1、L80ICS35.40中华人民共和国国家标准GB/T 28448.5XXXX信息安全技术 网络安全等级保护测评要求第5部分：工业控制系统安全扩展要求 Information Security Technology- Evaluation Requirement for Cybersecurity Classified Protection Part 5：Industrial Control System Security Extension Requirement点击此处添加与国际标准一致性程度的标识（本稿完成日期：2016年12月26日）XXXX - XX - XX发布XXXX - XX -
2、 实施GB/T XXXXXXXXX目次目次I前言I引言II1 范围12 规范性引用文件13 术语和定义14 安全等级保护测评概述24.1 安全等级保护测评方法24.2 单项测评和整体测评25 总体要求单项测评25.1 总体技术能力测评25.2 总体管理能力测评46 第一级单项测评46.1 安全技术测评46.2 安全管理测评167 第二级单项测评287.1 安全技术测评287.2 安全管理测评538 第三级单项测评808.1 安全技术测评808.2 安全管理测评1189 第四级单项测评1569.1 安全技术测评1569.2 安全管理测评19810 第五级单项测评23811 整体测评23811.1
3、 概述23811.2 安全控制点测评23811.3 安全控制点间测评23811.4 层面间测评23812 测评结论23912.1 各层面的测评结论23912.2 风险分析和评价23912.3 等级测评结论239附录A （资料性附录） 测评力度240A.1 概述240A.2 测评力度描述240A.3 等级测评力度240附录B （规范性附录） 测评单元编号说明243B.1 测评指标编码规则243B.2 专用缩略语243附录C （资料性附录） 测评要求与设计要求对应表244I前言GB/T 28448信息安全技术 网络安全等级保护测评要求拟分成部分出版，各部分将按照应用的领域划分成安全通用测评要求和具
4、体领域的安全扩展测评要求。目前计划发布以下部分：第1部分：安全通用测评要求；第2部分：云计算安全扩展要求；第3部分：移动互联安全扩展要求；第4部分：物联网安全扩展要求；第5部分：工业控制系统安全扩展要求；第6部分：大数据安全扩展要求。本部分为GB/T 28448的第5部分。本部分按照GB/T 1.12009给出的规则起草。本部分由全国信息安全标准化技术委员会（SAC/TC 260）提出并归口。本部分起草单位：国家能源局信息中心、全球能源互联网研究院、北京卓识网安技术股份有限公司、中国电力科学研究院、国网电力科学研究院、国电南京自动化股份有限公司、南方电网科学研究院有限公司、浙江东安检测技术有限
5、公司、中国软件评测中心、工信部15所、公安部一所、公安部信息安全等级保护评估中心、国和信诚（北京）信息安全技术服务中心、国家信息化测评中心、电子六所、浙江大学、中国大唐集团科学技术研究院、中国长江三峡集团公司、中国广核集团有限公司、北京匡恩网络科技有限责任公司、北京神州绿盟科技有限公司、北京威努特技术有限公司。本部分主要起草人：胡红升、王保喜、陈雪鸿、叶世超、李焕、张錋、毛澍、刘韧、李凌、付瑞峰、朱世顺、丁晓玉、张五一、李圣泉、陈华军、郭敏、周峰、霍珊珊、张益、李秋香、袁静、陈炜、李速、王海珍、付一帆、刘文龙、杨国玉、李旸照、张华、王晓鹏、张大江、张振山。引言GB/T 28448在我国网络安全
6、等级保护工作开展过程中发挥了重要的指导作用。GB/T 28448自2012年发布以来，收到了许多标准使用者提出的修改意见和建议，在标准应用过程中，特别是云计算、移动互联、大数据、物联网和工控系统等新技术、新应用环境下也遇到了一些新的问题。此外，作为测评指标进行引用的GB/T 22239也启动了修订工作。为适应我国网络安全等级保护工作发展的需要，进一步与新版的GB/T 22239相协调，有必要对GB/T 28448进行修订。本部分只对等级保护第一级到第四级工业控制系统做出要求。在本部分文本中，黑体字表示较低等级中没有出现或增强的要求。本部分为GB/T 28448.1在工业控制系统安全领域的扩展要
7、求，对工业控制系统应用GB/T 28448时应同时使用GB/T 28448.1和GB/T 28448.5的相关要求。信息安全技术 网络安全等级保护测评要求 第5部分：工业控制系统安全扩展要求1 范围本部分规定了工控控制不同等级保护对象的安全扩展要求，包括对第一级工控系统、第二级工控系统、第三级工控系统和第四级工控系统进行安全扩展测评的单项测评要求和工控系统整体测评要求。本标准略去对第五级工控系统进行单项测评的具体内容要求。本部分适用于信息安全测评服务机构、等级保护对象的主管部门及运营使用单位对等级保护对象安全等级保护状况进行的安全测试评估。信息安全监管职能部门依法进行的网络安全等级保护监督检查
