應(yīng)用系統(tǒng)安全改造監(jiān)督規(guī)范(編輯修改稿)
2025-05-30 12:50 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 行說(shuō)明，避免出現(xiàn)不必要的操作錯(cuò)誤和安全隱患。 8) 應(yīng)用系統(tǒng)授權(quán)人應(yīng)該考察評(píng)估結(jié)果，用以決定是否可以接收系統(tǒng)運(yùn)行的風(fēng)險(xiǎn)。 9 管理方應(yīng)該注意的事項(xiàng) 1) 系統(tǒng)安全改造之后，對(duì)分配給施工方人員的權(quán)力應(yīng)當(dāng)交還系統(tǒng)管理員。 2) 系統(tǒng)改造之后，必須對(duì)系統(tǒng)日志做出審計(jì)。 3) 系統(tǒng)管理員對(duì)超級(jí)用戶口令，其它用戶名和口令等登錄信息的進(jìn)行重新設(shè)置。 4) 系統(tǒng)管理員可以根據(jù)需要對(duì)其它的網(wǎng) 絡(luò)進(jìn)出口的口令重新設(shè)置。 3 10 認(rèn)證與批準(zhǔn) 認(rèn)證與批準(zhǔn)是針對(duì)自動(dòng)信息系統(tǒng)和其他保護(hù)措施的技術(shù)或非技術(shù)安全特征的一種復(fù)雜評(píng)估。其目的是確定某一特定設(shè)計(jì)和實(shí)施滿足指定的安全需求集的程度，并由指定的批準(zhǔn)授權(quán)機(jī)構(gòu)籍此正式宣布某信息系統(tǒng)被獲準(zhǔn)可在某一可接受的風(fēng)險(xiǎn)級(jí)別上運(yùn)行。 CA（ Cetification Authority）是負(fù)責(zé)執(zhí)行對(duì)這些安全特征與其它保護(hù)措施（用于支持批準(zhǔn)過(guò)程）進(jìn)行評(píng)估的官方。它用來(lái)確定特定設(shè)計(jì)與系統(tǒng)實(shí)施對(duì)指定安全需求的滿足程度。最初的認(rèn)證任務(wù)包括： ? 系統(tǒng)體系結(jié)構(gòu)分析； ? 軟件設(shè)計(jì)分析； ? 網(wǎng)絡(luò)連接規(guī)則 一致性分析； ? 集成產(chǎn)品的完整性分析； ? 生命周期管理分析； ? 脆弱性評(píng)估。 一個(gè)經(jīng)受過(guò)認(rèn)證與批準(zhǔn)的系統(tǒng)應(yīng)該有用于支持每個(gè)任務(wù)的正式文檔、文檔化的安全說(shuō)明、復(fù)雜的測(cè)試計(jì)劃和說(shuō)明所有網(wǎng)絡(luò)與其它互連要求均被實(shí)現(xiàn)的書面說(shuō)明?？梢詫?duì)特定的認(rèn)證任務(wù)進(jìn)行定制以適合系統(tǒng)的項(xiàng)目戰(zhàn)略、生命周期管理過(guò)程以及信息系統(tǒng)在其生命周期中的位置。也可定制滿足系統(tǒng)開(kāi)發(fā)行為的認(rèn)證任務(wù)，確信它與整個(gè)系統(tǒng)行為相關(guān)，并為確保這些行為與書面的文檔相一致而提供了滿足要求的分析。 脆弱性評(píng)估評(píng)估了與保密性、完整性、可用性、可審計(jì)性和推薦相關(guān)的安全漏洞。為保護(hù)相應(yīng)的系統(tǒng)價(jià)值，授權(quán)機(jī)構(gòu)應(yīng)該決定可承受的風(fēng)險(xiǎn)級(jí)別。脆弱性評(píng)估主要關(guān)注實(shí)現(xiàn)系統(tǒng)安全需求的過(guò)程。評(píng)估結(jié)論被用于判斷信息系統(tǒng)是否已經(jīng)準(zhǔn)備好進(jìn)行正式的認(rèn)證評(píng)估與測(cè)試。最終的認(rèn)證任務(wù)包括： ? 安全測(cè)試與評(píng)估； ? 滲透性測(cè)試； ? 調(diào)查、研究、和控制危及到通過(guò)電信和自動(dòng)信息系統(tǒng)裝備來(lái)發(fā)布信息的安全要求。 ? 系統(tǒng)管理分析； ? 站點(diǎn)批準(zhǔn)調(diào)查； ? 應(yīng)急計(jì)劃評(píng)估； ? 基于風(fēng)險(xiǎn)的管理審查。 如果 CA 斷定信息系統(tǒng)滿足系統(tǒng)安全
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號(hào)-1