应用系统

应用系统思维导图，包括：身份鉴别、访问控制、安全审计、入侵防范、数据备份、恢复剩余信息、保护个人信息保护。

应用系统

• 身份鉴别
  • 身份标识与鉴别信息
    • 标识唯一性
    • 鉴别信息复杂度与更换周期
  • 登陆失败处理
    • 非法登录次数限制
    • 长时间无响应自动结束
    • 连接超时自动断开
  • 远程管理防窃听
    • HTTPS加密协议
  • 密码多样
    • 采用口令、密码、生物技术等至少两种或两种以上进行身份鉴别，且其中一种至少为密码实现
• 访问控制
  • 对用户分配账户和权限
  • 默认账户
    • 重命名或删除默认账户
    • 修改默认口令
  • 删除或停用过期、多余的账户，避免共享账户
  • 最小权限、三权分立（管理、安全、审计）
  • 配置访问控制策略，覆盖范围包括所有主体客体以及操作
  • 粒度要求
    • 主体：用户级、进程级
    • 客体：文件、数据库表级
  • 安全标记
    • 设置安全标记
    • 实现强制访问控制
• 安全审计
  • 是否启用
    • 覆盖范围
      • 审计覆盖到所有用户
    • 内容范围
      • 对重要用户行为和系统异常事件进行审计
  • 内容要求
    • 审计记录至少应包括 日期、时间、发起者信息、类型、描述、结果
  • 记录保护
    • 定期数据备份（6个月）
    • 防止非授权的删除、修改、覆盖
  • 进程保护
    • 防止非授权的中断
• 入侵防范
  • 最小安装原则
    • 仅安装需要的组件和应用程序
    • 未安装正在开发或未经安全测试的功能模块
  • 数据有效性校验
    • 提供对输入数据的校验检查功能
  • 定期漏扫
    • 若发现漏洞，经充分测试评估后及时修补
• 数据备份恢复
  • 重要数据处理系统热冗余部署
• 剩余信息保护
  • 被释放或被重新分配前得到完全清除
    • 身份鉴别信息
    • 敏感数据
• 个人信息保护
  • 合理
    • 仅采集业务必需的用户个人信息
  • 合法
    • 禁止未授权访问和非法使用用户个人信息