數(shù)據(jù)中心信息安全管理及管控要求
隨著在世界范圍內(nèi),信息化水平的不斷發(fā)展,數(shù)據(jù)中心的信息安全逐漸成為人們關注的焦點,世界范圍內(nèi)的各個機構、組織、個人都在探尋如何保障信息安全的問題。英國、美國、挪威、瑞典、芬蘭、澳大利亞等國均制定了有關信息安全的本國標準,國際標準化組織(iso)也發(fā)布了iso17799、iso13335、iso15408等與信息安全相關的國際標準及技術報告。目前,在信息安全管理方面,英國標準iso27000:2005已經(jīng)成為世界上應用最廣泛與典型的信息安全管理標準,它是在bsi/disc的bdd/2信息安全管理委員會指導下制定完成。
iso27001標準于1993年由英國貿(mào)易工業(yè)部立項,于1995年英國首次出版bs 7799-1:1995《信息安全管理實施細則》,它提供了一套綜合的、由信息安全最佳慣例組成的實施規(guī)則,其目的是作為確定工商業(yè)信息系統(tǒng)在大多數(shù)情況所需控制范圍的唯一參考基準,并且適用于大、中、小組織。1998年英國公布標準的第二部分《信息安全管理體系規(guī)范》,它規(guī)定信息安全管理體系要求與信息安全控制要求,它是一個組織的全面或部分信息安全管理體系評估的基礎,它可以作為一個正式認證方案的根據(jù)。iso27000-1與iso27000-2經(jīng)過修訂于1999年重新予以發(fā)布,1999版考慮了信息處理技術,尤其是在網(wǎng)絡和通信領域應用的近期發(fā)展,同時還非常強調(diào)了商務涉及的信息安全及信息安全的責任。2000年12月,iso27000-1:1999《信息安全管理實施細則》通過了國際標準化組織iso的認可,正式成為國際標準iso/iec17799-1:2000《信息技術-信息安全管理實施細則》。2002年9月5日,iso27000-2:2002草案經(jīng)過廣泛的討論之后,終于發(fā)布成為正式標準,同時iso27000-2:1999被廢止?，F(xiàn)在,iso27000:2005標準已得到了很多國家的認可,是國際上具有代表性的信息安全管理體系標準。許多國家的政府機構、銀行、證券、保險公司、電信運營商、網(wǎng)絡公司及許多跨國公司已采用了此標準對信息安全進行系統(tǒng)的管理,數(shù)據(jù)中心(idc)應逐步建立并完善標準化的信息安全管理體系。
一、 數(shù)據(jù)中心信息安全管理總體要求
1、信息安全管理架構與人員能力要求
1.1信息安全管理架構
idc在當前管理組織架構基礎上,建立信息安全管理委員會,涵蓋信息安全管理、應急響應、審計、技術實施等不同職責,并保證職責清晰與分離,并形成文件。
1.2人員能力
具備標準化 信息安全管理體系內(nèi)部審核員、cisp(certified information security professional,國家注冊信息安全專家)等相關資質人員。5星級idc至少應具備一名合格的標準化信息安全管理內(nèi)部審核員、一名標準化 主任審核員。4星級idc至少應至少具備一名合格的標準化信息安全管理內(nèi)部審核員
2、信息安全管理體系文件要求,根據(jù)idc業(yè)務目標與當前實際情況,建立完善而分層次的idc信息安全管理體系及相應的文檔,包含但不限于如下方面:
2.1信息安全管理體系方針文件
包括idc信息安全管理體系的范圍,信息安全的目標框架、信息安全工作的總方向和原則,并考慮idc業(yè)務需求、國家法律法規(guī)的要求、客戶以及合同要求。
2.2風險評估
內(nèi)容包括如下流程:識別idc業(yè)務范圍內(nèi)的信息資產(chǎn)及其責任人;識別資產(chǎn)所面臨的威脅;識別可能被威脅利用的脆弱點;識別資產(chǎn)保密性、完整性和可用性的喪失對idc業(yè)務造成的影響;評估由主要威脅和脆弱點導致的idc業(yè)務安全破壞的現(xiàn)實可能性、對資產(chǎn)的影響和當前所實施的控制措施;對風險進行評級。
