信息安全等级保护三级.docxVIP

1.1.1应用安全应用安全测评所对应生成的检查记录表包括：政府网站安全核查记录表。 各个测评单元的具体内容、测评对象和测评方法见表5.1.4。 表5.1.4应用安全测评实施内容表 测评大项 测评项 技术要求 测评对象 应用安全 身份鉴别 应提供专用的登录控制模块对登录用户进行身份标识和鉴别 1锦州市区域卫生信息平台 应对问一用户米用两种或两种以上组合的鉴别技术实现用户身份鉴别 应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用 应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施 访问控制 应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问 应由授权主体配置访问控制策略，并严格限制默认账户的访问权限 应授予不问帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系 安全申计 应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计 应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录 审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等 应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能 剩余信息保护 应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中 通信完整保密性 1