公有云环境下等级保护解决方案（二级）

1.1 云环境WEB系统等级保护建设（二级）

1.1.1 云模式下的安全保障体系建设

对于不同的云建设模式（自行建设模式或购买服务模式），在安全保障体系的建设上的区别体现在安全建设责任主体的区分。当使用购买服务模式时，安全建设的责任主体会区分为“云服务商”和“云租户”两部分；而自行建设模式中，并没有“云服务商”的概念存在，安全建设的责任主体是用户自身。

本次等保是基于公有云系统建设，在安全保障体系建设上应有“云服务商”和“云租户”共同来承担和建设，“云服务商”确保云服务平台的安全性，“云租户”负责基于“云服务商”提供的服务构建业务应?系统的安全。

根据GB/T 22239.2《信息安全技术 网络安全等级保护基本要求 第2部分：云计算安全扩展要求》的要求。对于云环境下业务系统的建设的责任划分如下表所示：

层面 物理和环境安物理位置选择 全 网络结构、访问控网络和通信安制、远程访问、入全 侵防范、安全审计 云租户虚拟网络安全域 身份鉴别、访问控制、安全审计、入设备和计算安侵防范、恶意代码全 防范、资源控制、云租户虚拟网络设备、虚拟安全设备、镜像和快照保护 安全审计、资源控制、接口安全、数应用和数据安据完整性、数据保全 密性、数据备份恢复 安全策略和管授权和审批 理制度 安全管理机构授权和审批 和人员 安全方案设计、测系统安全建设试验收、云服务商管理 选择、供应链管理 云服务商选择及管理流程 云租户 云计算平台接口、安全措施、供应链管云租户 理流程、安全事件和重要变更信息 授权和审批流程、文档等 云租户 授权和审批流程、文档等 云租户 云租户应用系统及相关软件组件、云租户应用系统配置、云租户业务相关数据等 云租户 云租户 虚拟机等 云管理平台（含运维和运营）、镜像、快云服务方 照等 物理网络及附属设备、虚拟网络管理平台、物理宿主机及附属设备、虚拟机管理平台、镜像等 云服务方 云租户 物理网络及附属设备、虚拟网络管理平云服务方 台 数据中心及物理设施 云服务方 安全要求 安全组件 责任主体

层面 系统安全运维安全要求 安全组件 监控和审计管理的相关流程、策略和数责任主体 监控和审计管理 管理

据 云租户

1.1.2 云等保建设流程 系统定级

本次信息系统按照《信息安全等级保护管理办法》和《网络安全等级保护定级指南》，初步确定定级对象的安全保护等级，已起草的《网络安全等级保护定级报告》中指出三级以上系统，定级结论需要进行专家评审。

系统备案

信息系统安全保护等级为第二级以上时，备案时应当提交《网络安全等级保护备案表》和定级报告；第三级以上系统，还需提交专家评审意见、系统拓扑和说明、安全管理制度、安全建设方案等。

建设整改

依据《网络安全等级保护基本要求》，利用自有或第三方的安全产品和专家服务，对信息系统进行安全建设和整改，同时制定相应的安全管理制度；

等保测评

运营使用单位应当选择合适的测评机构，依据《网络安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。

监督检查

公安机关及其他监管部门会在整个过程中，履行相应的监管、审核和检查等职责。

1.1.3 等保二级建设方案设计

网络安全拓扑

1.1.4 安全技术建设设计 1.1.4.1

物理和环境安全

选择已经通过“等保三级”的云服务商。在包括机房供电、温湿度控制、防风防雨防雷措施等，可直接复用已经通过云服务商的测评结论。

（不考虑未通过等保测评的云平台服务商） 1.1.4.2

网络和通信安全

网络架构：应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；

访问控制：应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；

通信传输：应采用校验码技术或加解密技术保证通信过程中数据的完整性； 边界防护：应保证跨越边界的访问和数据流通过边界防护设备提供的受控接口进行通信；

入侵防范：应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为；当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警；