2.3風險處理
內(nèi)容包括:與idc管理層確定接受風險的準則,確定可接受的風險級別等;建立可續(xù)的風險處理策略:采用適當?shù)目刂拼胧?、接受風險、避免風險或轉移風險;控制目標和控制措施的選擇和實施,需滿足風險評估和風險處理過程中所識別的安全要求,并在滿足法律法規(guī)、客戶和合同要求的基礎上達到最佳成本效益。
2.4文件與記錄控制
明確文件制定、發(fā)布、批準、評審、更新的流程;確保文件的更改和現(xiàn)行修訂狀態(tài)的標識、版本控制、識別、訪問控制有完善的流程;并對文件資料的傳輸、貯存和最終銷毀明確做出規(guī)范。
記錄控制內(nèi)容包括:保留信息安全管理體系運行過程執(zhí)行的記錄和所有發(fā)生的與信息安全有關的重大安全事件的記錄;記錄的標識、貯存、保護、檢索、保存期限和處置所需的控制措施應形成文件并實施。
2.5內(nèi)部審核
idc按照計劃的時間間隔進行內(nèi)部isms審核,以確定idc的信息安全管理的控制目標、控制措施、過程和程序符標準化標準和相關法律法規(guī)的要求并得到有效地實施和保持。五星級idc應至少每年1次對信息安全管理進行內(nèi)部審核。四星級idc應至少每年1次對信息安全管理進行內(nèi)部審核。
2.6糾正與預防措施
idc建立流程,以消除與信息安全管理要求不符合的原因及潛在原因,以防止其發(fā)生,并形成文件的糾正措施與預防措施程序無
2.7控制措施有效性的測量
定義如何測量所選控制措施的有效性;規(guī)定如何使用這些測量措施,對控制措施的有效性進行測量(或評估)。
2.8管理評審
idc管理層按計劃的時間間隔評審內(nèi)部信息安全管理體系,以確保其持續(xù)的適宜性、充分性和有效性,最終符合idc業(yè)務要求。
五星級idc管理層應至少每年1次對idc的信息安全管理體系進行評審四星級idc管理層應至少每年1次對idc的信息安全管理體系進行評審。
2.9適用性聲明
適用性聲明必須至少包括以下3項內(nèi)容: idc所選擇的控制目標和控制措施,及其選擇的理由;當前idc實施的控制目標和控制措施;標準化附錄a中任何控制目標和控制措施的刪減,以及刪減的正當性理由。
2.10業(yè)務連續(xù)性
過業(yè)務影響分析,確定idc業(yè)務中哪些是關鍵的業(yè)務進程,分出緊急先后次序; 確定可以導致業(yè)務中斷的主要災難和安全失效、確定它們的影響程度和恢復時間; 進行業(yè)務影響分析,確定恢復業(yè)務所需要的資源和成本,決定對哪些項目制作業(yè)務連續(xù)性計劃(bcp)/災難恢復計劃(drp)。
2.11其它相關程序
另外,還應建立包括物理與環(huán)境安全、信息設備管理、新設施管理、業(yè)務連續(xù)性管理、災難恢復、人員管理、第三方和外包管理、信息資產(chǎn)管理、工作環(huán)境安全管理、介質處理與安全、系統(tǒng)開發(fā)與維護、法律符合性管理、文件及材料控制、安全事件處理等相關流程與制度。
二、信息安全管控要求
1、安全方針
信息安全方針文件與評審建立idc信息安全方針文件需得到管理層批準、發(fā)布并傳達給所有員工和外部相關方。
至少每年一次或當重大變化發(fā)生時進行信息安全方針評審。
2、信息安全組織
2.1 內(nèi)部組織
2.1.1信息安全協(xié)調(diào)、職責與授權
信息安全管理委員會包含idc相關的不同部門的代表;所有的信息安全職責有明確成文的規(guī)定;對新信息處理設施,要有管理授權過程。
2.1.2保密協(xié)議
idc所有員工須簽署保密協(xié)議,保密內(nèi)容涵蓋idc內(nèi)部敏感信息;保密協(xié)議條款每年至少評審一次。
2.1.3權威部門與利益相關團體的聯(lián)系
