目录
前言
中华人民共和国国家标准
互联网网络安全设施工程技术标准
Technical standard for internet security facilities engineering
GB/T 51434-2021
主编部门：中华人民共和国工业和信息化部
批准部门：中华人民共和国住房和城乡建设部
施行日期：2021年10月1日
中华人民共和国住房和城乡建设部公告
2021年 第49号
住房和城乡建设部关于发布国家标准《互联网网络安全设施工程技术标准》的公告
现批准《互联网网络安全设施工程技术标准》为国家标准，编号为GB/T 51434-2021，自2021年10月1日起实施。
本标准在住房和城乡建设部门户网站（www.mohurd.gov.cn）公开，并由住房和城乡建设部标准定额研究所组织中国计划出版社有限公司出版发行。
中华人民共和国住房和城乡建设部
2021年4月9日
前言
本标准是根据住房和城乡建设部《关于印发2017年工程建设标准规范制修订及相关工作计划的通知》（建标〔2016〕248号）的要求，由中通服咨询设计研究院有限公司会同有关单位共同编制完成。
本标准在编制过程中，结合《中华人民共和国网络安全法》中网络安全“三同步”的相关要求，认真总结了近年来我国互联网网络安全设施工程建设的经验和教训，参考和借鉴了国内外有关标准，在广泛征求意见的基础上，经审查定稿。
本标准的主要技术内容是：总则，术语和缩略语，网络安全设施工程规划，网络安全设施工程设计，网络安全设施工程施工，网络安全设施工程验收，网络安全设施运行维护。
本标准由住房和城乡建设部负责管理，工业和信息化部负责日常管理工作，中通服咨询设计研究院有限公司负责具体技术内容的解释。执行过程中如有意见或建议，请寄送中通服咨询设计研究院有限公司（地址：江苏省南京市建邺区楠溪江东街58号，邮编：210019）。
本标准主编单位：中通服咨询设计研究院有限公司
本标准参编单位:华信咨询设计研究院有限公司
广东省电信规划设计院有限公司
本标准主要起草人员：王小鹏 董育萍 莫晓楠 杨波 高丽芬 王昊 李健珝 叶挺 陈斌 张子扬
本标准主要审查人员：徐浩 王曙光 王文磊 赵辉 史红周 禹可 唐洪玉 朱少平 张晓琴 朱斌 吴臻 韩鹏 张裕桥 朱晨鸣 石启良 芮晓玲 李昀 唐怀坤
1总则
1 总 则
1.0.1 为规范我国互联网网络安全设施工程建设，确保网络安全设施与互联网业务系统同步规划、同步建设、同步使用，做到技术先进、经济合理、安全适用，制定本标准。
1.0.2 本标准适用于互联网网络安全设施的新建、改建和扩建工程，涵盖互联网网络安全设施工程规划、设计、施工、验收、运维全过程的技术要求。
1.0.3 互联网网络安全设施工程建设应贯彻国家网络安全管理方针政策和技术经济政策，同时应密切结合互联网业务快速发展的实际，充分考虑网络安全设施的弹性扩容升级能力。
1.0.4 互联网网络安全设施工程建设应充分调查分析互联网业务系统的网络安全需求及运营维护需求，并应考虑新业务、新技术对网络安全设施架构、功能、性能的影响。
1.0.5 互联网网络安全设施工程建设应充分利用已有的网络安全设施，通过安全能力共享、集中管控等方式进行集约化建设。
1.0.6 互联网网络安全设施工程建设除应执行本标准外，尚应符合现行国家标准《信息安全技术 信息系统安全工程管理要求》GB/T 20282等有关标准的规定。
2术语和缩略语
2.1 术语
2 术语和缩略语
2.1 术 语
2.1.1 互联网业务系统 internet service system
通过计算机网络向公众提供信息服务的业务系统，由服务器、交换机、路由器、数据库、操作系统、应用软件等硬件和软件设备组成。
