信息安全知識(shí)競(jìng)賽培訓(xùn)_集團(tuán)規(guī)范(參考版)
2025-01-19 13:59本頁(yè)面
【正文】 ? 各系統(tǒng)應(yīng)該盡力建立基于以下角色模型的授權(quán)體系，如由于系統(tǒng)本身的功能限制不能建立模型，則應(yīng)該盡力向本模型靠攏。 ? 角色對(duì)應(yīng)部門崗位，不對(duì)應(yīng)人員，人員的更換不對(duì)角色產(chǎn)生影響，崗位變化導(dǎo)致高級(jí)角色的變化。 ? 從帳號(hào)管理的角度，可以進(jìn)行基于角色的訪問控制權(quán)限的設(shè)定，即對(duì)資源的訪問控制權(quán)限是以角色或組為單位進(jìn)行授予。 ? 用戶應(yīng)對(duì)系統(tǒng)中的帳戶口令進(jìn)行定期核實(shí)，對(duì)不符合要求的及時(shí)進(jìn)行整改。 ? 系統(tǒng)管理員修改帳號(hào)口令時(shí)，應(yīng)提前（或同時(shí)）通知帳號(hào)使用人，以免影響其正常使用。 口令管理（ 2） 當(dāng)發(fā)生以下情況時(shí)，系統(tǒng)或帳號(hào)管理人員應(yīng)立即取消帳號(hào)或更改口令，并做好記錄 ? 帳號(hào)使用者已經(jīng)離開了公司； ? 帳號(hào)使用者由于工作的變動(dòng)不再需要訪問權(quán)限； ? 帳號(hào)使用者違背了有關(guān)口令管理規(guī)定； ? 發(fā)生其他情況，由上級(jí)主管人員認(rèn)為不應(yīng)再具有訪問權(quán)限的。 ? 帳號(hào)使用人應(yīng)遵守口令政策和規(guī)則，在設(shè)置口令時(shí)禁止使用弱口令（如不能包含連續(xù)的相同字符，也不得基于個(gè)人信息，如姓名、電話號(hào)碼以及出生日期等）。 ? 各級(jí)口令保管落實(shí)到人，口令所有人須妥善保存，各級(jí)口令不得以任何形式明文存放于可公共訪問的設(shè)備中。 ? 口令應(yīng)在 90天內(nèi)至少更換一次，對(duì)重要設(shè)備和系統(tǒng)可采用一次性口令方式進(jìn)行認(rèn)證。 應(yīng)用系統(tǒng)普通帳號(hào) ? 口令應(yīng)由不少于 8位的大小寫字母、數(shù)字以及標(biāo)點(diǎn)符號(hào)等字符組成。 ? 應(yīng)用系統(tǒng)管理員需通過安全途徑將應(yīng)用系統(tǒng)普通用戶帳號(hào)初始口令告知用戶，用戶收到初始口令后，應(yīng)在初次登陸系統(tǒng)時(shí)修改初始口令。 ? 應(yīng)用系統(tǒng)普通用戶帳號(hào)審批記錄應(yīng)編號(hào)、留檔。 操作系統(tǒng)普通用戶帳號(hào) ? 應(yīng)用系統(tǒng)普通用戶帳號(hào)由具體使用人員向應(yīng)用系統(tǒng)管理員申請(qǐng)，應(yīng)用系統(tǒng)管理員對(duì)普通帳號(hào)統(tǒng)一進(jìn)行管理、設(shè)置和分配。 ? 系統(tǒng)管理員需通過安全途徑將帳號(hào)初始口令告知用戶，用戶收到初始口令后，應(yīng)在初次登陸系統(tǒng)時(shí)修改初始口令。 ? 操作系統(tǒng)普通用戶帳號(hào)審批記錄應(yīng)編號(hào)、留檔。 帳號(hào)的使用原則 ? 操作系統(tǒng)普通用戶帳號(hào)由具體使用人員向系統(tǒng)管理員申請(qǐng)，系統(tǒng)管理員對(duì)普通帳號(hào)統(tǒng)一進(jìn)行管理、設(shè)置和分配。 ? 帳號(hào)使用人在使用的過程中，不得使用帳號(hào)訪問與自己工作無關(guān)的資源。 帳號(hào)管理的系統(tǒng)要求 ? 任何帳號(hào)只限于申請(qǐng)帳號(hào)過程中所聲明的使用人使用，禁止其他人使用此帳號(hào)。 ? 各系統(tǒng)應(yīng)能自動(dòng)拒絕創(chuàng)建不符合安全設(shè)置條件的帳號(hào)和口令。 ? 各系統(tǒng)應(yīng)能保存有關(guān)安全內(nèi)容的日志。超級(jí)管理員帳號(hào)又可分為兩類： ? 系統(tǒng)自帶超級(jí)用戶 ? 手工定義的超級(jí)用戶 ? 用戶管理 ? 帳號(hào)管理 ? 系統(tǒng)要求 ? 帳號(hào)的設(shè)立原則 ? 帳號(hào)的使用原則 ? 超級(jí)管理員帳號(hào) ? 操作系統(tǒng)普通用戶帳號(hào) ? 應(yīng)用系統(tǒng)管理員帳號(hào) ? 應(yīng)用系統(tǒng)普通帳號(hào) ? 口令管理 ? 權(quán)限管理 帳號(hào)、口令和權(quán)限管理要求 ? 