二级系统安全等级保护基本要求和测评要求.pdf

该【二级系统安全等级保护基本要求和测评要求 】是由【青山代下】上传分享，文档一共【25】页，该文档可以免费在线阅读，需要了解更多关于【二级系统安全等级保护基本要求和测评要求 】的内容，可以使用淘豆网的站内搜索功能，选择自己适合的文档，以下文字是截取该文章内的部分文字，如需要获得完整电子版，请下载此文档到您的设备，方便您编辑和打印。:..安全类别第一级基本要求第二级基本要求第二级测评要求a)机房和办公场地应选择在具有防物理a)应访谈物理安全负责人,询冋现有机房和放置终端计算机位震、防风和防雨等能力的建筑。设备的办公场地的环境条件是否能够满足信息系统业务需求置的选/和安全管理需求,是否具有基本的防震、防风和防雨等能力;择b)应检杳机房和办公场地是否在具有防震、防风和防雨等(G)能力的建筑。物理a)机房出入应安排专人负责,a)机房出入应安排专人负责,控制、鉴a)应访谈物理安全负责人,了解部署了哪些控制人员进出机控安全别和记录进入的人员;房的保护措施;制、鉴别和记录进入的人员物理访b)需进入机房的来访人员应经过申请b)应检杳机房安全管理制度,杳看是否有关于机房出入方面问控和审批流程,并限制和监控其活动的规定;制围。c)应检杳机房出入口是否有专人值守,是否有值守记录及人(G)员进入机房的登记记录;检杳机房是否不存在专人值守之外的其他出入口;d)应检杳是否有来访人员进入机房的审批记录,杳看:..审批记录是否包括来访人员的访问围。a)应将主要设备放置在机房;a)应将主要设备放置在机房;a)应访谈物理安全负责人,了解采取了哪些防止设备、介b)应将设备或主要部件进行固b)应将设备或主要部件进行固定,并设质等丢失的保护措施;定,并设置明显的不易除去的标置明显的不易除去的标记;b)应访谈机房维护人员,询问关键设备放置位置是否做到c)应将通信线缆铺设在隐蔽处,可铺记安全可控,设备或主要部件是否进行了固定和标记,通信设在地下或管道中;线缆是否铺设在隐蔽处;是否对机房安装的防盗报警设施d)应对介质分类标识,存储在介质库防盗并定期进行维护检杳;或窃和防档案室中;c)应访谈资产管理员,介质是否进行了分类标识管理,破e)主机房应安装必要的防盗报警设坏(G)施。介质是否存放在介质库或档案室进行管理;d)应检杳关键设备是否放置在机房或其它不易被盗窃和破坏的可控围;检杳关键设备或设备的主要部件的固定情况,查看其是否不易被移动或被搬走,是否设置明显的不易除去的标记;应检杳通信线缆铺设是否在隐蔽处;f)应检杳机房防盗报警设施是否正常运行,并杳看是否有资料:..运行和报警记录;g)应检杳介质的管理情况,杳看介质是否有正确的分类标识,是否存放在介质库或档案至。a)机房建筑应设置避雷装置a)机房建筑应设置避雷装置;a)应访谈物理安全负责人,询问为防止雷击事件导致重要设b)机房应设置交流电源地线。备被破坏采取了哪些防护措施,机房建筑是否设置了避雷装防雷击置,是否通过验收或国家有关部门的技术检测;询问机房计(G)算机供电系统是否有交流电源地线;b)应检杳机房建筑是否有避雷装置,是否有交流地线。a)机房应设置灭火设备a)机房应设置灭火设备和火灾自动报a)应访谈物理安全负责人,询问机房是否设置了灭火设警系统。备,是否设置了火灾自动报警系统,是否有人负责维护该系统的运行,是否制定了有关机房消防的管理制度和消防预防火案,是否进行了消防培训;(G)b)应访谈机房维护人员,询问是否对火灾自动报警系统定期进行检杳和维护;c)应检杳机房是否设置了灭火设备,灭火设备摆放位置是资料:..否合理,其有效期是否合格;应检杳机房火灾自动报警系统是否正常工作,查看是否有运行记录、报警记录、定期检杳和维修记录。