數(shù)據(jù)安全管理規(guī)定優(yōu)質資料

數(shù)據(jù)安全管理規(guī)定優(yōu)質資料(可以直接使用，可編輯優(yōu)質資料，歡迎下載）

數(shù)據(jù)安全管理規(guī)定優(yōu)質資料(可以直接使用，可編輯優(yōu)質資料，歡迎下載）____________________________________________________________[本文件中出現(xiàn)的任何文字敘述、文檔格式、插圖、照片、方法、過程等內容，除另有特別注明，版權均屬XXX所有，受到有關產權及版權法保護。任何個人、機構未經(jīng)XXX的書面授權許可，不得以任何方式復制或引用本文件的任何片斷。]分發(fā)控制分發(fā)對象文檔權限說明XXX內部員工只讀文件版本信息版本日期擬稿和修改說明文件版本信息說明文件版本信息記錄本文件提交時的當前有效的版本控制信息，當前版本文件有效期將在新版本文檔生效時自動結束。文件版本小于1.0時，表示該版本文件為草案，僅可作為參照資料之目的。總則為保證XXX信息系統(tǒng)核心數(shù)據(jù)安全，維護數(shù)據(jù)所有者權利，明確利益相關者的責任與義務，按照分類管理、分級保護、授權使用的原則，根據(jù)《XXX信息系統(tǒng)安全管理規(guī)定》及國家信息系統(tǒng)安全等級保護等有關要求，特制訂本規(guī)定。本規(guī)定所管理的數(shù)據(jù)均為非涉密的數(shù)據(jù)，XXX系統(tǒng)已標識密級的文件或已聲明密級的數(shù)據(jù)不納入本規(guī)定管理范疇。本規(guī)定適用于全國XXX信息系統(tǒng)環(huán)境中的數(shù)據(jù)安全管理工作。XXX各單位、部門均應按本規(guī)定開展數(shù)據(jù)安全管理工作。術語定義本規(guī)定所稱數(shù)據(jù)所有者是指，對所管理業(yè)務領域內的信息或信息系統(tǒng)，有權獲取、創(chuàng)建、維護和授權的業(yè)務主管。本規(guī)定所稱利益相關者包括數(shù)據(jù)創(chuàng)建者、數(shù)據(jù)所有者、數(shù)據(jù)管理者、數(shù)據(jù)使用者及信息安全管理人員。本規(guī)定所管理的數(shù)據(jù)涵蓋以紙質、電子等形式存在的文件和非文件形式的信息及其衍生物。其中，非文件形式的數(shù)據(jù)包括數(shù)據(jù)庫及配置文件中的數(shù)據(jù)、配置信息等。職責定義數(shù)據(jù)創(chuàng)建者負責針對其所創(chuàng)建數(shù)據(jù)的內容和價值提出分類分級建議，提交對應級別數(shù)據(jù)所有者確認。來自XXX信息系統(tǒng)以外的數(shù)據(jù)，數(shù)據(jù)承接者視同創(chuàng)建者行使提出分級分類建議的責任和義務。數(shù)據(jù)所有者具有確認數(shù)據(jù)類別和敏感級別、確認銷毀、提出技術保障需求、審查自檢和審計報告、做出安全事件處置決定等權利和義務。其中，XXX業(yè)務數(shù)據(jù)的所有者為XXX指定的相應業(yè)務部門。各類數(shù)據(jù)的責任部門是該類數(shù)據(jù)的管理者。數(shù)據(jù)管理者作為數(shù)據(jù)所有者的代理者，代理數(shù)據(jù)所有者從事數(shù)據(jù)管理工作，負責其所管轄范圍內數(shù)據(jù)的安全管理工作。數(shù)據(jù)管理者的職責包括但不限于：數(shù)據(jù)類別和敏感級別的標識與聲明，根據(jù)級別進行管理與保護，數(shù)據(jù)使用培訓，執(zhí)行銷毀操作并聲明，定期自查提交報告，配合數(shù)據(jù)安全違規(guī)調查等。分類與分級數(shù)據(jù)按其內容和用途不同分為技術類數(shù)據(jù)、行政管理類數(shù)據(jù)、業(yè)務類數(shù)據(jù)以及安全運行類數(shù)據(jù)。數(shù)據(jù)分級應根據(jù)其價值、內容的敏感程度、影響及發(fā)放范圍進行確定。數(shù)據(jù)管理者負責制定其分管領域內數(shù)據(jù)敏感等級的劃分規(guī)則，并制定和發(fā)布本部門或本領域的數(shù)據(jù)敏感等級目錄。標識與聲明數(shù)據(jù)的分類分級標識、聲明是數(shù)據(jù)不可分割的一部分，自其標識、聲明之日起，數(shù)據(jù)及其標識、聲明不得分離，數(shù)據(jù)管理者和數(shù)據(jù)使用者均須按照標識、聲明的類別和級別安全管理和使用數(shù)據(jù)。對于文件形式的數(shù)據(jù)，須由數(shù)據(jù)管理者在文件明顯位置標識其類別、敏感級別、失效日期等，且文件和標識不能分開。標識應該醒目，標識格式應統(tǒng)一，標識方法應便于審計。對于非文件形式的高敏感級別數(shù)據(jù)，如無法標識，須進行聲明。失效日期指數(shù)據(jù)敏感級別的有效性截止日期。到達失效日期后，應對數(shù)據(jù)進行重定級。對于敏感級別高的數(shù)據(jù)，須由管理者對數(shù)據(jù)名稱、類別、敏感級別、失效日期等以聲明文件的形式進行聲明，聲明文件須由數(shù)據(jù)所有者審批簽字。聲明文件須跟隨數(shù)據(jù)一起保管和傳遞。