與相關權威部門(包括,公安部門、消防部門和監(jiān)管部門)建立溝通管道;與安全專家組、專業(yè)協(xié)會等相關團體進行溝通。
2.1.4獨立評審
參考“信息安全管理體系要求”第5和第8條關于管理評審、內(nèi)部審核的要求,進行獨立的評審。
審核員不能審核評審自己的工作;評審結果交管理層審閱。
2.2 外方管理
2.2.1外部第三方的相關風險的識別
將外部第三方(設備維護商、服務商、顧問、外包方臨時人員、實習學生等)對idc信息處理設施或信息納入風險評估過程,考慮內(nèi)容應包括:需要訪問的信息處理設施、訪問類型(物理、邏輯、網(wǎng)絡)、涉及信息的價值和敏感性,及對業(yè)務運行的關鍵程度、訪問控制等相關因素。
建立外部第三方信息安全管理相關管理制度與流程。
2.2.2客戶有關的安全問題
針對客戶信息資產(chǎn)的保護,根據(jù)合同以及相關法律、法規(guī)要求,進行恰當?shù)谋Ｗo。
2.2.3處理第三方協(xié)議中的安全問題
涉及訪問、處理、交流(或管理)idc及idc客戶的信息或信息處理設施的第三方協(xié)議,需涵蓋所有相關的安全要求。
3、信息資產(chǎn)管理
3.1 資產(chǎn)管理職責
3.1.1資產(chǎn)清單與責任人
idc對所有信息資產(chǎn)度進行識別,將所有重要資產(chǎn)都進行登記、建立清單文件并加以維護。
idc中所有信息和信息處理設施相關重要資產(chǎn)需指定責任人。
3.1.2資產(chǎn)使用
指定信息與信息處理設施使用相關規(guī)則,形成了文件并加以實施。
3.2 信息資產(chǎn)分類
3.2.1資產(chǎn)分類管理
根據(jù)信息資產(chǎn)對idc業(yè)務的價值、法律要求、敏感性和關鍵性進行分類,建立一個信息分類指南。
信息分類指南應涵蓋外來的信息資產(chǎn),尤其是來自客戶的信息資產(chǎn)。
3.2.2信息的標記和處理
按照idc所采納的分類指南建立和實施一組合適的信息標記和處理程序。
4、人力資源安全
這里的人員包括idc雇員、承包方人員和第三方等相關人員。
4.1信息安全角色與職責
人員職責說明體現(xiàn)信息安全相關角色和要求。
4.2背景調(diào)查
人員任職前根據(jù)職責要求和崗位對信息安全的要求,采取必要的背景驗證。
4.3雇用的條款和條件
人員雇傭后,應簽署必要的合同,明確雇傭的條件和條款,并包含信息安全相關要求。
4.4信息安全意識、教育和培訓
入職新員工培訓應包含idc信息安全相關內(nèi)容。
至少每年一次對人員進行信息安全意識培訓。
4.5安全違紀處理
針對安全違規(guī)的人員,建立正式的紀律處理程序。
4.6雇傭的終止與變更
idc應清晰規(guī)定和分配雇用終止或雇用變更的職責;雇傭協(xié)議終止于變更時,及時收回相關信息資產(chǎn),并調(diào)整或撤銷相關訪問控制權限。
5、物理與環(huán)境安全
5.1 安全區(qū)域
5.1.1邊界安全與出入口控制
根據(jù)邊界內(nèi)資產(chǎn)的安全要求和風險評估的結果對idc物理區(qū)域進行分區(qū)、分級管理,不同區(qū)域邊界與出入口需建立卡控制的入口或有人管理的接待臺。
入侵檢測與報警系統(tǒng)覆蓋所有門窗和出入口,并定期檢測入侵檢測系統(tǒng)的有效性。
機房大樓應有7×24小時的專業(yè)保安人員,出入大樓需登記或持有通行卡。
機房安全出口不少于兩個,且要保持暢通,不可放置雜物。
5星級idc:出入記錄至少保存6個月,視頻監(jiān)控至少保存1個月。
4星級idc:出入記錄至少保存6個月,視頻監(jiān)控至少保存1個月。
5.1.2 idc機房環(huán)境安全
記錄訪問者進入和離開idc的日期和時間,所有的訪問者要需要經(jīng)過授權。
建立訪客控制程序,對服務商等外部人員實現(xiàn)有效管控。
