教育信息安全檢查實(shí)施方案

1、附件2國(guó)家信息安全等級(jí)保護(hù)二級(jí)標(biāo)準(zhǔn)自查模板安全管理機(jī)構(gòu)1自查項(xiàng)目序 號(hào)控制點(diǎn)基本要求自查結(jié)果備注是否不適用1崗位設(shè)置a）應(yīng)設(shè)立安全主管、安全管 理各個(gè)方面的負(fù)責(zé)人崗位， 并定義各負(fù)責(zé)人的職責(zé)；b）應(yīng)設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò) 管理員、安全管理員等崗位， 并定義各個(gè)工作崗位的職 責(zé)；2人員配備a）應(yīng)配備一疋數(shù)量的系統(tǒng)管 理員、網(wǎng)絡(luò)管理員、安全管 理員等；b）安全管理員不能兼任網(wǎng)絡(luò) 管理員、系統(tǒng)管理員、數(shù)據(jù) 庫管理員等。3授權(quán)和審批a）應(yīng)根據(jù)各個(gè)部門和崗位的 職責(zé)明確授權(quán)審批部門及批 準(zhǔn)人，對(duì)系統(tǒng)投入運(yùn)行、網(wǎng) 絡(luò)系統(tǒng)接入和重要資源的訪 問等關(guān)鍵活動(dòng)進(jìn)行審批；b）應(yīng)針對(duì)關(guān)鍵活動(dòng)建立審批 流程，并由批準(zhǔn)人簽

2、字確認(rèn)。4溝通和合作a）應(yīng)加強(qiáng)各類管理人員之 間、組織內(nèi)部機(jī)構(gòu)之間以及 信息安全職能部門內(nèi)部的合 作與溝通；b）應(yīng)加強(qiáng)與兄弟單位、公安 機(jī)關(guān)、電信公司的合作與溝 通。5審核和檢查a）安全管理員應(yīng)負(fù)責(zé)定期進(jìn) 行安全檢查，檢查內(nèi)容包括 系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和 數(shù)據(jù)備份等情況。安全管理制度2自查項(xiàng)目序 號(hào)控制點(diǎn)基本要求自查結(jié)果備注是否不適用1管理制度a）應(yīng)制定信息安全工作的總 體方針和安全策略，說明機(jī) 構(gòu)安全工作的總體目標(biāo)、范 圍、原則和安全框架等；b）應(yīng)對(duì)安全管理活動(dòng)中重要 的管理內(nèi)容建立安全管理制 度；c）應(yīng)對(duì)安全管理人員或操作 人員執(zhí)行的重要管理操作建 立操作規(guī)程。2制定和發(fā)布a）應(yīng)指定或授

3、權(quán)專門的部門 或人員負(fù)責(zé)安全管理制度的 制定；b）應(yīng)組織相關(guān)人員對(duì)制定的 安全管理制度進(jìn)行論證和審疋；c）應(yīng)將安全管理制度以某種 方式發(fā)布到相關(guān)人員手中。3評(píng)審和修訂a）應(yīng)定期對(duì)安全管理制度進(jìn) 行評(píng)審，對(duì)存在不足或需要 改進(jìn)的安全管理制度進(jìn)行修 訂。人員安全管理3自查項(xiàng)目序 號(hào)控制點(diǎn)基本要求自查結(jié)果備注是否不適用1人員錄 用a）應(yīng)指定或授權(quán)專門的部 門或人員負(fù)責(zé)人員錄用；b）應(yīng)規(guī)氾人員錄用過程，對(duì) 被錄用人員的身份、背景和 專業(yè)資格等進(jìn)行審查，對(duì)其 所具有的技術(shù)技能進(jìn)行考 核；c）應(yīng)與從事關(guān)鍵崗位的人 員簽署保密協(xié)議。2人員離崗a）應(yīng)規(guī)范人員離崗過程，及 時(shí)終止離崗員工的所有訪問權(quán)限；b）應(yīng)取