（聲明文件模版詳見附件）多個不同敏感級別的數(shù)據(jù)合并在一起時，按最高敏感級別給混合數(shù)據(jù)進行標識和聲明。保管與保護數(shù)據(jù)管理者須按照數(shù)據(jù)的敏感級別實施對應的保管與保護措施，并確保滿足數(shù)據(jù)所有者對數(shù)據(jù)的安全要求。數(shù)據(jù)管理者在日常管理中，須對數(shù)據(jù)按敏感級別分級防護，采取對應的存儲、歸檔、設定保存期限等措施。敏感級別高的數(shù)據(jù)紙質文件須參照XXX秘密級文件安全管理規(guī)定進行保管和保護。敏感級別高的電子數(shù)據(jù)須采用必要的訪問控制措施。數(shù)據(jù)管理工作應該首選技術手段加管理要求實現(xiàn)。必須加強針對數(shù)據(jù)管理工作的技術手段的研究、選型、部署、維護等。敏感級別高的數(shù)據(jù)自產生之日起，所有者提出的技術保障需求應同步到位。如技術上無法達到，技術部門應持續(xù)跟蹤技術進展，逐步使技術手段能夠滿足各項管理要求；對于已成熟并可采納的技術手段，技術部門應驗證其功能可靠性，逐步引入，持續(xù)優(yōu)化技術保障工作。數(shù)據(jù)使用數(shù)據(jù)使用者在使用數(shù)據(jù)時，須注意識別數(shù)據(jù)的敏感級別，按照其敏感級規(guī)范數(shù)據(jù)操作使用行為；使用中發(fā)現(xiàn)問題及時反映，發(fā)現(xiàn)違規(guī)行為及時舉報，并積極配合違規(guī)事件的調查；自覺遵守數(shù)據(jù)管理規(guī)定。數(shù)據(jù)使用者須保證其所使用數(shù)據(jù)來源的合法性，不私自拷貝、使用、傳播、保存與自己工作無關的數(shù)據(jù)。數(shù)據(jù)使用者和數(shù)據(jù)管理者無權未經(jīng)所有者批準向發(fā)布范圍以外的單位或個人提供中心數(shù)據(jù)或其衍生物，否則視為違規(guī)；如因工作原因需要對外提供的，應經(jīng)數(shù)據(jù)所有者確認，并記錄、備案、備查。XXX業(yè)務數(shù)據(jù)須按主管業(yè)務部門授權或管理規(guī)定要求對外提供，否則視為違規(guī)，并需做好數(shù)據(jù)提供記錄，備案、備查。數(shù)據(jù)管理者要對數(shù)據(jù)使用情況進行掌控和審計，發(fā)現(xiàn)違規(guī)行為及時制止，并依本規(guī)定進行處置。數(shù)據(jù)銷毀數(shù)據(jù)管理者有按照數(shù)據(jù)所有者要求清理和銷毀原始數(shù)據(jù)的義務。數(shù)據(jù)使用者應具有數(shù)據(jù)安全清理和銷毀的意識，具有按照數(shù)據(jù)管理者的要求清理和銷毀本地臨時數(shù)據(jù)、中間文件、過程文件的責任和義務。數(shù)據(jù)管理者和數(shù)據(jù)使用者具有按照規(guī)定記錄清理和銷毀數(shù)據(jù)過程，并接受安全管理人員審計的義務。數(shù)據(jù)管理者和數(shù)據(jù)使用者在清除和銷毀電子數(shù)據(jù)時，須保證清除和銷毀的徹底性。安全檢查與審計要求數(shù)據(jù)管理者有義務監(jiān)督數(shù)據(jù)的安全使用，負責所管理數(shù)據(jù)的自查工作。周期性地檢查數(shù)據(jù)安全使用和管理情況，更新過期的標識或聲明信息，向數(shù)據(jù)所有者匯報。信息安全領導機構根據(jù)信息安全組織授權，獨立開展高敏感級別數(shù)據(jù)的第三方審計工作。檢查和審計數(shù)據(jù)所有者、數(shù)據(jù)管理者數(shù)據(jù)管理要求的執(zhí)行情況，向信息安全組織匯報。數(shù)據(jù)保護數(shù)據(jù)保護應遵循適度保護、積極防范、突出重點、分級管理的原則，通過數(shù)據(jù)的分類分級進行區(qū)別保護、動態(tài)保護。X系X統(tǒng)信息安全組織，應根據(jù)信息安全工作的實際需要，制定數(shù)據(jù)保護的具體技術和管理措施。在數(shù)據(jù)的采集、決策分析、共享發(fā)布、存儲和廢棄的生命周期各階段，對數(shù)據(jù)的相應級別進行防護和處理。應能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務數(shù)據(jù)在傳輸和存儲過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復措施。數(shù)據(jù)在存儲和傳輸過程中須根據(jù)數(shù)據(jù)的級別采用加密或其他手段確保其存儲安全。數(shù)據(jù)在使用過程中，須根據(jù)數(shù)據(jù)的級別進行控制，嚴禁非授權訪問、傳輸和修改。數(shù)據(jù)交換過程中如涉及交換對象為非海關系統(tǒng)，應確保對端保護力度不低于海關系統(tǒng)數(shù)據(jù)保護力度。數(shù)據(jù)的銷毀須嚴格按照XXX系統(tǒng)相關標準、規(guī)范要求及國家的法律法規(guī)要求進行處理。附則對在數(shù)據(jù)安全管理工作中做出貢獻和創(chuàng)造性地開展工作的部門與個人予以表彰和獎勵；對違反本規(guī)定而引發(fā)事故的相關責任人，按照XXX違規(guī)違紀相關規(guī)定予以處罰。