銀聯(lián)卡個(gè)人化企業(yè)認(rèn)證調(diào)查問(wèn)卷-wenkub
2023-04-10 04:55:54 本頁(yè)面
【正文】 硬件加密設(shè)備（HSM）中完成□不是 □是(2) HSM是否包含一個(gè)隨機(jī)或偽隨機(jī)數(shù)字生成器，執(zhí)行原始校驗(yàn)過(guò)程□不是 □是(3) HSM是否支持篡改響應(yīng)機(jī)制□不是 □是(4) 密鑰生成是否利用一個(gè)隨機(jī)或偽隨機(jī)過(guò)程，以保證不可能預(yù)測(cè)出任何密鑰或者確定密鑰空間中的某些密鑰比其它任意密鑰可能性更大□不是 □是(5) 個(gè)人計(jì)算機(jī)或其它類(lèi)似的不安全設(shè)備，即不能被完全信任的設(shè)備，是否可用來(lái)生成RSA公/私鑰對(duì)□不是 □是（三）非對(duì)稱(chēng)密鑰傳輸(1) 公鑰是否采用一種能夠保證它們完整性的方式來(lái)保障安全和傳輸□不是 □是(2) 私鑰是否采用一種能夠保證它們的完整性和私密的方式來(lái)保障安全和傳輸□不是 □是(3) 傳輸機(jī)制是否必須在安全的硬件加密設(shè)備上進(jìn)行加解密操作□不是 □是(4) 傳輸機(jī)制是否利用至少與加密相等力量的對(duì)稱(chēng)算法來(lái)對(duì)被保護(hù)密鑰的私鑰進(jìn)行解密，作為幾個(gè)部分（在IC卡上保障安全），并使用一個(gè)對(duì)稱(chēng)算法來(lái)進(jìn)行解密□不是 □是 對(duì)稱(chēng)密鑰(1) 在生成DES密鑰時(shí)，是否必須在一臺(tái)由篡改響應(yīng)機(jī)制保護(hù)的物理安全的設(shè)備中生成，或者必須由授權(quán)的工作人員以一部分一部分的形式生成□不是 □是(2) 安全設(shè)備是否包含一個(gè)隨機(jī)或偽隨機(jī)的數(shù)字生成器□不是 □是(3) 是否任何時(shí)候一個(gè)未被保護(hù)的密鑰都不能存在于一臺(tái)物理安全的設(shè)備的保護(hù)之外□不是 □是(4) 是否任何時(shí)候物理安全的設(shè)備都不能輸出純文本的密鑰，除非作為密碼或者以?xún)蓚€(gè)或更多部分的形式輸出□不是 □是(5) 當(dāng)密鑰由授權(quán)工作人員通過(guò)一個(gè)將各部分組合的過(guò)程來(lái)生成時(shí)，是否必須要求每一方生成一個(gè)和要生成的密鑰一樣長(zhǎng)的部分□不是 □是(6) 密鑰組合過(guò)程是否在一個(gè)物理安全的設(shè)備內(nèi)部進(jìn)行□不是 □是(7) 密鑰組合過(guò)程能否保證知道其中任何一個(gè)子集也無(wú)法知道密鑰值□不是 □是(8) 分開(kāi)的密鑰是否由一個(gè)管理機(jī)構(gòu)掌握□不是 □是(9) 分開(kāi)的密鑰是否必須有一個(gè)部分的持有人是發(fā)卡行的一名員工□不是 □是(10) 是否未為實(shí)際的全部密鑰計(jì)算校驗(yàn)位□不是 □是(11) 個(gè)人電腦或類(lèi)似的不安全設(shè)備是否可用來(lái)生成密鑰資料□不是 □是(12) 如果發(fā)現(xiàn)任何密鑰存在于一個(gè)物理安全的設(shè)備之外，或者密鑰的各個(gè)部分被人所知以及有被單個(gè)人掌握的嫌疑，可否將該密鑰認(rèn)為已被泄漏且必須用一個(gè)新的密鑰來(lái)替換它□不是 □是 密鑰傳輸(1) DES密鑰是否可以被安全地轉(zhuǎn)移到一塊安全設(shè)備或智能卡的保護(hù)之下，以進(jìn)行傳輸和存儲(chǔ)□不是 □是(2) DES 密鑰傳輸是否以雙重控制和分別持有為原則□不是 □是 密鑰存儲(chǔ)(1) 普通文本私鑰和秘密的密鑰是否只存在于硬件加密設(shè)備（HSM）內(nèi)□不是 □是(2) 私人和秘密的密鑰及其組成部分是否采用雙重控制和分別持有的原則存儲(chǔ)□不是 □是(3) 私人的和秘密的密鑰組成部分可存儲(chǔ)在介質(zhì)上（例如：軟盤(pán)、PC卡、智能卡等）?！