4、回各種身份證件、 鑰 匙、徽章等以及機(jī)構(gòu)提供的 軟硬件設(shè)備；c）應(yīng)辦理嚴(yán)格的調(diào)離手續(xù)。3人員考核a）應(yīng)定期對(duì)各個(gè)崗位的人 員進(jìn)行安全技能及安全認(rèn) 知的考核。4安全意 識(shí)教育 和培訓(xùn)a）應(yīng)對(duì)各類人員進(jìn)行安全 意識(shí)教育、崗位技能培訓(xùn)和 相關(guān)安全技術(shù)培訓(xùn)；b）應(yīng)告知人員相關(guān)的安全 責(zé)任和懲戒措施，并對(duì)違反 違背安全策略和規(guī)定的人 員進(jìn)行懲戒；c）應(yīng)制定安全教育和培訓(xùn) 計(jì)劃，對(duì)信息安全基礎(chǔ)知 識(shí)、岡位操作規(guī)程等進(jìn)仃培 訓(xùn)。5外部人 員訪問 管理a）應(yīng)確保在外部人員訪問 受控區(qū)域前得到授權(quán)或?qū)?批，批準(zhǔn)后由專人全程陪同 或監(jiān)督，并登記備案。數(shù)據(jù)安全及備份恢復(fù)4自查項(xiàng)目序 號(hào)控制點(diǎn)基本要求自查結(jié)果備注是否

5、不適用1數(shù)據(jù)完整性a）應(yīng)能夠檢測(cè)到鑒別信息 和重要業(yè)務(wù)數(shù)據(jù)在傳輸過 程中完整性受到破壞。2數(shù)據(jù)保密性a）應(yīng)米用加密或其他保護(hù) 措施實(shí)現(xiàn)鑒別信息的存儲(chǔ) 保密性。a）應(yīng)能夠?qū)χ匾畔⑦M(jìn)行 備份和恢復(fù)；3備份和恢復(fù)b）應(yīng)提供關(guān)鍵網(wǎng)絡(luò)設(shè)備、通 信線路和數(shù)據(jù)處理系統(tǒng)的 硬件冗余，保證系統(tǒng)的可用 性；網(wǎng)絡(luò)安全5自查項(xiàng)目序 號(hào)控制點(diǎn)基本要求自查結(jié)果備注是否一不適用1結(jié)構(gòu)安全a）應(yīng)保證關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè) 務(wù)處理能力具備冗余空間， 滿足業(yè)務(wù)高峰期需要；b）應(yīng)保證接入網(wǎng)絡(luò)和核心網(wǎng) 絡(luò)的帶寬滿足業(yè)務(wù)高峰期需 要；C）應(yīng)繪制與當(dāng)前運(yùn)行情況相 符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；d）應(yīng)根據(jù)各部門的工作職 能、重要性和所涉及信息的 重要程

6、度等因素，劃分不冋 的子網(wǎng)或網(wǎng)段，并按照方便 管理和控制的原則為各子 網(wǎng)、網(wǎng)段分配地址段；2訪問控制a）應(yīng)在網(wǎng)絡(luò)邊界部署訪冋控 制設(shè)備，啟用訪問控制功能；b）應(yīng)能根據(jù)會(huì)話狀態(tài)信息為 數(shù)據(jù)流提供明確的允許/拒 絕訪問的能力，控制粒度為 網(wǎng)段級(jí)；C）應(yīng)按用戶和系統(tǒng)之間的允 許訪問規(guī)則，決定允許或拒 絕用戶對(duì)受控系統(tǒng)進(jìn)行資源 訪問，控制粒度為單個(gè)用戶；d）應(yīng)限制具有撥號(hào)訪問權(quán)限 的用戶數(shù)量。3安全審計(jì)a）應(yīng)對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè) 備運(yùn)行狀況、網(wǎng)絡(luò)流量、用 戶行為等進(jìn)行日志記錄；b）審計(jì)記錄應(yīng)包括：事件的 日期和時(shí)間、用戶、事件類 型、事件是否成功及其他與 審計(jì)相關(guān)的信息；4邊界完 整性檢 查a）應(yīng)能夠

7、對(duì)內(nèi)部網(wǎng)絡(luò)中出現(xiàn) 的內(nèi)部用戶未通過準(zhǔn)許私自 聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢 查。5入侵防 范a）應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下 攻擊行為：端口掃描、強(qiáng)力 攻擊、木馬后門攻擊、拒絕 服務(wù)攻擊、緩沖區(qū)溢出攻擊、 IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊 等；6網(wǎng)絡(luò)設(shè) 備防護(hù)a）應(yīng)對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶 進(jìn)行身份鑒別；b）應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的管理員登 錄地址進(jìn)行限制；c）網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識(shí)應(yīng)唯；d）身份鑒別信息應(yīng)具有不易 被冒用的特點(diǎn)，口令應(yīng)有復(fù) 雜度要求并定期更換；e）應(yīng)具有登錄失敗處理功 能，可采取結(jié)束會(huì)話、限制 非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄 連接超時(shí)自動(dòng)退出等措施；f）當(dāng)對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管 理時(shí)，應(yīng)采取必要措施防止 鑒別信息在網(wǎng)絡(luò)

