T／ISEAA 001-2020标准规范下载简介
T／ISEAA 001-2020 网络安全等级保护测评高风险判定指引.pdf6.4.2.8应用系统安全审计措施缺失
6.4.2.9应用系统审计记录不满足保护要求
a）标准要求：应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。 5）适用范围：二级及以上系统 判例场景（任意）： 1）应用系统业务操作类、安全类等重要日志可被恶意删除、修改或覆盖等； 2） 应用系统业务操作类、安全类等重要日志的留存时间不满足法律法规规定的相关要求（不 少于六个月）。 d）补偿因素： 1 对于应用系统提供历史日志删除等功能的情况，可从历史日志时间范围、追溯时效和意义 等角度进行综合风险分析，根据分析结果，酌情判定风险等级； 2） 对于应用系统未正式上线或上线时间不足六个月等情况，可从当前日志保存情况、日志备 份策略、日志存储容量等角度进行综合风险分析，根据分析结果，酌情判定风险等级，
10应用系统数据有效性检验功能缺先
SL／T 292-2020标准下载6.4.2.11应用系统存在可被利用的高危漏洞
本判例包括以下内容： 标准要求：应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴 别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。
b）适用范围、判例场景和补偿因素参见6.2.7
b）适用范围、判例场景和补偿因素参见6.2.7
6.4.3.2重要数据明文传输
本判例包括以下内容： a）标准要求：应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重 要业务数据和重要个人信息等。 b）适用范围、判例场景和补偿因素参见6.2.8。
6.4.3.3重要数据存储保密性保护措施缺失
本判例包括以下内容： a）标准要求：应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据 要业务数据和重要个人信息等。 b） 适用范围：三级及以上系统。 C 判例场景（所有）： 1）鉴别信息、个人敏感信息、行业主管部门规定需加密存储的数据等以明文方式存储； 2）未采取数据访问限制、部署数据库防火墙、使用数据防泄露产品等其他有效保护措施 d）补偿因素：无。
6.4.3.4数据备份措施缺失
本判例包括以下内容： a）标准要求：应提供重要数据的本地数据备份与恢复功能。 b）适用范围：二级及以上系统。 C 判例场景（任意）： 1）应用系统未提供任何重要数据备份措施，一旦遭受数据破坏，将无法进行数据恢复； 2）重要数据、源代码等备份到互联网网盘、代码托管平台等不可控环境，可能造成重要信息 泄露。 d）补偿因素：对于采用多数据中心或穴余方式部署，重要数据存在多个副本的情况，可从技术实 现效果、恢复效果等角度进行综合风险分析，根据分析结果，酌情判定风险等级
6.4.3.5异地备份措施缺失
本判例包括以下内容： a）标准要求：应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地。 b）适用范围：三级及以上系统。 C 判例场景：数据容灾要求较高的定级对象，无异地数据灾备措施，或异地备份机制无法满足业 务或行业主管部门要求。 d)补偿因素.无
6.4.3.6数据处理系统余措施缺失
本判例包括以下内容： a 标准要求：应提供重要数据处理系统的热允余，保证系统的高可用性。 b） 适用范围：三级及以上系统 C) 判例场景：对于数据处理可用性要求较高的定级对象，处理重要数据的设备，例如服务器、数据
库等未采用热几余技术，发生故障后可能导致系统停止运行 补偿因素：对于采取其他技术防范措施的情况，可从技术实现效果、恢复方式 行综合风险分析，根据分析结果，酌情判定风险等级
6.4.3.7未建立异地灾难备份中心
本判例包括以下内容： a）标准要求：应建立异地灾难备份中心，提供业务应用的实时切换。 b）适用范围：四级系统。 判例场景：容灾、可用性要求较高的系统，未设立异地应用级容灾中心，或异地应用级容灾中心 无法实现业务切换 d）补偿因素：对于采取其他技术防范措施的情况，可从技术实现效果、恢复方式、RTO等角度进 行综合风险分析，根据分析结果，酌情判定风险等级
6.4.3.8鉴别信息释放措施失效
本判例包括以下内容： a）标准要求：应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除。 6） 适用范围：二级及以上系统。 C 判例场景（所有）： 1）身份鉴别信息释放或清除机制存在缺陷，利用剩余鉴别信息，可非授权访问系统资源或进 行操作； 2）无其他技术措施，消除或降低非授权访问系统资源或进行操作所带来的影响。 d）补偿因素：无，
6.4.3.9敏感数据释放措施失效
本判例包括以下内容： a）标准要求：应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。 b）适用范围：三级及以上系统。 判例场景：个人敏感信息、业务敏感信息等敏感数据释放或清除机制存在缺陷，可造成敏感数 据泄露。 d）补偿措施：无。