8、可以参考使用。2 规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 25069-2010 信息安全技术 术语GB 17859-1999 计算机信息系统安全保护等级划分准则GB/T 28449-20XX 信息安全技术 网络安全等级保护测评过程指南GB/T 22239.5-20XX 信息安全技术 网络安全等级保护基本要求 第5部分：工控控制安全扩展要求GB/T 25070.5-20XX 信息安全技术 网络安全等级保护安全设计技术要求 第5部分：工控控制安全扩展要求3
9、术语和定义GB/T 25069-2010和GB/T 22239.5-20XX界定的以及下列术语和定义适用于本文件。3.1访谈 interview访谈是指测评人员通过引导等级保护对象相关人员进行有目的的（有针对性的）交流以帮助测评人员理解、澄清或取得证据的过程。3.2核查 examination核查是指测评人员通过对测评对象（如制度文档、各类设备、安全配置等）进行观察、查验、分析以帮助测评人员理解、澄清或取得证据的过程。3.3测试 testing测试是指测评人员使用预定的方法/工具使测评对象（各类设备或安全配置）产生特定的结果，将运行结果与预期的结果进行比对的过程。3.4安全等级保护测评 eva
10、luation for security classified protection安全等级保护测评（以下简称“等级测评”）是指测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和计算标准，对未涉及国家秘密的等级保护对象进行安全等级保护状况进行检测评估的活动。等级测评是标准符合性评判活动，即依据信息安全等级保护的国家标准或行业标准，按照特定方法对等级保护对象的安全保护能力进行科学公正的综合评判过程。4 安全等级保护测评概述4.1 安全等级保护测评方法等级测评实施的基本方法是针对特定的测评对象，采用相关的测评手段，遵从一定的测评规程，获取需要的证据数据，给出是否达到特定级别安全保护能力的
11、评判。等级测评实施的详细流程和方法参见GB/T 28449-20XX。本部分中针对每一个要求项的测评就构成一个单项测评，单项测评中的每一个具体测评实施要求项（以下简称“测评要求项”）是与安全控制点下面所包括的要求项（测评指标）相对应的。在对每一要求项进行测评时，可能用到访谈、核查和测试三种测试方法，也可能用到其中一种或两种。测评实施的内容完全覆盖了GB/T 22239.5-20XX及GB/T25070.5-20XX（具体参见附录C）中所有要求项的测评要求，使用时应当从单项测评的测评实施中抽取出对于GB/T 22239.5-20XX中每一个要求项的测评要求，并按照这些测评要求开发测评指导书，以规
12、范和指导等级测评活动。等级测评活动中涉及测评力度，包括测评广度（覆盖面）和测评深度（强弱度）。测评广度和测评深度特性影响着访谈、核查和测试的具体手段，也影响着证据数据的可信度，关于测评力度的具体描述参见附录A。4.2 单项测评和整体测评安全等级保护测评分为单项测评和整体测评。单项测评是针对各安全要求项的测评，支持测评结果的可重复性和可再现性。本部分中单项测评由测评指标、测评对象、测评实施和单项测评结果判定构成。整体测评是在单项测评基础上，对等级保护对象整体安全保护能力的判断。整体安全保护能力从纵深防护和措施互补二个角度评判。5 总体要求单项测评5.1 总体技术能力测评5.1.1 测评单元a)
13、测评指标工控控制系统与企业管理系统之间原则上应划分为两个区域，区域间应采用有效的隔离技术手段；禁止任何穿越区域边界的E-Mail、Web、Telnet、Rlogin、FTP等通用网络服务。（新增）b) 测评对象网络拓扑结构、网闸、路由器、交换机和防火墙等网络通信类设备。c) 测评实施1) 应确认工控控制系统的网络边界位置，并核查在网络边界处是否采用的有效的隔离措施实施访问控制；2) 应核查设备安全策略，是否禁止E-Mail、Web、Telnet、Rlogin、FTP等通用网络服务穿越边界。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分