安全审计：应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计； 方案设计思路：

1. 根据服务器角色和重要性，对网络进行安全域划分； 2. 在内外网的安全域边界设置访问控制策略，并要求配置到具体的端口；

3. 在网络边界处应当部署入侵防范手段，防御并记录入侵行为； 4. 对网络中的用户行为日志和安全事件信息进行记录和审计； 安全方案设计：

（物理和环境安全设计）

1. 使用云服务商的VPC网络和云防火墙/安全组对网络进行安全域划分并进行合理的访问控制；把每个业务系统都划分在一个独立的安全组内，确保各业务系统安全隔离。 2. 使用Web应用防火墙防范网络入侵行为。

3. 使用态势感知的日志功能对网络行为日志和安全事件进行记录分析和审计；

4. 使用DDoS高防IP进行异常流量过滤和清洗，保证业务系统连续性和高可用性。 1.1.4.3

设备和计算安全

? 身份鉴别：应对登录的用户进行身份标识和鉴别，身份标识具有唯一性；

? 访问控制：应根据管理用户的角色建立不同账户并分配权限，仅授予管理用户所需的最小权限，实现管理用户的权限分离； ? 安全审计：应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；

? 入侵防范：应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警。

? 恶意代码防范：应采用免受恶意代码攻击的技术措施或采用可信计算技术建立从系统到应用的信任链，实现系统运行过程中重要程序或文件完整性检测，并在检测到破坏后进行恢复。 方案设计思路：

1. 避免账号共享、记录和审计运维操作行为是最基本的安全要求； 2. 必要的安全手段保证系统层安全，防范服务器入侵行为；

安全方案设计：

（设备和计算安全设计）

1. 使用云堡垒机、云数据库审计对服务器和数据的操作行为进行审计，同时为每个运维人员建立独立的堡垒机账号，避免账号共享。

2. 使用主机安全系统对服务器进行完整的漏洞管理、基线检查和入侵防御；

1.1.4.4 应用和数据安全

? 身份鉴别：应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，鉴别信息具有复杂度要求；

? 访问控制：应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系；

? 安全审计：应提供安全审计功能，审计覆盖到每个用户，对重

要的用户行为和重要安全事件进行审计；

? 数据完整性：应采用校验码技术或加解密技术保证重要数据在传输过程中的完整性和保密性；

? 数据备份恢复：应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地； 方案设计思路：

1. 根据等保合规技术要求对业务系统在系统设计阶段，完成系统的身份鉴别、访问控制和操作审计等功能；

2. 数据的完整性和保密性，除了在其他层面进行安全防护以外，加密是最为有效的方法；

3. 数据的异地备份是等保三级区别于二级最重要的要求之一，是实现业务连续最基础的技术保障措施。

安全方案设计：

（应用和数据安全设计）

1. 在应用开发之初，就应当考虑应用本身的身份鉴别、访问控制和安全审计等功能；对已经上线的系统，通过增加账号认证、用户权限区分和日志审计等功能设计满足等保要求； 2. 数据备份，推荐使用RDS的异地容灾实例自动实现数据备份，亦可以将数据库备份文件手工同步到云服务商其他地区的服务器。

1.1.5 安全管理建设设计

? 安全策略和管理制度：应形成由安全策略、管理制度、操作规程、记录表单等构成的全面的信息安全管理制度体系。 ? 安全管理机构和人员：应成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权。 ? 安全建设管理：应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计，并形成配套文件；

? 安全运维管理：应采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补；

方案设计思路：

1. 安全策略、制度和管理层人员，是保证持续安全非常重要的基础。策略指导安全方向，制度明确安全流程，人员落实安全责任。

2. 等保要求提供了一种方法论和最佳实践，安全可以按照等保的方法论进行持续的建设和管理。

3.安全策略、制度和管理层人员，需要业务实际情况，进行梳理、准备和落实，并形成专门的文件。

4.漏洞管理过程中需要用到的技术手段，推荐使用安全企业的人工安全服务快速发现云上系统漏洞，及时处理。

1.1.5.1 安全策略和管理制度

安全策略是信息安全保障体系的灵魂和核心，一个良好的策略体系可以维持整个信息安全保障体系自动的进行良性循环，不断的完善信息安全保障体系。

序号 1 管理项 安全管理策略 管理措施 制定总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等。 对安全管理活动中的各类管理内容建立安全管理制度，2 安全管理制度 对管理人员/操作人员执行的日常管理操作建立操作规程。 还应形成由安全策略、管理制度、操作规程、记录表单等构成的全面的信息安全管理制度体系。 制定和发布 安全策略和制度的制定应由信息安全工作小组和专家小组共同完成，由安全管理委员会正式发布。同时应进行版本控制，当系统出现变更时，策略或制度的变化应得以体现。 安全管理委员会应定期组织对安全管理制度的合理性和4 评审和修订 适用性的论证和评审，尤其是当系统/云平台出现重大变更后，更应及时对不合时宜的、存在不足的或需要改进的安全管理制度进行修订。 3 1.1.5.2

