《[精选]应用系统使用安全管理通则_030324_v3_fd》由会员分享，可在线阅读，更多相关《[精选]应用系统使用安全管理通则_030324_v3_fd（29页珍藏版）》请在金锄头文库上搜索。
1、应用系统使用安全管理通则V 中国石油信息安全标准编号： 中国石油天然气股份有限公司应用系统使用安全管理通则（审阅稿）版本号：V3审阅人：王巍中国石油天然股份有限公司前 言随着中国石油天然气股份有限公司（以下简称“中国石油”）信息化建设的稳步推进，信息安全日益受到中国石油的广泛关注，加强信息安全的管理和制度无疑成为信息化建设得以顺利实施的重要保障。中国石油需要建立统一的信息安全管理政策和标准，并在集团内统一推广、实施。本规范是依据中国石油信息安全的现状，参照国际、国内和行业相关技术标准及规范，结合中国石油自身的应用特点，制定的适合于中国石油信息安全的标准与规范。目标在于通过在中国石油范围内建立信
2、息安全相关标准与规范，提高中国石油信息安全的技术和管理能力。信息技术安全总体框架如下：1） 整体信息技术安全架构从逻辑上共分为7个部分，分别为：物理环境、硬件设备、网络、操作系统、数据和文档、应用系统和通用安全管理标准。图中带阴影的方框中带书名号的为单独成册的部分，共有13本规范和1本通用标准。2） 对于13个规范中具有一定共性的内容我们整理出了6个标准横向贯穿整个架构，这6个标准的组合也依据了信息安全生命周期的理论模型。每个标准都会对所有的规范中相关涉及到的内容产生指导作用，但每个标准应用在不同的规范中又会有相应不同的具体的内容。我们在行文上将这六个标准组合成一本通用安全管理标准单独成册。3
3、） 全文以信息安全生命周期的方法论作为基本指导，规范和标准的内容基本都根据认证授权内容安全日志管理的理论基础行文。应用系统是整个信息系统的核心，不论系统的规模的大小，系统的技术复杂的程度，一个业务部门或业务单元的业务往往要依赖相关业务的应用系统来维持正常运作。因此应用系统的使用直接的关系到了企业业务运作的成效。如果应用系统在使用中由于用户的不当操作或来自外部的恶意攻击造成瘫痪，则会严重的影响企业业务的运作。造成巨大的经济和信誉上的损失。应用系统使用安全管理通则就是希望通过对于应用系统使用进行相应的规范来确保应用系统的正常运作。从而确保企业的业务运作的正常和有效，并且通过对于应用系统的不断的改进
4、和更新使之更加的符合业务上的各种需求，提高企业业务运作的效率。本规范由中国石油天然气股份有限公司提出。本规范由中国石油天然气股份有限公司科技与信息管理部归口管理解释。起草单位：中国石油制定信息安全政策与标准项目组。说 明在中国石油信息安全标准中涉及以下概念：组织机构中国石油（PetroChina） 指中国石油天然气股份有限公司有时也称“股份公司”。集团公司（CNPC） 指中国石油天然气集团公司有时也称“存续公司”。为区分中国石油的地区公司和集团公司下属单位，担提及“存续部分”时指集团公司下属的单位。如：辽河油田分公司存续部分指集团公司下属的辽河石油管理局。计算机网络中国石油信息网（PetroC
5、hinaNet） 指中国石油范围内的计算机网络系统。中国石油信息网是在中国石油天然气集团公司网络的基础上，进行扩充与提高所形成的连接中国石油所属各个单位计算机局域网和园区网。集团公司网络（CNPCNet） 指集团公司所属范围内的网络。中国石油的一些地区公司是和集团公司下属的单位共用一个计算机网络，当提及“存续公司网络”时，指存续公司使用的网络部分。主干网 是从中国石油总部连接到各个下属各地区公司的网络部分，包括中国石油总部局域网、各个二级局域网（或园区网）和连接这些网络的专线远程信道。有些单位通过拨号线路连接到中国石油总部，不是利用专线，这样的单位和所使用的远程信道不属于中国石油专用网主干网组
6、成部分。地区网 地区公司网络和所属单位网络的总和。这些局域网或园区网互相连接所使用的远程信道可以是专线，也可以是拨号线路。局域网与园区网 局域网通常指，在一座建筑中利用局域网技术和设备建设的高速网络。园区网是在一个园区（例如大学校园、管理局基地等）内多座建筑内的多个局域网，利用高速信道互相连接起来所构成的网络。园区网所利用的设备、运行的网络协议、网络传输速度基本相同于局域网。局域网和园区网通常都是用户自己建设的。局域网和园区网与广域网不同，广域网不仅覆盖范围广，所利用的设备、运行的协议、传送速率都与局域网和园区网不同。传输信息的信道通常都是电信部门建设的。二级单位网络 指地区公司下属单位的网络
7、的总和，可能是局域网，也可能是园区网。专线与拨号线路 从连通性划分的两大类网络远程信道。专线，指数字电路、帧中继、DDN和ATM等经常保持连通状态的信道；拨号线路，指只在传送信息时才建立连接的信道，如电话拨号线路或ISDN拨号线路。这些远程信道可能用来连接不同地区的局域网或园区网，也可能用于连接单台计算机。石油专网与公网 石油专业电信网和公共电信网的简称。最后一公里问题 建设广域网时，用户局域网或园区网连接附近电信部门信道的最后一段距离的连接问题。这段距离通常小于一公里，但也有大于一公里的情况。为简便，同称为最后一公里问题。涉及计算机网络的术语和定义请参见中国石油局域网标准。目 录1概述62目
8、标63适用范围64引用的文件或标准75术语和定义86应用系统安装管理96.1测试安全96.2版本管理安全107应用系统使用管理137.1使用者身份识别管理137.2基于人员职责的应用系统分级授权管理157.3安全运营管理177.4安全控制管理217.5应用系统安全日志管理和监控管理238应用系统维护管理规范268.1备份管理规范268.2维护安全管理规范268.3卸载处理管理规范28附录 1参考文献29附录 2本规范用词说明30应用系统使用安全管理通则271 概述应用系统的概念是将技术与用户业务上的实际需求结合在一起，直接面对使用者、用于支持用户更快更好更有效的完成实际工作的集成的人机交互系统
