【正文】 只允許必需的信息流通過網(wǎng)絡(luò)區(qū)段。本公司防火墻中要根據(jù)業(yè)務(wù)要求確定應(yīng)用的規(guī)則。（三）本公司管理的網(wǎng)絡(luò)訪問策略的任何更改都必須經(jīng)過相關(guān)部門負責人的批準，并遵守《變更管理程序》。信息安全工作小組負責定期審核。第190條 網(wǎng)絡(luò)路由控制：（一）本公司路由采用基于源地址和目的地址的安全訪問控制，由人工輸入到本公司的路由設(shè)備。路由配置定期備份。 （二）本公司網(wǎng)絡(luò)路由的任何更改都必須遵守《變更管理程序》。. 操作系統(tǒng)訪問控制目標：防止對操作系統(tǒng)未授權(quán)訪問。第191條 安全登錄程序：登錄到操作系統(tǒng)的程序應(yīng)設(shè)計成使未授權(quán)訪問的機會減到最小。因此，登錄程序應(yīng)泄露最少有關(guān)系統(tǒng)的信息，以避免給未授權(quán)用戶提供任何不必要的幫助。（一）不顯示系統(tǒng)或應(yīng)用標識符，直到登錄過程已成功完成為止。（二）顯示只有已授權(quán)的用戶才能訪問計算機的一般性的告警通知。（三）在登錄過程中，不提供對未授權(quán)用戶有幫助作用的幫助消息。（四）僅在所有輸入數(shù)據(jù)完成時才驗證登錄信息。如果出現(xiàn)差錯情況，系統(tǒng)不應(yīng)指出數(shù)據(jù)的哪一部分是正確的或不正確的。（五）限制所允許的不成功登錄嘗試的次數(shù)（推薦3 次）并考慮：記錄不成功的嘗試和成功的嘗試；在允許進一步登錄嘗試之前，強加一次延遲，或在沒有特定授權(quán)情況下拒絕任何進一步的嘗試；斷開數(shù)據(jù)鏈路連接；如果達到登錄的最大嘗試次數(shù)，向系統(tǒng)控制臺發(fā)送警報消息；結(jié)合口令的最小長度和被保護系統(tǒng)的價值，設(shè)置口令重試的次數(shù)。（六）限制登錄程序所允許的最大和最小次數(shù)。如果超時，則系統(tǒng)應(yīng)終止登錄。（七）在成功登錄完成時，顯示下列信息：前一次成功登錄的日期和時間；上次成功登錄之后的任何不成功登錄嘗試的細節(jié)。（八）不顯示輸入的口令或考慮通過符號隱藏口令字符。（九）不在網(wǎng)絡(luò)上以明文傳輸口令。第192條 用戶標識和鑒別：建立用戶命名策略：所有用戶應(yīng)有唯一的、專供其個人使用的標識符（用戶ID），應(yīng)選擇一種適當?shù)蔫b別技術(shù)證實用戶所宣稱的身份。并將這一控制策略應(yīng)用于所有類型的用戶（包括技術(shù)支持人員，操作員，網(wǎng)絡(luò)管理員、系統(tǒng)程序員和數(shù)據(jù)庫管理員）。應(yīng)使用用戶ID 來將各個活動追蹤到各個責任人。第193條 口令管理系統(tǒng)：本公司各個平臺上必須按照以下標準啟動控制系統(tǒng)的口令管理系統(tǒng)：（一）強制使用個人用戶ID 和口令，以保持可核查性；（二）允許用戶選擇和變更他們自己的口令；（三）強制選擇優(yōu)質(zhì)口令；（四）強制口令變更（至少半年1次）；（五）在第一次登錄時強制用戶變更臨時口令； （六）維護用戶以前使用的口令的記錄，并防止重復(fù)使用；（七）在輸入口令時，不在屏幕上顯示；（八）分開存儲口令文件和應(yīng)用系統(tǒng)數(shù)據(jù)；（九）以保護的形式（例如加密）存儲和傳輸口令。第194條 系統(tǒng)實用工具的使用：（一）系統(tǒng)實用工具程序僅控制限于「特權(quán)帳戶」使用；（二）將系統(tǒng)實用工具和應(yīng)用軟件分開；（三）限制系統(tǒng)實用工具的可用性，例如，在授權(quán)變更的時間內(nèi)；實用工具程序僅控制限于「特權(quán)帳戶」使用?！