所有操作系統(tǒng)、業(yè)務(wù)系統(tǒng)、數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)設(shè)備等均需要支持基于帳號(hào)的訪問控制功能。普通帳號(hào)又可分為兩類： ? 系統(tǒng)缺省普通帳號(hào) ? 手工定義普通帳號(hào) ? 管理員帳號(hào)：指在系統(tǒng)中具有較大的權(quán)限，對(duì)網(wǎng)絡(luò)的運(yùn)行和安全具有巨大影響的帳號(hào)，如系統(tǒng)管理員帳號(hào)或執(zhí)行關(guān)鍵應(yīng)用程序的帳號(hào)等。從管理系統(tǒng)的角度分類，帳號(hào)又可分為普通帳號(hào)、管理員帳號(hào)、超級(jí)管理員帳號(hào)等。 主要技術(shù)規(guī)范及標(biāo)準(zhǔn) ?中國(guó)移動(dòng) 網(wǎng)絡(luò)與信息安全體系總綱（ NISS） ?中國(guó)移動(dòng) 支撐系統(tǒng)安全域劃分與邊界整合技術(shù)要求 ?中國(guó)移動(dòng) 互聯(lián)網(wǎng)網(wǎng)絡(luò)安全應(yīng)急處理預(yù)案 ?中國(guó)移動(dòng) 帳號(hào)口令管理辦法 帳號(hào)口令管理辦法適用范圍 ? 本辦法適用于 DSMP系統(tǒng)、智能網(wǎng)系統(tǒng)、彩鈴平臺(tái) ? 本辦法適用于所有和上述系統(tǒng)相關(guān)的系統(tǒng)管理員、操作維護(hù)人員以及所有上述系統(tǒng)中存在的帳號(hào)和口令。 ? 聯(lián)系人及聯(lián)系方式發(fā)生變化的要提前 1周上報(bào)集團(tuán)公司網(wǎng)絡(luò)與信息安全辦公室。 應(yīng)急響應(yīng) ? 分級(jí)響應(yīng)程序 ? 應(yīng)急處理流程 ? 三級(jí) /預(yù)警安全事件的應(yīng)急響應(yīng) ? 二級(jí) /報(bào)警安全事件的應(yīng)急響應(yīng) ? 一級(jí) /緊急安全事件的應(yīng)急響應(yīng) ? 信息通報(bào) /上報(bào) ? 信息通報(bào) /上報(bào)時(shí)間要求 ? 信息通報(bào) /上報(bào)的方式 ? 信息通報(bào) /上報(bào)的保障制度 ? 應(yīng)急結(jié)束 特殊時(shí)期分級(jí)響應(yīng)程序 在國(guó)內(nèi)發(fā)生特別重大突發(fā)公共事件、以及召開重要會(huì)議、重大國(guó)事活動(dòng)等特殊重要時(shí)期： ? 沒有發(fā)生三級(jí)以上重大互聯(lián)網(wǎng)安全事件時(shí)，集團(tuán)公司網(wǎng)絡(luò)與信息安全辦公室根據(jù)集團(tuán)公司網(wǎng)絡(luò)與信息安全領(lǐng)導(dǎo)小組的指示，通知集團(tuán)公司各相關(guān)部門、各移動(dòng)通信有限責(zé)任公司按照 “ 三級(jí) /預(yù)警 ” 級(jí)別安全事件的處理要求和流程做好應(yīng)急準(zhǔn)備； ? 當(dāng)發(fā)生或可能發(fā)生三級(jí)以上重大互聯(lián)網(wǎng)安全事件時(shí)，各移動(dòng)通信有限責(zé)任應(yīng)根據(jù)本預(yù)案，按高一級(jí)級(jí)別安全事件的處理要求和流程進(jìn)行各項(xiàng)應(yīng)急處理。 預(yù)警預(yù)防行動(dòng) ? 各移動(dòng)通信有限責(zé)任公司于每月 15日前，向集團(tuán)公司網(wǎng)絡(luò)與信息安全辦公室上報(bào)本網(wǎng)上月安全事件處理報(bào)告；于每年 1月 15日前，上報(bào)本網(wǎng)上一年網(wǎng)絡(luò)安全事件分析報(bào)告。 “緊急”級(jí)別的互聯(lián)網(wǎng)安全事件 ? 導(dǎo)致一個(gè)以上互聯(lián)單位的網(wǎng)絡(luò)癱瘓的安全事件； ? 導(dǎo)致兩個(gè)不同互聯(lián)單位的省以上骨干網(wǎng)絡(luò)癱瘓的安全事件，并且有其他互聯(lián)單位相同的網(wǎng)絡(luò)性能下降的報(bào)警，或者有境外網(wǎng)絡(luò)遭遇相同故障而癱瘓的報(bào)警； ? 通過 CNCERT/CC的監(jiān)測(cè)發(fā)現(xiàn)有兩個(gè)以上的互聯(lián)單位的網(wǎng)絡(luò)出現(xiàn)總流量或者某個(gè)協(xié)議數(shù)據(jù)流量嚴(yán)重異常； ? 承擔(dān)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1