a)应对穿过机房墙壁和楼板的a)水管安装,不得穿过机房屋顶和活a)应访谈物理安全负责人,询问机房是否部署了防水防潮措水管增加必要的保护措施;动地板下;施;如果机房有上/下水管安装,是否避免穿过屋顶和活动地b)应采取措施防止雨水通过机b)应采取措施防止雨水通过机房窗户、板下,穿过墙壁和楼板的水管是否采取了可靠的保护措施;房窗户、屋顶和墙壁渗透在湿度较咼的地区或季节是否有人负责机房防水防潮事宜,屋顶和墙壁渗透;防水配备除湿装置;c)应采取措施防止机房水蒸气结露和和防b)应访谈机房维护人员,询问机房是否没有出现过漏水和返地下积水的转移与渗透。潮潮事件;如果机房有上/下水管安装,是否经常检杳其漏水情(G)况;在湿度较高地区或季节是否有人负责机房防水防潮事宜,使用除湿装置除湿;如果出现机房水蒸气结露和地下积水的转移与渗透现象是否及时采取防措施;c)应检杳穿过主机房墙壁或楼板的管道是否配置套管,管道与套管之间是否采取可靠的密封措施;资料:..d)应检杳机房的窗户、屋顶和墙壁等是否未出现过漏水、渗透和返潮现象,机房及其环境是否不存在明显的漏水和返潮的威胁;如果出现漏水、渗透和返潮现象,则查看是否能够及时修复解决;e)对湿度较高的地区,应检杳机房是否有湿度记录,是否有除湿装置并能够正常运行,是否有防止出现机房地下积水的转移与渗透的措施,是否有防水防潮处理记录。a)关键设备应采用必要的接地防静电a)应访谈物理安全负责人,询问关键设备是否米取用必要的防静措施。防静电措施,机房是否不存在静电问题或因静电引发的安全电/事件;(G)b)应检杳关键设备是否有安全接地,杳看机房是否不存在明显的静电现象。温湿机房应设置必要的温、湿度控制机房应设置温、湿度自动调节设施,使a)应访谈物理安全负责人,询问机房是否配备了,温湿度自度控设施,使机房温、湿度的变化在机房温、湿度的变化在设备运行所允许动调节设施,保证温湿度能够满足计算机设备运行的要求,制设备运行所允许的围之的围之。是否在机房管理制度中规定了温湿度控制的要求,是资料:..否有人负责此项工作,是否定期检杳和维护机房的温湿度自动调节设施,询问是否没有出现过温湿度影响系统运行的事件;b)应检杳温湿度自动调节设施是否能够正常运行,杳看是否有温湿度记录、运行记录和维护记录;查看机房温湿度是否满足计算站场地的技术条件要求。a)应在机房供电线路上配置稳a)应在机房供电线路上配置稳压器和a)应访谈物理安全负责人,询问计算机系统供电线路上压器和过电压防护设备过电压防护设备;是否设置了稳压器和过电压防护设备;是否设置了短期备b)应提供短期的备用电力供应,至少用电源设备,供电时间是否满足系统关键设备最低电力供满电力足关键设备在断电情况下的正常运行应需求;供要应(A)求。b)应检杳机房,杳看计算机系统供电线路上的稳压器、过电压防护设备和短期备用电源设备是否正常运行;c)应检杳是否有稳压器、过电压防护设备以及短期备用电源设备等的检杳和维护记录。电磁a)电源线和通信线缆应隔离铺设,避/a)应访谈物理安全负责人,询问电源线和通信线缆是否隔防免资料:..护⑸互相干扰。离铺设,是否没有出现过因电磁干扰等问题引发的故障;b)应检杳机房布线,杳看是否做到电源线和通信线缆隔离。a)应保证关键网络设备的业a)应保证关键网络设备的业务处理能a)应访谈网络管理员,询问关键网络设备的性能以及目前力具备冗余空间,满足业务高峰期需务处理能力满足基本业务需要;业务高峰流量情况;要;b)应保证接入网络和核心网b)应保证接入网络和核心网络的带宽b)应访谈网络管理员,询问网段划分情况以及划分原则;络的带宽满足基本业务需要;满足业务高峰期需要;询问重要的网段有哪些;c)应绘制与当前运行情况相c)应绘制与当前运行情况相符的网络c)应访谈网络管理员,询问网络中带宽控制情况以及带宽网结构符的网络拓扑结构图拓扑结构图;分配的原则;络安d)应根据各部门的工作职能、重要性安全全(G)d)应检杳网络拓扑结构图,杳看其与当前运行的实际网络和所涉及信息的重要程度等因素,划分系统是否致;不同的子网或网段,并按照方便管理和e)应检杳网络设计或验收文档,杳看是否有关键网络设控制的原则为各子网、网段分配地址备业务处理能力、接入网络及核心网络段。