【法规名称】
【颁布部门】 中国证券监督管理委员会
【发文字号】 中国证券监督管理委员会公告[2011]39号
【颁布时间】 2011-12-22
【实施时间】 2011-12-22
【效力属性】 有效
【法规编号】 576393 什么是编号？
【正 文】
第5页 中国证券监督管理委员会公告(2011)39号――证券期货业信息系统安全等级保护测评要求(试行)
|
[接上页] 5.1.2.2 访问控制 5.1.2.2.1 测评指标 见jr/t 0060-2010 5.1.2.2。 5.1.2.2.2 测评实施 本项要求包括： a）应访谈网络管理员，询问网络访问控制的措施有哪些；询问网络访问控制设备具备哪些访问控制功能； b）应检查边界网络设备，查看是否有正确的访问控制列表，以通过源地址、目的地址、源端口、目的端口、协议等进行网络数据流控制，其控制粒度是否至少为用户组。 5.1.2.2.3 结果判定 如果5.1.2.2.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。 5.1.2.3 网络设备防护 5.1.2.3.1 测评指标 见jr/t 0060-2010 5.1.2.3。 5.1.2.3.2 测评实施 本项要求包括： a）应检查边界和关键网络设备的设备防护策略，查看是否配置了对登录用户进行身份鉴别的功能； b）应检查边界和关键网络设备的设备防护策略，查看是否配置了登录失败处理功能，包括结束会话、限制非法登录次数、登录连接超时自动退出等； c）应检查边界和关键网络设备的设备防护策略，查看是否配置了对设备远程管理所产生的鉴别信息进行保护的功能。 5.1.2.3.3 结果判定 如果5.1.2.3.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。 5.1.3 主机安全 5.1.3.1 身份鉴别 5.1.3.1.1 测评指标 见jr/t 0060-2010 5.1.3.1。 5.1.3.1.2 测评实施 应检查关键服务器操作系统和关键数据库管理系统的身份鉴别策略，查看是否提供了身份鉴别措施。 5.1.3.1.3 结果判定 如果5.1.3.1.2为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。 5.1.3.2 访问控制 5.1.3.2.1 测评指标 见jr/t 0060-2010 5.1.3.2。 5.1.3.2.2 测评实施 本项要求包括： a）应检查关键服务器操作系统的访问控制策略，查看是否对重要文件的访问权限进行了限制，对系统不需要的服务、共享路径等进行了禁用或删除； b）应检查关键服务器操作系统和关键数据库管理系统的访问控制策略，查看是否已禁用或者限制匿名/默认帐户的访问权限，是否重命名系统默认帐户、修改这些帐户的默认口令； c）应检查关键服务器操作系统和关键数据库管理系统的访问控制策略，是否删除了系统中多余的、过期的以及共享的帐户； 1）检查系统中的账号是否为用户工作必须的； 2）检查是否及时删除或禁用了不用或过期的账户。 d）应检查关键服务器操作系统和关键数据库管理系统的权限设置情况，查看是否依据安全策略对用户权限进行了限制。 5.1.3.2.3 结果判定 a）如果系统不支持修改、重命名特权用户，5.1.3.2.2 b）、d）为不适用； b）如果5.1.3.2.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。 5.1.3.3 入侵防范 5.1.3.3.1 测评指标 见jr/t 0060-2010 5.1.3.3。 5.1.3.3.2 测评实施 本项要求包括： a）应访谈系统管理员，询问关键服务器操作系统和关键数据库管理系统中所安装的系统组件和应用程序是否都是必须的； b）应检查关键服务器操作系统和关键数据库管理系统的补丁是否得到了及时更新。 检查是否持续跟踪厂商提供的系统升级更新情况，对关键性补丁是否进行充分的评估测试，并记录了相关评估情况和升级过程。 5.1.3.3.3 结果判定 如果5.1.3.3.2 a）-b）肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。 5.1.3.4 恶意代码防范 5.1.3.4.1 测评指标 见jr/t 0060-2010 5.1.3.4。 5.1.3.4.2 测评实施 应检查关键服务器的恶意代码防范策略，查看是否安装了实时检测与查杀恶意代码的软件产品，并且及时更新了软件版本和恶意代码库。 应检查关键服务器的恶意代码防范策略，对支持安装防恶意代码软件的主机操作系统，查看是否安装了实时检测与查杀恶意代码的软件产品，并且及时更新了软件版本和恶意代码库。 5.1.3.4.3 结果判定 如果5.1.3.4.2为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。 5.1.4 应用安全 5.1.4.1 身份鉴别 5.1.4.1.1 测评指标 见jr/t 0060-2010 5.1.4.1。 |
- 此法规有错误，我来纠正。请点击在此 提交错误内容或者您纠正的内容！