等保测评选择题范文

第一篇：等保测评选择题范文

等保初级测评师模拟试题

信息安全等级测评师模拟考试 考试形式： 考试形式：闭卷

一、单选题(每题 1.5 分，共 30 分) 单选题(

1.以下关于等级保护的地位和作用的说法中不正确的是( C )

A.是国家信息安全保障工作的基本制度、基本国策。 B.是开展信息安全工作的基本方法。 C.是提高国家综合竞争力的主要手段。 D.是促进信息化、维护国家信息安全的根本保障。

2. 以下关于信息系统安全建设整改工作工作方法说法中不正确的是： A ) ( A.突出重要系统，涉及所有等级, 试点示范，行业推广，国家强制执行。 B.利用信息安全等级保护综合工作平台使等级保护工作常态化。 C.管理制度建设和技术措施建设同步或分步实施。 D.加固改造 缺什么补什么 也可以进行总体安全建设整改规划。

3.以下关于定级工作说法不正确的是： A ) (

A.确定定级对象过程中，定级对象是指以下内容： 起支撑、传输作用的信息网络(包括专网、 内网、外网、网管系统)以及用于生产、调度、管理、指挥、作业、控制、办公等目的的各 类业务系统 。 B.确定信息系统安全保护等级仅仅是指确定信息系统属于五个等级中的哪一个。 C.在定级工作中同类信息系统的安全保护等级不能随着部、 省、市行政级别的降低而降低。 D.新建系统在规划设计阶段应确定等级，按照信息系统等级，同步规划、同步设计、同步实 施安全保护技术措施和管理措施。

4. 安全建设整改的目的是( D ) (1)探索信息安全工作的整体思路; (2)确定信息系统保护的基线要求; (3)了解信息系 统的问题和差距; (4)明确信息系统安全建设的目标; (5)提升信息系统的安全保护能力;

A.(1)(2)(3)(5) 、 、 、 B.(3)(4)(5) 、 、 C.(2)(3)(4)(5) 、 、 、 D.全部 1

考试时间： 考试时间：120 分钟 5.下列说法中不正确的是( B )

A. 定级/备案是信息安全等级保护的首要环节。 B. 等级测评是评价安全保护现状的关键。 C. 建设整改是等级保护工作落实的关键。 D. 监督检查是使信息系统保护能力不断提高的保障。

6.配置如下两条访问控制列表： access-list 1 permit 10.110.10.1 0.0.255.255 access-list 2 permit 10.110.100.100 0.0.255.255 访问控制列表 1 和 2，所控制的地址范围关系是： A (

A. 1 和 2 的范围相同 B. 1 的范围在 2 的范围内 C. 2 的范围在 1 的范围内 D. 1 和 2 的范围没有包含关系

7. Oracle 数据库中，以下( C )命令可以删除整个表中的数据，并且无法回滚。

A. Drop B. Delete C. Truncate D. Cascade

8.下面哪个不是生成树的优点( D ) A. 生成树可以管理冗余链路，在链路发生故障时可以恢复网络连接 B. 生成树可以防止环路的产生 C. 生成树可以防止广播风暴 D. 生成树能够节省网络带宽

9.关于以下配置 Router ospf 100 Ip router authentication Ip ospf message-digest-key 1 md5 XXXXXX(认证码) 以下说法不正确的是( C ) A.OSPF 认证分为明文认证和密文认证两种方式。 B.OSPF 协议是一种典型的链路状态路由协议，它通过路由器之间通过网络接口的状态来建立链路状态数据库，生成最短路径树。 C.OSPF 的认证可以在链路上进行，也可以在整个区域内进行认证。但是在虚链路上不可以 进行认证。 D.该配置可以应用在业务终端与业务服务器之间进行路由控制来建立安全的访问路径。

10. 防火墙的位置一般为(

A. 内外网连接的关口位置 B. 内网敏感部门的出口位置 C. 非军事区(DMZ)的两侧 D. 以上都对

11. 关于防火墙的功能，以下( D )描述是错误的

A.防火墙可以检查进出内部网的通信量 B.防火墙可以使用应用网关技术在应用层上建立协议过滤和转发功能 C.防火墙可以使用过滤技术在网络层对数据包进行选择 D.防火墙可以阻止来自内部的威胁和攻击

12.拒绝服务攻击的后果是( D ) 。

A.信息不可用 B.应用程序不可用 C.系统宕机、阻止通信 D. 上面几项都是

13. ( A )即非法用户利用合法用户的身份，访问系统资源。 A、身份假冒 B、信息窃取 C、数据篡改 D、越权访问

14.linux 主机中关于以下说法不正确的是( C ) A.PASS_MAX_DAYS 90 是指登陆密码有效期为 90 天。 B.PASS_WARN_AGE 7 是指登陆密码过期 7 天前提示修改。 C.FALL_DELAY 10 是指错误登陆限制为 10 次。 D.SYSLOG_SG_ENAB yes 当限定超级用于组管理日志时使用。

15.linux 中关于登陆程序的配置文件默认的为( B )

A. /etc/pam.d/system-auth B. /etc/login.defs C./etc/shadow D./etc/passwd

16.linux 中要想查看对一个文件的是否具有-rwxr—r—权限，使用的命令为( A )

A.#ls –l /etc/passwd 744 B.#ls –l /etc/shadow 740 C.#ls –l /etc/rc3.d 665 D.#ls –l /etc/inet.conf 700

17. 若要系统中每次缺省添加用户时，都自动设置用户的宿主目录为/users,需修改哪一个_ 配置文件?( A )

A./etc/default/useradd B./etc/login.defs C./etc/shadow D./etc/passwd

18.一位系统管理员想通过 Telnet 对一台运行 Windows Server 2003 的服务器进行远程的管 理和维护，为了达到这个目的他想启动 Telnet 服务，但当他打开服务控制台中的 Telnet 服务属性时发现启动按钮不可用，如下图：产生这种情况的原因是( A)

A.当前 Telnet 服务的启动类型为禁用 B.C:WINDOWSsystem32 lnetsvr.exe 文件丢失 C.本地组策略限制不允许启动 Telnet 服务 D.Telnet 服务组件没有安装

19. 小李是公司的网络管理员，公司的计算机处于单域中，他使用的操作系统为 Windows Server 2003， 由于计算机中有非常重要的资料， 因此他想设置一个安全的密码。 ( 下面 是比较安全的密码

A.xiaoli123 B.13810023556 C.bcdefGhijklm D.cb^9L2i

20.下列有关 SQL Server 2000 中，master 数据库的说法不正确的是( D A 用户数据库可以重命名，master 数据库不能重命名 B master 数据库 记录 SQL server 的 所有系统信息 C master 数据库 在安装 SQL server 的过程中自动安装 D 不可以重建 master 数据库。

二、不定项选择题(每题 2 分，多选不得分，少选得一分，共 20 分) 不定项选择题(多选不得分，少选得一分，

1.当前我国的信息安全形势为( ABC A.遭受敌对势力的入侵、攻击、破坏。 B.针对基础信息网络和重要信息系统的违法犯罪持续上升。 C.全社会的信息安全等级保护意识仍需加强。 D.总体情况尚可，少量的基础信息网络和重要信息系统安全隐患严重。 2. 以下对信息系统安全建设整改工作的复杂性和艰巨性说法正确的是( ABCD ) A.政策性和技术性很强。 B.涉及范围广。 C.信息系统安全加固改造，需要国家在经费上予以支持 D.跨省全国联网的大系统结构复杂运行实时保障性高、数据重要，加固改造周期长。

3. 对测评机构不能从事的活动下列说法正确的是( D )

(1)影响被测评信息系统正常运行，危害被测评信息系统安全;

