系统安全建设要求

2022-07-21

第一篇：系统安全建设要求

金融系统场所安全技术防范要求

核心摘要:本标准规定了本市金融营业场所安全技术防范系统的设计、施工、检验、验收和维护。

本标准适用于本市银行、信用社、邮政储蓄、证券、保险等金融营业场所。

前言

根据《企业事业单位内部治安保卫条例》、《上海市社会公共安全技术防范管理办法》的规定，参照《银行营业场所风险等级和防护级别的规定》(GA38)制定本标准。

本标准是本市金融营业场所重要部位安全技术防范系统设计、施工、检验、验收和维护的依据。

本标准4.1.1表1《金融营业场所安全技术防范设施基本配置表》中序号

8、

21、22和4.2.1.4c)、4.2.1.5b)、4.2.1.7b)、4.2.4.2、4.2.4.

3、4.2.7.5为推荐性条款，其余为强制性条款。

本标准由上海市公安局技术防范办公室提出。

本标准主要起草单位：上海市公安局技术防范办公室、上海市金融服务办公室、中国人民银行上海分行、中国银行业监督管理委员会上海监管局。

本标准参加起草单位：公安部第三研究所、中国工商银行上海市分行、兴业银行上海分行、中国民生银行上海分行、上海融谷软件有限公司、上海百科工贸有限公司、上海华盛技术开发有限公司、上海同济天跃科技有限公司。

本标准主要起草人：孙廷华、彭兴宝、张欣、刘晓新、陶焱升、孙亮

本标准由上海市社会公共安全技术防范标准化技术委员会归口。

本标准于2005年7月首次制订。

重点单位重要部位安全技术防范系统要求

第3部分：金融营业场所

1 范围

本标准规定了本市金融营业场所安全技术防范系统的设计、施工、检验、验收和维护。本标准适用于本市银行、信用社、邮政储蓄、证券、保险等金融营业场所。 2 规范性引用文件

下列文件中的条款通过本标准引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。

GB/T 7401 彩色图像质量主观评价方法

GB 10408.1 入侵探测器第1部分：通用要求

GB 10408.3 入侵探测器第3部分：室内用微波多普勒探测器

GB 10408.4 入侵探测器第4部分：主动红外入侵探测器

GB 10408.5 入侵探测器第5部分：室内用被动红外入侵探测器

GB 10408.6 微波和被动红外复合入侵探测器

GB/T 10408.8 振动入侵探测器

GB 12663 防盗报警控制器通用技术条件 GB 15209 磁开关入侵探测器 GB17565 防盗安全门通用技术条件 GB17840 防弹玻璃

GB 50198-1994 民用闭路监视电视系统工程技术规范

GB 50348 安全防范工程技术规范

GA/T75 安全防范工程程序与要求

GA 165 防弹复合玻璃 GA 308 安全防范系统验收规则 GA/T 367 视频安防监控系统技术要求

GA/T 368 入侵报警系统技术要求

GA/T 394 出入口控制系统技术要求 JR/T0003 银行金库

DB31/295 安全技术防范监控用硬盘录像机通用技术要求

3术语和定义

下列术语与定义适用于本标准。 3.1

营业网点

金融机构开办现金出纳、有价证券交易和办理其他重要票据交易的金融服务场所。 3.2

自助银行服务网点(自助网点)

金融机构设立的客户可自行完成存款、取款、转帐和查询等金融服务的电子化无人值守营业网点。 3.3

现金业务库房

金融机构存放现金、有价证券、重要凭证、金银等的场所。 3.4

现金自助服务设备

金融机构提供给客户用于自行完成存款、取款、转帐和查询业务的设备。设立在营业网点和自助网点以外的称为离行式单体现金服务设备。 3.5

远程安防监控系统(远程监控系统)

对分布在不同地区安防子系统所采集的图像、报警、人员出入等相关信息进行异地集中显示、记录、控制的系统。

4 系统设计和施工要求 4.1 总体要求

4.1.

1安全技术防范系统的设计原则应符合GB 50348-2004第3章的规定，并应根据表1设置安全技术防范系统。

4.1.2 安全技术防范系统的设计、施工程序应符合GA/T 75的规定。 4.1.3 金融营业场所内设有现金业务库房的应符合JR/T0003的规定。 4.1.4 金融营业场所的安全技术防范系统建设应纳入工程建设的总体规划，并应综合设计、同步施工、独立验收、同时交付使用。 4.2 系统组成和设计施工 4.2.1 视频安防监控系统

4.2.1.

1系统由各类前端摄像机、传输网络、控制装置、记录与显示装置等组成。 4.2.1.

2摄像机安装应牢固，且应固定焦距和方向，并减少或避免图像出现逆光。 4.2.1.

3摄像机工作时，监视范围内的平均照度宜不小于200Lx。

4.2.1.4 营业网点、自助网点门外安装的摄像机，通过监视屏应能清楚的显示门外街面车辆、人员的活动情况。

4.2.1.