本規(guī)定由XXX科技發(fā)展司負責解釋。本規(guī)定自發(fā)布之日起執(zhí)行。附件、聲明文件模板附件、聲明文件模板分類分級說明數(shù)據(jù)名稱：失效日期：年月日發(fā)放范圍：類別：敏感級別：聲明者簽字：年月日數(shù)據(jù)所有者簽字：年月日信息安全部門備案：年月日注：“數(shù)據(jù)名稱”項填寫：文件形式數(shù)據(jù)的文件名稱，或非文件形式數(shù)據(jù)的數(shù)據(jù)內容簡稱；“失效日期”項填寫：數(shù)據(jù)敏感級別的有效性截止日期；“聲明者”為數(shù)據(jù)管理者。請將此文檔復印件交備案部門備案安恒信息數(shù)據(jù)安全防“脫庫”解決方案1.前言近日不斷有黑客陸續(xù)在互聯(lián)網(wǎng)上公開提供國內多家知名網(wǎng)站部分用戶數(shù)據(jù)庫下載，國內外媒體頻繁報道，影響惡劣，引起社會廣泛關注。其中涉及到游戲類、社區(qū)類、交友類等網(wǎng)站用戶數(shù)據(jù)正逐步公開，各報道中也針對系列事件向用戶提出密碼設置策略等安全建議。注冊用戶數(shù)據(jù)作為網(wǎng)站所有者的核心信息資產，涉及到網(wǎng)站及關聯(lián)信息系統(tǒng)的實質業(yè)務，對其保密性的要求強度不言而喻。隨著網(wǎng)站及微博實名制規(guī)定的陸續(xù)出臺，如果在實名制的網(wǎng)站出現(xiàn)用戶數(shù)據(jù)泄露事件，將會產生更惡劣的影響。針對近期部分互聯(lián)網(wǎng)站信息泄露事件，工信部于2021年12月28日發(fā)布通告要求：各互聯(lián)網(wǎng)站要高度重視用戶信息安全工作，把用戶信息保護作為關系行業(yè)健康發(fā)展和企業(yè)誠信建設的重要工作抓好抓實。發(fā)生用戶信息泄露的網(wǎng)站，要妥善做好善后工作，盡快通過網(wǎng)站公告、電子郵件、、短信等方式向用戶發(fā)出警示，提醒用戶修改在本網(wǎng)站或其他網(wǎng)站使用的相同用戶名和密碼。未發(fā)生用戶信息泄露的網(wǎng)站，要加強安全監(jiān)測，必要時提醒用戶修改密碼。各互聯(lián)網(wǎng)站要引以為戒，開展全面的安全自查，及時發(fā)現(xiàn)和修復安全漏洞。要加強系統(tǒng)安全防護，落實相關網(wǎng)絡安全防護標準，提高系統(tǒng)防入侵、防竊取、防攻擊能力。要采用加密方式存儲用戶信息，保障用戶信息安全。一旦發(fā)生網(wǎng)絡安全事件，要在開展應急處置的同時，按照規(guī)定向互聯(lián)網(wǎng)行業(yè)主管部門及時報告。工信部同時提醒廣大互聯(lián)網(wǎng)用戶提高信息安全意識，密切關注相關網(wǎng)站發(fā)布的公告，并根據(jù)網(wǎng)站安全提示修改密碼。提高密碼的安全強度并定期修改。2.信息泄密的根源2.1.透過現(xiàn)象看本質2.1.1.攻擊者因為利益鋌而走險攻擊者為什么會冒著巨大的法律風險去獲取用戶信息？2001年隨著網(wǎng)絡游戲的興起，虛擬物品和虛擬貨幣的價值逐步被人們認可，網(wǎng)絡上出現(xiàn)了多種途徑可以將虛擬財產轉化成現(xiàn)實貨幣，針對游戲賬號攻擊的逐步興起，并發(fā)展成龐大的虛擬資產交易市場；2004年-2007年，相對于通過木馬傳播方式獲得的用戶數(shù)據(jù)，攻擊者采用入侵目標信息系統(tǒng)獲得數(shù)據(jù)庫信息，其針對性與攻擊效率都有顯著提高。在巨額利益驅動下，網(wǎng)絡游戲服務端成為黑客“拖庫”的主要目標。2021年-2021年，國內信息安全立法和追蹤手段的得到完善，攻擊者針對中國境內網(wǎng)絡游戲的攻擊日趨收斂。與此同時殘余攻擊者的操作手法愈加精細和隱蔽，攻擊目標也隨著電子交易系統(tǒng)的發(fā)展擴散至的電子商務、彩票、境外賭博等主題網(wǎng)站，并通過黑色產業(yè)鏈將權限或數(shù)據(jù)轉換成為現(xiàn)實貨幣。招商加盟類網(wǎng)站也由于其本身數(shù)據(jù)的商業(yè)業(yè)務價值，成為攻擊者的“拖庫”的目標。2021年，攻防雙方經(jīng)歷了多年的博弈，國內網(wǎng)站安全運維水平不斷提升，信息安全防御產品的成熟度加強，單純從技術角度對目標系統(tǒng)進行滲透攻擊的難度加大，而通過收集分析管理員、用戶信息等一系列被稱作“社會工程學”的手段的攻擊效果被廣大攻擊者認可。獲得更多的用戶信息數(shù)據(jù)有利于提高攻擊的實際效率，攻擊者將目標指向了擁有大量注冊用戶真實詳細信息的社區(qū)及社交網(wǎng)站，并在地下建立起“人肉搜索庫”，預期實現(xiàn)：獲知某用戶常用ID或EMAIL，可以直接搜索出其常用密碼或常用密碼密文。2021年12月21日，僅僅是在這一天，攻擊者曾經(jīng)獲取到的部分數(shù)據(jù)庫信息內容被陸續(xù)地公開了。2.1.2.應用層防護百密而一疏在當今信息安全意識、信息安全產品都日益成熟的年代，為何入侵者獲取數(shù)據(jù)依然如入無人之境?很多人認為，在網(wǎng)絡中不斷部署防火墻、IDS、IPS等設備，可以提高網(wǎng)絡的安全性。但是為何基于應用的攻擊事件以及相應的“泄庫事件”仍然不斷發(fā)生?其根本的原因在于傳統(tǒng)的網(wǎng)絡安全設備對于應用層的攻擊防范，作用十分有限。