【正文】 6. 附件無。d) 安全審計(jì)應(yīng)當(dāng)由安全審計(jì)人員或可信的、獨(dú)立的第三方機(jī)構(gòu)來執(zhí)行。c) 信息系統(tǒng)審計(jì)工具（如軟件和數(shù)據(jù)文件）應(yīng)與開發(fā)和運(yùn)行系統(tǒng)分開。審計(jì)人員應(yīng)限于軟件和數(shù)據(jù)的只讀訪問，若需要額外的行為，要顯式予以標(biāo)明。3) 信息系統(tǒng)審計(jì)考慮因素目標(biāo)：要最大化信息系統(tǒng)審計(jì)的效果，并盡量減小信息系統(tǒng)審計(jì)帶來的影響。b) 應(yīng)當(dāng)定期使用技術(shù)手段發(fā)現(xiàn)系統(tǒng)的漏洞，以確定安全技術(shù)防范的有效性。a) 信息安全小組應(yīng)不定期地組織抽查信息安全制度的落實(shí)和執(zhí)行情況，依據(jù)《信息安全技術(shù)檢查管理規(guī)定》、《內(nèi)部審核程序》的規(guī)定，進(jìn)行測量，上報(bào)信息安全管理小組組長?？梢栽诘卿洉r(shí)，在屏幕上應(yīng)顯示保密聲明，告知其正進(jìn)入的系統(tǒng)是不公開的。d) 在傳輸和存儲過程中保護(hù)個(gè)人數(shù)據(jù)和個(gè)人隱私。重要記錄包括紙質(zhì)或非紙質(zhì)的財(cái)務(wù)記錄、數(shù)據(jù)庫記錄、日志和操作規(guī)程等。通過合法渠道獲得產(chǎn)品，遵守產(chǎn)品許可證的限制，維護(hù)許可證，交付產(chǎn)品，手冊等證明材料，告知員工他們保護(hù)知識產(chǎn)權(quán)的責(zé)任，提高員工安全意識，應(yīng)當(dāng)在合同中明確知識產(chǎn)權(quán)的歸屬，并對享有知識產(chǎn)權(quán)資料的復(fù)制進(jìn)行限制。特別是與外部的組織有往來時(shí)。. 符合性要求1) 遵守法律法規(guī)的要求目標(biāo)：避免違反法律、法規(guī)、規(guī)章、合同要求和其它安全要求。216。216。216。216。216。216。216。特別注意信息系統(tǒng)更新可能引起業(yè)務(wù)連續(xù)性計(jì)劃的如下信息的更新：216。應(yīng)該分配各個(gè)業(yè)務(wù)連續(xù)性計(jì)劃的定期評審責(zé)任；檢查業(yè)務(wù)變動是否都反應(yīng)在計(jì)劃更新的內(nèi)容當(dāng)中。 全面演習(xí)（檢查組織、人員、設(shè)備、設(shè)施和程序是否能夠應(yīng)付中斷情況）。 供應(yīng)商提供的設(shè)施和服務(wù)的檢查（確保外部提供的服務(wù)和產(chǎn)品符合合同中的規(guī)定）。 在備用場地進(jìn)行測試（繼續(xù)業(yè)務(wù)流程的同時(shí)在主場地外執(zhí)行恢復(fù)操作）。 通過測試確保技術(shù)上信息系統(tǒng)可以有效地恢復(fù)。 通過模擬事故發(fā)生的情況，重點(diǎn)培訓(xùn)對負(fù)責(zé)事故/危機(jī)發(fā)生后管理的人員。 通過會議，可以使用類似案例討論業(yè)務(wù)恢復(fù)方面的安排。根據(jù)要求可以指定備選方案。 明確個(gè)人責(zé)任。 在組織內(nèi)開展業(yè)務(wù)連續(xù)性的教育培訓(xùn)活動。 說明計(jì)劃檢查方式和時(shí)間的維護(hù)計(jì)劃以及計(jì)劃維護(hù)程序。 說明若恢復(fù)未完成時(shí)應(yīng)遵循的臨時(shí)操作規(guī)程。說明應(yīng)該采取哪些措施，以恢復(fù)正常業(yè)務(wù)運(yùn)作。216。 低效運(yùn)行程序。說明在發(fā)生危及業(yè)務(wù)操作和/或生命的事故后要采取的措施。216。 計(jì)劃的啟動條件。c) 應(yīng)當(dāng)維護(hù)一個(gè)全局性的業(yè)務(wù)連續(xù)性計(jì)劃框架，以確保所有計(jì)劃的一致性。 對員工進(jìn)行適當(dāng)?shù)臉I(yè)務(wù)連續(xù)性計(jì)劃的培訓(xùn)216。