5营业网点、自助网点出入口安装的摄像机应符合以下要求： a) 不应有盲区;

b) 通过监视屏应能清楚地显示出入人员面部特征; c) 出入人员面部的有效画面宜不小于监视屏显示画面的1/60。

表1金融营业场所安全技术防范设施基本配置表

序号 1 2 3 4 5 6 7 8

视

频

安

营业网点、自助网点门外

强制项目

安装区域或覆盖范围

配置要求

营业网点、自助网点出入口现金自助服务设备处

强制强制

营业网点、自助网点运钞车交接款处营业网点现金柜台处

强制强制

防彩色摄像机监

控

营业网点营业厅客户区域强制

自助网点出入口刷卡处营业网点内通道、电梯轿厢内

强制推荐 9 系

10 统

12 控制、记录与显示装置

13 远程安防监控系统 14

15 入侵探测器

16 入

侵 17 报

18 警紧急报警装置系

19 统

20 控制、记录系统

21 出入口控制系统

22 23 声音复核装置 24 电话来电显示系统

25 实防尾随联动互锁安全门 26 体金属防护门或防盗安全门27 防防盗栅栏金属网罩

护

28 装防弹(复合)玻璃安防中心控制室、计算机室营业网点现金清点处

营业网点现金暂存处

安防中心控制室、离行式单体现金服

务设备处

自助网点处

营业网点与外界相通的出入口营业网点二层(含二层)以下与外界

相通的窗户、玻璃幕墙处

现金自助服务设备处、自助网点内部加、取款处

营业网点现金柜台处

营业网点、自助网点安防中心控制室

自助网点内部加、取款处

安防中心控制室或出入口通道处、离

行式单体现金服务设备处

自助网点处

营业网点现金暂存处

营业网点现金柜台处

营业网点电话总机或对外公开的服

务、咨询电话

营业网点现金柜台出入口

营业网点出入口和自助网点内部加、

取款处出入口

营业网点二层(含二层)以下与外界

相通的窗户、玻璃幕墙，现金柜台内

所有对外通风口

营业网点现金柜台强制强制

强制

强制强制

强制

强制强制

强制

推荐推荐

强制

29 置收银槽营业网点现金柜台强制

4.2.1.6

现金自助服务设备处安装的摄像机应符合以下要求：

a) 通过监视屏应能清楚地显示金融机构人员加、取款的全过程以及客户的正面面部特征和存取款的操作过程，但不应看到客户密码;

b) 客户的正面面部有效画面宜不小于监视屏显示画面的1/30。

4.2.1.7

营业网点、自助网点运钞车交接款处安装的摄像机，通过监视屏应能清楚地显示运钞交接款全过程。

4.2.1.8

营业网点每个现金柜台均应安装摄像机并符合以下要求：

a) 通过监视屏应能清楚地显示在该现金柜台的客户正面面部特征和存取款的操作过程，但不应看到客户密码;

b) 客户的正面面部有效画面宜不小于监视屏显示画面的1/60。

4.2.1.9

营业厅客户区域安装的摄像机，通过监视屏应能清楚地显示该区域内所有人员活动的情况。 4.2.1.10

自助网点安装出入口控制系统时，应在刷卡处安装摄像机，通过监视屏应能清楚地显示刷卡人员的体貌特征和刷卡操作情况。

4.2.1.11 安防中心控制室、计算机室安装的摄像机，通过监视屏应能清楚地显示出入人员的活动情况。 4.2.1.12 营业网点现金清点处安装的摄像机，通过监视屏应能清楚地显示清点人员操作的全过程。 4.2.1.13 营业网点现金暂存处内安装的摄像机，通过监视屏应能清楚地显示暂存处区域内人员的活动情况。 4.2.1.1

4营业网点电梯轿厢内的摄像机应安装在电梯厢门前上方的一侧，且应配置电梯楼层信号叠加器。 4.2.1.15 摄像机在标准照度下，视频安防监控系统图像信号的技术指标应不低于GB 50198规定的评分等级4级的要求，回放图像质量不应低于3级的要求。

4.2.1.16

系统应能切换图像,并具有时间、日期的字符叠加、记录功能，时间误差应在±30s以内。字符叠加不应影响图像记录效果。

4.2.1.17 系统应采用硬盘录像机进行图像记录，并与营业(工作)时间同步。图像记录帧速应不少于24frame/s，记录保存时间应不少于30天。硬盘录像机应符合DB 31/295的要求。

4.2.1.18

视频安防监控系统设计、安装的其他要求应符合GA/T367的有关规定。 4.2.2 远程监控系统

4.2.2.1 自助网点应实施24h远程监控。

4.2.2.2 远程监控中心应能任意切换监控图像，并能进行远程监听和录像资料回放,有人员进入自助网点时，应具有声光提示信号。

4.2.2.3 远程监控的监视图像应能清楚地显示自助网点内人员的活动情况，显示图像帧速应不少于6frame/s，监视图像应有自助网点名称、日期和时间的字符叠加，字符叠加不应影响图像记录效果。 4.2.2.4 远程监控中心与自助网点应安装双向语言通话系统，通话音质应清晰可辨。

4.2.2.5 自助网点的入侵报警系统，应与远程监控中心联网。设有出入口控制系统的，远程监控中心应能控制出入口门锁的开关。 4.2.3 入侵报警系统

4.2.3.

1系统由各类入侵探测器、紧急报警装置、传输网络、防盗报警控制器(报警控制主机)、告警器等组成。

4.2.3.2 营业网点与外界相通的出入口、二层(含二层)以下与外界相通的窗户、玻璃幕墙应安装入侵探测器。

4.2.3.3 在现金自助服务设备的左右两侧中央水平线高度处应分别安装振动入侵探测器，内部加、取款处应安装被动红外入侵探测器。

4.2.3.4 营业网点每个现金柜台应安装紧急报警装置。现金柜台相邻席位之间无间隔的，在保证操作方便的情况下2个席位可共用1个紧急报警装置。

4.2.3.5 营业网点现金柜台有2个(含)以上的，紧急报警装置应设置2个(含)以上防区，相邻紧急报警装置不应设置在同一个防区，每个防区的紧急报警装置数不应超过4个。 4.2.3.6 紧急报警装置应安装在隐蔽、便于操作的部位。