我們可以通過下面例子來舉例黑客是如何常規(guī)獲取信息系統(tǒng)的數(shù)據(jù)庫信息的：攻防回合的延續(xù)包括傳統(tǒng)安全設備使黑客入侵服務端主機系統(tǒng)難度加大，而WEB應用的登錄入口表明了WEB應用程序與用戶數(shù)據(jù)表之間存在關聯(lián)，通過入侵WEB網(wǎng)站獲得數(shù)據(jù)庫信息成為針對網(wǎng)站數(shù)據(jù)庫攻擊的主要入手點，常見的攻擊步驟如下：一、尋找目標網(wǎng)站（或同臺服務器的其他網(wǎng)站）程序中存在的SQL注入、非法上傳、后臺管理權限等漏洞；二、通過上述漏洞添加一個以網(wǎng)頁腳本方式控制網(wǎng)站服務器的后門，即：WEBSHELL；三、通過已獲得的WEBSHELL提升權限，獲得對WEB應用服務器主機操作系統(tǒng)的控制權，并通過查看網(wǎng)站數(shù)據(jù)庫鏈接文件，獲得數(shù)據(jù)庫的鏈接密碼；四、通過在WEB應用服務器上鏡像數(shù)據(jù)庫連接，將目標數(shù)據(jù)庫中所需要的信息導入至攻擊者本地數(shù)據(jù)庫（或直接下載服務器上可能存在的數(shù)據(jù)庫備份文件）；五、清理服務器日志，設置長期后門。目前攻擊者以團隊為單位，無論從工具的制造、攻擊實施的具體手法都已經(jīng)形成了體系化、趨利化的作業(yè)流程。此例中我們發(fā)現(xiàn)，黑客針對應用系統(tǒng)的攻擊已經(jīng)完全無視傳統(tǒng)的網(wǎng)絡安全，而應用安全的建設恰好能夠彌補網(wǎng)絡安全的不足，提升了整個信息系統(tǒng)安全強度，能夠有效地阻止黑客針對性的應用層攻擊，降低數(shù)據(jù)信息被泄露的風險2.2.防泄密防好應用安全這塊板隨著互聯(lián)網(wǎng)技術的迅猛發(fā)展，許多政府和企業(yè)的關鍵業(yè)務活動越來越多地依賴于WEB應用，在向客戶提供通過瀏覽器訪問企業(yè)信息功能的同時，企業(yè)所面臨的風險在不斷增加。主要表現(xiàn)在兩個層面：一是隨著Web應用程序的增多，這些Web應用程序所帶來的安全漏洞越來越多；二是隨著互聯(lián)網(wǎng)技術的發(fā)展，被用來進行攻擊的黑客工具越來越多、黑客活動越來越猖獗,組織性和經(jīng)濟利益驅動非常明顯。然而與之形成鮮明對比的卻是：現(xiàn)階段的安全解決方案無一例外的把重點放在網(wǎng)絡安全層面，致使面臨應用層攻擊（如：針對WEB應用的SQL注入攻擊、跨站腳本攻擊等）發(fā)生時，傳統(tǒng)的網(wǎng)絡防火墻、IDS/IPS等安全產品對網(wǎng)站攻擊幾乎不起作用，許多政府和企業(yè)門戶網(wǎng)站成為黑客組織成批傳播木馬的最有效途徑，也將可能成為下一個被攻擊者所公開的潛在網(wǎng)站數(shù)據(jù)。據(jù)Gartner權威統(tǒng)計，目前75%的黑客攻擊發(fā)生在WEB應用層，近期層出不窮的安全事件均源于WEB應用層防護不到位所致，應用系統(tǒng)漏洞的根源還是來自程序開發(fā)者對網(wǎng)頁程序編制和檢測。未經(jīng)過安全訓練的程序員缺乏相關的網(wǎng)頁安全知識；應用部門缺乏良好的編程規(guī)范和代碼檢測機制等等。解決此類問題必須在WEB應用軟件開發(fā)程序上整治，僅僅靠打補丁和安裝防火墻是遠遠不夠的。隨著攻擊向應用層發(fā)展，傳統(tǒng)網(wǎng)絡安全設備不能有效的解決目前的安全威脅，企業(yè)如何有效地防止企業(yè)信息泄密，重點在于如何做好應用安全。3.防信息泄密的建設思路信息安全是一項系統(tǒng)工程，包括物理層、網(wǎng)絡層、系統(tǒng)層、應用層、數(shù)據(jù)層以及管理方面的內容。信息系統(tǒng)的某一層面安全了不能代表信息系統(tǒng)就安全了，需要各方面嚴格把控和完善結合，對于企業(yè)防信息泄密工程來講，目前企業(yè)信息系統(tǒng)的物理層、網(wǎng)絡層等已經(jīng)具備了一定的安全性，在本方案中重點關注系統(tǒng)安全、應用安全以及安全管理水平等方面的內容。3.1.系統(tǒng)安全的重要性企業(yè)的信息系統(tǒng)是多種信息資產的龐大組合，包括防火墻、路由交換設備、主機等；其所面臨的威脅也就是對系統(tǒng)能夠造成不利影響的一些潛在的事件或者行為，威脅包括自然的、故意的以及偶然的情況。系統(tǒng)安全重點解決操作系統(tǒng)、數(shù)據(jù)庫和服務器等系統(tǒng)安全級安全問題，以建立一個安全的系統(tǒng)運行平臺，建立有效的網(wǎng)絡檢測與監(jiān)控機制，以保護主機資源，防止非法訪問和惡意攻擊，及時發(fā)現(xiàn)系統(tǒng)和數(shù)據(jù)庫的安全漏洞，有效抵抗黑客利用系統(tǒng)的安全缺陷對系統(tǒng)進行攻擊，做到防患于未然。3.2.應用安全的必要性只有系統(tǒng)安全的建議得到保障，再建設應用安全才能更加有效地降低信息泄露的風險?；贐/S架構對外提供服務的信息系統(tǒng)面臨較大風險也是的應用層的攻擊風險。一方面由于WEB應用的開放性，隨著Web應用程序的增多，這些Web應用程序所帶來的安全漏洞越來越多，而且這些漏洞均是應用層或者說是代理層面的安全問題，通過傳統(tǒng)的網(wǎng)絡安全設備無法識別，這也是導致大量網(wǎng)站用戶信息泄露的最主要原因之一。另一方面受利益的驅使，被用來進行攻擊的黑客工具越來越多、黑客活動越來越猖獗，而且這種攻擊已經(jīng)由簡單的黑盒掃描滲透轉向模塊代碼分析，源代碼白盒分析等層面進行挖掘漏洞，若應用層面得不到有效的安全控制將導致非常嚴重的后果。

