DB37T 3303-2018信息安全技術(shù) 內(nèi)控安全管理技術(shù)規(guī)范

ICS35.020L70山DB37山東省質(zhì)量技術(shù)監(jiān)督局發(fā)布本標(biāo)準(zhǔn)按照GB/T1.1-2009給出的規(guī)則起草。本標(biāo)準(zhǔn)由濰坊市質(zhì)量技術(shù)監(jiān)督局提出并歸口。本標(biāo)準(zhǔn)起草單位：濰坊市智慧濰坊建設(shè)辦公室、山東省計(jì)算中心（國家超級(jí)計(jì)算濟(jì)南中心）、山東瑞寧信息技術(shù)股份有限公司、山東省經(jīng)濟(jì)和信息化發(fā)展研究院、山東華國信息安全技術(shù)有限公司、山東信息協(xié)會(huì)、山東電子商會(huì)、山東正中信息技術(shù)股份有限公司。本標(biāo)準(zhǔn)主要起草人：胡延年、李剛、漢京寧、畢建秀、周鳴樂、朱秀美、朱珊珊、李旺、馮正乾、李波、李敏、王超逸、李強(qiáng)、張玉瑞、張建成、徐兵、劉波、戚元華、王瑋、劉一鳴、王麗君。本標(biāo)準(zhǔn)為首次發(fā)布。本標(biāo)準(zhǔn)規(guī)定了信息安全技術(shù)中用于內(nèi)控安全管理的相關(guān)技術(shù)內(nèi)容。本標(biāo)準(zhǔn)適用于提供內(nèi)控安全管理服務(wù)的機(jī)構(gòu)及有內(nèi)控安全管理需求的用戶。2規(guī)范性引用文件下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅所注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T22239-2008信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求3術(shù)語和定義下列術(shù)語和定義適用于本文件。3.1內(nèi)控安全管理internalsecuritymanagement對(duì)組織內(nèi)部IT系統(tǒng)的管理和維護(hù)人員（包括第三方IT外包服務(wù)人員）的運(yùn)維行為進(jìn)行的安全風(fēng)險(xiǎn)管3.2應(yīng)用發(fā)布機(jī)制applicationpublishingmechanism將某些應(yīng)用系統(tǒng)所需的客戶端運(yùn)維軟件集中安裝、部署到特定系統(tǒng)，實(shí)現(xiàn)應(yīng)用軟件的集中管控。3.3管理員Administrators具有對(duì)IT系統(tǒng)管理職能的人員。根據(jù)職責(zé)不同分為運(yùn)維管理員和密碼管理員。運(yùn)維管理員負(fù)責(zé)對(duì)IT系統(tǒng)運(yùn)維權(quán)限的劃分與操作員的管理；密碼管理員負(fù)責(zé)IT系統(tǒng)賬號(hào)密碼的管理。3.4審計(jì)員Auditor負(fù)責(zé)對(duì)操作員、管理員的操作行為監(jiān)督審計(jì)的人員的統(tǒng)稱。3.5操作員Operator負(fù)責(zé)對(duì)IT系統(tǒng)運(yùn)維的工作人員的統(tǒng)稱。4縮略語下列縮略語適用于本文件。AD活動(dòng)目錄（ActiveDirectory）FTP文件傳輸協(xié)議（FileTransferProtocol）HTTP超文本傳輸協(xié)議（HyperTextTransferProtocol）HTTPS安全超文本傳輸協(xié)議（HyperTextTransferProtocoloverSecureSocketLayer）ID標(biāo)識(shí)符（IDentifier）IP網(wǎng)絡(luò)協(xié)議（InternetProtocol）IT信息技術(shù)（InformationTechnology）ITIL信息技術(shù)基礎(chǔ)架構(gòu)庫(InformationTechnologyInfrastructureLibrary)ITSS信息技術(shù)服務(wù)標(biāo)準(zhǔn)(InformationTechnologyServiceStandards)KPI關(guān)鍵績效指標(biāo)（KeyPerformanceIndicator）LDAP輕量目錄訪問協(xié)議（LightweightDirectoryAccessProtocol）Radius遠