毕博—石油国际全套咨询应用系统使用安全管理通则_030324_v3_fd

《毕博—石油国际全套咨询应用系统使用安全管理通则_030324_v3_fd》由会员分享，可在线阅读，更多相关《毕博—石油国际全套咨询应用系统使用安全管理通则_030324_v3_fd（29页珍藏版）》请在金锄头文库上搜索。

1、 中国石油信息安全标准 编号： 中国石油天然气股份有限公司 应用系统使用安全管理通则 （审阅稿） 版本号：V3 审阅人：王巍 中国石油天然股份有限公司 应用系统使用安全管理通则I 前 言 随着中国石油天然气股份有限公司（以下简称“中国石油” ）信息化建设的稳步推进，信息安全日 益受到中国石油的广泛关注，加强信息安全的管理和制度无疑成为信息化建设得以顺利实施的重要保 障。中国石油需要建立统一的信息安全管理政策和标准，并在集团内统一推广、实施。 本规范是依据中国石油信息安全的现状，参照国际、国内和行业相关技术标准及规范，结合中国 石油自身的应用特点，制定的适合于中国石油信息安全的标准与规范。目标在

2、于通过在中国石油范围 内建立信息安全相关标准与规范，提高中国石油信息安全的技术和管理能力。 信息技术安全总体框架如下： 区区 域域 安安 全全 管管 理理 规规 范范 机机 房房 安安 全全 管管 理理 规规 范范 硬硬 件件 设设 备备 管管 理理 规规 范范 网网络络安安全全 管管理理规规范范 通通用用安安全全管管 理理标标准准 数数 据据 和和 文文 档档 安安 全全 管管 理理 规规 范范 应应 用用 系系 统统 使使 用用 安安 全全 管管 理理 标标 准准 通通 则则 应应 用用 系系 统统 开开 发发 安安 全全 管管 理理 标标 准准 通通 则则 商商 业业 软软 件件 购购

3、买买 管管 理理 标标 准准 电电 子子 邮邮 件件 安安 全全 管管 理理 规规 范范 W We eb b系系 统统 安安 全全 管管 理理 规规 范范 电电 子子 商商 务务 安安 全全 规规 范范 防防 御御 恶恶 意意 代代 码码 和和 计计 算算 机机 犯犯 罪罪 管管 理理 规规 范范 信信息息安安全全技技术术标标准准 物理环境 安全管理 硬件设备 安全管理 操作系统 安全管理 数据和文档 安全管理 应用系统安 全管理 网 络 安 全 管 理 概 述 通 用 网 络 安 全 管 理 规 范 内 部 网 络 安 全 管 理 规 范 外 部 网 络 安 全 管 理 规 范 认 证 管

4、理 通 用 标 准 通 用 安 全 管 理 标 准 概 述 授 权 管 理 通 用 标 准 加 固 管 理 通 用 标 准 加 密 管 理 通 用 标 准 日 志 管 理 通 用 标 准 系 统 登 陆 管 理 通 用 标 准 操操 作作 系系 统统 安安 全全 管管 理理 规规 范范 1） 整体信息技术安全架构从逻辑上共分为 7 个部分，分别为：物理环境、硬件设备、网络、操 作系统、数据和文档、应用系统和通用安全管理标准。图中带阴影的方框中带书名号的为单 独成册的部分，共有 13 本规范和 1 本通用标准 。 2） 对于 13 个规范中具有一定共性的内容我们整理出了 6 个标准横向贯穿整个架

5、构，这 6 个标准的组合也依据了信息安全生命周期的理论模型。每个标准都会对所有的 规范中相关涉及到的内容产生指导作用，但每个标准应用在不同的规范中又会 有相应不同的具体的内容。我们在行文上将这六个标准组合成一本通用安全管理标准单 独成册。 3） 全文以信息安全生命周期的方法论作为基本指导， 规范和标准的内容基本都根据认证 授权内容安全日志管理的理论基础行文。 应用系统是整个信息系统的核心，不论系统的规模的大小，系统的技术复杂的程度，一个业务部 门或业务单元的业务往往要依赖相关业务的应用系统来维持正常运作。因此应用系统的使用直接的关 II应用系统使用安全管理通则 系到了企业业务运作的成效。如果应

