【正文】 有時，還需要管理個別批準訪問權(quán)限；3） 檢查所準許的訪問級別是否適用于業(yè)務目的（），是否與機構(gòu)的安全策略一致，例如不會破壞責任的分開（）；4） 發(fā)送用戶訪問權(quán)限聲明書給用戶；5） 要求用戶在聲明書上簽字，表示明白了訪問的條件；6） 確保服。應有一套正式的用戶注冊及注銷手續(xù)，以便授予訪問所有多用戶信息系統(tǒng)及服務。手續(xù)應包括用戶訪問生命周期的所有階段，從一開始注冊新用戶直到最后注銷那些不再需要訪問信息安全及服務的用戶。目的：防止非法訪問信息系統(tǒng)。在制定訪問控制規(guī)定時，應小心考慮以下：1） 將必須實施的規(guī)定和可以選擇實施或有條件實施的規(guī)定分開考慮；2） 根據(jù)“除非有明文準可，否則一般是被禁止”的原則建立規(guī)定，而不是“在一般情況下全都可以，除非有明文禁止”的模糊概念；3） 由信息處理設備自動啟動與經(jīng)過用戶判斷啟動的信息標記改動（）；4） 由信息系統(tǒng)自動啟動的與由管理員啟動的用戶許可的變動。訪問策略的文件應清楚寫明每個用戶或每組用戶應有的訪問控制規(guī)定及權(quán)限，用戶及服務提供商都應有一份這樣的文件，明白訪問控制要達到什么業(yè)務需求。應按照業(yè)務及安全要求控制信息及業(yè)務程序的訪問，應把信息發(fā)布及授權(quán)的策略內(nèi)容加入到考慮范圍之內(nèi)。應有一個清楚的策略讓員工遵守，聲明使用語音通訊設備、傳真機及視頻通訊設備的程序，應包括：a) 提醒員工他們要小心，不要泄露敏感信息，以免打電話時被偷聽或偵聽：1)留意身邊的人，特別是使用移動電話時；2)竊聽，以及其它通過物理進入話筒或電話線、或如使用模擬移動電話使用掃描接收器等偷聽方法；3)接收方的人；b) 提醒員工不要在公開場所或公開辦公室、或隔墻有耳的會合地點秘密通話；c) 不要在應答機器留言，因為這會被非法用戶回放、儲存在公共的系統(tǒng)上，或者因為打錯而不正確儲存；d) 提醒員工使用傳真機的問題，如：1) 非法進入內(nèi)置的儲存消息庫查找消息2) 故意或意外編程，發(fā)送消息到指定號碼3) 發(fā)送文檔及消息到錯誤號碼，一是通過錯誤撥打或使用儲存錯誤的號碼。如果通訊設備失效、超載或停頓（ 及第11條款），業(yè)務操作可以被截斷，信息可能被破壞。應有一套程序及控制，來保護通過語音、傳真及視頻通訊設備交互信息的安全。軟件、數(shù)據(jù)和其它需要高級別完整性的數(shù)據(jù)，如果要開放在公用系統(tǒng)中，應有適當?shù)臋C制保護，例如數(shù)字簽名（）。公開可用系統(tǒng)中的信息，例如通過互聯(lián)網(wǎng)可訪問的Web 服務器上的信息，可能需要符合系統(tǒng)所管轄的地區(qū)或交易地內(nèi)的有關法律及規(guī)定。要充分考慮把這些設備互聯(lián)后對安全及業(yè)務的影響：1） 辦公系統(tǒng)中的信息的漏洞，例如錄音電話或會議電話、電話的保密、傳真的保存、郵件的打開、郵件的分發(fā)；2） 管理信息共享的策略及控制，例如使用機構(gòu)BBS（）；3） 如果系統(tǒng)不能提供足夠程度的保護，則把敏感的業(yè)務信息分離出來；4） 限制對個人（進行敏感項目的員工）的日記信息的訪問；5） 系統(tǒng)支持業(yè)務應用系統(tǒng)的適用性，例如下定單的通訊或授權(quán)；6） 被容許使用該系統(tǒng)的員工、合同商或業(yè)務伙伴以及可以訪問的地點（）；7） 限制某些設備只讓指定的用戶使用；8） 為方便其它用戶確定用戶的狀態(tài)，例如機構(gòu)的員工、目錄中的合同商；9） 系統(tǒng)中信息的保留及備份（ ）；10） 恢復的要求及安排（）。應制訂和實施策略和指導方針，來控制電子OA的業(yè)務及安全風險。