2.1.2 互联网网络安全设施 internet security facilities
为保障互联网业务系统的安全性、保密性和可用性而建设的网络安全防护设施、安全监测设施、安全响应设施和安全恢复设施等技术设施。
2.1.3 互联网网络安全设施工程 internet security facilities engineering
对互联网网络安全设施进行规划、设计、实施、验收、运行维护等工作的过程。
2.1.4 安全防护设施 network security protection facilities
保护互联网业务系统的安全性、保密性和可用性免受外部破坏的网络安全设施。
2.1.5 安全监测设施 network security detecting facilities
监测互联网业务系统安全威胁、安全漏洞和安全事件等的网络安全设施。
2.1.6 安全响应设施 network security response facilities
对网络攻击行为的分析、溯源、阻断、取证等响应处置工作提供技术支撑的网络安全设施。
2.1.7 安全恢复设施 network security recovery facilities
在网络安全攻击等突发事件和地震水灾等自然灾害发生后快速恢复数据和业务的网络安全设施。
2.1.8 恢复时间目标 recovery time objective
灾难发生后，信息系统或业务功能从停顿到必须恢复的时间要求。
2.1.9 恢复点目标 recovery point objective
灾难发生后，系统和数据必须恢复到的时间点要求。
2.2 缩略语
2.2 缩略语
IP（Internet Protocol） 互联网协议
RPO（Recovery Point Objective） 恢复点目标
RTO（Recovery Time Objective） 恢复时间目标
SDN （Software Defined Network） 软件定义网络
SNMP（Simple Network Management Protocol） 简单网络管理协议
SSH（Secure Shell） 安全外壳协议
3网络安全设施工程规划
3 网络安全设施工程规划
3.0.1 网络安全设施工程规划应保证互联网业务的持续稳定运行，应对网络安全威胁和攻击行为进行有效的防御和监测，并应支撑安全事件应急处置和业务灾备恢复。
3.0.2 网络安全设施工程规划应满足互联网业务系统近期、远期发展等对网络安全防护、网络安全监测、网络安全响应、网络安全恢复的需求，并应符合现行国家标准《信息安全技术 网络安全等级保护基本要求》GB/T 22239的有关规定。
3.0.3 网络安全设施的功能性能需求和建设规模应根据互联网业务发展规划、用户数量、网络带宽、网络资产规模、网络安全管理需求等确定。
3.0.4 网络安全设施组织方案和近、远期演进路线应根据现有网络安全设施使用情况、互联网业务系统发展规划及业务预测、网络安全技术发展情况确定。
3.0.5 网络安全设施工程规划应处理好整体和局部的关系，全局通用的网络安全设施宜采用集中建设、能力共享的模式。
3.0.6 网络安全设施工程规划应进行多种方案的技术经济比较。
4网络安全设施工程设计
4.1 一般规定
4 网络安全设施工程设计
4.1 一般规定
4.1.1 网络安全设施工程设计所给出的网络安全设施建设路线和技术方案应与网络安全规划保持一致，并应在网络安全规划的基础上结合具体的业务场景做进一步的深化。
4.1.2 网络安全设施工程设计应符合互联网业务安全保障相关功能、性能、质量和工程投资等建设项目要求。
4.1.3 网络安全体系设计、网络安全技术方案设计、网络安全设施指标设计应根据互联网业务特征和网络安全等级保护相关要求确定。