所有員工、服務商人員和第三方人員以及所有訪問者進入idc要佩帶某種形式的可視標識,已實現(xiàn)明顯的區(qū)分。外部人員進入idc后,需全程監(jiān)控。
5.1.3防范外部威脅和環(huán)境威脅
idc對火災、洪水、地震、爆炸、社會動蕩和其他形式的自然或人為災難引起的破壞建立足夠的防范控制措施;危險或易燃材料應在遠離idc存放;備份設備和備份介質的存放地點應與idc超過10公里的距離。
機房內(nèi)應嚴格執(zhí)行消防安全規(guī)定,所有門窗、地板、窗簾、飾物、桌椅、柜子等材料、設施都應采用防火材料。
5.1.4公共訪問區(qū)和交接區(qū)
為了避免未授權訪問,訪問點(如交接區(qū)和未授權人員可以進入的其它地點)需進行適當?shù)陌踩刂?設備貨物交接區(qū)要與信息處理設施隔開。
5.2 設備安全
5.2.1設備安全
設備盡量安置在可減少未授權訪問的適當?shù)攸c;對于處理敏感數(shù)據(jù)的信息處理設施,盡量安置在可限制觀測的位置;對于需要特殊保護的設備,要進行適當隔離;對信息處理設施的運行有負面影響的環(huán)境條件(包括溫度和濕度),要進行實時進行監(jiān)視。
5.2.2支持性設備安全
支持性設施(例如電、供水、排污、加熱/通風和空調(diào)等)應定期檢查并適當?shù)臏y試以確保他們的功能,減少由于他們的故障或失效帶來的風險。
實現(xiàn)多路供電,以避免供電的單一故障點。
5.2.3線纜安全
應保證傳輸數(shù)據(jù)或支持信息服務的電源布纜和通信布纜免受竊聽或損壞。
電源電纜要與通信電纜分開;各種線纜能通過標識加以區(qū)分,并對線纜的訪問加以必要的訪問控制。
線纜標簽必須采用防水標簽紙和標簽打印機進行正反面打印(或者打印兩張進行粘貼),標簽長度應保證至少能夠纏繞電纜一圈或一圈半,打印字符必須清晰可見,打印內(nèi)容應簡潔明了,容易理解。標簽的標示必須清晰、簡潔、準確、統(tǒng)一,標簽打印應當前后和上下排對齊。
5.2.4設備維護
設備需按照供應商推薦的服務時間間隔和說明書,進行正確維護;設備維護由已授權人員執(zhí)行,并保存維護記錄1年。
5.2.5組織場所外的設備安全
應對組織場所的設備采取安全措施,要考慮工作在組織場所以外的不同風險。
5.2.6設備的安全處置或再利用
包含儲存介質的設備的所有項目應進行檢查,以確保在銷毀之前,任何敏感信息和注冊軟件已被刪除或安全重寫。
5.2.7資產(chǎn)的移動
設備、信息或軟件在授權之前不應帶出組織場所,設置設備移動的時間限制,并在返還時執(zhí)行符合性檢查;對設備做出移出記錄,當返回時,要做出送回記錄。
6、通信和操作管理
6.1 運行程序和職責
6.1.1運行操作程序文件化
運行操作程序文件化并加以保持,并方便相關使用人員的訪問。
6.1.2變更管理
對信息處理設施和系統(tǒng)的變更是否受控,并考慮:重大變更的標識和記錄;變更的策劃和測試;對這種變更的潛在影響的評估,包括安全影響;對建議變更的正式批準程序;向所有有關人員傳達變更細節(jié);返回程序,包括從不成功變更和未預料事態(tài)中退出和恢復的程序與職責。
6.1.3職責分離
各類責任及職責范圍應加以分割,以降低未授權或無意識的修改或者不當使用組織資產(chǎn)的機會。
6.1.4開發(fā)設施、測試設施和運行設施的分離
開發(fā)、測試和運行設施應分離,以減少未授權訪問或改變運行系統(tǒng)的風險。
6.2 第三方服務交付管理
6.2.1服務交付
應確保第三方實施、運行和保持包含在第三方服務交付協(xié)議中的安全控制措施、服務定義和交付水準。
idc應確保第三方保持足夠的服務能力和可使用的計劃以確保商定的服務在大的服務故障或災難后繼續(xù)得以保持。
6.2.2第三方服務的監(jiān)視和評審
應定期監(jiān)視和評審由第三方提供的服務、報告和記錄,審核也應定期執(zhí)行,并留下記錄。
6.2.3第三方服務的變更管理
