信息系统安全定期分析记录表

.乌拉多中旗人民医院信息系统安全定期分析记录表(安全技术措施)分析时间分析师分类检查项目安全标准是否符合安全标准。备注物理安全物理位置的选择机械室和事务所必须选择具有防震、防风、避雨等能力的建筑物内。物理访问控制机械室出入口必须配备专家，控制、鉴别、记录进入的人员需要进入机房的访问者必须经过申请和批准程序，限制和监视活动范围防盗和破坏防止主要设备必须设置在机械室必须固定设备或主要零件，设置明显不易去除的标志通信电缆可以铺设在隐藏的地方，地下和管道上支持媒体分类显示，存储在媒体库或档案室主机房必须设置必要的防盗警报设施防止雷击机房的建筑要设置防雷装置机械室必须设置交流电源的地线防火机械室必须设置消防设备和火灾自动报警系统防水和防潮水管的设置，不得从机械室的屋顶和可动地板下穿过必须采取措施防止雨水通过机械室的窗户、屋顶和墙壁渗透必须采取措施防止机械室内水蒸气结露和地下积水的转移和渗透防静电重要设备必须采用必要的接地防静电措施温湿度控制机械室必须设置温度、湿度自动调节设施，使机械室的温度、湿度的变化在设备运行的允许范围内。供电请在机械室的电源线上配置调节器和过电压防护设备提供短期的备用电力供给，至少应该满足重要设备停电时的正常运行要求电磁防护敷设电源线和通信电缆时，请隔离，以免相互干扰网络安全结构安全应该保证重要网络设备业务处理能力充裕，满足业务高峰需求必须确保接入网和核心网的带宽满足商业峰值的需要。的。必须绘制符合目前执行情况的网络拓扑图。应该根据各部门的工作功能、重要性和相关信息的重要性等因素，划分不同的子网和分段，以容易管理和控制的原则为各子网、分段分配地址。访问控制必须在网络边界上放置访问控制设备，并启用访问控制功能根据会话状态信息，提供对数据流的明确访问授权/拒绝能力并可以将粒度控制到网络段级。根据用户和系统之间的访问权限规则，决定用户允许或拒绝对受管理系统的资源访问，并控制各个用户的粒度您必须限制有拨号访问权限的用户的数量。安全审计。记录网络系统中网络设备的运行状况、网络通信量、用户的行为等审计记录必须包含事件日期和时间、用户、事件类型、事件是否成功以及与审计相关的其他信息。边界完整性检查可以检查内部网络中出现的内部用户不允许擅自连接到外部网络的行为。防止入侵在网络边界上，需要监视端口扫描、强力攻击、特洛伊木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP片段攻击、蠕虫攻击等攻击行为网络设备的保护您必须对登录到网络设备的用户进行认证。在对网络设备进行远程管理的情况下，必须采取必要的措施以防止认证信息在网络传输期间被窃听。身份认证信息应该具有不易被滥用的特征，密码需要复杂定期交换您必须限制网络设备的管理员登录地址.网络设备上的用户的身份必须是唯一的应该具有登录失败处理功能，可以结束会话，限制非法登录次数，并可以采取在网络登录连接超时时自动注销等措施主机安全。身份证您必须识别和认证登录到操作系统和数据库系统的用户。请注意操作系统和数据库系统的管理用户的id具有不易被滥用的特征，密码必须复杂且定期交换必须启用登录失败处理功能，可以采取结束会话、限制非法登录次数、自动注销等措施。在远程管理服务器的情况下，必须采取必要的措施来防止在网络传输期间窃听服务器为了确保用户名是唯一的，您必须为每个操作系统和数据库系统用户分配不同的用户名。访问控制您必须启用访问控制功能，以根据安全策略控制对用户资源的访问必须删除多馀的过期帐户，避免共享帐户的存在限制对默认帐户的访问，重新命名系统中的默认帐户，并在这些帐户的必须实现操作系统和数据库系统的权限用户之间的权限分离.安全审计。必须将审计范围限制为服务器上的每个操作系统和数据库用户审计内容必须包括重要的用户行为、系统资源的异常使用、重要的系统指令的使用等，系统内重要的安全相关事件审计记录必须包含事件的日期、时间、类型、对象id、对象id和结果等必须保护审计记录，防止意外删除、修改或垄断等防止入侵操作系统必须遵循最小安装原则，以仅安装必要的组件和应用程序，并设置升级服务器等方式及时更新系统修补程序。恶意代码防止必须安装防恶意软件软件，并及时更新防恶意软件的版本和防恶意软件程序库.com必须支持恶意软件对策软件的集成管理。资源控制必须通过设定终端访问方式、网络地址范围等条件，来限制终端注册您必须根据安全策略为登录终端设置操作超时锁必须限制个别用户的系统资源的最大使用限度或最小使用限度应用安全身份证必须提供登录失败处理功能。 可以结束会话，限制非法登录次数，并采取自动注销等措施启用认证、用户认证唯一性检查、用户认证信息复杂性检查和登录失败处理功能，并根据安全策略配置相关参数。必须提供专用的登录控制模块，以识别和认证登录用户必须提供用户id的唯一性和认证信息的复杂度的检查功能，以确保应用系统中不存在重复的用户id，以及认证信息不易被滥用访问控制必须提供访问控制功能，以根据安全策略控制对用户文件、数据库表等对象的访问权限。必须给予不同账户履行各自责任所需的最小权限，并在它们之间形成相互制约的关系。访问控制策略由被授权的主体组成，必须限制对默认帐户的访问。访问控制的对象范围必须包括与资源访问相关联的主体、对象及其之间的操作安全审计。必须为每个用户提供安全审计功能，并审计应用系统的重要安全事件。必须保证不能删除、修改或复盖审计记录审计记录的内容必须至少包括事件的日期、时间、始发者信息、类型、说明、结果等通信完整性必须采用校验码技术，保证通信中数据的完整性通信的机密性在通信双方建立连接之前，应用系统应该使用加密技术进行会话初始化验证必须加密正在通信的机密信息字段软件的容错性必须提供数据有效性检查功能，以确保通过人机接口输入或通过通信接口输入的数据的格式和长度满足系统的设定要求。以及在发生故障时，应用系统必须继续提供部分功能，以确保实施必要的措施。资源控制如果应用系统通信双方中的一方在一定期间内没有应答，则另一方无法自动结束会话您必须能够限制一个帐户的多个并发会话您必须可以限制应用程序系统的最大并发会话连接数数据安