【文章內(nèi)容簡介】 絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查, ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺本項(xiàng)要求包括: a)應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識和鑒別。b)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標(biāo)識應(yīng)具有不易被冒用的特點(diǎn),口令應(yīng)有復(fù)雜度要求并定期更換。c)應(yīng)啟用登錄失敗處理功能,可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施。d)當(dāng)對服務(wù)器進(jìn)行遠(yuǎn)程管理時,應(yīng)采取必要措施,防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽。e)應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名,確保用戶名具有唯一性。f)應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進(jìn)行身份鑒別。 訪問控制(S3)本項(xiàng)要求包括: a)應(yīng)啟用訪問控制功能,依據(jù)安全策略控制用戶對資源的訪問。b)應(yīng)根據(jù)管理用戶的角色分配權(quán)限,實(shí)現(xiàn)管理用戶的權(quán)限分離,僅授予管理用戶所需的最小權(quán)限。c)應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離。d)應(yīng)嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限,重命名系統(tǒng)默認(rèn)帳戶,修改這些帳戶的默認(rèn)口令。e)應(yīng)及時刪除多余的、過期的帳戶,避免共享帳戶的存在。f)應(yīng)對重要信息資源設(shè)置敏感標(biāo)記。g)應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作。 安全審計(G3)本項(xiàng)要求包括: a)審計范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶。b)審計內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件。 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺a)應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄。b)應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時鎖定。c)應(yīng)對重要服務(wù)器進(jìn)行監(jiān)視,包括監(jiān)視服務(wù)器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況。d)應(yīng)限制單個用戶對系統(tǒng)資源的最大或最小使用限度。e)應(yīng)能夠?qū)ο到y(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測和報警。 應(yīng)用安全 身份鑒別(S3)本項(xiàng)要求包括: a)應(yīng)提供專用的登錄控制模塊對登錄用戶進(jìn)行身份標(biāo)識和鑒別。b)應(yīng)對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實(shí)現(xiàn)用戶身份鑒別。c)應(yīng)提供用戶身份標(biāo)識唯一和鑒別信息復(fù)雜度檢查功能,保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識,身份鑒別信息不易被冒用。d)應(yīng)提供登錄失敗處理功能,可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施。e)應(yīng)啟用身份鑒別、用戶身份標(biāo)識唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能,并根據(jù)安全策略配置相關(guān)參數(shù)。 訪問控制(S3)本項(xiàng)要求包括: a)應(yīng)提供訪問控制功能,依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問。b)訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作。c)應(yīng)由授權(quán)主體配置訪問控制策略,并嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限。d)應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限,并在它們之間形成相互制約的關(guān)系。e)應(yīng)具有對重要信息資源設(shè)置敏感標(biāo)記的功能。 