柑貦?quán)帳戶」例如：主機系統(tǒng)的管理員，Unix系統(tǒng)的root，Windows系統(tǒng)的 Adminisrator，數(shù)據(jù)庫軟件例如Oracle的 system，DBA，或者路由器、交換機的 “enable” 口令，都可以作改變配置、安裝軟件、不受一般系統(tǒng)安全的限制；系統(tǒng)實用工具程序應(yīng)安裝在單獨的地方，其訪問限制權(quán)與其它應(yīng)用程序區(qū)分開。第195條 會話超時：不活動會話應(yīng)在一個設(shè)定的休止期后關(guān)閉。第196條 聯(lián)機時間的限定：（一）應(yīng)使用聯(lián)機時間的限制，為高風險應(yīng)用程序提供額外的安全。（二）應(yīng)考慮對敏感的計算機應(yīng)用程序，特別是安裝在高風險位置的應(yīng)用程序，使用連機時間的控制措施。這種限制的示例包括：使用預(yù)先定義的時間間隔，如對批文件傳輸，或定期的短期交互會話；如果沒有超時或延時操作的要求，則將連機時間限于正常辦公時間；考慮定時進行重新鑒別。. 應(yīng)用程序和信息訪問控制目標：防止對應(yīng)用系統(tǒng)中信息的非法訪問。第197條 信息訪問限制：（一）凡訪問本公司內(nèi)部系統(tǒng)的請求都必須經(jīng)過相關(guān)部門負責人的批準。用戶和支持人員對信息和應(yīng)用系統(tǒng)功能的訪問應(yīng)依照已確定的訪問控制策略加以限制。（二）對訪問的限制應(yīng)基于各個業(yè)務(wù)應(yīng)用要求。（三）使用以下控制措施：提供用于控制對應(yīng)用系統(tǒng)功能訪問的菜單；通過對文檔進行適當?shù)木庉媮硐拗朴脩袅私鉄o權(quán)訪問的信息或應(yīng)用系統(tǒng)功能；控制用戶的訪問權(quán)，如讀寫權(quán)限、刪除權(quán)限以及執(zhí)行權(quán)限；保證處理敏感信息的應(yīng)用系統(tǒng)輸出僅包含與輸出的使用相關(guān)的信息，而且只發(fā)送給授權(quán)終端和地點，包括對這些輸出進行定期檢查，保證將多余的信息刪除掉。第198條 敏感系統(tǒng)隔離：敏感系統(tǒng)應(yīng)有專用的（隔離的）運算環(huán)境。應(yīng)運行在專用的計算機上，僅與可信的應(yīng)用系統(tǒng)共享資源。隔離可通過使用物理或邏輯手段實現(xiàn)。. 移動計算和遠程工作目標：確保在使用移動計算機和遠程工作設(shè)施時的安全。第199條 移動計算：本公司用的移動計算設(shè)備(包括筆記本電腦和PDA)必須嚴格受控，包括：（一）使用移動計算設(shè)備必須經(jīng)過本公司相關(guān)負責人的批準。 （二）公用移動計算設(shè)備中貯存的數(shù)據(jù)應(yīng)作為臨時資料處理，用后要刪除。（三）個人使用的移動計算設(shè)備必須設(shè)置硬件口令、OS級別口令或屏幕保護程序口令。 （四）移動計算設(shè)備的保管必須保證實體安全，不得無人看守。安裝最新的防病毒軟件。第200條 遠程工作：（一）本公司使用遠程登錄設(shè)施與授權(quán)方或支持本公司的業(yè)務(wù)合作伙伴進行遠程工作。這些遠程登錄設(shè)施僅在緊急情況或檢測時使用。 （二）如本公司員工需要遠程訪問內(nèi)部系統(tǒng)，則需保護家里的個人計算機免受病毒感染或黑客攻擊。否則應(yīng)當使用本公司配發(fā)的筆記本電腦并遵守《系統(tǒng)遠程接入管理規(guī)定》中的控制措施。10. 信息系統(tǒng)的獲取、開發(fā)和維護安全. 