4.1.4 对云计算、移动互联网、物联网、SDN、大数据等新技术新应用，应采用定制化的网络安全设计方案，并应符合现行国家标准《信息安全技术 网络安全等级保护安全设计技术要求》GB/T 25070的有关规定。
4.1.5 网络安全改建和扩建工程，应保证已有网络安全设施的合理利用和充分整合。
4.1.6 网络安全设施工程设计应考虑互联网业务自身特点对安全防护设施、安全监测设施、安全响应设施、安全恢复设施的特定要求，合理配置组合适用的网络安全设施，支撑网络安全管理全过程开展。
4.1.7 网络安全设施工程设计应做到网络安全纵深防护、精准监测、快速响应、可靠恢复。
4.1.8 网络安全设施工程设计宜包括下列内容：
1 调查梳理网络与系统现状；
2 明确安全保障目标，包括保障对象、功能及性能目标、投资费用目标等；
3 网络安全威胁及风险评估分析；
4 网络安全体系设计，包括防护体系设计、监测体系设计、响应体系设计、恢复体系设计等；
5 网络安全设施性能设计，包括网络攻击规模预测、数据规模测算、安全保障性能分析等；
6 网络安全设施功能、性能分析和参数设计；
7 设备选型；
8 勘察场地环境，确定最终设备安装配置、线缆布放等方案。
4.2 安全防护设施
4.2 安全防护设施
4.2.1 安全防护设施宜包括密码基础设施、访问控制设施、用户认证授权设施、入侵防御设施、异常流量清洗设施、病毒过滤设施、垃圾邮件过滤设施、敏感信息加密设施等。网络安全设施工程设计应根据所保障互联网业务的特点，编制相应的安全防护策略，综合采取多种安全防护设施，完成对网络攻击行为的多层次防御。
4.2.2 安全防护设施可按照网络攻击者的常规攻击路径，依次从网络接入、区域边界、计算环境等环节分别部署。
4.2.3 在网络接入环节可通过部署访问控制设施、用户认证授权设施等对用户和终端的接入和使用网络进行管控，拒绝非授权访问。
4.2.4 互联网业务系统应划分安全域，并应根据业务特征在安全域的边界按需部署访问控制设施、入侵防御设施、异常流量清洗设施、病毒过滤设施、垃圾邮件过滤设施，对非法和恶意流量进行识别和拦截。
4.2.5 计算环境前端可部署敏感信息加密设施，对系统流转的敏感数据进行加密处理和传输，预防敏感信息被泄露或窃取。
4.2.6 安全防护设施设计应符合下列规定：
1 安全防护系统设计应根据互联网业务面临的网络安全威胁和攻击特征确定，应在满足安全规划要求的前提下，进行针对性的纵深安全防护；
2 安全防护设施应根据互联网业务发展需求构建，宜在保持安全防护设施整体架构不变的前提下对防护设施的功能和性能按需扩容；
3 安全防护设施宜与网络安全监测设施联动，宜通过动态监测与主动防御相结合，实现精准化、自动化防护；
4 安全防护设施的防护性能应与互联网业务规模相匹配，防护设施配置不应低于预估业务忙时和攻击峰值时的安全防护需求。
4.3 安全监测设施
4.3 安全监测设施
4.3.1 安全监测设施宜包括入侵检测设施、漏洞扫描检测设施、网站安全监测设施、病毒扫描检测设施、攻击诱捕设施、数据安全监测设施、安全态势感知设施等。网络安全设施工程设计中应根据所保障的互联网业务的特点，编制相应的网络安全监测方案，综合采取多种安全监测设施，实现对安全威胁、安全漏洞和安全事件的及时发现和分析。
4.3.2 安全监测设施可从网络流量、主机系统、应用系统、数据交互等方面进行部署以开展网络安全风险的分析和监测。网络流量的安全监测宜采用入侵检测设施等，主机系统的安全监测宜采用漏洞扫描检测设施、病毒扫描检测设施等，应用系统的安全监测宜采用网站安全监测设施、攻击诱捕设施等，数据交互的安全监测宜采用数据安全监测设施等，多方数据的采集分析和关联预警宜采用安全态势感知设施等。
4.3.3 安全监测设施设计应符合下列规定：
