數(shù)據(jù)中心信息安全管理及管控要求

隨著在世界范圍內(nèi),信息化水平的不斷發(fā)展,數(shù)據(jù)中心的信息安全逐漸成為人們關(guān)注的焦點,世界范圍內(nèi)的各個機構(gòu)、組織、個人都在探尋如何保障信息安全的問題。英國、美國、挪威、瑞典、芬蘭、澳大利亞等國均制定了有關(guān)信息安全的本國標(biāo)準(zhǔn),國際標(biāo)準(zhǔn)化組織(iso)也發(fā)布了iso17799、iso13335、iso15408等與信息安全相關(guān)的國際標(biāo)準(zhǔn)及技術(shù)報告。目前,在信息安全管理方面,英國標(biāo)準(zhǔn)iso27000:2005已經(jīng)成為世界上應(yīng)用最廣泛與典型的信息安全管理標(biāo)準(zhǔn),它是在bsi/disc的bdd/2信息安全管理委員會指導(dǎo)下制定完成。

iso27001標(biāo)準(zhǔn)于1993年由英國貿(mào)易工業(yè)部立項,于1995年英國首次出版bs 7799-1:1995《信息安全管理實施細則》,它提供了一套綜合的、由信息安全最佳慣例組成的實施規(guī)則,其目的是作為確定工商業(yè)信息系統(tǒng)在大多數(shù)情況所需控制范圍的唯一參考基準(zhǔn),并且適用于大、中、小組織。1998年英國公布標(biāo)準(zhǔn)的第二部分《信息安全管理體系規(guī)范》,它規(guī)定信息安全管理體系要求與信息安全控制要求,它是一個組織的全面或部分信息安全管理體系評估的基礎(chǔ),它可以作為一個正式認證方案的根據(jù)。iso27000-1與iso27000-2經(jīng)過修訂于1999年重新予以發(fā)布,1999版考慮了信息處理技術(shù),尤其是在網(wǎng)絡(luò)和通信領(lǐng)域應(yīng)用的近期發(fā)展,同時還非常強調(diào)了商務(wù)涉及的信息安全及信息安全的責(zé)任。2000年12月,iso27000-1:1999《信息安全管理實施細則》通過了國際標(biāo)準(zhǔn)化組織iso的認可,正式成為國際標(biāo)準(zhǔn)iso/iec17799-1:2000《信息技術(shù)-信息安全管理實施細則》。2002年9月5日,iso27000-2:2002草案經(jīng)過廣泛的討論之后,終于發(fā)布成為正式標(biāo)準(zhǔn),同時iso27000-2:1999被廢止?，F(xiàn)在,iso27000:2005標(biāo)準(zhǔn)已得到了很多國家的認可,是國際上具有代表性的信息安全管理體系標(biāo)準(zhǔn)。許多國家的政府機構(gòu)、銀行、證券、保險公司、電信運營商、網(wǎng)絡(luò)公司及許多跨國公司已采用了此標(biāo)準(zhǔn)對信息安全進行系統(tǒng)的管理,數(shù)據(jù)中心(idc)應(yīng)逐步建立并完善標(biāo)準(zhǔn)化的信息安全管理體系。

一、 數(shù)據(jù)中心信息安全管理總體要求

1、信息安全管理架構(gòu)與人員能力要求

1.1信息安全管理架構(gòu)

idc在當(dāng)前管理組織架構(gòu)基礎(chǔ)上,建立信息安全管理委員會,涵蓋信息安全管理、應(yīng)急響應(yīng)、審計、技術(shù)實施等不同職責(zé),并保證職責(zé)清晰與分離,并形成文件。

1.2人員能力

具備標(biāo)準(zhǔn)化 信息安全管理體系內(nèi)部審核員、cisp(certified information security professional,國家注冊信息安全專家)等相關(guān)資質(zhì)人員。5星級idc至少應(yīng)具備一名合格的標(biāo)準(zhǔn)化信息安全管理內(nèi)部審核員、一名標(biāo)準(zhǔn)化 主任審核員。4星級idc至少應(yīng)至少具備一名合格的標(biāo)準(zhǔn)化信息安全管理內(nèi)部審核員

2、信息安全管理體系文件要求,根據(jù)idc業(yè)務(wù)目標(biāo)與當(dāng)前實際情況,建立完善而分層次的idc信息安全管理體系及相應(yīng)的文檔,包含但不限于如下方面:

2.1信息安全管理體系方針文件

包括idc信息安全管理體系的范圍,信息安全的目標(biāo)框架、信息安全工作的總方向和原則,并考慮idc業(yè)務(wù)需求、國家法律法規(guī)的要求、客戶以及合同要求。