應考慮實施控制以減少電子郵件所帶來的安全風險，例如：1） 消息非法訪問或被更改的風險，或拒絕服務；2） 出錯的風險，例如不正確的地址或錯誤轉(zhuǎn)發(fā)，以及服務的一般可靠性及可用性；3） 通訊介質(zhì)的變動對業(yè)務流程的影響，例如加速分派的影響，或個人對個人發(fā)送正式消息，或機構(gòu)對機構(gòu)發(fā)送；4） 法律的考慮，例如出示對來源、分派、交付及接收的證明的要求5） 公布從外部訪問的員工名單的影響；6） 控制具有電子郵件賬號的遠程用戶的訪問。 應充分考慮電子商務主機被攻擊后的恢復，以及任何網(wǎng)絡互聯(lián)的安全對電子商務的影響。也可能需要與其它信息服務及增殖網(wǎng)絡提供商簽定類似協(xié)議。誰承擔假冒交易的風險？以上好幾點可以使用密碼技術(shù)解決（）（但要注意按有關法律（， 的密碼法律。防止假冒的最適當?shù)闹Ц斗椒ㄊ鞘裁矗?）下定單。定單、支付及交付的詳細地址、接收確認等保密性及完整性有多高？6）核對。保密性、完整性及分派證明及接收重要文檔的收據(jù)的要求，以及合同抗抵賴性的要求是什么？4）價格信息?？蛻艏吧碳覍Ψ椒Q述的身份有多少信心程度？2）授權(quán)。電子商務冒很多網(wǎng)絡上的風險，例如假冒活動、合同糾紛以及公開或更改信息。a)應使用可靠的運輸和速遞公司。協(xié)議的安全內(nèi)容應反映所交換的業(yè)務信息的敏感程度。應按協(xié)議條款進行交換，制訂保護傳輸中信息及介質(zhì)的程序及標準，考慮與電子數(shù)據(jù)交換、電子商務及電子郵件的業(yè)務及安全因素，以及控制的要求。目的： 防止在機構(gòu)交換之間的信息不丟失、不被更改及濫用。系統(tǒng)文檔有很多敏感信息，例如應用進程的說明、程序、數(shù)據(jù)結(jié)構(gòu)、授權(quán)進程（）。程序應按信息在文件、計算機系統(tǒng)、網(wǎng)絡、移動計算機、移動通訊、郵件、聲音郵件、一般語音通訊、多媒體、郵件服務/設備，傳真機的使用等中分類（），或其它敏感文件，例如空支票、發(fā)票。當收集需要清除的介質(zhì)時，應考慮越來越多的情況，可能會出現(xiàn)有一大堆不保密的信息，比一少量保密信息更敏感。1） 有敏感信息的介質(zhì)應安全地予以保存及清除，例如燒掉或撕碎，或使用另一個機構(gòu)內(nèi)應用系統(tǒng)把內(nèi)容清除；2） 以下是一列可能需要安全清除的東西： 紙文件； 錄音； 復寫紙； 輸出報表； 一次性打印色帶； 磁帶； 可換的磁盤或盒式磁帶； 光盤（所有形式，包括所有生產(chǎn)商的軟件光盤）； 程序列表； 測試數(shù)據(jù)； 系統(tǒng)說明文檔；3） 把所有介質(zhì)收集并安全地清除，比分出敏感信息容易；4） 很多機構(gòu)提供收集及清除的服務，清除紙、設備及介質(zhì)。所有程序及授權(quán)級別都要記錄。 要有合適的操作程序保護文檔、計算機介質(zhì)（磁帶、磁盤）、I/O 數(shù)據(jù)及系統(tǒng)文檔不受損、不丟失和被非法訪問。目的：防止資產(chǎn)的損失及業(yè)務的停頓。網(wǎng)絡管理員應實施控制，保護網(wǎng)絡中的數(shù)據(jù)、連接的服務不被非法訪問，特別是，要注意以下方面：1） 網(wǎng)絡的操作責任應與計算機操作分開（）；2） 管理遠程設備（包括用戶使用中心的設備）的責任及程序；3） 如有需要，要指定特別的控制保障經(jīng)公用網(wǎng)傳輸?shù)臄?shù)據(jù)的保密性及完整性，和保護連接的系統(tǒng)的安全（）。可能也需要保護經(jīng)過公用網(wǎng)傳輸?shù)拿舾袛?shù)據(jù)的控制。目的：保障網(wǎng)絡中信息的安全及保護支持架構(gòu)的安全。用戶所報有關信息處理或通訊系統(tǒng)的錯誤，應被記錄放在日志中。操作員工應保留一份記錄自己活動的日志，要包括的有：1） 系統(tǒng)開始及完成時間；2） 系統(tǒng)錯誤及所進行的改正操作；3） 正確處理數(shù)據(jù)文件及計算機輸出的確認；4） 記錄日志表目的人名。 