8、傳輸過程中 被竊聽；物理安全6自查項(xiàng)目序 號(hào)控制點(diǎn)基本要求自查結(jié)果備注是否不適用1物理位 置的選 擇a）機(jī)房和辦公場(chǎng)地應(yīng)選擇 在具有防震、防風(fēng)和防雨等 能力的建筑內(nèi)。2物理訪 問控制a）機(jī)房出入口應(yīng)安排專人 值守，控制、鑒別和記錄進(jìn) 入的人員；b）需進(jìn)入機(jī)房的來訪人員 應(yīng)經(jīng)過申請(qǐng)和審批流程， 并 限制和監(jiān)控其活動(dòng)范圍；3防盜竊 和防破 壞a）應(yīng)將主要設(shè)備放置在機(jī) 房?jī)?nèi)；b）應(yīng)將設(shè)備或主要部件進(jìn) 行固定，并設(shè)置明顯的不易 除去的標(biāo)記；c）應(yīng)將通信線纜鋪設(shè)在隱 敝處，可鋪設(shè)在地下或管道 中；d）應(yīng)對(duì)介質(zhì)分類標(biāo)識(shí)，存儲(chǔ) 在介質(zhì)庫或檔案至中；e）主機(jī)房應(yīng)安裝必要的防 盜報(bào)警設(shè)施；4防雷擊a）機(jī)房建筑應(yīng)

9、設(shè)置避雷裝 置；b）機(jī)房應(yīng)設(shè)置交流電源地 線。5防火a）機(jī)房應(yīng)設(shè)置火火設(shè)備和 火災(zāi)自動(dòng)報(bào)警系統(tǒng)；6防水和防潮a）水管安裝，不得穿過機(jī)房 屋頂和活動(dòng)地板下；b）應(yīng)采取措施防止雨水通 過機(jī)房窗戶、屋頂和墻壁滲 透；c）應(yīng)采取措施防止機(jī)房?jī)?nèi) 水蒸氣結(jié)露和地下積水的 轉(zhuǎn)移與滲透；7防靜電a）關(guān)鍵設(shè)備應(yīng)采用必要的 接地防靜電措施。8溫濕度控制a）機(jī)房應(yīng)設(shè)置溫、濕度自動(dòng) 調(diào)節(jié)設(shè)施，使機(jī)房溫、濕度 的變化在設(shè)備運(yùn)行所允許 的范圍之內(nèi)。9電力供應(yīng)a）應(yīng)在機(jī)房供電線路上配 置穩(wěn)壓器和過電壓防護(hù)設(shè) 備；b）應(yīng)提供短期的備用電力 供應(yīng)，至少滿足關(guān)鍵設(shè)備在 斷電情況下的正常運(yùn)行要 求。10電磁防護(hù)a）電源線和通信線纜

10、應(yīng)隔 離鋪設(shè)，避免互相干擾。系統(tǒng)建設(shè)管理7自查項(xiàng)目序 號(hào)控制點(diǎn)基本要求自查結(jié)果備注是否不適用1系統(tǒng)定級(jí)a）應(yīng)明確信息系統(tǒng)的邊界和 安全保護(hù)等級(jí)；b）應(yīng)以書面的形式說明信息 系統(tǒng)確定為某個(gè)安全保護(hù)等 級(jí)的方法和理由；c）應(yīng)確保信息系統(tǒng)的定級(jí)結(jié) 果經(jīng)過相關(guān)部門的批準(zhǔn)。2安全方案設(shè)計(jì)a）應(yīng)根據(jù)系統(tǒng)的安全保護(hù)等 級(jí)選擇基本安全措施，依據(jù) 風(fēng)險(xiǎn)分析的結(jié)果補(bǔ)充和調(diào)整 安全措施；b）應(yīng)以書面形式描述對(duì)系統(tǒng) 的安全保護(hù)要求、策略和措 施等內(nèi)容，形成系統(tǒng)的安全 萬案；c）應(yīng)對(duì)安全方案進(jìn)行細(xì)化， 形成能指導(dǎo)安全系統(tǒng)建設(shè)、 安全產(chǎn)品采購和使用的詳細(xì) 設(shè)計(jì)方案；d）應(yīng)組織相關(guān)部門和有關(guān)安 全技術(shù)專家對(duì)安全設(shè)計(jì)方案 的