應管理服務提供的變更,包括保持和改進現(xiàn)有的信息安全方針策略、程序和控制措施,要考慮業(yè)務系統(tǒng)和涉及過程的關鍵程度及風險的再評估
6.3系統(tǒng)規(guī)劃和驗收
6.3.1容量管理
idc各系統(tǒng)資源的使用應加以監(jiān)視、調(diào)整,并做出對于未來容量要求的預測,以確保擁有所需的系統(tǒng)性能。
系統(tǒng)硬件系統(tǒng)環(huán)境的功能、性能和容量要滿足idc業(yè)務處理的和存貯設備的平均使用率宜控制在75%以內(nèi)。
網(wǎng)絡設備的處理器和內(nèi)存的平均使用率應控制在75%以內(nèi)。
6.3.2系統(tǒng)驗收
建立對新信息系統(tǒng)、升級及新版本的驗收準則,并且在開發(fā)中和驗收前對系統(tǒng)進行適當?shù)臏y試。
6.4防范惡意代碼和移動代碼
6.4.1對惡意代碼的控制措施
實施惡意代碼的監(jiān)測、預防和恢復的控制措施,以及適當?shù)奶岣哂脩舭踩庾R的程序
6.4.2對移動代碼的控制措施
當授權使用移動代碼時,其配置確保授權的移動代碼按照清晰定義的安全策略運行,應阻止執(zhí)行未授權的移動代碼。
6.5 備份
6.5.1備份
應按照客戶的要求以及已設的備份策略,定期備份和測試信息和軟件。各個系統(tǒng)的備份安排應定期測試以確保他們滿足業(yè)務連續(xù)性計劃的要求。對于重要的系統(tǒng),備份安排應包括在發(fā)生災難時恢復整個系統(tǒng)所必需的所有系統(tǒng)信息、應用和數(shù)據(jù)。
應確定最重要業(yè)務信息的保存周期以及對要永久保存的檔案拷貝的任何要求。
6.6 網(wǎng)絡安全管理
6.6.1網(wǎng)絡控制
為了防止使用網(wǎng)絡時發(fā)生的威脅和維護系統(tǒng)與應用程序的安全,網(wǎng)絡要充分受控;網(wǎng)絡的運行職責與計算機系統(tǒng)的運行職責實現(xiàn)分離;敏感信息在公用網(wǎng)絡上傳輸時,考慮足夠的加密和訪問控制措施。
6.6.2網(wǎng)絡服務的安全
網(wǎng)絡服務(包括接入服務、私有網(wǎng)絡服務、增值網(wǎng)絡和受控的網(wǎng)絡安全解決方案,例如防火墻和入侵檢測系統(tǒng)等)應根據(jù)安全需求,考慮如下安全控制措施:為網(wǎng)絡服務應用的安全技術,例如認證、加密和網(wǎng)絡連接控制;按照安全和網(wǎng)絡連接規(guī)則,網(wǎng)絡服務的安全連接需要的技術參數(shù);若需要,網(wǎng)絡服務使用程序,以限制對網(wǎng)絡服務或應用的訪問。
6.7 介質管理
6.7 .1可移動介質的管理
建立適當?shù)目梢苿咏橘|的管理程序,規(guī)范可移動介質的管理。
可移動介質包括磁帶、磁盤、閃盤、可移動硬件驅動器、cd、dvd和打印的介質
6.7 .2介質的處置
不再需要的介質,應使用正式的程序可靠并安全地處置。保持審計蹤跡,保留敏感信息的處置記錄。
6.7 .3信息處理程序
建立信息的處理及存儲程序,以防止信息的未授權的泄漏或不當使用。
包含信息的介質在組織的物理邊界以外運送時,應防止未授權的訪問、不當使用或毀壞。
6.8 信息交換
6.8.1信息交換策略和程序
為了保護通過使用各種類型的通信設施進行信息交換,是否有正式的信息交換方針、程序和控制措施。
6.8.2外方信息交換協(xié)議
在組織和外方之間進行信息/軟件交換時,是否有交換協(xié)議。
6.8.3電子郵件、應用系統(tǒng)的信息交換與共享
建立適當?shù)目刂拼胧?保護電子郵件的安全;為了保護相互連接的業(yè)務信息系統(tǒng)的信息,開發(fā)與實施相關的方針和程序。
6.9 監(jiān)控
6.9.1審計日志
審計日志需記錄用戶活動、異常事件和信息安全事件;為了幫助未來的調(diào)查和訪問控制監(jiān)視,審計日志至少應保存1年。
