【文章內(nèi)容簡介】 ...........................................50 終端登錄程序 ..........................................................50 用戶身份識別和驗證 ....................................................50 口令管理系統(tǒng) ..........................................................51 系統(tǒng)實用程序的使用 ....................................................51 保護用戶的威脅報警 ....................................................52 終端超時 ..............................................................52 連接時間限制 ..........................................................5210 / 81 應(yīng)用程序訪問控制 ..........................................................53 信息訪問限制 ..........................................................53 敏感系統(tǒng)的隔離 ........................................................53 監(jiān)控系統(tǒng)的訪問和使用 ......................................................54 事件日志記錄 ..........................................................54 監(jiān)控系統(tǒng)的使用 ........................................................54 時鐘同步 ..............................................................55 移動計算和遠程工作 ........................................................56 移動計算 ..............................................................56 遠程工作 ..............................................................5610 系統(tǒng)開發(fā)與維護 ............................................................58 系統(tǒng)的安全要求 ..........................................................58 安全要求分析和說明 ..................................................58 應(yīng)用系統(tǒng)中的安全 ........................................................58 輸入數(shù)據(jù)驗證 ........................................................58 內(nèi)部處理的控制 ......................................................59 消息驗證 ............................................................59 輸出數(shù)據(jù)驗證 ........................................................60 加密控制措施 ............................................................60 加密控制措施的使用策略 ..............................................60 加密 ................................................................60 數(shù)字簽名 ............................................................61 不否認服務(wù) ..........................................................61 密鑰管理 ............................................................61 系統(tǒng)文件的安全 ..........................................................62 操作軟件的控制 ......................................................62 系統(tǒng)測試數(shù)據(jù)的保護 ..................................................63 對程序源代碼庫的訪問控制 ............................................63 開發(fā)和支持過程中的安全 ..................................................63 變更控制程序 ........................................................63 操作系統(tǒng)變更的技術(shù)評審 ..............................................64 對軟件包變更的限制 ..................................................64 隱蔽通道和特洛伊代碼 ................................................64 外包的軟件開發(fā) ......................................................6511 業(yè)務(wù)連續(xù)性管理 ............................................................66 業(yè)務(wù)連續(xù)性管理的特點 ....................................................66 業(yè)務(wù)連續(xù)性管理程序 ..................................................66 業(yè)務(wù)連續(xù)性和影響分析 ................................................66 編寫和實施連續(xù)性計劃 ................................................66 