xx信息系統(tǒng)安全防護(hù)方案-資料下載頁
2024-10-26 10:52本頁面
【正文】 限度。根據(jù)用戶的工作需求，在滿足其工作需求范圍內(nèi)，修改用戶權(quán)限，并設(shè)置資源使用范圍。 安全審計(jì) 遵從 ? 審計(jì)范圍覆蓋到服務(wù)器和重要客戶端上的 每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶 ； ? 審計(jì)內(nèi)容包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件 ； ? 審計(jì)記錄包括事件的日期、時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果等 ； ? 保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等 。 數(shù)據(jù)備份 遵從 ? 對(duì)操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)的數(shù)據(jù)進(jìn)行備份，在操作環(huán)境發(fā)生變更時(shí)進(jìn)行備份恢復(fù)測(cè)試。 安全加固 遵從 ? 在應(yīng)用系統(tǒng)上線前和重大變更時(shí)進(jìn)行安全加固。 ? 采用漏洞掃描工具定期或重大變更時(shí)對(duì)系統(tǒng)進(jìn)行安全掃描，并對(duì)于掃描的漏洞及時(shí)進(jìn)行處理。 數(shù)據(jù)庫(kù)系統(tǒng)安 全 安全要求 是否遵從 /不涉及 實(shí)現(xiàn)方式及措施 身份認(rèn)證 遵從 使用用戶名 /口令實(shí)現(xiàn) 16 訪問控制 遵從 ? 采用數(shù)據(jù)庫(kù)系統(tǒng)賬號(hào)唯一性機(jī)制對(duì)登錄數(shù)據(jù)庫(kù)的用戶身份進(jìn)行身份識(shí)別和鑒別； ? 采用結(jié)束會(huì)話、限制非法登錄次數(shù)和非法登錄自動(dòng)退出等措施，限制同一用戶連續(xù)失敗登錄； ? 禁止特權(quán)賬號(hào)遠(yuǎn)程管理使用，日常操作中采用非特權(quán)用戶，僅在必要時(shí)切換特權(quán)賬號(hào)進(jìn)行操作； ? 設(shè)置不同特權(quán)用戶管理操作數(shù)據(jù)庫(kù)，實(shí)現(xiàn)權(quán)限分離； ? 限定各類服務(wù)內(nèi)置默認(rèn)賬號(hào)的訪問權(quán)限，禁用業(yè)務(wù)非必需賬號(hào)； ? 禁止系統(tǒng)默認(rèn)賬號(hào)使用默認(rèn)口令，定期刪除無用的過期賬號(hào)。 漏洞掃描 遵從 ? 采用漏洞掃描工具定期或重大變更時(shí)對(duì)系統(tǒng)進(jìn)行安全掃描，并對(duì)于掃描的漏洞及時(shí)進(jìn)行處理，處理方式包括安裝補(bǔ)丁、配置網(wǎng)絡(luò)訪問控制策略和監(jiān)測(cè)黑客利用漏洞行為數(shù)據(jù)流； ? 選擇非業(yè)務(wù)高峰時(shí)段進(jìn)行掃描，并制定系統(tǒng)回退計(jì)劃； 安全審計(jì) 遵從 ? 采用數(shù)據(jù)庫(kù)內(nèi)部審計(jì)機(jī)制進(jìn)行數(shù)據(jù)庫(kù)審計(jì)。 更新補(bǔ)丁 遵從 ? 遵從公司統(tǒng)一要求開展數(shù)據(jù)庫(kù)補(bǔ)丁更新。 網(wǎng)絡(luò)安全 本系統(tǒng)運(yùn)行在公司信息內(nèi)網(wǎng)中，需借助公司統(tǒng)一的安全防護(hù)體系和措施。對(duì)于數(shù)據(jù)的接入，需遵循國(guó)網(wǎng)安全相關(guān)規(guī)范執(zhí)行。 網(wǎng)絡(luò)安全主要對(duì)網(wǎng)絡(luò)基礎(chǔ)互聯(lián)設(shè)施的安全防護(hù)，如提供網(wǎng)絡(luò)運(yùn) 營(yíng)支撐的路由器、交換機(jī)以及防火墻、安全網(wǎng)關(guān)、入侵檢測(cè)等安全設(shè)備自身的安全防護(hù)。 網(wǎng)絡(luò)設(shè)備安全 安全要求 是否遵從 /不涉及 實(shí)現(xiàn)方式及措施 設(shè)備安全管理 遵從 ? 本地或遠(yuǎn)程進(jìn)行設(shè)備管理必須進(jìn)行身份認(rèn)證；口令設(shè)置應(yīng)滿足復(fù)雜度要求，并定期修改密碼； ? 制定設(shè)備管理策略，包括限定管理 IP 地址、制定登錄超時(shí)及帳號(hào)鎖定策略； 17 安全要求 是否遵從 /不涉及 實(shí)現(xiàn)方式及措施 ? 采用較為安全的 SSH、 HTTPS 進(jìn)行遠(yuǎn)程管理。 