應用系統(tǒng)安全規(guī)范制定建議

1、應用系統(tǒng)安全規(guī)范制定建議應用系統(tǒng)安全規(guī)范制定建議應用系統(tǒng)安全是當前眾多大型企業(yè)要重點關(guān)注的問題但這塊有好多工作要做現(xiàn)狀是現(xiàn)在很多做安全的人不怎么太做開發(fā)做開發(fā)的人懂安全的人又少之又少這里我從應用系統(tǒng)安全提出幾點自己的建議當然不足之處還請大家討論和指正。1應用系統(tǒng)安全類別劃分具體劃分準則需要根據(jù)自己單位實際規(guī)模和業(yè)務特征去定位我這里把具體的分類細則隱去了有興趣的可以討論.2.1網(wǎng)絡安全性2.1.1網(wǎng)絡接入控制未經(jīng)批準嚴禁通過電話線、各類專

2、線接到外網(wǎng)；如確有需求，必須申請備案后先進行與內(nèi)網(wǎng)完全隔離，才可以實施。2.1.2網(wǎng)絡安全域隔離如果有需要與公司外部通訊的服務器，應在保證自身安全的情況下放入公司防火墻DMZ區(qū)，該應用服務器與公司內(nèi)部系統(tǒng)通訊時，應采用內(nèi)部讀取數(shù)據(jù)的方式。其他類應用系統(tǒng)服務器放置在公司內(nèi)部網(wǎng)中。2.2系統(tǒng)平臺安全性2.2.1病毒對系統(tǒng)的威脅各應用系統(tǒng)WINDOWS平臺應關(guān)閉掉服務器的完全共享，并安裝防毒客戶端軟件，啟用實時防護與接受管理，進行周期性對系統(tǒng)

3、全機病毒掃描。2.2.2黑客破壞和侵入對各應用系統(tǒng)應及時進行系統(tǒng)補丁的升級和安全配置，并配合進行入侵檢測和漏洞掃描等安全檢查工作。對于重點系統(tǒng)可以考慮部署主機入侵檢測系統(tǒng)來保證主機的安全性。2.3應用程序安全性2.3.1在應用系統(tǒng)的生命周期中保證安全應用系統(tǒng)的設計和管理者要在不同的階段采用相應的工作方法和工作步驟，設計出一個把安全貫穿始終、切實可行的安全方案。對應用系統(tǒng)應能提供書面可行的安全方案。的重視，并盡快報告管理員或其他負責人采取

4、必要措施，以減少或消除不安全隱患。報告方式要保密、過程要簡單。安全記賬與審計：重點應用系統(tǒng)中，應利用應用系統(tǒng)審計日志進行監(jiān)控，并作為一種主動的監(jiān)督管理形式和一種檢測觸犯安全規(guī)定事件的手段。同時必須加強對應用系統(tǒng)的審計日志類信息的保護，對審計日志和監(jiān)控功能的使用也必須做審計記錄。2.4接口安全性2.4.1接口安全性要求職責分隔：應用系統(tǒng)接口是易受攻擊的脆弱點，重點應用系統(tǒng)中，應從職責管理上加強，將責任實現(xiàn)最佳分離。明確敏感客體和操作規(guī)定：

5、重點應用系統(tǒng)中，應能夠根據(jù)可靠性、保密性和可用性三者定義每個數(shù)據(jù)客體(數(shù)據(jù)輸入、數(shù)據(jù)存儲和數(shù)據(jù)輸出等)的安全需求，并通過系統(tǒng)實施時的培訓來落實。錯誤容限規(guī)定：公司各類應用系統(tǒng)對錯誤的容限度和在可接受的限度內(nèi)維護錯誤級別的需求必須被定義在安全需求中?？捎眯孕枨螅汗靖黝悜孟到y(tǒng)為避免因為系統(tǒng)不能有效使用而產(chǎn)生的嚴重危害，必須制定可用性需求，然后根據(jù)需求采取措施來保證系統(tǒng)的可用性。2.4.2接口擴展性要求接口標準性要求：對于各類應用系統(tǒng)應該

6、能夠盡量接口標準化，從而利于應用系統(tǒng)間信息的互通。對于應用系統(tǒng)建設、改造等有代表性的，需要制定相關(guān)接口標準，作為將來工作的參照。接口規(guī)范細化程度：對于各類應用系統(tǒng)接口規(guī)范應該盡量細化，減少接口描述不清出現(xiàn)新的安全隱患。對于重點應用系統(tǒng)應該有明確的接口類文檔說明部分。2.5數(shù)據(jù)安全性2.5.1數(shù)據(jù)傳輸?shù)臋C密性重點應用系統(tǒng)中傳輸關(guān)鍵、敏感數(shù)據(jù)時要采用傳輸加密技術(shù)，實現(xiàn)數(shù)據(jù)機密性要求；其他類應用系統(tǒng)應根據(jù)具體情況來考慮。密碼算法選擇:(1)密