系統(tǒng)安全保障方案

1、互聯(lián)網(wǎng)信息化系統(tǒng)安全保障方案（版本號(hào)：）德州左寧商貿(mào)有限公司2017年03月份目 錄1、 保障方案概述信息化系統(tǒng)運(yùn)行在網(wǎng)絡(luò)系統(tǒng)上，依托內(nèi)外網(wǎng)向系統(tǒng)相關(guān)人員提供相關(guān)信息與服務(wù)，系統(tǒng)中存在著大量非公開信息，如何保護(hù)這些信息的機(jī)密性和完整性、以及系統(tǒng)的持續(xù)服務(wù)能力尤為重要，是信息化系統(tǒng)建設(shè)中必須認(rèn)真解決的問題。2、 系統(tǒng)安全目標(biāo)與原則2.1 安全設(shè)計(jì)目標(biāo)信息化系統(tǒng)安全總體目標(biāo)是：結(jié)合當(dāng)前信息安全技術(shù)的發(fā)展水平，設(shè)計(jì)一套科學(xué)合理的安全保障體系，形成有效的安全防護(hù)能力、隱患發(fā)現(xiàn)能力、應(yīng)急反應(yīng)能力和系統(tǒng)恢復(fù)能力，從物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用和管理等方面保證“信息化系統(tǒng)”安全、高效、可靠運(yùn)行，保證信息的機(jī)密性、

2、完整性、可用性和操作的不可否認(rèn)性，避免各種潛在的威脅。具體的安全目標(biāo)是：1）、 具有靈活、方便、有效的用戶管理機(jī)制、身份認(rèn)證機(jī)制和授權(quán)管理機(jī)制，保證關(guān)鍵業(yè)務(wù)操作的可控性和不可否認(rèn)性。確保合法用戶合法使用系統(tǒng)資源；2）、能及時(shí)發(fā)現(xiàn)和阻斷各種攻擊行為，特別是防止DoS/DDoS等惡意攻擊，確保信息化系統(tǒng)不受到攻擊；3）、確保信息化系統(tǒng)運(yùn)行環(huán)境的安全，確保主機(jī)資源安全，及時(shí)發(fā)現(xiàn)系統(tǒng)和數(shù)據(jù)庫的安全漏洞，以有效避免黑客攻擊的發(fā)生，做到防患于未然；4）、確保信息化系統(tǒng)不被病毒感染、傳播和發(fā)作，阻止不懷好意的Java、ActiveX小程序等攻擊網(wǎng)絡(luò)系統(tǒng)；5）、具有與信息化系統(tǒng)相適應(yīng)的信息安全保護(hù)機(jī)制，確保數(shù)

3、據(jù)在存儲(chǔ)、傳輸過程中的完整性和敏感數(shù)據(jù)的機(jī)密性；6）、擁有完善的安全管理保障體系，具有有效的應(yīng)急處理和災(zāi)難恢復(fù)機(jī)制,確保突發(fā)事件后能迅速恢復(fù)系統(tǒng)；7）、制定相關(guān)有安全要求和規(guī)范。2.2 安全設(shè)計(jì)原則信息化系統(tǒng)安全保障體系設(shè)計(jì)應(yīng)遵循如下的原則：1）、需求、風(fēng)險(xiǎn)、代價(jià)平衡的原則：對(duì)任何信息系統(tǒng)，絕對(duì)安全難以達(dá)到，也不一定是必要的，安全保障體系設(shè)計(jì)要正確處理需求、風(fēng)險(xiǎn)與代價(jià)的關(guān)系，做到安全性與可用性相容，做到技術(shù)上可實(shí)現(xiàn)，組織上可執(zhí)行。2）、分級(jí)保護(hù)原則：系統(tǒng)有多種信息和資源，每類信息對(duì)保密性、可靠性要求不同。以應(yīng)用為主導(dǎo)，科學(xué)、合理劃分信息安全防護(hù)等級(jí)，并依據(jù)安全等級(jí)確定安全防護(hù)措施。3）、多重保