信息系統(tǒng)的安全要求目標：確保安全成為信息系統(tǒng)的一部分。第201條 對自主開發(fā)的信息系統(tǒng)或?qū)ΜF(xiàn)有系統(tǒng)的更新，在分析階段應(yīng)當規(guī)定對安全控制的要求。. 應(yīng)用系統(tǒng)的正確處理目標：防止應(yīng)用系統(tǒng)信息的錯誤、丟失、未授權(quán)的修改或誤用。第202條 應(yīng)用系統(tǒng)設(shè)計時應(yīng)當針對數(shù)據(jù)安全進行以下方面的考慮：216。 輸入數(shù)據(jù)驗證：對應(yīng)用系統(tǒng)的數(shù)據(jù)輸入進行驗證，保證輸入數(shù)據(jù)正確并合乎要求。216。 數(shù)據(jù)的容錯處理：為防止正確的數(shù)據(jù)因處理錯誤或故意人為等因素遭到破壞而采取的檢查和控制措施。216。 輸出數(shù)據(jù)驗證：對應(yīng)用系統(tǒng)輸出的數(shù)據(jù)進行驗證，保證對存儲信息的正確處理。216。 消息驗證：檢查傳輸?shù)碾娮酉?nèi)容是否有非法變更或破壞的技術(shù)手段?？梢杂眉用芗夹g(shù)作為實現(xiàn)消息驗證的手段。216。 加密：是用于保護信息機密性的技術(shù)。在保護敏感或關(guān)鍵信息時使用。第203條 周期性評審關(guān)鍵信息和數(shù)據(jù)的內(nèi)容，以保證其有效性和完整性。. 加密控制目標：通過加密手段來保護信息的保密性、真實性和完整性第204條 在Sinosoft組織內(nèi)實施加密控制的策略，可以考慮使用密碼技術(shù)以實現(xiàn)：216。 保密性：通過信息加密保護存儲和傳輸中的敏感和重要數(shù)據(jù)。216。 完整性/可認證性：驗證碼去保護存儲的和傳輸中的敏感和重要數(shù)據(jù)的可認證性和完整性。216。 不可否認性：利用密碼技術(shù)獲得事件和行為發(fā)生或未發(fā)生的證明。. 系統(tǒng)文件安全目標：確保系統(tǒng)文件的安全第205條 應(yīng)當僅由管理員才可以進行操作系統(tǒng)、軟件、應(yīng)用和運行程序庫的更新，生產(chǎn)系統(tǒng)不得安裝無關(guān)軟件。第206條 應(yīng)當盡量避免應(yīng)用系統(tǒng)對操作系統(tǒng)的直接調(diào)用，最大限度降低操作系統(tǒng)崩潰的風險。第207條 重要的應(yīng)用和操作系統(tǒng)軟件只有在全面正確的測試通過后才可安裝，測試包括實用性、安全性、在其它系統(tǒng)上的有效性、用戶友好性等，測試應(yīng)在獨立的系統(tǒng)上完成，必須確保對應(yīng)的程序庫已經(jīng)更新。第208條 重要軟件和應(yīng)用升級后，包括需要的信息、參數(shù)、升級過程日志、配置細節(jié)等都要歸檔，配套的數(shù)據(jù)和文件也應(yīng)歸檔。第209條 所有應(yīng)用必須編寫應(yīng)用配置手冊，應(yīng)用配置手冊必須隨著操作系統(tǒng)軟件或應(yīng)用配置的改變而及時更新。第210條 測試過程中應(yīng)當避免使用敏感信息，測試完成后應(yīng)當及時清除。第211條 訪問程序源代碼的行為應(yīng)受到限制，更新關(guān)鍵應(yīng)用系統(tǒng)必須按照《變更管理規(guī)定》得到授權(quán)。若有可能，在運行環(huán)境中不應(yīng)保留程序源代碼庫。. 開發(fā)和支持過程安全目標：保持應(yīng)用系統(tǒng)軟件和信息的安全第212條 維護并執(zhí)行《變更管理規(guī)定》，該流程應(yīng)當包括提交申請、調(diào)研和評估、審批、實施、總結(jié)和備案。