安全管理结构和人员

信息安全管理组织和人员的管理原则应包括：

1. 获取项目领导小组、各租户高层领导的足够重视，保证安全管理组织建设的顺利推进；

2. 提高整体员工的安全意识和技能，从广泛的人员视角上和纵深

的层次上杜绝安全事件的发生；

3. 需要不同的相关参与部门共同参与，制定不同角色和分工，从而保障安全管理的协调统一。

序号 管理项 管理措施 租户和云服务商应协作，明确授权审批事项、批准人等。针1 授权和审批 对系统变更、重要操作、物理访问和系统接入等事项，建立审批程序，按照程序执行审批过程。对重要的活动应建立逐级审批制度。应定期审查审批事项，及时更新需授权和审批的项目、审批部门和审批人的信息。 租户和云服务商还应加强各部门的合作与沟通，定期召开协调会议，共同协作处理信息安全问题。 2 沟通和合作 同时，也应建立与外联单位（如兄弟单位、公安机关、各类供应商、业界专家和专业安全组织）的沟通与合作。这些外联单位应组成列表，注明单位名称、合作内容、联系人和联系方式等内容。 租户和云服务商应定期执行常规安全检查，检查内容包括系统日常运行、系统漏洞和数据备份情况等。应定期执行全面的安3 审核和检查 全检查，检查内容应包括安全技术措施有效性、安全配置和策略一致性、安全管理制度的执行情况等。使用定制的安全检查表格来实施安全检查，汇总检查数据，形成检查报告，对安全检查结果进行通报。 租户和云服务商均应对被录用人员的身份、背景、专业资格4 人员录用 和资质进行审查，对其工作范围内应具备的技术技能进行考核。只要被录用人员具备接触和掌握租户敏感数据的权限，均应签署保密协议。对于重要的岗位人员，应签署岗位责任协议。 人员离岗时，应及时终止其所有访问权限，收回各类身份证5 人员离岗 件、钥匙、身份鉴别硬件Key等各类软硬件设备。对于重要业务系统，还应要求人员离职办理严格的调离手续，承诺调离后的保密义务后方可离开。 租户和云服务商均应对人员进行安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施。 6 安全意识教育和培训 租户和云服务商都应对组织内不同岗位制定不同的培训计划。培训内容应涵盖：岗位操作规程、组织安全策略的宣讲、信息安全基础知识等。 7 外部人员访问管理 当外部人员通过物理方式或远程接入方式访问系统时，均应提出书面申请。批准后，由专人陪同（开通账号、分配权限），

序号 管理项 管理措施 并登记备案。当外部人员离场后应及时清除其所有的访问权限。 获得访问授权的外部人员还应签署保密协议，不得进行非授权的操作，不得复制和泄露任何敏感信息。 1.1.5.3

序号 安全建设管理

管理项 管理措施 在云计算环境中，应将云服务商侧的云计算平台单独作为定级对象定级，云租户侧的等级保护对象也应作为单独的定级对象定级。对于大型云计算平台，应将云计算基础设施和有关辅助服务系统划分为不同的定级对象。 定级文件应文档化，以书面形式说明保护对象的边界、安全保护等级以及确定登记的方法和理由。定级结果需经过专家评审其合理性和正确性，确定结果后经过主管部门批准，并将备案材料报主管部门和公安机关备案。 在对业务系统/云平台进行等级保护安全设计时，仍应进行风险评估和差距分析，补充和调整相应的安全措施。 还应根据保护对象的安全保护等级及与其他级别保护对象的关系进行整体安全规划和安全方案设计，并形成配套文1 定级和备案 2 安全方案设计 件。规划文件和设计方案需经过安全专家对合理性和正确性进行论证和审定，经过批准后才能正式实施。 此外，云服务商应提供足够开放的接口或开放性安全服务，允许云租户自行设计接入第三方的安全产品，或在云平台中可以选择第三方的安全服务。云服务商应支持异构的方式，对云租户的安全措施进行实施。 采购的安全产品应具备相应产品认证资质。安全产品至3 产品采购和使用 少具备公安机关颁发的《计算机信息系统安全销售许可证》。 在采购安全产品之前，应先进行产品选型测试，确定产品候选范围，建立候选产品名单，并进行定期审核和更新。