6.9.2監(jiān)視系統(tǒng)的使用
應建立必要的信息處理設施的監(jiān)視使用程序,監(jiān)視活動的結果應定期評審。
6.9.3日志信息的保護
記錄日志的設施和日志信息應加以保護,以防止篡改和未授權的訪問。
6.9.4管理員和操作員日志
系統(tǒng)管理員和系統(tǒng)操作員活動應記入日志。系統(tǒng)管理員與系統(tǒng)操作員無權更改或刪除日志。
6.9.5故障日志
與信息處理或通信系統(tǒng)的問題有關的用戶或系統(tǒng)程序所報告的故障要加以記錄、分析,并采取適當?shù)拇胧?/p>
6.9.6時鐘同步
一個安全域內(nèi)的所有相關信息處理設施的時鐘應使用已設的精確時間源進行同步。
5星級idc各計算機系統(tǒng)的時鐘與標準時間的誤差不超過10秒。
4星級idc各計算機系統(tǒng)的時鐘與標準時間的誤差不超過25秒。
7、訪問控制
7.1用戶訪問管理
應有正式的用戶注冊及注銷程序,來授權和撤銷對所有信息系統(tǒng)及服務的訪問。
應限制和控制特殊權限的分配及使用;應通過正式的管理過程控制口令的分配,確?？诹畎踩?管理層應定期使用正式過程對用戶的訪問權進行復查。
7.2用戶職責
建立指導用戶選擇和使用口令的指南規(guī)定,使用戶在選擇及使用口令時,遵循良好的安全習慣。
用戶應確保無人值守的用戶設備有適當?shù)谋Ｗo,防止未授權的訪問。
建立清空桌面和屏幕策略,采取清空桌面上文件、可移動存儲介質的策略和清空信息處理設施屏幕的策略,idc并定期組織檢查效果。
7.3網(wǎng)絡訪問控制
建立訪問控制策略,確保用戶應僅能訪問已獲專門授權使用的服務。
應使用安全地鑒別方法以控制遠程用戶的訪問,例如口令+證書。
對于診斷和配置端口的物理和邏輯訪問應加以控制,防止未授權訪問。
根據(jù)安全要求,應在網(wǎng)絡中劃分安全域,以隔離信息服務、用戶及信息系統(tǒng);對于共享的網(wǎng)絡,特別是越過組織邊界的網(wǎng)絡,用戶的聯(lián)網(wǎng)能力應按照訪問控制策略和業(yè)務應用要求加以限制,并建立適當?shù)穆酚煽刂拼胧?/p>
7.4操作系統(tǒng)訪問控制
建立一個操作系統(tǒng)安全登錄程序,防止未授權訪問;所有用戶應有唯一的、專供其個人使用的標識符(用戶id),應選擇一種適當?shù)蔫b別技術證實用戶所宣稱的身份。
可能超越系統(tǒng)和應用程序控制的管理工具的使用應加以限制并嚴格控制。
不活動會話應在一個設定的休止期后關閉;使用聯(lián)機時間的限制,為高風險應用程序提供額外的安全。
7.5應用和信息訪問控制
用戶和支持人員對信息和應用系統(tǒng)功能的訪問應依照已確定的訪問控制策略加以限制。
敏感系統(tǒng)應考慮系統(tǒng)隔離,使用專用的(或孤立的)計算機環(huán)境。
7.6移動計算和遠程工作
應有正式策略并且采用適當?shù)陌踩胧?以防范使用移動計算和通信設施時所造成的風險。
通過網(wǎng)絡遠程訪問idc,需在通過授權的情況下對用戶進行認證并對通信內(nèi)容進行加密。
8、信息系統(tǒng)獲取、開發(fā)和維護
8.1安全需求分析和說明
在新的信息系統(tǒng)或增強已有信息系統(tǒng)的業(yè)務需求陳述中,應規(guī)定對安全控制措施的要求。
8.2信息處理控制
輸入應用系統(tǒng)的數(shù)據(jù)應加以驗證,以確保數(shù)據(jù)是正確且恰當?shù)摹?/p>
驗證檢查應整合到應用中,以檢查由于處理的錯誤或故意的行為造成的信息的訛誤。
通過控制措施,確保信息在處理過程中的完整性,并對處理結果進行驗證。
8.3密碼控制
應開發(fā)和實施使用密碼控制措施來保護信息的策略,并保證密鑰的安全使用。
8.4系統(tǒng)文件的安全
