資訊安全管理 通路控制安全管理政策

資訊安全管理

通路控制安全管理政策

通路控制管理是為了防止資訊及資訊（資産）系統未經授權的通路，資訊系統包括各種應用系統、操作平台、資料庫、中間件、網絡裝置、安全系統和裝置等。

01.通路控制業務需求

通路授權與控制是對通路資訊資源的使用者賦予使用權限并在對資源通路時按授予的權限進行控制。關于通路授權與控制的方針定義如下：

• 最小授權：應僅對使用者授予他們開展業務活動所必需的通路權限，對除明确規定允許之外的所有權限必須禁止。

• 需要時擷取：所有使用者由于開展業務活動涉及到資源使用時，應遵循需要時擷取的原則，即不擷取和自己工作無關的任何資源。

在資訊系統維護管理過程中，應建立和不斷完善主機、網絡裝置和安全裝置等的通路控制政策，通路控制政策應至少考慮下列内容：

• 資訊系統所運作業務的重要性。

• 各個資訊系統的安全要求。

• 各個資訊系統所面臨的風險狀況。

• 通路控制政策強度與其資訊資産價值之間的一緻性。

使用者在使用網絡服務時，應隻能通路已獲授權使用的網絡和網絡服務服務，并遵守以下政策要求：

• 使用内部網絡服務和外部網絡服務時，均應遵守國家的法律、法規，不得從事非法活動。

• 使用内部網絡服務和外部網絡服務時，還應遵守内部相關規章制度的要求。

02.使用者通路管理

所有系統使用者的注冊過程應進行必要的管理，在使用者注冊的過程中應遵循以下政策：

• 所有使用者賬号的開通應通過正式的賬号申請審批過程。

• 申請過程核實使用者申請和使用者資料。

• 使用唯一的使用者ID号碼，保證可由此号碼追溯使用者。

• 儲存所有使用者注冊的審批記錄，無論是電子還是紙質的。

系統使用者權限變更、取消過程應進行必要的管理，在使用者權限變更、取消的過程中應遵循以下政策：

• 當使用者的賬号、權限需要變更時應通過正式的變更審批過程。

• 核實使用者賬号權限變更、取消的申請。

• 在從業人員工作範圍發生變化或人員轉崗後，應及時變更使用者賬号。

• 在從業人員離職後，應立即删除或禁用使用者賬号，取消該使用者通路權。

• 儲存所有使用者變更和取消通路權限的審批記錄，無論是電子還是紙質的。

• 所有系統特權均應采取控制措施來限制特殊權限的配置設定及使用。任何資訊系統，隻能由其所有者或授權管理者控制該系統特權賬号的密碼，包括關鍵主機、網絡裝置和安全裝置等所用密碼。

• 應建立正式系統密碼管理政策，對密碼的複雜度、長度、定期更換等内容進行定義說明；如系統支援技術手段進行密碼管理政策實作，應優先選用技術手段進行控制。

• 所有核心應用系統中所有賬号均應進行定期權限清查，及時清除多餘使用者賬号及權限。清查周期可根據系統重要程度及賬号類型設定，但清查間隔周期不得大于一年。

• 特權使用者權限也應納入定期清查，清查間隔周期不得大于一年，特權使用者包括：重要應用系統和資料庫的管理者賬号、有管理者權限的WINDOWS賬号、UNIX的root賬号、所有路由器、交換機或專用裝置的管理者賬号、防火牆管理者賬号、有專門特權(取決于系統)的其它系統賬号等。

03.應用和系統通路控制

應確定所有系統中的使用者擁有唯一的、專供個人使用的辨別符（使用者ID），應選擇一種适當的鑒别技術證明使用者的身份。這一控制政策适用于所有類型的使用者（包括技術支援人員，操作員，網絡管理者、系統程式員和資料庫管理者）。

對應用系統的通路控制限制應基于使用者的角色分工、業務應用要求和使用者的工作需要。

隻有獲得授權的資訊技術人員才具有通路和管理資料庫和中間件的權限，其他人員需要經過準許後才可獲得資料庫、中間件的通路權限。

應對所有系統的登入進行必要的控制，防止系統的非授權通路，在系統安全登入控制中可以考慮如下措施：

• 使用者在作業系統登入過程中洩露最少系統相關資訊，避免給未授權使用者提供任何不必要的幫助。

• 通過記錄不成功的嘗試、達到登入的最大嘗試次數鎖定等手段，達到對非授權通路登入的控制。

• 在成功登入完成後，顯示前一次成功登入的日期和時間等資訊。

• 不在網絡中傳輸明文密碼；不在系統中儲存明文密碼。

• 所有系統應在不影響其功能用途的前提下設定逾時不活動時限，且盡可能在逾時達到一定期限時，關閉應用和網絡會話。超過一定時間使用者沒有操作，自動登出該使用者登入。

應考慮對應敏感的計算機應用程式，特别是安裝在高風險位置的應用程式，使用聯機時間的控制措施。這種限制的示例包括：

• 使用預先定義好的連接配接時間；

• 将聯機時間限于正常辦公時間。

• 應確定特殊的敏感系統具有專用的運算環境，確定其運作在專用的計算機裝置上，并且僅與可信的應用系統共享資源，可根據具體情況采取實體或邏輯手段實作敏感系統隔離。

對應用系統相關的測試資料、開發測試文檔及源代碼應進行必要的通路控制，具體通路控制政策如下：

• 預設情況下，禁止使用真實的生産資料進行資訊系統測試活動，如必須使用需得到生産資料所屬業務負責人的準許。資訊系統上線後應及時清除測試過程中的所有帳号、測試資料、資料等。

• 資訊系統開發、測試、運作維護過程中的所有過程檔案，應進行統一的歸檔保管，防止機密性及完整性被破壞。

• 對源代碼的通路應進行控制，無論是開發測試中的還是配置庫中的；要確定非項目相關人員不可以獲得源代碼，應定期對配置庫進行權限清查，至少每年進行一次。

04.移動裝置和遠端工作

對在工作使用的移動計算裝置(包括筆記本電腦等)應進行嚴格的安全控制，包括以下方面：

• 使用移動計算裝置須經過使用人員的管理負責人授權。

• 公用移動計算裝置中貯存的資料應作為臨時資料處理，使用後要删除。

• 使用者必須設定作業系統登入密碼或螢幕保護程式密碼。

• 使用者應確定移動計算裝置處于安全的實體環境中，防止不必要的實體損壞及丢失。

• 應安裝許可的軟體，及時更新防病毒軟體的病毒庫，安裝最新作業系統更新檔。

任何人員隻允許通過可靠的遠端登入方式（如VPN）通路網絡環境及應用系統，禁止任何以其它方式登入或嘗試登入内部網絡環境。應使用足夠的安全控制措施（比如令牌、動态密碼卡等），確定能夠識别所登入使用者的合法身份。