(yuǎn)程用戶認(rèn)證系統(tǒng)（RemoteAuthenticationDialInUserService）RDP遠(yuǎn)程桌面協(xié)議（RemoteDesktopProtocol）SFTP安全文件傳輸協(xié)議（SecureFileTransferProtocol）SSH安全外殼協(xié)議（SecureShell）SSL安全套接層(SecureSocketsLayer)SSO單點(diǎn)登錄（SingleSignOn）TELNET遠(yuǎn)程通信協(xié)議（TelecommunicationsNetwork）VNC虛擬網(wǎng)絡(luò)控制臺(tái)（VirtualNetworkConsole）5內(nèi)控安全管理參考模型5.1內(nèi)控安全管理參考模型如圖1所示，模型中涉及人員、IT系統(tǒng)、流程制度三個(gè)要素，人員是指維護(hù)和管理IT系統(tǒng)的人員，包括第三方外包維護(hù)人員。IT系統(tǒng)包括但不限于主機(jī)、數(shù)據(jù)庫、網(wǎng)絡(luò)、中間件、應(yīng)用程序等各類IT資源。流程制度是組織內(nèi)部為規(guī)范IT運(yùn)維行為、保證運(yùn)維安全所制訂的一系列流程化管理制度或工具。5.2內(nèi)控安全管理是將人員對(duì)IT系統(tǒng)的運(yùn)維過程結(jié)合組織自身的流程制度進(jìn)行集中管控。包括對(duì)人員的管控和對(duì)IT系統(tǒng)的管控兩個(gè)方面。對(duì)人員的管控采用三權(quán)分立原則。對(duì)IT系統(tǒng)的管控采用集中、統(tǒng)圖1內(nèi)控安全管理參考模型6集中管控6.1三權(quán)分立根據(jù)GB/T22239-2008基本要求，信息系統(tǒng)管理應(yīng)滿足三權(quán)分立原則,分為管理員、操作員、審計(jì)員三類角色，每人分配一個(gè)唯一的身份ID。內(nèi)控安全管理系統(tǒng)應(yīng)支持人員身份ID的集中管理,支持分部門、分組管理人員，管理員負(fù)責(zé)操作員身份ID的創(chuàng)建和維護(hù)，操作員權(quán)限應(yīng)與管理員、審計(jì)員的權(quán)限分開。6.3登錄管理6.3.1單點(diǎn)登錄內(nèi)控安全管理系統(tǒng)作為統(tǒng)一運(yùn)維入口，操作員通過唯一身份ID認(rèn)證后，能夠直接訪問要運(yùn)維的IT系統(tǒng)，無需再次輸入賬號(hào)密碼。6.3.2身份認(rèn)證登錄內(nèi)控安全管理系統(tǒng)時(shí)，應(yīng)對(duì)人員身份ID進(jìn)行認(rèn)證，支持單種認(rèn)證方式或多種認(rèn)證方式的組合，認(rèn)證方式包含但不限于：a)靜態(tài)密碼；b)動(dòng)態(tài)密碼；d)AD域認(rèn)證；6.4.1IT系統(tǒng)授權(quán)應(yīng)由管理員統(tǒng)一負(fù)責(zé)。6.4.2授權(quán)管理包括授權(quán)主體、授權(quán)客體和授權(quán)關(guān)系三個(gè)元素，內(nèi)控安全管理系統(tǒng)應(yīng)設(shè)置授權(quán)策略，1)人員身份ID、人員身份ID組或者二者的組合；2)管理員為臨時(shí)授權(quán)所創(chuàng)建的臨時(shí)人員身份ID。c)授權(quán)關(guān)系支持任意授權(quán)主體對(duì)任意授權(quán)客體的授權(quán)，在授權(quán)時(shí)效上支持有固定時(shí)效的長期授權(quán)和一次性臨時(shí)授權(quán)；1)時(shí)間策略（包括時(shí)間周期、時(shí)間段，可精確到秒）；2)IP策略（包括單個(gè)IP地址、IP地址段和多個(gè)IP地址段的組合）；3)命令策略（包括指令、指令參數(shù)和執(zhí)行頻次三個(gè)維度）。e)對(duì)IT系統(tǒng)的臨時(shí)操作或關(guān)鍵操作要獲得管理員的審批后才可運(yùn)維。6.5行為管理6.5.1越權(quán)處置內(nèi)控安全管理系統(tǒng)應(yīng)支持對(duì)越權(quán)訪問的處置，處置方式包括阻斷、告警或阻斷同時(shí)告警。