(2)泄露知悉的被测评单位及被测评信息系统的国家秘密和工作秘密; (3)与客户进行沟通后隐瞒测评过程中发现的安全问题，维护客户关系; (4)按规定格式出具等级测评报告;

(5)非授权占有、使用等级测评相关资料及数据文件 (6)分包或转包等级测评项目;

(7)信息安全产品开发、销售和信息系统安全集成;

(8)限定被测评单位购买、使用指定的信息安全产品，以达到最佳安全水平。 A.(1)(2)(4)(5)(8) 、 、 、 、 。 B.(1)(2)(3)(5)(7) 、 、 、 、 。 C.(1)(2)(3)(4)(8) 、 、 、 、 。 D.(1)(2)(5)(6)(7) 、 、 、 、 。

4. 访问控制列表可实现下列哪些要求( ABDE )

A. 允许 202.38.0.0/16 网段的主机可以使用协议 HTTP 访问 129.10.10.1 B. 不让任何机器使用 Telnet 登录 C. 使某个用户能从外部远程登录 D. 让某公司的每台机器都可经由 SMTP 发送邮件 E. 允许在晚上 8:00 到晚上 12:00 访问网络 F. 有选择地只发送某些邮件而不发送另一些文件

5. 办公网络中计算机的逻辑组织形式可以有两种，工作组和域。下列关于工作组的叙述中 正确的是( AC ) 。

A. 工作组中的每台计算机都在本地存储账户 B. 本计算机的账户可以登录到其它计算机上 C. 工作组中的计算机的数量最好不要超过 10 台 D. 工作组中的操作系统必须一样

6. 如果只对主机地址为 172.16.30.55 进行访问列表的设置，下面各项正确的有( BD A.172.16.30.55 0.0.0.255 B.172.16.30.55 0.0.0.0 C.any 172.16.30.55 D.host 172.16.30.55

7. Oracle 中的三种系统文件分别是( ABC )

A.数据文件 DBF B.控制文件 CTL C.日志文件 LOG D.归档文件 ARC

8. 关于表分区的说法正确的有( AC )

A.表分区存储在表空间中 B.表分区可用于任意的数据类型的表 C.表分区不能用于含有自定义类型的表 D.表分区的每个分区都必须具有明确的上界值

9. 语句 SELECT‘ACCP’FROM DUAL 的执行结果是(A A.ACCP B.X C.编译错 D.提示未选中行 10. HASH 加 密 使 用 复 杂 的 数 字 算 法 来 实 现 有 效 的 加 密 , 其 算 法 包 括 ( ABC A.MD2; B.MD4; C.MD5; D.Cost256

三、判断题(每题一分、共 10 分)

1. 所有等级的信息系统，一般都由信息系统运营使用单位到所在地设区的市级以上公安机 关网络安全保卫部门办理备案手续，填写《信息系统安全等级保护备案表》 (错 ) 。

2. 信息安全是非传统安全，信息安全本质是信息对抗、技术对抗、国家综合实力的对抗。 ( 错 )

3.在网络设备测评中网络设备应具有登录失败处理功能，可采取结束会话、限制非法登录次 数和当网络登录连接超时自动退出等措施。 对 ) (

4.在信息安全等级保护的 ASG 组合中没有 S1A4G4 这个组合。( 错 )

5.在信息安全等级测评中，《基本要求》是信息系统安全保护的基本“标尺”或达标线，满 足《基本要求》意味着信息系统具有相应等级的保护能力， 达到了很好的安全状态。 错 ) (

6. 经过安全建设整改工作后，三级信息系统在统一的安全保护策略下具有抵御大规模、较 强恶意攻击的能力， 抵抗较为严重的自然灾害的能力， 防范计算机病毒和恶意代码危害的能力。 对

7.在信息安全等级保护中，第三级信息系统和第四级信息系统都具有强制性。 (对

8.考虑到操作方便性和人员复用性，用户角色和权限不一定到最小权限。 错 )

9. 在等级测评过程中，应对信息系统的影虎采取两种或两种以上的组合技术对用户身份进 行鉴别。 ( 对 ) ) 。

10. 地方测评机构只能上在本地开展测评，不能够去外地测评( 错

四、简答题(共 3 题，共 40 分)

1.信息安全等级保护的五个标准步骤是什么?信息安全等级保护的定义是什么? 信息安全等级保护五个等级是怎样定义的?(10 分)

(1)信息 ff 案、安全建设整改、等级测评、监督检查。 (2)对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处 理这些信息的系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管 理，对信息系统中发生的信息安全事件分等级响应、处置。 (答出三个分等级即可) (3)第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者 对社会秩序和公共利益造成损害，但不损害国家安全。 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造 成损害。 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安 全造成严重损害。 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

2. 主机按照其规模或系统功能来区分为哪些类?主机安全在测评时会遇到哪些类型操作系统?网络安全三级信息系统的安全子类是什么?三级网络安全的安全审计的内容是什么?。 (15 分)

1)巨型 大型 中型 小型、微型计算机和单片机。 (2)目前运行在主机上的主流的操纵系统有? 有 Windows、Linux、Sun Solaris 、IBM AIX、HP-UX 等等 (3)结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网 络设备防护。(4)a) 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。 b) 审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他 与审计相关的信息 c) 应能够根据记录数据进行分析，并生成审计报表。 d) 应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。

3. 数据库常见威胁有哪些?针对于工具测试需要注意哪些内容?(15 分) (1)非授权访问，特权提升、SQL 注入、针对漏洞进行攻击、绕过访问控制进行非授权访 问等。 (2)工具测试接入测试设备之前，首先要有被测系统人员确定测试条件是否具备。测试条 件包括被测网络设备、主机、安全设备等是否都在正常运行，测试时间段是否为可测试时 间段等等。接入系统的设备、工具的 IP 地址等配置要经过被测系统相关人员确认。对于 测试过程可能造成的对目标系统的网络流量及主机性能等等方面的影响 (例如口令探测可 能会造成的帐号锁定等情况) 要事先告知被测系统相关人员对于测试过程中的关键步骤、 ， 重要证据，要及时利用抓图等取证工具取证。对于测试过程中出现的异常情况(服务器出 现故障、网络中断等等)要及时记录测试结束后，需要被测方人员确认被测系统状态正常 并签字后离场。

附加题(5 分，附件题算入总分)

采取什么措施可以帮助检测到入侵行为?

部署 IPS/IDS，使用主机防火墙(软件) 、硬件防火墙、在路由交换设备上设置策略、采用审 计设备等。

答案：

一、 1.C 2.A 6.A 7.C 3.A 4.D 5.B 8.D 9.C 10.D

11.D 12.D 13.A 14.C 15.B 16.A 17.A 18.A 19.D 20.D

二、不定项选择题 1.ABC 6.BD 2.ABCD 7.ABC 3.D 8.AC 4.ABDE 9.A 5.AC 10.ABC

三、判断题

1.错 2.错 3.对 4.错 5.错 6.对 7.对 8.错 9.对 10.错

四、简答题

1.(1)信息系统定级、备案、安全建设整改、等级测评、监督检查。 (2)对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、 处理这些信息的系统分等级实行安全保护， 对信息系统中使用的信息安全产品实行按等级管 理，对信息系统中发生的信息安全事件分等级响应、处置。 (答出三个分等级即可) (3)第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害， 但不损害国家安全、社会秩序和公共利益。 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者 对社会秩序和公共利益造成损害，但不损害国家安全。 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造 成损害。 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安 全造成严重损害。 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

2.(1)巨型 大型 中型 小型、微型计算机和单片机。(2)目前运行在主机上的主流的操纵系统有? 有 Windows、Linux、Sun Solaris 、IBM AIX、HP-UX 等等 (3)结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网 络设备防护。 (4)a) 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。 b) 审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他 与审计相关的信息 c) 应能够根据记录数据进行分析，并生成审计报表。 d) 应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。