11、合理性和正確性進(jìn)行論證 和審定，并且經(jīng)過批準(zhǔn)后， 才能正式實(shí)施。3產(chǎn)品采 購和使 用a）應(yīng)確保安全產(chǎn)品采購和使 用符合國(guó)家的有關(guān)規(guī)定；b）應(yīng)確保密碼產(chǎn)品采購和使 用符合國(guó)家密碼主管部門的 要求；C）應(yīng)指定或授權(quán)專門的部門 負(fù)責(zé)產(chǎn)品的采購。4自行軟 件開發(fā)a）應(yīng)確保開發(fā)環(huán)境與實(shí)際運(yùn) 行環(huán)境物理分開；b）應(yīng)制定軟件開發(fā)管理制 度，明確說明開發(fā)過程的控 制方法和人員行為準(zhǔn)則；c）應(yīng)確保提供軟件設(shè)計(jì)的相 關(guān)文檔和使用指南，并由專 人負(fù)責(zé)保管。5外包軟件開發(fā)a）應(yīng)根據(jù)開發(fā)要求檢測(cè)軟件 質(zhì)量；b）應(yīng)確保提供軟件設(shè)計(jì)的相 關(guān)文檔和使用指南；C）應(yīng)在軟件安裝之前檢測(cè)軟 件包中可能存在的惡意代 碼；d）應(yīng)要求開

12、發(fā)單位提供軟件 源代碼，并審查軟件中可能 存在的后門。6工程實(shí) 施a）應(yīng)指定或授權(quán)專門的部門 或人員負(fù)責(zé)工程實(shí)施過程的 管理；b）應(yīng)制定詳細(xì)的工程實(shí)施方 案，控制工程實(shí)施過程。7測(cè)試驗(yàn) 收a）應(yīng)對(duì)系統(tǒng)進(jìn)行安全性測(cè)試 驗(yàn)收；b）在測(cè)試驗(yàn)收前應(yīng)根據(jù)設(shè)計(jì) 方案或合冋要求等制訂測(cè)試 驗(yàn)收方案，在測(cè)試驗(yàn)收過程 中應(yīng)詳細(xì)記錄測(cè)試驗(yàn)收結(jié) 果，并形成測(cè)試驗(yàn)收?qǐng)?bào)告；C）應(yīng)組織相關(guān)部門和相關(guān)人 員對(duì)系統(tǒng)測(cè)試驗(yàn)收?qǐng)?bào)告進(jìn)行 審定，并簽字確認(rèn)。8系統(tǒng)交付a）應(yīng)制定系統(tǒng)父付清單，并 根據(jù)交付清單對(duì)所交接的設(shè) 備、軟件和文檔等進(jìn)行清點(diǎn)；b）應(yīng)對(duì)負(fù)責(zé)系統(tǒng)運(yùn)行維護(hù)的 技術(shù)人員進(jìn)行相應(yīng)的技能培 訓(xùn)；c）應(yīng)確保提供系統(tǒng)建設(shè)過程 中

13、的文檔和指導(dǎo)用戶進(jìn)行系 統(tǒng)運(yùn)行維護(hù)的文檔。9安全服 務(wù)商選 擇a）應(yīng)確保安全服務(wù)商的選擇 符合國(guó)家的有關(guān)規(guī)定；b）應(yīng)與選定的安全服務(wù)商簽 訂與安全相關(guān)的協(xié)議，明確 約定相關(guān)責(zé)任；c）應(yīng)確保選定的安全服務(wù)商 提供技術(shù)支持和服務(wù)承諾， 必要的與其簽訂服務(wù)合同。系統(tǒng)運(yùn)維管理8自查項(xiàng)目序 號(hào)控制點(diǎn)基本要求自查結(jié)果備注是否不適用1環(huán)境管理a）應(yīng)指定專門的部門或人員 定期對(duì)機(jī)房供配電、空調(diào)、 溫濕度控制等設(shè)施進(jìn)行維護(hù) 管理；b）應(yīng)配備機(jī)房安全管理人 員，對(duì)機(jī)房的出入、服務(wù)器 的開機(jī)或關(guān)機(jī)等工作進(jìn)行管 理；c）應(yīng)建立機(jī)房安全管理制 度，對(duì)有關(guān)機(jī)房物理訪問， 物品帶進(jìn)、帶出機(jī)房和機(jī)房 環(huán)境安全等方面的管理作出