應有程序來控制在運行系統(tǒng)上安裝軟件;試數(shù)據(jù)應認真地加以選擇、保護和控制;應限制訪問程序源代碼。
8.5開發(fā)過程和支持過程中的安全
建立變更控制程序控制變更的實施;當操作系統(tǒng)發(fā)生變更后,應對業(yè)務的關鍵應用進行評審和測試,以確保對組織的運行和安全沒有負面影響。
idc應管理和監(jiān)視外包軟件的開發(fā)。
8.6技術脆弱性管理
應及時得到現(xiàn)用信息系統(tǒng)技術脆弱性的信息,評價組織對這些脆弱性的暴露程度,并采取適當?shù)拇胧﹣硖幚硐嚓P的風險。
9、信息安全事件管理
9.1報告信息安全事態(tài)和弱點
建立正式的idc信息安全事件報告程序,并形成文件。
建立適當?shù)某绦?保證信息安全事態(tài)應該盡可能快地通過適當?shù)墓芾砬肋M行報告,要求員工、承包方人員和第三方人員記錄并報告他們觀察到的或懷疑的任何系統(tǒng)或服務的安全弱點。
9.2職責和程序
應建立管理職責和架構,以確保能對信息安全事件做出快速、有效和有序的響應。
9.3對信息安全事件的總結和證據(jù)的收集
建立一套機制量化和監(jiān)視信息安全事件的類型、數(shù)量和代價,并且當一個信息安全事件涉及到訴訟(民事的或刑事的),需要進一步對個人或組織進行起訴時,應收集、保留和呈遞證據(jù),以使證據(jù)符合相關訴訟管轄權。
10、業(yè)務連續(xù)性管理
10.1業(yè)務連續(xù)性計劃
建立和維持一個用于整個組織的業(yè)務連續(xù)性計劃,通過使用預防和恢復控制措施,將對組織的影響減少到最低,并從信息資產(chǎn)的損失中恢復到可接受的程度。
10.2業(yè)務連續(xù)性和風險評估
通過恰當?shù)某绦?識別能引起idc業(yè)務過程中斷的事態(tài)(例如,設備故障、人為錯誤、盜竊、火災、自然災害和恐怖行為等),這種中斷發(fā)生的概率和影響,以及它們對信息安全所造成的后果。
業(yè)務資源與過程責任人參與業(yè)務連續(xù)性風險評估。
10.3制定和實施包括信息安全的連續(xù)性計劃
建立業(yè)務運行恢復計劃,以使關鍵業(yè)務過程在中斷或發(fā)生故障后,能在規(guī)定的水準與規(guī)定的時間范圍恢復運行
10.4測試、維護和再評估業(yè)務連續(xù)性計劃
業(yè)務連續(xù)性計劃應定期測試和更新,以確保其及時性和有效性。
定期測試及更新業(yè)務連續(xù)性計劃(bcp)/災難恢復計劃(drp),并對員工進行培訓;定期對idc的風險進行審核和管理評審,及時發(fā)現(xiàn)潛在的災難和安全失效。
5星級idc:至少每年一次測試及更新;bcp/drp,并對員工進行培訓; 至少每年一次對idc的風險進行審核和管理評審,及時發(fā)現(xiàn)潛在的災難和安全失效。
4星級idc:至少每年一次測試及更新;bcp/drp,并對員工進行培訓;至少每年一次對idc的風險進行審核和管理評審,及時發(fā)現(xiàn)潛在的災難和安全失效。
11、符合性
11.1可用法律、法規(guī)的識別
idc所有相關的法令、法規(guī)和合同要求,以及為滿足這些要求組織所采用的方法,應加以明確地定義、收集和跟蹤,并形成文件并保持更新。
11.2知識產(chǎn)權
應實施適當?shù)某绦?以確保在使用具有知識產(chǎn)權的材料和具有所有權的軟件產(chǎn)品時,符合法律、法規(guī)和合同的要求。
11.3保護組織的記錄
應防止重要的記錄遺失、毀壞和偽造,以滿足法令、法規(guī)、合同和業(yè)務的要求。
11.4技術符合性檢查
定期地對信息系統(tǒng)進行安全實施標準符合檢查,由具有勝任能力的已授權的人員執(zhí)行,或在他們的監(jiān)督下執(zhí)行。
11.5數(shù)據(jù)保護和個人信息的隱私
應依照相關的法律、法規(guī)和合同條款的要求,確保數(shù)據(jù)保護和隱私。
