xx信息系統(tǒng)安全防護方案(參考版)
2024-10-30 10:52本頁面
【正文】 不涉及 ? 禁止開展移動辦公或具備移動辦公特征的業(yè)務 不涉及 信息采集類終端 終端形態(tài) 應用場景 安全要求 是否遵從/不涉及 實現(xiàn)方式及措施 輸變電狀態(tài)監(jiān)測裝置 ? 設備安全； ? 專用通道； ? 數(shù)據(jù)加密傳輸； ? 終端身份驗證； ? 安全加固； 不涉及 供電電壓采集裝置 ? 設備安全； ? 專用通道； ? 數(shù)據(jù)加密傳輸； ? 終端身份驗不涉及 ? 19 終端形態(tài) 應用場景 安全要求 是否遵從/不涉及 實現(xiàn)方式及措施 證； 采集裝置 ? 設備安全； ? 專用通道； ? 數(shù)據(jù)加密傳輸； ? 終端身份驗證； 不涉及 ? 充電樁或集中器 ? 設 備安全； ? 專用通道； ? 數(shù)據(jù)加密傳輸； ? 終端身份驗證； 不涉及 ? 視頻采集終端 ? 設備安全； ? 專用通道； ? 數(shù)據(jù)加密傳輸； ? 終端身份驗證； 不涉及 ? 辦公類終端 終端形態(tài) 安全控制要求 是否遵從/不涉及 變更或細化措施 信息內(nèi)網(wǎng)辦公計算機 ? 參見《 信息系統(tǒng) 安全防護方案的通知》文件要求 遵從 ? 按照安全防護方案要求，接入信息內(nèi)網(wǎng)桌面終端分別劃分為一個獨立的桌面終端域，按照部門劃分在交換機上劃分必要的 VLAN，限制不同VLAN 之間的訪問； ? 對桌面終端操作系統(tǒng)進行安全配置加固； ? 接入公司信息網(wǎng)絡的終端應 部署公司統(tǒng)一配置的網(wǎng)絡版防病毒軟件 20 終端形態(tài) 安全控制要求 是否遵從/不涉及 變更或細化措施 并實行集中管理和升級，接入公司信息內(nèi)網(wǎng)的終端應部署公司統(tǒng)一配置的桌面終端安全管理系統(tǒng)，對接入信息內(nèi)網(wǎng)的主機進行網(wǎng)絡準入、移動存儲介質(zhì)安全管理、非法外聯(lián)監(jiān)控管理、文件安全管理等安全管理功能。 終端安全 針對終端數(shù)據(jù)泄密風險及終端數(shù)據(jù)在傳輸過程中被篡改的風險，主要在辦公類終端使用方面上加強了相應措施。 配置文件備份 遵從 ? 定期或當配置發(fā)生變更時進行配置文件備份。 漏洞掃描 遵從 ? ? ? 對掃描出的弱點及時進行處理。 設備鏈路冗余 遵從 ? 采用硬件雙機等方式保證關(guān)鍵網(wǎng)絡及安全設備、通信線路在發(fā)生故障或安全事件時的冗余可用。 網(wǎng)絡安全主要對網(wǎng)絡基礎互聯(lián)設施的安全防護，如提供網(wǎng)絡運 營支撐的路由器、交換機以及防火墻、安全網(wǎng)關(guān)、入侵檢測等安全設備自身的安全防護。 網(wǎng)絡安全 本系統(tǒng)運行在公司信息內(nèi)網(wǎng)中，需借助公司統(tǒng)一的安全防護體系和措施。 漏洞掃描 遵從 ? 采用漏洞掃描工具定期或重大變更時對系統(tǒng)進行安全掃描，并對于掃描的漏洞及時進行處理，處理方式包括安裝補丁、配置網(wǎng)絡訪問控制策略和監(jiān)測黑客利用漏洞行為數(shù)據(jù)流； ? 選擇非業(yè)務高峰時段進行掃描，并制定系統(tǒng)回退計劃； 安全審計 遵從 ? 采用數(shù)據(jù)庫內(nèi)部審計機制進行數(shù)據(jù)庫審計。 ? 采用漏洞掃描工具定期或重大變更時對系統(tǒng)進行安全掃描，并對于掃描的漏洞及時進行處理。 數(shù)據(jù)備份 遵從 ? 對操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)的數(shù)據(jù)進行備份，在操作環(huán)境發(fā)生變更時進行備份恢復測試。