必需的使用者個人資訊；
b）應禁止未授權訪問和非法使用使用者個人資訊。
5 安全管理中心
5.1 系統管理
a）應對系統管理員進行身份鑑別，只允許其透過特定的命令或操作介面進行系統管理操作，並對這些操作進行審計；
b）應透過系統管理員對系統的資源和執行進行配置、控制和管理，包括使用者身份、系統資源配置、系統載入和啟動、系統執行的異常處理、資料和裝置的備份與恢復等。
5.2 審計管理
a）應對審計管理員進行身份鑑別，只允許其透過特定的命令或操作介面進行安全審計操作，並對這些操作進行審計；
b）應透過審計管理員對審計記錄進行分析，並根據分析結果進行處理，包括根據安全審計策略對審計記錄進行儲存、管理和查詢等。
6 安全管理制度
6.1 安全策略
應制定網路安全工作的總體方針和安全策略，闡明機構安全工作的總體目標、範圍、原則和安全框架等。
6.2 管理制度
a）應對安全管理活動中的主要管理內容建立安全管理制度；。
b）應對管理人員或操作人員執行的日常管理操作建立操作規程。
6.3 制定和釋出
a）應指定或授權專門的部門或人員負責安全管理制度的制定；
b）安全管理制度應透過正式、有效的方式釋出，並進行版本控制。
6.4 評審和修訂
應定期對安全管理制度的合理性和適用性進行論證和審定，對存在不足或需要改進的安全管理制度進行修訂。
7 安全管理機構
7.1 崗位設定
a）應設立網路安全管理工作的職能部門，設立安全主管、安全管理各個方面的負責人崗位，並定義各負責人的職責；
b）應設立系統管理員、審計管理員和安全管理員等崗位，並定義部門及各個工作崗位的職責。
7.2 人員配備
應配備一定數量的系統管理員、審計管理員和安全管理員等。
7.3 授權和審批
a）應根據各個部門和崗位的職責明確授權審批事項、審批部門和批准人等；
b）應針對系統變更、重要操作。物理訪問和系統接入等事項執行審批過程。
7.4 溝通和合作
a）應加強各類管理人員、組織內部機構和網路安全管理部門之間的合作與溝通，定期召開協調會議，共同協作處理網路安全問題；
b）應加強與網路安全職能部門、各類供應商、業界專家及安全組織的合作與溝通；
c）應建立外聯單位聯絡列表，包括外聯單位名稱、合作內容，聯絡人和聯絡方式等資訊。
7.5 稽核和檢查
應定期進行常規安全檢查，檢查內容包括系統日常執行、系統漏洞和資料備份等情況。
8 安全管理人員
8.1 人員錄用
a）應指定或授權專門的部門或人員負責人員錄用：
b）應對被錄用人員的身份、安全背景、專業資格或資質等進行審查。
8.2 人員離崗
應及時終止離崗人員的所有訪問許可權，取回各種身份證件、鑰匙、微章等以及機構提供的軟硬體裝置。
8.3 安全意識教育和培訓
應對各類人員進行安全意識教育和崗位技能培，並告知相關的安全責任和懲戒措施。
8.4 外部人員訪問管理
a）應在外部人員物理訪問受控區域前先提出書面申請，批准後由專人全程陪同，並登記備案；
b）應在外部人員接入受控網路訪問系統前先提出書面申請，批准後由專人開設賬戶、分配許可權，並登記備案；
c）外部人員離場後應及時清除其所有的訪問許可權。
9 安全建設管理
9.1 定級和備案
a）應以書面的形式說明保護物件的安全保護等級及確定等級的方法和理由；
b）應組織相關部門和有關安全技術專家對定級結果的合理性和正確性進行論證和審定；
c）應保證定級結果經過相關部門的批准；
d）應將備案材料報主管部門和相應公安機關備案。
9.2 安全方案設計
a）應根據安全保護等級選擇基本安全措施，依據風險分析的結果補充和調整安全措施；
b）應根據保護物件的安全保護等級進行安全方案設計；
c）應組織相關部門和有關安全專家對安全方案的合理性和正確性進行論證和審定，經過批准後才能正式實施。
9.3 產品採購和使用
a）應確保網路安全產品採購和使用符合國家的有關規定；
b）應確保密碼產品與服務的採購和使用符合國家密碼管理主管部門的要求。