2.2風(fēng)險評估

內(nèi)容包括如下流程:識別idc業(yè)務(wù)范圍內(nèi)的信息資產(chǎn)及其責(zé)任人;識別資產(chǎn)所面臨的威脅;識別可能被威脅利用的脆弱點;識別資產(chǎn)保密性、完整性和可用性的喪失對idc業(yè)務(wù)造成的影響;評估由主要威脅和脆弱點導(dǎo)致的idc業(yè)務(wù)安全破壞的現(xiàn)實可能性、對資產(chǎn)的影響和當(dāng)前所實施的控制措施;對風(fēng)險進行評級。

2.3風(fēng)險處理

內(nèi)容包括:與idc管理層確定接受風(fēng)險的準(zhǔn)則,確定可接受的風(fēng)險級別等;建立可續(xù)的風(fēng)險處理策略:采用適當(dāng)?shù)目刂拼胧?、接受風(fēng)險、避免風(fēng)險或轉(zhuǎn)移風(fēng)險;控制目標(biāo)和控制措施的選擇和實施,需滿足風(fēng)險評估和風(fēng)險處理過程中所識別的安全要求,并在滿足法律法規(guī)、客戶和合同要求的基礎(chǔ)上達到最佳成本效益。

2.4文件與記錄控制

明確文件制定、發(fā)布、批準(zhǔn)、評審、更新的流程;確保文件的更改和現(xiàn)行修訂狀態(tài)的標(biāo)識、版本控制、識別、訪問控制有完善的流程;并對文件資料的傳輸、貯存和最終銷毀明確做出規(guī)范。

記錄控制內(nèi)容包括:保留信息安全管理體系運行過程執(zhí)行的記錄和所有發(fā)生的與信息安全有關(guān)的重大安全事件的記錄;記錄的標(biāo)識、貯存、保護、檢索、保存期限和處置所需的控制措施應(yīng)形成文件并實施。

2.5內(nèi)部審核

idc按照計劃的時間間隔進行內(nèi)部isms審核,以確定idc的信息安全管理的控制目標(biāo)、控制措施、過程和程序符標(biāo)準(zhǔn)化標(biāo)準(zhǔn)和相關(guān)法律法規(guī)的要求并得到有效地實施和保持。五星級idc應(yīng)至少每年1次對信息安全管理進行內(nèi)部審核。四星級idc應(yīng)至少每年1次對信息安全管理進行內(nèi)部審核。

2.6糾正與預(yù)防措施

idc建立流程,以消除與信息安全管理要求不符合的原因及潛在原因,以防止其發(fā)生,并形成文件的糾正措施與預(yù)防措施程序無

2.7控制措施有效性的測量

定義如何測量所選控制措施的有效性;規(guī)定如何使用這些測量措施,對控制措施的有效性進行測量(或評估)。

2.8管理評審

idc管理層按計劃的時間間隔評審內(nèi)部信息安全管理體系,以確保其持續(xù)的適宜性、充分性和有效性,最終符合idc業(yè)務(wù)要求。

五星級idc管理層應(yīng)至少每年1次對idc的信息安全管理體系進行評審四星級idc管理層應(yīng)至少每年1次對idc的信息安全管理體系進行評審。

2.9適用性聲明

適用性聲明必須至少包括以下3項內(nèi)容: idc所選擇的控制目標(biāo)和控制措施,及其選擇的理由;當(dāng)前idc實施的控制目標(biāo)和控制措施;標(biāo)準(zhǔn)化附錄a中任何控制目標(biāo)和控制措施的刪減,以及刪減的正當(dāng)性理由。

2.10業(yè)務(wù)連續(xù)性

過業(yè)務(wù)影響分析,確定idc業(yè)務(wù)中哪些是關(guān)鍵的業(yè)務(wù)進程,分出緊急先后次序; 確定可以導(dǎo)致業(yè)務(wù)中斷的主要災(zāi)難和安全失效、確定它們的影響程度和恢復(fù)時間; 進行業(yè)務(wù)影響分析,確定恢復(fù)業(yè)務(wù)所需要的資源和成本,決定對哪些項目制作業(yè)務(wù)連續(xù)性計劃(bcp)/災(zāi)難恢復(fù)計劃(drp)。

2.11其它相關(guān)程序

另外,還應(yīng)建立包括物理與環(huán)境安全、信息設(shè)備管理、新設(shè)施管理、業(yè)務(wù)連續(xù)性管理、災(zāi)難恢復(fù)、人員管理、第三方和外包管理、信息資產(chǎn)管理、工作環(huán)境安全管理、介質(zhì)處理與安全、系統(tǒng)開發(fā)與維護、法律符合性管理、文件及材料控制、安全事件處理等相關(guān)流程與制度。

