《等级保护测评-完全过程》.pptVIP

应用安全测评基本要求和实现方法 基本要求 实现方法/案例 访问控制 安全审计 剩余信息保护 通讯完整性 通讯保密性 资源控制 审计报表 审计记录的保护 空间释放 对用户会话数及 系统最大并发会话数的限制 身份鉴别 基本的身份鉴别 组合鉴别技术 安全策略 最小授权原则 敏感标记的设置及操作 空间释放及信息清除 运行情况审计（用户级） 审计记录的保护 校验码技术 初始化验证 密码技术 整个报文及会话过程加密 抗抵赖 数据原发证据和接收证据 用户认证、数字签名、操作日志 资源分配限制、资源分配优先级 最小服务水平的检测及报警 软件容错 数据有效性检验、部分运行保护 自动保护功能 数据安全基本要求中控制点与要求项各级分布： 安全等级 控制点 要求项 第一级 2 2 第二级 3 4 第三级 3 8 第四级 3 11 数据完整性 （2项） 数据保密性 （2项） 备份与恢复 （8项） 以第三级为例 数据安全 数据安全测评内容和方法 数据完整性 数据保密性 调研访谈： 应能够检测到系统管理数据、鉴别信息和重要业务数据在传输和存储过程中完整性受到破坏，并进行必要措施； 检查判断：检测传输和存储破坏的措施和恢复措施。 安全备份 数据安全 调研访谈：采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输和存储保