9.4 自行軟體開發
a）應將開發環境與實際執行環境物理分開，測試資料和測試結果受到控制；
b）應在軟體開發過程中對安全性進行測試，在軟體安裝前對可能存在的惡意程式碼進行檢測。
9.5 外包軟體開發
a）應在軟體交付前檢測其中可能存在的惡意程式碼；
b）應保證開發單位提供軟體設計文件和使用指南。
9.6 工程實施
a）應指定或授權專門的部門或人員負責工程實施過程的管理；
b）應制定安全工程實施方案控制工程實施過程。
9.7 測試驗收
a）應制訂測試驗收方案，並依據測試驗收方案實施測試驗收，形成測試驗收報告；
b）應進行上線前的安全性測試，並出具安全測試報告。
9.8 系統交付
a）應制定交付清單，並根據交付清單對所交接的裝置、軟體和文件等進行清點；
b）應對負責執行維護的技術人員進行相應的技能培訓；
c）應提供建設過程文件和執行維護文件。
9.9 等級測評
a）應定期進行等級測評，發現不符合相應等級保護標準要求的及時整改；
b）應在發生重大變更或級別發生變化時進行等級測評；
c）應確保測評機構的選擇符合國家有關規定。
9.10 服務供應商選擇
a）應確保服務供應商的選擇符合國家的有關規定；
b）應與選定的服務供應商簽訂相關協議，明確整個服務供應鏈各方需履行的網路安全相關義務。
10 安全運維管理
10.1 環境管理
a）應指定專門的部門或人員負責機房安全，對機房出人進行管理，定期對機房供配電、空調、溫溼度控制、消防等設施進行維護管理；
b）應對機房的安全管理做出規定，包括物理訪問、物品進出和環境安全等：
c應不在重要區域接待來訪人員，不隨意放置含有敏感資訊的紙檔檔案和移動介質等。
10.2 資產管理
應編制並儲存與保護物件相關的資產清單，包括資產責任部門、重要程度和所處位置等內容。
10.3 介質管理
a）應將介質存放在安全的環境中，對各類介質進行控制和保護，實行儲存環境專人管理，並根據存檔介質的目錄清單定期盤點；
b）應對介質在物理傳輸過程中的人員選擇、打包、交付等情況進行控制，並對介質的歸檔和查詢等進行登記記錄。
10.4 裝置維護管理
a）應對各種裝置（包括備份和冗餘裝置）、線路等指定專門的部門或人員定期進行維護管理；
b）應對配套設施、 軟硬體維護管理做出規定，包括明確維護人員的責任、維修和服務的審批，維修過程的監督控制等。
10.5 漏洞和風險管理
應採取必要的措施識別安全漏洞和隱患，對發現的安全漏洞和隱患及時進行修補或評估可能的影響後進行修補。
10.6 網路和系統安全管理。
a）應劃分不同的管理員角色進行網路和系統的運維管理，明確各個角色的責任和許可權；
c）應建立網路和系統安全管理制度，對安全策略、賬戶管理、配置管理、日誌管理、日常操作、升級與打補丁、口令更新週期等方面作出規定；
d）應制定重要裝置的配置和操作手冊，依據手冊對裝置進行安全配置和最佳化配置等；
e）應詳細記錄運維操作日誌，包括日常巡檢工作、執行維護記錄、引數的設定和修改等內容。
10.7 惡意程式碼防範管理
a）應提高所有使用者的防惡意程式碼意識，對外來計算機或儲存裝置接人系統前進行惡意程式碼檢查等；
b）應對惡意程式碼防範要求做出規定，包括防惡意程式碼軟體的授權使用、惡意程式碼庫升級、惡意程式碼的定期查殺等；
c）應定期檢查惡意程式碼庫的升級情況，對截獲的惡意程式碼進行及時分析處理。
10.8 配置管理
應記錄和儲存基本配置資訊，包括網路拓撲結構、各個裝置安裝的軟體元件、軟體元件的版本和補丁資訊、各個裝置或軟體元件的配置引數等。
10.9 密碼管理
a）應遵循密碼相關國家標準和行業標準；
b）應使用國家密碼管理主管部門認證核准的密碼技術和產品。
10.10 變更管理
應明確變更需求，變更前根據變更需求制定變更方案，變更方案經過評審、審批後方可實施。
10.11 備份與恢復管理