二、信息安全管控要求

1、安全方針

信息安全方針文件與評審建立idc信息安全方針文件需得到管理層批準(zhǔn)、發(fā)布并傳達給所有員工和外部相關(guān)方。

至少每年一次或當(dāng)重大變化發(fā)生時進行信息安全方針評審。

2、信息安全組織

2.1 內(nèi)部組織

2.1.1信息安全協(xié)調(diào)、職責(zé)與授權(quán)

信息安全管理委員會包含idc相關(guān)的不同部門的代表;所有的信息安全職責(zé)有明確成文的規(guī)定;對新信息處理設(shè)施,要有管理授權(quán)過程。

2.1.2保密協(xié)議

idc所有員工須簽署保密協(xié)議,保密內(nèi)容涵蓋idc內(nèi)部敏感信息;保密協(xié)議條款每年至少評審一次。

2.1.3權(quán)威部門與利益相關(guān)團體的聯(lián)系

與相關(guān)權(quán)威部門(包括,公安部門、消防部門和監(jiān)管部門)建立溝通管道;與安全專家組、專業(yè)協(xié)會等相關(guān)團體進行溝通。

2.1.4獨立評審

參考“信息安全管理體系要求”第5和第8條關(guān)于管理評審、內(nèi)部審核的要求,進行獨立的評審。

審核員不能審核評審自己的工作;評審結(jié)果交管理層審閱。

2.2 外方管理

2.2.1外部第三方的相關(guān)風(fēng)險的識別

將外部第三方(設(shè)備維護商、服務(wù)商、顧問、外包方臨時人員、實習(xí)學(xué)生等)對idc信息處理設(shè)施或信息納入風(fēng)險評估過程,考慮內(nèi)容應(yīng)包括:需要訪問的信息處理設(shè)施、訪問類型(物理、邏輯、網(wǎng)絡(luò))、涉及信息的價值和敏感性,及對業(yè)務(wù)運行的關(guān)鍵程度、訪問控制等相關(guān)因素。

建立外部第三方信息安全管理相關(guān)管理制度與流程。

2.2.2客戶有關(guān)的安全問題

針對客戶信息資產(chǎn)的保護,根據(jù)合同以及相關(guān)法律、法規(guī)要求,進行恰當(dāng)?shù)谋Ｗo。

2.2.3處理第三方協(xié)議中的安全問題

涉及訪問、處理、交流(或管理)idc及idc客戶的信息或信息處理設(shè)施的第三方協(xié)議,需涵蓋所有相關(guān)的安全要求。

3、信息資產(chǎn)管理

3.1 資產(chǎn)管理職責(zé)

3.1.1資產(chǎn)清單與責(zé)任人

idc對所有信息資產(chǎn)度進行識別,將所有重要資產(chǎn)都進行登記、建立清單文件并加以維護。

idc中所有信息和信息處理設(shè)施相關(guān)重要資產(chǎn)需指定責(zé)任人。

3.1.2資產(chǎn)使用

指定信息與信息處理設(shè)施使用相關(guān)規(guī)則,形成了文件并加以實施。

3.2 信息資產(chǎn)分類

3.2.1資產(chǎn)分類管理

根據(jù)信息資產(chǎn)對idc業(yè)務(wù)的價值、法律要求、敏感性和關(guān)鍵性進行分類,建立一個信息分類指南。

信息分類指南應(yīng)涵蓋外來的信息資產(chǎn),尤其是來自客戶的信息資產(chǎn)。

3.2.2信息的標(biāo)記和處理

按照idc所采納的分類指南建立和實施一組合適的信息標(biāo)記和處理程序。

4、人力資源安全

這里的人員包括idc雇員、承包方人員和第三方等相關(guān)人員。

4.1信息安全角色與職責(zé)

人員職責(zé)說明體現(xiàn)信息安全相關(guān)角色和要求。

4.2背景調(diào)查

人員任職前根據(jù)職責(zé)要求和崗位對信息安全的要求,采取必要的背景驗證。

4.3雇用的條款和條件

人員雇傭后,應(yīng)簽署必要的合同,明確雇傭的條件和條款,并包含信息安全相關(guān)要求。

4.4信息安全意識、教育和培訓(xùn)

入職新員工培訓(xùn)應(yīng)包含idc信息安全相關(guān)內(nèi)容。

至少每年一次對人員進行信息安全意識培訓(xùn)。

4.5安全違紀(jì)處理

針對安全違規(guī)的人員,建立正式的紀(jì)律處理程序。

4.6雇傭的終止與變更

idc應(yīng)清晰規(guī)定和分配雇用終止或雇用變更的職責(zé);雇傭協(xié)議終止于變更時,及時收回相關(guān)信息資產(chǎn),并調(diào)整或撤銷相關(guān)訪問控制權(quán)限。