4.2.3.7 紧急报警采用公共电话网传输的系统，不应在通讯线路上挂接其它通信设施。 4.2.3.8 紧急报警装置应设置为不可撤防模式，并具有防误触发措施，触发报警后应能立即发出紧急报警信号并自锁，复位需采用人工操作方式，同时应启动现场声光告警器。

4.2.3.9 现场声光告警器应安装在营业网点门外或门内的醒目处，其报警声压应不小于100dBA，报警持续时间应不小于5min。除紧急报警信号外，入侵报警系统的其他报警信号不应启动现场声光告警器。

4.2.3.10 金融营业网点安装室内入侵探测器应符合以下要求：

壁挂式被动红外入侵探测器安装高度距地面宜为2.2m±0.2m，其视场中心轴与可能入侵目标方向之间的夹角宜为90。±5。，入侵探测器与墙壁的倾角视防护区域覆盖要求确定;

b) 壁挂式微波和被动红外复合式入侵探测器安装高度宜为2.2m±0.2m，其视场中心轴与可能入侵目标方向之间的夹角宜为45。±5。，入侵探测器与墙壁的倾角视防护区域覆盖要求确定;

吸顶式被动红外入侵探测器，应水平安装在需要防护部位的上方;

d) 微波、被动红外入侵探测器的视窗应避开正对强光源，附近及视场内不应有温度快速变化的热源，防护区内不应有障碍物;

e) 磁开关入侵探测器应安装在门、窗开合处(干簧管安装在门、窗框上，磁铁安装在门、窗扇上，两者间应对准)，间距应保证能可靠工作;

f) 振动入侵探测器应牢固安装在被探测部位的表面，在探测范围内受到大于100N外力敲击时应能感应并输出报警信号，并应设置为不可撤防模式;

g) 其他入侵探测器安装应按产品技术说明书的规定。

4.2.3.11 防盗报警控制器应安装在便于日常维护、检修的部位，并置于入侵探测器的防护范围内。操作键盘应安装在营业网点内，并将最终防区设置为延时状态。

4.2.3.12 防盗报警控制器应能接收入侵探测器和紧急报警装置发出的报警及故障信号，具有布防和撤防、不可撤防模式、外出与进入延迟的设置和编程，以及自检、防破坏、声光报警、报警记录与储存、打印输出、密码操作保护等功能，能准确地识别报警区域，实时显示发生报警的区域、日期、时间及报警类型等信息。

4.2.3.13 入侵报警系统应与所在地公安“110”接处警服务中心联网，报警响应时间应不大于20s。 4.2.3.14 入侵报警系统布防、撤防、报警、故障等信息的存储应不少于30天。 4.2.3.15 入侵报警系统的备用电源应满足8h正常工作。 4.2.3.16 入侵探测器其他技术要求应符合GB 10408.1、GB 10408.

3、GB 10408.4 、GB 10408.5、GB 10408.

6、GB/T 10408.8、GB 15209的要求。

4.2.3.17 防盗报警控制器其他技术要求应符合GB 12663的要求。 4.2.3.18 入侵报警系统的其他技术要求应符合GA/T 368的要求。 4.2.4 出入口控制系统

4.2.4.1 系统由识读(显示)装置、传输网络、管理控制器、记录设备、执行机构等组成。 4.2.4.2 自助网点出入口宜设置出入口控制系统。

4.2.4.3 营业网点现金暂存处出入口宜安装生物特征识读装置的出入口控制系统。 4.2.4.4 系统应符合GA/T 394的要求 4.2.5 声音复核装置

营业网点每个现金柜台应配置声音复核装置，在营业时间内应与视频图像信号同步记录。声音记录应能清晰辨别营业员与客户的对话内容。 4.2.6 电话来电显示系统

营业网点的电话总机或公开对外的电话应具有来电显示功能。 4.2.7 安防中心控制室

4.2.7.1 视频安防监控、入侵报警(紧急报警)的终端设备均应设置在安防中心控制室，能实现对各子系统的操作、记录和打印。

4.2.7.

2应安装紧急报警装置，并符合4.2.3.13的规定。

4.2.7.3 有人值守的场所应配置能与报警同步的终端图形显示装置，能准确地识别报警区域，实时显示发生警情的区域、日期、时间及报警类型等信息。

4.2.7.4 有人值守的场所应配备有线、无线专用通讯工具和专用防护器械。 4.2.7.5 安防中心控制室可单独设置，也可设置在符合规定的其它场所。 4.2.8 实体防护装置

4.2.8.1 营业网点现金柜台不应正对出入口设置，内部不应设置窗户和与外界相通的后(边)门、玻璃幕墙。 4.2.8.2 营业网点现金柜台出入口应安装防尾随联动互锁安全门。其与外界相通的门应由内向外开启，现金柜台一侧的门体或箱体上应具有不小于200mmx200mm的可视窗，可视窗应采用防弹(复合)玻璃制作。闭门器在开启30。时应能自动关闭，未关闭时应发出声响报警提示信号。同时具有主、备电源自动切换、充电和应急开、关门功能。

4.2.8.3 营业网点二层(含二层)以下与外界相通的窗户应安装防盗栅栏，玻璃幕墙应安装防盗栅栏或粘帖防暴薄膜。

4.2.8.4 营业网点现金柜台内部安装对外通风装置的，其通风通道应呈“S”型，直径应不大于200mm，并加装金属网罩。

4.2.8.5 营业网点现金柜台内部不与外界相通的玻璃幕墙，应采用防弹(复合)玻璃制作。

4.2.8.6 营业网点现金柜台基座应采用砖石或钢筋混凝土结构，柜台高度应不小于800mm、宽度应不小于500mm。基座台面、立柱和横梁应为砖石或金属结构，其中立柱、横梁应采用规格不小于63x63x5mm的角钢(或与之强度相当的材料)，并用扁铁焊接固定成基材。横梁采用膨胀螺丝固定时，螺丝直径不小于12mm。立柱下端嵌入基座的深度应不小于300mm，上端应接墙顶或横梁焊接固定。柜台上方应安装防弹(复合)玻璃。