6、用系统在使用中由于用户的不当操作或来自外部的恶意攻击造成 瘫痪，则会严重的影响企业业务的运作。造成巨大的经济和信誉上的损失。 应用系统使用安全管理通则就是希望通过对于应用系统使用进行相应的规范来确保应用系统 的正常运作。从而确保企业的业务运作的正常和有效，并且通过对于应用系统的不断的改进和更新使 之更加的符合业务上的各种需求，提高企业业务运作的效率。 本规范由中国石油天然气股份有限公司提出。 本规范由中国石油天然气股份有限公司科技与信息管理部归口管理解释。 起草单位：中国石油制定信息安全政策与标准项目组。 应用系统使用安全管理通则III 说 明 在中国石油信息安全标准中涉及以下概念： 组织机构

7、 中国石油（PetroChina） 指中国石油天然气股份有限公司有时也称“股份公司” 。 集团公司（CNPC） 指中国石油天然气集团公司有时也称“存续公司” 。为区分中国石油的地区 公司和集团公司下属单位，担提及“存续部分”时指集团公司下属的单位。如：辽河油田分公司存续 部分指集团公司下属的辽河石油管理局。 计算机网络 中国石油信息网（PetroChinaNet） 指中国石油范围内的计算机网络系统。中国石油信息网是 在中国石油天然气集团公司网络的基础上，进行扩充与提高所形成的连接中国石油所属各个单位计算 机局域网和园区网。 集团公司网络（CNPCNet） 指集团公司所属范围内的网络。中国石油的

8、一些地区公司是和集团 公司下属的单位共用一个计算机网络，当提及“存续公司网络”时，指存续公司使用的网络部分。 主干网 是从中国石油总部连接到各个下属各地区公司的网络部分，包括中国石油总部局域网、 各个二级局域网（或园区网）和连接这些网络的专线远程信道。有些单位通过拨号线路连接到中国石 油总部，不是利用专线，这样的单位和所使用的远程信道不属于中国石油专用网主干网组成部分。 地区网 地区公司网络和所属单位网络的总和。这些局域网或园区网互相连接所使用的远程信道 可以是专线，也可以是拨号线路。 局域网与园区网 局域网通常指，在一座建筑中利用局域网技术和设备建设的高速网络。园区网 是在一个园区（例如大学

9、校园、管理局基地等）内多座建筑内的多个局域网，利用高速信道互相连接 起来所构成的网络。园区网所利用的设备、运行的网络协议、网络传输速度基本相同于局域网。局域 网和园区网通常都是用户自己建设的。局域网和园区网与广域网不同，广域网不仅覆盖范围广，所利 用的设备、运行的协议、传送速率都与局域网和园区网不同。传输信息的信道通常都是电信部门建设 的。 二级单位网络 指地区公司下属单位的网络的总和，可能是局域网，也可能是园区网。 IV应用系统使用安全管理通则 专线与拨号线路 从连通性划分的两大类网络远程信道。专线，指数字电路、帧中继、DDN 和 ATM 等经常保持连通状态的信道；拨号线路，指只在传送信息时

10、才建立连接的信道，如电话拨号线路 或 ISDN 拨号线路。这些远程信道可能用来连接不同地区的局域网或园区网，也可能用于连接单台计 算机。 石油专网与公网 石油专业电信网和公共电信网的简称。 最后一公里问题 建设广域网时，用户局域网或园区网连接附近电信部门信道的最后一段距离的 连接问题。这段距离通常小于一公里，但也有大于一公里的情况。为简便，同称为最后一公里问题。 涉及计算机网络的术语和定义请参见中国石油局域网标准 。 应用系统使用安全管理通则V 目目 录录 1概述6 2目标6 3适用范围6 4引用的文件或标准7 5术语和定义8 6应用系统安装管理9 6.1测试安全9 6.2版本管理安全.10