序号 管理项 管理措施 应建立单独的开发环境，与实际物理运行环境逻辑隔离，保证测试数据和测试结果可控，避免侵害实际运行环境。安全性测试应融入软件开发过程，在软件安装前对可能存在的恶意代码进行检测。 还应： 制定软件安全开发管理制度，明确开发过程的控制方法4 自行软件开发 和人员行为准则； 指定代码编写安全规范，要求开发人员遵照执行； 确保具备软件设计的所有相关文档和使用指南，并对文档进行版本控制； 确保对程序资源库的修改、更新和发布均进行授权和批准控制； 确保开发人员为专职人员，开发人员的开发活动受控制、监视和审查。 对于外包软件开发，应做到： 在软件交付使用前，应进行源代码审计和检测，检测软5 外包软件开发 件质量和其中可能存在的恶意代码。 外包单位应提供软件设计文档和使用指南。 还应要求外包单位提供软件源代码，并执行源代码安全审查，重点关注是否存在后门、隐蔽信道等。 在实施前，应制定工程实施方案，控制安全工程的实施6 工程实施 过程。并指定专门的部门或人员负责工程实施过程的管理。还应通过第三方工程监理控制项目的实施过程。 测试验收过程，应首先制定测试验收方案，并依据测试7 测试验收 验收方案实施测试验收，最终形成测试报告。应专门进行上线前的安全性测试，对安全措施有效性进行测试，并出具安全测试报告。 系统交付时，应根据交付清单对交接的设备、软件和文8 系统交付 档等进行逐一清点。交付后的运行维护技术人员应进行相应的技能培训。

序号 管理项 管理措施 云服务商应确保提供建设过中的文档，以及指导用户进行运行维护的指南性文档。 云平台的等级保护测评目前正在进行试点工程，由公安部等级保护测评中心进行。对于云上业务系统的测评，需要具备等级保护测评资质的单位进行。 9 等级测评 应定期执行等级测评工作，尤其是出现重大变更或级别发生变化时，均应执行等级测评，在发现存在安全差距时，进行及时的整改。 除了云计算方面的需求，客户在选择云服务商时还应考虑安全能力要求。主要包括： 云服务商安全资质：如ISO 27001、等级保护测评认证、CNAS、云安全审查（政务云，一般级或增强级）等。 云服务商案例：是否拥有行业内的云服务案例。 10 云服务商选择 安全能力要求：开发安全、供应链安全、通信安全、访问控制、配置管理、维护体系、业务连续性、安全审计、风险评估与持续监控、安全组织和人员建设以及物理和环境安全。 此外，对于云服务商的选择，还应通过SLA协议和保密协议方式，确保云服务商能够满足租户的云计算服务、安全、保密等需求。 SLA协议保障了云服务商所提供的服务的有效性，具体规范了云服务商应提供的各项服务的质量标准。同时，SLA协议也规范了惩罚规定，为云服务商不能满足SLA需求所制定。SLA协议至少包括： 权责分配：规定云服务商的权限和责任，包括管理范围、11 SLA协议 职责划分、访问授权、隐私保护、行为准则、违约责任等； 数据安全方面：数据可销毁性、数据可迁移性、数据私密性、数据知情权、业务可审查性； 业务可用性方面：业务功能、业务可用性、业务资源调配能力、故障恢复能力、网络接入性能； 服务约束方面：服务计量方式、服务变更、终止条款、