5、物理與環(huán)境安全

5.1 安全區(qū)域

5.1.1邊界安全與出入口控制

根據(jù)邊界內(nèi)資產(chǎn)的安全要求和風(fēng)險評估的結(jié)果對idc物理區(qū)域進行分區(qū)、分級管理,不同區(qū)域邊界與出入口需建立卡控制的入口或有人管理的接待臺。

入侵檢測與報警系統(tǒng)覆蓋所有門窗和出入口,并定期檢測入侵檢測系統(tǒng)的有效性。

機房大樓應(yīng)有7×24小時的專業(yè)保安人員,出入大樓需登記或持有通行卡。

機房安全出口不少于兩個,且要保持暢通,不可放置雜物。

5星級idc:出入記錄至少保存6個月,視頻監(jiān)控至少保存1個月。

4星級idc:出入記錄至少保存6個月,視頻監(jiān)控至少保存1個月。

5.1.2 idc機房環(huán)境安全

記錄訪問者進入和離開idc的日期和時間,所有的訪問者要需要經(jīng)過授權(quán)。

建立訪客控制程序,對服務(wù)商等外部人員實現(xiàn)有效管控。

所有員工、服務(wù)商人員和第三方人員以及所有訪問者進入idc要佩帶某種形式的可視標(biāo)識,已實現(xiàn)明顯的區(qū)分。外部人員進入idc后,需全程監(jiān)控。

5.1.3防范外部威脅和環(huán)境威脅

idc對火災(zāi)、洪水、地震、爆炸、社會動蕩和其他形式的自然或人為災(zāi)難引起的破壞建立足夠的防范控制措施;危險或易燃材料應(yīng)在遠離idc存放;備份設(shè)備和備份介質(zhì)的存放地點應(yīng)與idc超過10公里的距離。

機房內(nèi)應(yīng)嚴(yán)格執(zhí)行消防安全規(guī)定,所有門窗、地板、窗簾、飾物、桌椅、柜子等材料、設(shè)施都應(yīng)采用防火材料。

5.1.4公共訪問區(qū)和交接區(qū)

為了避免未授權(quán)訪問,訪問點(如交接區(qū)和未授權(quán)人員可以進入的其它地點)需進行適當(dāng)?shù)陌踩刂?設(shè)備貨物交接區(qū)要與信息處理設(shè)施隔開。

5.2 設(shè)備安全

5.2.1設(shè)備安全

設(shè)備盡量安置在可減少未授權(quán)訪問的適當(dāng)?shù)攸c;對于處理敏感數(shù)據(jù)的信息處理設(shè)施,盡量安置在可限制觀測的位置;對于需要特殊保護的設(shè)備,要進行適當(dāng)隔離;對信息處理設(shè)施的運行有負面影響的環(huán)境條件(包括溫度和濕度),要進行實時進行監(jiān)視。

5.2.2支持性設(shè)備安全

支持性設(shè)施(例如電、供水、排污、加熱/通風(fēng)和空調(diào)等)應(yīng)定期檢查并適當(dāng)?shù)臏y試以確保他們的功能,減少由于他們的故障或失效帶來的風(fēng)險。

實現(xiàn)多路供電,以避免供電的單一故障點。

5.2.3線纜安全

應(yīng)保證傳輸數(shù)據(jù)或支持信息服務(wù)的電源布纜和通信布纜免受竊聽或損壞。

電源電纜要與通信電纜分開;各種線纜能通過標(biāo)識加以區(qū)分,并對線纜的訪問加以必要的訪問控制。

線纜標(biāo)簽必須采用防水標(biāo)簽紙和標(biāo)簽打印機進行正反面打印(或者打印兩張進行粘貼),標(biāo)簽長度應(yīng)保證至少能夠纏繞電纜一圈或一圈半,打印字符必須清晰可見,打印內(nèi)容應(yīng)簡潔明了,容易理解。標(biāo)簽的標(biāo)示必須清晰、簡潔、準(zhǔn)確、統(tǒng)一,標(biāo)簽打印應(yīng)當(dāng)前后和上下排對齊。

5.2.4設(shè)備維護

設(shè)備需按照供應(yīng)商推薦的服務(wù)時間間隔和說明書,進行正確維護;設(shè)備維護由已授權(quán)人員執(zhí)行,并保存維護記錄1年。

