第一章 总则

第一条 为了规范重庆师范大学（以下简称“学校”）的业务系统应用层网络安全工作，特制定本办法。

第二条 本办法适用于学校网络安全管理范围内的业务系统应用层网络安全工作。

第二章 职责与权限

第三条 信息技术中心

（一）全面负责本单位系统安全管理工作。综合协调相关部门完成系统安全规划、建设、维护、保障工作；

（二）落实国家及市政府有关系统安全法规、方针、政策、标准和规范，联系上级主管部门并落实系统安全管理相关工作；

（三）组织制定安全管理规章制度和标准规范；

（四）指导、协调和检查学校其他二级单位系统安全工作，组织落实系统筹级保护制度，统筹开展系统风险评估和安全检查工作；

（五）在应急体系框架内，负责系统应急管理相关工作；

（六）负责系统一般事故的调查和处理，协助系统重大事故的调查和处理。

第四条 应用管理员

（一）主要负责在应用系统的日常运行维护中落实应用安全要求；

（二）配合安全人员进行应用系统安全评估或安全审计工作；

（三）在限定的时间内安排完成应用系统的安全整改。

第三章 应用系统安全管理规定

第一节 应用系统安全管理基本需求

第五条 应用系统的安全管理基本需求应包括如下方面：

（一）应用系统应满足系统对于身份认证的需求，应明确提出用户身份认证体系的强度，认证失败后的处置方式；

（二）应用系统应包含用户权限分配和管理功能，应根据系统所处理的业务数据的保密性和完整性要求，确定系统采用的用户权限访问控制模型和权限的划分，避免权限的过分集中与分散；

（三）应用系统应从数据的可用性角度出发，明确考虑数据安全和冗余恢复相关功能；

（四）应用系统应包括安全审计功能，应明确对于日志内容的要求；

（五）应用系统应当设计基本的数据安全保护功能，包括以下内容：包括数据采集、数据传输、数据处理、数据存储、数据备份和恢复的安全。对重要的、敏感数据应当进行加密和完整性保护；

（六）应用系统所在的终端与服务器端之间的或程序模块之间的通信应有明确而严格的安全保密机制。

第二节应用系统的系统安全管理要求

第六条 认证

（一）应用系统应该根据应用程序采用合适的认证方式，对于安全要求较低的系统可以采取传统的用户名、密码认证方式，对于安全要求较高的应用系统应该采取安全性更高的认证方式，例如：指纹认证、智能卡、双因子认证等。

（二）应用系统基于口令认证应符合如下要求:

1.实际使用的口令应不低于8位字母数字组合的口令强度；

2.用户口令不能明文存放。必须采用较强的密码算法对用户口令进行加密。比如类似MD5这样的不可逆算法。

（三）认证失败后的处理方式设计：

1.连续失败登录后锁定账号，锁定后可以由系统管理员解锁，也可以在一段时间后自动解锁；

2.通知用户认证失败，防止黑客暴力猜测。

（四）对重要的交互信息，应采取抗抵赖技术，包括但不限于数字签名技术。

（五）数据处理的中间过程和中间结果不能暴露给第三方。

第七条 授权

（一）对于重要的功能和敏感的数据，能提供数据敏感的授权，限制用户只能在限定的数据集上执行被授权的操作。

（二）应用系统中的所有角色、权限、处理的数据对象和操作类型有明确的描述、敏感度标识和分配策略。

（三）应用系统实现严格的分级授权机制，特定权限的用户只能看到和使用特定的界面和相应的功能。

（四）对应用系统维护等人员，根据其岗位和职责设置其操作级别和使用权限，并通过应用系统对其操作日志进行记录。

第八条 审计

应用系统应该具有完善的日志功能，能够记录系统异常情况及其他安全事件。审计日志应保留规定的时长，以便支持日后的事件调查和访问控制监控。审计日志应包括以下内容：

（一）用户创建、删除等操作。

（二）登录和退出的日期和具体时间。

（三）成功的和被拒绝的系统访问活动记录。

（四）成功的和被拒绝的管理操作记录。

（五）应对系统数据库的直接访问修改留有系统记录。

（六）如果日志记录的操作过多，和记录的信息过多，有可能对系统的性能产生不利影响。因此应用系统应该提供对于日志的定制功能。比如允许系统管理员按级别设定需记录日志的操作种类和日志信息的详细程度；或者设定为日志记录设定过滤条件。