a）應識別需要定期備份的重要業務資訊、系統資料及軟體系統等；
b）應規定備份資訊的備份方式、備份頻度、儲存介質儲存期等；
c）應根據資料的重要性和資料對系統執行的影響，制定資料的備份策略和恢復策略、備份程式和恢復程式等。
10.12 安全事件處置
a）應及時向安全管理部門報告所發現的安全弱點和可疑事件；
b）應制定安全事件報告和處置管理制度，明確不同安全事件的報告、處置和響應流程，規定安全事件的現場處理、事件報告和後期恢復的管理職責等；
c）應在安全事件報告和響應處理過程中，分析和鑑定事件產生的原因，收集證據，記錄處理過程，總結經驗教訓。
10.13 應急預案管理
a）應制定重要事件的應急預案，包括應急處理流程、系統恢復流程等內容；
b）應定期對系統相關的人員進行應急預案培訓，並進行應急預案的演練。
10.14 外包運維管理
a）應確保外包運維服務商的選擇符合國家的有關規定；
b）應與選定的外包運維服務商簽訂相關的協議，明確約定外包運維的範圍、工作內容。
1.安全物理環境
1.1 物理位置選擇
本項要求包括：
a）機房場地應選擇在具有防震、防風和防雨等能力的建築內；
b）機房場地應避免設在建築物的頂層或地下室，否則應加強防水和防潮措施。
1.2 物理訪問控制
機房出入口應安排專人值守或配置電子門禁系統，控制、鑑別和記錄進入的人員。
1.3 防盜竊和防破壞
本項要求包括：
a）應將裝置或主要部件進行固定，並設定明顯的不易除去的標識；
b）應將通訊線纜鋪設在隱蔽安全處。
1.4 防雷擊
應將各類機櫃、設施和裝置等透過接地系統安全接地。
1.5 防火
本項要求包括：
a）機房應設定火災自動消防系統，能夠自動檢測火情、自動報警，並自動滅火；
b）機房及相關的工作房間和輔助房應採用具有耐火等級的建築材料。
1.6 防水和防潮
本項要求包括：
a）應採取措施防止雨水透過機房窗戶、屋頂和牆壁滲透；
b）應採取措施防止機房內水蒸氣結露和地下積水的轉移與滲透。
1.7 防靜電
應採用防靜電地板或地面並採用必要的接地防靜電措施。
1.8 溫溼度控制
應設定溫溼度自動調節設施，使機房溫溼度的變化在裝置執行所允許的範園之內。
1.9 電力供應
本項要求包括：
a）應在機房供電線路上配置穩壓器和過電壓防護裝置；
b）應提供短期的備用電力供應，至少滿足裝置在斷電情況下的正常執行要求。
1.10 電磁防護
電源線和通訊線纜應隔離鋪設，避免互相干擾。
2 安全通訊網路
2.1 網路架構
本項要求包括：
a）應劃分不同的網路區域，並按照方便管理和控制的原則為各網路區域分配地址；
b）應避免將重要 絡區域部署在邊界處，重要網路區域與其他網路區域之間應採取可靠的技術隔離手段。
2.2 通訊傳輸
應採用校驗技術保證通訊過程中資料的完整性。
2.3 可信驗證
可基於可信根對通訊裝置的系統載入程式、系統程式、重要配置引數和通訊應用程式等進行可信驗證，並在檢測到其可信性受到破壞後進行報警，並將驗證結果形成審計記錄送至安全管理中心。
3 安全區域邊界
3.1 邊界防護
應保證跨越邊界的訪問和資料流透過邊界裝置提供的受控介面進行通訊。
3.2 訪問控制
本項要求包括：
a）應在網路邊界或區域之間根據訪問控制策略設定訪問控制規則，預設情況下除允許通訊外受控介面拒絕所有通訊；
c）應對源地址、目的地址、源埠、目的埠和協議等進行檢查，以允許/拒絕資料包進出；
d）應能根據會話狀態資訊為進出資料流提供明確的允許/拒絕訪問的能力。
3.3 入侵防範
應在關鍵網路節點處監視網路攻擊行為。
3.4 惡意程式碼防範。
應在關鍵網路節點處對惡意程式碼進行檢測和清除，並維護惡意程式碼防護機制的升級和更新。
3.5 安全審計
本項要求包括：
a）應在網路邊界、重要網路節點進行安全審計，審計覆蓋到每個使用者，對重要的使用者行為和重要安全事件進行審計；
b）審計記錄應包括事件的日期和時間、使用者、事件型別、事件是否成功及其他與審計相關的資訊；
