等保中级测评师知识框架——一、基础知识（3）

五：安全管理中心第三级安全要求

安全管理中心针对整个系统提出了安全管理方面的技术控制要求，通过技术手段实现集中管理，涉及的安全控制点包括系统管理、审计管理、安全管理和集中管控。

5.1系统管理

a） 应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计;

b）应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等.

5.2审计管理

a） 应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对这些操作进行审计;

b） 应通过审计管理员对审计记录应进行分析，并根据分析结果进行处理，包括根据安全审计策略对审计记录进行存储、管理和查询等。

5.3安全管理

a）应对安全管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全管理操作，并对这些操作进行审计;

b）应通过安全管理员对系统中的安全策略进行配置，包括安全参数的设置，主体、客体进行统一安全标记.对主体进行授权，配置可信验证策略等。

5.4集中管控

1. 应划分出特定的管理区域，对分布在网络中的安全设备或安全组件进行管控;
2.  应能够建立一条安全的信息传输路径，对网络中的安全设备或安全组件进行管理;
3.  应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测;

d） 应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求;

e） 应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理;

f） 应能对网络中发生的各类安全事件进行识别、报警和分析。

六：安全管理制度第三级安全要求

安全管理制度针对整个管理制度体系提出了安全控制要求，涉及的安全控制点包括 安全策略、管理制度、制定和发布、评审和修订。

6.1 安全策略

应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架等。

6.2管理制度

a）应对安全管理活动中的各类管理内容建立安全管理制度;

b） 应对管理人员或操作人员执行的日常管理操作建立操作规程;

c） 应形成由安全策略、管理制度、操作规程、记录表单等构成的全面的安全管理制度体系。

6.3制定和发布

a）应指定或授权专门的部门或人员负责安全管理制度的制定;

b） 安全管理制度应通过正式、有效的方式发布，并进行版本控制。

6.4评审和修订

应定期对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的安全管理制度进行修订.

七：安全管理机构第三级安全要求

安全管理机构针对整个管理组织架构提出了安全控制要求，涉及的安全控制点包括 岗位设置、人员配备、授权和审批、沟通和合作、 审核和检查。

7.1岗位设置