4.2.8.7 营业网点现金柜台上方单块防弹(复合)玻璃高度应不小于1500mm，宽度应不大于1800mm，单块玻璃面积应不大于4m2。安装时，应三边嵌入凹槽，嵌入深度应不小于20mm，防弹(复合)玻璃的厚层玻璃应向柜台外侧。采用两块防弹(复合)玻璃交错安装时，大块防弹(复合)玻璃应安装在现金柜台外侧且非嵌入端朝下，小块防弹(复合)玻璃应安装在现金柜台内侧且高度300mm±25mm，交错部位宽度不小于100mm，交错部位内外的间隙不大于20mm。防弹(复合)玻璃上不得开孔。

4.2.8.8 防弹(复合)玻璃顶端以上未及顶部分应封至顶部，距离墙顶大于500 mm的，应牢固安装突兀式灯箱或钢筋防护网，钢筋防护网的钢筋直径应不小于8mm，网孔直径应不大于60mm。

4.2.8.9 每个现金柜台柜面中间应设置300mm(长)×200mm(宽)×150mm(高，以槽底计算)底部为弧形的收银槽，上方应安装能移动的金属盖板或金属栅栏盖板，金属盖板的厚度应不小于3mm，金属栅栏的栅栏直径应不小于6mm，栅栏与栅栏的中心距离应不大于16mm。

4.2.8.10 自助网点内部加、取款处应单独设置，与营业厅客户区域隔断，出入口处应安装金属防护门或防盗安全门。

4.2.8.11 防盗安全门应符合GB17565的规定。 4.2.8.12 防弹玻璃应符合GB17840的规定。 4.2.8.13 防弹复合玻璃应符合GA 165的规定。 5 检验、验收、维护

5.1 安全技术防范系统竣工后应进行检验。系统检验应按GB 50348的规定进行。 5.2 安全技术防范系统竣工后应按照本标准第4章和GB 503

48、GA 308的规定进行验收。

5.3 安全技术防范系统应保持良好的运行状态，定期进行维护保养。系统出现故障后，应及时修复并定期进行检测、维护、保养。

第二篇：上海市教育系统网络信息安全技术要求

上海市教育委员会文件

沪教委科„2010‟2号

上海市教育委员会关于印发

《上海市教育系统网络信息安全技术要求》的通知

各高等学校，各区县教育局，市教委各直属单位：

根据《上海市教育委员会关于加强本市教育系统网络与信息安全工作的通知》(沪教委办„2009‟62号)，为切实做好2010年上海世博会期间本市教育系统的网络与信息安全保障工作，现结合本市教育单位现状，并根据公安部等《信息安全等级保护管理办法》(公通字„2007‟43号)、《关于开展信息安全等级保护安全建设整改工作的指导意见》(公信安„2009‟1429号)，制定《上海市教育系统网络信息安全技术要求》(见附件)，各单位应本着“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，对照要求，深化本单位网络与信息系统安全防护，切实做好安全管理工作，确保网络信息系统安全。

特此通知。

— 1 — 附件：上海市教育系统网络信息安全技术要求

上海市教育委员会二○一○年一月十三日

主题词：教育

学校

信息

安全

通知上海市教育委员会办公室

2010年1月14日印发

(共印120份)

— 2 — 附件：

上海市教育系统网络信息安全技术要求

一、物理安全要求

网络设备如交换器、服务器等应放置在符合产品规定要求的可靠场所。网络设备放置场所应具备物理访问控制、防盗窃和防破坏、防雷击、防火防水和防潮、防静电等基本条件，还应当能够进行温湿度控制，具有良好的电力供应并做好电磁防护。

非工作人员对重要网络设备放置区域的访问必须经过有关负责人的批准并由专人陪同或在专人监督下进行，并记录备案。

二、网络安全要求 1.结构安全

应保证关键网络设备的业务处理能力具备冗余空间，以满足业务高峰期需要;

关键网络设备及链路应有备份(冷备份或者热备份); 应保证接入网络和核心网络的带宽满足业务高峰期需要。 2.访问控制

应增强网络边界设备的访问控制粒度，增加安全审计、边界完整性检查、入侵防范及恶意代码防护等设备;

应在网络出口处对网络的连接状态进行监控，并能及时报警和阻断; 对所有网络设备的登录应保证鉴别标识唯一和鉴别信息复杂等要求。

三、主机系统安全要求 1.PC机系统安全要求

— 3 — 对PC机应进行基本的防护，要求主机做到简单的身份鉴别、粗粒度的访问控制以及能够进行恶意代码防范并及时升级。

2.服务器系统安全要求

对主机应进行基本的防护，要求主机做到身份鉴别、访问控制以及能够进行恶意代码防范;

用户只能根据自己的权限大小来访问系统资源，不得越权访问; 要求对服务器用户行为、系统异常情况等基本情况进行审计、记录; 服务器应仅安装必要的系统组件和服务，并设置升级服务器方式以及时更新操作系统和应用软件;

服务器应安装实时检测和查杀恶意代码的软件产品，并及时升级; 服务器操作系统和数据库系统的口令应具有一定的复杂度、不易被冒用;

服务器应通过设定终端接入方式、网络地址范围等条件限制终端登录;

服务器应安装防火墙，仅开放满足应用系统要求的最低数量的端口，其余端口应予以关闭。

四、应用安全要求

对应用进行基本的防护，要求做到身份鉴别，细粒度的访问控制以及数据有效性检验等基本防护，应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计;