的带宽满足业务高峰期需要的设计或说明;f)应检杳网络设计或验收文档,杳看是否有根据各部门的资料:..工作职能、重要性和所涉及信息的重要程度等因素,划分不同的子网或网段,并按照方便管理和控制的原则为各子网和网段分配地址段的设计或描述。a)应在网络边界部署访问控制a)应在网络边界部署访问控制设备,启a)应访谈安全管理贝,询问网络访问控制措施有哪些;询设备,启用访问控制功能;用访问控制功能;问访问控制策略的设计原则是什么;b)应根据访问控制列表对源地b)应能根据会话状态信息为数据流提询问网络访问控制设备具备哪些访问控制功能;询问是否供明确的允许/拒绝访问的能力,控制址、目的地址、源端口、目的端允许拨号访问网络;粒口和协议等进行检杳,以允许/度为网段级。b)应检杳边界网络设备,杳看其是否根据会话状态信息访问控拒绝数据包出入;c)应按用户和系统之间的允许访问规对数据流进行控制,控制粒度是否为网段级;制(G)则,决定允许或拒绝用户对受控系统c)应通过访问控制列表对系统c)应检杳边界网络设备,杳看其是否限制具有拨号访问权进资源实现允许或拒绝用户访问,行资源访问,控制粒度为单个用户;限的用户数量;控制粒度至少为用户组d)应限制具有拨号访问权限的用户数d)应测试边界网络设备,可通过试图访问未授权的资源,量验证访问控制措施是否能对未授权的访问行为进行控制,控制粒度是否至少为单个用户安全/a)应对网络系统中的网络设备运行状a)应访谈安全审计员,询问边界和关键网络设备是否开启审资料:..计(G)况、网络流量、用户行为等进行日志审计功能,审计容包括哪些项;询问审计记录的主要容有哪记录;些;b)审计记录应包括事件的日期和时b)应检杳边界和关键网络设备,杳看其审计策略是否包括间、用户、事件类型、事件是否成功网络设备运行状况、网络流量、用户行为等;)应检杳边界和关键网络设备,杳看其事件审计记录是否包括:事件的日期和时间、用户、事件类型、事件成功情况。a)应能够对部网络中出现的部用户未a)应访谈安全管理员,询问是否对部用户私自连接到外部边界通过准许私自联到外部网络的行为进完网络的行为;行检査。整性b)应检杳边界完整性检杳设备,杳看是否正确设置了对网/检络部用户私自连接到外部网络的行为进行有效监控的配置;査⑸c)应测试边界完整性检杳设备,验证其是否能够有效发现“非法外联”的行为。入侵a)应在网络边界处监视以下攻击行/a)应访谈安全管理员,询问网络入侵防措施有哪些;询防为:资料:..端口扫描、强力攻击、木马***攻(G)问是否有专门设备对网络入侵进行防;击、拒绝服务攻击、缓冲区溢出攻击、IPb)应检杳网络入侵防设备,杳看是否能检测以下攻击行碎片攻击和网络蠕虫攻击等。为:端口扫描、强力攻击、木马***攻击、拒绝服务攻击'缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等;c)应检杳网络入侵防设备,杳看其规则库是否为最新;d)应测试网络入侵防设备,验证其检测。恶意代码防//(G)a)应对登录网络设备的用户进a)应对登录网络设备的用户进行身份a)应访谈网络管理员,询问边界和关键网络设备的防护措行身份鉴别;鉴别;施有哪些;询问边界和关键网络设备的登录和验证方式做网络b)应具有登录失败处理功能,设可b)应对网络设备的管理员登录地址进行过何种配置;询问远程管理的设备是否采取措施防止鉴别备防护采取结束会话、限制非法登录次限制;信息被窃听;(G)数和当网络登录连接超时自动退c)网络设备用户的标识应唯一;b)应访谈网络管理员,询问网络设备的口令策略是什么;d)身份鉴别信息应具有不易被冒用的出等措施;c)应检杳边界和关键网络设备,杳看是否配置了对登录用特资料:..