應用系統(tǒng)安全檢查流程

1、應用系統(tǒng)檢查流程 目錄應用系統(tǒng)檢查流程1目錄21.應用系統(tǒng)編號規(guī)則42.基本信息43.帳戶策略43.1.密碼策略（01001）43.2.帳戶鎖定策略（01002）54.審核策略63.3.審核策略（02001）63.4.日志策略（02002）65.備份恢復策略（03001）76.訪問控制策略（04001）87.權限控制策略（05001）88.安全增強性（06001）99.安全管理910.第三方插件安裝情況1011.檢查編號索引101. 應用系統(tǒng)編號規(guī)則編號規(guī)則：應用類型_公司名稱_部門名稱_數(shù)字編號。應用類型：應用系統(tǒng)的簡寫，如OA。公司名稱：使用此系統(tǒng)的公司簡稱，如BJCA（北京市數(shù)字證書認證

2、中心）。部門名稱：部門簡稱，如CWB（財務部）；如果整個公司都使用此系統(tǒng)，為ALL。數(shù)字編號：順序號，第一個是001，第二個是002，依次類推。例：OA_BJCA_ALL_001：表示北京市數(shù)字證書認證中心的第一個OA系統(tǒng)，此系統(tǒng)被整個公司內(nèi)部使用。2. 基本信息應用系統(tǒng)信息表應用系統(tǒng)名稱應用系統(tǒng)編號應用系統(tǒng)描述此處簡要描述應用系統(tǒng)實現(xiàn)的功能及實現(xiàn)方式等信息所屬業(yè)務類別依存的主機此處填寫主機的編號涉及的數(shù)據(jù)資產(chǎn)沒有可不填應用系統(tǒng)的重要性簡要描述系統(tǒng)的重要性但不需要賦值其他信息3. 帳戶策略3.1. 密碼策略（01001）編號：AppCheck-01001名稱：密碼策略檢查說明：獲得應用系統(tǒng)的密

3、碼策略檢查內(nèi)容：1、 密碼最長使用期限和密碼最短使用期限。2、 最短密碼長度和復雜性要求。3、 密碼產(chǎn)生的方式和傳遞。檢查結果備注：3.2. 帳戶鎖定策略（01002）編號：AppCheck-01002名稱：帳戶鎖定策略檢查說明：獲得應用系統(tǒng)的帳戶鎖定策略檢查內(nèi)容：1、 帳戶鎖定時間2、 帳戶鎖定閾值3、 復位帳戶鎖定的方法檢查結果備注：4. 審核策略3.3. 審核策略（02001）編號：AppCheck-02001名稱：審核策略檢查說明：獲取應用系統(tǒng)的審核策略檢查內(nèi)容：1、 審核帳戶登錄事件 2、 審核帳戶管理 3、 審核服務訪問 4、 審核對象訪問 5、 審核策略更改 6、 審核特權使用

4、7、 審核過程跟蹤 8、 審核系統(tǒng)事件 檢查結果備注：3.4. 日志策略（02002）編號：AppCheck-02002名稱：日志策略檢查說明：獲取應用系統(tǒng)的日志策略檢查內(nèi)容：1、 日志類型分類存儲。 2、 各種類型日志最大值限制。3、 日志的訪問限制。 4、 日志保留天數(shù)及保留方法。5、 日志覆蓋策略。6、 日志已滿時停止應用系統(tǒng)運行。（考慮其可用性）檢查結果備注：5. 備份恢復策略（03001）編號：AppCheck-03001名稱：備份恢復策略檢查說明：備份恢復策略檢查檢查內(nèi)容：1、 定期備份功能。2、 針對不同數(shù)據(jù)對象的備份恢復功能。3、 遠程備份恢復功能。檢查結果備注：6. 訪問控制

5、策略（04001）編號：AppCheck-04001名稱：訪問控制策略說明：應用系統(tǒng)訪問控制策略檢查檢查內(nèi)容：1、 支持多種憑證類型登錄用戶，如用戶名口令或者數(shù)字證書。2、 支持根據(jù)登錄用戶憑證類型進行的訪問控制。檢查結果備注：7. 權限控制策略（05001）編號：AppCheck-05001名稱：權限控制策略說明：應用系統(tǒng)內(nèi)部對象控制策略檢查檢查內(nèi)容：1、 支持多種權限控制類型，如閱讀、增添、刪除、修改。2、 支持對應用系統(tǒng)內(nèi)部對象或者數(shù)據(jù)流的權限控制。3、 列出應用系統(tǒng)可采用的權限控制模型，如：角色控制模型、組控制模型）檢查結果備注：8. 安全增強性（06001）編號：AppCheck-0

6、6001名稱：安全增強功能說明：其他若干安全選項，包括應用系統(tǒng)特有的安全性考慮。檢查內(nèi)容：1、 登錄頁面上不顯示上次登錄成功的用戶名。2、 限時自動注銷用戶的功能。3、 客戶端與服務器端的通信進行加密簽名。4、 在密碼到期前提示用戶更改密碼。5、 無法記錄審核事件立即關閉系統(tǒng)。6、 其他檢查結果備注：9. 安全管理編號：AppCheck-07001名稱：安全管理檢查說明：對應用系統(tǒng)得安全管理策略進行檢查檢查內(nèi)容：1、 有無指定應用系統(tǒng)管理人員2、 管理人員有無操作日志（如日志、改變記錄、升級安裝過程等）3、 有無相應的應急恢復管理制度檢查結果備注：10. 第三方插件安裝情況插件名稱版本號用途注：由于插件安裝可能無法檢測，建議使用詢問管理員的方式進行填寫11. 檢查編號索引編號名稱AppCheck-01001檢查密碼策略AppCheck-01002檢查帳戶鎖定策略AppCheck-02001檢查審核