5.2.5組織場所外的設(shè)備安全

應(yīng)對組織場所的設(shè)備采取安全措施,要考慮工作在組織場所以外的不同風(fēng)險。

5.2.6設(shè)備的安全處置或再利用

包含儲存介質(zhì)的設(shè)備的所有項目應(yīng)進行檢查,以確保在銷毀之前,任何敏感信息和注冊軟件已被刪除或安全重寫。

5.2.7資產(chǎn)的移動

設(shè)備、信息或軟件在授權(quán)之前不應(yīng)帶出組織場所,設(shè)置設(shè)備移動的時間限制,并在返還時執(zhí)行符合性檢查;對設(shè)備做出移出記錄,當(dāng)返回時,要做出送回記錄。

6、通信和操作管理

6.1 運行程序和職責(zé)

6.1.1運行操作程序文件化

運行操作程序文件化并加以保持,并方便相關(guān)使用人員的訪問。

6.1.2變更管理

對信息處理設(shè)施和系統(tǒng)的變更是否受控,并考慮:重大變更的標(biāo)識和記錄;變更的策劃和測試;對這種變更的潛在影響的評估,包括安全影響;對建議變更的正式批準(zhǔn)程序;向所有有關(guān)人員傳達變更細節(jié);返回程序,包括從不成功變更和未預(yù)料事態(tài)中退出和恢復(fù)的程序與職責(zé)。

6.1.3職責(zé)分離

各類責(zé)任及職責(zé)范圍應(yīng)加以分割,以降低未授權(quán)或無意識的修改或者不當(dāng)使用組織資產(chǎn)的機會。

6.1.4開發(fā)設(shè)施、測試設(shè)施和運行設(shè)施的分離

開發(fā)、測試和運行設(shè)施應(yīng)分離,以減少未授權(quán)訪問或改變運行系統(tǒng)的風(fēng)險。

6.2 第三方服務(wù)交付管理

6.2.1服務(wù)交付

應(yīng)確保第三方實施、運行和保持包含在第三方服務(wù)交付協(xié)議中的安全控制措施、服務(wù)定義和交付水準(zhǔn)。

idc應(yīng)確保第三方保持足夠的服務(wù)能力和可使用的計劃以確保商定的服務(wù)在大的服務(wù)故障或災(zāi)難后繼續(xù)得以保持。

6.2.2第三方服務(wù)的監(jiān)視和評審

應(yīng)定期監(jiān)視和評審由第三方提供的服務(wù)、報告和記錄,審核也應(yīng)定期執(zhí)行,并留下記錄。

6.2.3第三方服務(wù)的變更管理

應(yīng)管理服務(wù)提供的變更,包括保持和改進現(xiàn)有的信息安全方針策略、程序和控制措施,要考慮業(yè)務(wù)系統(tǒng)和涉及過程的關(guān)鍵程度及風(fēng)險的再評估

6.3系統(tǒng)規(guī)劃和驗收

6.3.1容量管理

idc各系統(tǒng)資源的使用應(yīng)加以監(jiān)視、調(diào)整,并做出對于未來容量要求的預(yù)測,以確保擁有所需的系統(tǒng)性能。

系統(tǒng)硬件系統(tǒng)環(huán)境的功能、性能和容量要滿足idc業(yè)務(wù)處理的和存貯設(shè)備的平均使用率宜控制在75%以內(nèi)。

網(wǎng)絡(luò)設(shè)備的處理器和內(nèi)存的平均使用率應(yīng)控制在75%以內(nèi)。

6.3.2系統(tǒng)驗收

建立對新信息系統(tǒng)、升級及新版本的驗收準(zhǔn)則,并且在開發(fā)中和驗收前對系統(tǒng)進行適當(dāng)?shù)臏y試。

6.4防范惡意代碼和移動代碼

6.4.1對惡意代碼的控制措施

實施惡意代碼的監(jiān)測、預(yù)防和恢復(fù)的控制措施,以及適當(dāng)?shù)奶岣哂脩舭踩庾R的程序

6.4.2對移動代碼的控制措施

當(dāng)授權(quán)使用移動代碼時,其配置確保授權(quán)的移動代碼按照清晰定義的安全策略運行,應(yīng)阻止執(zhí)行未授權(quán)的移動代碼。

6.5 備份

6.5.1備份

應(yīng)按照客戶的要求以及已設(shè)的備份策略,定期備份和測試信息和軟件。各個系統(tǒng)的備份安排應(yīng)定期測試以確保他們滿足業(yè)務(wù)連續(xù)性計劃的要求。對于重要的系統(tǒng),備份安排應(yīng)包括在發(fā)生災(zāi)難時恢復(fù)整個系統(tǒng)所必需的所有系統(tǒng)信息、應(yīng)用和數(shù)據(jù)。

