ISMS信息操作系统访问控制.doc

中国3000万经理人首选培训网站ISMS信息操作系统访问控制目标：防止对计算机的未授权访问应使用操作系统级的安全设施来限制对计算机资源的访问。这些设备应该可以：a） 辨认和认证身份，如有必要，认证用户的终端或地点b） 记录成功的和失败的系统访问c） 提供适当的认证方法，如果使用密码管理系统，应确保高质量的密码（见9.3.1d）d） 适当的情况下，限制用户的访问次数其他的访问控制方法如询问-响应方法，如果基于商务风险是合理的，也可采用。1. 自动终端识别应考虑自动终端识别来认证到特定位置和便携式设备的连接。如果会话只能由特定的位置或计算机终端发起是很重要的话，自动终端识别是一种可用的技术。在终端内或连接到终端上的识别器可用于识别特定的终端是否允许发起或接收特定的业务。对终端实施物理保护，维护终端识别器的安全是很必要的。还有很多其他的技术可用来认证用户（见9.4.3）。 2. 终端登录流程对信息服务的访问只有通过安全的登录流程才是可行的。计算机系统的登录流程应被设计成尽量减小未授权访问的可能。因此，登录流程应尽量少的泄漏系统信息，以避免为未授权用户提供不必要的信息。一个好的登录流程应该：a） 不显示系统或应用识别器，直到登录流程成功的完成之后；b） 显示一般性通知，提醒计算机只应被已经授权的用户访问；c） 在登录过程中，不提供可以帮助未授权用户的帮助信息；d） 在完成所有的输入数据时，才确认登录信息。当发生错误时，系统不应提示时数据的那个部分是错误的还是正确的；e） 限制所允许的不成功的登录企图的次数，（建议为3次），并考虑：1) 记录不成功的登录尝试；2) 在进一步的登录尝试之前，应强制有一个时间延迟，或是拒绝没有特定授权的进一步尝试；3) 断开数据链路连接；f） 对登录流程限制最大和最小时间，如果超时，系统则应终止登录过程g） 在成功的登录流程完成之后，显示如下信息：1) 上次不成功登录的日期和时间2) 从上一次成功登录以来的不成功的登录尝试的详细情况3. 用户识别和确认所有的用户（包括技术支持人员，如操作人员，网络管理人员，系统程序员和数据库管理人员）都应有唯一的用户识别标识为个人使用。以便于其行为可以最终追踪到责任者。用户的识别符不应显示用户特权级别的任何线索（见9.2.2），如经理，监督员。在例外的情况下，有明显的商务利益的时候，则用户群或特定的工作可以共享一个用户标识符。管理部门对此种情况的批示要加以记录。为维持责任，则需要有额外的控制措施。有不同的确认流程可以用来证实用户所声明的身份。密码（见9.3.1及下面）则是在只有用户知道的基础上，用于识别和确认的最常用的方法。使用加密技术和确认协议同样可以证实用户身份。用户拥有的记忆标记或智能卡一类的实物也可用于识别和确认用户身份。利用个人的特有的特点和属性的生物确认技术也可确认身份。安全连接的技术和机制的组合使用将会使识别更有力度。4. 密码管理系统密码是用来证实用户访问计算机服务的权力的主要的方法之一。密码管理系统应该提供有效的、交互的功能，来确保密码的质量（见9.3.1密码使用原则）。一些应用要求有独立的权力机构来分配用户密码。大多数情况下，密码的选择和维护都是由用户来进行的。 好的密码管理系统应：a） 主张使用个人密码，以维持责任性；b） 适当的情况下，允许用户选择和更换自己的密码，并包括一个允许输入错误的确认流程；c） 如上节条款中所述主张选择高质量密码；d） 在用户保有个人密码的情况下，主张更换密码，如上节条款所述；e） 用户自己选择密码的情况下，强制他们第一次登录时即更改临时密码；f） 保留一份以前的用户密码的记录，如前12个月的，以防止重用；g） 在输入密码时，屏幕上不要显示出来；h） 将密码文件和应用系统数据分开保存；i） 以加密的形式保存用单向加密算法加密的密码；j） 在软件安装之后，改变厂商的缺省密码5 系统工具的使用多数的计算机设备都有一套或多套可以超越系统和应用程序控制的系统工具。限制和控制其使用时很重要的。