【法规名称】
【颁布部门】 中国证券监督管理委员会
【发文字号】 中国证券监督管理委员会公告[2011]38号
【颁布时间】 2011-12-22
【实施时间】 2011-12-22
【效力属性】 有效
【法规编号】 576389 什么是编号？
【正 文】
第13页 证券监督管理委员会公告(2011)38号――证券期货业信息系统安全等级保护基本要求(试行)
|
[接上页] 2） 机房验收报告应提供合格的检测结果。 b）电源线和通信线缆应隔离铺设，避免互相干扰； 电源线和通信线缆应铺设在不同的桥架或管道，避免互相干扰。 c）应对关键设备和磁介质实施电磁屏蔽。 7.1.2.网络安全 7.1.2.1. 结构安全（g3） 本项要求包括： a）应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要； 主要网络设备近一年的cpu负载峰值应小于30%。 b）应保证网络各个部分的带宽满足业务高峰期需要； c）应在业务终端与业务服务器之间进行路由控制建立安全的访问路径； 业务终端和业务服务器应放置在不同的子网内，并建立安全的访问路径。 d）应绘制与当前运行情况相符的网络拓扑结构图； 应绘制完整的网络拓扑结构图，有相应的网络配置表，包含设备ip地址等主要信息，与当前运行情况相符，并及时更新。 e）应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段； f）应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段； g）应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。 应对所有业务确定重要性、优先级，制定业务相关带宽分配原则及相应的带宽控制策略，根据安全需求，采取网络qos或专用带宽管理设备等措施。 7.1.2.2. 访问控制（g3） 本项要求包括： a）应在网络边界部署访问控制设备，启用访问控制功能； b）应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级； c）应对进出网络的信息内容进行过滤，实现对应用层http、ftp、telnet、smtp、pop3等协议命令级的控制； 对通过互联网传输的信息内容进行过滤，实现对应用层http、ftp、telnet、smtp、pop3等通用性协议命令级控制。 d）应在会话处于非活跃一定时间或会话结束后终止网络连接； e）应限制网络最大流量数及网络连接数； f）重要网段应采取技术手段防止地址欺骗； g）应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户； h）应限制具有拨号访问权限的用户数量。 原则上不应通过互联网对重要信息系统进行远程维护和管理。 7.1.2.3. 安全审计（g3） 本项要求包括： a）应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录； b）审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； c）应能够根据记录数据进行分析，并生成审计报表； d）应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。 7.1.2.4. 边界完整性检查（s3） 本项要求包括： a）应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断； b）应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。 能够检查内部网络用户采用双网卡跨接外部网络，或采用电话拨号、adsl拨号、手机、无线上网卡等无线拨号方式连接其他外部网络。 7.1.2.5. 入侵防范（g3） 本项要求包括： a）应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、ip碎片攻击和网络蠕虫攻击等； b）当检测到攻击行为时，记录攻击源ip、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。 7.1.2.6. 恶意代码防范（g3） 本项要求包括： a）应在网络边界处对恶意代码进行检测和清除； 1） 在不严重影响网络性能和业务的情况下，应在网络边界部署恶意代码检测系统； 2） 如果部署了主机恶意代码检测系统，可选择安装部署网络边界恶意代码检测系统。 b）应维护恶意代码库的升级和检测系统的更新。 7.1.2.7. 网络设备防护（g3） 本项要求包括： a）应对登录网络设备的用户进行身份鉴别； 应删除默认用户或修改默认用户的口令，根据管理需要开设用户，不得使用缺省口令、空口令、弱口令。 b）应对网络设备的管理员登录地址进行限制； |
- 此法规有错误，我来纠正。请点击在此 提交错误内容或者您纠正的内容！