1 安全监测系统设计应根据互联网业务面临的网络安全威胁和已有防护体系确定，在满足安全规划需求的前提下，开展多方位的安全监测，达到及时发现并管控安全风险的要求；
2 安全监测设施应根据互联网业务发展需求构建，宜在保持安全监测设施整体架构不变的前提下对监测设施功能和性能按需扩容；
3 安全监测设施宜将监测结果及时反馈给网络安全防护设施和安全响应设施，形成一体化的安全防护和监测处置能力；
4 安全监测设施的监测性能应与所监测的互联网业务规模相匹配，监测设施配置不应低于预估业务忙时和攻击峰值时的安全监测需求。
4.4 安全响应设施
4.4 安全响应设施
4.4.1 安全响应设施宜包括应急预案管理设施、攻防演练设施、应急响应设施、安全指挥调度设施、安全审计设施、流量清洗设施等。网络安全设施工程设计中应根据所保障互联网业务的特点，编制相应的网络安全事件响应技术支撑方案，采取多种安全响应技术手段，支持对网络攻击行为的分析、溯源、阻断和取证等。
4.4.2 安全响应设施应面向网络安全事件应急响应实际需求，为应急响应人员快速定位网络攻击行为并高效开展处置工作提供技术支持。
4.4.3 安全响应设施设计应符合下列规定：
1 安全响应设施应根据互联网业务所面临的网络安全威胁和已有的安全防护及监测体系进行设计，应满足安全工程规划的需求，并应满足安全事件处置和攻击溯源取证的要求；
2 安全响应设施应根据互联网业务发展特征和应急响应的需要构建，宜在保持安全响应设施整体架构不变的前提下对响应设施的功能和性能按需扩容；
3 安全响应设施宜与安全防护设施对接，可调度安全防护设施开展安全事件处置工作。
4.5 安全恢复设施
4.5 安全恢复设施
4.5.1 安全恢复设施宜包括数据备份系统、备用数据处理系统、备用网络系统和备用基础设施等。网络安全设施工程设计中应根据所保障互联网业务的灾难恢复能力等级要求确定具体的恢复时间目标（RTO）和恢复点目标（RPO）指标，并应按现行国家标准《信息安全技术 信息系统灾难恢复规范》GB/T 20988的有关规定编制相应的应急灾备策略和应急灾备技术方案。
4.5.2 安全恢复设施设计应满足地震、水灾等自然灾难以及火灾、战争、恐怖袭击、网络攻击、设备系统故障、人为破坏等突发紧急情况下的互联网业务系统和数据恢复需求。
4.5.3 安全恢复设施设计应符合下列规定：
1 安全恢复设施应根据互联网业务所需达到的灾难恢复等级进行设计，并应在满足安全工程规划需求的前提下，按照成本风险平衡原则，实现快捷可靠的应急灾备，满足快速恢复数据和业务的要求；
2 安全恢复设施应根据互联网业务发展特征构建，宜在保持安全恢复设施整体架构不变的前提下对恢复设施的功能和性能按需扩容；
3 安全恢复设施自身的安全防护和安全监测手段应同步设计。
5网络安全设施工程施工
5.1 一般规定
5 网络安全设施工程施工
5.1 一般规定
5.1.1 网络安全设施工程施工应严格依据网络安全设施工程设计的相关方案和要求，并应在此基础上制订详细的施工方案。
5.1.2 网络安全设施宜与互联网业务系统同局址设置，网络安全设施所在机房等级不应低于互联网业务系统所在机房等级。
5.1.3 网络安全设施工程中涉及的机架安装、走线架及槽道安装、线缆布放应符合工程设计要求及现行国家标准《互联网数据中心工程技术规范》GB 51195的有关规定。
5.2 施工前准备
5.2 施工前准备
5.2.1 在工程实施前应制订施工组织方案，方案应包含人员配备、施工进度计划、技术措施、质量保证措施、安全保证措施及测试方案等内容，并应对其中的关键内容组织专项评审。
5.2.2 施工单位应根据施工组织方案建立施工组织机构，明确分工权责、签署保密协议，并应进行技术交底及必要的技术培训等工作。
5.2.3 施工单位进场施工前应对施工现场进行检查，施工条件应符合下列规定：