点,口令应有复杂度要求并定期更f)当对网络设备进行远程管理户进行身份鉴别的功能,口令设置是否有复杂度和定期修换;e)应具有登录失败处理功能,可采取时,应采取必要措施防止鉴别信改要求;结束会话、限制非法登录次数和当网络息在网络传输过程中被窃听d)应检杳边界和关键网络设备,杳看是否配置了鉴别失败登录连接超时自动退出等措施;处理功能;f)当对网络设备进行远程管理时,应采e)应检杳边界和关键网络设备,杳看是否配置了对设备远取必要措施防止鉴别信息在网络传输过程管理所产生的鉴别信息进行保护的功能;程中被窃听。f)应检杳边界和关键网络设备,杳看是否对网络设备管理员登录地址进行限制;g)应对边界和关键网络设备进行渗透测试,通过使用各种渗透测试技术对网络设备进行渗透测试,验证网络设备防护能力是否符合要求。a)应对登录操作系统和数据库a)应对登录操作系统和数据库系统的a)应访谈系统管理员和数据库管理员,询问操作系统和数身份主机系统的用户进行身份标识和鉴别用户进行身份标识和鉴别;据库管理系统的身份标识与鉴别机制采取何种措施实现;鉴安全别⑸b)操作系统和数据库系统管理用户身b)应访谈系统管理员和数据库管理员,询问对操作系统和份标识应具有不易被冒用的特点,口数据库管理系统是否采用了远程管理,如果采用了远程管令资料:..应有复杂度要求并定期更换;理,杳看是否米用了防止鉴别信息在网络传输过程中被窃c)应启用登录失败处理功能,可采取听的措施;结束会话、限制非法登录次数和自动退c)应检杳关键服务器操作系统和关键数据库管理系统列出等措施;表,查看管理员用户名分配是否唯;d)当对服务器进行远程管理时,应采d)应检杳关键服务器操作系统和关键数据库管理系统,杳取必要措施,防止鉴别信息在网络传输看是否提供了身份鉴别措施,其身份鉴别信息是否具有不过程中被窃听;易被冒用的特点,如对用户登录口令的最小长度、复杂度e)应为操作系统和数据库系统的不同和更换周期进行要求和限制;用户分配不同的用户名,确保用户名e)应检杳关键服务器操作系统和关键数据库管理系统,杳具有唯一性。看是否已配置了鉴别失败处理功能,设置了非法登录次数的限制值;杳看是否设置登录连接超时处理功能,如自动退出。安全标////记⑸访问a)应启用访问控制功能,依据a)应启用访问控制功能,依据安全策略a)应检杳关键服务器操作系统的安全策略,杳看是否对重控安资料:..制⑸全策略控制用户对资源的访问;控制用户对资源的访问;要文件的访问权限进行了限制,对系统不需要的服务、共c)应限制默认的访问权限,重b)应实现操作系统和数据库系统特权享路径等进行了禁用或删除;命名系统默认,修改这些的默认口用户的权限分离;b)应检杳关键数据库服务器的数据库管理员与操作系统令;c)应限制默认的访问权限,重命名系统管理员是否由不同管理员担任;d)应及时删除多余的、过期默认,修改这些的默认口令;c)应检杳关键服务器操作系统和关键数据库管理系统,杳的,避免共享的存在d)应及时删除多余的、过期的,避免共看匿名/默认用户的访问权限是否已被禁用或者严格限制,享的存在。是否删除了系统中多余的、过期的以及共享的;d)应检杳关键服务器操作系统和关键数据库管理系统的权限设置情况,杳看疋否依据女全策略对用户权限进仃了限制。可信路//径⑸a)审计围应覆盖到服务器上的每个操安全a)应访谈安全申计员,询问主机系统的安全申计策略是否审作系统用户和数据库用户;/包括系统重要用户行为、系统资源的异常和重要系统命令的计b)审计容应包括重要用户行为、系统(G)资使用等重要的安全相关事件;资料:..