3.6 可信驗證
可基於可信根對邊界裝置的系統載入程式、系統程式、重要配置引數和邊界防護應用程式等進行可信驗證，並在檢測到其可信性受到破壞後進行報警，並將驗證結果形成審計記錄送至安全管理中心。
4 安全計算環境
4.1 身份鑑別
本項要求包括：
a）應對登入的使用者進行身份標識和鑑別，身份標識具有唯一性，身份鑑別資訊具有複雜度要求並定期更換；
b）應具有登入失敗處理功能，應配置並啟用結束會話、限制非法登入次數和當登入連線超時自動退出等相關措施；
c）當進行遠端管理時，應採取必要措施防止鑑別資訊在網路傳輸過程中被竊聽。
4.2 訪問控制
本項要求包括：
a）應對登入的使用者分配賬戶和許可權：
d）應授予管理使用者所需的最小許可權，實現管理使用者的許可權分離。
4.3 安全審計
本項要求包括：
a）應啟用安全審計功能，審計覆蓋到每個使用者，對重要的使用者行為和重要安全事件進行審計；
b）審計記錄應包括事件的日期和時間、使用者、事件型別、事件是否成功及其他與審計相關的資訊；
4.4 入侵防範。
本項要求包括：
a）應遵循最小安裝的原則，僅安裝需要的元件和應用程式；
b）應關閉不需要的系統服務、預設共享和高危埠；
c）應透過設定終端接入方式或網路地址範圍對透過網路進行管理的管理終端進行限制；
d）應提供資料有效性檢驗功能，保證透過人機介面輸入或透過通訊介面輸入的內容符合系統設定要求；
e）應能發現可能存在的已知漏洞，並在經過充分測試評估後，及時修補漏洞。
4.5 惡意程式碼防範
應安裝防惡意程式碼軟體或配置具有相應功能的軟體，並定期進行升級和更新防惡意程式碼庫。
4.6 可信驗證
可基於可信根對計算裝置的系統載入程式、系統程式、重要配置引數和應用程式等進行可信驗證，並在檢測到其可信性受到破壞後進行報警，並將驗證結果形成審計記錄送至安全管理中心。
4.7 資料完整性
應採用校驗技術保證重要資料在傳輸過程中的完整性。
4.8 資料備份恢復
本項要求包括：
a）應提供重要資料的本地資料備份與恢復功能；
b）應提供異地資料備份功能，利用通訊網路將重要資料定時批次傳送至備用場地。
4.9 剩餘資訊保護
應保證鑑別資訊所在的儲存空間被釋放或重新分配前得到完全清除。
4.10 個人資訊保護
本項要求包括：
a）應僅採集和儲存業務必需的使用者個人資訊；
b）應禁止未授權訪問和非法使用使用者個人資訊。
5 安全管理中心
5.1 系統管理
本項要求包括：
a）應對系統管理員進行身份鑑別，只允許其透過特定的命令或操作介面進行系統管理操作，並對這些操作進行審計；
b）應透過系統管理員對系統的資源和執行進行配置、控制和管理，包括使用者身份、系統資源配置、系統載入和啟動、系統執行的異常處理、資料和裝置的備份與恢復等。
5.2 審計管理
本項要求包括：
a）應對審計管理員進行身份鑑別，只允許其透過特定的命令或操作介面進行安全審計操作，並對這些操作進行審計；
b）應透過審計管理員對審計記錄進行分析，並根據分析結果進行處理，包括根據安全審計策略對審計記錄進行儲存、管理和查詢等。
6 安全管理制度
6.1 安全策略
應制定網路安全工作的總體方針和安全策略，闡明機構安全工作的總體目標、範圍、原則和安全框架等。
6.2 管理制度
本項要求包括：
a）應對安全管理活動中的主要管理內容建立安全管理制度；。
b）應對管理人員或操作人員執行的日常管理操作建立操作規程。
6.3 制定和釋出
本項要求包括：
a）應指定或授權專門的部門或人員負責安全管理制度的制定；
b）安全管理制度應透過正式、有效的方式釋出，並進行版本控制。
6.4 評審和修訂
應定期對安全管理制度的合理性和適用性進行論證和審定，對存在不足或需要改進的安全管理制度進行修訂。
7 安全管理機構
7.1 崗位設定
本項要求包括：