系统用户身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更改等;

应定时对重要信息进行有选择的数据备份;

— 4 — 应提供恢复重要信息的功能;

应提供重要网络设备、通信线路和服务器的硬件冗余。

五、数据安全及备份恢复

为确保数据完整性，应对重要用户数据传输过程提出的要求，能够检测出数据完整性是否受到破坏，同时能够对重要信息进行备份;

要求鉴别信息和重要业务数据在传输过程中都要保证数据完整性。要求实现鉴别信息存储保密性，实现备份冗余。

六、管理要求

应落实“安全技术负责人”制度，安全技术责任人作为安全专员负责信息网络安全评估、安全技术方案制订和实施，并对安全事故负责;

应开展安全意识教育和培训;

应告知相关人员的安全责任和惩戒措施;

应制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训;

应对安全教育和培训的情况和结果进行记录并归档保存。应加强与兄弟院校、公安机关、网络运营商的合作与沟通，以便在发生安全事件时能够得到及时的支持。

七、系统运维管理要求

应对机房运行环境进行日常检查记录，包括温度、湿度、电力等; 应对信息系统的日常运行进行监控，包括各类系统的运行状态(例如CPU负载、内存使用率、磁盘状态、电源状态等)、是否存在异常进程等;

应进行网络系统漏洞扫描，对发现的网络系统安全漏洞进行及时的修补;

— 5 — 应对网络设备的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志等方面做出具体要求;

应定期安装系统的最新补丁程序，并根据厂家提供的可能危害计算机的漏洞进行及时修补，并在安装系统补丁前对现有的重要文件进行备份。

八、应急处置要求

应制定应急预案，并进行训练和演练;并配备照相机等记录取证设备，在应急操作中随时记录;

应严格执行网络巡检制度，做好日常巡查及日志保存工作，以及时发现问题并及时处置突发性安全事件，发现异常情况应启动应急预案，并判定应急事件级别，根据级别上报相关单位;

应急处置过程中，应先界定事件发生原因，并根据自然灾害与人为破坏两种情况进入以下两类应急处置流程：

自然灾害处置流程：应根据实际情况，在保障人身安全的前提下，首先保障数据的安全，然后是设备安全。具体方法包括：硬盘的拔出与保存，设备的断电与拆卸、搬迁等。

人为破坏处置流程：首先判断破坏的来源与性质，断开影响安全与稳定的信息网络设备，断开与破坏来源的网络物理连接，跟踪并锁定破坏来源的IP地址或其它网络用户信息，修复被破坏的信息，恢复信息系统。按照事件发生的性质分别采用相应方案。

应及时报告处置工作进展情况，直至处置工作结束。在必要的情况下可根据危害程度适当地发布预警。

— 6 —

第三篇：中小学、幼儿园安全技术防范系统要求

1 范围

本标准规定了中小学校和幼儿园安全技术防范系统基本要求、重点部位和区域及其防护要求、系统技术要求、保障措施等。

本标准适用于各类中小学、幼儿园(以下统称学校)，其他未成年人集中教育培训机构或场所参照执行。 2 规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。

GB/T 7401 彩色电视图像质量主观评价方法 GB/T 15408-2011 安全防范系统供电技术要求 GB 50348 安全防范工程技术规范

GB 50394 入侵报警系统工程设计规范

GB 50395 视频安防监控系统工程设计规范 GB 50396 出入口控制系统工程设计规范 GA/T 644 电子巡查系统技术要求

GA/T 678 联网型可视对讲系统技术要求 3 术语和定义

GB 503

48、GB 5039

4、GB 5039

5、GB 50396中界定的术语和定义适用于本文件。

4 基本要求

4.1 学校安全技术防范系统建设，应符合国家现行相关法律、法规的规定。 4.2 安全技术防范系统建设应统筹规划，坚持人防、物防、技防相结合的原则，以保障学生和教职员工的人身安全为重点。

4.3 学校安全技术防范系统中使用的产品应符合国家现行相关标准的要求，经检验或认证合格，并防止造成对人员的伤害。 4.4 学校安全技术防范系统应留有联网接口。 5 防护要求

5.1 重点部位和区域

5.1.1 下列部位和区域确定为学校安全技术防范系统的重点部位和区域：

a) 学校大门外一定区域; b) 学校周界; c) 学校大门口;

d) 门卫室(传达室);

e) 室外人员集中活动区域;

f) 教学区域主要通道和出入口;

g) 学生宿舍楼(区)主要出入口和值班室;

h) 食堂操作间和储藏室及其出入口、就餐区域; i) 易燃易爆等危险品储存室、实验室; j) 贵重物品存放处; k) 水电气热等设备间; l) 安防监控室。

注：学校大门外一定区域是指学生上下学时段，校门外人员密集集中的区域。

5.2 防护要求

5.2.1 学校大门外一定区域应设置视频监控装置，监视及回放图像应能清晰显示监视区域内学生出入校园、人员活动和治安秩序情况。

5.2.2 学校周界应设置实体屏障，宜设置周界入侵报警装置。 5.2.3 学校大门口应设置视频监控装置，监视及回放图像应能清楚辨别进出人员的体貌特征和进出车辆的车型及车牌号。

5.2.4 学校大门口宜配置隔离装置，用于在学生上学、放学的人流高峰时段，大门内外一定区域内通过隔离装置设置临时隔离区，作为学生接送区。

5.2.5 学校大门口宜设置对学生、教职员工、访客等人员进行身份识别的出入口控制通道装置。

5.2.6 幼儿园大门口宜安装访客可视对讲装置。

5.2.7 学校门卫室(传达室)应设置紧急报警装置。

5.2.8 室外人员集中活动区域(操场等)宜设置视频监控装置，监视及回放图像应能清晰显示监视区域内人员活动情况。

5.2.9 教学区域内学生集中出入的主要通道和出入口宜设置视频监控装置。 5.2.10 学生宿舍楼(区)的出入口应设置视频监控装置，监视及回放图像应清楚辨别进出人员的体貌特征;可设置出入口控制装置。 5.2.11 学生宿舍楼(区)的值班室应设置紧急报警装置。