14、 規(guī)定；d）應(yīng)加強(qiáng)對(duì)辦公環(huán)境的保密 性管理，包括工作人員調(diào)離 辦公室應(yīng)立即交還該辦公室 鑰匙和不在辦公區(qū)接待來訪 人員等。2資產(chǎn)管理a）應(yīng)編制與信息系統(tǒng)相關(guān)的 資產(chǎn)清單，包括資產(chǎn)責(zé)任部 門、重要程度和所處位置等 內(nèi)容；b）應(yīng)建立資產(chǎn)安全管理制 度，規(guī)定信息系統(tǒng)資產(chǎn)管理 的責(zé)任人員或責(zé)任部門，并 規(guī)范資產(chǎn)管理和使用的行 為。3介質(zhì)管理a）應(yīng)確保介質(zhì)存放在安全的 環(huán)境中，對(duì)各類介質(zhì)進(jìn)行控 制和保護(hù)，并實(shí)行存儲(chǔ)環(huán)境 專人管理；b）應(yīng)對(duì)介質(zhì)歸檔和查詢等過 程進(jìn)行記錄，并根據(jù)存檔介 質(zhì)的目錄清單定期盤點(diǎn)；c）應(yīng)對(duì)需要送出維修或銷毀 的介質(zhì)，首先清除其中的敏 感數(shù)據(jù)，防止信息的非法泄 漏；d）應(yīng)根據(jù)所承載

15、數(shù)據(jù)和軟件 的重要程度對(duì)介質(zhì)進(jìn)行分類 和標(biāo)識(shí)管理。4設(shè)備管 理a）應(yīng)對(duì)信息系統(tǒng)相關(guān)的各種 設(shè)備（包括備份和冗余設(shè) 備）、線路等指定專門的部門 或人員定期進(jìn)行維護(hù)管理；b）應(yīng)建立基于申報(bào)、審批和 專人負(fù)責(zé)的設(shè)備安全管理制 度，對(duì)信息系統(tǒng)的各種軟硬 件設(shè)備的選型、采購、發(fā)放 和領(lǐng)用等過程進(jìn)行規(guī)范化管 理；C）應(yīng)對(duì)終端計(jì)算機(jī)、工作站、 便攜機(jī)、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備 的操作和使用進(jìn)行規(guī)范化管 理，按操作規(guī)程實(shí)現(xiàn)關(guān)鍵設(shè) 備（包括備份和冗余設(shè)備） 的啟動(dòng)/停止、加電/斷電等 操作；d）應(yīng)確保信息處理設(shè)備必須 經(jīng)過審批才能帶離機(jī)房或辦 公地點(diǎn)。5網(wǎng)絡(luò)安 全管理a）應(yīng)指定人員對(duì)網(wǎng)絡(luò)進(jìn)行管 理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)

16、 控記錄的日常維護(hù)和報(bào)警信 息分析和處理工作；b）應(yīng)建立網(wǎng)絡(luò)安全管理制 度，對(duì)網(wǎng)絡(luò)安全配置、日志 保存時(shí)間、安全策略、升級(jí) 與打補(bǔ)丁、口令更新周期等 方面作出規(guī)定；c）應(yīng)根據(jù)廠家提供的軟件升 級(jí)版本對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行更 新，并在更新前對(duì)現(xiàn)有的重 要文件進(jìn)行備份；d）應(yīng)定期對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行漏 洞掃描，對(duì)發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng) 安全漏洞進(jìn)行及時(shí)的修補(bǔ)；e）應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的配置文件 進(jìn)行定期備份；f）應(yīng)保證所有與外部系統(tǒng)的 連接均得到授權(quán)和批準(zhǔn)。6系統(tǒng)安 全管理a）應(yīng)根據(jù)業(yè)務(wù)需求和系統(tǒng)安 全分析確定系統(tǒng)的訪問控制 策略；b）應(yīng)定期進(jìn)行漏洞掃描，對(duì) 發(fā)現(xiàn)的系統(tǒng)安全漏洞及時(shí)進(jìn) 行修補(bǔ)；C）應(yīng)安裝系統(tǒng)的最新補(bǔ)丁程 序，在