序号 管理项 管理措施 服务赔偿条款、用户约束条款、免责条款等内容项。 对于三级业务系统，租户应与能够访问或掌握租户信息、数据的云服务商及其内部员工签订保密协议，并且保密协议应作为合同的附件。保密协议应包括： 未经租户授权，云服务商或个人不得以任何手段，使用未经授权的租户信息。 未经租户授权，云服务商或个人不得在工作职责授权以外使用、分享租户信息。 未经租户授权，不得泄露、披露、转让租户的技术信息、业务信息和安全信息。 12 保密协议 当第三方要求披露租户信息时，不应响应，并立刻报告。 对违反或可能导致违反保密协议的活动或实践，一经发现应立即报告。 合同结束时，云服务商应返还租户所有保密信息，并明确返还的具体要求和内容。 明确保密协议的有效期。 此外，租户应根据信息的重要敏感程度，确实是否需要对访问敏感数据的云服务商工作人员进行背景调查。如有必要，应委托相关职能部门（如公安机构）进行背景调查工作。 云计算服务的外包服务或采购产品均可视为供应链，服务或产品的供应商即服务链的供应商。在选择供应商时，应确保其产品的开发环境、开发设备以及对开发环境的外部连接实施了安全控制。供应商的开发人员和服务人员均应进行审核。供应商产品的运输或存储过程中的安全性等等。 13 供应链管理 此外，安全供应商应将产品相关的安全事件信息、威胁信息及时传达给云租户和云服务商（例如产品爆出重大漏洞）。 供应商的重要变更也需要及时传达给云租户和云服务商，并评估变更可能带来的安全风险，提供推荐措施对风险进行控制。

序号 管理项 管理措施 租户方和云服务商均有执行运行监管的责任和义务。租户要按照合同、规章制度和标准加强对云服务商和自身的运行监管，同时云服务商、第三方评估机构需要积极参与和配合。租户和云服务商均需要明确负责执行运行监管的责任人和联系方式。 租户监管责任： 监督云服务商严格履行合同规定的各项责任和义务； 协助云服务商处理重大信息安全事件； 在云服务商的支持配合下，对以下方面进行监管： 服务运行状态； 性能指标，如资源使用情况； 特殊安全需求； 云计算平台提供的监视技术和接口； 其他必要的监管活动； 14 运行监管 加强对云计算服务和业务使用者的信息安全教育和监管； 对自身负责的云计算环境及客户端的安全措施进行监管。 云服务商监管责任： 严格履行合同规定的责任和义务； 开展周期性的风险评估和监测，包括:监视非授权的远程连接，持续监视账号管理、策略改变、特权功能、系统事件等活动，监视与其他信息系统的数据交互等； 按照合同要求或双方的约定，向租户提供相关的接口和材料，配合租户的监管活动； 云计算平台出现重大变更后，及时向租户报告情况，并委托第三方评估机构进行安全评估； 出现重大信息安全事件时，及时向租户报告事件及处置情况；

序号 管理项 管理措施 持续开展对雇员的信息安全教育，监督雇员遵守相关制度。 租户可能因合同到期或其他原因，需要退出云计算服务，或将其数据和业务系统迁移至其他云计算平台上。因为退出云计算服务是一个复杂的过程，租户需要注意以下事项： 在签订合同时提前约定退出条件，以及退出时租户、云服务商的责任和义务，应与云服务商协商数据和业务系统迁移出云计算平台的接口和方案； 在退出服务过程中，应要求云服务商完整返还租户数据； 在将数据和业务系统迁移回租户自有的数据中心或其他云计算平台的过程中，应满足业务的可用性和持续性要求，15 安全退出 如采取原业务系统与新部署业务系统并行运行一段时间等措施； 及时取消云服务商对租户资源的物理和电子访问权限； 提醒云服务商在租户退出云计算服务后仍应承担的责任和义务，如保密要求等； 退出云计算服务后需要确保云服务商按要求保留数据或彻底清除数据； 如需变更云服务商，应首先按照选择云服务商的要求，执行云服务商选择阶段的各项活动，确定新的云服务商并签署合同。完成云计算服务的迁移后再退出原云计算服务。 1.1.5.4

安全运维管理

1. 环境和资产管理

管理要求项 机房安全管理 要求要点 指定专门的部门或人员负责机房安全，对机房出入进行管理，定期对机房供配电、空调、温湿度控制、消防等设施进行维护管理。

建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面的管理作出规定。 环境安全管理 不在重要区域接待来访人员和桌面上没有包含敏感信息的纸档文件、移动介质等。 编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容。 资产管理 对于三级业务系统/云平台相关资产，还应根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施。对信息分类与标识方法作出规定，并对信息的使用、传输和存储等进行规范化管理。

