|
|
|
.建立应用系统的安全需求管理:安全控制需求规范应考虑在系统中所包含的自动化控制以及人工控制的需要。在评价应用系统的开发或购买时,需要进行安全控制方面的考虑。信息安全系统需求与实施安全的过程应该在信息安全工程的早期阶段集成。
|
|
|
.严格应用系统的安全检测与验收:对软件的安全检测与验收主要可依据《GB/T 18336.1—2008信息技术安全技术信息技术安全性评估准则第1部分:简介和一般模型》《GB/T 18336.2—2008信息技术安全技术信息技术安全性评估准则第2部分:安全功能要求》以及《GB/T 18336.3—2008信息技术安全技术信息技术安全性评估准则第3部分:安全保证要求进行》。
|
|
|
.加强应用系统的操作安全控制:应用系统内设计合适的控制以确保处理的正确性。这些控制包括输入数据的验证、内部处理控制和输出数据的确认。对于处理敏感的、有价值的或关键的组织资产的系统或对组织资产有影响的系统可以要求附加控制。这样的控制应在安全要求和风险评估的基础上加以确定。
|
|
|
.规范变更管理:为使信息系统的损坏程度减到最小,应实施正式的变更控制规程。变更管理过程应包括风险评估、变更效果分析和安全控制。确保变更不损坏安全和控制规程,确保支持性程序员仅能访问其工作所需的系统的某些部分,确保对任何变更要获得正式协商和批准。
|
|
|
.防止信息泄露:为了限制信息泄露的风险,如通过应用隐蔽通道泄露信息,可以考虑扫描隐藏信息的外部介质和通信,掩盖和调整系统与通信的行为,以减少第三方访问信息或推断信息的能力;使用可信赖的应用系统和软件进行信息处理;在法律和法规允许的前提下,定期监视个人系统的行为,监视计算机系统的源码使用。
|
|
|
.严格访问控制:严格控制对应用系统的访问包括建立访问控制策略,建立正式的授权程序来控制对应用系统和服务的访问权力的分配,避免未授权用户的信息访问和信息处理设施。组织只能针对具有合适的安全设计和控制,并且符合组织的安全策略的情况授权远程工作活动。
|
|
|
.信息备份:制定应用系统的备份策略,根据策略对信息和软件进行备份并定期测试。提供足够的备份设施,保持信息和信息处理设施的完整性和可用性,确保所有必要的信息和软件能在灾难或介质故障后进行恢复。建立例行程序来执行针对数据备份以及恢复演练的策略和战略。
|
|
|
.应用系统的使用监视:检测未经授权的信息处理活动,记录用户活动、异常和信息安全事件的日志,并按照约定的期限进行保留,以支持将来的调查和访问控制监视。记录系统管理员和系统操作者的活动,并对系统管理员和操作员的活动日志定期评审。记录并分析错误日志,并采取适当的措施改正错误。
|
|
|
|
|
组织管理层对应用系统的安全负有全部责任,其安全管理包括:
|
|
|
.资源分配:管理层负责为计划内应用系统的安全活动提供必要的资源。
|
|
|
.标准和程序:管理层负责为所有运行建立必要的,符合总体业务战略和政策的标准和程序,并且符合组织业务的安全规定。
|
|
|
.应用系统的过程监控:应用系统管理人员要负责监控和测量应用系统运行过程的效率与效果,以保证过程的持续完善。
|
|
|
|
|
|
|
|
|
.监控环境和设施的安全,为设备的正常运行保持适当的条件。
|
|
|
.检查操作员日志以识别预定的和实际的活动之间的差异。
|
|
|
.监控系统性能和资源情况,以实现计算机资源的最佳使用。
|
|
|
.预测设备或应用系统的容量,以保证当前作业流量的最大化,并为未来需求制定战略计划。
|
|
|
|
系统运行安全与保密由四个层次构成,按粒度由大到小顺序排列为:
|
|
|
.系统级安全:企业应用系统越来越复杂,因此制定得力的系统级安全策略才是从根本上解决问题的基础。系统级安全策略包括敏感系统的隔离、访问IP地址段的限制、登录时间段的限制、会话时间的限制、连接数的限制、特定时间段内登录次数的限制以及远程访问控制等,系统级安全是应用系统的第一道防护大门。
|
|
|
.资源访问安全:对程序资源的访问进行安全控制,在客户端上,为用户提供与其权限相关的用户界面,仅出现与其权限相符的菜单和操作按钮;在服务端则对URL程序资源和业务服务类方法的调用进行访问控制。
|
|
|
.功能性安全:功能性安全会对程序流程产生影响,如用户在操作业务记录时,是否需要审核,上传附件不能超过指定大小等。这些安全限制已经不是入口级的限制,而是程序流程内的限制,在一定程度上影响程序流程的运行。
|
|
|
.数据域安全:数据域安全包括两个层次,一是行级数据域安全,即用户可以访问哪些业务记录,一般以用户所在单位为条件进行过滤;二是字段级数据域安全,即用户可以访问业务记录的哪些字段。不同的应用系统数据域安全的需求存在很大的差别,业务相关性比较高。
|
|
|
|
系统运行的安全检查是安全管理的常用工作方法,也是预防事故、发现隐患、指导整改的必要工作手段。对检查的内容、检查的方法、检查的计划安排、检查的结果应进行及时的记录、分析和评审。系统运行安全检查和记录的范围如下:
|
|
|
|
|
|
|
|
|
|
|
|
|
.系统运行的安全管理组织:包括各类人员的构成、各自职责、主要任务和管理内部组织结构。
|
|
|
.系统运行的安全管理:制定有关的政策、制度、程序或采用适当的硬件手段、软件程序和技术工具;保证信息系统不被未经授权进入和使用、修改、盗窃等造成损害的各种措施,主要包括系统安全等级管理、系统运行监视管理、系统运行文件管理制度、系统运行操作规程、用户管理制度、系统运行维护制度、系统运行灾备制度、系统运行审计制度。
|
|
|
.系统运行的安全监督:应用系统的使用单位,通过建立应用系统安全保护领导组织或配备专、兼职管理人员,落实安全保护责任制度,对管理人员和应用操作人员组织岗位培训;制定防治计算机病毒和其他有害数据的方案,必要时协助公安机关查处危害计算机信息系统安全的违法犯罪案件。根据应用系统的运行特点,制定系统运行安全监督制度。
|
|
|
.系统运行的安全教育:根据应用系统所设计的业务范围,对管理层、系统管理员和操作人员等用户进行信息安全的教育培训。制定系统运行安全的培训管理程序和安全培训计划,程序规定培训的范围、启动、制定培训计划、培训计划的实施、培训效果的考核、评审和验证等。培训计划的内容包括培训对象、培训内容、日程安排、培训要求和考核方法等要素。
|
|
|