源的异常使用和重要系统命令的使用b)应检杳关键服务器操作系统和关键数据库管理系统,等系统重要的安全相关事件;查看安全审计配置是否符合安全审计策略的要求;c)审计记录应包括事件的日期、时c)应检杳关键服务器操作系统和关键数据库管理系统,杳看间、类型、主体标识、客体标识和结审计记录信息是否包括事件发生的日期与时间、触发事件的果等;主体与客体、事件的类型、事件成功或失败、事件的结果等d)应保护审计记录,避免受到未预期容;的删除、修改或覆盖等。d)应检杳关键服务器操作系统和关键数据库管理系统,查看是否对审计记录实施了保护措施,使其避免受到未预期的删除、修改或覆盖等;剩余信//息保护⑸a)操作系统应遵循最小安装的原a)操作系统应遵循最小安装的原则,仅a)应访谈系统管理员,询问操作系统中所安装的系统组件和入侵防安装需要的组件和应用程序,并通过设应用程序是否都是必须的,询问操作系统补丁更新的方式和则,仅安装需要的组件和应用程(G)置升级服务器等方式保持系统补丁及时周期;序,并保持系统补丁及时得到更资料:..新得到更新。b)应检杳关键服务器操作系统中所安装的系统组件和应用程序是否都是必须的;c)应检杳是否设置了专门的升级服务器实现对关键服务器操作系统补丁的升级;d)应检杳关键服务器操作系统和关键数据库管理系统的补丁是否得到了及时安装。a)应安装防恶意代码软件,并及时更新a)应安装防恶意代码软件,并及a)应访谈系统安全管理员,询问主机系统是否采取恶意代防恶意代码软件版本和恶意代码库;恶意时更新防恶意代码软件版本和恶码实时检测与查杀措施,恶意代码实时检测与查杀措施的部b)应支持防恶意代码软件的统一管代码意代码库署覆盖围如何;理。防b)应检杳关键服务器,杳看是否安装了实时检测与杳杀恶(G)意代码的软件产品并进行及时更新;c)应检杳防恶意代码产品是否实现了统一管理。a)应通过设定终端接入方式、网络地a)应检杳关键服务器操作系统,杳看是否设定终端接入方资源址控式、网络地址围等条件限制终端登录;/围等条件限制终端登录;制b)应检杳关键服务器操作系统,杳看是否设置了单个用户(A)b)应根据安全策略设置登录终端的操资料:..作超时锁定;对系统资源的最大或最小使用限度;c)应限制单个用户对系统资源的最大c)应检杳能够访问关键服务器的终端是否设置了操作超或最小使用限度。时锁定的配置。a)应提供专用的登录控制模块a)应提供专用的登录控制模块对登录a)应访谈应用系统管理员,询问应用系统是否提供专用的对登录用户进行身份标识和鉴用户进行身份标识和鉴别;登录控制模块对登录的用户进行身份标识和鉴别,具体措别;b)应提供用户身份标识唯一和鉴别信施有哪些;系统采取何种措施防止身份鉴别信息被冒用;c)息复杂度检査功能,保证应用系统中应提供登录失败处理功能,b)应访谈应用系统管理员,询问应用系统是否具有登录失可不存在重复用户身份标识,身份鉴别信采取结束会话、限制非法登录次败处理功能;息身份数和自动退出等措施;不易被冒用;c)应访谈应用系统管理员,询问应用系统对用户标识是否鉴别⑸d)应启用身份鉴别和登录失败c)应提供登录失败处理功能,可采取结具有唯性;应用处理功能,并根据安全策略配置束会话、限制非法登录次数和自动退出d)应检杳设计或验收文档,杳看其是否有系统采用了保证安全相关参数等措施;唯标识的措施的描述;d)用户身份标识唯应启用身份鉴别、e)应检杳关键应用系统,杳看其是否提供身份标识和鉴别一性检杳、用户身份鉴别信息复杂度检功能;查看其身份鉴别信息是否具有不易被冒用的特点;杳以及登录失败处理功能,并根据安全策其鉴别信息复杂度检杳功能是否能保证系统中不存在弱口资料:..略配置相关参数。令等;f)应检杳关键应用系统,杳看其提供的登录失败处理功能,是否根据安全策略配置了相关参数;g)应测试关键应用系统,可通过试图以合法和非法用户分别登录系统,查看是否成功,验证其身份标识和鉴别功能是否有效;h)应测试关键应用系统,验证其登录失败处理功能是否有效。