6.4.3.10违规采集和存储个人信息
本判例包括以下内容： a） 标准要求：应仅采集和保存业务必需的用户个人信息。 b）适用范围：二级及以上系统。 判例场景（任意）： 1）在未授权情况下，采集、存储用户个人隐私信息； 2）采集、保存法律法规、主管部门严令禁止采集、保存的用户隐私信息 d) 补偿因素：无。
6.4.3.11违规访问和使用个人信息
a） 标准要求：应禁止未授权访问和非法使用用户个人信息 b） 适用范围：二级及以上系统 判例场景（任意）： 1）未按国家、行业主管部门以及标准的相关规定使用个人信息，例如在未授权情况下将用户 信息提交给第三方处理，未脱敏的个人信息用于其他非核心业务系统或测试环境，非法买 卖、泄露用户个人信息等情况； 2）个人信息可非授权访问，例如未严格控制个人信息查询以及导出权限等。 d）补偿因素：无。
云服务客户数据和用户个人信息违规
本判例包括以下内容： a）标准要求：应确保云服务客户数据、用户个人信息等存储于中国境内，如需出境应遵循国家相 关规定。 b） 适用范围：二级及以上云计算平台。 C） 判例场景：云服务客户数据、用户个人信息等数据出境未遵循国家相关规定。 d） 补偿因素：无
6.5.1运行监控措施缺失
本判例包括以下内容： a）标准要求：应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测。 b）适用范围：高可用性的三级及以上系统。 判例场景：对网络链路、安全设备、网络设备和服务器等的运行状况无任何监控措施，发生故 后无法及时对故障进行定位和处理。 d）补偿因素：无
本判例包括以下内容： ）标准要求：应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测。 ）适用范围：高可用性的三级及以上系统。 判例场景：对网络链路、安全设备、网络设备和服务器等的运行状况无任何监控措施，发生故障 后无法及时对故障进行定位和处理。 ）补偿因素：无
6.5.2审计记录存储时间不满足要求
尝因素：对于与互联网完全物理隔离的系统，可从网络管控措施、介质管控措施， 度进行综合风险分析，根据分析结果，酌情判定风险等级。
6.6安全管理制度和机构
6.6.1管理制度缺失
本判例包括以下内容： a）标准要求：应对安全管理活动中的各类管理内容建立安全管理制度。 b）适用范围：二级及以上系统。 判例场景：未建立任何与安全管理活动相关的管理制度或相关管理制度无法适用于当前定级 对象。 d)补偿因素:无,
本判例包括以下内容： ）标准要求：应对各类人员进行安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒 措施。 ）适用范围：二级及以上系统。 ）判例场景：未定期组织开展与安全意识、安全技能相关的培训。 补偿因素：无。
6.7.2外部人员接入网络管理措施缺失
本判例包括以下内容： a）标准要求：应在外部人员接入受控网络访问系统前先提出书面申请，经批准后再由专人开设账 户、分配权限，并登记备案。 ） 适用范围：二级及以上系统 判例场景（所有）： 1）管理制度中未明确外部人员接入受控网络访问系统的申请、审批流程，以及相关安全控制 要求； 2）无法提供外部人员接入受控网络访问系统的申请、审批等相关记录证据。 补偿因素：无，
6.8.1违规采购和使用网络安全产品
本判例包括以下内容： a）标准要求：应确保网络安全产品的采购和使用符合国家有关规定。 b）适用范围：三级及以上系统。 c）判例场景：网络安全产品的采购和使用违反国家有关规定，“例如采购、使用的安全产品未获得 销售许可证、未通过国家有关机构的安全检测等”。 d）补偿因素：对于使用开源、自研的网络安全产品（非销售类安全产品）的情况，可从该网络安全 产品的作用、功能、使用场景、国家及行业主管部门的要求等角度进行综合风险分析，充分考虑 该网络安全产品未通过专业机构检测，一旦出现功能缺陷、安全漏洞等问题对定级对象带来的 影响，根据分析结果，酌情判定风险等级
6.8.2外包开发代码审计措施缺失
本判例包括以下内容： a）标准要求：应保证开发单位提供软件源代码，并审查软件中可能存在的后门和隐蔽信道。 b）适用范围：三级及以上系统。 ）判例场景（所有）： 1）涉及国计民生的核心业务系统，被测单位未对开发单位开发的系统进行源代码安全审查 2）开发单位未提供任何第三方机构提供的安全性检测证明。 补偿因素： 1）定级对象建成时间较长，虽未进行源代码安全审查，但定期进行安全检测，并能够提供安 全检测报告，且当前管理制度中明确规定外包开发代码审计，可根据实际措施效果，的情 判定风险等级； 2） 对于被测单位通过合同等方式与开发单位明确安全责任并采取相关技术手段进行防控的 情况，可从已采取的技术防范措施等角度进行综合风险分析，根据分析结果，酌情判定风 险等级； 3） 对于部分模块外包开发的情况，可从外包开发模块的用途、重要性等角度进行综合风险分 析，根据分析结果，酌情判定风险等级