1 机房的电源、空调、消防、安防等基础设施应符合相应验收要求；
2 机房内温、湿度，照明，通风，净高等环境条件应符合施工安全作业要求，设备安装场所宜整洁、无尘；
3 施工现场管理所需的办公场地、设备设施存储保管场所、相关工程管理工具部署等均应符合施工管理要求；
4 机房内不应存放易燃、易爆等危险物品。
5.2.4 施工单位施工开始前应对设备、材料进行检验，并应符合下列规定：
1 设备、材料检查时，建设单位或监理单位、施工单位和供货厂家应同时在场，并应做好记录；
2 开箱清点时不得损坏设备、器材，设备名称、型号、规格、数量等应符合设计和工程合同要求，外观应完好无损，技术资料及配件应齐全，并应有出厂合格证；
3 有源设备应逐个通电检测，检测内容应包括安全性、可靠性及电磁兼容性等项目；
4 软件产品应对其使用许可证及使用范围进行检查，应符合设计和工程合同要求，软件文档资料应齐全；
5 产品功能、性能的检测应符合国家产品标准要求，有特殊要求的产品可按合同规定或设计要求进行；
6 设备与材料的功能、性能、技术指标应符合设计要求和产品说明书；
7 设备、材料检查完毕应分类存放，并应堆放整齐。
5.2.5 进场施工前施工人员应熟悉施工图纸及工程特点、施工方案、工艺要求、施工质量标准及验收标准等有关资料。
5.2.6 进场施工前施工单位应对施工人员进行安全和文明施工教育。
5.3 网络安全设备安装
5.3 网络安全设备安装
5.3.1 网络安全设备的安装应满足工程设计、产品说明书及安装工艺等要求。
5.3.2 归属同一安全域的设备宜安装在同一物理区域。
5.3.3 网络安全设备的安装应平稳、牢固，便于操作、维护和维修。
5.3.4 网络安全设备上的功能标签或产品编号应正确清晰，不得损伤或丢失。
5.3.5 机柜内部的线缆应沿着机柜内部线槽进行布放并绑扎结实，线缆应避免交叉，电源线和信号线应分别从机柜两侧分开布放。
5.3.6 网络安全设备应可靠接地，防静电措施应符合设备及工程设计要求。
5.3.7 网络安全设备在安装过程中应保护其物理安全，施工过程中应避免对其他设施造成影响。
5.3.8 未安装设备的机架内应安装挡风盲板，挡风盲板应能防止冷热风混流。
5.3.9 网络安全设施的改建和扩建工程应符合下列规定：
1 改建和扩建工程增加的网络安全设备宜和其功能相同的设备安装在同一区域；
2 应做好安全施工方案，对已有设施采取防护措施，改建和扩建工程的实施应避免对现有设施造成影响；
3 在已上电机架上进行设备安装或扩容，应核对各级供电系统的负荷，并应保证供电系统满足新增或扩容设备的加电要求；
4 在已运行设备上安装电路板件或功能模块，应按产品说明书、操作手册和设计要求进行施工，并应做好防护措施；
5 应做好应急回退预案，在发生意外事件时应尽快恢复已有业务。
5.4 网络安全设备配置
5.4 网络安全设备配置
5.4.1 网络安全设备安装完成后，应对设备进行配置，并应满足后续运行维护的要求。网络安全设备配置应包括但不限于设备账号配置、账号口令配置、设备授权配置、设备日志配置、设备协议配置及安全策略配置。
5.4.2 设备账号配置应符合下列规定：
1 应按照用户分配账号，不同用户不得共用同一账号，用户账号和设备间通信账号不得共用；
2 与设备运行、维护等工作无关的账号应删除或锁定；
3 应根据系统要求及用户的业务需求建立多账户组，将用户账号分配到相应的账户组；
4 应限制具备管理员权限的用户远程登录，远程执行管理员权限操作应先以普通权限用户远程登录后再切换至管理员权限账号执行。
5.4.3 账号口令配置应符合下列规定：
1 采用静态口令认证技术的设备应配置安全的口令长度、复杂度、有效期和加密强度，不得使用默认口令或空口令；
