【正文】 只允許必需的信息流通過網(wǎng)絡(luò)區(qū)段。本公司防火墻中要根據(jù)業(yè)務(wù)要求確定應(yīng)用的規(guī)則。（三）本公司管理的網(wǎng)絡(luò)訪問策略的任何更改都必須經(jīng)過相關(guān)部門負(fù)責(zé)人的批準(zhǔn)，并遵守《變更管理程序》。信息安全工作小組負(fù)責(zé)定期審核。第190條 網(wǎng)絡(luò)路由控制：（一）本公司路由采用基于源地址和目的地址的安全訪問控制，由人工輸入到本公司的路由設(shè)備。路由配置定期備份。 （二）本公司網(wǎng)絡(luò)路由的任何更改都必須遵守《變更管理程序》。. 操作系統(tǒng)訪問控制目標(biāo)：防止對操作系統(tǒng)未授權(quán)訪問。第191條 安全登錄程序：登錄到操作系統(tǒng)的程序應(yīng)設(shè)計(jì)成使未授權(quán)訪問的機(jī)會減到最小。因此，登錄程序應(yīng)泄露最少有關(guān)系統(tǒng)的信息，以避免給未授權(quán)用戶提供任何不必要的幫助。（一）不顯示系統(tǒng)或應(yīng)用標(biāo)識符，直到登錄過程已成功完成為止。（二）顯示只有已授權(quán)的用戶才能訪問計(jì)算機(jī)的一般性的告警通知。（三）在登錄過程中，不提供對未授權(quán)用戶有幫助作用的幫助消息。（四）僅在所有輸入數(shù)據(jù)完成時(shí)才驗(yàn)證登錄信息。如果出現(xiàn)差錯(cuò)情況，系統(tǒng)不應(yīng)指出數(shù)據(jù)的哪一部分是正確的或不正確的。（五）限制所允許的不成功登錄嘗試的次數(shù)（推薦3 次）并考慮：記錄不成功的嘗試和成功的嘗試；在允許進(jìn)一步登錄嘗試之前，強(qiáng)加一次延遲，或在沒有特定授權(quán)情況下拒絕任何進(jìn)一步的嘗試；斷開數(shù)據(jù)鏈路連接；如果達(dá)到登錄的最大嘗試次數(shù)，向系統(tǒng)控制臺發(fā)送警報(bào)消息；結(jié)合口令的最小長度和被保護(hù)系統(tǒng)的價(jià)值，設(shè)置口令重試的次數(shù)。（六）限制登錄程序所允許的最大和最小次數(shù)。如果超時(shí)，則系統(tǒng)應(yīng)終止登錄。（七）在成功登錄完成時(shí)，顯示下列信息：前一次成功登錄的日期和時(shí)間；上次成功登錄之后的任何不成功登錄嘗試的細(xì)節(jié)。（八）不顯示輸入的口令或考慮通過符號隱藏口令字符。（九）不在網(wǎng)絡(luò)上以明文傳輸口令。第192條 用戶標(biāo)識和鑒別：建立用戶命名策略：所有用戶應(yīng)有唯一的、專供其個(gè)人使用的標(biāo)識符（用戶ID），應(yīng)選擇一種適當(dāng)?shù)蔫b別技術(shù)證實(shí)用戶所宣稱的身份。并將這一控制策略應(yīng)用于所有類型的用戶（包括技術(shù)支持人員，操作員，網(wǎng)絡(luò)管理員、系統(tǒng)程序員和數(shù)據(jù)庫管理員）。應(yīng)使用用戶ID 來將各個(gè)活動追蹤到各個(gè)責(zé)任人。第193條 口令管理系統(tǒng)：本公司各個(gè)平臺上必須按照以下標(biāo)準(zhǔn)啟動控制系統(tǒng)的口令管理系統(tǒng)：（一）強(qiáng)制使用個(gè)人用戶ID 和口令，以保持可核查性；（二）允許用戶選擇和變更他們自己的口令；（三）強(qiáng)制選擇優(yōu)質(zhì)口令；（四）強(qiáng)制口令變更（至少半年1次）；（五）在第一次登錄時(shí)強(qiáng)制用戶變更臨時(shí)口令； （六）維護(hù)用戶以前使用的口令的記錄，并防止重復(fù)使用；（七）在輸入口令時(shí)，不在屏幕上顯示；（八）分開存儲口令文件和應(yīng)用系統(tǒng)數(shù)據(jù)；（九）以保護(hù)的形式（例如加密）存儲和傳輸口令。