网站信息安全二级等保要求.pdf

网站信息安全二级等保要求--第1页

序号测评指标二级要求

应供给专用的登录控制模块对登录取户进行身份表

记和鉴别；

应供给用户身份表记独一和鉴别信息复杂度检查功

能，保证应用系统中不存在重复用户身份表记，身

份鉴别信息不易被冒用；

应供给登录失败办理功能，可采纳结束会话、限制

1身份鉴别

非法登录次数和自动退出等措施；

应启用身份鉴别、用户身份表记独一性检查、用户

身份鉴别信息复杂度检查以及登录失败办理功能，

并依据安全策略配置相关参数；

对口令长度、复杂度和按期更正良行设定要求，一

定使用独一一套帐号表记。

应供给接见控制功能，依照安全策略控制用户对文

件、数据库表等客体的接见；

2接见控制

接见控制的覆盖范围应包含与资源接见相关的主

体、客体及它们之间的操作；

应由受权主体配置接见控制策略，并严格限制默认

网站信息安全二级等保要求--第1页

网站信息安全二级等保要求--第2页

帐户的接见权限；

应授与不一样帐户为完成各自肩负任务所需的最小

权限，并在它们之间形成互相限制的关系；

系统内仅设一个超级管理员，可以将全部权限分配

给指定帐号（除更正超级管理员权限和密码），管

理员不可以更正同级同权管理员的权限及密码。

系统内不可以含有任何模拟用户登录的后门程序及模

组

应供给覆盖到每个用户的安全审计功能，对应用系

统重要安全事件进行审计；

应保证没法删除、更正或覆盖审计记录；

3安全审计

审计记录的内容最少应包含事件日期、时间、倡导

者信息、种类、描述和结果等；

系统具备独立审计员角色，审计员可准时段导出审

计记录，其余角色不可以查察、导出审计记录。

通讯完好

4应采纳校验码技术保证通讯过程中数据的完好性；

性

5通信保密在通讯两方建立连接以前，应用系统应利用密码技

网站信息安全二级等保要求--第2页

网站信息安全二级等保要求--第3页

性术进行会话初始化考据；

对付通讯过程中的敏感信息字段进行加密。

应供给数占有效性检验功能，保证经过人机接口输