216。216。216。216。216。216。216。216。b) 業(yè)務(wù)連續(xù)性計(jì)劃的內(nèi)容至少應(yīng)當(dāng)包括：216。a) 參考《業(yè)務(wù)連續(xù)性管理程序》制訂并實(shí)施業(yè)務(wù)連續(xù)性計(jì)劃，預(yù)防和恢復(fù)控制相結(jié)合，將災(zāi)難和安全故障（可能是由于自然災(zāi)害、事故、設(shè)備故障和蓄意破壞等引起）造成的影響降低到可以接受的水平，限制破壞性事件造成的后果，確保關(guān)鍵業(yè)務(wù)的操作得到及時(shí)恢復(fù)。c) 從事件被檢測到至處理完成全過程的記錄和證據(jù)（包括紙制文檔和電子信息）都應(yīng)進(jìn)行保留。詳細(xì)規(guī)定參見《信息安全事件管理程序》。2) 信息安全事故管理和改進(jìn)目標(biāo)：確保使用可追蹤的，有效的方法管理信息安全事故。b) 信息安全事件發(fā)生后，報(bào)告人應(yīng)立即將事件的重要細(xì)節(jié)（如事件描述、屏幕上顯示的消息、造成的后果、其它異常情況等）向主管部門報(bào)告。 增強(qiáng)對該漏洞的監(jiān)控. 信息安全事故處理1) 報(bào)告信息安全事故和弱點(diǎn)目標(biāo)：確保與信息系統(tǒng)有關(guān)的安全事件和弱點(diǎn)的報(bào)告，以便及時(shí)采取糾正措施。 在網(wǎng)絡(luò)邊界上增加隔離和訪問控制，如防火墻216。b) 如果沒有合適的補(bǔ)丁，應(yīng)當(dāng)實(shí)施其它措施，如：216。a) 應(yīng)當(dāng)確認(rèn)軟件和其它技術(shù)的相關(guān)漏洞，指定專人進(jìn)行安全補(bǔ)丁管理工作，包括補(bǔ)丁公告、補(bǔ)丁評估和補(bǔ)丁列表的維護(hù)工作。e) 可以采取安全手段監(jiān)視系統(tǒng)、通信和個(gè)人行為，以減小信息泄露的可能。變更后，運(yùn)維人員應(yīng)當(dāng)監(jiān)控變更帶來的影響。c) 當(dāng)操作系統(tǒng)變更后，應(yīng)評審和測試關(guān)鍵的應(yīng)用系統(tǒng)，以確定此變更對運(yùn)營和安全帶來的影響。b) 必須分開生產(chǎn)環(huán)境和非生產(chǎn)環(huán)境，非生產(chǎn)環(huán)境包括開發(fā)、測試和培訓(xùn)所用的環(huán)境。若有可能，在運(yùn)行環(huán)境中不應(yīng)保留程序源代碼庫。f) 測試過程中應(yīng)當(dāng)避免使用敏感信息，測試完成后應(yīng)當(dāng)及時(shí)清除。d) 重要軟件和應(yīng)用升級后，包括需要的信息、參數(shù)、升級過程日志、配置細(xì)節(jié)等都要?dú)w檔，配套的數(shù)據(jù)和文件也應(yīng)歸檔。b) 應(yīng)當(dāng)盡量避免應(yīng)用系統(tǒng)對操作系統(tǒng)的直接調(diào)用，最大限度降低操作系統(tǒng)崩潰的風(fēng)險(xiǎn)。b) 實(shí)施密鑰管理辦法，包括防止密鑰的丟失、泄密或破壞，密鑰的銷毀和密鑰損壞后加密數(shù)據(jù)的恢復(fù)。216。216。3) 加密控制目標(biāo)：通過加密手段來保護(hù)信息的保密性、真實(shí)性和完整性a) 在組織內(nèi)實(shí)施加密控制的策略，可以考慮使用密碼技術(shù)以實(shí)現(xiàn)：216。在保護(hù)敏感或關(guān)鍵信息時(shí)使用。216。 消息驗(yàn)證：檢查傳輸?shù)碾娮酉?nèi)容是否有非法變更或破壞的技術(shù)手段。 輸出數(shù)據(jù)驗(yàn)證：對應(yīng)用系統(tǒng)輸出的數(shù)據(jù)進(jìn)行驗(yàn)證，保證對存儲信息的正確處理。 數(shù)據(jù)的容錯(cuò)處理：為防止正確的數(shù)據(jù)因處理錯(cuò)誤或故意人為等因素遭到破壞而采取的檢查和控制措施。 