9、。应用系统是建立在物理硬件系统、软件操作系统之上的信息系统。根据应用系统完成目标和服务对象的不同目前主要分为以下几种类型：业务处理系统、职能信息系统、组织信息系统和决策支持系统。本通则通过对各种类型的应用系统在使用过程中面临的各种与安全相关的并且具有一定通用性的问题进行阐述。从应用系统安装实施到使用到最后的维护报废的各个阶段入手，对应用系统使用中的安全问题加以相应的规范，确保应用系统在使用中的安全管理。2 目标本规范的目标为：保护应用系统在使用的各个阶段的安全。具体来说就是保护应用系统安装实施中的安全，保证应用系统在使用中的安全和在维护和报废过程中的安全。并使得应用系统不断的符合中国石油的实际
10、业务需求和安全管理上的需求。使应用系统更好的为中国石油的业务发展服务。3 适用范围本套规范适用的范围包括了所有在应用系统使用过程中相关的安全问题和安全事件。具体来说包括了应用系统安装过程中的安全问题，使用中的安全问题和维护报废过程中的安全问题，同时也包含了应用系统使用中版权的管理问题。本通则面向所有的应用系统的使用者、应用系统的维护和开发人员以及企业内部信息安全的管理人员和技术人员。4 引用的文件或标准下列文件中的条款通过本标准的引用而成为本标准的条款。凡是不注日期的引用文件，其最新版本适用于本标准。1. GB17859-1999 计算机信息系统安全保护等级划分准则2. GB/T 9387-1
11、995 信息处理系统 开放系统互连基本参考模型（ISO7498 :1989）3. GA/T 391-2002 计算机信息系统安全等级保护管理要求4. ISO/IEC TR 13355 信息技术安全管理指南5. NIST信息安全系列北美信息标准组织安全规范6. NIST信息安全系列美国国家标准技术院7. 英国国家信息安全标准BS77998. 信息安全基础保护IT Baseline Protection Manual (Germany)9. BearingPoint Consulting 内部信息安全标准10. RU Secure安全技术标准11. 信息系统安全专家丛书Certificate In
12、formation Systems Security Professional5 术语和定义认证 a.验证用户、设备和其他实体的身份； b. 验证数据的完整性。可用性availability 数据或资源的特性，被授权实体按要求能及时访问和使用数据或资源。保密性confidentiality 数据所具有的特性，即表示数据所达到的未提供或未泄露给未授权的个人、过程或其他实体的程度。完整性integrity在防止非授权用户修改或使用资源和防止授权用户不正确地修改或使用资源的情况下,信息系统中的数据与在原文档中的相同，并未遭受偶然或恶意的修改或破坏时所具的性质。数字签名digital signatur
13、e 添加到消息中的数据，它允许消息的接收方验证该消息的来源。加密encryption 通过密码系统把明文变换为不可懂的形式。身份认证identity authentication 使信息处理系统能识别出用户、设备和其他实体的测试实施过程。密钥key 控制加密或解密操作的位串。漏洞loophole 由软硬件的设计疏忽或漏洞导致的能避过系统的安全措施的一种错误。恶意代码malicious code 在硬件、固件或软件中所实施的程序，其目的是执行未经授权的或有害的行动。不可抵赖性 non-repudiation 信息系统中涉及的若干个实体中的一个对曾参与全部或部分通信过程不能否认的特性。口令pass
14、word 用来鉴别实体身份的受保护或秘密的字符串。安全策略 security policy 规定机构如何管理、保护与分发敏感信息的法规与条例的集合。验证 verification 将某一活动、处理过程或产品与相应的要求或规范相比较。例：将某一规范与安全策略模型相比较，或者将目标代码与源代码相比较。6 应用系统安装管理规范6.1 测试安全随着业务的发展，不断有新的应用系统投入使用，在应用系统正式投入使用之前必须进行测试以保证系统的安全和可靠，并符合企业的相关安全管理规范。对于应用系统的测试应遵从以下几个方面进行相关的规定：a) 在测试之前必须预先提出申请。通常由应用系统的使用部门中负责系统管理的
15、相关人员向部门领导提出测试的申请，并注明测试的原因、目的，时间，项目等。如果需要用真实的业务数据进行测试还需要进一步向公司信息安全部门确认并事先做好数据的保密工作。b) 明确参与测试的人员和人员的职责。参与测试的人员必须经过一定的筛选，通常由系统的开发人员或系统供应商的技术支持人员以及公司相关业务部门的系统维护人员和系统使用者共同参与。c) 应编写详细的测试计划。在测试的申请得到批准的前提下，编写详细的测试计划书，包括测试的物理环境要求，硬件和软件环境的要求，测试数据的准备，特别是如果采用真实的业务数据必须考虑数据的保密措施或对数据进行一定的数学处理。d) 应预先准备相关的测试环境。根据测试计划，准备相应的环境、设备和数据，并对环境和设备进行一定的检测，以确保在测试的过程中不会因应用环境或硬件的问题影响测试的结果。e) 进行测试。测试不得影响正常的业务运作。如果客观上无法避免影响，也必须将测试的时间安排在工