5.2.12 食堂操作间和储藏室的出入口应设置视频监控装置，操作间、储藏室和就餐区域宜设置视频监控装置，监视及回放图像应能辨别人员活动情况。 5.2.13 易燃易爆等危险品储存室、实验室应有实体防护措施，应设置入侵报警装置，宜设置视频监控装置。

5.2.14 贵重物品存放处(财务室等)应有实体防护措施，应设置入侵报警装置，宜设置视频监控装置。

5.2.15 水电气热等设备间(配电室、锅炉房、水泵房等)应有实体防护措施，宜设置入侵报警装置。

5.2.16 安防监控室应有实体防护措施，应设置紧急报警装置，并配置通讯工具;应设置广播装置接入校园广播系统，用于突发事件时的人员疏散及应急指挥;宜设置视频监控装置。

5.2.17 重点部位和区域宜设置电子巡查装置。

5.2.18 其他部位和区域根据实际需要设置相应防范措施。 5.3 设施配置要求学校重点部位和区域安全技术防范设施配置要求见附录A。 6 系统技术要求

6.1 计时校时要求

6.1.1 学校安全技术防范系统中具有计时功能的设备与北京时间的偏差应保持不大于20s。

6.2 入侵报警系统

6.2.1 入侵报警系统应满足GB50394的相关要求。

6.2.2 入侵探测器、紧急报警装置发出的报警信号应传送至安防监控室，紧急报警装置应与属地接警中心联网。 6.2.3 入侵报警系统布防、撤防、报警、故障等信息的保存时间应不少于30d。 6.2.4 入侵报警系统宜与视频监控系统联动。 6.3 视频监控系统

6.3.1 视频监控系统应满足GB50395的相关要求。

6.3.2 视频图像应传送至安防监控室，宜与上级监控中心联网。

6.3.3 视频监视图像分辨率应不低于380 TVL，回放图像分辨率应不低于240 TVL;数字视频格式分辨率应不低于352*288像素。

6.3.4 视频图像质量参照GB/T7401按主观评价，采用五级损伤制评�

第四篇：计算机信息系统安全等级保护数据库安全技术要求

《信息安全技术网络脆弱性扫描产品安全技术要求》

修订说明

1 工作简要过程 1.1 任务来源

近年来，随着黑客技术的不断发展以及网络非法入侵事件的激增，国内网络安全产品市场也呈现出良好的发展态势，各种品牌的防火墙产品、入侵检测产品等已经达到了相当可观的规模。最近几年，网络脆弱性扫描产品的出现，为网络安全产品厂商提供了一个展现自身技术水平的更高层次舞台，市场上，各种实现脆弱性扫描功能的产品层出不穷，发展迅速，标准《GB/T 20278-2006 信息安全技术网络脆弱性扫描产品技术要求》已不能满足现在产品的发展需求，另一方面，为了更好地配合等级保护工作的开展，为系统等级保护在产品层面上的具体实施提供依据，需要对该标准进行合理的修订，通过对该标准的修订，将更加全面系统的阐述网络脆弱性扫描产品的安全技术要求，并对其进行合理的分级。本标准编写计划由中国国家标准化管理委员会2010年下达，计划号20101497-T-469，由公安部第三研究所负责制定，具体修订工作由公安部计算机信息系统安全产品质量监督检验中心承担。 1.2 参考国内外标准情况

该标准修订过程中，主要参考了：

—GB 17859-1999 计算机信息系统安全保护等级划分准则 —GB/T 20271-2006 信息安全技术信息系统安全通用技术要求 —GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求

—GB/T 18336.2-2008 信息技术安全技术信息技术安全性评估准则第二部分：安全功能要求 —GB/T 18336.3-2008 信息技术安全技术信息技术安全性评估准则第三部分：安全保证要求 —GA/T 404-2002 信息技术网络安全漏洞扫描产品技术要求 —GB/T 20278-2006 信息安全技术网络脆弱性扫描产品技术要求 —GB/T 20280-2006信息安全技术网络脆弱性扫描产品测试评价方法 —MSTL_JGF_04-017 信息安全技术主机安全漏洞扫描产品检验规范 1.3 主要工作过程

1)成立修订组

2010年11月在我中心成立了由顾建新具体负责的标准修订组，共由5人组成，包括俞优、顾建新、张笑笑、陆臻、顾健。

2)制定工作计划

修订组首先制定了修订工作计划，并确定了修订组人员例会及时沟通交流工作情况。 3)确定修订内容

- 12 确定标准主要内容的论据 2.1 修订目标和原则 2.1.1 修订目标

本标准的修订目标是：对网络脆弱性扫描类产品提出产品功能要求、产品自身安全要求以及产品保证要求，使之适用于我国脆弱性扫描产品的研究、开发、测试、评估以及采购。 2.1.2 修订原则

为了使我国网络脆弱性扫描产品的开发工作从一开始就与国家标准保持一致，本标准的编写参考了国家有关标准，主要有GA/T 698-200

7、GB/T 17859-199

9、GB/T 20271-200

6、GB/T 22239-2008和GB/T 18336-2008第

二、三部分。本标准又要符合我国的实际情况，遵从我国有关法律、法规的规定。具体原则与要求如下：

1)先进性

标准是先进经验的总结，同时也是技术的发展趋势。目前，我国网络脆弱性扫描类产品种类繁多，功能良莠不齐，要制定出先进的信息安全技术标准，必须参考国内外先进技术和标准，吸收其精华，制定出具有先进水平的标准。本标准的编写始终遵循这一原则。