輸入數(shù)據(jù)驗(yàn)證：對應(yīng)用系統(tǒng)的數(shù)據(jù)輸入進(jìn)行驗(yàn)證，保證輸入數(shù)據(jù)正確并合乎要求。2) 應(yīng)用系統(tǒng)的正確處理目標(biāo)：防止應(yīng)用系統(tǒng)信息的錯(cuò)誤、丟失、未授權(quán)的修改或誤用。. 信息系統(tǒng)的獲取、開發(fā)和維護(hù)安全1) 信息系統(tǒng)的安全要求目標(biāo)：確保安全成為信息系統(tǒng)的一部分。未經(jīng)信息安全部批準(zhǔn)，不得在公共場所訪問內(nèi)部網(wǎng)絡(luò)。7) 移動計(jì)算和遠(yuǎn)程工作目標(biāo)：確保在使用移動計(jì)算機(jī)和遠(yuǎn)程工作設(shè)施時(shí)的安全。b) 處理敏感信息的系統(tǒng)應(yīng)當(dāng)與公共網(wǎng)隔離，且系統(tǒng)輸出信息僅能發(fā)送給特定的終端和人員。6) 應(yīng)用程序和信息訪問控制目標(biāo)：防止對應(yīng)用系統(tǒng)中信息的非法訪問。 保護(hù)口令的存儲和傳輸過程。216。216。216。d) 使用口令管理系統(tǒng)時(shí)，可以考慮配置：216。c) 應(yīng)對所有用戶分配一個(gè)唯一的ID。 記錄成功和不成功登錄的情況216。 只顯示一般性的警告信息，例如“本系統(tǒng)只允許授權(quán)用戶訪問”216。a) 主機(jī)系統(tǒng)的登錄必須遵照以下規(guī)定：216。g) 對于從正式辦公地點(diǎn)內(nèi)部發(fā)起的、目標(biāo)為外部網(wǎng)絡(luò)或計(jì)算機(jī)的所有計(jì)算機(jī)網(wǎng)絡(luò)連接，必須通過由統(tǒng)一配置使用的系統(tǒng)進(jìn)行路由。上述接口和出口應(yīng)當(dāng)同時(shí)考慮實(shí)施地址轉(zhuǎn)換、防病毒和入侵檢測產(chǎn)品等。給第三方開放遠(yuǎn)程維護(hù)帳號時(shí)，維護(hù)結(jié)束后必須立即收回。c) 任何到網(wǎng)絡(luò)的物理或邏輯的連接必須經(jīng)過運(yùn)維部的批準(zhǔn)。 明確訪問網(wǎng)絡(luò)和網(wǎng)絡(luò)服務(wù)的用戶216。a) 網(wǎng)絡(luò)管理員必須參照《訪問控制程序》和業(yè)務(wù)系統(tǒng)要求進(jìn)行控制：216。d) 人員離開時(shí)，必須清理桌面上的敏感信息，打印出的文件必須及時(shí)從打印機(jī)取走。當(dāng)員工離開計(jì)算機(jī)時(shí)，員工必須立即鎖定屏幕或退出系統(tǒng)，且在系統(tǒng)內(nèi)必須設(shè)置5分鐘自動啟用有口令的屏幕保護(hù)。要求用戶不得明文保存口令，及時(shí)修改默認(rèn)口令并必須選擇強(qiáng)壯的口令，定期修改密碼，不得隨意共享密碼。3) 用戶責(zé)任目標(biāo)：避免未授權(quán)用戶的訪問，防止信息和信息處理設(shè)施的安全。必須每半年進(jìn)行用戶使用情況的評審，凡是半年及半年以上未使用的帳號經(jīng)相關(guān)部門確認(rèn)后刪除。e) 要告知并強(qiáng)制用戶遵守用戶帳號及口令管理規(guī)定，用戶必須對自己的帳號和口令保密，不能以任何形式向他人透露口令信息，不得以未加密的形式將口令保存在文件或計(jì)算機(jī)中，在收到應(yīng)用系統(tǒng)或軟件的初始口令后必須及時(shí)更改。c) 用戶權(quán)限必須按照最小權(quán)限原則進(jìn)行分配。詳細(xì)規(guī)定參見《公司郵箱管理辦法》b) 所有對信息系統(tǒng)的訪問必須遵照《訪問控制程序》。a) 禁止用戶帳號共享，普通用戶不能在一個(gè)系統(tǒng)上擁有多個(gè)帳號，系統(tǒng)管理員不能在一個(gè)系統(tǒng)上擁有多個(gè)相同角色的帳號。a) 應(yīng)當(dāng)明確規(guī)定每個(gè)用戶以及相應(yīng)用戶組在各個(gè)系統(tǒng)中訪問控制規(guī)則與權(quán)限，每半年要