醪皇? □是(8) 是否每天復(fù)審所有系統(tǒng)的日志。□不是 □是(3) 是否只有審計(jì)用戶(hù)可以訪問(wèn)或更改審計(jì)日志□不是 □是(4) 是否僅允許有工作需要的人員查看評(píng)估追蹤記錄。(1) 日志記錄和管理機(jī)制中是否包含下面的內(nèi)容?！醪皇? □是(16) 是否配置文件完整性監(jiān)控軟件或者按照流程人為對(duì)關(guān)鍵文件定期進(jìn)行比較?！醪皇? □是(8) 每年是否委托由中國(guó)銀聯(lián)認(rèn)可的有資質(zhì)的第三方機(jī)構(gòu)進(jìn)行定期掃描□不是 □是(9) 下列網(wǎng)絡(luò)重大變更后是否掃描：u 安裝新的設(shè)備□不是 □是u 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)調(diào)整□不是 □是u 調(diào)整防火墻配置□不是 □是u 應(yīng)用系統(tǒng)升級(jí)□不是 □是(10) 弱點(diǎn)掃描是否通過(guò)。(24) 如果對(duì)登錄錯(cuò)誤次數(shù)有限制，則核實(shí)用戶(hù)登錄限制數(shù)是否是5次（超過(guò)就會(huì)鎖定）?！鯖](méi)有 □有(13) 檢查權(quán)限更改記錄，對(duì)下面的情況是否明確或者記錄了權(quán)限回收時(shí)間?！醪皇? □是u 是否更改了接入點(diǎn)的默認(rèn)口令?！鯖](méi)有 □有(11) 選擇一個(gè)樣本無(wú)線接入點(diǎn)，檢查下列相關(guān)的供應(yīng)商默認(rèn)設(shè)置：u 安裝時(shí)是否更改了WEP密鑰，知曉密鑰的員工離開(kāi)組織或轉(zhuǎn)換工作崗位時(shí)否更改了WEP 密鑰。□不是 □是(5) 對(duì)于服務(wù)提供商是否要求客戶(hù)口令必須符合最低口令長(zhǎng)度規(guī)定。管理員是否能夠遠(yuǎn)程連接到無(wú)線管理界面（所有無(wú)線環(huán)境的管理都只能在控制臺(tái)上進(jìn)行）□不是 □是(14) 是否每一臺(tái)服務(wù)器只承擔(dān)一項(xiàng)主要功能（例如，Web服務(wù)器、數(shù)據(jù)庫(kù)服務(wù)器和DNS 應(yīng)該被分別部署在不同的服務(wù)器上）□不是 □是3 機(jī)房及系統(tǒng)安全（略）4 訪問(wèn)控制及審核 用戶(hù)權(quán)限控制(1) 所有對(duì)網(wǎng)絡(luò)、系統(tǒng)和數(shù)據(jù)資源是否均是有工作需要□否 □有(2) 有無(wú)完善的用戶(hù)訪問(wèn)管理機(jī)制，且是否按照“因需知曉”進(jìn)行訪問(wèn)控制□沒(méi)有 □有(3) 是否有用戶(hù)訪問(wèn)管理機(jī)制明確了各個(gè)級(jí)別用戶(hù)的權(quán)限和責(zé)任□沒(méi)有 □有(4) 是否有權(quán)限分配規(guī)定?！