应考虑以下的控制措施：a） 对系统工具实施验证流程；b） 将系统工具和应用软件隔离开；c） 将对系统工具的使用限制到值得信任的、授权用户中的最小可行数量；d） 对系统工具的特殊使用的授权；e） 限制系统工具的可用性，如授权变动的持续时间的限制；f） 记录对系统工具的使用；g） 定义和记录系统工具的授权级别；h） 移去所有不必要的基于软件的工具和系统软件；6 保护用户的强制警报对可能成为强制对象的用户应考虑强制警报规定。是否提供这种警报的决定应基于对风险的评估。对强制警报的响应应有已经定义的责任和流程。7 终端超时处于高风险区的待用终端，如组织安全管理之外的公共的或外部的区域，或提供高风险服务的待用终端，在所规定的静止状态之后应该关机，以防止未授权的人员的访问。在规定的静止时间之后，超时功能应该清掉终端的屏幕，终止应用软件和网络会话。超时延迟应能反映地区和终端用户的安全风险。为一些个人电脑所提供的终端超时功能的有限形式，可以清屏，和防止未授权访问，但不能中断应用软件和网络会话。 8连接时间的限制限制连接时间可以对非高风险的应用提供额外的安全保护。对终端连接到计算机服务所允许的时间的限制可以降低未授权访问的机会。对于敏感的计算机应用，应该考虑这样的控制措施，特别是高风险区的终端，如组织安全管理之外的公共的或外部的区域，更应给予考虑。这种限制措施的例子有：a） 采用预定的时隙，如批文件传输，或规则的短时间的交互式会话；b） 如果没有超时的或延时的操作，将连接时间限制到正常的办公时间；ISO27001信息安全管理标准理解及内审员培训 培训热线：0755-25936263、25936264 李小姐  客服QQ：1484093445、675978375  ISO27001信息安全管理标准理解及内审员培训    下载报名表   内训调查表 【课程描述】ISO/IEC27001:2005信息技术安全管理体系要求用于组织的信息安全管理体系的建立和实施，保障组织的信息安全。本课程将详述ISO 27001:2005/ISO 27002:2005标准的每一个要求，指导如何管理信息安全风险，并附以大量的审核实战案例以作说明。内部审核部分将以ISO 19011:2002为基础，教授学员如何策划和实施信息安全管理体系内部审核活动。掌握该体系的具体执行程序和标准，并了解对该体系进行检查和审核的方法以及制作审核报告的技巧。 【课程帮助】如果你想对本课程有更深入的了解，请参考 >>> 德信诚ISO27001内审员相关资料手册【课程对象】信息安全管理人员，欲将ISO27001导入组织的人员，在ISO27001实施过程中承担内部审核工作的人员，有志于从事IT信息安全管理工作的人员。 【课程大纲】第一部分：ISO27001：2005信息安全概述、标准条款讲解 信息安全概述：信息及信息安全，CIA目标，信息安全需求来源，信息安全管理。 风险评估与管理：风险管理要素，过程，定量与定性风险评估方法，风险消减。 ISO/IEC 27001简介：ISO27001标准发展历史、现状和主要内容，ISO27001标准认证。 信息安全管理实施细则：从十个方面介绍ISO27001的各项控制目标和控制措施。 信息安全管理体系规范：ISO/IEC27001-2005标准要求内容，PDCA管理模型，ISMS建设方法和过程。第二部分：ISO27001：2005信息安全管理体系文件建立（ISO27001与ISO9001、ISO14001管理体系如何整合） ISO27001与ISO9001、ISO14001的异同 ISO27001与ISO9001、ISO14001可以共用的程序文件和三级文件 如何将三体系整合降低公司的体系运行成本 ISO9001、ISO14001、ISO27001体系三合一整合案例分析第三部分：信息安全管理体系内部审核技巧和认证应对案例分析 ISO27001：2005标准对内审员的新要求 信息安全管理体系认证现场审核的流程、技巧及沟通方法 如何应对认证公司的认证审核、监督审核、案例分析 考试 >>> 考试合格者颁发“ISO27000信息安全管理体系内部审核员培训合格证书”更多免费资料下载请进：好好学习社区