14、符合本单项测评指标要求。5.1.2 测评单元a) 测评指标在工控控制系统内从生产管理层到现场设备层使用广域网的纵向交接处应采用加密认证技术手段实现身份认证、访问控制和数据加密传输。（新增）b) 测评对象网络拓扑结构、加密认证设备、网闸、路由器、交换机和防火墙等网络通信类设备。c) 测评实施应确认工控控制系统的网络边界位置，并核查在网络边界处是否采用的有效的认证、加密、访问控制等技术措施实施数据的远方安全传输以及纵向边界的安全防护。d) 单项判定如果以上测评实施内容为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合本单项测评指标要求。5.1.3 测评单元a) 测评指标涉及实时
15、传输数据要求的工控控制系统，应使用独立的网络设备组网，在物理层面上实现与其它数据网及外部公共信息网的安全隔离。（新增）b) 测评对象网络拓扑结构、网闸、路由器、交换机和防火墙等网络通信类设备。c) 测评实施应确认工控控制系统关键部位的传输数据要求，涉及实时传输数据的，核查是否采用物理隔离措施实现关键部位安全防护。d) 单项判定如果以上测评实施内容为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合本单项测评指标要求。5.1.4 测评单元a) 测评指标工控控制系统内二级子系统统一成域，三级及以上子系统可单独成域；并采用VLAN或防火墙等技术手段实现各域之间的访问控制功能。（新增
16、）b) 测评对象网络拓扑结构、路由器、交换机和防火墙等网络通信类设备。c) 测评实施应确认工控控制系统内各子系统安全级别，并核查二、三、四级系统之间交换机、防火墙配置是否实现各域之间的访问控制功能。d) 单项判定如果以上测评实施内容为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合本单项测评指标要求。5.1.5 测评单元a) 测评指标工控控制系统应实现对网络流量、网络协议、网络设备安全日志、操作系统访问日志、数据库访问日志、业务应用系统运行日志、安全设施告警日志、控制设备运行日志等的集中收集、自动分析功能。（新增）b) 测评对象安全监控系统、安全审计系统、预警分析平台等审计
17、类设备。c) 测评实施1) 应核查是否在系统中部署具备流量、日志监控功能的集中安全监控系统，对网络链路、安全设备、网络设备和服务器等的安全运行状况进行集中监测；2) 应核查监测系统能否根据流量或日志的关联分析，形成预设值的（或默认阀值）实时报警。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。5.2 总体管理能力测评5.2.1 测评单元a) 测评指标工控系统所属单位中出现多等级工控系统时，通用管理要求统一采用定级最高的工控系统执行。（新增）b) 测评对象定级文档。c) 测评实施应核查各工控系统定级报告，查看管理要
18、求是否采用“就高原则”执行。d) 单项判定如果以上测评实施内容为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合本单项测评指标要求。6 第一级单项测评6.1 安全技术测评6.1.1 物理和环境安全6.1.1.1 物理访问控制6.1.1.1.1 测评单元（L1-PES1-01）a) 测评指标机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进入的人员。（本条款引用自GB/T 22239.1-20XX 5.1.1.1）b) 测评对象机房管理员和数据中心机房、场站机房。c) 测评实施1) 应核查是否安排专人值守或配置电子门禁系统；2) 应核查相关记录是否能够控制、鉴别和
19、记录进入的人员。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.1.2 防盗窃和防破坏6.1.1.2.1 测评单元（L1-PES1-02）a) 测评指标应将设备或主要部件进行固定，并设置明显的不易除去的标记。（本条款引用自GB/T 22239.1-20XX 5.1.1.2）b) 测评对象数据中心机房、场站机房、现地机房。c) 测评实施1) 应核查机房内设备或主要部件是否固定；2) 应核查机房内设备或主要部件上是否设置了明显且不易除去的标记。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单项测评
20、指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.1.3 防雷击6.1.1.3.1 测评单元（L1-PES1-03）a) 测评指标应将各类机柜、设施和设备等通过接地系统安全接地。（本条款引用自GB/T 22239.1-20XX 5.1.1.3）b) 测评对象数据中心机房、场站机房、现地机房。c) 测评实施应核查机房内机柜、设施和设备等是否进行接地处理。d) 单项判定如果以上测评实施内容为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合本单项测评指标要求。6.1.1.4 防火6.1.1.4.1 测评单元（L1-PES1-04）a) 测评指标机房应设置灭火