6.5.2行為識(shí)別內(nèi)控安全管理系統(tǒng)應(yīng)對(duì)操作員的運(yùn)維行為進(jìn)行實(shí)時(shí)識(shí)別，對(duì)SSH、TELNET、FTP、SFTP等協(xié)議操作進(jìn)行精確識(shí)別，對(duì)RDP、VNC等圖形操作協(xié)議的識(shí)別應(yīng)能鑒別操作步驟和目的，并能將操作行為轉(zhuǎn)為文本日志，便于檢索和控制。6.5.3行為控制內(nèi)控安全管理系統(tǒng)應(yīng)對(duì)操作員的訪問行為進(jìn)行控制，對(duì)高?；蚍欠ú僮鲗?shí)時(shí)阻斷。6.5.4告警通知內(nèi)控安全管理系統(tǒng)包含以下告警通知：a)對(duì)IT系統(tǒng)的非正常狀態(tài)告警；b)對(duì)違反安全策略的行為告警；c)對(duì)安全事件告警；d)告警方式可采取電子郵件、短信、移動(dòng)APP。6.6IT系統(tǒng)賬號(hào)集中管理內(nèi)控安全管理系統(tǒng)應(yīng)支持IT系統(tǒng)賬號(hào)的集中管理，IT系統(tǒng)賬號(hào)包括被管轄的網(wǎng)絡(luò)、主機(jī)、數(shù)據(jù)庫、中間件等賬號(hào)，IT系統(tǒng)賬號(hào)應(yīng)由密碼管理員統(tǒng)一管理，操作員、審計(jì)員不應(yīng)具有IT系統(tǒng)賬號(hào)的管理權(quán)限。IT系統(tǒng)賬號(hào)應(yīng)采用加密方式集中存儲(chǔ)在內(nèi)控安全管理系統(tǒng)中。7行為審計(jì)7.1審計(jì)范圍7.1.1審計(jì)管理由審計(jì)員統(tǒng)一負(fù)責(zé)。7.1.2審計(jì)范圍包括對(duì)IT系統(tǒng)的訪問和操作行為、內(nèi)控安全管理系統(tǒng)自身的安全日志記錄。7.1.3IT系統(tǒng)的審計(jì)信息包括：——操作系統(tǒng)的操作行為數(shù)據(jù)；——網(wǎng)絡(luò)設(shè)備及其他IT系統(tǒng)的操作行為數(shù)據(jù)；——數(shù)據(jù)庫、中間件等應(yīng)用系統(tǒng)的操作行為數(shù)據(jù)。7.1.4內(nèi)控安全管理系統(tǒng)的審計(jì)信息包括：——賬號(hào)管理數(shù)據(jù)；——訪問授權(quán)數(shù)據(jù)；——登錄數(shù)據(jù)；——平臺(tái)自身管理數(shù)據(jù)。7.2審計(jì)分析內(nèi)控安全管理系統(tǒng)應(yīng)提供審計(jì)分析規(guī)則管理接口，審計(jì)員可自定義分析規(guī)則，應(yīng)精確審計(jì)到人、時(shí)間、IP地址、IT系統(tǒng)、賬戶、指令、參數(shù)等關(guān)聯(lián)關(guān)系，并定位人員身份ID。7.3審計(jì)信息分類內(nèi)控安全管理系統(tǒng)應(yīng)支持對(duì)審計(jì)信息進(jìn)行分類、多維度的處理，應(yīng)至少包括：——運(yùn)維會(huì)話審計(jì)；——全文檢索審計(jì)；——行為識(shí)別審計(jì)；——實(shí)時(shí)審計(jì)。7.4審計(jì)信息分級(jí)內(nèi)控安全管理系統(tǒng)應(yīng)支持根據(jù)審計(jì)信息的嚴(yán)重程度進(jìn)行審計(jì)分級(jí)，可分為：嚴(yán)重、警告、一般。7.5審計(jì)信息過濾——源、目的IP地址；——人員身份ID/IT系統(tǒng)賬號(hào)；——操作類型/操作名稱；——其他。7.6審計(jì)信息查詢內(nèi)控安全管理系統(tǒng)應(yīng)支持審計(jì)信息查詢、審計(jì)報(bào)表生成、審計(jì)報(bào)表處理，報(bào)表包括不限于：——審計(jì)報(bào)表；——趨勢(shì)報(bào)表；——KPI報(bào)表；——知識(shí)報(bào)表。7.7審計(jì)預(yù)警7.7.1出現(xiàn)非法登錄或操作時(shí)，內(nèi)控安全管理系統(tǒng)可通過多種方式向?qū)徲?jì)員發(fā)送預(yù)警。7.7.2提供精準(zhǔn)的審計(jì)預(yù)警規(guī)則管理功能，可根據(jù)系統(tǒng)特點(diǎn)和數(shù)據(jù)來源，對(duì)源IP、目的IP、時(shí)間范圍、7.7.3根據(jù)預(yù)警規(guī)則，對(duì)接收到審計(jì)信息進(jìn)行分析和處理，發(fā)現(xiàn)符合預(yù)警規(guī)則的審計(jì)信息，則自動(dòng)生成預(yù)警信息。