11、7应用系统使用管理.13 7.1使用者身份识别管理.13 7.2基于人员职责的应用系统分级授权管理.15 7.3安全运营管理.17 7.4安全控制管理.21 7.5应用系统安全日志管理和监控管理.23 8应用系统维护管理规范.26 8.1备份管理规范.26 8.2维护安全管理规范.26 8.3卸载处理管理规范.28 附录 1参考文献 29 附录 2本规范用词说明 30 6应用系统使用安全管理通则 1概述 应用系统的概念是将技术与用户业务上的实际需求结合在一起，直接面对使用者、用于 支持用户更快更好更有效的完成实际工作的集成的人机交互系统。应用系统是建立在物 理硬件系统、软件操作系统之上的信息系

12、统。 根据应用系统完成目标和服务对象的不同目前主要分为以下几种类型：业务处理系统、 职能信息系统、组织信息系统和决策支持系统。 本通则通过对各种类型的应用系统在使用过程中面临的各种与安全相关的并且具有 一定通用性的问题进行阐述。从应用系统安装实施到使用到最后的维护报废的各个阶段 入手，对应用系统使用中的安全问题加以相应的规范，确保应用系统在使用中的安全管 理。 2目标 本规范的目标为： 保护应用系统在使用的各个阶段的安全。具体来说就是保护应用系统安装实施中的安全， 保证应用系统在使用中的安全和在维护和报废过程中的安全。并使得应用系统不断的符 合中国石油的实际业务需求和安全管理上的需求。使应用系

13、统更好的为中国石油的业务 发展服务。 3适用范围 本套规范适用的范围包括了所有在应用系统使用过程中相关的安全问题和安全事件所有在应用系统使用过程中相关的安全问题和安全事件。具 体来说包括了应用系统安装过程中的安全问题，使用中的安全问题和维护报废过程中的 安全问题，同时也包含了应用系统使用中版权的管理问题。 本通则面向所有的应用系统的使用者、应用系统的维护和开发人员以及企业内部信息安 全的管理人员和技术人员。 应用系统使用安全管理通则7 4引用的文件或标准 下列文件中的条款通过本标准的引用而成为本标准的条款。凡是不注日期的引用文件，其 最新版本适用于本标准。 1.GB17859-1999 计算机

14、信息系统安全保护等级划分准则 2.GB/T 9387-1995 信息处理系统 开放系统互连基本参考模型（ISO7498 :1989） 3.GA/T 391-2002 计算机信息系统安全等级保护管理要求 4.ISO/IEC TR 13355 信息技术安全管理指南 5.NIST 信息安全系列北美信息标准组织安全规范 6.NIST 信息安全系列美国国家标准技术院 7.英国国家信息安全标准 BS7799 8.信息安全基础保护 IT Baseline Protection Manual (Germany) 9.BearingPoint Consulting 内部信息安全标准 10. RU Secure

15、安全技术标准 11. 信息系统安全专家丛书 Certificate Information Systems Security Professional 8应用系统使用安全管理通则 5术语和定义 认证认证 a.验证用户、设备和其他实体的身份； b. 验证数据的完整性。 可用性可用性 availability 数据或资源的特性，被授权实体按要求能及时访问和使用数据或资源。 保密性保密性 confidentiality 数据所具有的特性，即表示数据所达到的未提供或未泄露给未授权 的个人、过程或其他实体的程度。 完整性完整性 integrity 在防止非授权用户修改或使用资源和防止授权用户不正确地修改

16、或使用资源 的情况下,信息系统中的数据与在原文档中的相同，并未遭受偶然或恶意的修改或破坏时所具 的性质。 数字签名数字签名 digital signature 添加到消息中的数据，它允许消息的接收方验证该消息的来源。 加密加密 encryption 通过密码系统把明文变换为不可懂的形式。 身份认证身份认证 identity authentication 使信息处理系统能识别出用户、设备和其他实体的测试 实施过程。 密钥密钥 key 控制加密或解密操作的位串。 漏洞漏洞 loophole 由软硬件的设计疏忽或漏洞导致的能避过系统的安全措施的一种错误。 恶意代码恶意代码 malicious code 在硬件、固件或软件中所实施的程序，其目的是执行未经授权的 或有害的行动。 不可抵赖性不可抵赖性 non-repudiation 信息系统中