21、设备。（本条款引用自GB/T 22239.1-20XX 5.1.1.4）b) 测评对象数据中心机房、场站机房、现地机房。c) 测评实施1) 应核查灭火设备位置摆放是否合理；2) 应核查机房内是否配备灭火设备且在有效期内；3) 应访谈机房维护人员，询问是否对灭火设备定期进行核查和维护。d) 单项判定如果1）-3）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.1.5 防水和防潮6.1.1.5.1 测评单元（L1-PES1-05）a) 测评指标应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。（本条款引用自GB/T 22239.1-20X
22、X 5.1.1.5）b) 测评对象数据中心机房、场站机房、现地机房。c) 测评实施1) 应核查机房的窗户、屋顶和墙壁等是否未出现过漏水、渗透和返潮现象；如果出现漏水、渗透和返潮现象，则查看是否能够及时修复解决；2) 应核查机房的窗户、屋顶和墙壁是否采取了防雨水渗透的措施。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.1.6 温湿度控制6.1.1.6.1 测评单元（L1-PES1-06）a) 测评指标机房应设置必要的温湿度控制设施，使机房温湿度的变化在设备运行所允许的范围之内。（本条款引用自GB/T 22
23、239.1-20XX 5.1.1.6）b) 测评对象数据中心机房、场站机房、现地机房。c) 测评实施1) 应核查机房是否配备了专用空调，空调是否能够正常运行；2) 应核查机房内温湿度是否在设备运行所允许的范围之内，是否满足计算站场地的技术条件要求。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.1.7 电力供应6.1.1.7.1 测评单元（L1-PES1-07）a) 测评指标应在机房供电线路上配置稳压器和过电压防护设备。（本条款引用自GB/T 22239.1-20XX 5.1.1.7）b) 测评对象数据中
24、心机房、场站机房、现地机房。c) 测评实施应核查供电可线路上是否配置了稳压器和过电压防护设备。d) 单项判定如果以上测评实施内容为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合本单项测评指标要求。6.1.1.8 室外控制设备防护6.1.1.8.1 测评单元（L4-PES1-24）a) 测评指标室外控制设备应放置于采用铁板或其他防火绝缘材料制作，具有透风、散热、防盗、防雨、防火能力的箱体或装置中；控制设备应安装在金属或其他尽缘板上(非木质板)，并紧固于箱体或装置中。b) 测评对象室外控制设备。c) 测评实施应核查室外控制设备是否放置于采用铁板或其他防火尽缘材料制作，具有透风
25、、散热、防盗、防雨、防火能力的箱体或装置中；控制设备是否安装在金属或其他尽缘板上(非木质板)，并紧固于箱体或装置中。d) 单项判定如果以上测评实施内容为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合本单项测评指标要求。6.1.1.8.2 测评单元（L4-PES1-24）a) 测评指标室外控制设备应远离极端天气环境，如无法避免，在遇到极端天气时应及时做好应急处置及检修确保设备正常运行。b) 测评对象室外控制设备。c) 测评实施1) 应核查室外控制设备是否远离极端天气环境；2) 应核查是否有极端天气时的检修维护记录。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单
26、项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.1.8.3 测评单元（L4-PES1-24）a) 测评指标室外控制设备放置应远离强电磁干扰和热源。b) 测评对象室外控制设备。c) 测评实施应核查室外控制设备放置是否远离强电磁干扰和热源。d) 单项判定如果以上测评实施内容为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合本单项测评指标要求。6.1.2 网络和通信安全6.1.2.1 网络架构6.1.2.1.1 测评单元（L1-NCS1-01）a) 测评指标应保证网络设备的业务处理能力满足基本业务需要；（本条款引用自GB/T 22239.1-20XX