17、安裝系統(tǒng)補(bǔ)丁前，應(yīng) 首先在測(cè)試環(huán)境中測(cè)試通 過，并對(duì)重要文件進(jìn)行備份 后，方可實(shí)施系統(tǒng)補(bǔ)丁程序 的安裝；d）應(yīng)建立系統(tǒng)安全管理制 度，對(duì)系統(tǒng)安全策略、安全 配置、日志管理和日常操作 流程等方面作出規(guī)疋；e）應(yīng)依據(jù)操作手冊(cè)對(duì)系統(tǒng)進(jìn) 行維護(hù)，詳細(xì)記錄操作日志， 包括重要的日常操作、運(yùn)行 維護(hù)記錄、參數(shù)的設(shè)置和修 改等內(nèi)容，嚴(yán)禁進(jìn)行未經(jīng)授 權(quán)的操作；f）應(yīng)定期對(duì)運(yùn)行日志和審計(jì) 數(shù)據(jù)進(jìn)行分析，以便及時(shí)發(fā) 現(xiàn)異常行為。7惡意代 碼防范 管理a）應(yīng)提高所有用戶的防病毒 意識(shí)，告知及時(shí)升級(jí)防病毒 軟件，在讀取移動(dòng)存儲(chǔ)設(shè)備 上的數(shù)據(jù)以及網(wǎng)絡(luò)上接收文 件或郵件之前，先進(jìn)行病毒 檢查，對(duì)外來計(jì)算機(jī)或存儲(chǔ) 設(shè)備接入

18、網(wǎng)絡(luò)系統(tǒng)之前也應(yīng) 進(jìn)行病毒檢查；b）應(yīng)指定專人對(duì)網(wǎng)絡(luò)和主機(jī) 進(jìn)行惡意代碼檢測(cè)并保存檢 測(cè)記錄；c）應(yīng)對(duì)防惡意代碼軟件的授 權(quán)使用、惡意代碼庫升級(jí)、 定期匯報(bào)等作出明確規(guī)定。8密碼管理a）應(yīng)使用符合國(guó)家密碼管理 規(guī)疋的密碼技術(shù)和產(chǎn)品。9變更管 理a）應(yīng)確認(rèn)系統(tǒng)中要發(fā)生的重 要變更，并制定相應(yīng)的變更 萬案；b）系統(tǒng)發(fā)生重要變更前，應(yīng) 向主管領(lǐng)導(dǎo)申請(qǐng)，審批后方 可實(shí)施變更，并在實(shí)施后向 相關(guān)人員通告。10備份與 恢復(fù)管 理a）應(yīng)識(shí)別需要定期備份的重 要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟 件系統(tǒng)等；b）應(yīng)規(guī)定備份信息的備份方 式、備份頻度、存儲(chǔ)介質(zhì)、 保存期等；c）應(yīng)根據(jù)數(shù)據(jù)的重要性及其 對(duì)系統(tǒng)運(yùn)行的影響，制定數(shù)

19、 據(jù)的備份策略和恢復(fù)策略， 備份策略指明備份數(shù)據(jù)的放 置場(chǎng)所、文件命名規(guī)則、介 質(zhì)替換頻率和數(shù)據(jù)離站運(yùn)輸 方法。11安全事件處置a）應(yīng)報(bào)告所發(fā)現(xiàn)的安全弱點(diǎn) 和可疑事件，但任何情況下 用戶均不應(yīng)嘗試驗(yàn)證弱點(diǎn)；b）應(yīng)制定安全事件報(bào)告和處 置管理制度，明確安全事件 類型，規(guī)定安全事件的現(xiàn)場(chǎng) 處理、事件報(bào)告和后期恢復(fù) 的管理職責(zé)；c）應(yīng)根據(jù)國(guó)家相關(guān)管理部門 對(duì)計(jì)算機(jī)安全事件等級(jí)劃分 方法和安全事件對(duì)本系統(tǒng)產(chǎn) 生的影響，對(duì)本系統(tǒng)計(jì)算機(jī) 安全事件進(jìn)行等級(jí)劃分；d）應(yīng)記錄并保存所有報(bào)告的 安全弱點(diǎn)和可疑事件，分析 事件原因，監(jiān)督事態(tài)發(fā)展， 采取措施避免安全事件發(fā) 生。12應(yīng)急預(yù)-rrn 案官理a）應(yīng)在統(tǒng)一的