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺 軟件容錯(A3)本項(xiàng)要求包括: a)應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能,保證通過人機(jī)接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系統(tǒng)設(shè)定要求。b)應(yīng)提供自動保護(hù)功能,當(dāng)故障發(fā)生時自動保護(hù)當(dāng)前所有狀態(tài),保證系統(tǒng)能夠進(jìn)行恢復(fù)。 資源控制(A3)本項(xiàng)要求包括: a)當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應(yīng),另一方應(yīng)能夠自動結(jié)束會話。b)應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會話連接數(shù)進(jìn)行限制。c)應(yīng)能夠?qū)蝹€帳戶的多重并發(fā)會話進(jìn)行限制。d)應(yīng)能夠?qū)σ粋€時間段內(nèi)可能的并發(fā)會話連接數(shù)進(jìn)行限制。e)應(yīng)能夠?qū)σ粋€訪問帳戶或一個請求進(jìn)程占用的資源分配最大限額和最小限額。f)應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測和報警。g)應(yīng)提供服務(wù)優(yōu)先級設(shè)定功能,并在安裝后根據(jù)安全策略設(shè)定訪問帳戶或請求進(jìn)程的優(yōu)先級,根據(jù)優(yōu)先級分配系統(tǒng)資源。 數(shù)據(jù)安全及備份恢復(fù) 數(shù)據(jù)完整性(S3)本項(xiàng)要求包括: a)應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破壞,并在檢測到完整性錯誤時采取必要的恢復(fù)措施。b)應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲過程中完整性受到破壞,并在檢測到完整性錯誤時采取必要的恢復(fù)措施。 數(shù)據(jù)保密性(S3)本項(xiàng)要求包括: ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺c)應(yīng)組織相關(guān)人員對制定的安全管理制度進(jìn)行論證和審定。d)安全管理制度應(yīng)通過正式、有效的方式發(fā)布。e)安全管理制度應(yīng)注明發(fā)布范圍,并對收發(fā)文進(jìn)行登記。 評審和修訂(G3)本項(xiàng)要求包括: a)信息安全領(lǐng)導(dǎo)小組應(yīng)負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對安全管理制度體系的合理性和適用性進(jìn)行審定。b)應(yīng)定期或不定期對安全管理制度進(jìn)行檢查和審定,對存在不足或需要改進(jìn)的安全管理制度進(jìn)行修訂。 安全管理機(jī)構(gòu) 崗位設(shè)置(G3)本項(xiàng)要求包括: a)應(yīng)設(shè)立信息安全管理工作的職能部門,設(shè)立安全主管、安全管理各個方面的負(fù)責(zé)人崗位,并定義各負(fù)責(zé)人的職責(zé)。b)應(yīng)設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位,并定義各個工作崗位的職責(zé)。c)應(yīng)成立指導(dǎo)和管理信息安全工作的委員會或領(lǐng)導(dǎo)小組,其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)。d)應(yīng)制定文件明確安全管理機(jī)構(gòu)各個部門和崗位的職責(zé)、分工和技能要求。 人員配備(G3)本項(xiàng)要求包括: a)應(yīng)配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等。b)應(yīng)配備專職安全管理員,不可兼任。c)關(guān)鍵事務(wù)崗位應(yīng)配備多人共同管理。 授權(quán)和審批(G3)本項(xiàng)要求包括: a)應(yīng)根據(jù)各個部門和崗位的職責(zé)明確授權(quán)審批事項(xiàng)、審批部門和批準(zhǔn)人等。 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺a)應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)人員錄用。b)應(yīng)嚴(yán)格規(guī)范人員錄用過程,對被錄用人的身份、背景、專業(yè)資格和資質(zhì)等進(jìn)行審查,對其所具有的技術(shù)技能進(jìn)行考核。c)應(yīng)簽署保密協(xié)議。d)應(yīng)從內(nèi)部人員中選拔從事關(guān)鍵崗位的人員,并簽署崗位安全協(xié)議。 人員離崗(G3)本項(xiàng)要求包括: a)應(yīng)嚴(yán)格規(guī)范人員離崗過程,及時終止離崗員工的所有訪問權(quán)限。b)應(yīng)取回各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)提供的軟硬件設(shè)備。c)應(yīng)辦理嚴(yán)格的調(diào)離手續(xù),關(guān)鍵崗位人員離崗須承諾調(diào)離后的保密義務(wù)后方可離開。 