安全物理环境
物理访问控制
机房出入口应安排专人值守或配置电子门禁系统,控制、鉴别和记录进入的人员
防盗窃和防破坏
应将设备或主要部件进行固定,并设置明显的不易除去的标识。
防雷击
应将各类机柜、设施和设备等通过接地系统安全接地。
防火
机房应设置灭火设备
防水和防潮
应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。
温湿度控制
应设置必要的温湿度调节设施,使机房温湿度的变化在设备运行所允许的范围之内
电力供应
应在机房供电线路上配置稳压器和过电压防护设备
安全通信网络
通信传输
应采用校验技术保证通信过程中数据的完整性
可信验证
可基于可信根对通信设备的系统引导程序、系统程序等进行可信验证,并在检测到其可信性受到破坏后进行报警。
安全区域边界
边界防护
应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信
访问控制
本项要求包括:
应在网络边界根据访问控制策略设置访问控制规则,默认情况下除允许通信外受控接口拒绝
所有通信:
应删除多余或无效的访问控制规则,优化访问控制列表,并保证访问控制规则数量最小化;
应对源地址、目的地址、源端口、目的端口和协议等进行检查,以允许/拒绝数据包进出。
可信验证
可基于可信根对通信设备的系统引导程序、系统程序等进行可信验证,并在检测到其可信性受到破坏后进行报警。
安全计算环境
身份鉴别
本项要求包括:
应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并定期更换:
应具有登录失败处理功能,应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。
访问控制
本项要求包括:
应对登录的用户分配账户和权限;
应重命名或删除默认账户,修改默认账户的默认口令;
应及时删除或停用多余的、过期的账户,避免共享账户的存在，
入侵防范
本项要求包括，
应遵循最小安装的原则,仅安装需要的组件和应用程序;
应关闭不需要的系统服务、默认共享和高危端口。
恶意代码防范
应安装防恶意代码软件或配置具有相应功能的软件,并定期进行升级和更新防恶意代码库，
可信验证
可基于可信根对通信设备的系统引导程序、系统程序等进行可信验证,并在检测到其可信性受到破坏后进行报警。
数据完整性
应采用校验技术保证重要数据在传输过程中的完整性，
数据备份恢复
应提供重要数据的本地数据备份与恢复功能