第194條 系統(tǒng)實(shí)用工具的使用：（一）系統(tǒng)實(shí)用工具程序僅控制限于「特權(quán)帳戶」使用；（二）將系統(tǒng)實(shí)用工具和應(yīng)用軟件分開；（三）限制系統(tǒng)實(shí)用工具的可用性，例如，在授權(quán)變更的時(shí)間內(nèi)；實(shí)用工具程序僅控制限于「特權(quán)帳戶」使用?！柑貦?quán)帳戶」例如：主機(jī)系統(tǒng)的管理員，Unix系統(tǒng)的root，Windows系統(tǒng)的 Adminisrator，數(shù)據(jù)庫軟件例如Oracle的 system，DBA，或者路由器、交換機(jī)的 “enable” 口令，都可以作改變配置、安裝軟件、不受一般系統(tǒng)安全的限制；系統(tǒng)實(shí)用工具程序應(yīng)安裝在單獨(dú)的地方，其訪問限制權(quán)與其它應(yīng)用程序區(qū)分開。第195條 會話超時(shí)：不活動會話應(yīng)在一個(gè)設(shè)定的休止期后關(guān)閉。第196條 聯(lián)機(jī)時(shí)間的限定：（一）應(yīng)使用聯(lián)機(jī)時(shí)間的限制，為高風(fēng)險(xiǎn)應(yīng)用程序提供額外的安全。（二）應(yīng)考慮對敏感的計(jì)算機(jī)應(yīng)用程序，特別是安裝在高風(fēng)險(xiǎn)位置的應(yīng)用程序，使用連機(jī)時(shí)間的控制措施。這種限制的示例包括：使用預(yù)先定義的時(shí)間間隔，如對批文件傳輸，或定期的短期交互會話；如果沒有超時(shí)或延時(shí)操作的要求，則將連機(jī)時(shí)間限于正常辦公時(shí)間；考慮定時(shí)進(jìn)行重新鑒別。. 應(yīng)用程序和信息訪問控制目標(biāo)：防止對應(yīng)用系統(tǒng)中信息的非法訪問。第197條 信息訪問限制：（一）凡訪問本公司內(nèi)部系統(tǒng)的請求都必須經(jīng)過相關(guān)部門負(fù)責(zé)人的批準(zhǔn)。用戶和支持人員對信息和應(yīng)用系統(tǒng)功能的訪問應(yīng)依照已確定的訪問控制策略加以限制。（二）對訪問的限制應(yīng)基于各個(gè)業(yè)務(wù)應(yīng)用要求。（三）使用以下控制措施：提供用于控制對應(yīng)用系統(tǒng)功能訪問的菜單；通過對文檔進(jìn)行適當(dāng)?shù)木庉媮硐拗朴脩袅私鉄o權(quán)訪問的信息或應(yīng)用系統(tǒng)功能；控制用戶的訪問權(quán)，如讀寫權(quán)限、刪除權(quán)限以及執(zhí)行權(quán)限；保證處理敏感信息的應(yīng)用系統(tǒng)輸出僅包含與輸出的使用相關(guān)的信息，而且只發(fā)送給授權(quán)終端和地點(diǎn)，包括對這些輸出進(jìn)行定期檢查，保證將多余的信息刪除掉。第198條 敏感系統(tǒng)隔離：敏感系統(tǒng)應(yīng)有專用的（隔離的）運(yùn)算環(huán)境。應(yīng)運(yùn)行在專用的計(jì)算機(jī)上，僅與可信的應(yīng)用系統(tǒng)共享資源。隔離可通過使用物理或邏輯手段實(shí)現(xiàn)。. 