3.(1)非授权访问，特权提升、SQL 注入、针对漏洞进行攻击、绕过访问控制进行非授权 访问等。 (2)工具测试接入测试设备之前，首先要有被测系统人员确定测试条件是否具备。测试 条件包括被测网络设备、主机、安全设备等是否都在正常运行，测试时间段是否为可测试时 间段等等。接入系统的设备、工具的 IP 地址等配置要经过被测系统相关人员确认。对于测 试过程可能造成的对目标系统的网络流量及主机性能等等方面的影响 (例如口令探测可能会 造成的帐号锁定等情况) ，要事先告知被测系统相关人员对于测试过程中的关键步骤、重要 证据， 要及时利用抓图等取证工具取证。 对于测试过程中出现的异常情况 (服务器出现故障、 网络中断等等) 要及时记录测试结束后， 需要被测方人员确认被测系统状态正常并签字后离 场。

附加题

部署 IPS/IDS，使用主机防火墙(软件) 、硬件防火墙、在路由交换设备上设置策略、采用审 计设备等。

第二篇：100测评网中考地理复习选择题专项练习五

欢迎登录《100测评网》进行学习检测，有效提高学习成绩.中考地理复习选择题专项练习五

201.盐城市白昼时间最短的一天是()

A、3月21日 B、6月22日 C、9月23日 D、12月22日 202.在有指向标的地图上，箭头所指的方向一般为()

A、东方

B、西方

C、南方

D、北方

203.海拔在1000米以上，且辽阔坦荡的地形是()A、高原 B、平原 C、高山 D、丘陵

204.画一张学校平面图，下列比例尺比较适当的是()

A、1:1000B、1厘米代表2C05千米D、一百万分之一 20

5、下面大洲没被赤道穿过的是()

A、南美洲B、非洲C、大洋洲D、欧洲 20

6、在电视天气预报节目的卫星云图上，白色表示()

A、海洋B、陆地C、云区D、台风 20

7、全球气候变暖主要是下列什么因素造成的()

A、二氧化碳的含量增多B、二氧化氮的含量增多 C、大气中的尘埃增多D、大气中的水汽增多 20

8、下列关于全球气温分布的叙述，正确的是()

A、无论1月、7月，气温都是从低纬向高纬递减B、7月，世界上最热的地方是亚马逊平原C、1月，世界上最冷的地方在南极大陆D、同一纬度，海洋气温比大陆高 20

9、影响北戴河成为著名的避暑胜地的最主要因素有()

A、地形B、纬度位置 C、海陆位置D、人为因素

210、下列地区中，降水较多的是()A、赤道地区B、南极地区C、大陆内部D、山地背风坡

211、关于人口增长的叙述，不正确...的是() A、人口迅速增长有利于资源的开发和环境的保护B、人口增长过快，数量过多，会出现许多社会问题C、人口增长过慢，会出现劳动力短缺，人口老龄化的问题

D、人口的增长应与经济、社会的发展相适应，与资源、环境相协调

212、世界上使用范围最广的语言是()

A、汉语B、英语C、日语

D、阿拉伯语

213、下列关于官桥蔡氏古民居的开发和保护的不同观点，你认为哪种观点是正确的?()

A、随着人口的急剧膨胀，住房紧张，古民居用地太大，干脆拆掉B、古民居是闽南建筑风格的代表，要完整的保护下来C、若其中有一座房子太旧，可以把它们拆了再照原样重建

D、可以对其进行既符合现代居住需求又不破坏原有风貌的合理改造，加入新的功能。

214、下列关于国家与地区的说法，错.误.

的是() A、目前，世界上还存在30多个未独立的殖民地和属地B、不同的国家陆地面积差别很大，大的可达1707万平方千米，小的不到2平方千米C、在处理国与国之间的关系的问题上，中国一贯主张和平共处五项原则

D、世界上有200多个国家和地区，分布在各个大洲

215、下列关于发展中国家和发达国家的叙述，错误..的是() A、发达国家主要集中在北半球 B、中国属于发展中国家 C、发达国家生活、教育水平高，生产力发达

D、它们之间没有交流与合作

216.绘制图幅一样大的四幅地图，所选比例尺最小的是()

A学校平面图B重庆市地图C中国政区图D世界政区图

217、均被赤道横穿的一组大陆是：()

A亚欧大陆和非洲大陆B南美大陆和澳大利亚大陆C南极大陆和北美大陆D非洲大陆和南美大陆

218.面积最小的大洲和大洋是：()

A欧洲和大西洋B北美洲和太平洋C亚洲和印度洋D大洋洲和北冰洋 219.下列地区是世界人口稠密地区的是：()A亚洲的东部和南部B欧洲的东南部C北美洲西部D南美洲南部220、下列人种与其主要分布地区连接正确的是：()

A黑色人种一欧洲B自色人种一非洲中部C黄色人种一亚洲西部D混血人种一拉丁美洲2

21、拉丁美洲大多数国家通用的语言是：()A葡萄牙语B英语C 法语D西班牙语2

22、世界上信徒最多，流传最广的宗教是：()

A基督教B伊斯兰教C佛教D犹太教2

23、在北半球，一年中最高气温出现在：()

A一月的陆地B七月的陆地C一月的海洋D七月的海洋

2

24、全世界降水空间分布是：()

A由两极向赤道减少B由赤道向两极递减C回归线附近大陆东部多于西岸D大陆内部降水多于沿海

2

25、全球四季变化最明显的地区是：()

A热带B温带C寒带D温带和寒带2

26、世界上发达国家数量最多的大洲是：()A亚洲B欧洲C北美洲D大洋洲

2

27、某同学想了解发射“神州6号”载人飞船的基地一酒泉在哪里，应查阅：()A中国政区图B城市导游图C中国气候图D世界政治地图2

28、麦哲伦船队作环球航行，依次经过的大洋是：()

A大西洋、北冰洋、太平洋B大西洋、印度洋、太平洋

C大西洋、太平洋、印度洋D太平洋、大西洋、印度洋

2

29、重庆市某中学地理兴趣小组用自制测高仪测得北极星的高度为31度，该学校位于：A中纬度B高纬度C低纬度D跨中、高纬度230、下列气候类型，南北半球都有的是：

A，亚寒带针叶林气候D热带季风气候

C;温带季风气候D亚热带季风和季风性湿润气候

参考答案：201-205 D D A A D 206-210 C A A C A

211-215 A B D D D 216-220 D D D A D 221-225 D A B C B226-230 B A C A D

本卷由《100测评网》整理上传，专注于中小学生学业检测、练习与提升.

第三篇：等保二级管理要求

1.

1管理要求

1.1.1

安全管理制度

1.1.1.1

管理制度(G2)

本项要求包括：

a)

应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等;

b)

应对安全管理活动中重要的管理内容建立安全管理制度;

c)

应对安全管理人员或操作人员执行的重要管理操作建立操作规程。

1.1.1.

2制定和发布(G2)

本项要求包括：

a)

应指定或授权专门的部门或人员负责安全管理制度的制定;

b)

应组织相关人员对制定的安全管理制度进行论证和审定;

c)

应将安全管理制度以某种方式发布到相关人员手中。

1.1.1.

3评审和修订(G2)

应定期对安全管理制度进行评审，对存在不足或需要改进的安全管理制度进行修订。

1.1.2

安全管理机构

1.1.2.

1岗位设置(G2)

本项要求包括：

a)

应设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责;

b)

应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责。

1.1.2.