人員考核(G3)本項(xiàng)要求包括: a)應(yīng)定期對各個崗位的人員進(jìn)行安全技能及安全認(rèn)知的考核。b)應(yīng)對關(guān)鍵崗位的人員進(jìn)行全面、嚴(yán)格的安全審查和技能考核。c)應(yīng)對考核結(jié)果進(jìn)行記錄并保存。 安全意識教育和培訓(xùn)(G3)本項(xiàng)要求包括: a)應(yīng)對各類人員進(jìn)行安全意識教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)。b)應(yīng)對安全責(zé)任和懲戒措施進(jìn)行書面規(guī)定并告知相關(guān)人員,對違反違背安全策略和規(guī)定的人員進(jìn)行懲戒。c)應(yīng)對定期安全教育和培訓(xùn)進(jìn)行書面規(guī)定,針對不同崗位制定不同的培訓(xùn)計劃,對信息安全基礎(chǔ)知識、崗位操作規(guī)程等進(jìn)行培訓(xùn)。d)應(yīng)對安全教育和培訓(xùn)的情況和結(jié)果進(jìn)行記錄并歸檔保存。 外部人員訪問管理(G3)本項(xiàng)要求包括: a)應(yīng)確保在外部人員訪問受控區(qū)域前先提出書面申請, ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺b)應(yīng)確保密碼產(chǎn)品采購和使用符合國家密碼主管部門的要求。c)應(yīng)指定或授權(quán)專門的部門負(fù)責(zé)產(chǎn)品的采購。d)應(yīng)預(yù)先對產(chǎn)品進(jìn)行選型測試,確定產(chǎn)品的候選范圍,并定期審定和更新候選產(chǎn)品名單。 自行軟件開發(fā)(G3)本項(xiàng)要求包括: a)應(yīng)確保開發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理分開,開發(fā)人員和測試人員分離,測試數(shù)據(jù)和測試結(jié)果受到控制。b)應(yīng)制定軟件開發(fā)管理制度,明確說明開發(fā)過程的控制方法和人員行為準(zhǔn)則。c)應(yīng)制定代碼編寫安全規(guī)范,要求開發(fā)人員參照規(guī)范編寫代碼。d)應(yīng)確保提供軟件設(shè)計的相關(guān)文檔和使用指南,并由專人負(fù)責(zé)保管。e)應(yīng)確保對程序資源庫的修改、更新、發(fā)布進(jìn)行授權(quán)和批準(zhǔn)。 外包軟件開發(fā)(G3)本項(xiàng)要求包括: a)應(yīng)根據(jù)開發(fā)需求檢測軟件質(zhì)量。b)應(yīng)在軟件安裝之前檢測軟件包中可能存在的惡意代碼。c)應(yīng)要求開發(fā)單位提供軟件設(shè)計的相關(guān)文檔和使用指南。d)應(yīng)要求開發(fā)單位提供軟件源代碼,并審查軟件中可能存在的后門。 工程實(shí)施(G3)本項(xiàng)要求包括: a)應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)工程實(shí)施過程的管理。b)應(yīng)制定詳細(xì)的工程實(shí)施方案控制實(shí)施過程,并要求工程實(shí)施單位能正式地執(zhí)行安全工程過程。c)應(yīng)制定工程實(shí)施方面的管理制度,明確說明實(shí)施過程的控制方法和人員行為準(zhǔn)則。 測試驗(yàn)收(G3) ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺a)在系統(tǒng)運(yùn)行過程中,應(yīng)至少每年對系統(tǒng)進(jìn)行一次等級測評,發(fā)現(xiàn)不符合相應(yīng)等級保護(hù)標(biāo)準(zhǔn)要求的及時整改。b)應(yīng)在系統(tǒng)發(fā)生變更時及時對系統(tǒng)進(jìn)行等級測評,發(fā)現(xiàn)級別發(fā)生變化的及時調(diào)整級別并進(jìn)行安全改造,發(fā)現(xiàn)不符合相應(yīng)等級保護(hù)標(biāo)準(zhǔn)要求的及時整改。c)應(yīng)選擇具有國家相關(guān)技術(shù)資質(zhì)和安全資質(zhì)的測評單位進(jìn)行等級測評。d)應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)等級測評的管理。 安全服務(wù)商選擇(G3)本項(xiàng)要求包括: a)應(yīng)確保安全服務(wù)商的選擇符合國家的有關(guān)規(guī)定。b)應(yīng)與選定的安全服務(wù)商簽訂與安全相關(guān)的協(xié)議,明確約定相關(guān)責(zé)任。c)應(yīng)確保選定的安全服務(wù)商提供技術(shù)培訓(xùn)和服務(wù)承諾,必要的與其簽訂服務(wù)合同。 系統(tǒng)運(yùn)維管理 環(huán)境管理(G3)本項(xiàng)要求包括: a)應(yīng)指定專門的部門或人員定期對機(jī)房供配電、空調(diào)、溫濕度控制等設(shè)施進(jìn)行維護(hù)管理。b)應(yīng)指定部門負(fù)責(zé)機(jī)房安全,并配備機(jī)房安全管理人員,對機(jī)房的出入、服務(wù)器的開機(jī)或關(guān)機(jī)等工作進(jìn)行管理。