a）應設立網路安全管理工作的職能部門，設立安全主管、安全管理各個方面的負責人崗位，並定義各負責人的職責；
b）應設立系統管理員、審計管理員和安全管理員等崗位，並定義部門及各個工作崗位的職責。
7.2 人員配備
應配備一定數量的系統管理員、審計管理員和安全管理員等。
7.3 授權和審批
本項要求包括：
a）應根據各個部門和崗位的職責明確授權審批事項、審批部門和批准人等；
b）應針對系統變更、重要操作。物理訪問和系統接入等事項執行審批過程。
7.4 溝通和合作
本項要求包括：
a）應加強各類管理人員、組織內部機構和網路安全管理部門之間的合作與溝通，定期召開協調會議，共同協作處理網路安全問題；
b）應加強與網路安全職能部門、各類供應商、業界專家及安全組織的合作與溝通；
c）應建立外聯單位聯絡列表，包括外聯單位名稱、合作內容，聯絡人和聯絡方式等資訊。
7.5 稽核和檢查
應定期進行常規安全檢查，檢查內容包括系統日常執行、系統漏洞和資料備份等情況。
8 安全管理人員
8.1 人員錄用
本項要求包括：
a）應指定或授權專門的部門或人員負責人員錄用：
b）應對被錄用人員的身份、安全背景、專業資格或資質等進行審查。
8.2 人員離崗
應及時終止離崗人員的所有訪問許可權，取回各種身份證件、鑰匙、微章等以及機構提供的軟硬體裝置。
8.3 安全意識教育和培訓
應對各類人員進行安全意識教育和崗位技能培，並告知相關的安全責任和懲戒措施。
8.4 外部人員訪問管理
本項要求包括：
a）應在外部人員物理訪問受控區域前先提出書面申請，批准後由專人全程陪同，並登記備案；
b）應在外部人員接入受控網路訪問系統前先提出書面申請，批准後由專人開設賬戶、分配許可權，並登記備案；
c）外部人員離場後應及時清除其所有的訪問許可權。
9 安全建設管理
9.1 定級和備案
本項要求包括：
a）應以書面的形式說明保護物件的安全保護等級及確定等級的方法和理由；
b）應組織相關部門和有關安全技術專家對定級結果的合理性和正確性進行論證和審定；
c）應保證定級結果經過相關部門的批准；
d）應將備案材料報主管部門和相應公安機關備案。
9.2 安全方案設計
本項要求包括：
a）應根據安全保護等級選擇基本安全措施，依據風險分析的結果補充和調整安全措施；
b）應根據保護物件的安全保護等級進行安全方案設計；
c）應組織相關部門和有關安全專家對安全方案的合理性和正確性進行論證和審定，經過批准後才能正式實施。
9.3 產品採購和使用
本項要求包括：
a）應確保網路安全產品採購和使用符合國家的有關規定；
b）應確保密碼產品與服務的採購和使用符合國家密碼管理主管部門的要求。
9.4 自行軟體開發
本項要求包括：
a）應將開發環境與實際執行環境物理分開，測試資料和測試結果受到控制；
b）應在軟體開發過程中對安全性進行測試，在軟體安裝前對可能存在的惡意程式碼進行檢測。
9.5 外包軟體開發
本項要求包括：
a）應在軟體交付前檢測其中可能存在的惡意程式碼；
b）應保證開發單位提供軟體設計文件和使用指南。
9.6 工程實施
本項要求包括：
a）應指定或授權專門的部門或人員負責工程實施過程的管理；
b）應制定安全工程實施方案控制工程實施過程。
9.7 測試驗收
本項要求包括：
a）應制訂測試驗收方案，並依據測試驗收方案實施測試驗收，形成測試驗收報告；
b）應進行上線前的安全性測試，並出具安全測試報告。
9.8 系統交付
本項要求包括：
a）應制定交付清單，並根據交付清單對所交接的裝置、軟體和文件等進行清點；
b）應對負責執行維護的技術人員進行相應的技能培訓；
c）應提供建設過程文件和執行維護文件。
9.9 等級測評
本項要求包括：
a）應定期進行等級測評，發現不符合相應等級保護標準要求的及時整改；
b）應在發生重大變更或級別發生變化時進行等級測評；
c）應確保測評機構的選擇符合國家有關規定。
9.10 服務供應商選擇
本項要求包括：