2人员配备(G2)

本项要求包括：

a)

应配备一定数量的系统管理员、网络管理员、安全管理员等;

b)

安全管理员不能兼任网络管理员、系统管理员、数据库管理员等。

1.1.2.

3授权和审批(G2)

本项要求包括：

a)

应根据各个部门和岗位的职责明确授权审批部门及批准人，对系统投入运行、网络系统接入和重要资源的访问等关键活动进行审批;

b)

应针对关键活动建立审批流程，并由批准人签字确认。

1.1.2.

4沟通和合作(G2)

本项要求包括：

a)

应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通;

b)

应加强与兄弟单位、公安机关、电信公司的合作与沟通。

1.1.2.

5审核和检查(G2)

安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况。

1.1.

3人员安全管理

1.1.3.

1人员录用(G2)

本项要求包括：

a)

应指定或授权专门的部门或人员负责人员录用;

b)

应规范人员录用过程，对被录用人员的身份、背景和专业资格等进行审查，对其所具有的技术技能进行考核;

c)

应与从事关键岗位的人员签署保密协议。

1.1.3.

2人员离岗(G2)

本项要求包括：

a)

应规范人员离岗过程，及时终止离岗员工的所有访问权限;

b)

应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备;

c)

应办理严格的调离手续。

1.1.3.

3人员考核(G2)

应定期对各个岗位的人员进行安全技能及安全认知的考核。

1.1.3.

4安全意识教育和培训(G2)

本项要求包括：

a)

应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训;

b)

应告知人员相关的安全责任和惩戒措施，并对违反违背安全策略和规定的人员进行惩戒;

c)

应制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训。

1.1.3.

5外部人员访问管理(G2)

应确保在外部人员访问受控区域前得到授权或审批，批准后由专人全程陪同或监督，并登记备案。

1.1.

4系统建设管理

1.1.4.

1系统定级(G2)

本项要求包括：

a)

应明确信息系统的边界和安全保护等级;

b)

应以书面的形式说明信息系统确定为某个安全保护等级的方法和理由;

c)

应确保信息系统的定级结果经过相关部门的批准。

1.1.4.

2安全方案设计(G2)

本项要求包括：

a)

应根据系统的安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施;

b)

应以书面形式描述对系统的安全保护要求、策略和措施等内容，形成系统的安全方案;

c)

应对安全方案进行细化，形成能指导安全系统建设、安全产品采购和使用的详细设计方案;

d)

应组织相关部门和有关安全技术专家对安全设计方案的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施。

1.1.4.

3产品采购和使用(G2)

本项要求包括：

a)

应确保安全产品采购和使用符合国家的有关规定;

b)

应确保密码产品采购和使用符合国家密码主管部门的要求;

c)

应指定或授权专门的部门负责产品的采购。

1.1.4.

4自行软件开发(G2)

本项要求包括：

a)

应确保开发环境与实际运行环境物理分开;

b)

应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则;

c)

应确保提供软件设计的相关文档和使用指南，并由专人负责保管。

1.1.4.

5外包软件开发(G2)

本项要求包括：

a)

应根据开发要求检测软件质量;

b)

应确保提供软件设计的相关文档和使用指南;

c)

应在软件安装之前检测软件包中可能存在的恶意代码;

d)

应要求开发单位提供软件源代码，并审查软件中可能存在的后门。

1.1.4.6

工程实施(G2) 本项要求包括：

a)

应指定或授权专门的部门或人员负责工程实施过程的管理;

b)

应制定详细的工程实施方案，控制工程实施过程。

1.1.4.7

测试验收(G2)

本项要求包括：

a)

应对系统进行安全性测试验收;

b)

在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告;

c)

应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认。

1.1.4.8

系统交付(G2)

本项要求包括：

a)

应制定系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点;

b)

应对负责系统运行维护的技术人员进行相应的技能培训;

c)

应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档。

1.1.4.9

安全服务商选择(G2)

本项要求包括：

a)

应确保安全服务商的选择符合国家的有关规定;

b)

应与选定的安全服务商签订与安全相关的协议，明确约定相关责任;

c)

应确保选定的安全服务商提供技术支持和服务承诺，必要的与其签订服务合同。

1.1.

5系统运维管理

1.1.5.

1环境管理(G2)

本项要求包括：

a)

应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理;

b)

应配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理;

c)

应建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面的管理作出规定;

d)

应加强对办公环境的保密性管理，包括工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等。

1.1.5.

2资产管理(G2)

本项要求包括：

a)

应编制与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容;

b)

应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为。

1.1.5.

3介质管理(G2)

本项要求包括：

a)

应确保介质存放在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理;

b)

应对介质归档和查询等过程进行记录，并根据存档介质的目录清单定期盘点;

c)

应对需要送出维修或销毁的介质，首先清除其中的敏感数据，防止信息的非法泄漏;

d)

应根据所承载数据和软件的重要程度对介质进行分类和标识管理。

1.1.5.

4设备管理(G2)

本项要求包括：

a)

应对信息系统相关的各种设备(包括备份和冗余设备)、线路等指定专门的部门或人员定期进行维护管理;

b)

应建立基于申报、审批和专人负责的设备安全管理制度，对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理;

c)

应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现关键设备(包括备份和冗余设备)的启动/停止、加电/断电等操作; d)

应确保信息处理设备必须经过审批才能带离机房或办公地点。

1.1.5.

5网络安全管理(G2)

本项要求包括：

a)

应指定人员对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作;

b)

应建立网络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定;

c)

应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份;

d)

应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补;

e)

应对网络设备的配置文件进行定期备份;

f)

应保证所有与外部系统的连接均得到授权和批准。

1.1.5.6

系统安全管理(G2)

本项要求包括：

a)

应根据业务需求和系统安全分析确定系统的访问控制策略;

b)

应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补;

c)

应安装系统的最新补丁程序，在安装系统补丁前，应首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装;

d)

应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出规定;

e)

应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容，严禁进行未经授权的操作;

f)

应定期对运行日志和审计数据进行分析，以便及时发现异常行为。

1.1.5.7

恶意代码防范管理(G2)

本项要求包括： a)

应提高所有用户的防病毒意识，告知及时升级防病毒软件，在读取移动存储设备上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也应进行病毒检查;

b)

应指定专人对网络和主机进行恶意代码检测并保存检测记录;

c)

应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定。

1.1.5.8

密码管理(G2)

应使用符合国家密码管理规定的密码技术和产品。

1.1.5.9

变更管理(G2)

本项要求包括：

a)

应确认系统中要发生的重要变更，并制定相应的变更方案;

b)

系统发生重要变更前，应向主管领导申请，审批后方可实施变更，并在实施后向相关人员通告。

1.1.5.10

备份与恢复管理(G2)

本项要求包括：

a)

应识别需要定期备份的重要业务信息、系统数据及软件系统等;

b)

应规定备份信息的备份方式、备份频度、存储介质、保存期等;

c)

应根据数据的重要性及其对系统运行的影响，制定数据的备份策略和恢复策略，备份策略指明备份数据的放置场所、文件命名规则、介质替换频率和数据离站运输方法。

1.1.5.1

1安全事件处置(G2)

本项要求包括：

a)

应报告所发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点;

b)

应制定安全事件报告和处置管理制度，明确安全事件类型，规定安全事件的现场处理、事件报告和后期恢复的管理职责;

c)

应根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响，对本系统计算机安全事件进行等级划分; d)

应记录并保存所有报告的安全弱点和可疑事件，分析事件原因，监督事态发展，采取措施避免安全事件发生。

1.1.5.12 应急预案管理(G2)

本项要求包括：

a)

应在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容;

b)

