P00-訪問(wèn)控制安全管理策略

訪問(wèn)控制安全管理策略訪問(wèn)控制管理是為了防止信息及信息（資產(chǎn)）系統(tǒng)未經(jīng)授權(quán)的訪問(wèn)，信息系統(tǒng)包括各種應(yīng)用系統(tǒng)、操作平臺(tái)、數(shù)據(jù)庫(kù)、中間件、網(wǎng)絡(luò)設(shè)備、安全系統(tǒng)和設(shè)備等。01.訪問(wèn)控制業(yè)務(wù)需求訪問(wèn)授權(quán)與控制是對(duì)訪問(wèn)信息資源的用戶賦予使用權(quán)限并在對(duì)資源訪問(wèn)時(shí)按授予的權(quán)限進(jìn)行控制。關(guān)于訪問(wèn)授權(quán)與控制的方針定義如下：最小授權(quán)：應(yīng)僅對(duì)用戶授予他們開展業(yè)務(wù)活動(dòng)所必需的訪問(wèn)權(quán)限，對(duì)除明確規(guī)定允許之外的所有權(quán)限必須禁止。需要時(shí)獲?。核杏脩粲捎陂_展業(yè)務(wù)活動(dòng)涉及到資源使用時(shí)，應(yīng)遵循需要時(shí)獲取的原則，即不獲取和自己工作無(wú)關(guān)的任何資源。在信息系統(tǒng)維護(hù)管理過(guò)程中，應(yīng)建立和不斷完善主機(jī)、網(wǎng)絡(luò)設(shè)備和安全設(shè)備等的訪問(wèn)控制策略，訪問(wèn)控制策略應(yīng)至少考慮下列內(nèi)容：信息系統(tǒng)所運(yùn)行業(yè)務(wù)的重要性。各個(gè)信息系統(tǒng)的安全要求。各個(gè)信息系統(tǒng)所面臨的風(fēng)險(xiǎn)狀況。訪問(wèn)控制策略強(qiáng)度與其信息資產(chǎn)價(jià)值之間的一致性。用戶在使用網(wǎng)絡(luò)服務(wù)時(shí)，應(yīng)只能訪問(wèn)已獲授權(quán)使用的網(wǎng)絡(luò)和網(wǎng)絡(luò)服務(wù)服務(wù)，并遵守以下策略要求：使用內(nèi)部網(wǎng)絡(luò)服務(wù)和外部網(wǎng)絡(luò)服務(wù)時(shí)，均應(yīng)遵守國(guó)家的法律、法規(guī)，不得從事非法活動(dòng)。使用內(nèi)部網(wǎng)絡(luò)服務(wù)和外部網(wǎng)絡(luò)服務(wù)時(shí)，還應(yīng)遵守內(nèi)部相關(guān)規(guī)章制度的要求。02.用戶訪問(wèn)管理所有系統(tǒng)用戶的注冊(cè)過(guò)程應(yīng)進(jìn)行必要的管理，在用戶注冊(cè)的過(guò)程中應(yīng)遵循以下策略：所有用戶賬號(hào)的開通應(yīng)通過(guò)正式的賬號(hào)申請(qǐng)審批過(guò)程。申請(qǐng)過(guò)程核實(shí)用戶申請(qǐng)和用戶資料。使用唯一的用戶ID號(hào)碼，保證可由此號(hào)碼追溯用戶。保存所有用戶注冊(cè)的審批記錄，無(wú)論是電子還是紙質(zhì)的。系統(tǒng)用戶權(quán)限變更、取消過(guò)程應(yīng)進(jìn)行必要的管理，在用戶權(quán)限變更、取消的過(guò)程中應(yīng)遵循以下策略：當(dāng)用戶的賬號(hào)、權(quán)限需要變更時(shí)應(yīng)通過(guò)正式的變更審批過(guò)程。核實(shí)用戶賬號(hào)權(quán)限變更、取消的申請(qǐng)。在工作人員工作范圍發(fā)生變化或人員轉(zhuǎn)崗后，應(yīng)及時(shí)變更用戶賬號(hào)。在工作人員離職后，應(yīng)立即刪除或禁用用戶賬號(hào)，取消該用戶訪問(wèn)權(quán)。保存所有用戶變更和取消訪問(wèn)權(quán)限的審批記錄，無(wú)論是電子還是紙質(zhì)的。所有系統(tǒng)特權(quán)均應(yīng)采取控制措施來(lái)限制特殊權(quán)限的分配及使用。任何信息系統(tǒng)，只能由其所有者或授權(quán)管理者控制該系統(tǒng)特權(quán)賬號(hào)的密碼，包括關(guān)鍵主機(jī)、網(wǎng)絡(luò)設(shè)備和安全設(shè)備等所用密碼。應(yīng)建立正式系統(tǒng)口令管理策略，對(duì)口令的復(fù)雜度、長(zhǎng)度、定期更換等內(nèi)容進(jìn)行定義說(shuō)明；如系統(tǒng)支持技術(shù)手段進(jìn)行口令管理策略實(shí)現(xiàn)，應(yīng)優(yōu)先選用技術(shù)手段進(jìn)行控制。所有核心應(yīng)用系統(tǒng)中所有賬號(hào)均應(yīng)進(jìn)行定期權(quán)限清查，及時(shí)清除多余用戶賬號(hào)及權(quán)限。清查周期可根據(jù)系統(tǒng)重要程度及賬號(hào)類型設(shè)定，但清查間隔周期不得大于一年。