4、護(hù)原則：任何安全措施都不是絕對(duì)安全的，都可能被攻破。建立多重保護(hù)系統(tǒng)，各層保護(hù)相互補(bǔ)充，提供系統(tǒng)安全性。4）、整體性和統(tǒng)一性原則：信息化系統(tǒng)安全涉及各個(gè)環(huán)節(jié)，包括設(shè)備、軟件、數(shù)據(jù)、人員等，只有從系統(tǒng)整體的角度去統(tǒng)一看待、分析，才可能實(shí)現(xiàn)有效、可行的安全保護(hù)。5）、技術(shù)與管理相結(jié)合原則：信息化系統(tǒng)安全是一個(gè)復(fù)雜的系統(tǒng)工程，涉及人、技術(shù)、操作等要素，單靠技術(shù)或單靠管理都不可能實(shí)現(xiàn)。因此在考慮信息化系統(tǒng)安全保障體系時(shí)，必須將各種安全技術(shù)與運(yùn)行管理機(jī)制、人員思想教育與技術(shù)培訓(xùn)、安全規(guī)章制度建設(shè)相結(jié)合。6）、統(tǒng)籌規(guī)劃，分步實(shí)施原則：由于政策規(guī)定、服務(wù)需求的不明朗，環(huán)境、時(shí)間的變化，安全防護(hù)與攻擊手段的進(jìn)

5、步，在一個(gè)比較全面的安全體系下，可以根據(jù)系統(tǒng)的實(shí)際需要，先建立基本的安全保障體系，保證基本的、必須的安全性。隨著今后系統(tǒng)應(yīng)用和復(fù)雜程度的變化，調(diào)整或增強(qiáng)安全防護(hù)力度，保證整個(gè)系統(tǒng)最根本的安全需求。7）動(dòng)態(tài)發(fā)展原則：要根據(jù)系統(tǒng)安全的變化不斷調(diào)整安全措施，適應(yīng)新的系統(tǒng)環(huán)境，滿足新的系統(tǒng)安全需求。3、 系統(tǒng)安全需求分析要保證信息化系統(tǒng)的安全可靠，必須全面分析信息化系統(tǒng)面臨的所有威脅。這些威脅雖然有各種各樣的存在形式，但其結(jié)果是一致的，都將導(dǎo)致對(duì)信息或資源的破壞或非法占有，并可能造成嚴(yán)重后果。信息化系統(tǒng)應(yīng)考慮以下安全需求，如下表所示。安全層面安全需求安全需求描述物理安全異地容災(zāi)異在容災(zāi)主要是預(yù)防場(chǎng)地問

6、題帶來的數(shù)據(jù)不可用等突發(fā)情況。這些場(chǎng)地問題包括：電力中斷、通信線路破壞及戰(zhàn)爭、地震、火災(zāi)、水災(zāi)等造成機(jī)房毀壞或不可用等。通過異地容系統(tǒng)將這種故障造成的損失減到最小。由IT整體建設(shè)考慮。機(jī)房監(jiān)控機(jī)房監(jiān)控機(jī)房監(jiān)控主要是預(yù)防盜竊、人為破壞、私自闖入等情況。監(jiān)控手段有門禁系統(tǒng)、監(jiān)視系統(tǒng)、紅外系統(tǒng)等。安全層面安全需求安全需求描述后續(xù)項(xiàng)目可利用目前已有機(jī)房設(shè)施。設(shè)備備份設(shè)備備份用于預(yù)防關(guān)鍵設(shè)備意外損壞。后續(xù)項(xiàng)目中關(guān)鍵服務(wù)器、存儲(chǔ)系統(tǒng)應(yīng)有冗余設(shè)計(jì)。線路備份線路備份主要是預(yù)防通信線路意外中斷。后續(xù)項(xiàng)目中服務(wù)器與網(wǎng)絡(luò)連接，以及網(wǎng)絡(luò)出口應(yīng)考慮線路備份。電源備份電源備份電源備份用于預(yù)防電源故障引起的短時(shí)電力中斷。后

7、續(xù)項(xiàng)目可利用目前已有機(jī)房電源設(shè)施。防電磁泄漏防電磁泄漏用于預(yù)防電磁泄漏引起的數(shù)據(jù)泄漏。防電磁泄漏手段有屏蔽機(jī)房、安裝干擾器、線路加密等。后續(xù)項(xiàng)目可利用目前已有機(jī)房設(shè)施。媒體安全媒體安全用于預(yù)防因媒體不可用引起的數(shù)據(jù)丟失。要求對(duì)數(shù)據(jù)進(jìn)行備份，且備份數(shù)據(jù)的存放環(huán)境要滿足防火、防高溫、防震、防水、防潮的要求。后續(xù)項(xiàng)目應(yīng)考慮存儲(chǔ)媒體的安全。采用磁帶機(jī)進(jìn)行離線備份。網(wǎng)絡(luò)與系統(tǒng)安全深層防御深層防御就是采用層次化保護(hù)策略，合理劃分安全域，對(duì)每個(gè)安全域及邊界采用適當(dāng)?shù)挠行ПＷo(hù)。后續(xù)項(xiàng)目系統(tǒng)部署時(shí)應(yīng)加以考慮。邊界防護(hù)邊界防護(hù)用于預(yù)防來自本安全域以外的各種惡意攻擊和遠(yuǎn)程訪問控制。邊界防護(hù)機(jī)制有VLAN、防火墻、入