a）應確保服務供應商的選擇符合國家的有關規定；
b）應與選定的服務供應商簽訂相關協議，明確整個服務供應鏈各方需履行的網路安全相關義務。
10 安全運維管理
10.1 環境管理
本項要求包括：
a）應指定專門的部門或人員負責機房安全，對機房出人進行管理，定期對機房供配電、空調、溫溼度控制、消防等設施進行維護管理；
b）應對機房的安全管理做出規定，包括物理訪問、物品進出和環境安全等：
c應不在重要區域接待來訪人員，不隨意放置含有敏感資訊的紙檔檔案和移動介質等。
10.2 資產管理
應編制並儲存與保護物件相關的資產清單，包括資產責任部門、重要程度和所處位置等內容。
10.3 介質管理
本項要求包括：
a）應將介質存放在安全的環境中，對各類介質進行控制和保護，實行儲存環境專人管理，並根據存檔介質的目錄清單定期盤點；
b）應對介質在物理傳輸過程中的人員選擇、打包、交付等情況進行控制，並對介質的歸檔和查詢等進行登記記錄。
10.4 裝置維護管理
本項要求包括：
a）應對各種裝置（包括備份和冗餘裝置）、線路等指定專門的部門或人員定期進行維護管理；
b）應對配套設施、 軟硬體維護管理做出規定，包括明確維護人員的責任、維修和服務的審批，維修過程的監督控制等。
10.5 漏洞和風險管理
應採取必要的措施識別安全漏洞和隱患，對發現的安全漏洞和隱患及時進行修補或評估可能的影響後進行修補。
10.6 網路和系統安全管理。
本項要求包括：
a）應劃分不同的管理員角色進行網路和系統的運維管理，明確各個角色的責任和許可權；
c）應建立網路和系統安全管理制度，對安全策略、賬戶管理、配置管理、日誌管理、日常操作、升級與打補丁、口令更新週期等方面作出規定；
d）應制定重要裝置的配置和操作手冊，依據手冊對裝置進行安全配置和最佳化配置等；
e）應詳細記錄運維操作日誌，包括日常巡檢工作、執行維護記錄、引數的設定和修改等內容。
10.7 惡意程式碼防範管理
本項要求包括：
a）應提高所有使用者的防惡意程式碼意識，對外來計算機或儲存裝置接人系統前進行惡意程式碼檢查等；
b）應對惡意程式碼防範要求做出規定，包括防惡意程式碼軟體的授權使用、惡意程式碼庫升級、惡意程式碼的定期查殺等；
c）應定期檢查惡意程式碼庫的升級情況，對截獲的惡意程式碼進行及時分析處理。
10.8 配置管理
應記錄和儲存基本配置資訊，包括網路拓撲結構、各個裝置安裝的軟體元件、軟體元件的版本和補丁資訊、各個裝置或軟體元件的配置引數等。
10.9 密碼管理
本項要求包括：
a）應遵循密碼相關國家標準和行業標準；
b）應使用國家密碼管理主管部門認證核准的密碼技術和產品。
10.10 變更管理
應明確變更需求，變更前根據變更需求制定變更方案，變更方案經過評審、審批後方可實施。
10.11 備份與恢復管理
本項要求包括：
a）應識別需要定期備份的重要業務資訊、系統資料及軟體系統等；
b）應規定備份資訊的備份方式、備份頻度、儲存介質儲存期等；
c）應根據資料的重要性和資料對系統執行的影響，制定資料的備份策略和恢復策略、備份程式和恢復程式等。
10.12 安全事件處置
本項要求包括：
a）應及時向安全管理部門報告所發現的安全弱點和可疑事件；
b）應制定安全事件報告和處置管理制度，明確不同安全事件的報告、處置和響應流程，規定安全事件的現場處理、事件報告和後期恢復的管理職責等；
c）應在安全事件報告和響應處理過程中，分析和鑑定事件產生的原因，收集證據，記錄處理過程，總結經驗教訓。
10.13 應急預案管理
本項要求包括：
a）應制定重要事件的應急預案，包括應急處理流程、系統恢復流程等內容；
b）應定期對系統相關的人員進行應急預案培訓，並進行應急預案的演練。
10.14 外包運維管理
本項要求包括：
a）應確保外包運維服務商的選擇符合國家的有關規定；
b）應與選定的外包運維服務商簽訂相關的協議，明確約定外包運維的範圍、工作內容。