【法规名称】
【颁布部门】 中国证券监督管理委员会
【发文字号】 中国证券监督管理委员会公告[2011]39号
【颁布时间】 2011-12-22
【实施时间】 2011-12-22
【效力属性】 有效
【法规编号】 576393 什么是编号？
【正 文】
第50页 中国证券监督管理委员会公告(2011)39号――证券期货业信息系统安全等级保护测评要求(试行)
|
[接上页] d）应检查应用系统，查看是否提供登录失败处理功能，是否根据安全策略设置了登录失败次数等参数； e）应测试应用系统，可通过试图以合法和非法用户分别登录系统，验证身份标识和鉴别功能是否有效； f）应测试应用系统，可通过多次输入错误的密码，验证登录失败处理功能是否有效； g）应渗透测试应用系统，如多次猜测用户口令，验证应用系统身份标识和鉴别功能是否不存在明显的弱点。 应当从互联网向被测试对象进行渗透测试。 8.1.4.1.3 结果判定 如果8.1.4.1.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。 8.1.4.2 安全标记 8.1.4.2.1 测评指标 见jr/t 0060-2010 8.1.4.2。 8.1.4.2.2 测评实施 本项要求包括： a）应检查设计、验收文档或源代码，查看文档中是否有应用系统采用敏感标记的说明； b）应检查应用系统，查看是否能对所有主体和客体设置敏感标记，这些敏感标记是否构成多级安全模型的属性库，主体和客体的敏感标记是否以默认方式生成或由安全员建立、维护和管理； c）应测试应用系统，对主体和客体设置敏感标记，以授权用户和非授权用户身份访问客体，验证是否只有授权用户可以访问客体，而非授权用户不能访问客体。 8.1.4.2.3 结果判定 如果8.1.4.2.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。 8.1.4.3 访问控制 8.1.4.3.1 测评指标 见jr/t 0060-2010 8.1.4.3。 8.1.4.3.2 测评实施 本项要求包括： a）应检查应用系统，查看是否依据安全策略控制用户对文件、数据库表等客体的访问； b）应检查应用系统，查看其访问控制的覆盖范围是否包括与信息安全直接相关的主体、客体及它们之间的操作； c）应检查应用系统，查看其是否有由授权用户设置其它用户访问系统功能和用户数据的权限的功能； d）应检查应用系统的用户列表，查看其是否不存在默认帐户，如果有是否禁止了默认帐户的访问； e）应检查应用系统的用户角色或权限的分配情况，查看是否仅授予不同帐户为完成各自承担任务所需的最小权限，特权用户的权限是否分离，权限之间是否相互制约，如系统管理员不能进行审计操作、审计员不能进行系统管理操作等； f）应检查应用系统，查看其是否具有通过比较安全标签来确定是授予还是拒绝主体对客体的访问的功能； g）应测试应用系统，可通过以不同权限的用户登录系统，查看其拥有的权限是否与系统赋予的权限一致，验证应用系统访问控制功能是否有效； h）应测试应用系统，可通过以默认用户登录系统并进行一些操作，查看系统是否禁止了默认帐户的访问； i）应渗透测试应用系统，进行试图绕过访问控制的操作，验证应用系统的访问控制功能是否不存在明显的弱点。 8.1.4.3.3 结果判定 如果8.1.4.3.2 a）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。 8.1.4.4 可信路径 8.1.4.4.1 测评指标 见jr/t 0060-2010 8.1.4.4。 8.1.4.4.2 测评实施 本项要求包括： a）应检查设计或验收文档，查看文档中是否有在系统对用户进行身份鉴别和用户对系统进行访问时系统与用户之间能够建立一条安全的信息传输路径的描述； b）应检查应用系统，可通过查看系统对用户进行身份鉴别和用户对系统进行访问的路径，分析在系统对用户进行身份鉴别和用户对系统进行访问时系统能否在系统与用户之间建立一条安全的信息传输路径。 8.1.4.4.3 结果判定 如果8.1.4.4.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。 8.1.4.5 安全审计 8.1.4.5.1 测评指标 见jr/t 0060-2010 8.1.4.5。 8.1.4.5.2 测评实施 本项要求包括： a）应检查关键应用系统，查看审计范围是否覆盖到每个用户，审计策略是否覆盖系统内重要的安全相关事件，例如，用户标识与鉴别、访问控制的所有操作记录、重要用户行为、系统资源的异常使用、重要系统命令的使用等； b）应检查应用系统的审计记录，查看是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、身份鉴别事件中请求的来源、事件的结果等内容； |
- 此法规有错误，我来纠正。请点击在此 提交错误内容或者您纠正的内容！