本判例包括以下内容： a）标准要求：应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用 安全性测试相关内容。 b）适用范围：三级及以上系统。 c）判例场景：系统上线前未开展任何安全性测试，或未对测试发现的高风险问题进行安全评估和 整改。 d）补偿因素：定级对象建成时间较长，上线前虽未进行安全性测试，但上线后定期开展安全检测 且检测未发现高危风险隐患，可根据实际措施效果，酌情判定风险等级。 汪： ：安全测试内容包括但不限于等级保护测评、扫描渗透测试、安全功能验证、源代码安全审核等
6.9.1运维工具管控措施缺失
本判例包括以下内容： a）标准要求：应严格控制运维工具的使用，经过审批后才可接人进行操作，操作过程中应保留不 可更改的审计日志，操作结束后应删除工具中的敏感数据。 b 适用范围：三级及以上系统 C 判例场景（任意）： 1 运维工具（特别是未商业化的运维工具）使用前未进行有效性检查，例如病毒、漏洞拉 描等； 2） 对运维工具接入网络未进行严格的控制和审批； 3）运维工具使用结束后未要求删除可能临时存放的敏感数据。 d）补偿因素：无
6.9.2设备外联管控措施缺失
本判例包括以下内容： a）标准要求：应保证所有与外部的连接均得到授权和批准，应定期检查违反规定无线上网及其他 违反网络安全策略的行为。 b）适用范围：三级及以上系统 C 判例场景（所有）： 1）管理制度中无与外部连接的授权和审批流程，也未定期进行相关的巡检； 2）无技术手段对违规上网及其他违反网络安全策略的行为进行有效控制、检查、阻断 d）补偿因素：无
外来接入设备恶意代码检查措施缺失
本判例包括以下内容： a）标准要求：应加强所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意 代码检查等。 ） 适用范围：二级及以上系统。 判例场景（所有）： 1）管理制度中未明确外来计算机或存储设备接入安全操作规程； 2）外来计算机或存储设备接入网络前未进行恶意代码检查。 d）补偿因素：无。
6.9.4变更管理制度缺失
本判例包括以下内容： a）标准要求：应明确变更需求，变更前根据变更需求制定变更方案，变更方案经过评审、审批后方 可实施。 6 适用范围：二级及以上系统。 判例场景（所有）：
更方案审批流程等相关内容： 2）实际变更过程中无任何流程、人员、方案等审核环节及记录。 d)补偿因素:无。
6.9.5数据备份策略缺失
本判例包括以下内容： a）标准要求：应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略 备份程序和恢复程序等。 b）适用范围：二级及以上系统。 c）判例场景：无备份与恢复等相关的安全管理制度，或未按照相关策略落实数据备份和恢复 措施。 d）补偿因素： 1）虽未建立相关数据备份与恢复制度，但实际工作中实施了数据备份及恢复测试，且能够提 供相关证据，备份与恢复措施符合业务需要，可根据实际措施效果，酌情判定风险等级； 2） 对于定级对象还未正式上线的情况，可从已制定的备份恢复策略、计划采取的技术措施 例如环境、存储等是否满足所规定的备份恢复策略要求等角度进行综合风险分析，根据分 析结果，酌情判定风险等级，
6.9.7未对应急预案进行培训演练
本判例包括以下内容： a）标准要求：应定期对系统相关的人员进行应急预案培训，并进行应急预案的演练。 b）适用范围：三级及以上系统。 c）判例场景：未定期（至少每年一次）对相关人员进行应急预案培训，未根据不同的应急预案进行 演练，无法提供应急预案培训和演练记录。 d）补偿因素：对于定级对象还未正式上线的情况，可从培训演练制度、相关培训计划等角度进行 综合风险分析，根据分析结果，酌情判定风险等级
22239一2019中第三级安全要求与本文
2239一2019中第三级安全要求与本文件
2239一2019中第三级安全要求与本文件
附录B （资料性附录） 高风险判例整改建议 针对本文件提出的高风险场景，表B.1基于一般场景，给出每条判例对应的整改建议，测评人员可 根据建议内容，并结合定级对象实际场景，提出有针对性、可落地实施的整改建议
NB／T 20397-2017标准下载表 B.1高风险判例对应整改建议
表B.1高风险判例对应整改建议（续
表B.1高风险判例对应整改建议（续
表B.1高风险判例对应整改建议（续
表B.1高风险判例对应整改建议（续
表B.1高风险判例对应整改建议（续
L1 中华人民共和国网络安全法 [2] 中华人民共和国密码法 [3] 网络安全审查办法 [4] GB/T20984—2007 信息安全技术信息安全风险评估规范 [5] GB/T28448—2019信息安全技术网络安全等级保护测评要求
GB∕T 26216.2-2019标准下载L1 中华人民共和国网络安全法 [2] 中华人民共和国密码法 [3] 网络安全审查办法 [4] GB/T20984—2007 信息安全技术信息安全风险评估规范 [5] GB/T28448—2019信息安全技术网络安全等级保护测评要求