【法规名称】
【颁布部门】 中国证券监督管理委员会
【发文字号】 中国证券监督管理委员会公告[2011]39号
【颁布时间】 2011-12-22
【实施时间】 2011-12-22
【效力属性】 有效
【法规编号】 576393 什么是编号？
【正 文】
第66页 中国证券监督管理委员会公告(2011)39号――证券期货业信息系统安全等级保护测评要求(试行)
|
[接上页] 不同区域之间可能需要进行信息交换，特别是有业务交互、数据通信的两个区域。为了进行信息交换，保证信息交换的安全，区域之间会产生连接、交互、依赖、协调、协同等相互关联关系，使得区域之间安全功能发生相互作用，进而相互影响。 不同区域之间相互作用会影响到区域的安全功能，可能使一个区域的安全功能得到增强、补充或依赖。发生增强作用说明两个区域发生关联关系后，一个区域已有的安全功能得到进一步增强，发挥更好的安全保护功能，具有更好的安全保护能力。发生补充作用说明两个区域发生关联关系后，一个区域原本没有的一部分安全功能，通过另一个区域的相互作用，得到补充，使其具备这些安全功能。出现依赖说明一个区域的安全功能依赖于另一个区域配合，才能发挥应有的作用。 b.1.2 层面 安全控制措施需要作用在信息系统的不同层面上，这些层面主要包括物理安全、网络安全、主机系统安全、应用安全和数据安全等技术上的五个层面以及安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等管理上的五个方面。 a）物理安全 物理安全是支持信息系统运行的设施环境以及构成信息系统的计算机、设备和介质等物理层面的安全。一般来说，物理层面构成组件位于被测单位（被测系统的运营使用单位）的物理控制范围内，主要分布在机房、介质存放地和终端运行场地等空间范围内。两个或者多个物理空间相连相通区域的物理安全控制措施，因为有空间上的连接连通，可能会发生关联关系，使其安全功能相互作用。 b）网络安全 网络层面构成组件负责支撑信息系统进行网络互联，为信息系统各个构成组件进行通信提供安全传输服务，一般包括计算机、网络设备（包括网络安全设备）、连接线路以及它们构成的网络拓扑等。两个不同区域面临不同的威胁，通过网络互联互通后，这些安全威胁可能会从一个区域影响到另一个区域，而安全功能的作用，也可以通过网络的互联互通，从一个区域影响到另一个区域。 c）主机系统安全 主机系统层面构成的组件主要有服务器、终端/工作站等所有计算机设备上的操作系统、数据库管理系统及其相关环境等，它们直接为信息系统对信息进行采集、加工、存储、传输、检索等处理提供环境，包括为信息系统用户提供人机交互的环境。 分布在同一服务器和终端/工作站等主机系统上的身份鉴别、访问控制、安全审计、系统资源控制等安全功能，需要相互协作，共同发挥作用，才能保证系统的安全。同时，为了进一步加强操作系统环境的安全，还可以在服务器和终端/工作站上安装主机入侵防范和主机恶意代码防范软件等。这使得操作系统的安全环境变得更为复杂，因此，有必要分析这些安全控制的引入对其他安全控制的影响。 d）应用安全 从功能上看，大多数应用系统主要是完成三种任务：获取用户输入，将输入存储为数据，按预定的操作规则处理这些数据。在应用系统中，用户一般需要和系统中的数据进行交互。因此，可以根据用户与数据之间所具有的层次把信息系统划分为三种：单层应用体系结构、两层应用体系结构和多层（三层以上）应用体系结构。 在单层应用体系结构中，用户界面、商业规则和数据管理等都在单一的应用层内实现。对数据本身来说，它可以是物理上位于一个远端位置，但是存取数据的逻辑却是应用系统的一部分。在这样的体系结构中，数据处理主要不是通过数据库，而是文件来存取数据，应用程序提供身份鉴别、访问控制及安全审计等安全功能。 在两层应用体系结构模型中，商业规则和用户界面仍然结合在一起构成应用系统的客户端。但是数据的存取和管理独立出来由单独的通常是运行在不同的系统上的程序来完成，这样的数据存取和管理程序通常是数据库管理系统，如ms sql server、sybase和oracle等。安全功能由客户端程序和数据库共同提供。 在多层应用体系结构模型中，商业规则被进一步从客户端独立出来，运行在一个介于用户界面和数据存储的单独的系统之上。客户端程序提供应用系统的用户界面，用户输入数据，查看反馈回来的请求结果，商业中间层由封装了商业逻辑的组件构成，这些商业逻辑组件模拟日常的商业任务，数据库管理系统离前端应用较远，中间有业务逻辑的隔离。三个部分均可以提供安全功能服务。 |
- 此法规有错误，我来纠正。请点击在此 提交错误内容或者您纠正的内容！