2 采用静态口令认证技术的设备应限制连续登录失败次数，连续多次登录失败后应锁定该用户使用的账号。
5.4.4 设备授权配置应符合下列规定：
1 在设备权限配置能力内应根据用户的业务需要，配置其所需的最小权限；
2 当在创建新文件或目录时应控制用户缺省访问权限，屏蔽掉新文件或目录不应有的访问允许权限。
5.4.5 设备日志配置应符合下列规定：
1 设备应配置对用户登录进行记录的功能，记录内容应包括用户登录使用的账号、登录是否成功、登录时间，以及远程登录时用户使用的IP地址。
2 设备应配置用户对设备操作进行记录的功能，记录的操作应包括但不限于账号创建、删除和权限修改，口令修改，读取和修改设备配置，读取和修改业务用户的个人隐私数据。每条记录应包含用户账号、操作时间、操作内容以及操作结果。
3 设备应配置系统日志记录功能，记录与系统相关的安全事件。
4 设备可配置远程日志功能，将所关注设备的日志内容通过远程日志功能传输到日志服务器。
5 设备应按账号分配日志文件读取、修改和删除权限。
5.4.6 设备协议配置应符合下列规定：
1 使用IP协议进行远程维护的设备应配置使用SSH等加密协议；
2 设备应设置SNMP访问安全限制，只允许特定主机通过SNMP访问。
5.4.7 安全策略配置应符合下列规定：
1 安全策略配置应依据安全设计中的网络安全策略方案，并应符合安全域划分和网络安全防护、监测、响应及恢复的要求；
2 安全策略配置应符合各安全设施之间联动的要求，形成一体化的网络安全保障体系。
5.4.8 设备其他配置应符合下列规定：
1 在配置过程中发现设备存在安全漏洞等网络安全缺陷时，应当立即采取安全加固等补救措施；
2 设备应关闭不必要的服务、端口；
3 设备应安装最新的安全补丁，补丁在安装前应进行测试确认。
5.5 施工管理要求
5.5 施工管理要求
5.5.1 对于投资1000万元以上或涉及多个施工单位的网络安全设施工程宜聘请工程监理单位参与工程建设管理。
5.5.2 施工单位在网络安全设施工程建设过程中应通过质量监测分析、改进活动确保工程质量目标的实现。
5.5.3 施工单位应建立网络安全设施工程的协调机制，应保持与建设单位、监理单位及其他第三方之间的沟通协作。
5.5.4 施工单位应按设计方案进行施工，应定期检查与设计方案的一致性情况并记录检查结果。当需要设计变更时，应提交建设单位及设计单位审核，审核通过后方可按变更后的方案继续施工。
5.5.5 网络安全设施工程建设中，施工单位应对工程中安装的设备边建设边测试，以评估其功能、性能是否符合工程设计的要求，并应进行工作文档记录，文档应包括测试指标、测试方法、测试结果。
5.5.6 在网络安全设施工程实施过程中，施工单位应向建设单位或监理单位提交工程实施计划、工程进度安排、工程进展状况、工程问题报告、工程解决方案等工程资料。
5.5.7 在网络安全设施工程交付前，施工单位应为建设单位的安全运行维护人员提供必要的网络安全设备知识与运维技能培训。
6网络安全设施工程验收
6.1 一般规定
6 网络安全设施工程验收
6.1 一般规定
6.1.1 网络安全设施工程验收应与互联网业务系统建设工程验收同步进行。
6.1.2 网络安全设施工程验收应以网络安全设施工程设计及工程合同技术规范书的相关要求作为依据，应编制网络安全设施工程测试方案。测试方案应涵盖网络安全防护、监测、响应、恢复等各类安全设施的功能和性能测试，并应测试各类网络安全设施间的联动性和整体有效性。在验收过程中应对测试方案中的项目逐项进行测试验证。
6.1.3 已安装的网络安全设备应符合下列规定：
1 标志应齐全、正确；
2 各种零件、配件安装位置应正确，数量应齐全；
3 各种选择开关应按设备技术说明书置于指定位置；
4 各类设备的规格应符合设备技术说明书的要求；