特權(quán)用戶權(quán)限也應(yīng)納入定期清查，清查間隔周期不得大于一年，特權(quán)用戶包括：重要應(yīng)用系統(tǒng)和數(shù)據(jù)庫(kù)的管理員賬號(hào)、有管理員權(quán)限的WINDOWS賬號(hào)、UNIX的root賬號(hào)、所有路由器、交換機(jī)或?qū)Ｓ迷O(shè)備的管理員賬號(hào)、防火墻管理員賬號(hào)、有專門特權(quán)(取決于系統(tǒng))的其它系統(tǒng)賬號(hào)等。03.應(yīng)用和系統(tǒng)訪問(wèn)控制應(yīng)確保所有系統(tǒng)中的用戶擁有唯一的、專供個(gè)人使用的標(biāo)識(shí)符（用戶ID），應(yīng)選擇一種適當(dāng)?shù)蔫b別技術(shù)證實(shí)用戶的身份。這一控制策略適用于所有類型的用戶（包括技術(shù)支持人員，操作員，網(wǎng)絡(luò)管理員、系統(tǒng)程序員和數(shù)據(jù)庫(kù)管理員）。對(duì)應(yīng)用系統(tǒng)的訪問(wèn)控制限制應(yīng)基于用戶的角色分工、業(yè)務(wù)應(yīng)用要求和用戶的工作需要。只有獲得授權(quán)的信息技術(shù)人員才具有訪問(wèn)和管理數(shù)據(jù)庫(kù)和中間件的權(quán)限，其他人員需要經(jīng)過(guò)批準(zhǔn)后才可獲得數(shù)據(jù)庫(kù)、中間件的訪問(wèn)權(quán)限。應(yīng)對(duì)所有系統(tǒng)的登錄進(jìn)行必要的控制，防止系統(tǒng)的非授權(quán)訪問(wèn)，在系統(tǒng)安全登錄控制中可以考慮如下措施：用戶在操作系統(tǒng)登錄過(guò)程中泄露最少系統(tǒng)相關(guān)信息，避免給未授權(quán)用戶提供任何不必要的幫助。通過(guò)記錄不成功的嘗試、達(dá)到登錄的最大嘗試次數(shù)鎖定等手段，達(dá)到對(duì)非授權(quán)訪問(wèn)登錄的控制。在成功登錄完成后，顯示前一次成功登錄的日期和時(shí)間等信息。不在網(wǎng)絡(luò)中傳輸明文口令；不在系統(tǒng)中保存明文口令。所有系統(tǒng)應(yīng)在不影響其功能用途的前提下設(shè)定超時(shí)不活動(dòng)時(shí)限，且盡可能在超時(shí)達(dá)到一定期限時(shí)，關(guān)閉應(yīng)用和網(wǎng)絡(luò)會(huì)話。超過(guò)一定時(shí)間用戶沒(méi)有操作，自動(dòng)注銷該用戶登錄。應(yīng)考慮對(duì)應(yīng)敏感的計(jì)算機(jī)應(yīng)用程序，特別是安裝在高風(fēng)險(xiǎn)位置的應(yīng)用程序，使用聯(lián)機(jī)時(shí)間的控制措施。這種限制的示例包括：使用預(yù)先定義好的連接時(shí)間；將聯(lián)機(jī)時(shí)間限于正常辦公時(shí)間。應(yīng)確保特殊的敏感系統(tǒng)具有專用的運(yùn)算環(huán)境，確保其運(yùn)行在專用的計(jì)算機(jī)設(shè)備上，并且僅與可信的應(yīng)用系統(tǒng)共享資源，可根據(jù)具體情況采取物理或邏輯手段實(shí)現(xiàn)敏感系統(tǒng)隔離。對(duì)應(yīng)用系統(tǒng)相關(guān)的測(cè)試數(shù)據(jù)、開發(fā)測(cè)試文檔及源代碼應(yīng)進(jìn)行必要的訪問(wèn)控制，具體訪問(wèn)控制策略如下：默認(rèn)情況下，禁止使用真實(shí)的生產(chǎn)數(shù)據(jù)進(jìn)行信息系統(tǒng)測(cè)試活動(dòng)，如必須使用需得到生產(chǎn)數(shù)據(jù)所屬業(yè)務(wù)負(fù)責(zé)人的批準(zhǔn)。信息系統(tǒng)上線后應(yīng)及時(shí)清除測(cè)試過(guò)程中的所有帳號(hào)、測(cè)試數(shù)據(jù)、資料等。信息系統(tǒng)開發(fā)、測(cè)試、運(yùn)行維護(hù)過(guò)程中的所有過(guò)程文件，應(yīng)進(jìn)行統(tǒng)一的歸檔保管，防止機(jī)密性及完整性被破壞。對(duì)源代碼的訪問(wèn)應(yīng)進(jìn)行控制，無(wú)論是開發(fā)測(cè)試中的還是配置庫(kù)中的；要確保非項(xiàng)目相關(guān)人員不可以獲得源代碼，應(yīng)定期對(duì)配置庫(kù)進(jìn)行權(quán)限清查，至少每年進(jìn)行一次。04.移動(dòng)設(shè)備和遠(yuǎn)程工作對(duì)在工作使用的移動(dòng)計(jì)算設(shè)備(包括筆記本電腦等)應(yīng)進(jìn)行嚴(yán)格的安全控制，包括以下方面：使用移動(dòng)計(jì)算設(shè)備須經(jīng)過(guò)使用人員的管理負(fù)責(zé)人授權(quán)。公用移動(dòng)計(jì)算設(shè)備中貯存的數(shù)據(jù)應(yīng)作為臨時(shí)資料處理，使用后要?jiǎng)h除。用戶必須設(shè)置操作系統(tǒng)登錄密碼或屏幕保護(hù)程序密碼。用戶應(yīng)確保移動(dòng)計(jì)算設(shè)備處于安全的物理環(huán)境中，防止不必要的物理?yè)p壞及丟失。應(yīng)安裝許可的軟件，及時(shí)更新防病毒軟件的病