应对系统相关的人员进行应急预案培训，应急预案的培训应至少每年举办一次。

第四篇：医院等保工作汇报

北安市第一人民医院

信息安全等级保护工作汇报

一、医院简介

北安市第一人民医院拥有66年发展历史，坐落于黑龙江北部中心城市北安市的城市中心，地处政治、经济、文化中心地带，交通便利，医院学科优势突出，专业特色明显，在市内外享有较高的声誉。医院总占地面积22599平方米，业务用房建筑面积25027平方米。

医院在职职工664人，专业技术人员 557人，其中高级技术职称172 人，中级技术职称109人，床位400余张 。设有内、外、妇、儿、五官等二十个临床科室，15个医技科室。外科共设五个科室包括普外、脑外、胸科、烧伤、泌尿、骨科、肛肠等学科，其中胸外科、脑外科是我院重点科室之一，胸外科是黑河地区该专业龙头科室，外科常规开展肺癌、脑外、食道癌等复杂手术，广泛开展腹腔镜、前列腺电切等介入手术。多项技术的开展和研发均获得国家及省级科技进步奖，开创了历史先河，成为北安市及黑河地区医疗技术的领头雁。内科设有五个科室包括神经内科、心脑血管内科、内分泌内科、呼吸内科、血液内科、肿瘤内科、消化内科、肾内科、传染科及在黑河地区处于领先地位的急诊科。我院影像科室技术实力在本市区位居首位，吸引了大量外院病人来我院检查，整合了各方优势资源。 医院环境优美，整洁。目前，现已发展成为一所集医疗、康复、保健、预防、科研、教学为一体的综合性二级甲等医院。公共医疗改革试点医院、城镇职工医疗保险定点医院、新型农村合作医疗定点医院、城乡医疗救助一站式即时结算定点医院、农垦北安管局医疗保险定点医院、铁路职工医疗保险定点医院、公安定点医院、黑河地区首家工伤康复定点医院，“120”急救中心设在我院，同时担负着全市司法鉴定工作。

医院拥有大型核磁共振成像系统、螺旋CT、高压氧舱、德国贝朗血液透析机、日产全自动生化分析仪、数字X光机、数字多功能胃肠X光机、C型臂数字成像系统、彩超、经颅多普勒、体外碎石机、电子胃镜、欧美达麻醉机、运动平板、24小时动态心电监测系统等先进设备百余台，抢占医疗市场的制高点。 全套电子内窥镜系统、各种手术用硬镜、介入治疗设备、高压氧舱等一批国内外精密医疗设备，精良的医疗设备为提高临床诊治水平提供了重要的保证。

医院由门诊楼，病房楼，急救中心组成，住院楼设有内科、外科、 妇产科、儿科、重症监护室、手术室、麻醉科、康复科等病区。医院通过计算机网络实现信息化管理，所有病房均设有中央空调、独立卫生间，配备集中供氧、集中负压吸引、自动对讲呼叫等设施。

北安市第一人名医院拥有黑河地区首家具有国际先进水平的ICU重症监护病房，是我省北部地区成立较早发展最快的重症科室，设备实力和省级医院相聘美，从业人员都经过正规重症医学培训学习，成立后为北安市危重症治疗开辟了新的天地，危重症抢救成功率达到省级医院水平。具有国际水准的最先进的层流净化手术室共六个6 手术间，同时可开展胸、脑、腹、四肢、五官、妇科等高尖端手术。急诊科是黑龙江北部地区最大的急诊综合科室，科室有独立床位近30张，抢救设备齐全，实力雄厚，是我院“门神”级科室。我院拥有全区设备最先进功能最完善的烧伤病房和血液病房，发热门诊、检验科均按照国家级标准建设，为患者提供了方便、安全的就医环境 。

北安市第一人民医院领导班子带领广大职工勇于拼搏，锐意进取实现了医院的快速、稳定、健康发展，以改革创新的精神脚，踏实地的工作作风使社会效益和经济效益稳步增长，年收入突破亿元大关。医院的各项事业蓬勃发展，硕果累累，成绩斐然。

“以病人为中心，创建人民群众最满意医院”是北安市第一人民医院始终坚持的办院宗旨。医院人正以执着的医志、高尚的医德、精湛的医术和严谨的学风书写着辉煌的历史，为打造“国内知名、省内一流”医院的目标而努力奋斗!

二、加强领导

根据黑龙江省卫生计生委、黑龙江省公安厅、黑龙江省工信委《关于进一步开展好卫生计生行业信息安全等级保护工作的通知》医院高度重视信息系统的信息安全保护工作，成立信息安全领导小组，具体工作由网络中心承担，负责医院信息系统等级保护工作，并开展相关科室的监督指导，根据安排，医院自成立信息安全领导小组以来，就开展了信息系统安全等级保护基础调查工作等相关工作，全面开展信息系统安全等级保护，同时组织培训等方式，不断加强技术人员的培养，对网络中心增加专业技术人员，强化信息安全保护能力。

三、完善制度

为落实加强和改进互联网建设与管理，根据原卫生部《关于印发卫生行业信息安全等级保护工作的指导意见》(卫办发【2011】85号)的文件要求，我们对医院信息系统安全等级保护工作做出了具体的要求，根据等级保护要求，开展了信息安全制度的前期完善工作。陆续制定了《信息系统安全组织结构及管理制度》《信息人员安全管理制度》《信息系统管理制度》《信息安全组织机构设置》《信息安全组织机构管理制度》《系统运维管理制度》等制度及《物理安全技术措施建设》、《网络安全技术措施建设》、《主机安全技术措施建设》、《应用安全技术措施建设》、《数据安全技术措施建设》等措施。

四、信息等级安全保护基本情况

目前，医院已有HIS、院内办公网、农村合作医疗、城镇职工医保、城镇居民医保、铁路医保、低保等多个内部信息系统，根据等级保护的要求进行了整改优化，积极加强信息系统安全环境建设，消除安全管理中的薄弱环节。

在物理安全方面，严格管理机房人员进出，消防设施完善，所有设备通过UPS供电。关键网络设备和服务器做到有主有备，确保在发生物理故障时可以及时更换。 机房做到防水、防火、防静电处理，温湿度控制在要求的温湿度之间。

在网络安全方面，我们严格按照内、外网物理隔离的标准建设网络系统，并采用虚拟局域网技术，通过交换机端口的IP绑定，防止非法网络接入;在网络出口以及不同网络互联边界全面部署硬件防火墙，部署日志服务器，记录并留存使用互联网和内部网络地址对应关系;在医院互联网出口部署网络行为管理系统，规范和记录上网行为，合理控制不同应用的网络流量，实现网络带宽动态分配，保障了信息系统正常应用的网络环境。

在主机安全方面，终端计算机采用虎纹远程管理软件，对终端进行工作行为、上网行为等管理，重要的应用系统安装了计算机监控与审计系统，实现对主机的USB等外设接口的控制管理，采用KEY用户名密码等方式控制用户登陆行为。

对于应用安全，严格做好系统安全测试，配备了专门的漏洞 扫描仪定期扫描应用系统漏洞，并按测试结果做好安全修复和加固工作;安装彩蝶ARP检测系统及局域网抓包工具，自部署起已多次成功检测出SQL注入，伪装IP地址，全网攻击，FTP匿名登录，探测主机地址漏洞等。 在数据安全方面，数据库通过备份系统定期备份，关键数据库服务器采用双机热备份，保证数据库服务器的可用性和高效性，在出现故障时可以快速恢复;数据库的访问按不同用户身份进行严格的权限控制。

对于医院信息系统的不足，医院高度重视，在资金紧张等情况下，自筹300余万元，对系统进行改造，将在下半年投入200余万元将对医院信息系统软件升级改造。增加电子病历系统，检验科LIS系统，医学影像系统。硬件投入100余万元，增加服务器终端，网络设备等。