應(yīng)確定最重要業(yè)務(wù)信息的保存周期以及對要永久保存的檔案拷貝的任何要求。

6.6 網(wǎng)絡(luò)安全管理

6.6.1網(wǎng)絡(luò)控制

為了防止使用網(wǎng)絡(luò)時發(fā)生的威脅和維護系統(tǒng)與應(yīng)用程序的安全,網(wǎng)絡(luò)要充分受控;網(wǎng)絡(luò)的運行職責(zé)與計算機系統(tǒng)的運行職責(zé)實現(xiàn)分離;敏感信息在公用網(wǎng)絡(luò)上傳輸時,考慮足夠的加密和訪問控制措施。

6.6.2網(wǎng)絡(luò)服務(wù)的安全

網(wǎng)絡(luò)服務(wù)(包括接入服務(wù)、私有網(wǎng)絡(luò)服務(wù)、增值網(wǎng)絡(luò)和受控的網(wǎng)絡(luò)安全解決方案,例如防火墻和入侵檢測系統(tǒng)等)應(yīng)根據(jù)安全需求,考慮如下安全控制措施:為網(wǎng)絡(luò)服務(wù)應(yīng)用的安全技術(shù),例如認證、加密和網(wǎng)絡(luò)連接控制;按照安全和網(wǎng)絡(luò)連接規(guī)則,網(wǎng)絡(luò)服務(wù)的安全連接需要的技術(shù)參數(shù);若需要,網(wǎng)絡(luò)服務(wù)使用程序,以限制對網(wǎng)絡(luò)服務(wù)或應(yīng)用的訪問。

6.7 介質(zhì)管理

6.7 .1可移動介質(zhì)的管理

建立適當(dāng)?shù)目梢苿咏橘|(zhì)的管理程序,規(guī)范可移動介質(zhì)的管理。

可移動介質(zhì)包括磁帶、磁盤、閃盤、可移動硬件驅(qū)動器、cd、dvd和打印的介質(zhì)

6.7 .2介質(zhì)的處置

不再需要的介質(zhì),應(yīng)使用正式的程序可靠并安全地處置。保持審計蹤跡,保留敏感信息的處置記錄。

6.7 .3信息處理程序

建立信息的處理及存儲程序,以防止信息的未授權(quán)的泄漏或不當(dāng)使用。

包含信息的介質(zhì)在組織的物理邊界以外運送時,應(yīng)防止未授權(quán)的訪問、不當(dāng)使用或毀壞。

6.8 信息交換

6.8.1信息交換策略和程序

為了保護通過使用各種類型的通信設(shè)施進行信息交換,是否有正式的信息交換方針、程序和控制措施。

6.8.2外方信息交換協(xié)議

在組織和外方之間進行信息/軟件交換時,是否有交換協(xié)議。

6.8.3電子郵件、應(yīng)用系統(tǒng)的信息交換與共享

建立適當(dāng)?shù)目刂拼胧?保護電子郵件的安全;為了保護相互連接的業(yè)務(wù)信息系統(tǒng)的信息,開發(fā)與實施相關(guān)的方針和程序。

6.9 監(jiān)控

6.9.1審計日志

審計日志需記錄用戶活動、異常事件和信息安全事件;為了幫助未來的調(diào)查和訪問控制監(jiān)視,審計日志至少應(yīng)保存1年。

6.9.2監(jiān)視系統(tǒng)的使用

應(yīng)建立必要的信息處理設(shè)施的監(jiān)視使用程序,監(jiān)視活動的結(jié)果應(yīng)定期評審。

6.9.3日志信息的保護

記錄日志的設(shè)施和日志信息應(yīng)加以保護,以防止篡改和未授權(quán)的訪問。

6.9.4管理員和操作員日志

系統(tǒng)管理員和系統(tǒng)操作員活動應(yīng)記入日志。系統(tǒng)管理員與系統(tǒng)操作員無權(quán)更改或刪除日志。

6.9.5故障日志

與信息處理或通信系統(tǒng)的問題有關(guān)的用戶或系統(tǒng)程序所報告的故障要加以記錄、分析,并采取適當(dāng)?shù)拇胧?/p>

6.9.6時鐘同步

一個安全域內(nèi)的所有相關(guān)信息處理設(shè)施的時鐘應(yīng)使用已設(shè)的精確時間源進行同步。

5星級idc各計算機系統(tǒng)的時鐘與標(biāo)準(zhǔn)時間的誤差不超過10秒。

4星級idc各計算機系統(tǒng)的時鐘與標(biāo)準(zhǔn)時間的誤差不超過25秒。

7、訪問控制

7.1用戶訪問管理

應(yīng)有正式的用戶注冊及注銷程序,來授權(quán)和撤銷對所有信息系統(tǒng)及服務(wù)的訪問。

應(yīng)限制和控制特殊權(quán)限的分配及使用;應(yīng)通過正式的管理過程控制口令的分配,確保口令安全;管理層應(yīng)定期使用正式過程對用戶的訪問權(quán)進行復(fù)查。

