附件 网络安全等级保护测评高风险判定 实施指引（试行） I 目次 1 范围 ................................ ................................ ................ 1 2 规范性引用文件 ................................ ................................ ...... 1 3 术语和定义 ................................ ................................ .......... 1 4 缩略语 ................................ ................................ .............. 1 5 概述 ................................ ................................ ................ 2 判例概述 ................................ ................................ ........ 2 判定原则 ................................ ................................ ........ 2 场景释义 ................................ ................................ ........ 2 6 安全通用要求高风险判例 ................................ .............................. 2 安全物理环境 ................................ ................................ .... 2 6.1.1 物理访问控制 ................................ ................................ 2 6.1.1.1 机房出入口访问控制措施缺失 ................................ .............. 2 6.1.2 防火 ................................ ................................ ........ 2 6.1.2.1 机房防火措施缺失 ................................ ........................ 3 6.1.3 电力供应 ................................ ................................ .... 3 6.1.3.1 机房短期备用电力供应措施缺失 ................................ ............ 3 6.1.3.2 机房应急供电措施缺失 ................................ .................... 3 安全通信网络 ................................ ................................ .... 3 6.2.1 网络架构 ................................ ................................ .... 3 6.2.1.1 网络设备业务处理能力不足 ................................ ................ 3 6.2.1.2 重要网络区域边界访问控制措施缺失 ................................ ........ 3 6.2.1.3 关键线路和设备冗余措施缺失 ................................ .............. 4 6.2.2 通信传输 ................................ ................................ .... 4 6.2.2.1 采用无加密措施的 网络通道 传输重要数据 ................................ .... 4 安全区域边界 ................................ ................................ .... 4 6.3.1 边界防护 ................................ ................................ .... 4 6.3.1.1 网络边界接入设备或端口不可控 ................................ ............ 4 6.3.1.2 无线网络管控措施缺失 ................................ .................... 5 6.3.2 访问控制 ................................ ................................ .... 5 6.3.2.1 重要网络区域边界访问控制措施缺失或配置不当 .............................. 5 6.3.3 入侵防范 ................................ ................................ .... 5 6.3.3.1 外部网络攻击防御措施缺失 ................................ ................ 5 6.3.3.2 内部网络攻击防御措施缺失 ................................ ................ 5 6.3.3.3 网络行为分析措施缺失 ................................ .................... 6 安全计算环境 ................................ ................................ .... 6 6.4.1 身份鉴别 ................................ ................................ .... 6 6.4.1.1 存在空口令、弱口令、通用口令或无身份鉴别措施 ............................ 6 6.4.1.2 鉴别信息明文传输 ................................ ........................ 7 II 6.4.1.3 未采用两种或两种以上组合身份鉴别技术 ................................ .... 7 6.4.2 访问控制 ................................ ................................ .... 7 6.4.2.1 未重命名默认账户名且未修改默认口令 ................................ ...... 7 6.4.2.2 访问控制策略存在缺陷或不完善，存在越权访问可能 .......................... 8 6.4.3 入侵防范 ................................ ................................ .... 8 6.4.3.1 开启多余的系统服务、默认共享和高危端口 ................................ .. 8 6.4.3.2 存在可被利用的高危安全漏洞 ................................ .............. 8 6.4.3.3 数据有效性检验功能缺失或不完善 ................................ .......... 9 6.4.4 恶意代码防范 ................................ ................................ 9 6.4.4.1 恶意代码防范措施缺失 ................................ .................... 9 6.4.5 数据保密性 ................................ ................................ . 10 6.4.5.1 重要数