计算机数据库管理规定.pdfVIP

计算机数据库管理规定 1 目的 为规范丹东银行（以下简称 “本行”）信息科技数据进行相应的安全管理， 保证本行数据库的安全。根据《GB17859-1999 计算机信息系统安全保护等级划 分准则》、《ISO/IEC TR 13355 信息技术安全管理指南》、《商业银行信息科技风 险管理指引》等其他要求特制定本规定。 2 范围 2.1 本规定适用范围包括信息科技所有和数据库相关的安全问题和安全事件。 具体来说包括了数据库相关的安全规范、数据信息的管理及数据备份的安全管 理规范。 2.2 本规定适用于本行计算机数据库的管理。 3 术语与定义 3.1 访问控制（access control） 是一种安全保证手段，即信息系统的资源 只能由被授权实体按授权方式进行访问，防止对资源的未授权使用。 3.2 认证 （authentication）是： 3.2.1 验证用户、设备和其他实体的身份。 3.2.2 验证数据的完整性。 3.3 解密 (decryption) 是指从密文中获取对应的原始数据的过程。 注：可将密文再次加密，这种情况下单次解密不会产生原始明文。 3.4 加密 (encryption) 通过密码系统把明文变换为不可懂的形式。 3.5 完整性 (integrity)在防止非授权用户修改或使用资源和防止授权用户不 正确地修改或使用资源的情况下，信息系统中的数据与在原文档中的相同，并 未遭受偶然或恶意的修改或破坏时所具的性质。 3.6 日志 (log)一种信息的汇集， 记录有关对系统操作和系统运行的全部事 项，提供了系统的历史状况。 3.7 恶意代码 (malicious code) 在硬件、固件或软件中所实施的程序，其目 的是执行未经授权的或有害的行动。 3.8 最小权限 (minimum privilege) 主体的访问权限制到最低限度，即仅执 行授权任务所必需的那些权利。 3.9 口令 (password)用来鉴别实体身份的受保护或秘密的字符串。 3.10 明文 (plaintext)无需利用密码技术即可得出语义内容的数据。 3.11 安全等级 (security classification) 决定防止数据或信息需求的访问 的某种程度的保护，同时对该保护程度给以命名。为表示信息的不同敏感度， 按保密程度不同对信息进行层次划分的组合或集合。 例： “绝密”、“机密”、“秘密”。 3.12 可信计算机系统 (trusted computer system) 提供充分的计算机安全的 信息处理系统，它允许具有不同访问权的用户并发访问数据，以及访问具有不 同安全等级和安全种类的数据。 HSM 硬件安全模块 (Hardware Security Module) NAS 网络附加存储 (Network Attached Storage) SAN 存储区域网络 (Storage Area Network) 3.13 内部数据信息是指本行在各项业务活动中产生的数据。这些数据即反映 了银行自身的经营状况，也从宏观和微观的不同层面反映了国民经济的运行状 况。 3.14 外部数据信息指本行为开展各项金融活动而面向全社会收集和存储的数 据。这些数据与银行活动密切相关，对银行做出经营决策、提高经济效益起着 至关重要的作用。 4 职责与权限 4.1 科技开发部 4.1.1 负责本行信息系统数据库的安全管理。 4.1.2 负责信息数据的备份与存放。 4.2 分管行长对本行信息系统数据的安全管理负管理责任。 4.3 审计部负责对信息系统数据安全管理的监督与审计。 5 政策 规范安装，及时录入，定期维护，科学备份。 6 流程图 无 7 风险控制要点 详细见风险库。 8 内容与要求 8.1 数据库安全的管理 8.1.1 加固操作系统和网络 防止由于系统和网络的漏洞所导致的数据库安全问题，具体规范参见《计算机 操作系统及应用软件管理制度》、《网络安全管理制度》。为防止存储设备的物理 损坏导致的影响，对于大型的应用应采用磁盘阵列容错和冗余等措施。 8.1.2 数据库初始的安全设置的安全管理 8.1.2.1 在数据库的初始配置时，必须禁用默认账号或者改变其相应的密码。 8.1.2.2 严格限制对数据库系统文件的读写权限。 8.1.3 数据库补丁更新 定期检查安全信息站点和数据库软件供应商的网站，一旦出现新的数据库软件 的补丁，