7.7.4預(yù)警信息的參數(shù)包括但不限于預(yù)警ID、預(yù)警類型、預(yù)警級(jí)別、預(yù)警內(nèi)容和生成時(shí)間。7.7.5預(yù)警信息的級(jí)別可分為嚴(yán)重、警告和一般。7.7.6預(yù)警信息的類型包括但不限于越權(quán)操作、敏感數(shù)據(jù)訪問。7.7.7預(yù)警信息可通過多種方式通知審計(jì)員，比如：圖形化界面顯示、手機(jī)短信、電子郵件等。7.8分級(jí)審計(jì)內(nèi)控安全管理系統(tǒng)應(yīng)支持分級(jí)審計(jì)功能，設(shè)置審計(jì)總中心和審計(jì)分中心，審計(jì)總中心對(duì)審計(jì)分中心下發(fā)數(shù)據(jù)采集策略，收集審計(jì)分中心上傳的審計(jì)記錄，進(jìn)行集中統(tǒng)計(jì)分析，實(shí)現(xiàn)總中心對(duì)分中心的審計(jì)。7.9智能翻譯內(nèi)控安全管理系統(tǒng)宜具有智能翻譯功能，將操作員的英文操作指令等專業(yè)技術(shù)術(shù)語翻譯成通俗的業(yè)務(wù)術(shù)語，便于非技術(shù)類審計(jì)員理解。8經(jīng)驗(yàn)積累內(nèi)控安全管理系統(tǒng)可設(shè)置經(jīng)驗(yàn)積累功能，將操作員的運(yùn)維經(jīng)驗(yàn)進(jìn)行積累并分享，以提高操作員的技9.1多網(wǎng)支持內(nèi)控安全管理系統(tǒng)在安全范圍內(nèi)應(yīng)支持跨多個(gè)相互隔離網(wǎng)絡(luò)的運(yùn)維管理功能，相互隔離網(wǎng)絡(luò)的集中運(yùn)維不應(yīng)對(duì)原有網(wǎng)絡(luò)造成影響，支持多個(gè)不同網(wǎng)絡(luò)的IT系統(tǒng)同時(shí)集中運(yùn)維。9.2應(yīng)用發(fā)布內(nèi)控安全管理系統(tǒng)應(yīng)支持應(yīng)用發(fā)布功能。9.3賬戶密碼管理9.3.1賬戶密碼策略管理密碼策略應(yīng)由密碼管理員配置，密碼策略管理應(yīng)實(shí)現(xiàn)以下功能：——密碼強(qiáng)度管理，對(duì)人員身份ID、IT系統(tǒng)賬號(hào)的強(qiáng)度進(jìn)行管理，包括密碼安全設(shè)置及修改、組成規(guī)則及校驗(yàn)策略等；——密碼有效期管理，能安全使用和更新，具備密碼有效期驗(yàn)證、提醒以及過期或輸錯(cuò)次數(shù)鎖定、管理員激活等功能；——密碼存儲(chǔ)管理，提供離線電子介質(zhì)和非電子介質(zhì)雙介質(zhì)保存，如電子密函、密碼信封；——密碼更新管理，使用密碼鏈條技術(shù)，確保每次密碼變更安全可靠。9.3.2密碼自動(dòng)變更根據(jù)IT系統(tǒng)賬號(hào)的密碼變更周期和密碼生成策略，自動(dòng)對(duì)IT系統(tǒng)賬號(hào)進(jìn)行密碼變更。在密碼變更過程中，內(nèi)控安全管理系統(tǒng)突然崩潰的極端情況下，應(yīng)提供密碼應(yīng)急恢復(fù)機(jī)制，使用無源接觸式硬件，在離線情況下，解密獲取明文密碼。9.4配置管理IT系統(tǒng)的配置文件可定期、自動(dòng)備份，包括：a)配置文件歷史查詢；b)配置文件自動(dòng)備份；c)配置文件人工還原；d)配置文件自動(dòng)比較。9.5預(yù)警監(jiān)測內(nèi)控安全管理系統(tǒng)應(yīng)能自動(dòng)監(jiān)測IT系統(tǒng)的中央處理器利用率、內(nèi)存占用率、系統(tǒng)進(jìn)程、表空間、磁盤剩余空間等信息，當(dāng)達(dá)到閥值時(shí)以電子郵件、短信方式通知操作員，在故障發(fā)生前，及時(shí)消除故障隱9.6自動(dòng)巡檢內(nèi)控安全管理系統(tǒng)應(yīng)支持根據(jù)巡檢模板對(duì)IT系統(tǒng)進(jìn)行自動(dòng)巡檢，模板格式、巡檢參數(shù)可定制，巡檢后的報(bào)告以電子圖標(biāo)格式發(fā)給操作員。9.7遠(yuǎn)程運(yùn)維在突發(fā)緊急運(yùn)維情況下，內(nèi)控安全管理系統(tǒng)應(yīng)能通