SAS简介生产培训.ppt

SAS认证简介,SAS-Security Accreditation Scheme 安全保证方案,什么是SAS,SAS标准是通讯智能卡行业特殊的工业安全生产标准，是通讯智能卡行业中现有最高级别的安全和数据保护标准，旨在提高通讯高智能卡的整体安全性。其核心在于保证客户数据/信息的安全。 标准发布机构：GSM Association 认证管理机构： GSM Association 适用范围：通信智能卡 认证性质：自愿性认证 审核实施机构：Fraud Management Limited （FML）（英国） ChaseWaterford （南非）,SAS的认证范围,卡片封装(含预个人化） 数据处理 卡片个人化 PIN封打印 其它增值服务（如封套包装等）,其他卡商获证情况,全球共有22家卡商取得了该认证 中国大陆有6家已获证： Watchdata（北京） Oberthur Card Systems（深圳） Eastcom Peace Smart Card （珠海） Datang Microelectronics（北京） Hengbao Danyang, China Giesecke & Devrient (China) Information Technologies Co., Ltd. Nanchang, China,SAS之安全目标,防止信息泄露，保持信息的秘密、完整和可用性 防止资产被盗、损失或不当使用 防止重卡、错位卡 寻找可能的或真实的安全违规 并处理改正 防止一个客户的数据被披露给另外客户,SAS要求 1.安全策略,制定安全手册，定义安全方针、目标和策略，让全体员工都知道 定期进行风险评估，识别、处理 做好应急计划（BCP) 定期进行内部审核。,SAS要求 2.组织和责任,明确的安全管理组织结构 定期的、跨职能团队的安全管理会议 责任：所有员工应对整个生产流程里处于他们管理下的敏感资产（物理资产和信息）负责 即每个阶段要明确保管责任 合同/保险：与客户的合同需明确损失的责任和义务，需要购买包括直接、间接损失的责任险。,SAS要求 3.信息,对信息和其他资产分类，并根据不同类别的信息和资产有适当的处理方针 对敏感信息和资产的访问必须总是根据“需要知道”的原则 附件一:资产分类表（参考）,SAS要求 4.人事安全,在岗位职责JD中明确安全职责 有明确的人员筛选政策：信用调查、犯罪背景调查和2年一次的定期再调查 所有人员需要签订保密协议，并签署已接受安全政策 安全培训：入职、定期、特殊岗位人员 应有违反安全规定的处罚机制、有员工报告或秘密报告违反安全事件或怀疑的体制 离职手续。门禁、资产、钥匙、账户等,SAS要求 5厂房安防设施,总体上和EMV的要求差不多，外围栅栏、CCTV、运动探测、震动探测、图像分析等，但审核员把握的度会比较紧。有特别的地方将在以下提到。 应有紧急撤退时的保护和恢复机制。如指定人员监控、使用自动门等 安防设施的定期检查：第三方和自检，自检需定义方法、周期、记录等。 对由外面通向高安全区的门（如逃生门）的要求有些特别：多点锁（Multi-point locking system）、移动或切断铰链门不会被打开？Removal or cutting of hinges should not allow doors to be opened,SAS要求 6.访问控制,根据“需要访问”的原则给每位员工授权 访客、临时工的管理方法同EMV 卸/发货区的管理同EMV，三门联锁管理。 钥匙的管理同EMV，需要授权或审批 部分区域需要ID卡+PIN管理：数据室、碎卡室 处理一类资产和二类资产的区域应分开,SAS要求 6.访问控制-常犯的问题,把自己的ID卡借给他人使用 尾随：即跟随其他人进出（自己没有刷卡） 不正确佩戴或不戴ID卡 将门敞开 临时工、访客ID卡不及时归还保安 访客进厂后不陪同,SAS要求 7.保安,基本要求同EMV:手册、时间、职责、人员管理 保安需熟悉安防设施的操作（门禁系统、CCTV、警报系统），审核员需验证。,SAS要求 8.生产数据管理,总体上考虑采取和EMV相同原则的数据接收、存储、处理、 删除机制 与客户达成敏感数据的安全传输机制协议，包括加解密。应证明已经保证数据传输机制是适合的。如果可户要求不安全的数据传输机制，供应商应正式书面通知客户数据传输机制的不适合。 用适当的加密技术全程加密（除非必要阶段如个人化），使用后应安全删除，尽可能避免对未加密数据进行人工交互处理，优先考虑自动加密系统 使用的数字生成器Random numbers generat的质量应证实符合公认的国际标准、定期进行适当测试。应提供测试和成功结果的证据。 用于数据保护的加密密钥应安全地生成、交换和存储，强烈推荐专用密钥存储机制Dedicated key storage mechanisms 防止重复生产是SAS的基本原则，数据处理和生产系统必须从出现时为防止重复的可能而设计，如果生产体系依赖数据库驱动机制，应严格控制并全面审计对数据库、系统状态的访问。 生产数据的手工生成或操作、生产数据状态变更（如：复位已经生产的卡片） 必须在双控制下进行,SAS要求 9.生产管理和物流-总则,订单：运营商和供应商之间应就定单格式达成一致，应有保持定单流程完整性的制度。（防止非法订单） 原材料（PVC、空白封套、胶等）：没有特殊要求，符合通常仓库管理要求即可。 