在主網(wǎng)絡地方實施的控制也應在備份地方實施；3） 備份介質(zhì)應定期接受檢查，如實際許可，保證在緊急情況時可以使用；4） 恢復程序應定期接受檢查及測試，以確保在恢復操作程序所預定的時間內(nèi)完成。要考慮的有：1） 指定最低限度的備份信息，保留備份拷貝及恢復程序的正確和完整的記錄，并存放在一個遠程的地方上，以免主網(wǎng)絡地方發(fā)生災難時不會被波及。要有足夠的備份設備把所有重要的業(yè)務信息及軟件在災難發(fā)生或儲存設備失敗時恢復。應訂立日常程序?qū)嵤┙y(tǒng)一備份策略（），定期備份數(shù)據(jù)及演練即時恢復、記錄事件及錯誤，以及在適當時候，監(jiān)控設備的環(huán)境。這些控制對支持大數(shù)量的網(wǎng)絡文件服務器是非常重要的。部門經(jīng)理應查看警示的信息來源是可靠的，例如來自有名望的專業(yè)雜志、可靠的網(wǎng)站或者防病毒供應商，用來分辨那些是虛假病毒、那些是真病毒。這樣的檢查可以在不同地點進行，例如在電子郵件服務器，桌面計算機或進入機構(gòu)網(wǎng)絡的地方；7） 關于保護系統(tǒng)病毒入侵的管理程序及責任、培訓用戶如何使用、如何報告恢復病毒入侵?？梢钥紤]的控制有：1） 符合軟件授權(quán)許可的正式策略，以及禁止非法軟件的使用（）；2） 要有一個正式的策略指定要實施那些保存措施，保護不受通過或經(jīng)過外部網(wǎng)絡或從任何其它途徑取得的文件及軟件所帶來的風險威脅。應實施檢測及防范措施控制來保護惡意代碼，及舉辦適當?shù)挠脩舭踩庾R培訓。在適當?shù)那闆r下，經(jīng)理們應實施控制檢測或防止這些東西的出現(xiàn)。軟件及信息處理設備最容易受到惡意軟件的攻擊，例如計算機病毒、網(wǎng)絡蠕蟲、特洛伊木馬（）及邏輯炸彈。目的： 保護軟件及信息的完整性。對于重大的新開發(fā)，應在每一階段與操作部門及用戶協(xié)商，以保證新系統(tǒng)方案的使用效率。經(jīng)理們要清楚說明、統(tǒng)一、記錄及測試新系統(tǒng)的接收標準。經(jīng)理應利用這些統(tǒng)計數(shù)據(jù)找出及避免會威脅系統(tǒng)安全或用戶服務的潛在瓶頸，并計劃適當?shù)难a救行動。 大型機器服務的經(jīng)理應監(jiān)控重要系統(tǒng)資源的使用情況，包括處理器、主要內(nèi)存、文件儲存、打印機及其它輸出設備，以及通訊系統(tǒng)。 計劃應包括考慮新業(yè)務及系統(tǒng)的要求，以及機構(gòu)信息處理系統(tǒng)的當前及以后的趨勢。新系統(tǒng)在接收及交付前應經(jīng)過測試，并確立及寫下運作要求。事前應有周詳?shù)挠媱澕皽蕚?，使有足夠的儲存量及資源可用。使用外來合同供應商管理信息處理設備可能會加大暴露信息的機會，例如有可能在合同供應商的地方破壞、損壞或丟失數(shù)據(jù)，對這些風險的出現(xiàn)事先要有個估計，然后把管理這些風險的適當控制寫入合同中（ ， 看看有關第三方進入機構(gòu)設備及外包合同的指引）。要考慮的控制有：1） 開發(fā)及正在使用的軟件，在可能情況下，應在不同的機器上運行；2） 開發(fā)及測試活動應進可能分開；3） 編譯器、編輯器及其它系統(tǒng)工具，如果正在使用的系統(tǒng)沒有需求，就不讓訪問；4） 正在使用及測試系統(tǒng)應使用不同的登陸程序，目的是減少出錯的機會。開發(fā)及測試活動如果共享同一個計算機環(huán)境，會對軟件及信息帶來不必要的改動。當開發(fā)及測試員工可以訪問正在使用的系統(tǒng)及信息時，他們可以放置非法及未測試的代碼，放置惡意代碼或更改操作數(shù)據(jù)，利用這些技巧在某些系統(tǒng)上做假，嚴重影響系統(tǒng)的操作。同樣，開發(fā)及測試設備之間也有類似的分開。開發(fā)及測試活動會引起嚴重的問題，例如不必要的文件或系統(tǒng)環(huán)境的更改，或系統(tǒng)失敗的不必要更改。