8、侵檢測(cè)、網(wǎng)閘等措施。后續(xù)項(xiàng)目實(shí)施時(shí)應(yīng)加以考慮。網(wǎng)絡(luò)防病毒網(wǎng)絡(luò)防病毒用于預(yù)防病毒在網(wǎng)絡(luò)內(nèi)傳播、感染和發(fā)作。后續(xù)項(xiàng)目利用已有網(wǎng)絡(luò)防病毒系統(tǒng)。系統(tǒng)監(jiān)測(cè)系統(tǒng)監(jiān)測(cè)用于保護(hù)信息化系統(tǒng)WEB頁面保護(hù)。后續(xù)項(xiàng)目實(shí)施方案設(shè)計(jì)時(shí)統(tǒng)籌考慮。備份恢復(fù)備份恢復(fù)用于意外情況下的數(shù)據(jù)備份和系統(tǒng)恢復(fù)。后續(xù)項(xiàng)目方案設(shè)計(jì)時(shí)應(yīng)加以考慮，利用數(shù)據(jù)庫提供的備份工具進(jìn)行備份恢復(fù)處理。漏洞掃描漏洞掃描用于及時(shí)發(fā)現(xiàn)操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、應(yīng)用系統(tǒng)以及網(wǎng)絡(luò)協(xié)議安全漏洞，防止安全漏洞引起的安全隱患。后續(xù)項(xiàng)目實(shí)施時(shí)應(yīng)加以考慮。安全審計(jì)安全審計(jì)用于事件追蹤。要求網(wǎng)絡(luò)、安全設(shè)備和操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)有自代審計(jì)功能。后續(xù)項(xiàng)目實(shí)施時(shí)應(yīng)加以考慮。應(yīng)用安全身份

9、認(rèn)證身份認(rèn)證用于保證用戶身份的真實(shí)性。信息化系統(tǒng)用戶采用實(shí)名制，實(shí)行嚴(yán)格的身份認(rèn)證，確保系統(tǒng)用戶身份的合法性。權(quán)限管理權(quán)限管理指對(duì)信息化系統(tǒng)中的操作和訪問進(jìn)行權(quán)限管理，防止非授權(quán)訪問和操作。安全層面安全需求安全需求描述信息化系統(tǒng)實(shí)行嚴(yán)格的權(quán)限管理，防止越權(quán)訪問。數(shù)據(jù)完整性數(shù)據(jù)完整性指對(duì)信息化系統(tǒng)中存儲(chǔ)、傳輸?shù)臄?shù)據(jù)進(jìn)行數(shù)據(jù)完整性保護(hù)。信息化系統(tǒng)開發(fā)與實(shí)施中應(yīng)滿足數(shù)據(jù)完整性要求。數(shù)據(jù)傳輸機(jī)密性數(shù)據(jù)傳輸機(jī)密性指對(duì)信息化系統(tǒng)與其它安全域之間傳輸?shù)拿舾行畔⑦M(jìn)行加密保護(hù)。鑒于信息化系統(tǒng)部署在內(nèi)外網(wǎng)，數(shù)據(jù)機(jī)密性要求不高，暫對(duì)數(shù)據(jù)傳輸機(jī)密不做要求?？沟仲嚳沟仲嚲褪峭ㄟ^采用數(shù)字簽名方法保證當(dāng)事人行為的不可否認(rèn)性

