22、高风险判定指引与加固对照表
高风险判定指引（2025版）与加固对照表：以《网络安全等级保护测评高风险判定指引》（中关村信息安全测评联盟团体标准，2025版送审讨论稿）判例编号（6.x 通用/7.x 云计算/8.x 移动互联/9.x 物联网/10.x 工控）为索引，列出 18 类高频高风险项的判例编号、GB/T 22239-2019 条款、2025 版判定要点与本站加固专篇的对应关系，作为测评发现问题后选择整改路径的索引入口。
Categories:
2 分钟阅读
定位：《网络安全等级保护测评高风险判定指引》与本站加固专篇的对照索引表：按高风险项定位测评项编号，直接跳转到对应的加固文章执行整改。
依据：网络安全等级保护测评高风险判定指引（2025版，联盟团标）。（2020 版 T/ISEAA 001—2020 已过时，判例口径以 2025 版送审稿为准） 用途：测评师出整改单、运维排整改优先级的索引表。高风险判定需同时满足指引中的"判定条件组合"（风险程度与影响），本表仅列可整改的高频项与去向，正式判定以指引原文为准。
使用说明：
- 本文为索引表，不含配置命令：测评发现问题后先在「对照表」按高风险项定位测评项编号，再跳转到对应的加固专篇执行整改；正式的风险判定以《网络安全等级保护测评高风险判定指引》原文为准。
- 高风险判定需同时满足指引中的「判定条件组合」（风险程度与影响范围），本表仅列可整改的高频项与整改去向，不得据本表单条直接下高风险结论。
- 整改结果按「16、安全评估加固记录表3.0」留痕，整改路径按「17、加固方案总纲」的层面矩阵选择；本表列出的对照关系如与新版指引不一致，以指引原文与最新团体标准为准。
不适用标识说明：
- 使用
【不适用】明确标记现场可判定为不适用的项目，并写明判定依据与承载该能力的上位组件。- 依据 GB/T 28448-2019「按测评对象实际承载功能与数据处理范围判定」原则：控制能力由统一认证平台、堡垒机、日志审计系统、终端管理系统、虚拟化平台或云托管平台承载时，应注明测评单元边界后判定不适用或转由上位组件核查，不得机械按缺失判不符合。
- 产品版本确实不提供该能力（如老旧设备无 SNMPv3、无可信根、社区版无审计模块、已停止官方支持的操作系统）时，须核查替代措施并按替代措施的实际效果定档，不得直接判不适用；已停止支持的版本应同时记录升级或补偿控制建议。
- 判定为不适用的高风险项仍须在报告中说明补偿控制与承载该能力的上位组件，不得直接销项。
使用说明
- 复测/整改时从问题清单定位到风险条目 → 查本表"测评项编号"列对回测评报告的条款号、按"加固方向"列 → 执行对应文章 → 用文章中的核查命令验证；
- 高风险项应在整改方案中明确责任人与期限；整改期间如不能立即消除，应评估补偿措施（如网络隔离、WAF 临时策略）并在报告中说明；
- 加固过程留痕用 16、加固记录表。
对照表
判例编号为《高风险判定指引（2025版）》编号体系：6.x 通用判例、7.x 云计算、8.x 移动互联、9.x 物联网、10.x 工业控制；GB/T 条款列为 22239-2019 对应条款，供回溯测评报告引用。
| # | 高风险项（常见表述） | 2025版判例 | GB/T 22239-2019 条款 | 典型判定要点（2025版口径） | 加固方向 | 本板块文章 |
|---|---|---|---|---|---|---|
| 1 | 存在空口令、弱口令、通用口令或无身份鉴别 | 6.4.1.1 | 8.1.4.1 a) | 空口令/无鉴别可登录；弱口令（长度不足 6 位、单个/相同/连续字符、常见字典）；多对象或同对象多账户口令相同 | 强口令+复杂度+有效期策略，改默认口令，删除空口令账户，一机一码 | 05、06、08、09、11、12、20 |
| 2 | 未重命名默认账户且未修改默认口令 | 6.4.2.1 | 8.1.4.1 a)；8.1.4.2 b) | 默认账户名/出厂口令未改（缓解：组合鉴别不可绕过或仅限本地登录） | 重命名/禁用默认账户，改出厂口令 | 05、06、11、29 |