安全标//记⑸a)应提供访问控制功能控制用a)应提供访问控制功能,依据安全策略a)应访谈应用系统管理员,询问应用系统是否提供访问控制访问户组/用户对系统功能和用户数控制用户对文件、数据库表等客体的措施,以及具体措施和访问控制策略有哪些,访问控制的粒控据的访问;访问;度如何;制⑸c)应由授权主体配置访问控制b)访问控制的覆盖围应包括与资源访b)应检杳关键应用系统,杳看系统是否提供访问控制机制;策略,并严格限制默认用户的访问相关的主体、客体及它们之间的操是否依据安全策略控制用户对客体的访问;资料:..问权限c)应由授权主体配置访问控制策略,并c)应检杳关键应用系统,杳看其访问控制的覆盖围是否包严格限制默认用户的访问权限;括与信息安全直接相关的主体、客体及它们之间的操作;访d)应授予不同为完成各自承担任务所问控制的粒度是否达到主体为用户级,客体为文件、数据库需的最小权限,并在它们之间形成相表级;互制约的关系。d)应检杳关键应用系统,杳看其是否有由授权用户设置其它用户访问系统功能和用户数据的权限的功能,是否限制默认用户的访问权限;e)应检杳关键应用系统,杳看系统是否授予不同为完成各自承担任务所需的最小权限,特权用户的权限是否分离,权限之间是否相互制约;f)应测试关键应用系统,可通过以不同权限的用户登录系统,查看其拥有的权限是否与系统赋予的权限致,验证应用系统访问控制功能是否有效;g)应测试关键应用系统,可通过以默认用户登录系统,并进行些合法和非法操作,验证系统是否严格限制了默认资料:..的访问权限。可信路//径⑸a)应提供覆盖到每个用户的安全审计a)应访谈安全申计贝,询问应用系统是否有安全申计功功能,对应用系统重要安全事件进行能;对事件进行审计的选择要求和策略是什么;对审计日审计;志的处理方式有哪些;b)应保证无法删除、修改或覆盖审计b)应检杳关键应用系统,杳看其当前审计围是否覆盖到每记录;个用户;安全c)审计记录的容至少应包括事件日c)应检杳关键应用系统,杳看其审计策略是否覆盖系统重审期、/时间、发起者信息、类型、描述和结计(G)要的安全相关事件,例如,用户标识与鉴别、访问控制的果等。所有操作记录、重要用户行为、系统资源的异常使用、重要系统命令的使用等;d)应检杳关键应用系统,杳看其审计记录信息是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、身份鉴别事件中请求的来源、事件资料:..的结果等容;e)应测试重要应用系统,在应用系统上试图产生一些重要的安全相关事件(如用户登录、修改用户权限等),查看应用系统是否对其进行了审计,验证应用系统安全审计的覆盖情况是否覆盖到每个用户;如果进行了审计则查看审计记录容是否包含事件的日期、时间、发起者信息、类型、描述和结果等;f)应测试重要应用系统,试图非授权删除、修改或覆盖审计记录,验证安全审计的保护情况是否无法非授权删除、修改或覆盖申计记录。剩余信//息保护通信应采用约定通信会话方式的方法应采用校验码技术保证通信过程中数据a)应访谈安全管理员,询问应用系统是否具有在数据传完保证通信过程中数据的完整性的完整性。输过程中保护其完整性的措施,具体措施是什么;整性资料:..⑸b)应检杳设计或验收文档,杳看其是否有关于保护通信完整性的说明,如果有则查看文档中描述的保护措施是否与依据验证码判断对方数据包的有效性的措施相致;c)应测试关键应用系统,可通过获取通信双方的数据包,查看其是否有验证码。a)在通信双方建立连接之刖,应用系a)应访谈安全管理员,询问应用系统数据在通信过程中是否统应利用密码技术进行会话初始化验采取措施,具体措施有哪些,关键应用系统的通信是否都采通信证;取了上述措施;性/b)应对通信过程中的敏感信息字段进b)应测试关键应用系统,通过杳看通信双方数据包的容,查⑸行加密。