10、。根據(jù)信息化系統(tǒng)的信息秘密性等級(jí)，暫不要求抗抵賴功能。安全審計(jì)對(duì)涉密信息的訪問和操作要有完善的日志記錄，并提供相應(yīng)的審計(jì)工具。信息化系統(tǒng)應(yīng)提供日志記錄功能。安全管理組織建設(shè)安全管理組織建設(shè)包括：組織機(jī)構(gòu)、人才隊(duì)伍、應(yīng)急響應(yīng)支援體系等的建設(shè)。后續(xù)項(xiàng)目要求相應(yīng)的組織保障。制度建設(shè)安全管理制度建設(shè)包括：人員管理制度，機(jī)房管理制度，卡、機(jī)具生產(chǎn)管理制度，設(shè)備管理制度等的建設(shè)。后續(xù)項(xiàng)目要求相應(yīng)的制度建設(shè)。除有關(guān)的上述內(nèi)容外，還應(yīng)建立明確的信息發(fā)布、維護(hù)管理制度。標(biāo)準(zhǔn)建設(shè)安全標(biāo)準(zhǔn)規(guī)范建設(shè)包括：數(shù)據(jù)交換安全協(xié)議、認(rèn)證協(xié)議、密碼服務(wù)接口等標(biāo)準(zhǔn)規(guī)范的建立。根據(jù)信息化系統(tǒng)需要，建立相關(guān)的標(biāo)準(zhǔn)與規(guī)范。安全服務(wù)安全服

11、務(wù)包括安全培訓(xùn)、日常維護(hù)、安全評(píng)估、安全加固、緊急響應(yīng)等根據(jù)信息化系統(tǒng)維護(hù)管理需要，明確安全需求，采取必要的安全服務(wù)措施，及時(shí)解決或預(yù)防各種安全問題。技術(shù)建設(shè)安全管理技術(shù)建設(shè)主要指充分利用已有的安全管理技術(shù)，利用和開發(fā)相關(guān)的安全管理工具，提高安全管理的自動(dòng)化、智能化水平。應(yīng)根據(jù)信息化系統(tǒng)維護(hù)管理需要進(jìn)行安全技術(shù)建設(shè)?；谇懊娴陌踩L(fēng)險(xiǎn)分析，信息化系統(tǒng)必須采取相應(yīng)的應(yīng)對(duì)措施與手段，形成有效的安全防護(hù)能力、隱患發(fā)現(xiàn)能力和應(yīng)急反應(yīng)能力，切實(shí)保障信息化系統(tǒng)安全。4、 系統(tǒng)安全需求框架根據(jù)上述的系統(tǒng)安全需求分析、系統(tǒng)安全目標(biāo)及系統(tǒng)安全規(guī)劃原則，闡述信息化系統(tǒng)安全需求。信息化系統(tǒng)安全需求框架可以概括為如下

12、圖所示的結(jié)構(gòu)：信息化系統(tǒng)安全需求主要包括安全基礎(chǔ)設(shè)施、系統(tǒng)應(yīng)用安全和安全管理體系。5、 安全基礎(chǔ)設(shè)施信息化系統(tǒng)安全基礎(chǔ)設(shè)施主要包括以下內(nèi)容：1）、安全隔離措施2）、網(wǎng)絡(luò)防病毒系統(tǒng)3）、監(jiān)控檢測(cè)系統(tǒng)4）、設(shè)備可靠性設(shè)計(jì)5）、備份恢復(fù)系統(tǒng)以下分別闡述。5.1 安全隔離措施根據(jù)信息化系統(tǒng)部署方案與安全域劃分，需要將內(nèi)外網(wǎng)與其他BD的通信網(wǎng)絡(luò)采取適當(dāng)?shù)陌踩綦x措施，如可以通過VLAN、防火墻保護(hù)安全域邊界安全。項(xiàng)目實(shí)施中根據(jù)已有網(wǎng)絡(luò)安全情況確定。5.2 防病毒系統(tǒng)網(wǎng)絡(luò)防病毒用于預(yù)防病毒在信息化系統(tǒng)所在安全域內(nèi)傳播、感染和發(fā)作。后續(xù)項(xiàng)目利用網(wǎng)絡(luò)防病毒系統(tǒng)防范病毒入侵和傳播。5.3 監(jiān)控檢測(cè)系統(tǒng)監(jiān)控檢測(cè)系

