信息系統(tǒng)安全保障(文件)
【正文】 運(yùn)行可執(zhí)行文件 應(yīng)用平臺安全 —— 要求 安全技術(shù)要求之 —— 應(yīng)用軟件安全 應(yīng)用 軟件 ?應(yīng)具備 身份鑒別、用戶管理、訪問控制、運(yùn)行審計(jì) 等基本安全功能，并定期進(jìn)行版本維護(hù)及更新。當(dāng)不成功鑒別嘗試次數(shù)達(dá)到限定值時(shí)，系統(tǒng)應(yīng)鎖定用戶，并予以記錄和告警； ? 具備對不同角色用戶權(quán)限的分配和管理功能：權(quán)限分離原則、最小授權(quán)原則 應(yīng)用軟件安全 —— 要求 ?具體安全要求 —— 基本安全功能 ? 具備對用戶執(zhí)行的系統(tǒng)操作和重要業(yè)務(wù)操作的應(yīng)用審計(jì) 功能。 ? 某信息中心備份系統(tǒng)罷工 4個(gè)月無人知曉： 磁帶庫設(shè)備故障，系統(tǒng)管理員未進(jìn)行周期性備份有效性檢查。 系統(tǒng)運(yùn)維安全 —— 要求 ?安全技術(shù)要求 —— 網(wǎng)絡(luò)管理及安全審計(jì) ? 系統(tǒng)中部署的 網(wǎng)絡(luò)管理 及 安全審計(jì) 系統(tǒng)應(yīng)實(shí)現(xiàn)對重要網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器及數(shù)據(jù)庫系統(tǒng)的故障、負(fù)載及性能等運(yùn)行狀態(tài)信息 及各類 安全事件進(jìn)行監(jiān)控 分析； ? 應(yīng) 設(shè)置合理的監(jiān)控指標(biāo)閾值、合理的審計(jì)規(guī)則和告警響應(yīng)策略，并根據(jù)實(shí)際需求提供各類綜合分析報(bào)告。深圳福彩 承認(rèn)管理疏漏，對技術(shù)合作公司人員監(jiān)督不力，導(dǎo)致不法分子乘虛而入 ?奧巴馬護(hù)照及出入境信息被非法查看 ? 2023年總統(tǒng)競選期間，小布什政府的國務(wù)院 2名臨時(shí)雇員 在“完全沒有必要的情況下”檢查奧巴馬的護(hù)照記錄，這幾人屬于一家承包公司，負(fù)責(zé)維護(hù)美國國務(wù)院數(shù)據(jù)管理系統(tǒng)。 , February 11, 2023 ? 雨中黃葉樹，燈下白頭人。 :47:0201:47:02February 11, 2023 ? 1他鄉(xiāng)生白發(fā)，舊國見青山。 2023年 2月 11日星期六 1時(shí) 47分 2秒 01:47:0211 February 2023 ? 1做前，能夠環(huán)視四周；做時(shí)，你只能或者最好沿著以腳為起點(diǎn)的射線向前。 :47:0201:47Feb2311Feb23 ? 1世間成事，不求其絕對圓滿，留一份不足，可得無限完美。 。 , February 11, 2023 ? 閱讀一切好書如同和過去最杰出的人談話。勝人者有力，自勝者強(qiáng)。 2023年 2月 11日星期六 1時(shí) 47分 2秒 01:47:0211 February 2023 ? 1一個(gè)人即使已登上頂峰，也仍要自強(qiáng)不息。 2023年 2月 11日星期六 上午 1時(shí) 47分 2秒 01:47: ? 1最具挑戰(zhàn)性的挑戰(zhàn)莫過于提升自我。 :47:0201:47Feb2311Feb23 ? 1越是無能的人，越喜歡挑剔別人的錯(cuò)兒。 2023年 2月 11日星期六 1時(shí) 47分 2秒 01:47:0211 February 2023 ? 1空山新雨后，天氣晚來秋。 :47:0201:47:02February 11, 2023 ? 1意志堅(jiān)強(qiáng)的人能把世界放在手中像泥塊一樣任意揉捏。 , February 11, 2023 ? 很多事情努力了未必有結(jié)果，但是不努力卻什么改變也沒有。 。 :47:0201:47Feb2311Feb23 ? 1故人江海別，幾度隔山川。 