3.2.1.應用安全的范疇以B/S常見的對外提供服務的網(wǎng)站、論壇、業(yè)務系統(tǒng)等所涉及到的應用安全主要由以下幾個方面構成。一、訪問控制：針對用戶及惡意攻擊者訪問信息時進行有效地控制，對于正常請求允許訪問，對于惡意請求應及時進行阻止；二、信息保護：針對于惡意攻擊者進行敏感信息訪問時應及時保護；三、安全審計：對業(yè)務系統(tǒng)的運行應具備安全審計功能；四、數(shù)據(jù)庫應用安全：應針對數(shù)據(jù)庫系統(tǒng)進行安全檢查，對數(shù)據(jù)庫的操作行為應進行安全監(jiān)控。五、軟件容錯：應用系統(tǒng)及數(shù)據(jù)庫在上線前后及更新時應做好安全性測試，減少系統(tǒng)存在漏洞的可能性，避免有漏洞的系統(tǒng)對外發(fā)布。以上幾方面的內容都應具有相應的技術手段和管理制度來實現(xiàn)信息系統(tǒng)的應用安全。3.2.2.應用安全的時效性應用安全從整個信息安全的生命周期中是一個動態(tài)的、長期的過程，是從建設開始，風險評估、安全加固、安全防護、安全審計、再評估、再加固的過程。而從實際應用考慮，應用安全至少應滿足以下要求：一、事前預警：通過應用系統(tǒng)及數(shù)據(jù)庫的風險評估，發(fā)現(xiàn)可能存在的信息泄密點，并進行安全加固隨著應用系統(tǒng)及數(shù)據(jù)庫的不斷升級，企業(yè)能夠及時了解并掌握應用系統(tǒng)及數(shù)據(jù)庫自身是否存在著安全隱患，盡可能地避免漏洞對外發(fā)布，降低信息受泄密的危害；二、事中防護：惡意攻擊者對應用系統(tǒng)及數(shù)據(jù)庫進行攻擊或惡意操作時，管理人員及系統(tǒng)能夠具有有效地手段阻止惡意行為的發(fā)生，減少信息泄密的發(fā)生次數(shù)，避免對企業(yè)和信息造成影響；三、事后追溯：對于何人何地何時訪問企業(yè)信息時能夠具有追溯手段，對發(fā)生的信息泄密事件提供查詢工具，方便維護人員及管理員進行事件跟蹤和定位，并為事件的還原提供有力依據(jù)。3.2.3.應用安全的防護方法傳統(tǒng)網(wǎng)絡層安全防護措施和防御體系在安全管理中相當重要，但在面臨數(shù)據(jù)被泄露的安全問題中，應用安全的防護能力更加重要。使用安恒信息技術所提倡的一種基于風險評估模型及“事前+事中+事后”的安全理念的結合傳統(tǒng)網(wǎng)絡層防護措施的新型應用安全解決方案，將有效降低應用安全風險和出現(xiàn)被泄露信息的風險。風險評估與加固層面威脅一個信息系統(tǒng)的風險可能來自不同的層面，從網(wǎng)絡層、系統(tǒng)層到應用層，都有可能形成對信息系統(tǒng)直接或間接的威脅。通過風險評估對整個信息系統(tǒng)進行有效地安全評估，發(fā)現(xiàn)信息系統(tǒng)技術與管理方面存在的威脅。通過專業(yè)安全團隊的加固，減少或降低威脅對系統(tǒng)造成的影響，避免因存在的威脅造成的信息泄密影響。事前安全防范層面當前絕大多數(shù)企業(yè)缺少必備的WEB安全和數(shù)據(jù)庫安全的評估工具，使事前的風險評估難以實施。專業(yè)的安全產品需要有效的安全策略才能發(fā)揮應有的功能，而事前的安全評估則顯得尤為重要。企業(yè)業(yè)務系統(tǒng)最重要的資產集中在WEB應用層和數(shù)據(jù)庫系統(tǒng)，因此長期有效的保障企業(yè)業(yè)務系統(tǒng)的安全，安全運維人員應有必備的安全評估工具及技術實力。事中安全防護層面安全的信息系統(tǒng)需要涉及物理層、網(wǎng)絡層、主機層、應用層方方面面的安全防御措施。目前絕大多數(shù)的企業(yè)基本上把信息系統(tǒng)的相關主機托管至IDC機房，根據(jù)IDC的不同等級分別具備了物理層安全和網(wǎng)絡層安全。但企業(yè)尚缺少有力的安全防御措施如專業(yè)的遠程安全接入主機的VPN，網(wǎng)絡防火墻，WEB應用防火墻等安全設施，應切實建設相應的安全防御措施，提高系統(tǒng)的抗風險能力。事后安全審計層面企業(yè)核心數(shù)據(jù)庫存貯有大量的用戶信息，以及大量的有價值的其它信息資產。如果處理不當敏感的數(shù)據(jù)庫信息被竊取將會導致極大的信譽危機，對企業(yè)造成重大影響。本項目中應部署專業(yè)的數(shù)據(jù)庫審計系統(tǒng)實現(xiàn)對數(shù)據(jù)庫訪問的詳細記錄、監(jiān)測訪問行為的合規(guī)性，針對違規(guī)操作、異常訪問等及時發(fā)出告警，同時可通過與應用層關聯(lián)審計發(fā)現(xiàn)前端的請求與后端的數(shù)據(jù)庫操作關聯(lián)性，爭取將安全風險控制在最小的范圍之內。