13、統(tǒng)用于及時(shí)發(fā)現(xiàn)操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、應(yīng)用系統(tǒng)以及網(wǎng)絡(luò)協(xié)議安全漏洞，防止安全漏洞引起的安全隱患。同時(shí)保護(hù)信息化系統(tǒng)不受侵害。后續(xù)項(xiàng)目利用漏洞掃描系統(tǒng)解決漏洞掃描問題，發(fā)現(xiàn)和修補(bǔ)安全漏洞，對(duì)各種入侵和破壞行為進(jìn)行檢測(cè)和預(yù)警，項(xiàng)目實(shí)施時(shí)統(tǒng)籌考慮。5.4 設(shè)備可靠性設(shè)計(jì)信息化系統(tǒng)應(yīng)考慮設(shè)備可靠性設(shè)計(jì)問題，系統(tǒng)關(guān)鍵設(shè)備服務(wù)器應(yīng)考慮避免單點(diǎn)故障問題。建議：服務(wù)器系統(tǒng)采用雙機(jī)加磁盤柜模式。應(yīng)用系統(tǒng)與數(shù)據(jù)庫分別安裝在二臺(tái)服務(wù)器上，其中一臺(tái)作為應(yīng)用系統(tǒng)生產(chǎn)機(jī)，另一臺(tái)作為數(shù)據(jù)庫生產(chǎn)機(jī)，二臺(tái)服務(wù)器連接磁盤柜；應(yīng)用系統(tǒng)生產(chǎn)機(jī)為數(shù)據(jù)庫系統(tǒng)提供備份支持，數(shù)據(jù)庫生產(chǎn)機(jī)為應(yīng)用系統(tǒng)提供備份支持，二臺(tái)互為備份。以提高系統(tǒng)的可靠性

14、。5.5 備份恢復(fù)系統(tǒng)信息化系統(tǒng)應(yīng)建立有效的備份恢復(fù)系統(tǒng)，確保在系統(tǒng)出現(xiàn)故障的情況下能夠重建恢復(fù)到出現(xiàn)故障前的狀態(tài)。建議系統(tǒng)采用磁帶機(jī)作為離線備份工具。6、 系統(tǒng)應(yīng)用安全信息系統(tǒng)設(shè)計(jì)歸結(jié)起來要解決資源、用戶、權(quán)限三類問題，在這三大要素中，用戶是安全的主體，應(yīng)用系統(tǒng)的安全也就是圍繞用戶展開的。因此用戶身份的驗(yàn)證便成了應(yīng)用系統(tǒng)必須解決的第一個(gè)問題；解決身份問題之后，第二個(gè)要解決的問題便是授權(quán)，就是確保每個(gè)用戶都能授以合適的權(quán)限；第三為解決資源的安全性與安全審計(jì)問題，需要解決數(shù)據(jù)完整性的問題；這些構(gòu)成了應(yīng)用系統(tǒng)安全的主體。6.1 身份認(rèn)證系統(tǒng)信息化系統(tǒng)用戶采用實(shí)名制，建立統(tǒng)一的用戶信息庫，為系統(tǒng)提供

15、身份認(rèn)證服務(wù)，只有合法用戶才能對(duì)信息化系統(tǒng)進(jìn)行訪問?；诜旨?jí)保護(hù)的策略，身份認(rèn)證系統(tǒng)支持用戶名/口令認(rèn)證方式，并支持CA數(shù)字證書認(rèn)證方式。身份認(rèn)證應(yīng)實(shí)現(xiàn)以下具體功能：1)、提供分級(jí)用戶管理模式，可根據(jù)需要由系統(tǒng)管理授權(quán)二級(jí)管理員分別管理維護(hù)所轄區(qū)域的用戶，以解決大量用戶管理維護(hù)的問題。2)、統(tǒng)一認(rèn)證支持多種身份認(rèn)證方式，支持用戶名/口令與CA數(shù)字證書認(rèn)證方式，在保證信息安全的前提下，滿足不同用戶對(duì)系統(tǒng)不同內(nèi)容的訪問需求。3)、統(tǒng)一認(rèn)證應(yīng)能對(duì)用戶信息、用戶訪問信息、業(yè)務(wù)安全保護(hù)等級(jí)等內(nèi)容進(jìn)行有效的管理與維護(hù)。4)、一認(rèn)證應(yīng)能夠防止因大量用戶訪問可能造成的系統(tǒng)崩潰，它具有良好的響應(yīng)性能，保證認(rèn)證服

16、務(wù)功能的可用性、可靠性。6.2 用戶權(quán)限管理可以為用戶設(shè)置不同的訪問權(quán)限，允許用戶在權(quán)限范圍內(nèi)訪問系統(tǒng)不同的功能模塊。支持匿名訪問。信息化系統(tǒng)的授權(quán)管理采用集中授權(quán)、分級(jí)管理的工作模式，即通過系統(tǒng)管理員為二級(jí)系統(tǒng)管理員授權(quán)管理本機(jī)構(gòu)用戶權(quán)限的方式，實(shí)現(xiàn)分級(jí)授權(quán)管理，二級(jí)系統(tǒng)管理員管理本機(jī)構(gòu)內(nèi)的資源、角色定義、權(quán)限分配、權(quán)限認(rèn)證等工作。權(quán)限管理主要是由管理員進(jìn)行資源分類配置、用戶角色定義及授權(quán)等操作。采用基于角色的訪問控制策略，能夠?qū)τ脩艉徒巧M(jìn)行靈活授權(quán)。在定義角色時(shí)，可以采用職稱、職務(wù)、部門等多種形式，靈活反映各種業(yè)務(wù)模式的管理需求。權(quán)限認(rèn)證主要是根據(jù)用戶身份對(duì)其進(jìn)行權(quán)限判斷，以決定該用戶是