第213條 必須分開生產(chǎn)環(huán)境和非生產(chǎn)環(huán)境，非生產(chǎn)環(huán)境包括開發(fā)、測試和培訓(xùn)所用的環(huán)境。應(yīng)用開發(fā)人員不允許訪問生產(chǎn)環(huán)境，除非在有安全評測手段的前提下，應(yīng)用開發(fā)人員可以暫時獲得生產(chǎn)環(huán)境下的用戶名和口令以用于系統(tǒng)支持，必須保證在系統(tǒng)支持完成之后立即修改口令。第214條 當操作系統(tǒng)變更后，應(yīng)評審和測試關(guān)鍵的應(yīng)用系統(tǒng)，以確定此變更對運營和安全帶來的影響。第215條 只能從可信的渠道（如廠商指定的網(wǎng)站）獲取軟件的更新程序，重要變更必須進行記錄。變更后，運維人員應(yīng)當監(jiān)控變更帶來的影響。其中安全補丁的規(guī)定詳見《補丁管理規(guī)定》。第216條 可以采取安全手段監(jiān)視系統(tǒng)、通信和個人行為，以減小信息泄露的可能。. 技術(shù)漏洞管理目標：減少利用公開的技術(shù)漏洞帶來的風險。第217條 應(yīng)當確認軟件和其它技術(shù)的相關(guān)漏洞，指定專人進行安全補丁管理工作，包括補丁公告、補丁評估和補丁列表的維護工作。詳細規(guī)定參見《補丁管理規(guī)定》。第218條 如果沒有合適的補丁，應(yīng)當實施其它措施，如：216。 關(guān)掉可能利用漏洞造成損害的服務(wù)和端口216。 在網(wǎng)絡(luò)邊界上增加隔離和訪問控制，如防火墻216。 在網(wǎng)絡(luò)中部署入侵檢測系統(tǒng)216。 增強對該漏洞的監(jiān)控11. 信息安全事故處理. 報告信息安全事故和弱點目標：確保與信息系統(tǒng)有關(guān)的安全事件和弱點的報告，以便及時采取糾正措施。第219條 維護并執(zhí)行《信息安全事件管理程序》，培訓(xùn)并要求Sinosoft機關(guān)所有員工、基層單位和第三方都有責任盡快報告信息安全事件。第220條 信息安全事件發(fā)生后，報告人應(yīng)立即將事件的重要細節(jié)（如事件描述、屏幕上顯示的消息、造成的后果、其它異常情況等）向信息中心報告。第221條 Sinosoft機關(guān)所有員工、基層單位和第三方有責任注意并報告系統(tǒng)或服務(wù)中已發(fā)現(xiàn)或疑似的安全漏洞，但不能擅自處理和散播。. 信息安全事故管理和改進目標：確保使用可追蹤的，有效的方法管理信息安全事故。第222條 應(yīng)當建立包括事件報告、分類、責任分工、響應(yīng)方法、記錄和總結(jié)、恢復(fù)計劃等在內(nèi)的信息安全事故管理機制。詳細規(guī)定參見《信息安全事件管理程序》。第223條 應(yīng)通過信息安全事故的評估和總結(jié)以識別將來可能再次發(fā)生的事故，特別是可能造成重大影響的事故，盡量減小同種事故帶來的損失。第224條 從事件被檢測到至處理完成全過程的記錄和證據(jù)（包括紙制文檔和電子信息）都應(yīng)進行保留。12. 業(yè)務(wù)連續(xù)性管理. 業(yè)務(wù)連續(xù)性管理中的信息安全目標：防止業(yè)務(wù)活動中斷，保證重要業(yè)務(wù)流程不受重大故障和災(zāi)難的影響，并確保它們的及時恢復(fù)。第225條 參考《業(yè)務(wù)持續(xù)性管理程序》制訂并實施業(yè)務(wù)連續(xù)性計劃，預(yù)防和恢復(fù)控制相結(jié)合，將災(zāi)難和安全故障（可能是由于自然災(zāi)害、事故、設(shè)備故障和蓄意破壞等引起）造成的影響降低到可以接受的水平，限制破壞性事件造成的后果，確保關(guān)鍵業(yè)務(wù)的操作得到及時恢復(fù)。