VOP 2020下半年安全巡检

类别

NO.

评分项

ISV提供检查内容（敏感信息可脱敏处理）

安全管理

安全管理制度

1.1.1

制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架等，通过正式、有效的方式发布，并进行版本控制。

提供企业网络安全方针和策略文件、发布记录截图。

1.1.2

建立由安全策略、管理制度、操作规程、运维安全、数据安全管理规程，记录表单等构成的全面的安全管理制度体系，通过正式、有效的方式发布，并进行版本控制。

提供安全管理制度文件，发布记录截图。

安全组织架构

1.2.1

具有专业的安全管理员。

说明安全管理的人员组织架构；提供安全管理人员的技能证书证明（如有）。

1.2.2

针对系统变更、重要操作、数据使用等事项建立审批流程，按审批流程执行审批过程。

提供系统变更、重要操作、数据使用的审批流程说明；提供5条最近半年的审批记录。

1.2.3

定期进行常规安全检查，检查内容包括应用系统、主机、网络安全、恶意代码等。

提供最近一年的定期(每季度)检查结果报告。（主机、应用）。

安全管理人员

1.3.1

企业与被录用人员签署保密协议。

提供企业与安全负责人、运维负责人签署的保密协议扫描件。

1.3.2

及时终止离岗人员的所有访问权限，取回各种身份证件、办公终端、钥匙等以及机构提供的各种软硬件设备。

说明离职人员关闭系统权限的流程，提供相关制度文件、执行记录等相关材料证明。

1.3.3

定期对各类人员进行安全意识教育培训，并告知相关的安全责任和惩戒措施。

提供安全培训通告、培训内容、培训记录相关材料证明。

安全建设管理

1.4.1

制定代码编写安全规范，通过正式、有效的方式发布，要求开发人员参照规范编写代码

提供代码安全规范文件和正式发布记录。

1.4.2

进行上线前的安全性测试，并输出安全测试报告，安全测试报告应包含主机和应用安全性测试相关内容

提供最近1年系统上线前的安全测试报告（包括主机和应用关系图）。

安全技术-设备和计算安全

身份鉴别

2.1.1

对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。

提供服务器和终端主机操作系统设置密码复杂度、密码策略、密码有效期的设置截图证明。

2.1.2

进行远程管理时，采取必要措施、防止鉴别信息在网络传输过程中被窃听。

提供远程管理服务器使用加密协议的截图证明。
 （如Windows服务器的RDP强制开启SSL
 Linux服务器使用SSH，禁用telnet）

2.1.3

采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别。

提供运维管理服务器具有双因素认证（如短信、令牌）的截图证明。

访问控制

2.2.1

授予管理用户所需的最小权限，实现管理用户的权限分离。

说明服务器用户账号的角色划分、各角色具有的权限、。

2.2.2

及时删除或停用多余的、过期的账户，避免共享账户的存在。

提供服务器当前系统账号列表截图，说明各账号用途、所属角色。（应用服务器、数据库服务器各1台）

安全审计

2.3.1

具有安全审计功能，审计覆盖到每个用户，审计记录应包括事件的日期和时间，用户、事件类型，事件是否成功及其他与审计相关的信息，日志存储保留6个月以上

提供服务器操作系统日志记录截图，保留时间不低于半年的证明截图。

入侵防范

2.4.1

关闭不需要的系统服务、默认共享和高危端口

提供服务器端口监听情况的截图，说明各个端口的用途，开放必要性。（应用服务器、数据库服务器各1台）

2.4.2

通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制

说明如何限制服务器远程管理端口仅运维管理人员访问，防止服务器的SSH\RDP远程管理端口暴露在互联网和整个内网，提供相关策略截图证明。

恶意代码防范

2.5.1

采用免受恶意代码攻击的技术措施。

提供服务器采用恶意代码防范技术的截图证明，如防病毒软件、WEBSHELL检测工具部署情况截图。（应用服务器、数据库服务器各1台）

安全技术-应用和数据安全

身份鉴别

3.1.1

对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换

提供应用系统对所有用户开启密码长度、复杂度、有效期的截图证明。（口令长度8位以上，需要包含数字、字母和符号，并强制每3个月更换一次)）

3.1.2

具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。

说明用户认证多次失败时的处理机制，并提供相关功能和设置的截图证明。

3.1.3

当进行远程管理时，应采取必要措施、防止鉴别信息在网络传输过程中被窃听

提供远程管理应用系统时使用加密协议的截图证明。（后台使用HTTPS）

3.1.4

采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别。

提供应用系统具有双因素认证（如短信、动态令牌）的截图证明，开启情况说明。

访问控制

3.2.1

对登录的用户分配账户和权限。

提供应用系统的用户账号、访问控制的功能截图。

安全审计

3.3.1

应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计。审计记录应包括事件的日期和时间，用户、事件类型，事件是否成功及其他与审计相关的信息

提供应用系统日志记录截图和样本。（1、登入登出日志；2、业务操作日志，如导出订单、打印订单等。）

3.3.2

应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等，审计记录保留时间至少半年。

提供应用系统日志记录保留时间不低于半年的证明截图。

入侵防范

3.4.1

提供数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求

1、说明目前如何针对SQL注入、XSSF等攻击进行数据校验，提供关键代码的文件或截图证明。
 2. 等保三级
 3. 外部安全机构
 说明：
 须人工测试（找专业安全人员进行渗透测试）
 提供专业渗透测试报告

3.4.2

具有监控异常用户和行为的技术措施，并产生告警。

说明如何监控一个用户多地登录、一机登录多账号等异常行为的技术措施，提供截图证明。

数据保密性

3.5.1

采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据、和重要个人信息等。

说明客户端提交密码等敏感信息时使用的加密方法和算法，并提供加密的关键代码证明。

3.5.2

采用密码技术来保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要人信息等。

说明数据中有进行加密存储的字段列表，所使用的加密算法，并提供SQL查询截图证明。

个人信息保护

3.6.1

仅采集和保存业务必需的用户个人信息，禁止未授权访问和非法使用用户个人信息

验收标准：
 1. 等保三级
 2. 外部安全机构
 说明：
 须人工测试（找专业安全人员进行渗透测试）
 提供专业渗透测试报告

等保级别

3.7.1

是否通过了国家等级保护三级认证

国家等保三级证书，及相关检查文件