五、建议

信息系统安全等级保护工作责任重大，技术性强，工作量巨大，医院在该项工作上虽然取得一些进展，但是与上级主管部门要求还有相当的差距，在等级保护意识、宣传力度、技术人才的培养和制度的建立上仍然存在问题。

建议上级领导加强工作指导，通过多种方式的等级保护技术交流和培训，提高单位领导及员工的等级保护意识，进一步推进医院的信息系统等级保护工作。

第五篇：等保物理层面重点讲义资料

[物理安全]防盗窃和防破坏

一、要求内容

a) 应将主要设备放置在机房内;

b) 应将设备或主要部件进行固定，并设置明显的不易除去的标记;

c) 应将通信线缆铺设在隐蔽处，可铺设在地下或管道中;

d) 应对介质分类标识，存储在介质库或档案室中;

e) 应利用光、电等技术设置机房防盗报警系统;

f) 应对机房设置监控报警系统。

二、实施建议

首先需要明确所有信息资产都应根据其重要程度实施物理上的保护措施。

制定完整、统

一、唯

一、详细的资产分类和标识规定，并应在资产的明显出进行标记;在实施物理保护措施的同时增加监控、报警系统对资产的安全进行辅助管理，如在重要资产存放区域和附近增加红外或感应报警系统。

三、常见问题

虽然多数单位能够做到对重要资产采取基本的安全保护措施，但对线缆一类的资产则可能忽略采取保护手段，而且大都缺少很好资产分类和标识规定，尤其是经过多次易手的组织资产，经常是没有对资产进行标记，有的甚至出现多种不同的标签。

四、实施难点

对于信息资产的分类和标记方法应当尽量做到与财务或行政部门对固定资产的要求相一致。

五、测评方法 形式

访谈，检查。

对象

物理安全负责人，机房维护人员，资产管理员，设备，介质，通信线缆，机房设施，介质清单和使用记录，通信线路布线文档，运行和报警记录，监控记录，防盗报警系统和监控报警系统的安全资质材料、安装测试/验收报告。

实施

a) 应访谈物理安全负责人，采取了哪些防止设备、介质等丢失的保护措施;

b) 应访谈机房维护人员，询问主要设备放置位置是否做到安全可控,设备或主要部件是否进行了固定和标记，通信线缆是否铺设在隐蔽处;是否设置了冗余或并行的通信线路;是否对机房安装的防盗报警系统和监控报警系统进行定期维护检查;

c) 应访谈资产管理员，在介质管理中，是否进行了分类标识，是否存放在介质库或档案室中;

d) 应检查主要设备是否放置在机房内或其它不易被盗窃和破坏的可控范围内;检查主要设备或设备的主要部件的固定情况，是否不易被移动或被搬走，是否设置明显的不易除去的标记;是否有设备物理位置图，是否经常检查设备物理位置的变化;

e) 应检查通信线缆铺设是否在隐蔽处(如铺设在地下或管道中等);

f) 应检查介质的管理情况，查看介质是否有正确的分类标识，是否存放在介质库或档案室中;是否有异地保存的措施; g) 应检查机房防盗报警设施是否正常运行，并查看运行和报警记录;应检查机房的摄像、传感等监控报警系统是否正常运行，并查看运行记录、监控记录和报警记录;

h) 应检查是否有通信线路布线文档，介质清单和使用记录，机房防盗报警设施和监控报警设施的安全资质材料、安装测试/验收报告;查看文档中的条文是否与通信线缆铺设等实际情况一致。

[物理安全]物理访问控制

一、要求内容

a) 机房出入口应安排专人值守并配置电子门禁系统，控制、鉴别和记录进入的人员;

b) 需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围;

c) 应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域;

d) 重要区域应配置第二道电子门禁系统，控制、鉴别和记录进入的人员。

二、实施建议

机房进出通过双向电子门禁系统进行控制，可通过门禁电子记录或填写出入记录单的形式记录进出人员和时间，有能力的单位应当增设保安人员在门外值守;机房的内和外部临近入口区域要安装摄像头保证全部范围覆盖，外来人员进入机房应当由专人全程陪同;对于系统较多、机房面积较大的有能力单位应将机房按系统和设备的重要程度划分不同的单独区域进行物理隔离，采用双向电子门禁系统控制，联通各区域间的通道空间便形成机房的过渡缓冲区。

三、常见问题

很多单位的机房仅采用了单向门禁系统，并且对人员进出缺少完整和严格的记录要求;规模较小的机房通常没有安装监控设施。

四、实施难点

增加机房物理访问控制的措施需要较大的资金投入，加之领导对机房安全的重视程度不够，对于众多小企业，对有限的机房空间实施完整的安全访问控制较难实现。

五、测评方法 形式

访谈，检查。

对象

物理安全负责人，机房值守人员，机房，机房设施(电子门禁系统)，机房安全管理制度，值守记录，进入机房的登记记录，来访人员进入机房的审批记录，电子门禁系统记录，电子门禁验收文档或安全资质，电子门禁运行维护记录。实施 a) 应访谈物理安全负责人，了解具有哪些控制机房进出的能力; b) 应访谈物理安全负责人，如果业务或安全管理需要，是否对机房进行了划分区域管理，是否对各个区域都有专门的管理要求;是否严格控制来访人员进入或一般不允许来访人员进入; c) 应访谈机房值守人员，询问是否认真执行有关机房出入的管理制度，是否对进入机房的来访人员记录在案; d) 应检查机房安全管理制度，查看是否有关于机房出入方面的规定; e) 应检查机房出入口是否有专人值守，是否有值守记录，以及进出机房的来访人员登记记录;检查机房是否存在电子门禁系统控制之外的出入口; f) 应检查机房，是否有进入机房的人员身份鉴别措施，如戴有可见的身份辨识标识; g) 应检查是否有来访人员进入机房的审批记录，进出机房的有关记录是否保存足够的时间; h) 应检查机房区域划分是否合理，是否在机房重要区域前设置交付或安装等过渡区域;是否对不同区域设置不同机房或者同一机房的不同区域之间设置有效的物理隔离装置(如隔墙等); i) 应检查机房和重要区域配置的电子门禁系统是否有验收文档或产品安全认证资质; j) 应检查每道电子门禁系统是否都能正常工作;查看每道电子门禁系统运行、维护记录;查看监控进入机房的电子门禁系统记录，是否能够鉴别和记录进入的人员身份。

[物理安全]物理位置的选择

物理位置项要求包括：

a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内;

b)机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。 实施建议

一般建筑物在防震、防风、防雨基本满足要求

主要是重点机房要满足要求，避免在顶层或地下，一般选择在建筑物2-3层 对于重要行业单位极其重要的主机房和灾备机房，一般要选择自然灾害较少的地区，目标主要集中在北京、上海、深圳、西安、成都等地区

