12.4 业务安全

12.4.1 公用互联网的用户信息应加密存储，访问用户信息应进行权限控制。

12.4.2 用户使用公用互联网接入业务应可溯源，网络接入访问日志记录保存不应少于6个月。

12.4.3 公用互联网接入、承载的业务系统应符合下列规定：

1 应划分安全域，应配置防火墙进行安全域边界控制；

2 业务提供、控制与管理过程应保护用户隐私，不泄漏用户相关敏感信息；

3 业务控制与管理应提供并启用身份鉴别、标识唯一性检查、鉴别信息复杂度检查及登录失败处理功能；

4 业务控制与管理应严格限制默认账号的权限，各账号应依据最小授权原则授予完成各自承担任务所需的权限，按安全策略要求控制对文件、数据库表等内容的访问；

5 系统访问控制策略应由授权主体配置；

6 业务控制与管理应提供覆盖到每个账号的安全审计功能，应保证无法删除、修改或覆盖审计记录，业务相关审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描述和结果等；

7 宜对业务及应用相关通信过程中的关键报文或会话过程提供必要的保护，并提供业务及应用相关访问、通信等数据的防抵赖功能；

8 宜对业务及应用服务水平进行检测，具有当服务水平降低到预先规定的阀值时进行告警、控制的功能。

条文说明

12.4.3 业务系统的安全措施应根据该系统的安全等级具体确定，本条给出了基本要求。

查找上节下节条文
说明返回
顶部

笔记需登录后才能查看哦~