2)实用性

标准必须是可用的，才有实际意义。因此本标准的编写是在对国内外标准的相关技术内容消化、吸收的基础上，结合我国的实际情况，制定出符合我国国情的、可操作性强的标准。

3)兼容性

本标准既要与国际接轨，更要与我国现有的政策、法规、标准、规范等相一致。修订组在对标准起草过程中始终遵循此原则，其内容符合我国已经发布的有关政策、法律和法规。 2.2 对网络脆弱性扫描类产品的理解 2.2.1 网络脆弱性扫描产品

脆弱性扫描是一项重要的安全技术，它采用模拟攻击的形式对网络系统组成元素(服务器、工作站、路由器和防火墙等)可能存在的安全漏洞进行逐项检查，根据检查结果提供详细的脆弱性描述和修补方案，形成系统安全性分析报告，从而为网络管理员完善网络系统提供依据。通常，我们将完成脆弱性扫描的软件、硬件或软硬一体的组合称为脆弱性扫描产品。

脆弱性扫描产品的分类

根据工作模式，脆弱性扫描产品分为主机脆弱性扫描产品和网络脆弱性扫描产品。其中前者基于主机，通过在主机系统本地运行代理程序来检测系统脆弱性，例如针对操作系统和数据库的扫描产品。后者基于网络，通过请求/应答方式远程检测目标网络和主机系统的安全脆弱性。例如Satan 和ISS Internet Scanner等。针对检测对象的不同，脆弱性扫描产品还可分为网络扫描产品、操作系统扫描产品、WWW服务扫描产品、数据库扫描产品以及无线网络扫描产品。

- 3这是最基本的TCP扫描。操作系统提供的connect()系统调用，用来与每一个感兴趣的目标计算机的端口进行连接。如果端口处于侦听状态，那么connect()就能成功。否则，这个端口是不能用的，即没有提供服务。

FIN+URG+PUSH扫描

向目标主机发送一个FIN、URG和PUSH 分组，根据RFC793，如果目标主机的相应端口是关闭的，那么应该返回一个RST标志。

NULL扫描

通过发送一个没有任何标志位的TCP包，根据RFC793，如果目标主机的相应端口是关闭的，它应该发送回一个RST数据包。

UDP ICMP端口不能到达扫描

在向一个未打开的UDP端口发送一个数据包时，许多主机会返回一个ICMP_PORT_UNREACH 错误。这样就能发现哪个端口是关闭的。UDP和ICMP错误都不保证能到达，因此这种扫描器必须能够重新传输丢失的数据包。这种扫描方法速度很慢，因为RFC对ICMP错误消息的产生速率做了规定。

安全漏洞特征定义

目前，脆弱性扫描产品多数采用基于特征的匹配技术，与基于误用检测技术的入侵检测系统相类似。扫描产品首先通过请求/应答，或通过执行攻击脚本，来搜集目标主机上的信息，然后在获取的信息中寻找漏洞特征库定义的安全漏洞，如果有，则认为安全漏洞存在。可以看到，安全漏洞能否发现很大程度上取决于漏洞特征的定义。

扫描器发现的安全漏洞应该符合国际标准，这是对扫描器的基本要求。但是由于扫描器的开发商大都自行定义标准，使得安全漏洞特征的定义不尽相同。

漏洞特征库通常是在分析网络系统安全漏洞、黑客攻击案例和网络系统安全配置的基础上形成的。对于网络安全漏洞，人们还需要分析其表现形式，检查它在某个连接请求情况下的应答信息;或者通过模式攻击的形式，查看模拟攻击过程中目标的应答信息，从应答信息中提取安全漏洞特征。漏洞特征的定义如同入侵检测系统中对攻击特征的定义，是开发漏洞扫描系统的主要工作，其准确直接关系到漏洞扫描系统性能的好坏。这些漏洞特征，有的存在于单个应答数据包中，有的存在于多个应答数据包中，还有的维持在一个网络连接之中。因此，漏洞特征定义的难度很大，需要反复验证和测试。目前，国内许多漏洞扫描产品直接基于国外的一些源代码进行开发。利用现成的漏洞特征库，使系统的性能基本能够与国外保持同步，省掉不少工作量，但核心内容并不能很好掌握。从长远发展来看，我国需要有自主研究安全漏洞特征库实力的扫描类产品开发商，以掌握漏洞扫描的核心技术。

- 5技术趋势

从最初的专门为UNIX系统编写的具有简单功能的小程序发展到现在，脆弱性扫描系统已经成为能够运行在各种操作系统平台上、具有复杂功能的商业程序。脆弱性扫描产品的发展正呈现出以下趋势。

系统评估愈发重要

目前多数脆弱性扫描产品只能够简单地把各个扫描器测试项的执行结果(目标主机信息、安全漏洞信息和补救建议等)罗列出来提供给测试者，而不对信息进行任何分析处理。少数脆弱性扫描产品能够将扫描结果整理形成报表，依据一些关键词(如IP地址和风险等级等)对扫描结果进行归纳总结，但是仍然没有分析扫描结果，缺乏对网络安全状况的整体评估，也不会提出解决方案。