27、 5.1.2.1 a）b) 测评对象路由器、交换机和防火墙等网络通信类设备。c) 测评实施1) 应访谈网络管理员了解系统的业务高峰时段，核查业务高峰时期一段时间内主要网络设备的CPU使用率和内存使用率；2) 网络设备应未出现过宕机情况。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.2.1.2 测评单元（L1-NCS1-02）a) 测评指标应保证接入网络和核心网络的带宽满足基本业务需要。（本条款引用自GB/T 22239.1-20XX 5.1.2.1 b）b) 测评对象网络管理员或综合网管系统。c) 测评
28、实施应访谈网络管理员了解网络高峰时段，核查各通信链路带宽是否满足高峰时段的业务流量。d) 单项判定如果以上测评实施内容为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合本单项测评指标要求。6.1.2.2 通信传输6.1.2.2.1 测评单元（L1-NCS1-03）a) 测评指标应采用校验码技术保证通信过程中数据的完整性。（本条款引用自GB/T 22239.1-20XX 5.1.2.2）b) 测评对象加解密设备或组件。c) 测评实施应访谈安全管理员，询问是否在数据传输过程中使用校验码技术来保护其完整性。d) 单项判定如果以上测评实施内容为肯定，则等级保护对象符合本单项测评指标
29、要求，否则，等级保护对象不符合本单项测评指标要求。6.1.2.3 边界防护6.1.2.3.1 测评单元（L1-NCS1-04）a) 测评指标应保证跨越边界的访问和数据流通过边界防护设备提供的受控接口进行通信。（本条款引用自GB/T 22239.1-20XX 5.1.2.3）b) 测评对象网闸、防火墙、路由器和交换机等访问控制类设备。c) 测评实施1) 应确认等级保护对象的网络边界位置，并核查在网络边界处是否部署访问控制设备；2) 应核查设备配置信息，是否指定端口进行跨越边界的网络通信，该端口配置并启用了安全策略；3) 应访谈安全管理员或核查设备配置信息，是否不存在其他未受控端口进行跨越边界的网
30、络通信。d) 单项判定如果1）-3）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.2.4 访问控制6.1.2.4.1 测评单元（L1-NCS1-05）a) 测评指标应在网络边界根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；（本条款引用自GB/T 22239.1-20XX 5.1.2.4 a）b) 测评对象网闸、防火墙、路由器和交换机等访问控制类设备。c) 测评实施1) 应核查在网络边界是否部署网络访问控制设备，是否启用访问控制策略；2) 应核查设备的访问控制策略，确保手工配置或设备默认的最后一条策略
31、为禁止所有网络通信。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.2.4.2 测评单元（L1-NCS1-06）a) 测评指标应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化；（本条款引用自GB/T 22239.1-20XX 5.1.2.4 b）b) 测评对象网闸、防火墙、路由器和交换机等访问控制类设备。c) 测评实施1) 应核查设备访问控制策略，访谈安全管理员每一条策略的用途，查看是否不存在多余或无效的访问控制策略；2) 应核查安全策略逻辑关系及访问控制策略排列顺序是否合理
32、。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.2.4.3 测评单元（L1-NCS1-07）a) 测评指标应对源地址、目的地址、源端口、目的端口和协议等进行核查，以允许/拒绝数据包进出；（本条款引用自GB/T 22239.1-20XX 5.1.2.4 c）b) 测评对象网闸、防火墙、路由器和交换机等访问控制类设备。c) 测评实施应核查访问控制设备，查看是否对源地址、目的地址、源端口、目的端口和协议等进行核查。d) 单项判定如果以上测评实施内容为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对