设计媒体（菲林、电子媒体等）：应安全存储、访问控制、使用控制、安全销毁 生产过程中需100%控制的物料：一类和二类资产，如：卡片（包括成品和半成品）、卡基、模块、个人化的PIN封及以上的不良品 应总是有对一类和二类资产的书面的责任制，如果责任变更，资产应进行正式的可审计的交接。资产数量应作为交接流程的一部分进行100%控制。 可审计的交接：双控点数，并双签字。,SAS要求 9.生产管理和物流-抛卡再个人化,在双控下清空、模块中部打孔 双控下补卡,SAS要求 9.生产管理和物流-最终包装,个人化成品的最终包装 防伪大卡的最终包装 防伪小卡的最终包装 封套包装产品的最终包装 -原则 1.双控点数：2人分别点数或四只眼下一人点数 2.封条(密封）：在双控点数后立即密封 3.一盒接一盒：完成一盒的双控点数、密封后才可以进行下一盒的工作,SAS要求 9.生产管理和物流销毁,需每天或每周进行 双人实施：实施和核对 2人应来自不同的部门 碎卡机规格：4mm或更小 在专门的碎卡室实施，并留下记录,SAS要求 9.生产管理和物流存储和发货,产成品应存储在物理独立的区域，处于单独的访问控制下。闭路电视应覆盖该区。 产品包装应足够坚固以在装运期间保护商品。应有适当的措施来确定商品是否已经损坏。 客户和供应商之间应达成安全的交付程序，应包括同意的交付地址和交付方法。 必须正确识别托收单和提货单。货物只能按照相关文件移交。应获取收条。,SAS要求 9.生产管理和物流常犯的问题,在地面、桌面等发现无人看管或来历不明的卡片 物料流转记录没有、不全、不规范涂改 物料流转记录不及时或填写错误，导致检查时被认为帐物不一致 钥匙盒不锁，或一个人拿着一大串钥匙满车间跑 物料车不锁或使用根本不能上锁的物料车 上下班之间没有进行物料的交接 最终包装流程不明确，或违背最终包装的3个基本原则 不良品不打孔，或没有在双控下打孔，或孔没有打在模块的中部 物料交接区域、最终包装区域随意更改,SAS要求 10.计算机和网络管理职责,应有书面的IT安全政策 ，并且作为现场安全文件的部分可为雇员所得 生产网络系统的管理（包括开发、数据处理和生产活动）不用由该区域内的用户执行。 即系统管理、数据处理、生产三方分离。 敏感系统审计日志检查的角色应与授权用户（如：管理员）分开。 敏感计算机设施不使用时，应有现场警报系统进行保护,SAS要求 10.计算机和网络管理访问控制,应有请求访问计算机系统的流程。该流程应可审计并且包括授权机制。该流程应覆盖访问权限的生成、修改和删除。 应有授权用户和用户帐户的清单的维护程序，独立于系统本身。该清单应定期审核。 对密码应进行有效管理 ，建议不使用远程访问 密码政策一般应包括：长度、质量、有效期、历史。该要求包括系统和适用的应用程序（我们的发卡系统） 如果系统（如发卡系统）不能执行该密码政策，应使用额外的程序控制以保证该政策的适用。,SAS要求 10.计算机和网络管理网络安全,网络配置应清楚地以书面书写。 建议将生产系统网络与不安全网络物理隔离。 如果安全网络直接连接到其他网络，甚至使用VPN通道的话，一般不大可能认证网络安全性。有该配置的现场应向GSM协会寻求建议以获得方法。 安全网络和关于未控制、不信任或第三方网络(如客户）的系统之间不应有直接连接，就算这些连接是通过防火墙。用于安全网络和非控制第三方网络（如客户）间数据交换的系统应处于DMZs。 如果安全网络逻辑上分开了，该安全网络应用一个或多个防火墙保护：防火墙 应从被保护网络即安全网络进行管理。应为了提供要求的最低访问而配置，该访问通过地址和端口来限制。经过防火墙的连接应来自安全网络应定义业务层防火墙政策文件，说明防火墙提供的访问和业务层要求。所有政策的变更应取决于授权。授权应独立于防火墙和网络管理员。防火墙应根据防火墙政策和定期检查而配置。防火墙应记录主要事件。日志应定期检查（如：每周）。,SAS要求 10.计算机和网络管理病毒控制,防病毒客户端应安装在所有易受攻击的系统上。 防病毒客户端应定期以病毒定义更新。 应有识别未更新系统的机制。 应定义现场的防病毒边界。所有收到的数据（包括应用软件）应扫描病毒，包括：Email Direct data transfer (e.g. FTP) 直接数据传输 Physical media (e.g. CD/DVD-ROM, floppy disc, USB memory key) 物理媒体,SAS要求 10.计算机和网络管理系统备份,应定期进行关键业务数据的备份复制。备份应保存以保证保密性和可用性。 应根据数据的重要性定义备份频率和保留期。 用于备份的存储媒体应与系统本身分开存储。备份现场应与服务器室分开。应考虑备份的场外存储。 应定期（一般一年一次或两次）检查从备份恢复数据的程序。 并且能恢复产品的正确状态。,SAS要求 10.计算机和网络管理其它,应保持对安全事件的审计跟踪并且建立监控使用的程序。 应记录安全网络上的系统和应用安全相关事件，包括：成功和不成功的登陆尝试、退出、密码变更、超许可尝试、审计日志变更 审计日志应定期检查以识别可疑的行为。 安全网络上的特别应用（如数据处理、个人化）应全面记录所有与GSM生产相关的事件 自动终端应有超时限制以防止未授权的使用，超时配置应由管理员控制。应防止用户修改超时设置 系统的安全要求应在采购初期确定，当获得他们的时候应考虑这些因素。,SAS要求 10