【正文】 進行，應將相應角色權限收回。 ? 安全管理者可決定用戶組分類，為這些用戶組創(chuàng)建用戶角色， 并對數據庫和28 數據和電子文檔安全管理規(guī)范 應用對象管理 用戶角色 的訪問權限 。 h) 用戶訪問數據庫結束，必須關閉相關的數據庫訪問的應用程序，斷開與數據庫的連接。 數據庫用戶認證管理 a) 確保每一個用戶帳號對 于數據庫連接來說都是必須的，禁用或刪除任何不必要的帳號。詳細內容請參見《內容安全管理標準》中的安全補丁實施管理辦法。在數據庫的初始配置時，必須禁用這些默認帳號或者改變其相應的密碼。一旦這些數據被非法入侵者或者被不應了解的人員看到，對于中國石油的業(yè)務或者經營將會產生重大的危害。但是實際中，數據庫管理員往往沒有嚴格區(qū)分不同用戶帳號的權限，使得數據受到非授權的訪問，甚至被破壞。但是這些安全措施只應用在客戶端應用軟件上，其它許多工具，如 Microsoft Access 和已有的通過 OBDC 或專有協議聯接數據庫的公用程序，它們都繞過了應用層安全。 數據和電子文檔安全管理規(guī)范 23 部門績效績效監(jiān)控分析報告大客戶中心經理績效合同專職行為規(guī)范工作周報企業(yè)管理部績效管理人力資源管理能 力訪談問卷例會會議紀要業(yè)務流程優(yōu)化咨詢項目工作績效監(jiān)控分析報告供應鏈管理工資核算流程 第第 3 章章 數數 據據 庫庫 安安 全全 管管 理理 規(guī)規(guī) 范范 數據庫是建立一切信息管理系統的基礎支撐平臺，在中國石油，數據庫存放著各種最真實和最有價值的那部分資產 —— 可能是知識產權數據，也可能是價格和交易數據或者客戶信息。 d) 對于網絡共享文件夾中的重要文件，必須使用加密程序或者相應的電子文檔編輯程序自帶的加密功能進行加密。 服務器端的加密提供了與硬件加密方案相似的 特征。 電子文檔加密 保護電子文檔的另一個重要方法是進 行電子文檔加密。對于其他的用戶，如果不再需要進行相關的訪問，應將其權限收回。 f) 缺 省拒絕訪問：如果一個計算機或者網絡的訪問控制系統工作不正常，那么應最小化其上所有用戶的訪問權限。對于用戶基本權限的修改必須經過該用戶的上級領導的同意。 18 數據和電子文檔安全管理規(guī)范 b) 訪問許可權限的設置不但適用于本地計算機的用戶 ,同樣也適用于通過網絡共享文件夾對文件進行訪問的操作。對于移動設備，往往還提供了額外的認證手段。 e) 應為每一份重要的電子文檔建立必要的記錄，記載電子文檔的建立、修改、使用情況。 g) 應記錄所有電子文檔的使用情況，包括載體的類型、數量、使用時間、使用人員、最后回收期限及雙方責任人員。具體內容參見《機房安全管理規(guī)范》、《區(qū)域安全管理規(guī)范》。 h) 電子文檔如有相應的紙質電子文檔或其他載體的電子文檔，必須保證內容一致。并在電子文檔更改后自動通知該電子文檔的管理員和該電子文檔的所有者。 b) 每個重要電子文檔都必須有主要的負責人，并對負責的電子文檔負有全責。 電子文檔的分散存儲 a) 重復存儲占用空間 —— 同一個電子文檔在多個共享的文件存儲服務器上存在，同時每個用戶處 有電子文檔的多個歷史版本，導致磁盤空間的浪費。 人員的惡意攻擊 a) 外部入侵者或者內 部有相應權限的人員，出于某種惡意的目的 對電子文檔的內容進行篡改。 最小權限 minimum privilege 主體的訪問權限制到最低限度，即僅執(zhí)行授權任務所必 需的那些權利。 審計 audit 為了測試出系統的控制是否足夠 , 為了保證與已建立的策略和操作相符合 , 為了發(fā)現安全中的漏洞 , 以及為了建議在控制 、 策略中作任何指定的改變 , 而對系統記錄與活動進行的獨立觀察 。具體來說包括了電子文檔相關的安全規(guī)范、數據庫相關的安全規(guī)范和數據備份的安全管理規(guī)范。 數據和電子文檔安全管理規(guī)范 V 部門績效績效監(jiān)控分析報告大客戶中心經理績效合同專職行為規(guī)范工作周報企業(yè)管理部績效管理人力資源管理能 力訪談問卷例會會議紀要業(yè)務流程優(yōu)化咨詢項目工作績效監(jiān)控分析報告供應鏈管理工資核算流程 目 錄 第 1 章 數據和電子文檔安全管理概述 ..................................................................... 7 概述 ........................................................................... 7 目標 ........................................................................... 7 規(guī)范的適用范圍 ................................................................. 7 規(guī)范引用的文件或標準 ........................................................... 8 術語和定義 ..................................................................... 9 第 2 章 電子文檔安全管理 規(guī)范 ..............................................................................11 電子文檔主要安全問題 .......................................................... 11 未經授權的訪問則 .......................................................................................................................................11 人員的惡意攻擊 ...........................................................................................................................................11 授權用戶的不當操作 ...................................................................................................................................11 電子文檔的分散存儲 .................................................................................................................................. 12 外部因素的影響 .......................................................................................................................................... 12 電子文檔安全管理規(guī)范 .......................................................... 13 電子文檔的建立管理 .................................................................................................................................. 13 電子文檔的更改管理 .................................................................................................................................. 13 電子文檔的歸檔管理 .................................................................................................................................. 14 電子文檔的保管管理 .................................................................................................................................. 14 電子文檔的使用管理 .................................................................................................................................. 15 電子文檔的備份管理 .................................................................................................................................. 15 電子文檔的定期檢查 .................................................................................................................................. 16 電子文檔技術保護手段 .......................................................... 16 加固計算機系統和網絡 ............................................................................................................................. 16 加強對于電子文檔的認證管理 ................................................................................................................. 17 加強對于電子文檔的授權管理 ................................................................................................................. 17 電子文 檔加密 .............................................................................................................................................. 20 VI 數據和電子文檔安全管理規(guī)范 加強對電子文檔日志審計管理 ................................................................................................................. 21 檢測惡意代碼 .............................................................................................................................................. 22 第 3 章 數據庫安全管理規(guī)范 ................................................................................ 23 常見的數據庫安全問題 ...........................................................23 數據庫安全管理規(guī)范 .............................................................25 加固操作系統和網絡 .................................................................................................................................. 25 數據庫設置的安全管理 ............................................................................................................................. 25 數據庫用戶認證管理 ......................................................................................