醪皇? □是(6) 是否禁用了供應(yīng)商支持和維護(hù)系統(tǒng)所使用的賬戶(hù)，僅在需要時(shí)才啟用此賬戶(hù)□不是 □是(7) 供應(yīng)商支持和維護(hù)系統(tǒng)所使用的賬戶(hù)是否在使用之后及時(shí)關(guān)閉□不是 □是(8) 是否對(duì)供應(yīng)商支持和維護(hù)系統(tǒng)所使用的賬戶(hù)的使用情況進(jìn)行監(jiān)控□不是 □是，如果進(jìn)行了監(jiān)控，提供監(jiān)控的日志文件位置 ?！醪皇? □是(2) 是否建立安全策略，要求在兩個(gè)月內(nèi)安裝所有相關(guān)的新安全補(bǔ)丁。備份的數(shù)據(jù)和文件必須妥善保存，確保其安全性，只允許授權(quán)的人員接觸?！醪皇? □是(25) 是否建立一個(gè)DMZ以過(guò)濾和并屏蔽所有流量，禁止為Internet流量提供直接的入站和出站路由□不是 □是(26) 是否限制源自支付卡應(yīng)用、目的地為DMZ區(qū)IP地址的出站流量□不是 □是(27) 是否實(shí)施IP偽裝以防止內(nèi)部地址被識(shí)別并被暴露在Internet上□不是 □是(28) 對(duì)于上面的樣本防火墻/路由器組件，檢查是否采用了 NAT、PAT或其他使用 RFC 1918 地址空間的技術(shù)，以限制將IP地址從內(nèi)部網(wǎng)絡(luò)廣播到互聯(lián)網(wǎng)（IP 偽裝）。~)中所定義的內(nèi)部IP地址對(duì)DMZ區(qū)的訪問(wèn)□不是 □是(19) 檢查防火墻是否執(zhí)行狀態(tài)檢查（動(dòng)態(tài)包過(guò)濾）□不是 □是(20) 數(shù)據(jù)服務(wù)器是否放置于內(nèi)部網(wǎng)絡(luò)，并通過(guò)防火墻與DMZ區(qū)隔離?！醪皇? □是(12) 是否建立了路由器的管理規(guī)范。銀聯(lián)卡個(gè)人化企業(yè)認(rèn)證安全調(diào)查問(wèn)卷發(fā)布版本：發(fā)布時(shí)間：2009年6月銀聯(lián)卡個(gè)人化企業(yè)企業(yè)安全評(píng)估調(diào)查問(wèn)卷一、填表人基本信息單位名稱(chēng)（單位公章）聯(lián)系人聯(lián)系方式座機(jī)號(hào)碼： ；手機(jī)號(hào)碼：傳 真EMAIL 地址二、生產(chǎn)企業(yè)基本信息機(jī)構(gòu)性質(zhì)法人機(jī)構(gòu)所在地境內(nèi)分支機(jī)構(gòu)數(shù)量及地點(diǎn)知識(shí)產(chǎn)權(quán)（發(fā)卡系統(tǒng)）保密級(jí)別三、系統(tǒng)基本情況核心服務(wù)器服務(wù)器用途服務(wù)器設(shè)備名稱(chēng)及配置提供商名稱(chēng)服務(wù)器操作系統(tǒng)名稱(chēng)當(dāng)前版本更新時(shí)間業(yè)務(wù)終端設(shè)備名稱(chēng)提供商名稱(chēng)操作系統(tǒng)名稱(chēng)當(dāng)前版本更新時(shí)間軟件系統(tǒng)名稱(chēng)當(dāng)前版本更新時(shí)間系統(tǒng)開(kāi)發(fā)商系統(tǒng)維護(hù)商后臺(tái)數(shù)據(jù)庫(kù)數(shù)據(jù)庫(kù)類(lèi)型當(dāng)前版本更新時(shí)間管理單位名稱(chēng)管理員防火墻廠商型號(hào)當(dāng)前版本路由器廠商型號(hào)當(dāng)前版本四、企業(yè)業(yè)務(wù)基本情況（請(qǐng)簡(jiǎn)述企業(yè)的業(yè)務(wù)，包括說(shuō)明卡片個(gè)人化過(guò)程中貴企業(yè)所處的角色）
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1