【正文】 6. 附件無。d) 安全審計應當由安全審計人員或可信的、獨立的第三方機構來執(zhí)行。c) 信息系統(tǒng)審計工具（如軟件和數據文件）應與開發(fā)和運行系統(tǒng)分開。審計人員應限于軟件和數據的只讀訪問，若需要額外的行為，要顯式予以標明。3) 信息系統(tǒng)審計考慮因素目標：要最大化信息系統(tǒng)審計的效果，并盡量減小信息系統(tǒng)審計帶來的影響。b) 應當定期使用技術手段發(fā)現系統(tǒng)的漏洞，以確定安全技術防范的有效性。a) 信息安全小組應不定期地組織抽查信息安全制度的落實和執(zhí)行情況，依據《信息安全技術檢查管理規(guī)定》、《內部審核程序》的規(guī)定，進行測量，上報信息安全管理小組組長。可以在登錄時，在屏幕上應顯示保密聲明，告知其正進入的系統(tǒng)是不公開的。d) 在傳輸和存儲過程中保護個人數據和個人隱私。重要記錄包括紙質或非紙質的財務記錄、數據庫記錄、日志和操作規(guī)程等。通過合法渠道獲得產品，遵守產品許可證的限制，維護許可證，交付產品，手冊等證明材料，告知員工他們保護知識產權的責任，提高員工安全意識，應當在合同中明確知識產權的歸屬，并對享有知識產權資料的復制進行限制。特別是與外部的組織有往來時。. 符合性要求1) 遵守法律法規(guī)的要求目標：避免違反法律、法規(guī)、規(guī)章、合同要求和其它安全要求。216。216。216。216。216。216。216。特別注意信息系統(tǒng)更新可能引起業(yè)務連續(xù)性計劃的如下信息的更新：216。應該分配各個業(yè)務連續(xù)性計劃的定期評審責任；檢查業(yè)務變動是否都反應在計劃更新的內容當中。 全面演習（檢查組織、人員、設備、設施和程序是否能夠應付中斷情況）。 供應商提供的設施和服務的檢查（確保外部提供的服務和產品符合合同中的規(guī)定）。 在備用場地進行測試（繼續(xù)業(yè)務流程的同時在主場地外執(zhí)行恢復操作）。 通過測試確保技術上信息系統(tǒng)可以有效地恢復。 通過模擬事故發(fā)生的情況，重點培訓對負責事故/危機發(fā)生后管理的人員。 通過會議，可以使用類似案例討論業(yè)務恢復方面的安排。根據要求可以指定備選方案。 明確個人責任。 在組織內開展業(yè)務連續(xù)性的教育培訓活動。 說明計劃檢查方式和時間的維護計劃以及計劃維護程序。 說明若恢復未完成時應遵循的臨時操作規(guī)程。說明應該采取哪些措施，以恢復正常業(yè)務運作。216。 低效運行程序。說明在發(fā)生危及業(yè)務操作和/或生命的事故后要采取的措施。216。 計劃的啟動條件。c) 應當維護一個全局性的業(yè)務連續(xù)性計劃框架，以確保所有計劃的一致性。 對員工進行適當的業(yè)務連續(xù)性計劃的培訓216。216。216。216。216。216。216。216。216。b) 業(yè)務連續(xù)性計劃的內容至少應當包括：216。a) 參考《業(yè)務連續(xù)性管理程序》制訂并實施業(yè)務連續(xù)性計劃，預防和恢復控制相結合，將災難和安全故障（可能是由于自然災害、事故、設備故障和蓄意破壞等引起）造成的影響降低到可以接受的水平，限制破壞性事件造成的后果，確保關鍵業(yè)務的操作得到及時恢復。c) 從事件被檢測到至處理完成全過程的記錄和證據（包括紙制文檔和電子信息）都應進行保留。詳細規(guī)定參見《信息安全事件管理程序》。2) 信息安全事故管理和改進目標：確保使用可追蹤的，有效的方法管理信息安全事故。b) 信息安全事件發(fā)生后，報告人應立即將事件的重要細節(jié)（如事件描述、屏幕上顯示的消息、造成的后果、其它異常情況等）向主管部門報告。 增強對該漏洞的監(jiān)控. 信息安全事故處理1) 報告信息安全事故和弱點目標：確保與信息系統(tǒng)有關的安全事件和弱點的報告，以便及時采取糾正措施。 在網絡邊界上增加隔離和訪問控制，如防火墻216。b) 如果沒有合適的補丁，應當實施其它措施，如：216。a) 應當確認軟件和其它技術的相關漏洞，指定專人進行安全補丁管理工作，包括補丁公告、補丁評估和補丁列表的維護工作。e) 可以采取安全手段監(jiān)視系統(tǒng)、通信和個人行為，以減小信息泄露的可能。