常见问题

项目中经常看到有些客户的机房设置在顶层或地下，也曾发现机房防水做的较差，有空调漏水的现象。还有一些与单位食堂等邻近，也应尽量避免。 实施难点

一般单位由于场地与环境的限制，机房选择不由IT部门决定。领导层由于不了解机房位置方面的隐患，需要技术人员及时告诉领导机房物理安全威胁。测评方法 访谈，检查。

物理安全负责人，机房维护人员，机房，办公场地，机房场地设计/验收文档。 a)应访谈物理安全负责人，询问现有机房和办公场地(放置终端计算机设备)的环境条件是否能够满足信息系统业务需求和安全管理需求，是否具有基本的防震、防风和防雨等能力;询问机房场地是否符合选址要求;机房与办公场地是否尽量安排在一起或物理位置较近; b)应访谈机房维护人员，询问是否存在因机房和办公场地环境条件引发的安全事件或安全隐患;如果某些环境条件不能满足，是否及时采取了补救措施; c)应检查机房和办公场地的设计/验收文档，是否有机房和办公场地所在建筑能够具有防震、防风和防雨等能力的说明;是否有机房场地的选址说明;是否与机房和办公场地实际情况相符合;

d)应检查机房和办公场地是否在具有防震、防风和防雨等能力的建筑内;

e)应检查机房场地是否不在建筑物的高层或地下室，以及用水设备的下层或隔壁。

[物理安全]防雷击

一、要求内容

a) 机房建筑应设置避雷装置;

b) 应设置防雷保安器，防止感应雷;

c) 机房应设置交流电源地线。

二、实施建议

对于有条件和要求较高的机房应当安装避雷装置，并做好相应的接地设施。实施计划应在机房建设初期进行规划。

三、常见问题

多数小企业的机房没有足够的资金投入建立足够的防雷措施。

四、实施难点

由于建立一整套防雷设施需要较高的资金投入，同时需要在机房建设初期就做好规划，后期改建将增加成本的投入。

五、测评方法 形式

访谈，检查，测试。

对象

物理安全负责人，机房维护人员，机房设施，建筑防雷设计/验收文档。 实施 a) 应访谈物理安全负责人，询问为防止雷击事件导致重要设备被破坏采取了哪些防护措施，机房建筑是否设置了避雷装置，是否通过验收或国家有关部门的技术检测;询问机房计算机系统接地是否设置了专用地线;是否在电源和信号线增加有资质的避雷装置，以避免感应雷击;b) 应访谈机房维护人员，询问机房建筑避雷装置是否有人定期进行检查和维护;询问机房计算机系统接地(交流工作接地、安全保护接地、防雷接地)是否符合GB50174-93《电子计算机机房设计规范》的要求;

c) 应检查机房是否有建筑防雷设计/验收文档，查看是否有地线连接要求的描述，与实际情况是否一致; d) 应检查机房是否在电源和信号线增加有资质的避雷装置,以避免感应雷击; e) 应测试机房安全保护地、防雷保护地、交流工作地的接地电阻，是否达到了GB50174-93《电子计算机机房设计规范》的接地电阻要求。

[物理安全]温度和湿度控制

一、要求内容

机房应设置温湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。

二、实施建议

机房内应使用可调节温湿度的空调，尽量保证相对湿度控制在45%-65%，夏季温度控制在23 ±2 ℃，冬季温度控制在20±2℃，温度变化率不超过5℃/h， 并且不得结露。空调系统应连接到机房环境控制系统中统一管理。

三、常见问题

多数单位的机房没有使用能够控制湿度的空调系统。

四、实施难点

带湿度控制的空调价格比较昂贵，且需要对水管的布置进行考虑。可以使用其他方法增加机房内的湿度，使用湿度表进行监控。

五、测评方法 形式

访谈，检查。

对象

物理安全负责人，机房维护人员，机房设施，温湿度控制设计/验收文档，温湿度记录、运行记录和维护记录。

实施 a) 应访谈物理安全负责人，询问机房是否配备了温湿度自动调节设施，保证温湿度能够满足计算机设备运行的要求，是否在机房管理制度中规定了温湿度控制的要求，是否有人负责此项工作; b) 应访谈机房维护人员，询问是否定期检查和维护机房的温湿度自动调节设施，询问是否没有出现过温湿度影响系统运行的事件;应检查机房是否有温湿度控制设计/验收文档，是否能够满足系统运行需要，是否与当前实际情况相符合; d) 应检查温湿度自动调节设施是否能够正常运行，查看温湿度记录、运行记录和维护记录;查看机房温、湿度是否满足GB 2887-89《计算站场地技术条件》的要求。

[物理安全]防火

一、要求内容 a) 机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火;

b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;

c) 机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。

二、实施建议

在机房内安装温感或烟感探测器，连接到机房环境检测系统中;采用的灭火方式尽量选择气体灭火系统，如CO

2、FM-200、气溶胶和烟烙尽等。对于重要的核心设备区域应建立防火隔离区域。

三、常见问题

多数小企业没有足够能力在机房中安装气体灭火系统，通常机房都是在写字楼房间的基础上改建的，火警检测装置也大都是写字楼原来的，无法实现自行监控;机房建筑材料上也不能使用耐火材料。

四、实施难点

由于气体灭火系统、火警检测系统和耐火建筑材料的使用需要大量的资金投入，对于能力有限的企业难以实现，应尽量采取其他替代方法。

五、测评方法 形式

访谈，检查。

对象

物理安全负责人，机房维护人员，机房值守人员，机房设施，机房安全管理制度，机房防火设计/验收文档，自动消防系统运行维护记录，自动消防系统设计/验收文档。

实施 a) 应访谈物理安全负责人，询问机房是否设置了灭火设备，是否设置了自动检测火情、自动报警、自动灭火的自动消防系统，是否有专人负责维护该系统的运行，是否制订了有关机房消防的管理制度和消防预案，是否进行了消防培训; b) 应访谈机房维护人员，询问是否对火灾自动消防系统定期进行检查和维护; c) 应访谈机房值守人员，询问对机房出现的消防安全隐患是否能够及时报告并得到排除;是否参加过机房灭火设备的使用培训，是否能够正确使用灭火设备和自动消防系统(喷水不适用于机房);是否能够做到随时注意防止和消灭火灾隐患; d) 应检查机房是否设置了自动检测火情(如使用温感、烟感探测器)、自动报警、自动灭火的自动消防系统，摆放位置是否合理，有效期是否合格;应检查自动消防系统是否正常工作，查看运行记录、报警记录、定期检查和维修记录; e) 应检查是否有机房消防方面的管理制度文档;检查是否有机房防火设计/验收文档;检查是否有机房自动消防系统的设计/验收文档，文档是否与现有消防配置状况一致;检查是否有机房及相关房间的建筑材料、区域隔离防火措施的验收文档或消防检查验收文档; f) 应检查机房是否采取区域隔离防火措施，将重要设备与其他设备隔离开。

[物理安全]防水和防潮

一、要求内容

a) 水管安装，不得穿过机房屋顶和活动地板下; b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透;

c) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透;

d) 应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。

二、实施建议

在设计机房前应当规定水管安装，不得穿过机房屋顶和活动地板下;机房顶棚、地面和四周应做好防水处理，并加装防水检测和报警设施连接到机房环境监控系统中;有能力的机房可在机房顶部安装防漏水设施，在机房地面修建地漏、泄水槽和配置排水设备;机房内应使用可调节湿度的空调，空调应依据机房面积和设备数量安装，尽量保证设备工作在湿度45-60%之间。

