信息安全管理体系应用安全管理制度.docx

PAGE1

信息安全管理体系应用安全管理制度

目录

TOC\h\z\u第一章 总则 1

第二章 身份鉴别 1

第三章 WEB页面安全 2

第四章 访问控制 2

第五章 安全审计 3

第六章 过期信息、文档处理 3

第七章 资源控制 3

第八章 应用容错 4

第九章 报文完整性 4

第十章 报文保密性 4

第十一章 抗抵赖 4

第十二章 编码安全 4

第十三章 电子认证应用 5

第十四章 附则 5

总则

为规范集团业务系统、管理系统的应用安全，保障集团应用系统安全稳定运行，特制定本制度。

本制度从身份鉴别，WEB页面安全，访问控制，安全审计，剩余信息保护，资源控制，应用容错，报文完整性，报文保密性，抗抵赖，编码安全和电子认证应用共计12个方面进行规范要求。

身份鉴别

各业务系统、管理系统应提供专用的登录控制模块对登录用户进行身份鉴别，并提供系统管理员和普通用户的设置功能。核心业务系统如支付相关系统应采用两种组合的鉴别技术实现用户的身份鉴别。

各业务系统、管理系统口令应满足复杂度要求，口令最小长度为8位，至少含有大写字母、小写字母、数字和特殊符号中的三种，并保证三个月修改一次密码，在口令即将到期之时进行提醒。如提供有密码初始化功能，应要求用户对初始密码进行修改。

各业务系统、管理系统应提供登录失败的处理功能，连续登陆失败5次后锁定该账户5分钟，并对成功和失败的登录进行日志记录。

各业务系统、管理系统应采用加密的方式对用户的信息进行传输、存储，防止用户的鉴别信息被盗用。

各业务系统、管理系统应限制客户端的认证会话时间，设置cookie的有效期，并在10分钟没有操作后自动退出会话连接。

各业务系统、管理系统在会话结束后应及时清除客户端的用户鉴别信息，防止其他客户冒用、盗用。

WEB页面安全

各业务系统、管理系统应提供登录防暴力破解的措施，例如限制失败登录次数，采用图片验证码等。

登录时所采用的验证码必须在每次登录失败后自动更换，并具备有一定的复杂度，不易被自动化工具识别。

核心业务系统如支付相关系统的登录、支付模块应使用可以提供第三方检测机构检测报告的安全控件。

核心业务系统如支付相关系统应使用数字证书签名，保证用户数据完整性。并采用独立的支付密码进行支付。

各业务系统、管理系统应通过编码或设备手段保证不存在SQL注入、跨站脚本、源代码暴露等漏洞。并且可以对黑客页面篡改、挂马等有防御机制。

核心业务系统如支付相关系统页面应支持用户设置用于防伪的预留信息，并保证预留的信息可以正确显示。

访问控制

各业务系统、管理系统应具有访问控制功能，访问控制功能覆盖范围包括所有的文件、用户以及之间的操作，访问控制粒度应达到文件、数据库级。应用系统管理人员应根据用户所在部门、承担角色为用户分配满足其所需的最小权限，严格控制用户对关键数据如敏感数据、重要业务数据、系统管理数据等的操作。

各业务系统、管理系统应提供业务用户操作审计功能，记录用户的业务操作内容，并提供用户访问中断的保护措施，保证在访问异常中断时，数据不丢失。

网络安全工程师应提供数据库安全配置规范，并由数据库工程师按照规范内容对数据库进行安全配置。

安全审计

各业务系统、管理系统应具备安全审计功能，能够审计应用系统的重要安全事件，审计记录的内容至少应包括事件的日期、时间、用户、类型、描述和结果等，审计功能应能覆盖到每个用户。

各业务系统、管理系统应保证用户无法关闭审计功能，并且审计记录也不能被用户任意删除、修改或是覆盖。

各业务系统、管理系统应提供对审计记录进行统计、查询、分析及生成审计报表的功能。

应建立统一的日志服务器，实时收集应用系统的日志信息，并且可以根据审计记录进行分析，生成审计报告。

核心业务系统如支付相关系统应具有非正常交易事件的报警功能。

过期信息、文档处理

各业务部门，技术部门应对过期的、无用的信息和文档进行完整删除。

资源控制

各业务系统、管理系统应能够根据业务需求，对最大并发会话连接数进行限制，也应能够对一个时间段内可能的并发会话进行限制。

各业务系统、管理系统应具有会话超时管理机制，即当用户无操作10分钟后自动断开会话连接。

各业务系统、管理系统应禁止单个账户的多重并发会话。

应用容错

各业务系统、管理系统应提供数据有效性检验功能，保证输入的数据格式或长度符合系统设定的要求，另外对于用户输入数据格式应该在客户端和服务器都要进行验证。

核心业务系统如支付相关系统应提供自我保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行及时恢复。

各业务系统、管理系统应具备回退机制，当故障发生时能够成功回退。

报文完整性

核心业务系统如支付相关系统应采用数字签名