（安全管理）web系统安全管理规范_030328_v3.pdfVIP

（安全管理）web 系统安全管 理规范_030328_v3 中国石油信息安全标准 编号： 中国石油天然气股份有限公司 Web 系统安全管理规范 （审阅稿） 版本号：V3 审阅人：王巍 中国石油天然股份有限公司 目录 第 1 章概述 3 1.1 概述 3 1.2 目标3 1.3 范围3 1.4 规范引用的文件或标准 4 1.5 术语和定义 4 第 2 章 WEB 服务器操作系统的安全 7 2.1Web 服务器操作系统的安装和配置安全规范 7 2.2 操作系统的安全测试 12 2.3 操作系统安全检查表 13 第 3 章 WEB 应用系统安全 15 3.1Web 应用系统安装的安全 15 3.2Web 应用系统的访问控制 16 3.3Web 应用系统的文件完整性检查 19 3.4Web 应用系统安装和配置的安全检查表 20 第 4 章 WEB 内容安全22 4.1 中国石油外部Web 站点信息发布的安全规范 22 4.2 内容和动态内容生成的安全管理规范24 4.3Web 内容的安全检查表26 第 5 章 WEB 网络安全28 5.1 物理安全 28 5.2Web 服务器的网络位置 29 5.3 网络组件的安全规则配置32 第 6 章 WEB 服务器系统运行管理安全 35 6.1 系统的更新和修补流程35 6.2 系统日志35 6.3 系统备份37 6.4 系统恢复39 6.5Web 服务器定期安全测试 40 6.6Web 系统的远程管理42 6.7Web 服务器安全管理检查表 43 第 7 章员工使用 WEB 的安全规范45 II Web 系统安全管理规范 7.1 员工使用Web 的规范45 7.2 用户浏览Web 站点时应遵守的规范 46 附录 1 中国石油内部网站信息发布审批表48 附录 2 参考资料 49 附录 3 本规范用词说明 50 第 1 章 概述 第 1 章 概述 1.1 概述 Web 系统是互联网上信息交换的平台，是中国石油对内、对外交流的窗口，是企业员工获 取信息的重要渠道。Web 服务器也是企业信息系统中最容易遭受攻击的目标之一。为保护 中国石油企业信息资产和信息系统安全，保障Web 系统的保密性、可用性、完整性和可 管理性特制定本规范。本规范从Web 的技术、管理和人员使用三方面提出安全规定，包 括 Web 服务器安全、Web 服务器操作系统安全、Web 内容安全、Web 服务器网络安全和用 户使用安全。  1.2 目标 保障中国石油企业信息资产安全，保护 Web 系统的可用性、完整性和保密性，规范用户 安全使用 Web 。 1.3 范围 本标准规定了中国石油 Web 系统的技术、管理和使用的安全。 本标准适用于中国石油 Web 系统安全的维护和管理、内容发布。 1.4 规范引用的文件或标准 下列文件中所包含的条款，通过本标准的引用而成为本标准的条款。本标准出版时，所 示版均为有效。所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本 的可能性。 1. GB17859-1999 计算机信息系统安全保护等级划分准则 2. GB/T9387.2-1995 信息处理系统开放系统互连基本参考模型第二部分安全体系结 构（ISO7498.2:1989） 3. GA/T387-2002 计算机信息系统安全等级保护网络技术要求 4. 《计算机信息网络国际联网安全保护管理办法》 4 Web 系统安全管理规范 5. 《中华人民共和国计算机信息系统安全保护条例》 6. 《计算机信息网络国际联网保密管理规定》 7. 《中华人民共和国计算机信息网络国际联网管理暂行规定》 8. 《维护互联网安全的决定》 9. ISO/IECTR13355 信息技术安全管理指南 ISO/IECTR13355 信息技术安全管理指 南 10. NIST 信息安全系列——美国国家标准技术院 11. 英国国家信息安全标准 BS7799 12. 信息安全基础保护 ITBas