應(yīng)用系統(tǒng)安全檢查流程

1、應(yīng)用系統(tǒng)檢查流程 目錄應(yīng)用系統(tǒng)檢查流程1目錄21.應(yīng)用系統(tǒng)編號規(guī)則42.基本信息43.帳戶策略43.1.密碼策略（01001）43.2.帳戶鎖定策略（01002）54.審核策略63.3.審核策略（02001）63.4.日志策略（02002）65.備份恢復(fù)策略（03001）76.訪問控制策略（04001）87.權(quán)限控制策略（05001）88.安全增強(qiáng)性（06001）99.安全管理910.第三方插件安裝情況1011.檢查編號索引101. 應(yīng)用系統(tǒng)編號規(guī)則編號規(guī)則：應(yīng)用類型_公司名稱_部門名稱_數(shù)字編號。應(yīng)用類型：應(yīng)用系統(tǒng)的簡寫，如OA。公司名稱：使用此系統(tǒng)的公司簡稱，如BJCA（北京市數(shù)字證書認(rèn)證

2、中心）。部門名稱：部門簡稱，如CWB（財(cái)務(wù)部）；如果整個(gè)公司都使用此系統(tǒng)，為ALL。數(shù)字編號：順序號，第一個(gè)是001，第二個(gè)是002，依次類推。例：OA_BJCA_ALL_001：表示北京市數(shù)字證書認(rèn)證中心的第一個(gè)OA系統(tǒng)，此系統(tǒng)被整個(gè)公司內(nèi)部使用。2. 基本信息應(yīng)用系統(tǒng)信息表應(yīng)用系統(tǒng)名稱應(yīng)用系統(tǒng)編號應(yīng)用系統(tǒng)描述此處簡要描述應(yīng)用系統(tǒng)實(shí)現(xiàn)的功能及實(shí)現(xiàn)方式等信息所屬業(yè)務(wù)類別依存的主機(jī)此處填寫主機(jī)的編號涉及的數(shù)據(jù)資產(chǎn)沒有可不填應(yīng)用系統(tǒng)的重要性簡要描述系統(tǒng)的重要性但不需要賦值其他信息3. 帳戶策略3.1. 密碼策略（01001）編號：AppCheck-01001名稱：密碼策略檢查說明：獲得應(yīng)用系統(tǒng)的密

3、碼策略檢查內(nèi)容：1、 密碼最長使用期限和密碼最短使用期限。2、 最短密碼長度和復(fù)雜性要求。3、 密碼產(chǎn)生的方式和傳遞。檢查結(jié)果備注：3.2. 帳戶鎖定策略（01002）編號：AppCheck-01002名稱：帳戶鎖定策略檢查說明：獲得應(yīng)用系統(tǒng)的帳戶鎖定策略檢查內(nèi)容：1、 帳戶鎖定時(shí)間2、 帳戶鎖定閾值3、 復(fù)位帳戶鎖定的方法檢查結(jié)果備注：4. 審核策略3.3. 審核策略（02001）編號：AppCheck-02001名稱：審核策略檢查說明：獲取應(yīng)用系統(tǒng)的審核策略檢查內(nèi)容：1、 審核帳戶登錄事件 2、 審核帳戶管理 3、 審核服務(wù)訪問 4、 審核對象訪問 5、 審核策略更改 6、 審核特權(quán)使用

4、7、 審核過程跟蹤 8、 審核系統(tǒng)事件 檢查結(jié)果備注：3.4. 日志策略（02002）編號：AppCheck-02002名稱：日志策略檢查說明：獲取應(yīng)用系統(tǒng)的日志策略檢查內(nèi)容：1、 日志類型分類存儲。 2、 各種類型日志最大值限制。3、 日志的訪問限制。 4、 日志保留天數(shù)及保留方法。5、 日志覆蓋策略。6、 日志已滿時(shí)停止應(yīng)用系統(tǒng)運(yùn)行。（考慮其可用性）檢查結(jié)果備注：5. 備份恢復(fù)策略（03001）編號：AppCheck-03001名稱：備份恢復(fù)策略檢查說明：備份恢復(fù)策略檢查檢查內(nèi)容：1、 定期備份功能。2、 針對不同數(shù)據(jù)對象的備份恢復(fù)功能。3、 遠(yuǎn)程備份恢復(fù)功能。檢查結(jié)果備注：6. 訪問控制

5、策略（04001）編號：AppCheck-04001名稱：訪問控制策略說明：應(yīng)用系統(tǒng)訪問控制策略檢查檢查內(nèi)容：1、 支持多種憑證類型登錄用戶，如用戶名口令或者數(shù)字證書。2、 支持根據(jù)登錄用戶憑證類型進(jìn)行的訪問控制。檢查結(jié)果備注：7. 權(quán)限控制策略（05001）編號：AppCheck-05001名稱：權(quán)限控制策略說明：應(yīng)用系統(tǒng)內(nèi)部對象控制策略檢查檢查內(nèi)容：1、 支持多種權(quán)限控制類型，如閱讀、增添、刪除、修改。2、 支持對應(yīng)用系統(tǒng)內(nèi)部對象或者數(shù)據(jù)流的權(quán)限控制。3、 列出應(yīng)用系統(tǒng)可采用的權(quán)限控制模型，如：角色控制模型、組控制模型）檢查結(jié)果備注：8. 安全增強(qiáng)性（06001）編號：AppCheck-0

6、6001名稱：安全增強(qiáng)功能說明：其他若干安全選項(xiàng)，包括應(yīng)用系統(tǒng)特有的安全性考慮。檢查內(nèi)容：1、 登錄頁面上不顯示上次登錄成功的用戶名。2、 限時(shí)自動(dòng)注銷用戶的功能。3、 客戶端與服務(wù)器端的通信進(jìn)行加密簽名。4、 在密碼到期前提示用戶更改密碼。5、 無法記錄審核事件立即關(guān)閉系統(tǒng)。6、 其他檢查結(jié)果備注：9. 安全管理編號：AppCheck-07001名稱：安全管理檢查說明：對應(yīng)用系統(tǒng)得安全管理策略進(jìn)行檢查檢查內(nèi)容：1、 有無指定應(yīng)用系統(tǒng)管理人員2、 管理人員有無操作日志（如日志、改變記錄、升級安裝過程等）3、 有無相應(yīng)的應(yīng)急恢復(fù)管理制度檢查結(jié)果備注：10. 第三方插件安裝情況插件名稱版本號用途注：由于插件安裝可能無法檢測，建議使用詢問管理員的方式進(jìn)行填寫11. 檢查編號索引編號名稱AppCheck-01001檢查密碼策略AppCheck-01002檢查帳戶鎖定策略AppCheck-02001檢查審核