数据安全管理规范

Word文档下载后可自行编辑1/1数据安全管理规范

数据平安管理规范之相关制度和职责，一.概述数据信息平安,顾名思义就是要庇护数据信息免受威逼的影响,从而确保业务平台的延续性,缩减业务平台有可能濒临的风险,为囫囵业务平台部门的长久正常运行提供强有力的保障。为加强数...

一.概述

数据信息平安,顾名思义就是要庇护数据信息免受威逼的影响,从而确保业务平台的延续性,缩减业务平台有可能濒临的风险,为囫囵业务平台部门的长久正常运行提供强有力的保障。

为加强数据信息的平安管理,保证数据信息的可用性、完整性、机密性,特制定本规范。

二.数据信息平安管理制度

2.1数据信息平安存储要求

数据信息存储介质包括:纸质文档、语音或其录音、输出报告、硬盘、磁带、光存储介质。

存储介质管理须吻合以下规定:

包含重要、敏感或关键数据信息的移动式存储介质须专人值守。删除可重复用法存储介质上的机密及绝密数据时,为了避开在可移动介质上遗留信息,应当对介质举行消磁或透彻的格式化,或者用法专用的工具在存储区域填入无用的信息举行笼罩。任何存储媒介入库或出库需经过授权,并保留相应记录,便利审计跟踪。2.2数据信息传输平安要求

在对数据信息举行传输时,应当在风险评估的基础上采纳合理的加密技术,挑选和应用加密技术时,应吻合以下规范:务必吻合国家有关加密技术的法律规矩;按照风险评估确定庇护级别,并以此确定加密算法的类型、属性,以及所用密钥的长度;听取专家的建议,确定合适的庇护级别,挑选能够提供所需庇护的合适的工具。机密和绝密信息在存储和传输时务必加密,加密方式可以分为:对称加密和不对称加密。机密和绝密数据的传输过程中务必用法数字签名以确保信息的不行否认性,用法数字签名时应吻合以下规范:充分庇护私钥的机密性,防止窃取者伪造密钥持有人的签名。实行庇护公钥完整性的平安措施,例如用法公钥证书;确定签名算法的类型、属性以及所用密钥长度;用于数字签名的密钥应不同于用来加密内容的密钥。

2.3数据信息平安等级变更要求

数据信息平安等级常常需求变更.普通地,数据信息平安等级变更需求由数据资产的全部者举行,然后变化相应的分类并告诉信息平安负责人举行备案.。对于数据信息的平安等级,应每年举行评审,只要实际状况允许,就举行数据信息平安等级递减,这样可以降低数据防护的成本,并增强数据拜访的便利性。

2.4数据信息平安管理职责

数据信息涉及各类人员的职责如下:

拥有者:拥有数据的全部权;拥有对数据的处置权利;对数据举行分类与分级;指定数据资产的管理者/维护人;管理者:被授权管理相关数据资产;负责数据的日常维护和管理;拜访者:在授权的范围内拜访所需数据;确保拜访对象的机密性、完整性、可用性等;

三.数据信息重要性评估

3.1数据信息分级原则

分级合理性

数据信息和处理数据信息分级的系统输应该认真考虑分级范畴的数量以及用法这种分级所带来的益处。过于复杂的分级规划可能很累赘,而且用法和执行起来也不经济有用。

分级周期性

数据信息的分级具有肯定的保密期限.对于任何数据信息的分级都不肯定自始至终固定不变,可根据一些预定的策略发生变化。假如把平安庇护的分级划定得过高就会导致不须要的业务开支。

3.2数据信息分级

数据信息应根据价值、法律要求及对组织的敏感程度和关键程度举行分级,分级等级如下:

等级

标识

数据信息价值定义

5

很高

重要程度很高,其平安属性破坏后可能导致系统受到十分严峻的影响

4

高

重要程度较高,其平安属性破坏后可能导致系统受到比较严峻的影响

3

中

重要程度较高,其平安属性破坏后可能导致系统受到中等程度的影响

2

低

重要程度较低,其平安属性破坏后可能导致系统受到较低程度的影响

1

很低

重要程度都很低,其平安属性破坏后可能导致系统受到很低程度的影响,甚至忽视不计

四.数据信息完整性平安规范

数据信息完整性应吻合以下规范:

确保所实行的数据信息管理和技术措施以及笼罩范围的完整性。应能够检测到网络设备操作系统、主机操作系统、数据库管理系统和应用系统的系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏,并在检测到完整性错误时实行须要的复原措施;应能够检测到网络设备操作系统、主机操作系统、数据库管理系统和应用系统的系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏,并在检测到完整性错误时实行须要的复原措施;具备完整的用户拜访、处理、删除数据信息的操作记录能力,以备审计。在数据信息时,经过担心全网络的(例如INTERNET网),需求对传输的数据信息提供完整性校验。应具备完美的权限管理策略,支持权限最小化原则、合理授权。

五.数据信息保密性平安规范

数据信息保密性平安规范用于保障业务平台重要业务数据信息的平安传递与处理应用,确保数据信息能够被平安、便利、透亮的用法。为此,业务平台应采纳加密等平安措施开展数据信息保密性工作:

应采纳加密效措施实现重要业务数据信息传输保密性;应采纳加密实现重要业务数据信息存储保密性;加密平安措施主要分为密码平安及密钥平安。

5.1密码平安

密码的用法应当遵循以下原则:

不能将密码写下来,不能通过电子邮件传输;不能用法缺省设置的密码;不能将密码告知别人;假如系统的密码泄漏了,务必立刻更改;密码要以加密形式保存,加密算法强度要高,加密算法要不行逆;系统应当强制指定密码的策略,包括密码的最短有效期、最长有效期、最短长度、复杂性等;假如需求特别用户的口令(比如说UNIX下的Oracle),要禁止通过该用户举行交互式登录;在要求较高的状况下可以用法强度更高的认证机制,例如:双因素认证;(要定时运行密码检查器检查口令强度,对于保存机密和绝密信息的系统应当每周检查一次口令强度;其它系统应当每月检查一次。5.2密钥平安

密钥管理对于有效用法密码技术至关重要。密钥的走失和泄露可能会伤害数据信息的保密性、重要性和完整性。因此,应实行加密技术等措施来有效庇护密钥,以免密钥被非法修改和破坏;还应对生成、存储和归档保存密钥的设备实行物理庇护。此外,务必用法经过业务平台部门批准的加密机制举行密钥分发,并记录密钥的分发过程,以便审计跟踪,统一对密钥、证书举行管理。

密钥的管理应当基于以下流程:

密钥产生:为不同的密码系统和不同的应用生成密钥;

密钥证书:生成并猎取密钥证书;

密钥分发:向目标用户分发密钥,包括在收到密钥时如何将之激活;

密钥存储:为当前或近期用法的密钥或备份密钥提供平安存储,包括授权用户如何拜访密钥;

密钥变更:包括密钥变更时机及变更规则,处置被泄露的密钥;

密钥撤销:包括如何收回或者去激活密钥,如在密钥已被泄露或者相关运维操作员离开业务平台部门时(在这种状况下,应该归档密钥);

密钥复原:作为业务平台延续性管理的一部分,对走失或破坏的密钥举行复原;

密钥归档:归档密钥,以用于归档或备份的数据信息;

密钥销毁:密钥销毁将删除该密钥管理下数据信息客体的全部记录,将无法复原,因此,在密钥销毁前,应确认由此密钥庇护的数据信息不再需求。

六.数据信息备份与复原

6.1数据信息备份要求

6.1.1备份要求

数据信息备份应采纳性能牢靠、不宜损坏的介质,如磁带、光盘等。备份数据信息的物理介质应注明数据信息的来源、备份日期、复原步骤等信息,并置于平安环境保管。普通状况下对服务器和网络平安设备的配置数据信息每月举行一次的备份,当举行配置修改、系统版本升级、补丁安装等操作前也要举行备份;网络设备配置文件在举行版本升级前和配置修改后举行备份。运维操作员应确保对核心业务数据每日举行增量备份,每周做一次包括数据信息的全备份。业务系统将举行重大系统变更时,应对核心业务数据举行数据信息的全备份。6.1.2备份执行与记录

备份执行过程应有具体的规划和记录,包括备份主体、备份时光、备份策略、备份路径、记录介质(类型)等。

6.2备份复原管理

运维操作员应按照不同业务系统实际拟定需求测试的备份数据信息以及测试的周期。对于因设备故障、操作失误等造成的普通故障,需求复原部分设备上的备份数据信息,遵循异样大事处理流程,由运维操作员负责复原。应尽可能地定期检查和测试备份介质和备份信息,保持其可用性