設(shè)備鏈路冗余 遵從 ? 采用硬件雙機(jī)等方式保證關(guān)鍵網(wǎng)絡(luò)及安全設(shè)備、通信線路在發(fā)生故障或安全事件時(shí)的冗余可用。 網(wǎng)絡(luò) 設(shè)備處理能力保證 遵從 ? 絡(luò)帶寬滿足業(yè)務(wù)高峰期需要； ? 寬進(jìn)行監(jiān)測(cè)； ? 按照業(yè)務(wù)服務(wù)的重要次序來指定帶寬分配優(yōu)先級(jí)別，采用QoS或?qū)Ｓ昧髁空卧O(shè)備等手段保證在網(wǎng)絡(luò)發(fā)生擁堵的時(shí)候優(yōu)先保護(hù)重要業(yè)務(wù)信息流傳輸暢通。 漏洞掃描 遵從 ? ? ? 對(duì)掃描出的弱點(diǎn)及時(shí)進(jìn)行處理。 設(shè)備安全加固 遵從 ? 機(jī)構(gòu)提供的安全配置列表進(jìn)行網(wǎng)絡(luò)設(shè)備安全加固； ? 及時(shí)升級(jí)設(shè)備系統(tǒng)或安裝安全更新補(bǔ)丁。 配置文件備份 遵從 ? 定期或當(dāng)配置發(fā)生變更時(shí)進(jìn)行配置文件備份。 網(wǎng)絡(luò)通道安全 網(wǎng)絡(luò)通道類型 防護(hù)控制措施 光纖專線 ? 開啟網(wǎng)絡(luò)訪問控制措施。 終端安全 針對(duì)終端數(shù)據(jù)泄密風(fēng)險(xiǎn)及終端數(shù)據(jù)在傳輸過程中被篡改的風(fēng)險(xiǎn)，主要在辦公類終端使用方面上加強(qiáng)了相應(yīng)措施。 移動(dòng)作業(yè)終端 終端形態(tài) 應(yīng)用場(chǎng)景 安全要求 是否遵從 /不涉及 實(shí)現(xiàn)方式及措施 18 終端形態(tài) 應(yīng)用場(chǎng)景 安全要求 是否遵從 /不涉及 實(shí)現(xiàn)方式及措施 移動(dòng) PDA ? 設(shè)備安全； ? 選型需符合公司安全要求； ? 專用通道； ? 終端數(shù)據(jù)加密存儲(chǔ)、加密傳輸； ? 終端身份認(rèn)證； ? 安全加固。 不涉及 ? 禁止開展移動(dòng)辦公或具備移動(dòng)辦公特征的業(yè)務(wù) 不涉及 信息采集類終端 終端形態(tài) 應(yīng)用場(chǎng)景 安全要求 是否遵從/不涉及 實(shí)現(xiàn)方式及措施 輸變電狀態(tài)監(jiān)測(cè)裝置 ? 設(shè)備安全； ? 專用通道； ? 數(shù)據(jù)加密傳輸； ? 終端身份驗(yàn)證； ? 安全加固； 不涉及 供電電壓采集裝置 ? 設(shè)備安全； ? 專用通道； ? 數(shù)據(jù)加密傳輸； ? 終端身份驗(yàn)不涉及 ? 19 終端形態(tài) 應(yīng)用場(chǎng)景 安全要求 是否遵從/不涉及 實(shí)現(xiàn)方式及措施 證； 采集裝置 ? 設(shè)備安全； ? 專用通道； ? 數(shù)據(jù)加密傳輸； ? 終端身份驗(yàn)證； 不涉及 ? 充電樁或集中器 ? 設(shè) 備安全； ? 專用通道； ? 數(shù)據(jù)加密傳輸； ? 終端身份驗(yàn)證； 不涉及 ? 視頻采集終端 ? 設(shè)備安全； ? 專用通道； ? 數(shù)據(jù)加密傳輸； ? 終端身份驗(yàn)證； 不涉及 ? 辦公類終端 終端形態(tài) 安全控制要求 是否遵從/不涉及 變更或細(xì)化措施 信息內(nèi)網(wǎng)辦公計(jì)算機(jī) ? 參見《 信息系統(tǒng) 安全防護(hù)方案的通知》文件要求 遵從 ? 按照安全防護(hù)方案要求，接入信息內(nèi)網(wǎng)桌面終端分別劃分為一個(gè)獨(dú)立的桌面終端域，按照部門劃分在交換機(jī)上劃分必要的 VLAN，限制不同VLAN 之間的訪問； ? 對(duì)桌面終端操作系統(tǒng)進(jìn)行安全配置加固； ? 接入公司信息網(wǎng)絡(luò)的終端應(yīng) 部署公司統(tǒng)一配置的網(wǎng)絡(luò)版防病毒軟件 20 終端形態(tài) 安全控制要求 是否遵從/不涉及 變更或細(xì)化措施 并實(shí)行集中管理和升級(jí)，接入公司信息內(nèi)網(wǎng)的終端應(yīng)部署公司統(tǒng)一配置的桌面終端安全管理系統(tǒng)，對(duì)接入信息內(nèi)網(wǎng)的主機(jī)進(jìn)行網(wǎng)絡(luò)準(zhǔn)入、移動(dòng)存儲(chǔ)介質(zhì)安全管理、非法外聯(lián)監(jiān)控管理、文件安全管理等安全管理功能。 信息外網(wǎng)辦公計(jì)算機(jī) ? 參見《 信息系統(tǒng) 安全防護(hù)方案的通知》文件要求 不涉及 其他業(yè)務(wù)終端 不涉及
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1