33、象不符合本单项测评指标要求。6.1.3 设备和计算安全6.1.3.1 身份鉴别6.1.3.1.1 测评单元（L1-ECS1-01）a) 测评指标应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换，用户名和口令不得相同，禁止明文存储口令。（增强）。（本条款引用自GB/T 22239.1-20XX 5.1.3.1 a）b) 测评对象终端和服务器等设备中的操作系统、数据库系统和中间件等系统软件及网络设备和安全设备。c) 测评实施1) 应核查用户在登录时是否采用了身份鉴别措施；2) 应核查用户列表，查看所有用户身份标识是否具有唯一性；3) 应核查用户配置信息或访
34、谈系统管理员，查看是否存在空密码用户；4) 应核查用户鉴别信息是否具有复杂度要求并定期更换。d) 单项判定如果1）-4）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.3.1.2 测评单元（L1-ECS1-02）a) 测评指标应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。（本条款引用自GB/T 22239.1-20XX 5.1.3.1 b）b) 测评对象终端和服务器等设备中的操作系统、数据库系统和中间件等系统软件及网络设备和安全设备。c) 测评实施1) 应核查是否配置并启用了登录失
35、败处理功能；2) 应核查是否配置并启用了限制非法登录达到一定次数后实现账户锁定功能；3) 应核查是否配置并启用了远程登录连接超时并自动退出功能。d) 单项判定如果1）-3）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.3.1.3 测评单元（L4-ECS1-36）a) 测评指标应能够对登录控制设备进行密码认证。b) 测评对象控制设备。c) 测评实施核查控制设备访问时是否提供密码认证选项。d) 单项判定如果以上内容均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.3.2 访问
36、控制6.1.3.2.1 测评单元（L1-ECS1-03）a) 测评指标应对登录的用户分配账号和权限。（本条款引用自GB/T 22239.1-20XX 5.1.3.2 a）b) 测评对象终端和服务器等设备中的操作系统、数据库系统和中间件等系统软件及网络设备和安全设备。c) 测评实施1) 应核查或访谈用户账户和权限设置情况；2) 应核查是否已禁用或限制匿名、默认账户的访问权限。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.3.2.2 测评单元（L1-ECS1-04）a) 测评指标应重命名默认账号或修改默认口
37、令。（本条款引用自GB/T 22239.1-20XX 5.1.3.2 b）b) 测评对象终端和服务器等设备中的操作系统、数据库系统和中间件等系统软件及网络设备和安全设备。c) 测评实施1) 应核查是否不存在默认账号或默认账号已重命名；2) 应核查是否已修改默认账号的默认口令。d) 单项判定如果1）或2）为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.3.2.3 测评单元（L1-ECS1-05）a) 测评指标应及时删除或停用多余的、过期的账号，避免共享账号的存在。（本条款引用自GB/T 22239.1-20XX 5.1.3.2 c）b)
38、 测评对象终端和服务器等设备中的操作系统、数据库系统和中间件等系统软件及网络设备和安全设备。c) 测评实施1) 应核查是否不存在多余或过期账号；2) 应访谈了解是否不同用户采用不同登录账号登录系统。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.3.3 入侵防范6.1.3.3.1 测评单元（L1-ECS1-06）a) 测评指标系统应遵循最小安装的原则，仅安装需要的组件和应用程序。（本条款引用自GB/T 22239.1-20XX 5.1.3.3 a）b) 测评对象终端、控制设备和服务器等设备中的操作系统、数
39、据库系统和中间件等系统软件。c) 测评实施1) 应访谈管理员是否遵循最小安装原则；2) 应确认是否已经关闭非必要的组件和应用程序。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.3.3.2 测评单元（L1-ECS1-07）a) 测评指标应关闭不需要的系统服务、默认共享和高危端口。（本条款引用自GB/T 22239.1-20XX 5.1.3.3 b）b) 测评对象终端、控制设备和服务器等设备中的操作系统、数据库系统和中间件等系统软件。c) 测评实施1) 应访谈管理员是否定期对系统服务进行梳理，关闭了非必要的