三、常见问题

多数企业没有机房建设要求;只使用了普通的温度控制空调;没有安装防水检测系统

四、实施难点

完整的防水系统需要的资金投入较大，因此在建设机房初期就应当尽可能选择没有水管经过的房间和尽量不靠近建筑物外侧墙壁的地方。

五、测评方法 形式

访谈，检查。

对象

物理安全负责人，机房维护人员，机房设施，建筑防水和防潮设计/验收文档，机房湿度记录，防水防潮处理记录，除湿装置运行记录。

实施

a) 应访谈物理安全负责人，询问机房建设是否有防水防潮措施;如果机房内有上下水管安装，是否避免穿过屋顶和活动地板下，穿过墙壁和楼板的水管是否采取了的保护措施，如设置套管;在湿度较高地区或季节是否有人负责机房防水防潮事宜，配备除湿装置;

b) 应访谈机房维护人员，询问机房是否没有出现过漏水和返潮事件;如果机房内有上下水管安装，是否经常检查是否有漏水情况;如果出现机房水蒸气结露和地下积水的转移与渗透现象是否采取防范措施;

c) 应检查机房是否有建筑防水和防潮设计/验收文档，是否与机房防水防潮的实际情况一致;

d) 如果有管道穿过主机房墙壁和楼板处，应检查是否有必要的保护措施，如设置套管等;

e) 应检查机房是否不存在窗户、屋顶和墙壁等出现过漏水、渗透和返潮现象，机房及其环境是否不存在明显的漏水和返潮的威胁;如果出现漏水、渗透和返潮现象是否能够及时修复解决;

f) 如果在湿度较高地区或季节，应检查机房是否有湿度记录，是否有除湿装置并能够正常运行，是否有防止出现机房地下积水的转移与渗透的措施，是否有防水防潮处理记录和除湿装置运行记录，与机房湿度记录情况是否一致;

g) 如果机房受到漏水威胁很高，应检查是否设置水敏感的检测仪表或元件，对机房进行防水检测和报警，查看该仪表或元件是否正常运行以及运行记录，是否有人负责此项工作。

[物理安全]电磁防护

一、要求内容

a) 应采用接地方式防止外界电磁干扰和设备寄生耦合干扰;

b) 电源线和通信线缆应隔离铺设，避免互相干扰;

c) 应对关键区域实施电磁屏蔽。

二、实施建议

通过将机架外壳接地的方式可以降低外界的电子干扰，对于要求较高的机房，如CA机房需要建立屏蔽室;机房布线要严格按照规定，强、弱电线路尽量原理，使用交叉走线，避免平行轴线;使用铁质线槽可以抵御电磁干扰并有效保护线缆安全。

三、常见问题

普通机房一般没有建立电磁防护设施;主要问题是机房内的走线比较混乱，尤其是在后期的使用过程中，某些公司的机房内有随意扯线的现象。

四、实施难点

建立完全电磁屏蔽的机房需要巨大的资金投入。

五、测评方法 形式

访谈，检查。对象

物理安全负责人，机房维护人员，机房设施，电磁防护设计/验收文档，电子屏蔽装置或屏蔽机房设计/验收文档，电磁泄露测试报告。

实施 a) 应访谈物理安全负责人，询问是否有防止外界电磁干扰和设备寄生耦合干扰的措施(包括设备外壳有良好的接地;电源线和通信线缆隔离等);是否对处理秘密级信息的设备和磁介质采取了防止电磁泄露的措施;是否在必要时对机房采用了电子屏蔽或安装屏蔽机房; b) 应访谈机房维护人员，询问是否对设备外壳做了良好的接地;是否做到电源线和通信线缆隔离;是否出现过因电磁防护问题引发的故障;处理秘密级信息的设备是否为低辐射设备;重要设备和磁介质是否存放在具有电磁屏蔽功能的容器中; c) 应检查机房是否有电磁防护设计/验收文档，与实际情况是否一致;是否有电子屏蔽或屏蔽机房设计/验收文档;是否有电子屏蔽或屏蔽机房的管理制度文档;d) 应检查机房是设备外壳是否有安全接地; e) 应检查机房布线，查看是否做到电源线和通信线缆隔离; f) 应检查磁介质是否存放在具有电磁屏蔽功能的容器中; g) 如果对机房采用了电子屏蔽，应检查在机房有设备运行时是否开启了电子屏蔽装置;如果安装了屏蔽机房，应检查进入机房的电源线和非光纤通信线是否经过滤波器，光纤通信线是否经过波导管，机房门是否及时关闭，屏蔽机房是否定期测试电磁泄露，应查看电磁泄露测试报告; h) 如果对机房采用了电子屏蔽或安装了屏蔽机房，应测试屏蔽机房的电磁泄露状况(参考标准GB12190-90 高性能屏蔽效能的测量方法)。

[物理安全]电力供应

一、要求内容 a) 应在机房供电线路上配置稳压器和过电压防护设备; b) 应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求; c) 应设置冗余或并行的电力电缆线路为计算机系统供电; d) 应建立备用供电系统。

二、实施建议

在电线路上配置稳压器和过电压防护设备以保证在电压突然变化时不影响到设备的正常运行;需要配备足够的UPS保证在段时间内断电的运行或至少保证服务器有足够的关机时间;机房电源应采取冗余形式，一般至少有2家不同的供电公司供电;有条件的企业可以配备发电机保证较长时间的应急供电。

三、常见问题

有些公司机房虽然配备了UPS设备，但对UPS没有定期进行可用性测试;多数公司由于受国家供电系统或楼宇供电的限制，只有一路供电。对于供电系统承载的负荷缺少明确要求。

四、测评方法 形式

访谈，检查。

对象

物理安全负责人，机房维护人员，机房设施，电力供应安全设计/验收文档，检查和维护记录。

实施 a) 应访谈物理安全负责人，询问计算机系统供电线路上是否设置了稳压器和过电压防护设备;是否设置了短期备用电源设备(如UPS)，供电时间是否满足系统最低电力供应需求;是否安装了冗余或并行的电力电缆线路(如双路供电方式);是否建立备用供电系统(如备用发电机); b) 应访谈机房维护人员，询问是对在计算机系统供电线路上的稳压器、过电压防护设备、短期备用电源设备、电力电缆线路以及备用供电系统等进行定期检查和维护;是否能够控制电源稳压范围满足计算机系统正常运行; c) 应访谈机房维护人员，询问冗余或并行的电力电缆线路(如双路供电方式)在双路供电切换时是否能够对计算机系统正常供电;备用供电系统(如备用发电机)是否能够在规定时间内正常启动和正常供电; d) 应检查机房是否有电力供应安全设计/验收文档，查看文档中是否标明配备稳压器、过电压防护设备、备用电源设备、冗余或并行的电力电缆线路以及备用供电系统等要求;查看与机房电力供应实际情况是否一致; e) 应检查机房，查看计算机系统供电线路上的稳压器、过电压防护设备和短期备用电源设备是否正常运行，查看供电电压是否正常; f) 应检查是否有稳压器、过电压防护设备、短期备用电源设备以及备用供电系统等电源设备的检查和维护记录，以及冗余或并行的电力电缆线路切换记录，备用供电系统运行记录;以及上述计算机系统供电的运行记录，是否能够符合系统正常运行的要求; g) 应测试安装的冗余或并行的电力电缆线路(如双路供电方式)，是否能够进行双路供电切换; h) 应测试备用供电系统(如备用发电机)是否能够在规定时间内正常启动和正常供电。 [物理安全]防静电

一、要求内容

a) 设备应采用必要的接地防静电措施;

b) 机房应采用防静电地板;

c) 应采用静电消除器等装置，减少静电的产生。

二、实施建议

机房设备应尽量做防静电处理，使用防静电地板，有能力的企业可使用静电消除设备，减少机房内静电发生的可能。

三、常见问题

一般机房缺少对静电控制方面的要求，也没有严格的实施。

四、实施难点

增加防静电手段会增加机房建设的成本。

五、测评方法 形式

访谈，检查。

对象

物理安全负责人，机房维护人员，设备，机房设施，防静电设计/验收文档，除湿操作记录。

实施 a) 应访谈物理安全负责人，询问机房是否采用必要的接地防静电措施;在静电较强地区的机房是否采取了有效的防静电措施; b) 应访谈机房维护人员，询问机房是否存在静电问题或因静电引起的故障事件;如果存在静电时是否及时采取消除静电的措施; c) 应检查机房是否有防静电设计/验收文档，与实际情况是否一致; d) 应检查机房是否有安全接地，查看机房是否不存在明显的静电现象; e) 应检查机房是否采用了防静电地板; f) 如果在静电较强的地区，应检查机房是否采用了如防静电工作台、以及静电消除剂和静电消除器等措施;应查看使用静电消除剂或静电消除器等的除湿操作记录。