| 3 | 管理方式明文传输（Telnet/HTTP/FTP 管理设备或主机） | 6.4.1.2；远程管理路径 6.5.1.1（中风险） | 8.1.4.1 c)；8.1.1.2 | 鉴别信息明文传输，或编码/哈希等可还原形式；对安全设备远程管理未走加密传输路径 | 关闭明文协议，改 SSH/HTTPS/TLS | 02、06、11、19 |
| 4 | 未采用两种或以上组合身份鉴别技术 | 6.4.1.3 | 8.1.4.1 d) | 三级系统核心设备/主机仅口令单一鉴别（缓解：仅限本地登录或带外管理） | 增加动态口令/证书等组合鉴别，经堡垒机统一认证并防旁路 | 31 |
| 5 | 互联网/区域边界无访问控制设备或策略全通 | 6.2.1.2、6.3.2.1 | 8.1.2.1 d)；8.1.3.2 a)~c) | 重要网络区域部署在边界处且无任何有效访问控制；边界设备缺失或策略失效 | 分区+默认拒绝+最小化策略 | 01 |
| 6 | 关键线路/设备单点无冗余、重要数据处理系统无热冗余 | 6.2.1.3、6.4.6.2 | 8.1.2.1 e)；8.1.4.9 c) | 核心链路/设备单点故障影响业务；重要服务器/数据库未热冗余 | 双机/双链路、数据库热备，属架构整改 | 01、30 |
| 7 | 未启用安全审计或审计记录留存 <6 个月 | 6.5.1.2 | 8.1.4.3 a)~c)；8.1.5.2 d) | 审计记录留存不满足法律法规要求（不少于六个月）；未集中收集分析 | 开启审计并转发集中日志，留存 ≥6 个月 | 04、05、11 |
| 8 | 数据库/组件无身份鉴别或访问控制缺陷（如 MongoDB 未启用认证） | 6.4.1.1、6.4.2.2 | 8.1.4.1 a)；8.1.4.2 e) | 无需认证即可读写业务数据；超级管理员权限被授予非管理用途 | 启用认证+角色最小化+网络限制 | 09、12、14 |
| 9 | 恶意代码防范措施缺失/特征库过期 | 6.4.4.1 | 8.1.4.5 | 主机层无检测清除措施、防恶意代码产品授权过期、特征库/规则库三个月以上未更新（网络层攻击检测规则库半年口径见 6.3.3.1/6.3.3.2） | 部署防病毒并纳入统一管理，异构部署，及时升级病毒库 | 05、11、13 |
| 10 | 存在可被利用的高危安全漏洞 | 6.4.3.2 | 8.1.4.4 e) | 存在外界披露且可被利用的高危漏洞（如 SMBv1/永恒之蓝、中间件反序列化、已停维护版本） | 打补丁/升级/禁用组件，临时隔离过渡 | 05、21 |
| 11 | 开启多余系统服务、默认共享和高危端口 | 6.4.3.1 | 8.1.4.4 b) | 多余服务/默认共享/高危端口开启且可被远程访问 | 关闭不需要的服务与端口，最小化监听 | 02、04、05 |
| 12 | 无重要数据本地备份、备份不可恢复或备份至不可控环境 | 6.4.6.1（异地灾备 6.4.6.3，四级） | 8.1.4.9 a) | 无任何备份措施；备份到互联网网盘、代码托管平台等不可控环境同为高风险 | 本地+异地备份与恢复演练 | 11、12、14、15 |
| 13 | 重要数据明文传输/明文存储 | 6.2.2.1、6.4.5.1、6.4.5.2 | 8.1.1.2 b)；8.1.4.8 a)~b) | 鉴别信息、敏感个人信息或重要业务数据明文传输；或明文存储（缓解：在加密网络环境中传输） | 传输 TLS/VPN 加密，存储加密或脱敏 | 11、12、20 |
| 14 | 应用系统未授权访问/严重越权 | 6.4.2.2（中风险库内参考） | 8.1.4.2 a)、f) | 可非授权访问功能模块或查看/操作他人数据（水平/垂直越权） | 服务端统一鉴权、权限矩阵、修复越权 | 20 |