c)應(yīng)建立機(jī)房安全管理制度,對有關(guān)機(jī)房物理訪問,物品帶進(jìn)、帶出機(jī)房和機(jī)房環(huán)境安全等方面的管理做出規(guī)定。d)應(yīng)加強(qiáng)對辦公環(huán)境的保密性管理,規(guī)范辦公環(huán)境人員行為,包括工作人員調(diào)離辦公室應(yīng)立即交還該辦公室鑰匙、不在辦公區(qū)接待來訪人員、工作人員離開座位應(yīng)確保終端計算機(jī)退出登錄狀態(tài)和桌面上沒有包含敏感信息的紙檔文件等。 資產(chǎn)管理(G3)本項(xiàng)要求包括: a)應(yīng)編制并保存與信息系統(tǒng)相關(guān)的資產(chǎn)清單,包括資產(chǎn)責(zé)任部門、重要程度和所處位置等內(nèi)容。 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺d)應(yīng)對終端計算機(jī)、工作站、便攜機(jī)、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進(jìn)行規(guī)范化管理,按操作規(guī)程實(shí)現(xiàn)主要設(shè)備(包括備份和冗余設(shè)備)的啟動/停止、加電/斷電等操作。e)應(yīng)確保信息處理設(shè)備必須經(jīng)過審批才能帶離機(jī)房或辦公地點(diǎn)。 監(jiān)控管理和安全管理中心(G3)本項(xiàng)要求包括: a)應(yīng)對通信線路、主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行監(jiān)測和報警,形成記錄并妥善保存。b)應(yīng)組織相關(guān)人員定期對監(jiān)測和報警記錄進(jìn)行分析、評審,發(fā)現(xiàn)可疑行為,形成分析報告,并采取必要的應(yīng)對措施。c)應(yīng)建立安全管理中心,對設(shè)備狀態(tài)、惡意代碼、補(bǔ)丁升級、安全審計等安全相關(guān)事項(xiàng)進(jìn)行集中管理。 網(wǎng)絡(luò)安全管理(G3)本項(xiàng)要求包括: a)應(yīng)指定專人對網(wǎng)絡(luò)進(jìn)行管理,負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報警信息分析和處理工作。b)應(yīng)建立網(wǎng)絡(luò)安全管理制度,對網(wǎng)絡(luò)安全配置、日志保存時間、安全策略、升級與打補(bǔ)丁、口令更新周期等方面作出規(guī)定。c)應(yīng)根據(jù)廠家提供的軟件升級版本對網(wǎng)絡(luò)設(shè)備進(jìn)行更新,并在更新前對現(xiàn)有的重要文件進(jìn)行備份。d)應(yīng)定期對網(wǎng)絡(luò)系統(tǒng)進(jìn)行漏洞掃描,對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)行及時的修補(bǔ)。e)應(yīng)實(shí)現(xiàn)設(shè)備的最小服務(wù)配置,并對配置文件進(jìn)行定期離線備份。f)應(yīng)保證所有與外部系統(tǒng)的連接均得到授權(quán)和批準(zhǔn)。g)應(yīng)依據(jù)安全策略允許或者拒絕便攜式和移動式設(shè)備的網(wǎng)絡(luò)接入。h)應(yīng)定期檢查違反規(guī)定撥號上網(wǎng)或其他違反網(wǎng)絡(luò)安全策略的行為。 系統(tǒng)安全管理(G3)本項(xiàng)要求包括: ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺案經(jīng)過評審、審批后方可實(shí)施變更,并在實(shí)施后將變更情況向相關(guān)人員通告。c)應(yīng)建立變更控制的申報和審批文件化程序,對變更影響進(jìn)行分析并文檔化,記錄變更實(shí)施過程,并妥善保存所有文檔和記錄。d)應(yīng)建立中止變更并從失敗變更中恢復(fù)的文件化程序,明確過程控制方法和人員職責(zé),必要時對恢復(fù)過程進(jìn)行演練。 備份與恢復(fù)管理(G3)本項(xiàng)要求包括: a)應(yīng)識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等。b)應(yīng)建立備份與恢復(fù)管理相關(guān)的安全管理制度,對備份信息的備份方式、備份頻度、存儲介質(zhì)和保存期等進(jìn)行規(guī)范。c)應(yīng)根據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對系統(tǒng)運(yùn)行的影響,制定數(shù)據(jù)的備份策略和恢復(fù)策略,備份策略須指明備份數(shù)據(jù)的放置場所、文件命名規(guī)則、介質(zhì)替換頻率和將數(shù)據(jù)離站運(yùn)輸?shù)姆椒?。d)應(yīng)建立控制數(shù)據(jù)備份和恢復(fù)過程的程序,對備份過程進(jìn)行記錄,所有文件和記錄應(yīng)妥善保存。e)應(yīng)定期執(zhí)行恢復(fù)程序,檢查和測試備份介質(zhì)的有效性,確?？梢栽诨謴?fù)程序規(guī)定的時間內(nèi)完成備份的恢復(fù)。 安全事件處置(G3)本項(xiàng)要求包括: a)應(yīng)報告所發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件,但任何情況下用戶均不應(yīng)嘗試驗(yàn)