【法规名称】
【颁布部门】 中国证券监督管理委员会
【发文字号】 中国证券监督管理委员会公告[2011]38号
【颁布时间】 2011-12-22
【实施时间】 2011-12-22
【效力属性】 有效
【法规编号】 576389 什么是编号？
【正 文】
第23页 证券监督管理委员会公告(2011)38号――证券期货业信息系统安全等级保护基本要求(试行)
|
[接上页] 本项要求包括： a）应保证网络设备的业务处理能力具备冗余空间，满足业务高峰期需要； 网络设备近一年的cpu负载峰值应小于25%。 b）应保证网络各个部分的带宽满足业务高峰期需要； c）应在业务终端与业务服务器之间进行路由控制建立安全的访问路径； 业务终端和业务服务器应放置在不同的子网内，并建立安全的访问路径。 d）应绘制与当前运行情况相符的网络拓扑结构图； 应绘制完整的网络拓扑结构图，有相应的网络配置表，包含设备ip地址等主要信息，与当前运行情况相符，并及时更新。 e）应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的原则为各子网、网段分配地址段； f）应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段； g）应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。 应对所有业务确定重要性、优先级，制定业务相关带宽分配原则及相应的带宽控制策略，根据安全需求，采取网络qos或专用带宽管理设备等措施。 8.1.2.2. 访问控制（g4） 本项要求包括： a）应在网络边界部署访问控制设备，启用访问控制功能； b）应不允许数据带通用协议通过； c）应根据数据的敏感标记允许或拒绝数据通过； d）应不开放远程拨号访问功能。 8.1.2.3. 安全审计（g4） 本项要求包括： a）应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录； b）审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； c）应能够根据记录数据进行分析，并生成审计报表； d）应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等； e）应定义审计跟踪极限的阈值，当存储空间接近极限时，能采取必要的措施，当存储空间被耗尽时，终止可审计事件的发生； f）应根据信息系统的统一安全策略，实现集中审计，时钟保持与时钟服务器同步。 8.1.2.4. 边界完整性检查（s4） 本项要求包括： a）应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断； b）应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。 能够检查内部网络用户采用双网卡跨接外部网络，或采用电话拨号、adsl拨号、手机、无线上网卡等无线拨号方式连接其他外部网络。 8.1.2.5. 入侵防范（g4） 本项要求包括： a）应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、ip碎片攻击和网络蠕虫攻击等； b）当检测到攻击行为时，应记录攻击源ip、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警及自动采取相应动作。 8.1.2.6. 恶意代码防范（g4） 本项要求包括： a）应在网络边界处对恶意代码进行检测和清除； 1） 在不严重影响网络性能和业务的情况下，应在网络边界部署恶意代码检测系统； 2） 如果部署了主机恶意代码检测系统，可选择安装部署网络边界恶意代码检测系统。 b）应维护恶意代码库的升级和检测系统的更新。 8.1.2.7. 网络设备防护（g4） 本项要求包括： a）应对登录网络设备的用户进行身份鉴别； 应删除默认用户或修改默认用户的口令，根据管理需要开设用户，不得使用缺省口令、空口令、弱口令。 b）应对网络设备的管理员登录地址进行限制； c）网络设备用户的标识应唯一； d）主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别； 1） 通过本地控制台管理主要网络设备时，应采用一种或一种以上身份鉴别技术； 2） 以远程方式登录主要网络设备，应采用两种或两种以上组合的鉴别技术进行身份鉴别。 e）身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换； 1） 口令应符合以下条件：数字、字母、符号混排，无规律的方式； 2） 管理员用户口令的长度至少为12位； 3） 管理员用户口令至少每季度更换1次，更新的口令至少5次内不能重复； 4） 如果设备口令长度不支持12位或其他复杂度要求，口令应使用所支持的最长长度并适当缩小更换周期；也可以使用动态密码卡等一次性口令认证方式。 |
- 此法规有错误，我来纠正。请点击在此 提交错误内容或者您纠正的内容！