XX-3-SYS-網(wǎng)絡(luò)安全策略-系統(tǒng)

1策略_系統(tǒng)版本號2版本控制修訂人修訂時(shí)間版本號修訂內(nèi)容說明123 4 4 4 4 4 5 5 6 7 8 9 9 9 9 10 11 11本策略為信息安全管理制度中的信息保護(hù)制度部分。為了加強(qiáng)信息系統(tǒng)的信息安全管理，建立健全公司各信息系 ,提高整體的安全水平，保證網(wǎng)絡(luò)通信暢通和信息系統(tǒng)的正常運(yùn)營，提高網(wǎng)絡(luò)服務(wù)質(zhì)量，特制定本策略。主要讀者為：產(chǎn)品部；研發(fā)部；測試部；IT部；客戶服務(wù)部部。1.信息（Information以任何形式存在或傳播的對公司具有價(jià)值的內(nèi)容，包括電子信息、紙質(zhì)數(shù)據(jù)文件、語音圖像等。信息安全關(guān)注的是信息的保密性、可用性和完整性。2.信息資產(chǎn)（InformationAssets任何對公司業(yè)務(wù)具有價(jià)值的信息存在形式或者載體，包括計(jì)算機(jī)硬件、通信設(shè)施、IT環(huán)境、數(shù)據(jù)庫、軟件、文檔資料、信息服務(wù)和人員等，所有這些資產(chǎn)都需要妥善保護(hù)。3.信息安全（InformationSecurity）:保護(hù)信息的保密性、完整性和可用性。4.保密性（Confidentiality）:確保信息只被授權(quán)人員訪問。5.完整性（Integrity）:保證信息不被非授權(quán)竄改或不恰當(dāng)改動(dòng)。6.可用性（Availability）:保證信息能夠被授權(quán)用戶在需要時(shí)訪問。邏輯范圍：本策略邏輯范圍包括生產(chǎn)系統(tǒng)及內(nèi)部辦公網(wǎng)絡(luò)等信息系統(tǒng)的物理資產(chǎn)、軟件資產(chǎn)、數(shù)據(jù)資產(chǎn)、服務(wù)資產(chǎn)等。本策略涉及的工作包括了對所有上述系統(tǒng)的保密性、完整性和可用性的安全管理工作。物理范圍：本策略物理范圍包括整個(gè)公司和IDC數(shù)據(jù)中心環(huán)火墻規(guī)則。應(yīng)至少每六個(gè)月由系統(tǒng)部經(jīng)理檢查審核全部防火墻和路行記錄。通過防火墻和路由器的配置，嚴(yán)格限制不信任網(wǎng)絡(luò)與任何受保護(hù)統(tǒng)組件的連接。應(yīng)確認(rèn)路由器配置文件進(jìn)行了保護(hù)和同步，例如運(yùn)行配路由器運(yùn)行）和啟動(dòng)配置文件（當(dāng)機(jī)器重新啟動(dòng)時(shí)使用）有相同的安全配置。在任何無線網(wǎng)絡(luò)和持卡人數(shù)據(jù)環(huán)境之間安裝外圍防火墻，并且將這些防火墻配置為禁止或控制（如果業(yè)務(wù)目的需要這樣的流量）從無線環(huán)境數(shù)據(jù)環(huán)境的任何流量。應(yīng)實(shí)施DMZ，以保護(hù)持卡人數(shù)據(jù)環(huán)境，只允許必要的協(xié)議流量通過。應(yīng)確認(rèn)所有不必要的進(jìn)出流量都是明確禁止的，例如（Denyall）”規(guī)則禁止所有流量，然后只打開允許的通過。不允許Internet和持卡人數(shù)據(jù)環(huán)境之間進(jìn)出流量的任何直接路由。應(yīng)實(shí)施狀態(tài)檢測，即動(dòng)態(tài)包過濾。（也就是只有建“立”關(guān)鍵數(shù)據(jù)庫應(yīng)放置在內(nèi)部網(wǎng)絡(luò)區(qū)域，不允許放置在規(guī)定的網(wǎng)段。使用網(wǎng)絡(luò)地址轉(zhuǎn)譯(NAT)技術(shù)，）：加密密鑰在安裝時(shí)更改默認(rèn)值，并且確保在任何知道密鑰的人離開公司或改變崗位的時(shí)候能夠隨時(shí)更改；更改無線設(shè)備上的默認(rèn)SNMPcomm更改訪問點(diǎn)上的默認(rèn)密碼/口令（參見《加密策略》）；升級無線設(shè)備上的固件，以支持無線網(wǎng)絡(luò)上的嚴(yán)格認(rèn)證和傳輸加密（例如應(yīng)保證網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖最新且完整，包括所有的無線連的所有連接，如銀行、卡品牌、商戶等連接。