移動計(jì)算和遠(yuǎn)程工作目標(biāo)：確保在使用移動計(jì)算機(jī)和遠(yuǎn)程工作設(shè)施時(shí)的安全。第199條 移動計(jì)算：本公司用的移動計(jì)算設(shè)備(包括筆記本電腦和PDA)必須嚴(yán)格受控，包括：（一）使用移動計(jì)算設(shè)備必須經(jīng)過本公司相關(guān)負(fù)責(zé)人的批準(zhǔn)。 （二）公用移動計(jì)算設(shè)備中貯存的數(shù)據(jù)應(yīng)作為臨時(shí)資料處理，用后要?jiǎng)h除。（三）個(gè)人使用的移動計(jì)算設(shè)備必須設(shè)置硬件口令、OS級別口令或屏幕保護(hù)程序口令。 （四）移動計(jì)算設(shè)備的保管必須保證實(shí)體安全，不得無人看守。安裝最新的防病毒軟件。第200條 遠(yuǎn)程工作：（一）本公司使用遠(yuǎn)程登錄設(shè)施與授權(quán)方或支持本公司的業(yè)務(wù)合作伙伴進(jìn)行遠(yuǎn)程工作。這些遠(yuǎn)程登錄設(shè)施僅在緊急情況或檢測時(shí)使用。 （二）如本公司員工需要遠(yuǎn)程訪問內(nèi)部系統(tǒng)，則需保護(hù)家里的個(gè)人計(jì)算機(jī)免受病毒感染或黑客攻擊。否則應(yīng)當(dāng)使用本公司配發(fā)的筆記本電腦并遵守《系統(tǒng)遠(yuǎn)程接入管理規(guī)定》中的控制措施。10. 信息系統(tǒng)的獲取、開發(fā)和維護(hù)安全. 信息系統(tǒng)的安全要求目標(biāo)：確保安全成為信息系統(tǒng)的一部分。第201條 對自主開發(fā)的信息系統(tǒng)或?qū)ΜF(xiàn)有系統(tǒng)的更新，在分析階段應(yīng)當(dāng)規(guī)定對安全控制的要求。. 應(yīng)用系統(tǒng)的正確處理目標(biāo)：防止應(yīng)用系統(tǒng)信息的錯(cuò)誤、丟失、未授權(quán)的修改或誤用。第202條 應(yīng)用系統(tǒng)設(shè)計(jì)時(shí)應(yīng)當(dāng)針對數(shù)據(jù)安全進(jìn)行以下方面的考慮：216。 輸入數(shù)據(jù)驗(yàn)證：對應(yīng)用系統(tǒng)的數(shù)據(jù)輸入進(jìn)行驗(yàn)證，保證輸入數(shù)據(jù)正確并合乎要求。216。 數(shù)據(jù)的容錯(cuò)處理：為防止正確的數(shù)據(jù)因處理錯(cuò)誤或故意人為等因素遭到破壞而采取的檢查和控制措施。216。 輸出數(shù)據(jù)驗(yàn)證：對應(yīng)用系統(tǒng)輸出的數(shù)據(jù)進(jìn)行驗(yàn)證，保證對存儲信息的正確處理。216。 消息驗(yàn)證：檢查傳輸?shù)碾娮酉?nèi)容是否有非法變更或破壞的技術(shù)手段。可以用加密技術(shù)作為實(shí)現(xiàn)消息驗(yàn)證的手段。216。 加密：是用于保護(hù)信息機(jī)密性的技術(shù)。在保護(hù)敏感或關(guān)鍵信息時(shí)使用。第203條 周期性評審關(guān)鍵信息和數(shù)據(jù)的內(nèi)容，以保證其有效性和完整性。. 加密控制目標(biāo)：通過加密手段來保護(hù)信息的保密性、真實(shí)性和完整性第204條 在Sinosoft組織內(nèi)實(shí)施加密控制的策略，可以考慮使用密碼技術(shù)以實(shí)現(xiàn)：216。 保密性：通過信息加密保護(hù)存儲和傳輸中的敏感和重要數(shù)據(jù)。216。 