根據(jù)用戶的工作需求，在滿足其工作需求范圍內(nèi)，修改用戶權(quán)限，并設置資源使用范圍。 更新安全補丁 遵從 ? 遵從公司統(tǒng)一要求開展系統(tǒng)補丁更新； ? 通過設置升級服務器等方式保持系統(tǒng)補丁及時得到更新 。 病毒、入侵防范 遵從 ? 及時更新病毒庫，增強防病毒軟件的惡意代碼防護能力以保證信息系統(tǒng)的安全穩(wěn)定運行； 15 安全要求 是否遵從 /不涉及 實現(xiàn)方式及措施 ? 操作系統(tǒng)需遵循最小安裝的原則，僅安裝需要的組件和應用程序。 本系統(tǒng)采用 Oracle數(shù)據(jù)庫，針對 Oracle故障、數(shù)據(jù)丟失損壞風險，主要在身份認證、訪問控制、漏洞掃描、安全審計方面上加強了相應措施。 主機安全 主機安全主要包括了操作系統(tǒng)安全和數(shù)據(jù)庫安全防護方案。 數(shù)據(jù)傳輸安全 遵從 ? 用戶 口令信息采用 Base64 加密 算法處理后 進行傳輸； ? 系統(tǒng) 配置信息 傳輸過程中需要 保證數(shù)據(jù)的完整性， 使用DES 加密算法處理； ? 通信協(xié)議采用標準的 HTTP 協(xié)議方式，使用加密技 14 術(shù)對傳輸?shù)拿舾行畔⑦M行機密性保護。業(yè)務級敏感數(shù)據(jù)包含本系統(tǒng)從用電信息采集系統(tǒng)、營銷業(yè)務應用系統(tǒng)中獲取的用電用戶的檔案、用電量等，從數(shù)據(jù)存儲安全、數(shù)據(jù)傳輸安全和數(shù)據(jù)備份安全等方面進行數(shù)據(jù)安全防護。 日志與 審計 遵從 ? 對用戶的關(guān)鍵操作進行審計操作； ? 敏感數(shù)據(jù)強制審計，非敏感數(shù)據(jù)通過配置方式來開啟審計功能； ? 根據(jù)具體需要可配置審計日志的記錄格式； ? 支持系統(tǒng)的啟動和停止審計、登錄信息審計、用戶密碼日志與 審計 遵從 13 安全要求 是否遵從 /不涉及 實現(xiàn)方式及措施 變更審計、系統(tǒng)賬戶操作審計、用戶操作敏感數(shù)據(jù)的審計； ? 審計記錄的內(nèi)容至少包括事件日期、時間、發(fā)起者信息、類型、描述和結(jié)果等； ? 審計日志存儲業(yè)務日志直接寫進數(shù)據(jù)庫，日志保存期限可配置，若檢測到有過期日志生成警報日志； ? 系統(tǒng)無法刪除、修改或覆 蓋審計記錄 應用交互安全 遵從 ? 與本系統(tǒng) 交互的系統(tǒng)包括 營銷 SG816 系統(tǒng) ； ? 基于 XML 格式 的結(jié)構(gòu)化數(shù)據(jù) ，通過 WebService 方式傳輸； ? 通過 省級 企業(yè)服務總線（ ESB）對接口服務進行管理； ? 按日期將業(yè)務系統(tǒng)使用過程中輸入輸出、錯誤等進行存儲。 參數(shù)操作 遵從 ? 對輸入?yún)?shù)進行嚴格驗證 ，避免使用包含敏感數(shù)據(jù)或者影響服務器安全邏輯的查詢字符串參數(shù)； ? 使用會話憑證和賬戶 IP 來標識客戶端，并在業(yè)務加載的過程中將敏感信息加載到會話內(nèi)存中使用，不直接傳輸?shù)娇蛻舳耍? ? 僅使用 HTTP POST 方式提交頁面表單； ? 避免使用 GET 方式 進行 信息提交， 防止 用戶 請求數(shù)據(jù)明文 出現(xiàn) 在 URL； ? 對客戶端輸入信息進行格式化、客戶端驗證、服務端驗證等多重檢查，并且控制敏感參數(shù)只能從服務端獲取。 ? 系統(tǒng)可設置最大并發(fā)會話連接數(shù)量，可對單個賬號的多重并發(fā)會話進行限制。 12 安全要求 是否遵從
試題試卷相關(guān)推薦
鄂ICP備17016276號-1