應(yīng)用安全應(yīng)用測評指導(dǎo)書三級10版模板(編輯修改稿)
2025-08-31 00:17 本頁面
【文章內(nèi)容簡介】 是否分離（如將系統(tǒng)管理員、安全員和審計(jì)員的權(quán)限分離），權(quán)限之間是否相互制約（如系統(tǒng)管理員、安全管理員等不能對審計(jì)日志進(jìn)行管理，安全審計(jì)員不能管理審計(jì)功能的開啟、關(guān)閉、刪除等重要事件的審計(jì)日志等）；系統(tǒng)管理員、安全管理員、安全審計(jì)員由不同的人員和用戶擔(dān)當(dāng)。至少應(yīng)該有系統(tǒng)管理員和安全管理員，安全審計(jì)員在有第三方審計(jì)工具時(shí)可以不要求。e) 應(yīng)具有對重要信息資源設(shè)置敏感標(biāo)記的功能；訪談：訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否能對重要信息資源和訪問重要信息資源的所有主體設(shè)置敏感標(biāo)記，這些敏感標(biāo)記是否構(gòu)成多級安全模型的屬性庫，主體和客體的敏感標(biāo)記是否以默認(rèn)方式生成或由安全員建立、維護(hù)和管理；查看操作系統(tǒng)功能手冊或相關(guān)文檔，確認(rèn)應(yīng)用系統(tǒng)是否具備能對信息資源設(shè)置敏感標(biāo)記功能；應(yīng)用系統(tǒng)對重要信息資源已設(shè)置敏感標(biāo)記。f) 應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作。訪談：訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)的強(qiáng)制訪問控制是否與用戶身份鑒別、標(biāo)識等安全功能密切配合，并且控制粒度達(dá)到主體為用戶級，客體為文件和數(shù)據(jù)庫表級；通過敏感標(biāo)記設(shè)定用戶對重要信息資源的訪問。3安全審計(jì)a) 應(yīng)提供覆蓋到每個(gè)用戶的安全審計(jì)功能，對應(yīng)用系統(tǒng)重要安全事件進(jìn)行審計(jì)；訪談：訪談安全審計(jì)員，詢問應(yīng)用系統(tǒng)是否有安全審計(jì)功能，對事件進(jìn)行審計(jì)的選擇要求和策略是什么，對審計(jì)日志的保護(hù)措施有哪些；查看其當(dāng)前審計(jì)范圍是否覆蓋到每個(gè)用戶；系統(tǒng)開啟了安全審計(jì)功能或部署了第三方安全審計(jì)設(shè)備。b) 應(yīng)保證無法單獨(dú)中斷審計(jì)進(jìn)程，無法刪除、修改或覆蓋審計(jì)記錄；訪談:訪談安全審計(jì)員，審計(jì)記錄監(jiān)控和保護(hù)采取的措施。例如：通過專用日志服務(wù)器或存儲(chǔ)設(shè)備對審計(jì)記錄進(jìn)行備份，并避免對審計(jì)記錄的修改、刪除或覆蓋。通過專用日志服務(wù)器或存儲(chǔ)設(shè)備對審計(jì)記錄進(jìn)行備份，并避免對審計(jì)記錄的修改、刪除或覆蓋。c) 審計(jì)記錄的內(nèi)容至少應(yīng)包括事件的日期、時(shí)間、發(fā)起者信息、類型、描述和結(jié)果等；訪談:訪談安全審計(jì)員，審計(jì)記錄信息是否包括事件發(fā)生的日期與時(shí)間、觸發(fā)事件的主體與客體、事件的類型、事件成功或失敗、身份鑒別事件中請求的來源（如末端標(biāo)識符）、事件的結(jié)果等內(nèi)容；審計(jì)記錄包括事件的日期、時(shí)間、類型、主體標(biāo)識、客體標(biāo)識和結(jié)果等內(nèi)容。d) 應(yīng)提供對審計(jì)記錄數(shù)據(jù)進(jìn)行統(tǒng)計(jì)、查詢、分析及生成審計(jì)報(bào)表的功能。訪談：訪談安全審計(jì)員，是否為授權(quán)用戶瀏覽和分析審計(jì)數(shù)據(jù)提供專門的審計(jì)工具（如對審計(jì)記錄進(jìn)行分類、排序、查詢、統(tǒng)計(jì)、分析和組合查詢等），并能根據(jù)需要生成審計(jì)報(bào)表；能定期生成審計(jì)報(bào)表并包含必要審計(jì)要素。4剩余信息保
法律信息相關(guān)推薦
鄂ICP備17016276號-1