變更后，運維人員應當監(jiān)控變更帶來的影響。c) 當操作系統(tǒng)變更后，應評審和測試關鍵的應用系統(tǒng)，以確定此變更對運營和安全帶來的影響。b) 必須分開生產環(huán)境和非生產環(huán)境，非生產環(huán)境包括開發(fā)、測試和培訓所用的環(huán)境。若有可能，在運行環(huán)境中不應保留程序源代碼庫。f) 測試過程中應當避免使用敏感信息，測試完成后應當及時清除。d) 重要軟件和應用升級后，包括需要的信息、參數、升級過程日志、配置細節(jié)等都要歸檔，配套的數據和文件也應歸檔。b) 應當盡量避免應用系統(tǒng)對操作系統(tǒng)的直接調用，最大限度降低操作系統(tǒng)崩潰的風險。b) 實施密鑰管理辦法，包括防止密鑰的丟失、泄密或破壞，密鑰的銷毀和密鑰損壞后加密數據的恢復。216。216。3) 加密控制目標：通過加密手段來保護信息的保密性、真實性和完整性a) 在組織內實施加密控制的策略，可以考慮使用密碼技術以實現：216。在保護敏感或關鍵信息時使用。216。 消息驗證：檢查傳輸的電子消息內容是否有非法變更或破壞的技術手段。 輸出數據驗證：對應用系統(tǒng)輸出的數據進行驗證，保證對存儲信息的正確處理。 數據的容錯處理：為防止正確的數據因處理錯誤或故意人為等因素遭到破壞而采取的檢查和控制措施。 輸入數據驗證：對應用系統(tǒng)的數據輸入進行驗證，保證輸入數據正確并合乎要求。2) 應用系統(tǒng)的正確處理目標：防止應用系統(tǒng)信息的錯誤、丟失、未授權的修改或誤用。. 信息系統(tǒng)的獲取、開發(fā)和維護安全1) 信息系統(tǒng)的安全要求目標：確保安全成為信息系統(tǒng)的一部分。未經信息安全部批準，不得在公共場所訪問內部網絡。7) 移動計算和遠程工作目標：確保在使用移動計算機和遠程工作設施時的安全。b) 處理敏感信息的系統(tǒng)應當與公共網隔離，且系統(tǒng)輸出信息僅能發(fā)送給特定的終端和人員。6) 應用程序和信息訪問控制目標：防止對應用系統(tǒng)中信息的非法訪問。 保護口令的存儲和傳輸過程。216。216。216。d) 使用口令管理系統(tǒng)時，可以考慮配置：216。c) 應對所有用戶分配一個唯一的ID。 記錄成功和不成功登錄的情況216。 只顯示一般性的警告信息，例如“本系統(tǒng)只允許授權用戶訪問”216。a) 主機系統(tǒng)的登錄必須遵照以下規(guī)定：216。g) 對于從正式辦公地點內部發(fā)起的、目標為外部網絡或計算機的所有計算機網絡連接，必須通過由統(tǒng)一配置使用的系統(tǒng)進行路由。上述接口和出口應當同時考慮實施地址轉換、防病毒和入侵檢測產品等。給第三方開放遠程維護帳號時，維護結束后必須立即收回。c) 任何到網絡的物理或邏輯的連接必須經過運維部的批準。 明確訪問網絡和網絡服務的用戶216。a) 網絡管理員必須參照《訪問控制程序》和業(yè)務系統(tǒng)要求進行控制：216。d) 人員離開時，必須清理桌面上的敏感信息，打印出的文件必須及時從打印機取走。當員工離開計算機時，員工必須立即鎖定屏幕或退出系統(tǒng)，且在系統(tǒng)內必須設置5分鐘自動啟用有口令的屏幕保護。要求用戶不得明文保存口令，及時修改默認口令并必須選擇強壯的口令，定期修改密碼，不得隨意共享密碼。3) 用戶責任目標：避免未授權用戶的訪問，防止信息和信息處理設施的安全。必須每半年進行用戶使用情況的評審，凡是半年及半年以上未使用的帳號經相關部門確認后刪除。e) 要告知并強制用戶遵守用戶帳號及口令管理規(guī)定，用戶必須對自己的帳號和口令保密，不能以任何形式向他人透露口令信息，不得以未加密的形式將口令保存在文件或計算機中，在收到應用系統(tǒng)或軟件的初始口令后必須及時更改。c) 用戶權限必須按照最小權限原則進行分配。詳細規(guī)定參見《公司郵箱管理辦法》b) 所有對信息系統(tǒng)的訪問必須遵照《訪問控制程序》。a) 禁止用戶帳號共享，普通用戶不能在一個系統(tǒng)上擁有多個帳號，系統(tǒng)管理員不能在一個系統(tǒng)上擁有多個相同角色的帳號。a) 應當明確規(guī)定每個用戶以及相應用戶組在各個系統(tǒng)中訪問控制規(guī)則與權限，每半年要