术语解读：GB/T 25070-2019 网络安全等级保护安全设计技术要求安全114-安全在线-安全壹壹肆-网络安全黄页-网络安全百科网络安全百科-网络安全114-网络安全在线-网络安全黄页

主要内容

总体要求

提出安全设计应遵循的基本原则，包括整体规划、分层设计、技术与管理并重等，以确保网络安全保护的全面性和有效性。
强调安全设计应与等级保护对象的安全保护等级相适应，不同等级的保护对象有不同的安全设计要求，从低到高逐步增强安全防护能力。

安全技术体系设计要求

物理和环境安全设计
- 对机房位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮等方面提出详细设计要求，以保障物理环境的安全性，防止物理层面的安全威胁对信息系统造成损害。
- 例如，要求机房应选择在电力供应稳定、交通通信方便且自然环境安全的区域，机房出入口应配备电子门禁系统等。
网络和通信安全设计
- 涵盖网络架构设计、网络访问控制、安全审计、边界防护、入侵防范、恶意代码防范等内容。规定了应合理划分网络区域，设置访问控制策略，对网络通信进行监测和审计，防止网络攻击和数据泄露等。
- 比如，要根据业务需求和安全要求，将网络划分为不同的安全区域，通过防火墙等设备实现区域间的访问控制，对进出网络的流量进行深度检测和过滤。
设备和计算安全设计
- 包括计算设备的身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证等方面的设计要求，确保计算设备的安全运行，防止非法访问和恶意操作。
- 例如，应采用强身份鉴别机制，对登录计算设备的用户进行严格身份验证，限制用户的访问权限，对设备的操作和运行状态进行实时审计。
应用和数据安全设计
- 针对应用系统的身份鉴别、访问控制、安全审计、通信完整性、通信保密性、数据完整性、数据保密性、数据备份与恢复等方面给出设计要求，保护应用系统和数据的安全，确保数据的可用性、完整性和保密性。
- 比如，应用系统应采用加密技术对重要数据进行加密传输和存储，定期对数据进行备份，并建立数据恢复机制，以应对数据丢失或损坏等情况。

安全管理体系设计要求

安全管理制度设计
- 要求制定完善的安全管理制度，包括安全策略、管理制度、操作规程等，明确安全管理的目标、原则、责任和流程，确保安全管理工作有章可循。
- 例如，应制定网络安全策略，规定网络使用规则、用户权限管理、安全事件处理流程等内容，同时建立安全管理制度的评审和修订机制，确保制度的有效性和适应性。
安全管理机构设计
- 对安全管理机构的设置、人员配备、岗位职责等方面提出要求，建立健全的安全管理组织架构，明确各部门和人员的安全管理职责，确保安全管理工作的有效实施。
- 比如，应设立专门的网络安全管理部门，配备网络安全管理人员、安全审计人员等，明确各岗位的职责和权限，建立沟通协调机制，确保安全管理工作的顺畅进行。
安全管理人员设计
- 涉及人员录用、人员离岗、安全意识教育和培训等方面的要求，加强对安全管理人员的管理，提高人员的安全意识和技能水平，确保安全管理工作的质量和效果。
- 例如，在人员录用时应对人员进行背景审查，确保人员的可靠性；定期对安全管理人员进行安全意识教育和技术培训，提高其安全管理能力和应对安全事件的能力。
安全建设管理设计
- 包括安全方案设计、产品采购和使用、自行软件开发、工程实施、测试验收、系统交付等方面的要求，规范安全建设的过程管理，确保安全建设工作的顺利进行和安全措施的有效落实。
- 例如，在安全方案设计阶段，应根据等级保护对象的安全需求和风险评估结果，设计合理的安全解决方案；在产品采购和使用过程中，应选择符合安全要求的产品，并对产品的使用进行严格管理。
安全运维管理设计
- 涵盖环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络和系统安全监测、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置等方面的要求，加强对信息系统的运维管理，确保系统的安全稳定运行。
- 例如，应建立资产清单，对信息系统的资产进行详细登记和管理；定期进行漏洞扫描和风险评估，及时发现和处理系统存在的安全漏洞和风险；建立安全事件应急预案，对发生的安全事件进行快速响应和处理。