業(yè)務(wù)連續(xù)性計劃制定后必須得到安全領(lǐng)導(dǎo)小組的批準。第226條 業(yè)務(wù)持續(xù)性計劃的內(nèi)容至少應(yīng)當包括：216。 確定關(guān)鍵業(yè)務(wù)流程和其所涉及資產(chǎn)，明確信息處理設(shè)施的業(yè)務(wù)目標。216。 識別可能導(dǎo)致業(yè)務(wù)中斷的重大事故，評估此類重大事故發(fā)生的可能性及造成業(yè)務(wù)中斷給Sinosoft造成的影響，確定關(guān)鍵業(yè)務(wù)流程的優(yōu)先級。216。 必要時可以適當考慮購買保險，以降低重大災(zāi)難引起的損失。216。 定期對計劃和相關(guān)操作流程進行檢查、演練和更新。216。 明確人員職責，業(yè)務(wù)連續(xù)性管理過程的職責應(yīng)分配給Sinosoft安委會。216。 保護人員、信息處理設(shè)備和機構(gòu)財產(chǎn)的安全。216。 業(yè)務(wù)恢復(fù)的優(yōu)先級，應(yīng)當考慮可容忍的業(yè)務(wù)中斷時間和業(yè)務(wù)恢復(fù)到中斷前的哪個時間點，要特別注意對有關(guān)外部業(yè)務(wù)和合同的評估。216。 滿足業(yè)務(wù)連續(xù)性計劃所需的資源和服務(wù)，包括人員、非信息處理資源以及信息處理設(shè)施的低效運行安排。216。 業(yè)務(wù)流程的備案216。 對員工進行適當?shù)臉I(yè)務(wù)連續(xù)性計劃的培訓(xùn)216。 通過演練（或突發(fā)事件發(fā)生）的實際情況，對計劃進行修正，保證其有效性和可操作性。第227條 Sinosoft應(yīng)當維護一個全局性的業(yè)務(wù)持續(xù)性計劃框架，以確保所有計劃的一致性。業(yè)務(wù)連續(xù)性計劃框架應(yīng)該考慮以下內(nèi)容：216。 計劃的啟動條件。在計劃執(zhí)行前說明要采用的程序（包括如何評估、參與人員等）。216。 應(yīng)急程序。說明在發(fā)生危及業(yè)務(wù)操作和/或生命的事故后要采取的措施。216。 低效運行程序。說明應(yīng)該采取哪些措施，以將重要業(yè)務(wù)活動或支持服務(wù)轉(zhuǎn)移到其它臨時地點并在規(guī)定時間內(nèi)恢復(fù)業(yè)務(wù)流程。216。 恢復(fù)程序。說明應(yīng)該采取哪些措施，以恢復(fù)正常業(yè)務(wù)運作。216。 說明若恢復(fù)未完成時應(yīng)遵循的臨時操作規(guī)程。216。 說明計劃檢查方式和時間的維護計劃以及計劃維護程序。216。 在Sinosoft組織內(nèi)開展業(yè)務(wù)連續(xù)性的教育培訓(xùn)活動。216。 明確個人責任。說明由誰負責執(zhí)行哪一部分計劃。根據(jù)要求可以指定備選方案。第228條 必須定期測試并更新業(yè)務(wù)持續(xù)性計劃，可以通過以下方法：216。 通過會議，可以使用類似案例討論業(yè)務(wù)恢復(fù)方面的安排。216。 通過模擬事故發(fā)生的情況，重點培訓(xùn)對負責事故/危機發(fā)生后管理的人員。216。 通過測試確保技術(shù)上信息系統(tǒng)可以有效地恢復(fù)。216。 在備用場地進行測試（繼續(xù)業(yè)務(wù)流程的同時在主場地外執(zhí)行恢復(fù)操作）。216。 供應(yīng)商提供的設(shè)施和服務(wù)的檢查（確保外部提供的服務(wù)和產(chǎn)品符合合同中的規(guī)定）。216。 全面演習（檢查組織、人員、設(shè)備、設(shè)施和程序是否