17、否具有訪問相應(yīng)資源的權(quán)限。授權(quán)管理系統(tǒng)與統(tǒng)一認(rèn)證相結(jié)合，為信息化系統(tǒng)提供方便、簡單的、可靠的授權(quán)服務(wù)，從而對(duì)用戶進(jìn)行整體的、有效的訪問控制，保護(hù)系統(tǒng)資源不被非法或越權(quán)訪問，防止信息泄漏。6.3 信息訪問控制建立信息訪問控制機(jī)制，對(duì)系統(tǒng)功能和數(shù)據(jù)進(jìn)行分級(jí)管理，根據(jù)需要，不僅能夠?yàn)楹戏ㄓ脩舴峙洳煌?jí)別的功能和數(shù)據(jù)的訪問權(quán)限，而且能夠?qū)γ恳粭l信息設(shè)置不同的訪問權(quán)限，用戶登錄后只能訪問已授權(quán)的系統(tǒng)信息。一般地來說，信息系統(tǒng)的資源分為系統(tǒng)資源和業(yè)務(wù)資源兩類。系統(tǒng)資源指系統(tǒng)菜單、功能模塊、用戶、角色等系統(tǒng)資源；業(yè)務(wù)資源是指相關(guān)的業(yè)務(wù)數(shù)據(jù)，如數(shù)據(jù)、文檔等。通過與授權(quán)功能的結(jié)合，解決資源的訪問控制。嚴(yán)格地講，

18、信息訪問控制是授權(quán)管理中的一部分。6.4 系統(tǒng)日志與審計(jì)當(dāng)用戶對(duì)資源進(jìn)行操作時(shí)，系統(tǒng)會(huì)對(duì)用戶進(jìn)行認(rèn)證，認(rèn)證完了之后是權(quán)限檢測(cè)，接著執(zhí)行相應(yīng)的操作。整個(gè)過程可以配置日志記錄功能，比如認(rèn)證日志、權(quán)限檢測(cè)日志、和操作日志。審計(jì)是系統(tǒng)管理員檢查各種日志，發(fā)現(xiàn)安全隱患的過程，比如對(duì)同一個(gè)賬號(hào)的多次認(rèn)證企圖可能是賬號(hào)攻擊，多次權(quán)限檢測(cè)失敗可能是某個(gè)賬號(hào)企圖訪問非授權(quán)資源，操作日志可以察看每次操作的內(nèi)容，甚至可以用來做數(shù)據(jù)恢復(fù)。為了靈活性、系統(tǒng)日志可以由系統(tǒng)管理員配置，對(duì)于那些高可靠性的資源可以配置操作日志，對(duì)于那些高級(jí)密性的業(yè)務(wù)系統(tǒng)可以配置認(rèn)證日志和權(quán)限檢測(cè)日志。對(duì)用戶訪問行為進(jìn)行跟蹤、記錄，便于事前、事中、事后的安全管理，并為建立有效責(zé)任機(jī)制和監(jiān)督機(jī)制奠定技術(shù)基礎(chǔ)。6.5 數(shù)據(jù)完整性數(shù)據(jù)完整性指對(duì)信息化系統(tǒng)中存儲(chǔ)、傳輸?shù)臄?shù)據(jù)進(jìn)行數(shù)據(jù)完整性保護(hù)。在系統(tǒng)設(shè)計(jì)與開發(fā)中要解決數(shù)據(jù)可靠存儲(chǔ)的問題，在長距離數(shù)據(jù)傳輸中要充分考慮網(wǎng)絡(luò)傳輸質(zhì)量對(duì)數(shù)據(jù)完整性的影響，并采取必要的數(shù)據(jù)可靠性傳輸技術(shù)手段，確保數(shù)據(jù)的完整性。7、 安全管理體系1）、安全管理組織：形成一個(gè)統(tǒng)一領(lǐng)導(dǎo)、分工負(fù)責(zé)，能夠有效管