運(yùn)營商訪問存在的性能問題；在網(wǎng)絡(luò)出口布置防火墻與防攻擊系），增加系統(tǒng)的安全性?；ヂ?lián)網(wǎng)用戶在訪問公司主頁時(shí)，需要先訪問GTM/DNSISG1000防火墻的過慮，符合訪問規(guī)則的是：用戶-ISG1000防火墻-應(yīng)用服務(wù)器。議、端口；只有符合策略的，才能允許相應(yīng)的應(yīng)用服務(wù)器訪問數(shù)據(jù)庫。通過專線與銀行進(jìn)行業(yè)務(wù)交互。接；銀行、商戶或服務(wù)提供商的連接）以及更改防火墻和下：由系統(tǒng)部收集書面需求，制訂策略，并書面遞交安全負(fù)責(zé)人確認(rèn)，由安全負(fù)責(zé)人召集系統(tǒng)、運(yùn)營以及開發(fā)團(tuán)隊(duì)會(huì)議，分析討一階段（在測試環(huán)境進(jìn)行）實(shí)驗(yàn)時(shí)間表。由系統(tǒng)部按照時(shí)間表和會(huì)議書面確定的策略進(jìn)行第一階段實(shí)驗(yàn)，實(shí)驗(yàn)后，由安全負(fù)責(zé)人召集系統(tǒng)、運(yùn)營以及開發(fā)團(tuán)隊(duì)會(huì)議，房的第二階段實(shí)驗(yàn)。在進(jìn)行的第一階段實(shí)驗(yàn)完成后，由系統(tǒng)部按照時(shí)間表和會(huì)議書面確定的策統(tǒng)、運(yùn)營以及開發(fā)團(tuán)隊(duì)會(huì)議，決定是否需要調(diào)整策8策略可以上線并進(jìn)入生產(chǎn)環(huán)境的實(shí)施流程。按照會(huì)議的書面實(shí)施流程，由系統(tǒng)部實(shí)施上線，運(yùn)營和技術(shù)開發(fā)進(jìn)行測試，完交風(fēng)險(xiǎn)總監(jiān)。網(wǎng)絡(luò)連接的測試內(nèi)容包括但不限于性能測試、壓力測試、穩(wěn)定性測試。運(yùn)行過程中任何變更應(yīng)遵從本流程。系統(tǒng)管理相應(yīng)的角色及職責(zé)定義如下：服務(wù)器應(yīng)用硬件維護(hù)；包括日常監(jiān)控、-應(yīng)用程序和服務(wù)器管理和操作權(quán)限。師對數(shù)據(jù)庫進(jìn)行管理，負(fù)責(zé)DB2數(shù)據(jù)庫應(yīng)用系統(tǒng)的運(yùn)營及監(jiān)控。數(shù)據(jù)庫系統(tǒng)的管理和維護(hù)權(quán)限。保證公司辦公環(huán)境持續(xù)穩(wěn)定運(yùn)營（包含服務(wù)器及客戶端）；建立完善的辦公環(huán)境網(wǎng)絡(luò)結(jié)構(gòu)并持續(xù)改進(jìn)網(wǎng)絡(luò)安全；網(wǎng)絡(luò)設(shè)備（包括交換機(jī)、路由器和防火墻等）的管理權(quán)限。監(jiān)全面負(fù)責(zé)公司運(yùn)維項(xiàng)目的系統(tǒng)升級、擴(kuò)容需求與資源落實(shí)；配合開發(fā)需求，測試、調(diào)整運(yùn)維平臺，提供優(yōu)化的網(wǎng)對上述角色的工作進(jìn)行監(jiān)控和指導(dǎo)；對管理和運(yùn)維中的日志進(jìn)行審計(jì)；對于每項(xiàng)服務(wù)的安全功能必須按檢測防火墻和路由器配置標(biāo)準(zhǔn)進(jìn)行記錄和實(shí)施。對于不安全的服務(wù)（如FTP需要純文本的用戶認(rèn)證），必須進(jìn)行改造和加XXX對互聯(lián)網(wǎng)放開的服務(wù)如下：對于互聯(lián)網(wǎng)到內(nèi)網(wǎng)區(qū)的訪問，全部禁止。4個(gè)人網(wǎng)絡(luò)安全通過Internet直接連接的計(jì)算機(jī)上（例主機(jī)防火墻軟件。