各部門 10 業(yè)務(wù)連續(xù)性管理 業(yè)務(wù)連續(xù)性管理過程 、 業(yè)務(wù)連續(xù)性和影響分析 、制定和實(shí)施連續(xù)性計(jì)劃 業(yè)務(wù)部門 、 行政 、IT 11 符合性 法規(guī)要求的符合性 、 安全政策符合性及技術(shù)符合性的審查 、 系統(tǒng)審核的考慮 行政 （ 法律 ） 安全管理體系 —— 實(shí)現(xiàn)途徑 計(jì)劃 PLAN 檢查 CHECK 措施 ACTION 實(shí)施 DO 根據(jù)風(fēng)險(xiǎn)評估結(jié)果、法律法規(guī)的要求、組織業(yè)務(wù)運(yùn)作自身需要來確定控制目標(biāo)與控制措施。 系統(tǒng)運(yùn)維安全 —— 要求 主要內(nèi)容 信息安全現(xiàn)狀 1 信息系統(tǒng)安全保障體系 2 安全保障技術(shù)要求 安全保障管理要求 4 3 安全管理要求 管理 制度 ? 應(yīng)參照 GB/T 220812023《信息安全管理實(shí)用規(guī)則》要求，建立信息系統(tǒng)的 安全 管理制度 ； ? 應(yīng)建立合理有效的監(jiān)督機(jī)制，確保各項(xiàng)制度的有效執(zhí)行 ? 定期評價(jià)制度合理性、有效性，并進(jìn)行改進(jìn)。 ? 系統(tǒng)管理員應(yīng)對設(shè)置的數(shù)據(jù)自動(dòng)備份任務(wù)進(jìn)行定期監(jiān)控，確認(rèn)備份任務(wù)得到了有效的執(zhí)行； ? 系統(tǒng)管理員應(yīng)對備份進(jìn)行數(shù)據(jù)恢復(fù)的有效性驗(yàn)證，以確保備份數(shù)據(jù)的正確性； ? 對以加密方式保存重要數(shù)據(jù)備份的，應(yīng)同時(shí)保存數(shù)據(jù)恢復(fù)密鑰的備份。 ? 發(fā)生錯(cuò)誤時(shí)有出錯(cuò)提示，并可以通過手工或自動(dòng)方式從錯(cuò)誤狀態(tài)恢復(fù)到正常狀態(tài)； (可靠性保障 ) ? 當(dāng)專用應(yīng)用軟件退出后，在本地機(jī)和服務(wù)器的有關(guān)目錄下不留下任何殘余文件； 應(yīng)用軟件安全 —— 要求 ?具體安全要求 —— 應(yīng)用數(shù)據(jù)保護(hù) ? 信息生成環(huán)節(jié) ：信息源 標(biāo)識和鑒別 、遠(yuǎn)程錄入加密、輸入數(shù)據(jù)合法性性檢驗(yàn) （如：引發(fā)溢出、注入等漏洞） 等 ? 信息處理環(huán)節(jié)： 限制單一用戶多重并發(fā)會(huì)話 （防止暴力破解 )、 制定并執(zhí)行訪問控制策略 、 安全功能 不可旁路及容錯(cuò)性 ? 信息傳輸環(huán)節(jié) ：通過加密、簽名，實(shí)現(xiàn)保密性、完整性及抗抵賴性 (HTTPS、證書 ) ? 信息存儲環(huán)節(jié) ：保密性、完整性 ? 保障數(shù)據(jù)庫的安全性 應(yīng)用軟件安全 —— 要求 安全技術(shù)要求之 —— 運(yùn)行維護(hù)安全 運(yùn)行 維護(hù) ? 惡意代碼防范 ? 數(shù)據(jù)備份恢復(fù) ? 系統(tǒng)冗余 ? 入侵檢測與保護(hù) ? 網(wǎng)絡(luò)管理 ? 安全審計(jì) ? …… ?典型案例 ? 某單位所有服務(wù)器無防護(hù)運(yùn)行 10個(gè)月 ：網(wǎng)絡(luò)防病毒系統(tǒng)許可過期，所有服務(wù)器防病毒軟件近 10個(gè)月未升級病毒庫。 ?當(dāng)采用密碼技術(shù)時(shí)，應(yīng)在密鑰的 產(chǎn)生、分配、銷毀、備份與恢復(fù) 等環(huán)節(jié)具備安全機(jī)制。 ? 2023年寧波某政府網(wǎng)站被植入后門 ：黑客利用 IIS6文件名解析漏洞 植入后門， 可以向 WEB目錄寫入任意內(nèi)容 ； ? 2023年 3月杭州某單位門戶網(wǎng)站被植入后門 ：網(wǎng)站Tomcat服務(wù)后臺管理員默認(rèn)密碼 (tomcat)未修改且對外開放，黑客上傳后門程序，可隨意對網(wǎng)站進(jìn)行文件下載、刪除、修改。 操作系統(tǒng)安全 —— 案例 ?具體
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1