（七）应用系统应提供对日志的查看功能。在查看中至少要能按时间、操作人、所做的操作对日志进行过滤查询。

（八）在应用系统的设计和实现中必须考虑对日志的备份。

第九条 系统冗余

（一）在应用系统总体结构中，必须考虑重要子系统、部件的备份，避免单故障点。

（二）应根据业务连续性的要求，采用热备份或冷备份的方式。

第三节 应用系统的数据安全管理要求

第十条 数据传输安全

（一）应按照数据的类型、数据的重要程度、网络的安全状况等综合因素，对数据的传输采取不同的安全保护，安全措施包括但不限于防火墙、IDS、VPN、病毒防护。

（二）应了解数据传输存在安全隐患的网络或设备，对存在安全隐患的网络采取必要的安全技术，包括但不限于安全通信协议、加密算法、完整性检查算法以及抗抵赖攻击。

（三）应制定数据传输安全的检查方式，包括但不限于数据传输安全、抗主动攻击能力检查、被动攻击的能力检查。

（四）应保障“数据传输安全”有关的重要配置参数安全，包括但不限于口令、加/解密算法、加/解密密钥。

（五）应采用安全通信协议对数据进行安全传输，如使用SSL/TLS、HTTPS、SFTP和IPSec等安全协议进行通信。

（六）对传输的数据进行不同等级的加密保护，即根据网络或设备的风险、传输内容安全要求的不同，选择不同安全强度的加密算法对信息进行加密传输。建议使用RSA等高强度的密码算法对非常重要的信息（如口令、加密密钥）进行加密传输；对于普通数据的传输，可以采用DES、3DES等加密算法进行加密传输。

（七）应防止对所传输数据进行未经授权的任何形式的修改，即对业务的重要数据或敏感数据，建议使用MD5、SHA等算法对数据完整性进行保护。

（八）为了配合网络其它安全设备，建议采用基于用户名/口令的认证技术、VLAN技术、MPLS技术等安全技术手段。

第十一条 数据存储、备份和恢复安全

（一）数据加密安全要求

1.对于重要而敏感的数据，在存储和传送时应考虑进行加密。

2.对于需频繁访问的数据，存储时的加密有可能影响访问性能。此时需综合考虑数据保密性的重要程度、对性能的要求、面临的风险选择是否加密，以及合适的加密算法。

3.无论是存储数据的加密，还是网络通信时的加密，密钥的管理都非常重要。应用系统必须考虑对密钥的妥善管理。

（二）数据备份安全要求

数据备份方式是数据保护的一种重要手段，功能完善、使用灵活的备份软件是数据备份的重要内容。备份软件应当具有以下功能：

1.保证备份数据的完整性，并具有对备份介质的管理能力。

2.支持多种备份方式。

3.具有相应的功能或工具进行设备管理、介质管理。

4.支持多种校验手段，以确保备份的正确性。

（三）数据恢复安全要求

应用恢复操作通常可以分为两类。第一类是完全备份恢复，第二类是个别文件恢复，还有种重要的恢复操作是“重定向恢复”。

1.完全恢复：完全恢复在应用事件发生之后，或进行系统升级、重组及合并时。完全恢复是将存储在介质上的给定系统的数据完全转储到原来的地方。

2.个别文件恢复：只需浏览备份数据库或目录，找到该文件，然后执行一次恢复操作就可以完成。

3.重定向恢复：重定向恢复是将备份的文件恢复到另一个不同的位置或系统上去，而不是备份操作时它们当时所在的位置。重定向恢复可以是完全恢复，也可以是个别文件恢复。

第四章 应用系统安全技术规范

第一节 应用系统身份鉴别

第十二条 应用系统身份鉴别应满足如下要求：

（一）应提供专用的登录控制模块对登录用户进行身份标识和鉴别；

（二）应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别，其中一种是不可伪造的；

（三）应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；

（四）应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；

（五）应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。

第二节 应用系统版本补丁

第十三条 应用系统必须建立一套有效的补丁管理机制，要求如下：

（一）补丁版本记录：每次发布应用系统补丁前，应当对补丁的版本、优先级、发布日期、修复BUG列表等信息进行详细记录；

（二）补丁发布流程：每次发布应用系统补丁时，应当严格遵守发布流程，防止因人为失误导致发布错误的补丁；

（三）补丁回退机制：每次发布应用系统补丁前，应当建立并测试补丁回退机制，防止安装补丁后出现故障导致业务系统中断。

第三节 应用系统口令管理

第十四条 应用系统安全的一个重要方面是对有管理权限访问应用系统的用户和组进行管理，应用系统口令应满足如下的要求：

（一）具有账户基础操作功能，例如增加账号、修改账号信息、删除账号、暂停账号；

（二）账号属性自定义，支持账号组；

（三）结合管理策略，可以对账号口令、登录策略等进行控制；

（四）应采用合适的安全措施，严格进行应用系统口令的保存；

（五）应用系统用户对系统文件的访问权限，应该进行严格的限制。

第四节 应用系统访问控制

第十五条 应用系统访问控制方面应当满足如下要求：

（一）应提供自主访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；

（二）自主访问控制的覆盖范围应包括与网络安全直接相关的主体、客体及它们之间的操作；

（三）应由授权主体配置访问控制策略，并禁止默认账户的访问；

（四）应授予不同账户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系；

（五）应通过比较安全标记来确定是授予还是拒绝主体对客体的访问。

第五章 附则

第十六条 本办法由信息化建设与管理办公室制定，并负责解释和修订。

第十七条 本办法自发布之日起执行。

第十八条 本办法未尽事宜，依照法律法规和上级文件要求确立的原则处理。