【文章內(nèi)容簡介】 .....................................50 終端登錄程序 ..........................................................50 用戶身份識別和驗證 ....................................................50 口令管理系統(tǒng) ..........................................................51 系統(tǒng)實用程序的使用 ....................................................51 保護用戶的威脅報警 ....................................................52 終端超時 ..............................................................52 連接時間限制 ..........................................................52 應(yīng)用程序訪問控制 ..........................................................53 信息訪問限制 ..........................................................53 敏感系統(tǒng)的隔離 ........................................................5313 / 99 監(jiān)控系統(tǒng)的訪問和使用 ......................................................54 事件日志記錄 ..........................................................54 監(jiān)控系統(tǒng)的使用 ........................................................54 時鐘同步 ..............................................................55 移動計算和遠程工作 ........................................................56 移動計算 ..............................................................56 遠程工作 ..............................................................5610 系統(tǒng)開發(fā)與維護 ............................................................58 系統(tǒng)的安全要求 ..........................................................58 安全要求分析和說明 ..................................................58 應(yīng)用系統(tǒng)中的安全 ........................................................58 輸入數(shù)據(jù)驗證 ........................................................58 內(nèi)部處理的控制 ......................................................59 消息驗證 ............................................................59 輸出數(shù)據(jù)驗證 ........................................................60 加密控制措施 ............................................................60 加密控制措施的使用策略 ..............................................60 加密 ................................................................60 數(shù)字簽名 ............................................................61 不否認服務(wù) ..........................................................61 密鑰管理 ............................................................61 系統(tǒng)文件的安全 ..........................................................62 操作軟件的控制 ......................................................62 系統(tǒng)測試數(shù)據(jù)的保護 ..................................................63 對程序源代碼庫的訪問控制 ............................................63 開發(fā)和支持過程中的安全 ..................................................63 變更控制程序 ........................................................63 操作系統(tǒng)變更的技術(shù)評審 ..............................................64 對軟件包變更的限制 ..................................................64 隱蔽通道和特洛伊代碼 ................................................64 外包的軟件開發(fā) ......................................................6511 業(yè)務(wù)連續(xù)性管理 ............................................................66 業(yè)務(wù)連續(xù)性管理的特點 ....................................................66 業(yè)務(wù)連續(xù)性管理程序 ..................................................66 業(yè)務(wù)連續(xù)性和影響分析 ................................................66 編寫和實施連續(xù)性計劃 ................................................66 業(yè)務(wù)連續(xù)性計劃框架 ..................................................67 業(yè)務(wù)連續(xù)性計劃的檢查、維護和重新分析 ................................6712 符合性 ....................................................................69 符合法律要求 ............................................................69 確定適用法律 ........................................................69 知識產(chǎn)權(quán) (IPR).......................................................69 組織記錄的安全保障 ..................................................69 個人信息的數(shù)據(jù)保護和安全 ............................................7014 / 99 防止信息處理設(shè)施的濫用 ..............................................70 加密控制措施的調(diào)整 ..................................................71 證據(jù)收集 ............................................................71 安全策略和技術(shù)符合性的評審 ..............................................72 符合安全策略 ........................................................72 技術(shù)符合性檢查 ......................................................72 系統(tǒng)審計因素 ............................................................72 系統(tǒng)審計控制措施 ....................................................72 系統(tǒng)審計工具的保護 ..................................................73范圍BS 7799 本部分內(nèi)容為那些負責執(zhí)行或維護組織安全的人員提供使用信息安全管理的建議。目的是為制定組織安全標準和有效安全管理提供共同基礎(chǔ)，并提高組織間相互協(xié)調(diào)的信心。術(shù)語和定義在說明本文檔用途中應(yīng)用了以下定義。信息安全信息保密性、完整性和可用性的保護注意保密性的定義是確保只有獲得授權(quán)的人才能訪問信息。 完整性的定義是保護信息和處理方法的準確和完整?？捎眯缘亩x是確保獲得授權(quán)的用戶在需要時可以訪問信息并使用相關(guān)信息資產(chǎn)。15 / 99風險評估評估信息安全漏洞對信息處理設(shè)備帶來的威脅和影響及其發(fā)生的可能性風險管理以可以接受的成本，確認、控制、排除可能影響信息系統(tǒng)的安全風險或?qū)⑵鋷淼奈：ψ钚』倪^程安全策略信息安全策略目標： 提供管理指導，保證信息安全。管理層應(yīng)制定一個明確的安全策略方向，并通過在整個組織中發(fā)布和維護信息安全策略，表明自己對信息安全的支持和保護責任。信息安全策略文檔策略文檔應(yīng)該由管理層批準，根據(jù)情況向所有員工公布傳達。文檔應(yīng)說明管理人員承擔的義務(wù)和責任，并制定組織的管理信息安全的步驟。至少應(yīng)包括以下指導原則： a) 信息安全的定義、其總體目標及范圍以及安全作為保障信息共享的機制所具有的重要性（參閱簡介）；b) 陳述信息安全的管理意圖、支持目標以及指導原則；c) 簡要說明安全策略、原則、標準以及需要遵守的各項規(guī)定。這對組織非常重要，例如：1) 符合法律和合約的要求；2) 安全教育的要求；3) 防止并檢測病毒和其它惡意軟件；16 / 994)業(yè)務(wù)連續(xù)性管理；5) 違反安全策略的后果；d) 確定信息安全管理的一般責任和具體責任，包括報告安全事故；e) 參考支持安全策略的有關(guān)文獻，例如針對特定信息系統(tǒng)的更為詳盡的安全策略和方法以及用戶應(yīng)該遵守的安全規(guī)則。安全策略應(yīng)該向組織用戶傳達，形式上是針對目標讀者，并為讀者接受和理解。審查評估每個策略應(yīng)該有一個負責人，他根據(jù)明確規(guī)定的審查程序?qū)Σ呗赃M行維護和審查。審查過程應(yīng)該確保在發(fā)生影響最初風險評估的基礎(chǔ)的變化（如發(fā)生重大安全事故、出現(xiàn)新的漏洞以及組織或技術(shù)基礎(chǔ)結(jié)構(gòu)發(fā)生變更）時，對策略進行相應(yīng)的審查。還應(yīng)該進行以下預(yù)定的、階段性的審查：a) 檢查策略的有效性，通過所記錄的安全事故的性質(zhì)、數(shù)量以及影響反映出來；b) 控制措施的成本及其業(yè)務(wù)效率的影響；c) 技術(shù)變化帶來的影響。組織的安全信息安全基礎(chǔ)設(shè)施目標： 管理組織內(nèi)部的信息安全。應(yīng)該建立管理框架，在組織內(nèi)部開展和控制信息安全的管理實施。應(yīng)該建立有管理領(lǐng)導層參加的管理論壇，以批準信息安全策略、分配安全責任并協(xié)調(diào)組織范圍的安全策略實施。根據(jù)需要，應(yīng)該建立專家提出信息安全建議的渠道，并供整個組織使用。建立與公司外部的安全專家的聯(lián)系，保持與業(yè)界的潮流、監(jiān)17 / 99視標準和評估方法同步，并在處理安全事故時吸收他們的觀點。應(yīng)該鼓勵采用跨學科跨范圍的信息安全方法，例如，讓管理人員、用戶、行政人員、應(yīng)用程序設(shè)計人員、審計人員以及安全人員和專家協(xié)同工作，讓他們參與保險和風險管理的工作。管理信息安全論壇信息安全是一種由管理團隊所有成員共同承擔的業(yè)務(wù)責任。應(yīng)該建立一個管理論壇，確保對安全措施有一個明確的方向并得到管理層的實際支持。論壇應(yīng)通過合理的責任分配和有效的資源管理促進組織內(nèi)部安全。該論壇可以作為目前管理機構(gòu)的一個組成部分。通常，論壇有以下作用：a) 審查和核準信息安全策略以及總體責任；b) 當信息資產(chǎn)暴露受到嚴重威脅時，監(jiān)視重大變化；c) 審查和監(jiān)控安全事故；d) 審核加強信息安全的重要活動。一個管理人員應(yīng)負責所有與安全相關(guān)的活動。信息安全的協(xié)調(diào)在大型組