4.構建防信息泄露的城墻安全服務與安全產品是相輔相成的，兩者如磚頭和水泥的關系，一方面，脫離服務的安全產品無法發(fā)揮其固有的能力，另一方面，脫離產品的服務效率低下、成本過高。因此，安恒提出“產品服務化、服務產品化”的理念，以優(yōu)秀的產品、滿意的服務為客戶網(wǎng)絡安全提供保證。防泄密涉及網(wǎng)絡安全、主機安全、運維安全等方方面面,建設應用安全體系是解決防泄密問題的核心所在。本方案中通過WEB應用層面、數(shù)據(jù)庫層面、運維操作層面進行技術防范，降低泄密事件的風險。并針對現(xiàn)有系統(tǒng)提出了“事前+事中+事后”的安全防護方法。安恒公司依據(jù)多年的應用與數(shù)據(jù)庫安全經(jīng)驗，擁有自己獨到的針對信息與網(wǎng)絡安全和信息與網(wǎng)絡安全服務的方法論，來建設應用安全體系：

一、加強系統(tǒng)安全體系建設，減少從系統(tǒng)層發(fā)生信息泄密的發(fā)生：通過對系統(tǒng)層的安全風險評估，發(fā)現(xiàn)系統(tǒng)安全層面存在的安全隱患及問題，并進行安全加固；通過部署相應的網(wǎng)絡防火墻進行合理的訪問控制及安全域劃分；建立運維審計系統(tǒng)將遠程運維進行安全審計，通過三個方面的建設加強系統(tǒng)安全體系建設。二、建設應用安全體系，提高應用層抗攻擊能力，降低信息泄密造成影響：通過對應用層的安全風險評估，發(fā)現(xiàn)應用安全層面存在的安全隱患及問題，并進行安全加固；建立事前預警機制，建設WEB應用安全檢測系統(tǒng)和數(shù)據(jù)庫安全檢測系統(tǒng)，對已有業(yè)務系統(tǒng)及數(shù)據(jù)庫進行安全檢查，減少信息泄密的發(fā)生；建立事中防護體系，建設WEB應用防火墻，提高WEB應用系統(tǒng)的抗風險能力；建立事后追溯手段，建設應用與數(shù)據(jù)庫安全審計系統(tǒng)，提高系統(tǒng)運行的透明度，對用戶訪問及數(shù)據(jù)庫操作行為進行安全審計。三、提升信息安全管理水平，加強管理制度建，輔以安全培訓及應急響應：建立應急響應機制，通過安恒專業(yè)的安全服務團隊對發(fā)生的安全事件進行專業(yè)分析與服務，幫助用戶快速地對安全事件進行響應；建立安全培訓體系，通過定期專業(yè)安全培訓提升企業(yè)的技術人員安全管理實力。通過管理制度建設，嚴格的安全管理制度、明確的部門安全職責劃分、合理的人員角色配置都可以在很大程度上降低其它層次的安全漏洞。4.1.加強系統(tǒng)安全體系上文提到了信息系統(tǒng)系統(tǒng)安全的重要性，據(jù)安恒公司的實際調研，大部分的企業(yè)都把業(yè)務系統(tǒng)及服務器托管至IDC機房，應用服務器和數(shù)據(jù)庫服務器在網(wǎng)絡層面和應用層面均沒有采取任何的防護措施，所有服務器的安全防護方面屬于在“裸奔”狀態(tài)下運行，應通過建立風險評估機制，充分考慮網(wǎng)絡訪問控制、安全域劃分及運維審計體系等安全管理措施。針對系統(tǒng)層安全進行信息系統(tǒng)風險評估與安全加固，并結合已有網(wǎng)絡訪問控制手段加固訪問控制策略；建立建全網(wǎng)絡訪問控制機制及安全域劃分，對托管在IDC機房的所有設備進行安全域劃分，管理與業(yè)務分離、應用與數(shù)據(jù)分離；運維審計，通過對遠程運維進行合理有效地監(jiān)控，提升安全運維的透明度，對運維的操作進行監(jiān)控審計；當前系統(tǒng)層安全管理和網(wǎng)絡安全技術已經(jīng)非常成熟并得到廣大安全運維人員的高度認可，因此本文中不再講述這二個部份的建設內容。系統(tǒng)安全，特別信息安全泄密事件中，有70％以上來自內部，其中包括內部人員的越權訪問、濫用、誤操作等，以及訪問控制不嚴格、設備自身日志簡單、日趨復雜的系統(tǒng)、難以定位實際責任人、用戶操作難以審計等因素都可能造成風險。因此，完善的運維審計系統(tǒng)是整個安全體系中不可缺少的組成部分，目前大多數(shù)企業(yè)對遠程操作仍沒有特別有效的審計手段，通過運維審計能夠有效地監(jiān)控遠程操作協(xié)議，如RDP、SSH、TELNET、FTP等，以減少因遠程運維而發(fā)生的信息泄密的事件。運維審計是一種符合4A(認證Authentication、賬號Account、授權Authorization、審計Audit)統(tǒng)一安全管理平臺方案并且被加固的高性能抗網(wǎng)絡攻擊設備，具備很強安全防范能力，作為進入內部網(wǎng)絡的一個檢查點，能夠攔截非法訪問和惡意攻擊，對不合法命令進行阻斷，過濾掉所有對目標設備的非法訪問行為。運維審計應能支持Telnet、SSH、FTP、SFTP、RDP、VNC、X11等協(xié)議，支持單點登錄、統(tǒng)一賬戶管理、自定義策略、日志回放、報表等功能，保證內部用戶的操作和行為可控、可視、可管理、可跟蹤、可審計。系統(tǒng)具備強大的輸入輸出審計功能，為企事業(yè)內部提供完全的審計信息，通過賬號管理、身份認證、資源授權、實時監(jiān)控、操作還原、自定義策略、日志服務等操作增強審計信息的安全性。