完整性/可認(rèn)證性：驗(yàn)證碼去保護(hù)存儲的和傳輸中的敏感和重要數(shù)據(jù)的可認(rèn)證性和完整性。216。 不可否認(rèn)性：利用密碼技術(shù)獲得事件和行為發(fā)生或未發(fā)生的證明。. 系統(tǒng)文件安全目標(biāo)：確保系統(tǒng)文件的安全第205條 應(yīng)當(dāng)僅由管理員才可以進(jìn)行操作系統(tǒng)、軟件、應(yīng)用和運(yùn)行程序庫的更新，生產(chǎn)系統(tǒng)不得安裝無關(guān)軟件。第206條 應(yīng)當(dāng)盡量避免應(yīng)用系統(tǒng)對操作系統(tǒng)的直接調(diào)用，最大限度降低操作系統(tǒng)崩潰的風(fēng)險(xiǎn)。第207條 重要的應(yīng)用和操作系統(tǒng)軟件只有在全面正確的測試通過后才可安裝，測試包括實(shí)用性、安全性、在其它系統(tǒng)上的有效性、用戶友好性等，測試應(yīng)在獨(dú)立的系統(tǒng)上完成，必須確保對應(yīng)的程序庫已經(jīng)更新。第208條 重要軟件和應(yīng)用升級后，包括需要的信息、參數(shù)、升級過程日志、配置細(xì)節(jié)等都要?dú)w檔，配套的數(shù)據(jù)和文件也應(yīng)歸檔。第209條 所有應(yīng)用必須編寫應(yīng)用配置手冊，應(yīng)用配置手冊必須隨著操作系統(tǒng)軟件或應(yīng)用配置的改變而及時(shí)更新。第210條 測試過程中應(yīng)當(dāng)避免使用敏感信息，測試完成后應(yīng)當(dāng)及時(shí)清除。第211條 訪問程序源代碼的行為應(yīng)受到限制，更新關(guān)鍵應(yīng)用系統(tǒng)必須按照《變更管理規(guī)定》得到授權(quán)。若有可能，在運(yùn)行環(huán)境中不應(yīng)保留程序源代碼庫。. 開發(fā)和支持過程安全目標(biāo)：保持應(yīng)用系統(tǒng)軟件和信息的安全第212條 維護(hù)并執(zhí)行《變更管理規(guī)定》，該流程應(yīng)當(dāng)包括提交申請、調(diào)研和評估、審批、實(shí)施、總結(jié)和備案。第213條 必須分開生產(chǎn)環(huán)境和非生產(chǎn)環(huán)境，非生產(chǎn)環(huán)境包括開發(fā)、測試和培訓(xùn)所用的環(huán)境。應(yīng)用開發(fā)人員不允許訪問生產(chǎn)環(huán)境，除非在有安全評測手段的前提下，應(yīng)用開發(fā)人員可以暫時(shí)獲得生產(chǎn)環(huán)境下的用戶名和口令以用于系統(tǒng)支持，必須保證在系統(tǒng)支持完成之后立即修改口令。第214條 當(dāng)操作系統(tǒng)變更后，應(yīng)評審和測試關(guān)鍵的應(yīng)用系統(tǒng)，以確定此變更對運(yùn)營和安全帶來的影響。第215條 只能從可信的渠道（如廠商指定的網(wǎng)站）獲取軟件的更新程序，重要變更必須進(jìn)行記錄。變更后，運(yùn)維人員應(yīng)當(dāng)監(jiān)控變更帶來的影響。其中安全補(bǔ)丁的規(guī)定詳見《補(bǔ)丁管理規(guī)定》。第216條 可以采取安全手段監(jiān)視系統(tǒng)、通信和個(gè)人行為，以減小信息泄露的可能。. 技術(shù)漏洞管理目標(biāo)：減少利用公開的技術(shù)漏洞帶來的風(fēng)險(xiǎn)。第217條 應(yīng)當(dāng)確認(rèn)軟件和其它技術(shù)的相關(guān)漏洞，指定專人進(jìn)行安全補(bǔ)丁管理工作，包括補(bǔ)丁公告、補(bǔ)丁評估和補(bǔ)丁列表的維護(hù)工作。