40、系统服务和默认共享；2) 应核查是否不存在非必要的高危端口。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.3.3.3 测评单元（L4-ECS1-36）a) 测评指标应使用专用设备或专用软件对控制设备进行更新。b) 测评对象控制设备。c) 测评实施应核查控制设备更新设备是否为专用设备或专用软件。d) 单项判定如果以上内容均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.3.3.4 测评单元（L4-ECS1-30）a) 测评指标应关闭控制设备中不必
41、要的端口和服务。b) 测评对象控制设备。c) 测评实施1) 应访谈管理员是否关闭了非必要的服务和端口；2) 采用工控扫描设备对控制设备进行扫描。d) 单项判定如果1）-2）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.3.4 恶意代码防范6.1.3.4.1 测评单元（L2-ECS1-08）a) 测评指标应安装防恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库。（本条款引用自GB/T 22239.1-20XX 5.1.3.4）b) 测评对象终端和服务器等设备中的操作系统、数据库系统和中间件等系统软件。c) 测评
42、实施应查看防恶意代码工具的安装和使用情况，核查是否定期进行升级和更新防恶意代码库。d) 单项判定如果以上测评实施内容为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合本单项测评指标要求。6.1.4 应用和数据安全6.1.4.1 身份鉴别6.1.4.1.1 测评单元（L1-ADS1-01）a) 测评指标应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，鉴别信息具有复杂度要求并定期更换；（本条款引用自GB/T 22239.1-20XX 5.1.4.1 a）b) 测评对象应用系统管理员和业务应用系统。c) 测评实施1) 应核查用户在登录时是否采用了身份鉴别措施；2) 应核查用
43、户登录时是否使用唯一性身份标识；3) 应测试应用系统对用户身份标识有效性是否进行鉴别；4) 应核查鉴别信息是否具有复杂度要求并定期更换；5) 应核查用户配置信息或访谈应用系统管理员，查看是否不存在空密码用户。d) 单项判定如果 1）-5）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.4.1.2 测评单元（L1-ADS1-02）a) 测评指标应提供并启用登录失败处理功能，多次登录失败后应采取必要的保护措施；（本条款引用自GB/T 22239.1-20XX 5.1.4.1 b）b) 测评对象业务应用系统。c) 测评实施1) 应测试是否
44、进行用户登录失败处理；2) 应核查登录失败反馈信息是否进行模糊处理；3) 应测试用户连续多次登录失败时应用系统是否采取必要的保护措施。d) 单项判定如果 1）-3）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.4.2 访问控制6.1.4.2.1 测评单元（L1-ADS1-03）a) 测评指标应提供访问控制功能，对登录的用户分配帐号和权限；（本条款引用自GB/T 22239.1-20XX 5.1.4.2 a）b) 测评对象业务应用系统。c) 测评实施1) 应核查是否提供访问控制功能；2) 应核查是否有管理用户负责对系统用户进行账户分
45、配和权限管理；3) 应测试不同岗位用户是否具有不同的权限。d) 单项判定如果 1）-3）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.4.2.2 测评单元（L1-ADS1-04）a) 测评指标应重命名默认账户或修改默认口令；（本条款引用自GB/T 22239.1-20XX 5.1.4.2 b）b) 测评对象业务应用系统。c) 测评实施1) 应核查是否不存在默认账户或默认账户已重命名；2) 应核查是否已修改默认账户的默认口令。d) 单项判定如果 1）-2）均为肯定，则等级保护对象符合本单项测评指标要求，否则，等级保护对象不符合或部分符合本单项测评指标要求。6.1.4.2.3 测评单元（L1-ADS1-05）a) 测评指标应及时删除或停用多余的、过期的帐户，避免共享帐户的存在；（本条款引用自GB/T 22239.1-20XX 5.1.4.2 c）b) 测评对象应用系统管理员和业务应用系统。c) 测评实施1) 应核查是否不存在多余账户或过期账户；2) 应访谈了解是否不同用户采用不同登录账户登录应用系统。d) 单项判定如果 1）-2）均为肯定，则等级保护对象符合本单项测评指
