医院信息系统-应用系统-三级安全等保-整改策略2012.pptVIP

Software 医院信息系统三级安全等保应用系统改造 Contents 上海市安全等级要求文件介绍 某医院的评测结果分析 安全等级保护应用系统及研发涉及条款 安全等级保护应用系统的改造落实计划 4 1 2 3 应用系统安全要求 应用安全是指对信息系统涉及到的应用系统进行安全保护。 具体关注内容包括 身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错和资源控制等功能方面 身份鉴别 a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别； b)应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别； c)应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用； d)应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； e)应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。 OK 增加：动态口令或CA或指纹 动态口令：硬件令牌、短信密码、 手机令牌 1、用户不重复 -- OK 2、启用复杂密码、定期修改 1、验证问题 -- OK 2、非法登录次数，3次 2、登录连接超时限制 安全参数设置 访问控制 a)?????? 应提供访问控制功能，依据安全策略控制用户对文件、数据库表