2. 介质和设备管理

管理要求项 要求要点 确保介质存放在安全的环境中，对各类介质进行控制和保护，实介质管理 行存储环境专人管理，并根据存档介质的目录清单定期盘点。对介质在物理传输过程中的人员选择、打包、交付等情况进行控制，并对介质的归档和查询等进行登记记录。 对服务器、网络及安全设备、业务应用的操作应制定标准化的操作规范。 建立配套设施、软硬件维护方面的管理制度，对其维护进行有效的管理，包括明确维护人员的责任、涉外维修和服务的审批、维修过设备维护管理 程的监督控制等。 对于三级业务系统/云平台，应确保信息处理设备必须经过审批才能带离机房或办公地点，含有存储介质的设备带出工作环境时其中重要数据必须加密。有存储介质的设备在报废或重用前，应进行完全清除或被安全覆盖，确保该设备上的敏感数据和授权软件无法被恢复重用。 3. 漏洞和风险管理

管理要求项 要求要点 采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐漏洞和风险管理 患及时进行修补或评估可能的影响后进行修补。 对于三级业务系统/云平台，应定期开展安全测评，形成安全测评报告，采取措施应对发现的安全问题。 4. 网络和系统安全管理

管理要求项 角色权限分配 要求要点 应划分不同的管理员角色进行网络和系统的运维管理，明确各个角色的责任和权限。 应指定专门的部门或人员进行账号管理，对申请账号、建立账号、删除账号等进行控制。 建立网络和系统安全管理制度，对安全策略、账号管理、配置管理制度 管理、日志管理、日常操作、升级与打补丁、口令更新周期等方面作出规定。 账号管理

操作手册 运维操作日志记录 网络/系统变更管理 制定重要设备的配置和操作手册，依据手册对设备进行安全配置和优化配置等。 详细记录运维操作日志，包括日常巡检工作、运行维护记录、参数的设置和修改等内容。 对于三级业务系统/云平台，应严格控制变更性运维，经过审批后才可改变连接、安装系统组件或调整配置参数，操作过程中应保留不可更改的审计日志，操作结束后应同步更新配置信息库。 对于三级业务系统/云平台，应严格控制运维工具的使用，经过审批后才可接入进行操作，操作过程中应保留不可更改的审计日志，操作结束后应删除工具中的敏感数据。 对于三级业务系统/云平台，应严格控制远程运维的开通，经运维工具的使用 远程运维管理 过审批后才可开通远程运维接口或通道，操作过程中应保留不可更改的审计日志，操作结束后立即关闭接口或通道。 外部连接和无线网络管理 对于三级业务系统/云平台，应保证所有与外部的连接均得到授权和批准，应定期检查违反规定无线上网及其他违反网络安全策略的行为。 5. 恶意代码防范管理

管理要求项 防恶意代码意识 防恶意代码管理制度 审查机制 要求要点 应提高所有用户的防恶意代码意识，告知对外来计算机或存储设备接入系统前进行恶意代码检查等。 应对恶意代码防范要求做出规定，包括防恶意代码软件的授权使用、恶意代码库升级、恶意代码的定期查杀等。 应定期检查恶意代码库的升级情况，对截获的恶意代码进行及时分析处理。 6. 配置管理

管理要求项 要求要点 应记录和保存基本配置信息，包括网络拓扑结构、各个设备安配置管理内容 装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的配置参数等。 配置信息动态管理 对于三级业务系统/云平台，b) 应将基本配置信息改变纳入变更范畴，实施对配置信息改变的控制，并及时更新基本配置信息库。

7. 密码管理

管理要求项 密码学产品资质要求 密码学产品开发 要求要点 应使用符合国家密码管理规定的密码技术和产品。 《商用密码产品销售许可证》 应按照国家密码管理的要求开展密码技术和产品的应用。 8. 变更管理

管理要求项 变更过程 申报和审批控制 要求要点 应明确变更需求，变更前根据变更需求制定变更方案，变更方案经过评审、审批后方可实施。 对于三级业务系统/云平台，应建立变更的申报和审批控制程序，依据程序控制所有的变更，记录变更实施过程。 对于三级业务系统/云平台，应建立中止变更并从失败变更中变更失败恢复 恢复的程序，明确过程控制方法和人员职责，必要时对恢复过程进行演练。 9. 备份与恢复管理