詳細(xì)規(guī)定參見《補(bǔ)丁管理規(guī)定》。第218條 如果沒有合適的補(bǔ)丁，應(yīng)當(dāng)實(shí)施其它措施，如：216。 關(guān)掉可能利用漏洞造成損害的服務(wù)和端口216。 在網(wǎng)絡(luò)邊界上增加隔離和訪問控制，如防火墻216。 在網(wǎng)絡(luò)中部署入侵檢測系統(tǒng)216。 增強(qiáng)對該漏洞的監(jiān)控11. 信息安全事故處理. 報(bào)告信息安全事故和弱點(diǎn)目標(biāo)：確保與信息系統(tǒng)有關(guān)的安全事件和弱點(diǎn)的報(bào)告，以便及時(shí)采取糾正措施。第219條 維護(hù)并執(zhí)行《信息安全事件管理程序》，培訓(xùn)并要求Sinosoft機(jī)關(guān)所有員工、基層單位和第三方都有責(zé)任盡快報(bào)告信息安全事件。第220條 信息安全事件發(fā)生后，報(bào)告人應(yīng)立即將事件的重要細(xì)節(jié)（如事件描述、屏幕上顯示的消息、造成的后果、其它異常情況等）向信息中心報(bào)告。第221條 Sinosoft機(jī)關(guān)所有員工、基層單位和第三方有責(zé)任注意并報(bào)告系統(tǒng)或服務(wù)中已發(fā)現(xiàn)或疑似的安全漏洞，但不能擅自處理和散播。. 信息安全事故管理和改進(jìn)目標(biāo)：確保使用可追蹤的，有效的方法管理信息安全事故。第222條 應(yīng)當(dāng)建立包括事件報(bào)告、分類、責(zé)任分工、響應(yīng)方法、記錄和總結(jié)、恢復(fù)計(jì)劃等在內(nèi)的信息安全事故管理機(jī)制。詳細(xì)規(guī)定參見《信息安全事件管理程序》。第223條 應(yīng)通過信息安全事故的評估和總結(jié)以識別將來可能再次發(fā)生的事故，特別是可能造成重大影響的事故，盡量減小同種事故帶來的損失。第224條 從事件被檢測到至處理完成全過程的記錄和證據(jù)（包括紙制文檔和電子信息）都應(yīng)進(jìn)行保留。12. 業(yè)務(wù)連續(xù)性管理. 業(yè)務(wù)連續(xù)性管理中的信息安全目標(biāo)：防止業(yè)務(wù)活動中斷，保證重要業(yè)務(wù)流程不受重大故障和災(zāi)難的影響，并確保它們的及時(shí)恢復(fù)。第225條 參考《業(yè)務(wù)持續(xù)性管理程序》制訂并實(shí)施業(yè)務(wù)連續(xù)性計(jì)劃，預(yù)防和恢復(fù)控制相結(jié)合，將災(zāi)難和安全故障（可能是由于自然災(zāi)害、事故、設(shè)備故障和蓄意破壞等引起）造成的影響降低到可以接受的水平，限制破壞性事件造成的后果，確保關(guān)鍵業(yè)務(wù)的操作得到及時(shí)恢復(fù)。業(yè)務(wù)連續(xù)性計(jì)劃制定后必須得到安全領(lǐng)導(dǎo)小組的批準(zhǔn)。第226條 業(yè)務(wù)持續(xù)性計(jì)劃的內(nèi)容至少應(yīng)當(dāng)包括：216。 確定關(guān)鍵業(yè)務(wù)流程和其所涉及資產(chǎn)，明確信息處理設(shè)施的業(yè)務(wù)目標(biāo)。216。 識別可能導(dǎo)致業(yè)務(wù)中斷的重大事故，評估此類重大事故發(fā)生的可能性及造成業(yè)務(wù)中斷給Sinosoft造成的影響，確定關(guān)鍵業(yè)務(wù)流程的優(yōu)先級。