5 设备接地应良好、可靠；
6 电源引入线极性应正确，连接应牢固可靠。
6.1.4 网络安全设施工程验收前施工单位应完成工程竣工技术文件的编制。
6.1.5 网络安全设施工程验收前施工单位应协助建设单位制定网络安全管理制度和操作规程，并应完成对操作维护人员的技术培训。
6.1.6 网络安全设施工程验收应包括工程初验、工程试运行、工程终验三个阶段的工作。
6.2 工程初验
6.2 工程初验
6.2.1 工程初验应按照工程合同及设计要求开展下列工作：
1 对设备进行清点核实；
2 对工程安装工艺质量进行检查；
3 对系统功能、性能、可靠性进行测试；
4 对竣工文件进行审查；
5 对已安装设备和技术文件进行移交。
6.2.2 网络安全设施工程初验测试应严格按照工程测试方案进行，并应符合下列规定：
1 对于网络安全设施新建工程，应进行端到端测试，压力测试应使用专用测试工具进行；
2 对于网络安全设施改建和扩建工程，对可能影响现网业务的测试应编制割接方案和应急回退预案。
6.2.3 初验测试发现主要指标和性能达不到要求时，应及时处理，问题解决后再进行重新测试。
6.2.4 工程初验中移交的技术文件的介质形式、份数、内容应符合工程合同要求。技术文件可包括下列内容：
1 资产明细表；
2 说明文件；
3 硬件资料；
4 软件资料；
5 设备配置文件；
6 施工图纸；
7 技术手册；
8 日常操作维护指导；
9 设备安装、测试资料及各种记录；
10 安全风险评估报告；
11 其他相关文件。
6.2.5 初验通过应符合下列规定：
1 网络安全设施设备数量、硬件配置、软件参数以及设备安装应符合工程设计要求；
2 网络安全设施配置、安全策略设置以及软件数据参数应符合工程设计及技术要求；
3 网络安全设施工程测试方案应通过逐项验证，不得存在重大不合格项；
4 工程技术文件应齐全。
6.2.6 网络安全设施工程初验通过后，应形成初验报告，初验报告中应列出工程中的遗留问题，并应明确遗留问题的责任单位和解决时限。
6.2.7 工程初验通过后，施工单位应向建设单位移交所有的设备系统口令和测试账号。建设单位应检查所有的口令设置，并应根据有关要求重新进行设定。
6.3 工程试运行
6.3 工程试运行
6.3.1 工程初验通过后，工程建设单位应安排网络安全设施进入试运行状态，试运行阶段应从工程初验合格、网络割接后开始，试运行期间应加载部分互联网业务并检验网络安全设施的有效性。
6.3.2 网络安全设施工程试运行时间不应少于3个月，网络安全设施新建工程试运行期可适当延长，但不宜超过6个月。
6.3.3 试运行应由建设单位组织安全运行维护人员执行。在试运行期间，应做好下列记录内容：
1 设备稳定性和故障率；
2 各项设备功能指标是否满足工程设计及合同要求；
3 各项设备性能指标是否满足工程设计及合同要求；
4 观察记录各网络安全防护、监测、响应和恢复设施间的联动性。
6.3.4 对试运行阶段发现的问题，施工单位应及时进行整改以满足工程设计及合同要求。
6.3.5 试运行期满时，系统功能和性能指标如能达到工程设计及合同的全部要求，安全运行维护人员应提交试运行报告并提请工程建设单位组织工程终验。否则，工程应重新进入试运行阶段。
6.4 工程终验
6.4 工程终验
6.4.1 试运行结束后，当系统各项功能、性能已达到工程合同及设计要求且工程遗留问题已经解决时，工程建设单位应组织工程终验。
6.4.2 工程终验应包括下列内容：
1 确定各阶段检查、测试结果，工程试运行情况；
2 核查工程初验提出的遗留问题处理情况；
3 审阅工程试运行报告；
4 验收组认为必要的抽查复验；
5 检查工程技术档案的整理情况；
6 对工程进行评定和签收。
6.4.3 工程终验通过应符合下列规定：