20、應(yīng)急預(yù)案框架 下制定不同事件的應(yīng)急預(yù) 案，應(yīng)急預(yù)案框架應(yīng)包括啟 動(dòng)應(yīng)急預(yù)案的條件、應(yīng)急處 理流程、系統(tǒng)恢復(fù)流程、事 后教育和培訓(xùn)等內(nèi)容；b）應(yīng)對(duì)系統(tǒng)相關(guān)的人員進(jìn)行 應(yīng)急預(yù)案培訓(xùn)，應(yīng)急預(yù)案的 培訓(xùn)應(yīng)至少每年舉辦一次。應(yīng)用安全9自查項(xiàng)目序 號(hào)控制點(diǎn)基本要求自查結(jié)果備注是否不適用1身份鑒別a）應(yīng)提供專用的登錄控制 模塊對(duì)登錄用戶進(jìn)行身份 標(biāo)識(shí)和鑒別；b）應(yīng)提供用戶身份標(biāo)識(shí)唯 一和鑒別信息復(fù)雜度檢查 功能，保證應(yīng)用系統(tǒng)中不存 在重復(fù)用戶身份標(biāo)識(shí)，身份 鑒別信息不易被冒用；c）應(yīng)提供登錄失敗處理功 能，可采取結(jié)束會(huì)話、限制 非法登錄次數(shù)和自動(dòng)退出 等措施；d）應(yīng)啟用身份鑒別、用戶身 份標(biāo)識(shí)唯一性檢查、用

21、戶身 份鑒別信息復(fù)雜度檢查以 及登錄失敗處理功能，并根 據(jù)安全策略配置相關(guān)參數(shù)。2訪問控制a）應(yīng)提供訪問控制功能，依 據(jù)安全策略控制用戶對(duì)文 件、數(shù)據(jù)庫表等客體的訪 問；b）訪冋控制的覆蓋范圍應(yīng) 包括與資源訪問相關(guān)的主 體、客體及它們之間的操 作；c）應(yīng)由授權(quán)主體配置訪問 控制策略，并嚴(yán)格限制默認(rèn) 帳戶的訪問權(quán)限；d）應(yīng)授予不冋帳戶為完成 各自承擔(dān)任務(wù)所需的最小 權(quán)限，并在它們之間形成相 互制約的關(guān)系。3安全審計(jì)a）應(yīng)提供覆蓋到每個(gè)用戶 的安全審計(jì)功能，對(duì)應(yīng)用系 統(tǒng)重要安全事件進(jìn)行審計(jì)；b）應(yīng)保證無法刪除、修改或 覆蓋審計(jì)記錄；C）審計(jì)記錄的內(nèi)容至少應(yīng) 包括事件日期、時(shí)間、發(fā)起 者信息、類型、

22、描述和結(jié)果 等。4通信完整性a）應(yīng)米用校驗(yàn)碼技術(shù)保證 通信過程中數(shù)據(jù)的完整性。5通信保密性a）在通信雙方建立連接之 前，應(yīng)用系統(tǒng)應(yīng)利用密碼技 術(shù)進(jìn)行會(huì)話初始化驗(yàn)證；b）應(yīng)對(duì)通信過程中的敏感 信息字段進(jìn)行加密。6軟件容 錯(cuò)a）應(yīng)提供數(shù)據(jù)有效性檢驗(yàn) 功能，保證通過人機(jī)接口輸 入或通過通信接口輸入的 數(shù)據(jù)格式或長(zhǎng)度符合系統(tǒng) 設(shè)定要求；b）在故障發(fā)生時(shí)，應(yīng)用系統(tǒng) 應(yīng)能夠繼續(xù)提供一部分功 能，確保能夠?qū)嵤┍匾拇?施。7資源控制a）當(dāng)應(yīng)用系統(tǒng)的通信雙方 中的一方在一段時(shí)間內(nèi)未 作任何響應(yīng)，另一方應(yīng)能夠 自動(dòng)結(jié)束會(huì)話；b）應(yīng)能夠?qū)?yīng)用系統(tǒng)的最 大并發(fā)會(huì)話連接數(shù)進(jìn)行限 制;C）應(yīng)能夠?qū)蝹€(gè)帳戶的多 重并發(fā)會(huì)話進(jìn)行限制。主機(jī)安全10自查項(xiàng)目