7.2用戶職責(zé)

建立指導(dǎo)用戶選擇和使用口令的指南規(guī)定,使用戶在選擇及使用口令時,遵循良好的安全習(xí)慣。

用戶應(yīng)確保無人值守的用戶設(shè)備有適當(dāng)?shù)谋Ｗo,防止未授權(quán)的訪問。

建立清空桌面和屏幕策略,采取清空桌面上文件、可移動存儲介質(zhì)的策略和清空信息處理設(shè)施屏幕的策略,idc并定期組織檢查效果。

7.3網(wǎng)絡(luò)訪問控制

建立訪問控制策略,確保用戶應(yīng)僅能訪問已獲專門授權(quán)使用的服務(wù)。

應(yīng)使用安全地鑒別方法以控制遠程用戶的訪問,例如口令+證書。

對于診斷和配置端口的物理和邏輯訪問應(yīng)加以控制,防止未授權(quán)訪問。

根據(jù)安全要求,應(yīng)在網(wǎng)絡(luò)中劃分安全域,以隔離信息服務(wù)、用戶及信息系統(tǒng);對于共享的網(wǎng)絡(luò),特別是越過組織邊界的網(wǎng)絡(luò),用戶的聯(lián)網(wǎng)能力應(yīng)按照訪問控制策略和業(yè)務(wù)應(yīng)用要求加以限制,并建立適當(dāng)?shù)穆酚煽刂拼胧?/p>

7.4操作系統(tǒng)訪問控制

建立一個操作系統(tǒng)安全登錄程序,防止未授權(quán)訪問;所有用戶應(yīng)有唯一的、專供其個人使用的標(biāo)識符(用戶id),應(yīng)選擇一種適當(dāng)?shù)蔫b別技術(shù)證實用戶所宣稱的身份。

可能超越系統(tǒng)和應(yīng)用程序控制的管理工具的使用應(yīng)加以限制并嚴(yán)格控制。

不活動會話應(yīng)在一個設(shè)定的休止期后關(guān)閉;使用聯(lián)機時間的限制,為高風(fēng)險應(yīng)用程序提供額外的安全。

7.5應(yīng)用和信息訪問控制

用戶和支持人員對信息和應(yīng)用系統(tǒng)功能的訪問應(yīng)依照已確定的訪問控制策略加以限制。

敏感系統(tǒng)應(yīng)考慮系統(tǒng)隔離,使用專用的(或孤立的)計算機環(huán)境。

7.6移動計算和遠程工作

應(yīng)有正式策略并且采用適當(dāng)?shù)陌踩胧?以防范使用移動計算和通信設(shè)施時所造成的風(fēng)險。

通過網(wǎng)絡(luò)遠程訪問idc,需在通過授權(quán)的情況下對用戶進行認證并對通信內(nèi)容進行加密。

8、信息系統(tǒng)獲取、開發(fā)和維護

8.1安全需求分析和說明

在新的信息系統(tǒng)或增強已有信息系統(tǒng)的業(yè)務(wù)需求陳述中,應(yīng)規(guī)定對安全控制措施的要求。

8.2信息處理控制

輸入應(yīng)用系統(tǒng)的數(shù)據(jù)應(yīng)加以驗證,以確保數(shù)據(jù)是正確且恰當(dāng)?shù)摹?/p>

驗證檢查應(yīng)整合到應(yīng)用中,以檢查由于處理的錯誤或故意的行為造成的信息的訛誤。

通過控制措施,確保信息在處理過程中的完整性,并對處理結(jié)果進行驗證。

8.3密碼控制

應(yīng)開發(fā)和實施使用密碼控制措施來保護信息的策略,并保證密鑰的安全使用。

8.4系統(tǒng)文件的安全

應(yīng)有程序來控制在運行系統(tǒng)上安裝軟件;試數(shù)據(jù)應(yīng)認真地加以選擇、保護和控制;應(yīng)限制訪問程序源代碼。

8.5開發(fā)過程和支持過程中的安全

建立變更控制程序控制變更的實施;當(dāng)操作系統(tǒng)發(fā)生變更后,應(yīng)對業(yè)務(wù)的關(guān)鍵應(yīng)用進行評審和測試,以確保對組織的運行和安全沒有負面影響。

idc應(yīng)管理和監(jiān)視外包軟件的開發(fā)。

8.6技術(shù)脆弱性管理

應(yīng)及時得到現(xiàn)用信息系統(tǒng)技術(shù)脆弱性的信息,評價組織對這些脆弱性的暴露程度,并采取適當(dāng)?shù)拇胧﹣硖幚硐嚓P(guān)的風(fēng)險。