應小心沒有一個人獨自負責某責任時，造假犯案后沒有人知道。小機構(gòu)會發(fā)現(xiàn)這辦法非常難實現(xiàn)，但辦法的原則仍然可以在最大范圍之內(nèi)實現(xiàn)。以下是要注意的事項：1） 確立包括所有會發(fā)生的安全事件種類的程序，包括： 信息系統(tǒng)失敗及服務丟失； 拒絕服務； 因未完成或不準確的業(yè)務數(shù)據(jù)所引致的錯誤； 泄密；2） 除了正常應急計劃（用來第一時間恢復系統(tǒng)或服務）之外，程序應包括：（） 分析及確定事件發(fā)生的原因； 補救方法的計劃及實施，以免再次發(fā)生； 收集審計追蹤及其它類似證據(jù)； 與受影響的、或與恢復事件的人員保持聯(lián)系； 把所作的行動報告有關當局；3） 應收集審計追蹤及其它類似證據(jù)（），并保存妥善，以備為： 內(nèi)部分析事件使用； 作為破壞合同、違法或民事或犯罪訴訟（例如關于濫用計算機或數(shù)據(jù)保護條例）的證據(jù)； 索取軟件及服務供應商的賠償；4） 恢復安全事件所造成的破壞及恢復系統(tǒng)失效的行動應受到正式的嚴格控制，確保： 只準許有明確指名的合法員工進入正在使用的系統(tǒng)及數(shù)據(jù)（）； 詳細記錄所有緊急行動； 向管理層報告所進行的緊急行動，并有條不紊地檢查； 業(yè)務系統(tǒng)及控制的完整性應在最短時間內(nèi)確認無誤；責任分開制是減少意外或濫用系統(tǒng)風險的方法。如許可，操作及應用系統(tǒng)的控制更改程序應融合（）在一起，特別是要注意以下事項：1） 確認及記錄重大的變動；2） 評估這些更改的影響；3） 對更改方案有正式的批準程序；4） 與所有有關人員溝通變更的詳情；5） 確認異常中止及恢復失敗變更的責任的程序。當更改程序時，應有審計日志記錄所有有關信息。信息處理設備及系統(tǒng)的變動應受到控制，管理不足是導致系統(tǒng)或安全失效的常見原因，所以要有一套正式的管理責任及程序，以保證妥善控制所有設備、軟件或程序的更改。 程序應說明能夠每個作業(yè)的詳細執(zhí)行的說明，包括：1） 信息的處理及調(diào)度；2） 調(diào)度要求，包括與其它系統(tǒng)之間的相互依賴關系、最早開始的作業(yè)的時間及最遲完成作業(yè)的時間；3） 處理錯誤或其它異常條件的指示，例如在執(zhí)行作業(yè)時出錯，原因時禁止事業(yè)系統(tǒng)工具（）；4） 如發(fā)生意外操作或技術(shù)問題時的聯(lián)系人及方法；5） 特別輸出處理指示，例如使用特別的文具或保密輸出的管理，包括安全消除失敗作業(yè)輸出的程序；6） 發(fā)生系統(tǒng)失效時系統(tǒng)重起和恢復的程序。在適當?shù)牡胤剑瑧獙嵭胸熑胃綦x制度以減少疏忽或濫用系統(tǒng)的風險。目的： 確保信息處理設備運作正確及安全。應進行現(xiàn)場檢查有沒有擅自搬動財物。設備、信息或軟件不應沒有授權(quán)就搬離。放在桌子上的信息，大有可能被損壞，或被天災如火災、水災或爆炸破壞。機構(gòu)應考慮制訂信息處理設備的收拾桌子上紙張、可移動儲存介體及清除屏幕的策略，以減少在規(guī)定工作時間外非法進入、丟失及損壞信息的風險。信息及信息處理設備應該被保護，不要公開給非法人員，讓非法人員更改或偷取，并實施相關控制來盡量減少損失及損壞。損壞了、有敏感數(shù)據(jù)的儲存設備可能需要評估風險后確定是否把設備銷毀、修理或丟掉。信息可以通過不小心清除或重復使用設備而被破壞（），有敏感信息的存儲設備應該物理被銷毀或安全地覆蓋，而不是使用標準的刪除功能。 筆記本計算機應當作手提行李隨身，及在外時盡量遮蔽，不要顯露在外被人看到；2） 應時常注意生產(chǎn)商保護設備的指示，例如不要暴露在強大的電磁場內(nèi)；3） 在家工作的控制，應在評估風險后確定，并適當?shù)貙嵤?，舉例，可上鎖的文件柜、清除桌子的策略及計算機的訪問控制；4） 應有足夠的保險保護不在大廈的設備。信息處理設備包括所有形式的個人計算機、商務通、移動電話紙張