1 工程初验和试运行期间的相关遗留问题应已全部解决；
2 工程竣工验收所需的全部文档应已完成整理备案；
3 应形成竣工验收报告。
6.4.4 网络安全设施工程终验后，工程建设单位可适时对网络安全设施的运行效率、使用效果等情况进行后评价。
7网络安全设施运行维护
7.1 一般规定
7 网络安全设施运行维护
7.1 一般规定
7.1.1 网络安全设施工程的质量保修期限应遵守工程设备采购及施工合同的相关条款约定，不宜低于工程终验合格之日起2年。
7.1.2 网络安全设施工程建设单位可委托专业安全运行维护单位负责网络安全设施的运行维护工作，建设单位应为运行维护单位提供必要的运行维护信息和工作环境。
7.1.3 承担网络安全设施工程运行维护的单位应具备对网络安全风险及事件进行研判和处置的能力，相关运行维护管理工作应符合现行国家标准《信息安全技术 信息系统安全运维管理指南》GB/T 36626的有关规定。
7.1.4 运行维护单位应在网络安全设施工程建设单位的认可和支持下，建立健全运行维护管理制度、应急处理制度及重点设施保障制度。
7.2 安全运行维护要求
7.2 安全运行维护要求
7.2.1 运行维护单位应制订网络安全事件应急响应计划并定期演练，所制订的应急响应计划应符合现行国家标准《信息安全技术 信息安全应急响应计划规范》GB/T 24363的有关规定。
7.2.2 运行维护单位在网络安全设施运行维护过程中，应做好人员权限管控和操作日志审计，并应防止安全策略被篡改等内部人员的违规行为。
7.2.3 运行维护单位在执行涉及网络安全设施重要配置改动等高风险操作时，应提前通知互联网业务运营单位，并应做好重要数据的备份和回滚方案。
7.2.4 运行维护单位应定期开展对网络安全设施的安全风险评估工作，并应做好网络安全风险管理，相关工作应符合现行国家标准《信息安全技术 信息安全风险评估规范》GB/T 20984和《信息安全技术 信息安全风险评估实施指南》GB/T 31509的有关规定。
7.2.5 运行维护单位应定期开展网络安全设施运行状态巡查，依照标准化流程了解网络安全设施整体的工作状态，及时排除故障隐患，并应做好运行维护日志记录。
7.2.6 运行维护单位在运行维护过程中发现网络安全设施存在架构不完善、安全风险高、功能和性能不足等非工程质量类问题时，应及时反馈给网络安全设施工程建设单位。工程建设单位应将相关问题纳入后续网络安全改建和扩建工程的需求分析中。
本标准用词说明
本标准用词说明
1 为便于在执行本标准条文时区别对待，对要求严格程度不同的用词说明如下：
1）表示很严格，非这样做不可的：
正面词采用“必须”，反面词采用“严禁”；
2）表示严格，在正常情况下均应这样做的：
正面词采用“应”，反面词采用“不应”或“不得”；
3）表示允许稍有选择，在条件许可时首先应这样做的：
正面词采用“宜”，反面词采用“不宜”；
4）表示有选择，在一定条件下可以这样做的，采用“可”。
2 条文中指明应按其他有关标准执行的写法为:“应符合……的规定”或“应按……执行”。
引用标准名录
引用标准名录
《互联网数据中心工程技术规范》GB 51195
《信息安全技术 信息系统安全工程管理要求》GB/T 20282
《信息安全技术 信息安全风险评估规范》GB/T 20984
《信息安全技术 信息系统灾难恢复规范》GB/T 20988
《信息安全技术 网络安全等级保护基本要求》GB/T 22239
《信息安全技术 信息安全应急响应计划规范》GB/T 24363
《信息安全技术 网络安全等级保护安全设计技术要求》GB/T 25070
《信息安全技术 信息安全风险评估实施指南》GB/T 31509
《信息安全技术 信息系统安全运维管理指南》GB/T 36626