在系统评估方面，我国的国标已明确提出系统评估分析应包括目标的风险等级评估、同一目标多次扫描形式的趋势分析、多个目标扫描后结果的总体分析、关键脆弱性扫描信息的摘要和主机间的比较分析等等，而不能仅仅将扫描结果进行简单罗列。应该说，脆弱性扫描技术已经对扫描后的评估越来越重视。下一代的脆弱性扫描系统不但能够扫描安全漏洞，还能够智能化地协助管理人员评估网络的安全状况，并给出安全建议。为达这一目的，开发厂商需要在脆弱性扫描产品中集成安全评估专家系统。专家系统应能够从网络安全策略、风险评估、脆弱性评估、脆弱性修补、网络结构和安全体系等多个方面综合对网络系统进行安全评估。

插件技术和专用脚本语言

插件就是信息收集或模拟攻击的脚本，每个插件都封装着一个或者多个漏洞的测试手段。通常，脆弱性扫描产品是借助于主扫描程序通过用插件的方法来执行扫描，通过添加新的插件就可以使扫描产品增加新的功能，扫描更多的脆弱性。如果能够格式化插件的编写规范并予以公布，用户或者第三方就可以自己编写插件来扩展扫描器的功能。插件技术可使扫描产品的结构清晰，升级维护变的相对简单，并具有非常强的扩展性。目前，大多数扫描产品其实已采用了基于插件的技术，但各开发商自行规定接口规范，还没有达到严格的规范水平。

专用脚本语言是一种更高级的插件技术，用户使用专用脚本语言可以大大扩展扫描器的功能。这些脚本语言语法通常比较简单直观，十几行代码就可以定制一个安全漏洞的检测，为扫描器添加新的检测项目。专用脚本语言的使用，简化了编写新插件的编程工作，使扩展扫描产品功能的工作变的更加方便，能够更快跟上安全漏洞出现的速度。

网络拓扑扫描

网络拓扑扫描目前还被大多数扫描器所忽略。随着系统评估的愈发重要，网络拓扑结构正成为安全体系中的一个重要因素。拓扑扫描能够识别网络上的各种设备以及设备的连接关系，能够识别子网或

- 7和增强级两个级别，且与“基本要求”和“通用要求”中的划分没有对应关系，不利于该类产品在系统等级保护推行中产品选择方面的有效对应。《GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求》的网络安全管理，从第一级就要求“定期进行网络系统漏洞扫描，对发现的网络系统安全漏洞进行及时的修补”，《GB/T 20271-2006 信息安全技术信息系统通用安全技术要求》中的信息系统安全性检测分析，从第二级开始要求“操作系统安全性检测分析、数据库管理系统安全性检测分析、网络系统安全性检测分析、应用系统安全性检测分析和硬件系统安全性检测分析的要求，运用有关工具，检测所选用和/或开发的操作系统、数据库管理系统、网络系统、应用系统、硬件系统的安全性，并通过对检测结果的分析，按系统审计保护级的要求，对存在的安全问题加以改进。”

本次在对原标准的修订过程中，对于产品本身的安全保护要求，主要参考了GB/T 17859-199

9、GB/T 20271-200

6、GB/T 18336-200

8、GB/T 22239-2008等，以等级保护的思路编写制定了自身安全功能要求和保证要求。对于产品提供服务功能的安全保护能力方面，现阶段是以产品功能强弱以及配合等级保护安全、审计等要素进行分级的。通过对标准意见的不断收集以及修改，将产品提供的功能与等级保护安全要素产生更密切的联系，以便有能力参与到系统等级保护相关要素的保护措施中去。 2.2.3 与原标准的区别

1) 标准结构更加清晰规范，全文按照产品安全功能要求、自身安全功能要求和安全保证要求三部分进行整理修订，与其他信息安全产品标准的编写结构保持一致。

2)删除原标准中性能部分的要求，将原来有关扫描速度、稳定性和容错性，以及脆弱性发现能力等重新整理，作为功能部分予以要求，同时，考虑到原来对于误报率和漏报滤的模糊描述以及实际测试的操作性较差，删除了这两项内容的要求。

3)对于产品功能要求的逻辑结构进行重新整理，按照信息获取，端口扫描，脆弱性扫描，报告的先后顺序进行修订，使得产品的功能要求在描述上逐步递进，易于读者的理解，并且结合产品的功能强弱进行分级。

4) 对于产品的自身安全功能要求和安全保证要求，充分参考了等级保护的要求，对其进行了重新分级，使得该标准在应用时更能有效指导产品的开发和检测，使得产品能更加有效的应用于系统的等级保护工作。

5)将标准名称修改为《信息安全技术网络脆弱性扫描产品安全技术要求》，增加了“安全”二字，体现出这个标准的内容是规定了产品的安全要求，而非其它电器、尺寸、环境等标准要求。

6)将原标准中“网络脆弱性扫描”的定义修改为“通过网络对目标网络系统安全隐患进行远程探测的过程，它对网络系统进行安全脆弱性检测和分析，从而发现可能被入侵者利用的漏洞，并可以提出一定的防范和补救措施建议。”作为扫描类产品，在发现系统脆弱性的同时，还要求“能够采取一定的

- 9准，结合当前国内外网络脆弱性扫描产品的发展情况，系统地描述了产品的功能要求、自身安全要求和保证要求。这些技术是在对国内外现有技术及标准进行吸收、消化的基础上，考虑了我国国情制定的。

本次是对原有国标《GB/T 20278-2006 信息安全技术网络脆弱性扫描产品技术要求》的修订，在修订过程中，重新整理了内容和结构，结合等级保护的要求重新进行了分级，在内容和结构上趋于完整化、可行化和系统化。 4 贯彻标准的要求和实施建议

本标准是对网络脆弱性扫描产品安全技术要求的详细描述，为生产、测试和评估信息过滤产品提供指导性意见。建议将本标准作为国家标准在全国推荐实施。

《信息安全技术网络脆弱性扫描产品安全技术要求》修订组

2012年9月

- 11 -