主機(jī)防火墻軟件配置為特定的標(biāo)準(zhǔn)，且用戶不得更改。火墻規(guī)則，用戶無法停用或者修改防火墻規(guī)則。所有員工使用的設(shè)備，必須得到網(wǎng)絡(luò)管理員審批通過后才能使用人設(shè)備安全策略》。在網(wǎng)絡(luò)上安裝系統(tǒng)以前，必須更改供應(yīng)商提供的默認(rèn)設(shè)置，包括密碼、簡單網(wǎng)絡(luò)管理協(xié)議(SNMP)機(jī)構(gòu)字串，并刪除不必應(yīng)明確路由器、防火墻和交換機(jī)等網(wǎng)絡(luò)組件上用于本地限。應(yīng)明確路由器、防火墻和交換機(jī)等網(wǎng)絡(luò)組件的服務(wù)、協(xié)系統(tǒng)組件的服務(wù)和協(xié)議，確保只有業(yè)務(wù)需要才能開啟。確保刪除或禁用了在所有組件上不必要的功能或服務(wù)，如腳本性、子系統(tǒng)和文件等。參考業(yè)界公認(rèn)的標(biāo)準(zhǔn)比如：SysAdminAuditNetworkSecurity(SNationalInstituteofStandardsTechnology(NIST)和Centerf進(jìn)行系統(tǒng)配置。每臺服務(wù)器應(yīng)只執(zhí)行了一項(xiàng)主要功能。例如，Web服務(wù)器、數(shù)據(jù)DNS應(yīng)該在獨(dú)立的服務(wù)器上實(shí)施。禁用所有不必要和不安全的服務(wù)和協(xié)議（不直接需要用的服務(wù)和協(xié)議）。明確常用安全參數(shù)設(shè)置，從而合理地配置系統(tǒng)安全參數(shù)，以防止濫用。刪除所有不必要的功能，例如腳本、驅(qū)動(dòng)程序、屬性、子系統(tǒng)和務(wù)。及各廠商的漏洞通過，并使用最新的安全評估工具進(jìn)行內(nèi)、外部弱點(diǎn)題。）；堡壘機(jī)，并通過堡壘機(jī)進(jìn)行生產(chǎn)系統(tǒng)的訪問。對于辦公環(huán)境，遠(yuǎn)程訪問時(shí)必須使用VPN進(jìn)行鏈路的加所有遠(yuǎn)程連接設(shè)備應(yīng)配置為在15分鐘內(nèi)不活動(dòng)，自動(dòng)中斷會(huì)通過遠(yuǎn)程連接訪問持卡人數(shù)據(jù)，不允許復(fù)制、移動(dòng)或存儲卡信息移動(dòng)介質(zhì)中。參見《訪問控制安全策略》和《介質(zhì)安全管理策略》。所有系統(tǒng)組件上應(yīng)實(shí)施訪問控制，并根據(jù)工作職責(zé)分配的必要性》。請，由后者基于最小化原則進(jìn)行授權(quán)。授予權(quán)限后，第三方人員應(yīng)在內(nèi)僅對被授權(quán)的系統(tǒng)進(jìn)行遠(yuǎn)程訪問。在訪問過對加密、認(rèn)證、數(shù)據(jù)保護(hù)等方面的安全要求，并且訪問的行為應(yīng)受控。如果是共享托管提供商（SharedHostingProvid環(huán)境和持卡人數(shù)據(jù)?；騏nix上使用的Kismet）檢測持卡人數(shù)據(jù)環(huán)境是如果發(fā)現(xiàn)未授權(quán)的無線設(shè)備，則按《應(yīng)急響應(yīng)計(jì)劃》中的方法進(jìn)行處理。）：（如安裝新的系統(tǒng)組件、更改網(wǎng)絡(luò)拓?fù)?、修改防火進(jìn)行上述掃描。應(yīng)由聘請外部安全專家或者由本公司安全部門每年執(zhí)行基于網(wǎng)絡(luò)層和應(yīng)用層的外部和內(nèi)部的滲透測試），并提供報(bào)告；相關(guān)掃描和滲透測試結(jié)果做出相應(yīng)的調(diào)整。應(yīng)使用并合理部署入侵檢測系統(tǒng)（IDS）或卡人數(shù)據(jù)環(huán)境中的所有流量并在發(fā)現(xiàn)可疑威脅時(shí)提醒員工。應(yīng)及時(shí)更安全策略》。應(yīng)在持卡人數(shù)據(jù)環(huán)境中使用文件完整性監(jiān)控產(chǎn)品。需要監(jiān)于：