看系统是否能在通信双方建立连接之前,利用密码技术进行会话初始化验证;系统在通信过程中,对敏感信息字段进行加密的功能是否有效。抗抵赖//(G)软件a)应提供数据有效性检验功能,a)应提供数据有效性检验功能,保证通a)应访谈应用系统管理员,询问应用系统是否具有保证软容资料:..错(A)保证通过人机接口输入或通过通过人机接口输入或通过通信接口输入的件容错能力的措施,具体措施有哪些;信接口输入的数据格式或长度符数据格式或长度符合系统设定要求;b)应检杳关键应用系统,杳看应用系统是否对人机接口输b)在故障发生时,应用系统应能够继合系统设定要求入或通信接口输入的数据进行有效性检验;续提供部分功能,确保能够实施必要的c)应测试关键应用系统,可通过对人机接口输入的不同长措施。度或格式的数据,查看系统的反应,验证系统人机接口有效性检验功能是否正确;d)应测试关键应用系统,验证其在故障发生时是否继续提供部分功能,确保能够实施必要的措施。a)当应用系统的通信双方中的一方在a)应访谈应用系统管理员,询问应用系统是否有资源控制—段时间未作任何响应,另一方应能的措施,具体措施有哪些;够资源自动结束会话;b)应检杳关键应用系统,杳看系统是否有最大并发会话连控/b)应能够对应用系统的最大并发会话接数的限制;制(A)连接数进行限制;c)应检杳关键应用系统,杳看系统是否对单个的多重并发c)应能够对单个的多重并发会话进行会话进行限制;限制。d)应测试重要应用系统,当应用系统的通信双方中的一方资料:..在一段时间未作任何响应,查看另一方是否能够自动结束会话。a)应能够检测到重要用户数据a)应能够检测到鉴别信息和重要业务a)应访谈安全管理员,询问应用系统的鉴别信息和重要在传输过程中完整性受到破坏数据在传输过程中完整性受到破坏。业务数据在传输过程中是否有完整性保证措施,具体措施数据有哪些;完整性b)应检杳关键主机操作系统、关键网络设备操作系统、关⑸键数据库管理系统和关键应用系统,查看其是否配备检测鉴别信息和重要业务数据在传输过程中完整性受到破坏的功能。数据a)应采用加密或其他保护措施实现鉴a)应访谈网络管理员,询问关键网络设备的鉴别信息否米安全别信息的存储性。用加密或其他有效措施实现存储性;及备数据性b)应访谈系统管理员,询问关键主机操作系统的鉴别信息否份恢/⑸米用加密或其他有效措施实现存储性;复c)应访谈数据库管理员,询问关键数据库管理系统的鉴别信息否米用加密或其他有效措施实现存储性;资料:..d)应访谈安全管理员,询问关键应用系统的鉴别信息否采用加密或其他有效措施实现存储性;e)应检杳关键主机操作系统、关键网络设备操作系统、关键数据库管理系统和关键应用系统,查看其鉴别信息否采用加密或其他有效措施实现存储性。a)应能够对重要信息进行备份a)应能够对重要信息进行备份和恢复a)应访谈网络管理员,询问是否对网络设备中的配置文件b)应提供关键网络设备、通信线路和和恢复进行备份,备份策略是什么;当其受到破坏时,恢复策略数据处理系统的硬件冗余,保证系统的是什么;是否提供关键网络设备、通信线路的硬件冗余;可用性。b)应访谈系统管理员,询问是否对操作系统中的重要信息备份和进行备份,备份策略是什么;当其受到破坏时,恢复策略是恢复什么;是否提供关键服务器的硬件冗余;(A)c)应访谈数据库管理员,询问是否对数据库管理系统中的关键数据进行备份,备份策略是什么;当其受到破坏时,恢复策略是什么;d)应访谈安全管理员,询问是否对应用系统中的应用程序资料:..进行备份,备份策略是什么;当其受到破坏时,恢复策略是什么;应检杳关键主机操作系统、关键网络设备、关键数据库管理系统和关键应用系统,查看其是否提供备份和恢复功能,其配置是否正确,并且杳看其备份结果是否与备份策略致;f)应检杳关键网络设备、通信线路和服务器是否提供硬件冗余。资料