4.2建立事前預警機制針對現(xiàn)有的業(yè)務系統(tǒng)和數(shù)據(jù)庫進行風險評估與安全加固，應用安全評估主要是通過安全漏洞掃描、人工安全檢查、滲透測試等方式對業(yè)務系統(tǒng)的數(shù)據(jù)庫系統(tǒng)、應用系統(tǒng)、WEB系統(tǒng)的安全性進行評估。隨著企業(yè)應用系統(tǒng)及數(shù)據(jù)庫的不斷更新升級，原有漏洞的加固或業(yè)務系統(tǒng)新功能的增加，或多或少都可能產生新的漏洞，企業(yè)應具備有效地檢測預警手段，能夠及時了解并掌握應用系統(tǒng)及數(shù)據(jù)庫自身是否存在著安全隱患，盡可能地避免漏洞對外發(fā)布。通過建立WEB應用安全檢測系統(tǒng)和數(shù)據(jù)庫安全檢測系統(tǒng)，發(fā)現(xiàn)業(yè)務系統(tǒng)及數(shù)據(jù)庫的漏洞情況，并對其進行安全加固和升級。4.2.1WEB應用系統(tǒng)檢測機制企業(yè)通過建立WEB應用安全檢測系統(tǒng)，對更新升級的業(yè)務系統(tǒng)進行上線前的檢測，及時發(fā)現(xiàn)WEB應用的常見技術弱點，攔截因業(yè)務系統(tǒng)的更新將漏洞暴露。檢測系統(tǒng)本質是一種模擬常見WEB攻擊的非破壞性的工具，在WEB應用的開發(fā)、測試、運維階段，經(jīng)常作為一種事前的安全檢查用具，來快速高效地，發(fā)現(xiàn)系統(tǒng)可能存在的弱點，系統(tǒng)支持OWASPTOP10檢測，可以幫助用戶充分了解WEB應用存在的安全隱患，建立安全可靠的WEB應用服務，改善并提升應用系統(tǒng)抗各類WEB應用攻擊的能力（如：注入攻擊、跨站腳本、釣魚攻擊、信息泄漏、惡意編碼、表單繞過、緩沖區(qū)溢出等），協(xié)助用戶滿足等級保護、PCI、內控審計等規(guī)范要求。功能如下圖所示：

數(shù)據(jù)庫檢測機制企業(yè)通過建立數(shù)據(jù)庫安全檢測系統(tǒng)，發(fā)現(xiàn)業(yè)務系統(tǒng)所依靠的核心數(shù)據(jù)庫是否存在安全漏洞，如默認密碼、弱口令、不安全的配置等。數(shù)據(jù)庫安全檢測系統(tǒng)是專門針對于數(shù)據(jù)庫管理系統(tǒng)的脆弱性檢測而開發(fā)的一種安全工具，主要包含前端程序和掃描引擎兩部分。引擎的功能是訪問要掃描的數(shù)據(jù)庫，執(zhí)行前端提交的掃描請求，并將掃描結果返回前端。前端功能是與用戶交互，主要功能模塊包含：項目管理、掃描管理、報表管理、用戶權限管理、策略管理、日志管理。引擎和前端程序可以分開運行，它們之間一般采用自定義的網(wǎng)絡協(xié)議通信。功能如下圖所示：

4.3建立事中防護體系安全的信息系統(tǒng)需要涉及物理層、網(wǎng)絡層、應用層、主機層方方面面的安全防御措施，目前企業(yè)的尚缺少有力的應用層安全防御措施，應切實建設相應的安全防御措施，提高系統(tǒng)的抗風險能力。當前最為高效的解決方法是在WEB應用前端部署WEB應用防火墻，實現(xiàn)對WEB應用安全防御。本項目中主要的應用系統(tǒng)為WEB應用尚未部署WEB應用防火墻。Web應用防火墻（WebApplicationFirewall，簡稱：WAF）是通過執(zhí)行一系列針對HTTP/HTTPS的安全策略來專門為Web應用提供保護的一款產品。主要功能是：檢測、防御并記錄的WEB攻擊、應用加速、抗應用層DDOS、防篡改等。它是攻擊發(fā)生時，提升系統(tǒng)防御能力的主要手段，能夠阻擋攻擊者對WEB應用程序漏洞的利用，為修復程序漏洞爭取時間。在WAF的保護下，也能夠提升新業(yè)務系統(tǒng)上線的速度。甚至于，保護哪些歷史上遺留下來，已經(jīng)找不到開發(fā)者修復漏洞的歷史遺留WEB應用系統(tǒng)。它的一個常見部署方式如下：透明直連模式不需要給WAF配置IP地址，只要將WAF接入業(yè)務鏈路，配置好保護的WEB應用服務器的IP地址及端口，就可以實現(xiàn)對WEB應用業(yè)務的安全檢測。而部署WAF，不但不會影響業(yè)務系統(tǒng)的性能，同時還能夠提升應用交付。4.4建立事后追溯手段企業(yè)核心數(shù)據(jù)庫存貯有大量的用戶信息，以及大量的有價值的其它信息資產。如果處理不當敏感的數(shù)據(jù)庫信息被竊取將會導致極大的信譽危機，對企業(yè)造成重大影響。本項目中應部署專業(yè)的數(shù)據(jù)庫審計系統(tǒng)實現(xiàn)對數(shù)據(jù)庫訪問的詳細記錄、監(jiān)測訪問行為的合規(guī)性，針對違規(guī)操作、異常訪問等及時發(fā)出告警，同時可通過與應用層關聯(lián)審計發(fā)現(xiàn)前端的請求與后端的數(shù)據(jù)庫操作關聯(lián)性，爭取將安全風險控制在最小的范圍之內。數(shù)據(jù)庫審計系統(tǒng)是一種檢測、響應、記錄并分析對數(shù)據(jù)庫操作的安全管理設備。通過部署數(shù)據(jù)庫審計能夠實現(xiàn)：對數(shù)據(jù)庫的對象（包括用戶（數(shù)據(jù)庫）、表、字段、視圖、索引、存儲過程、包等）進行審計規(guī)則定制，制定細粒度的審計規(guī)則，如精細到表、字段、具體報文內容的細粒度審計規(guī)則，實現(xiàn)對敏感信息的精細監(jiān)控；基于IP地址、MAC地址和端口號審計；根據(jù)SQL執(zhí)行時間長短、根據(jù)SQL執(zhí)行回應以及具體報文內容等設定規(guī)則等。數(shù)據(jù)庫審計系統(tǒng)不僅能夠檢測、記錄與回放攻擊者的在任何時間的操作行為，也應當能夠展現(xiàn)其已經(jīng)獲取到的信息，讓運維和安全人員了解到當前造成的損失。