9、信息安全事件管理

9.1報告信息安全事態(tài)和弱點

建立正式的idc信息安全事件報告程序,并形成文件。

建立適當(dāng)?shù)某绦?保證信息安全事態(tài)應(yīng)該盡可能快地通過適當(dāng)?shù)墓芾砬肋M行報告,要求員工、承包方人員和第三方人員記錄并報告他們觀察到的或懷疑的任何系統(tǒng)或服務(wù)的安全弱點。

9.2職責(zé)和程序

應(yīng)建立管理職責(zé)和架構(gòu),以確保能對信息安全事件做出快速、有效和有序的響應(yīng)。

9.3對信息安全事件的總結(jié)和證據(jù)的收集

建立一套機制量化和監(jiān)視信息安全事件的類型、數(shù)量和代價,并且當(dāng)一個信息安全事件涉及到訴訟(民事的或刑事的),需要進一步對個人或組織進行起訴時,應(yīng)收集、保留和呈遞證據(jù),以使證據(jù)符合相關(guān)訴訟管轄權(quán)。

10、業(yè)務(wù)連續(xù)性管理

10.1業(yè)務(wù)連續(xù)性計劃

建立和維持一個用于整個組織的業(yè)務(wù)連續(xù)性計劃,通過使用預(yù)防和恢復(fù)控制措施,將對組織的影響減少到最低,并從信息資產(chǎn)的損失中恢復(fù)到可接受的程度。

10.2業(yè)務(wù)連續(xù)性和風(fēng)險評估

通過恰當(dāng)?shù)某绦?識別能引起idc業(yè)務(wù)過程中斷的事態(tài)(例如,設(shè)備故障、人為錯誤、盜竊、火災(zāi)、自然災(zāi)害和恐怖行為等),這種中斷發(fā)生的概率和影響,以及它們對信息安全所造成的后果。

業(yè)務(wù)資源與過程責(zé)任人參與業(yè)務(wù)連續(xù)性風(fēng)險評估。

10.3制定和實施包括信息安全的連續(xù)性計劃

建立業(yè)務(wù)運行恢復(fù)計劃,以使關(guān)鍵業(yè)務(wù)過程在中斷或發(fā)生故障后,能在規(guī)定的水準(zhǔn)與規(guī)定的時間范圍恢復(fù)運行

10.4測試、維護和再評估業(yè)務(wù)連續(xù)性計劃

業(yè)務(wù)連續(xù)性計劃應(yīng)定期測試和更新,以確保其及時性和有效性。

定期測試及更新業(yè)務(wù)連續(xù)性計劃(bcp)/災(zāi)難恢復(fù)計劃(drp),并對員工進行培訓(xùn);定期對idc的風(fēng)險進行審核和管理評審,及時發(fā)現(xiàn)潛在的災(zāi)難和安全失效。

5星級idc:至少每年一次測試及更新;bcp/drp,并對員工進行培訓(xùn); 至少每年一次對idc的風(fēng)險進行審核和管理評審,及時發(fā)現(xiàn)潛在的災(zāi)難和安全失效。

4星級idc:至少每年一次測試及更新;bcp/drp,并對員工進行培訓(xùn);至少每年一次對idc的風(fēng)險進行審核和管理評審,及時發(fā)現(xiàn)潛在的災(zāi)難和安全失效。

11、符合性

11.1可用法律、法規(guī)的識別

idc所有相關(guān)的法令、法規(guī)和合同要求,以及為滿足這些要求組織所采用的方法,應(yīng)加以明確地定義、收集和跟蹤,并形成文件并保持更新。

11.2知識產(chǎn)權(quán)

應(yīng)實施適當(dāng)?shù)某绦?以確保在使用具有知識產(chǎn)權(quán)的材料和具有所有權(quán)的軟件產(chǎn)品時,符合法律、法規(guī)和合同的要求。

11.3保護組織的記錄

應(yīng)防止重要的記錄遺失、毀壞和偽造,以滿足法令、法規(guī)、合同和業(yè)務(wù)的要求。

11.4技術(shù)符合性檢查

定期地對信息系統(tǒng)進行安全實施標(biāo)準(zhǔn)符合檢查,由具有勝任能力的已授權(quán)的人員執(zhí)行,或在他們的監(jiān)督下執(zhí)行。

11.5數(shù)據(jù)保護和個人信息的隱私

應(yīng)依照相關(guān)的法律、法規(guī)和合同條款的要求,確保數(shù)據(jù)保護和隱私。