管理要求项 识别备份客体 确定备份参数 要求要点 应识别需要定期备份的重要业务信息、系统数据及软件系统等。 对于三级业务系统数据，应规定备份信息的备份方式、备份频度、存储介质、保存期等。 对于三级业务系统数据，应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略、备份程序和恢复程序等。 数据备份和恢复策略

10. 安全事件处置

管理要求项 事件报告 报告和处置管理制度 要求要点 应报告所发现的安全弱点和可疑事件。 应制定安全事件报告和处置管理制度，明确不同安全事件的报告、处置和响应流程，规定安全事件的现场处理、事件报告和后期恢复的管理职责等。 应在安全事件报告和响应处理过程中，分析和鉴定事件产生的原因，收集证据，记录处理过程，总结经验教训。 对于三级业务系统/云平台，应对造成系统中断和造成信息泄漏的重大安全事件应采用专门制定的处理程序和报告程序。 事件分析 重大安全事件处置 11. 应急预案管理

管理要求项 要求要点 对于三级业务系统/云平台，应规定统一的应急预案框架，并应急预案框架 在此框架下制定不同事件的应急预案，包括启动预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容。 应急资源保障 应急预案培训和演练 定期修订 应从人力、设备、技术和财务等方面确保应急预案的执行有足够的资源保障。 应定期对系统相关的人员进行应急预案培训，并进行应急预案的演练。 应定期对原有的应急预案重新评估，修订完善。 12. 外包运维管理

管理要求项 外包服务协议 要求要点 应与选定的外包运维服务商签订相关的协议，明确约定外包运维的范围、工作内容。 对于三级业务系统/云平台，应确保选择的外包运维服务商在技术和管理方面均具有按照等级保护要求开展安全运维工作的能力，并将能力要求在签订的协议中明确。 对于三级业务系统/云平台，应在与外包运维服务商签订的协议中明确所有相关的安全要求。如可能涉及对敏感信息的访问、处理、存储要求，对IT基础设施中断服务的应急保障要求等。 外包服务能力要求 外包服务安全要求

1.2 云环境下WEB系统等保建设规划

专用名词释意:

RDS→云数据库 VPC→云专有网络 OSS→对象存储 ECS→云服务器 安全组→云专有网络内的分布式状态检测防火墙;

图表 1 云环境下WEB系统二级等保建设规划拓扑图

云环境等级保护(二级)建设规划产品清单

专用名词释意: RDS→云数据库 VPC→云专有网络

OSS→对象存储 ECS→云服务器 安全组→VPC内分布式状态检测防火墙;

注:本次产品清单依据阿里云--云二级等保梳理得出。

序号 软件产品名称 数量 1 VPC 1 单位 备注 套 云服务商提供的云专有网络，可以实现VLAN级隔离，并自定义IP地址分配； 2 安全组 1 套 云服务商在VPC内提供的分布式状态检测防火墙，对不同的安全组进行四层访问控制 3 云防火墙 4 /年 套云防火墙可以基于业务可视化、实现业务分区／分组管理员将可以清晰的甄别合法访问和非法访问，从而执行安全隔离和访问控制策略。 4 云WEB应用防火墙 1 套云环境下提供WEB系统通信传输、边界防护、/年 入侵防范等安全机制 套保护云服务器账户、系统的安全，防范恶意/年 代码 套对用户进行身份鉴别、访问控制、安全审计 /年 套对数据库进行数据审计并实现集中审计 /年 套对网络中发生的各类安全事件进行识别、报/年 警和分析，日志收集留存。 项 测评机构根据国家和相关行业等级保护相5 安全狗 1 6 云堡垒机 1 7 云数据库审计 1 8 云态势感知 1 9 等级测评 1 关标准，选取响应测评指标开展等级测评，出具等级测评报告 10 等级保护定级和备案 1 项 辅导云租户开展信息系统等级保护定级，准备定级报告和信息系统备案材料 图表 2 云环境等级保护(二级)建设规划产品清单

本文来源：https://www.bwwdw.com/article/vjp5.html