如圖所示：對于B/S架構的應用系統(tǒng)而言，用戶通過WEB應用服務器實現(xiàn)對數(shù)據(jù)庫的訪問，傳統(tǒng)的數(shù)據(jù)庫審計系統(tǒng)只能審計到WEB應用服務器的相關信息，無法識別是哪個原始訪問者發(fā)出的請求。而通過關聯(lián)應用層的訪問和數(shù)據(jù)庫層的訪問操作請求，可以追溯到應用層的原始訪問者及請求信息（如：操作發(fā)生的URL、客戶端的IP等信息），產品主要根據(jù)時間片、關鍵字等要素進行信息篩選，以確定符合數(shù)據(jù)庫操作請求的WEB訪問，通過三層審計更精確地定位事件發(fā)生前后所有層面的訪問及操作請求。如圖所示：4.5提升信息安全管理水平企業(yè)的信息安全管理體系不僅僅做了風險評估、部署了安全產品，就認為信息系統(tǒng)安全了，管理與技術任何一方面存在隱患或漏洞，都可能對企業(yè)的業(yè)務系統(tǒng)及信息數(shù)據(jù)造成影響，甚至破壞。我們在防信息泄密的過程中不僅需要加強企業(yè)的信息系統(tǒng)安全技術水平，還應在信息安全管理上面進行提升。我們輔以應急響應機制、安全培訓體系以及管理制度的建設，以幫助企業(yè)在信息系統(tǒng)安全管理方面達到一定的高度，盡可能地避免安全事件的發(fā)生，減少對企業(yè)形象的影響。附錄：安恒信息簡介杭州安恒信息技術(DBAPPSecurity)，簡稱“安恒信息”，是業(yè)界領先的應用安全及數(shù)據(jù)庫安全整體解決方案提供商，專注于應用安全前沿趨勢的研究和分析，核心團隊擁有多年應用安全和數(shù)據(jù)庫安全的深厚技術背景以及最佳安全攻防實踐經(jīng)驗，以全球領先具有完全自主知識產權的專利技術，致力于為客戶提供應用安全、數(shù)據(jù)庫安全、不良網(wǎng)站監(jiān)測、安全管理平臺等整體解決方案?！鞍埠阈畔ⅰ肮究偛课挥诤贾莞咝聟^(qū)，在北京、上海、廣州、深圳、成都、重慶、西安、濟南、南京、美國硅谷等地都設有分支機構、遍布全國的代理商體系以及銷售與服務網(wǎng)絡能夠為用戶提供精準、專業(yè)的服務。公司成立以來安恒人始終以建立民族自主品牌為己任，秉承“精品創(chuàng)新，恒久品質”的理念，力爭打造中國信息安全產業(yè)應用安全與數(shù)據(jù)庫安全第一品牌。多年來，“安恒信息”以其精湛的技術，專業(yè)的服務得到了廣大客戶的青睞，同時贏得了高度的商業(yè)信譽。其客戶遍布全國，涉及金融、運營商、政府、公安、電力能源、教育、醫(yī)療、稅務/工商、社保、等保評估/安全服務機構、電子商務企業(yè)等眾多行業(yè)?！鞍埠阈畔ⅰ澳壳皳碛忻麒b、明御兩大系列自主研發(fā)產品，是應用安全、數(shù)據(jù)庫審計、不良網(wǎng)站監(jiān)測等領域的市場絕對領導者。其中明鑒?系列應用掃描器被公安部三所測評中心等國內權威等級保護測評機構廣泛使用。未來，“安恒信息“將繼續(xù)秉承誠信和創(chuàng)新精神，繼續(xù)致力于提供具有國際競爭力的自主創(chuàng)新產品和服務，全面保障客戶應用與數(shù)據(jù)庫的安全，為打造世界頂級的產品而不懈努力。作為2021北京奧組委安全產品和服務提供商，“安恒信息”被奧組委授予“奧運信息安全保障杰出貢獻獎”。在2021年建國60周年全國網(wǎng)站安全大檢查中，公安部和工信部安全中心均選用安恒信息明鑒應用弱點掃描作為安全檢查工具并發(fā)揮了重大作用。2021年，“安恒信息”作為上海世博會安全產品和服務的提供商，為上海世博會信息安全保駕護航。2021年，“安恒信息”作為廣州亞運會安全產品和服務的提供商，為廣州亞運會信息安全保駕護航。2021年，“安恒信息”作為深圳大運會安全產品和服務的提供商，為深圳大運會信息安全保駕護航。上海徠木電子股份安全標準化文件A0新版發(fā)行新版發(fā)行版次修訂頁次實施日期修改簡記制定Prepared日期Date審核Checked日期Date批準Approved日期Date1.目標規(guī)范基本用電要求，避免電擊、電氣火災等電氣事故，促進安全生產。2.范圍XXX各部門。3.定義無4.職責4.1設備部是車間配電系統(tǒng)的主管部門，負責車間配電系統(tǒng)的管理，包括日常安全巡檢、新設備布線審核、外來用電審核與監(jiān)管等；4.2行政部是公共區(qū)域配電系統(tǒng)主管部門，負責公共配電系統(tǒng)的管理，包括日常安全巡檢、外來用電審核與監(jiān)管等；4.3采購部等部門購買符合安全要求、具有3C認證標示的電氣耗材；4.4廠務部負責新置設備安裝電源的報批，設備部審核、董事長批準后組織安裝電源；4.5各部門負責轄區(qū)的安全用電檢查與管理；4.6安全部監(jiān)督各責任部門、責任人開展安全用電管理。5.工作程序5.1配電系統(tǒng)基本要求：線路負載不得超過線路承載能力；5.1.2開關與輸出負載匹配，異常時能夠自動切斷電源；5.1.3保障安全用電保護措施存在并且有效：電氣絕緣、屏護和間距、接地系統(tǒng)、漏電保護裝置、短路保護裝置和過載保護裝置、接地電阻等存在且有效。5.2安全用電基本要求：5.2.1燈具安裝要求：室外220伏燈具距離地面不低于3米，室內不低于2.5米；易燃易爆場所應使用防爆型電氣設備等；普通燈具與易燃物品距離不得小于30厘米。5.2.2移動電氣設備使用要求：定期對絕緣電阻進行檢測，絕緣電阻應小于1兆歐，電源線應采用三芯或四芯多股橡膠電纜，無接頭，不得跨越通道，絕緣層無破損，長度不得超過5米，