| 15 | 数据有效性检验缺失（注入/上传类漏洞） | 6.4.3.3 | 8.1.4.4 d) | 未提供或未完善有效性检验，存在 SQL 注入、跨站脚本、文件上传等高危漏洞 | 参数化查询、输入校验、上线前漏扫复测 | 20 |
| 16 | 违规采集存储/违规访问使用个人信息 | 6.4.7.1、6.4.7.2 | 8.1.4.11 a)~b) | 未授权采集保存隐私信息；未脱敏用于测试环境、提交第三方、查询导出权限失控 | 最小化采集、脱敏、权限与导出管控 | 20 |
| 17 | 关键网络节点攻击防御措施缺失/规则库半年未更新 | 6.3.3.1、6.3.3.2 | 8.1.3.3 a)~b) | 边界无任何攻击检测防护手段，或 IDS/IPS/WAF 策略库半年及以上未更新 | 部署/启用 IPS 类防护并及时升级规则库 | 29 |
| 18 | 云平台镜像和快照保护措施缺失 | 7.4.1.1（云计算） | 8.1.4.1（云计算扩展） | 镜像/快照无访问控制与完整性保护，可被篡改或随意导出 | 镜像仓库鉴权与签名、快照加密与访问限制 | 23、27 |
判定时注意
- 条件组合：指引对每项给出"判高风险需同时满足"的条件（如暴露面、影响对象等级、是否有补偿措施），不要见关键词就套；
- 补偿措施：已有边界防护/加密/隔离等补偿且有效的，可降级为中低风险，报告中写明；
- 留痕闭环：高风险整改必须有验证记录（命令输出/截图），复测时逐项核对。
参考依据
- GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（索引、模板与检查表类文章，覆盖 8.1.2~8.1.5 各层面的整改留痕、风险定级与对象选择，不直接对应单一控制点）：http://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=BAFB47E8874764186BDB7865E8344DAF
- GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》（测评对象边界认定、单元测评实施与结果判定：符合/部分符合/不符合/不适用）：http://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=7E736CDF4502B6FF1258DD250AA3EC8C
- GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》、GB/T 25070-2019《安全设计技术要求》、GB/T 28449-2018《测评过程指南》，可在全国标准信息公共服务平台检索：http://openstd.samr.gov.cn/bzgk/gb/
- 《网络安全等级保护测评高风险判定指引》（中关村信息安全测评联盟团体标准，2025版送审讨论稿）——81 条判例（通用 42 + 云计算 16 + 移动互联 10 + 物联网 4 + 工业控制 9），本表「2025版判例」列即其判例编号；站内原文见上方 gradeProtectionWiki 链接
- 命令核验说明：本文为索引表，不含配置命令，故无命令核验项；对照关系以《网络安全等级保护测评高风险判定指引》（中关村信息安全测评联盟团体标准）与本站各加固专篇的现行内容为准（核对日期 2026-09-02）。使用时须注意：① 高风险判定需同时满足指引中的「风险程度与影响范围」判定条件组合，本表仅列可整改的高频项与整改去向，不得据本表单条直接下高风险结论；② 指引原文以站内「联盟团标」页与联盟发布的最新版本为准，本表对照关系如与新版指引不一致，以指引原文为准；③ 判定为不适用的高风险项仍须在报告中说明补偿控制与承载该能力的上位组件，不得直接销项；④ 整改结果按「16、安全评估加固记录表3.0」留痕，整改路径按「17、加固方案总纲」的层面矩阵选择。