業(yè)務(wù)連續(xù)性計劃框架 ..................................................67 業(yè)務(wù)連續(xù)性計劃的檢查、維護和重新分析 ................................6712 符合性 ....................................................................6911 / 81 符合法律要求 ............................................................69 確定適用法律 ........................................................69 知識產(chǎn)權(quán) (IPR) .......................................................69 組織記錄的安全保障 ..................................................69 個人信息的數(shù)據(jù)保護和安全 ............................................70 防止信息處理設(shè)施的濫用 ..............................................70 加密控制措施的調(diào)整 ..................................................71 證據(jù)收集 ............................................................71 安全策略和技術(shù)符合性的評審 ..............................................72 符合安全策略 ........................................................72 技術(shù)符合性檢查 ......................................................72 系統(tǒng)審計因素 ............................................................72 系統(tǒng)審計控制措施 ....................................................72 系統(tǒng)審計工具的保護 ..................................................73范圍1BS 7799 本部分內(nèi)容為那些負責(zé)執(zhí)行或維護組織安全的人員提供使用信息安全管理的建議。目的是為制定組織安全標(biāo)準(zhǔn)和有效安全管理提供共同基礎(chǔ)，并提高組織間相互協(xié)調(diào)的信心。2 術(shù)語和定義在說明本文檔用途中應(yīng)用了以下定義。 信息安全信息保密性、完整性和可用性的保護注意保密性的定義是確保只有獲得授權(quán)的人才能訪問信息。 完整性的定義是保護信息和處理方法的準(zhǔn)確和完整?？捎眯缘亩x是確保獲得授權(quán)的用戶在需要時可以訪問信息并使用相關(guān)信息資產(chǎn)。 風(fēng)險評估評估信息安全漏洞對信息處理設(shè)備帶來的威脅和影響及其發(fā)生的可能性12 / 81 風(fēng)險管理以可以接受的成本，確認、控制、排除可能影響信息系統(tǒng)的安全風(fēng)險或?qū)⑵鋷淼奈：ψ钚』倪^程3 安全策略 信息安全策略目標(biāo)： 提供管理指導(dǎo)，保證信息安全。管理層應(yīng)制定一個明確的安全策略方向，并通過在整個組織中發(fā)布和維護信息安全策略，表明自己對信息安全的支持和保護責(zé)任。 信息安全策略文檔策略文檔應(yīng)該由管理層批準(zhǔn)，根據(jù)情況向所有員工公布傳達。文檔應(yīng)說明管理人員承擔(dān)的義務(wù)和責(zé)任，并制定組織的管理信息安全的步驟。至少應(yīng)包括以下指導(dǎo)原則： a) 信息安全的定義、其總體目標(biāo)及范圍以及安全作為保障信息共享的機制所具有的重要性（參閱簡介）；b) 陳述信息安全的管理意圖、支持目標(biāo)以及指導(dǎo)原則；c) 簡要說明安全策略、原則、標(biāo)準(zhǔn)以及需要遵守的各項規(guī)定。這對組織非常重要，例如：1) 符合法律和合約的要求；2) 安全教育的要求；3) 防止并檢測病毒和其它惡意軟件；4)業(yè)務(wù)連續(xù)性管理；5) 違反安全策略的后果；d) 確定信息安全管理的一般責(zé)任和具體責(zé)任，包括報告安全事故；e) 參考支持安全策略的有關(guān)文獻，例如針對特定信息系統(tǒng)的更為詳盡的安全策略和方法以及用戶應(yīng)該遵守的安全規(guī)則。安全策略應(yīng)該向組織用戶傳達，形式上是針對目標(biāo)讀者，并為讀者接受和理解。 審查評估每個策略應(yīng)該有一個負責(zé)人，他根據(jù)明確規(guī)定的審查程序?qū)Σ呗赃M行維護和審查。審查過程應(yīng)該確保在發(fā)生影響最初風(fēng)險評估的基礎(chǔ)的變化（如發(fā)生重大安全事故、出現(xiàn)新的漏洞以及組織或技術(shù)基礎(chǔ)結(jié)構(gòu)發(fā)生變更）時，對策略進行相應(yīng)的審查。還應(yīng)該進行以下預(yù)定的、階段性的審查：13 / 81a) 檢查策略的有效性，通過所記錄的安全事故的性質(zhì)、數(shù)量以及影響反映出來；b) 控制措施的成本及其業(yè)務(wù)效率的影響；c) 技術(shù)變化帶來的影響。4 組織的安全 信息安全基礎(chǔ)設(shè)施目標(biāo)： 管理組織內(nèi)部的信息安全。應(yīng)該建立管理框架，在組織內(nèi)部開展和控制信息安全的管理實施。應(yīng)該建立有管理領(lǐng)導(dǎo)層參加的管理論壇，以批準(zhǔn)信息安全策略、分配安全責(zé)任并協(xié)調(diào)組織范圍的安全策略實施。根據(jù)需要，應(yīng)該建立專家提出信息安全建議的渠道，并供整個組織使用。建立與公司外部的安全專家的聯(lián)系，保持與業(yè)界的潮流、監(jiān)視標(biāo)準(zhǔn)和評估方法同步，并在處理安全事故時吸收他們的觀點。應(yīng)該鼓勵采用跨學(xué)科跨范圍的信息安全方法，例如，讓管理人員、用戶、行政人員、應(yīng)用程序設(shè)計人員、審計人員以及安全人員和專家協(xié)同工作，讓他們參與保險和風(fēng)險管理的工作。 管理信息安全論壇信息安全是一種由管理團隊所有成員共同承擔(dān)的業(yè)務(wù)責(zé)任。應(yīng)該建立一個管理論壇，確保對安全措施有一個明確的方向并得到管理層的實際支持。論壇應(yīng)通過合理的責(zé)任分配和有效的資源管理促進組織內(nèi)部安全。該論壇可以作為目前管理機構(gòu)的一個組成部分。通常，論壇有以下作用：a) 審查和核準(zhǔn)信息安全策略以及總體責(zé)任；b) 當(dāng)信息資產(chǎn)暴露受到嚴(yán)重威脅時，監(jiān)視重大變化；c) 審查和監(jiān)控安全事故；d) 審核加強信息安全的重要活動。一個管理人員應(yīng)負責(zé)所有與安全相關(guān)的活動。