216。 必要時(shí)可以適當(dāng)考慮購買保險(xiǎn)，以降低重大災(zāi)難引起的損失。216。 定期對計(jì)劃和相關(guān)操作流程進(jìn)行檢查、演練和更新。216。 明確人員職責(zé)，業(yè)務(wù)連續(xù)性管理過程的職責(zé)應(yīng)分配給Sinosoft安委會。216。 保護(hù)人員、信息處理設(shè)備和機(jī)構(gòu)財(cái)產(chǎn)的安全。216。 業(yè)務(wù)恢復(fù)的優(yōu)先級，應(yīng)當(dāng)考慮可容忍的業(yè)務(wù)中斷時(shí)間和業(yè)務(wù)恢復(fù)到中斷前的哪個(gè)時(shí)間點(diǎn)，要特別注意對有關(guān)外部業(yè)務(wù)和合同的評估。216。 滿足業(yè)務(wù)連續(xù)性計(jì)劃所需的資源和服務(wù)，包括人員、非信息處理資源以及信息處理設(shè)施的低效運(yùn)行安排。216。 業(yè)務(wù)流程的備案216。 對員工進(jìn)行適當(dāng)?shù)臉I(yè)務(wù)連續(xù)性計(jì)劃的培訓(xùn)216。 通過演練（或突發(fā)事件發(fā)生）的實(shí)際情況，對計(jì)劃進(jìn)行修正，保證其有效性和可操作性。第227條 Sinosoft應(yīng)當(dāng)維護(hù)一個(gè)全局性的業(yè)務(wù)持續(xù)性計(jì)劃框架，以確保所有計(jì)劃的一致性。業(yè)務(wù)連續(xù)性計(jì)劃框架應(yīng)該考慮以下內(nèi)容：216。 計(jì)劃的啟動條件。在計(jì)劃執(zhí)行前說明要采用的程序（包括如何評估、參與人員等）。216。 應(yīng)急程序。說明在發(fā)生危及業(yè)務(wù)操作和/或生命的事故后要采取的措施。216。 低效運(yùn)行程序。說明應(yīng)該采取哪些措施，以將重要業(yè)務(wù)活動或支持服務(wù)轉(zhuǎn)移到其它臨時(shí)地點(diǎn)并在規(guī)定時(shí)間內(nèi)恢復(fù)業(yè)務(wù)流程。216。 恢復(fù)程序。說明應(yīng)該采取哪些措施，以恢復(fù)正常業(yè)務(wù)運(yùn)作。216。 說明若恢復(fù)未完成時(shí)應(yīng)遵循的臨時(shí)操作規(guī)程。216。 說明計(jì)劃檢查方式和時(shí)間的維護(hù)計(jì)劃以及計(jì)劃維護(hù)程序。216。 在Sinosoft組織內(nèi)開展業(yè)務(wù)連續(xù)性的教育培訓(xùn)活動。216。 明確個(gè)人責(zé)任。說明由誰負(fù)責(zé)執(zhí)行哪一部分計(jì)劃。根據(jù)要求可以指定備選方案。第228條 必須定期測試并更新業(yè)務(wù)持續(xù)性計(jì)劃，可以通過以下方法：216。 通過會議，可以使用類似案例討論業(yè)務(wù)恢復(fù)方面的安排。216。 通過模擬事故發(fā)生的情況，重點(diǎn)培訓(xùn)對負(fù)責(zé)事故/危機(jī)發(fā)生后管理的人員。216。 通過測試確保技術(shù)上信息系統(tǒng)可以有效地恢復(fù)。216。 在備用場地進(jìn)行測試（繼續(xù)業(yè)務(wù)流程的同時(shí)在主場地外執(zhí)行恢復(fù)操作）。216。 供應(yīng)商提供的設(shè)施和服務(wù)的檢查（確保外部提供的服務(wù)和產(chǎn)品符合合同中的規(guī)定）。216。 全面演習(xí)（檢查組織、人員、設(shè)備、設(shè)施和程序是否