數(shù)據(jù)安全管理規(guī)范 2合用范圍3數(shù)據(jù)庫安全3.1身份鑒別1)應(yīng)對數(shù)據(jù)庫系統(tǒng)中的用戶進(jìn)行標(biāo)識，用戶標(biāo)識應(yīng)遵守惟一性原則，并將2)應(yīng)對用戶標(biāo)識信息進(jìn)行管理、維護(hù)，確保其不被非授權(quán)地訪問、修改或者3)應(yīng)在登錄過程中確保鑒別信息是保密的，不易偽造的。3.2訪問控制1)應(yīng)對數(shù)據(jù)庫系統(tǒng)的訪問設(shè)定訪問控制規(guī)則，減少非授權(quán)訪問。2)數(shù)據(jù)庫系統(tǒng)應(yīng)按照最小權(quán)限原則對不同用戶進(jìn)行授權(quán)，保證各用戶權(quán)限3)數(shù)據(jù)庫系統(tǒng)的安裝目錄和文件的訪問權(quán)限應(yīng)進(jìn)行最小化設(shè)置，防止未授1)應(yīng)為數(shù)據(jù)庫系統(tǒng)建立獨(dú)立的日志審計系統(tǒng)，定義與數(shù)據(jù)庫安全相關(guān)的日2)能夠生成、維護(hù)及保護(hù)審計過程，使其免遭修改、非法訪問及破壞。保3.4安全傳輸1)對數(shù)據(jù)庫系統(tǒng)進(jìn)行管理時，應(yīng)采取一定的安全機(jī)制，防止鑒別信息和管2)數(shù)據(jù)庫系統(tǒng)與第三方系統(tǒng)進(jìn)行數(shù)據(jù)交互時，應(yīng)采用加密措施保護(hù)數(shù)據(jù)信3.5資源利用1)應(yīng)對數(shù)據(jù)庫系統(tǒng)的最大并發(fā)會話連接數(shù)進(jìn)行限制，防止受到拒絕服務(wù)攻2)應(yīng)對數(shù)據(jù)庫系統(tǒng)內(nèi)單個帳戶的多重并發(fā)會話進(jìn)行限制，并對會話超時進(jìn)3)應(yīng)對數(shù)據(jù)庫系統(tǒng)資源進(jìn)行監(jiān)視，并對系統(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的3.6安全管理1)設(shè)置數(shù)據(jù)庫系統(tǒng)審計管理員、系統(tǒng)管理員角色、系統(tǒng)安全管理員角色，2)數(shù)據(jù)庫系統(tǒng)應(yīng)定期進(jìn)行系統(tǒng)版本更新和補(bǔ)丁更新。4數(shù)據(jù)加密要求4.1加密技術(shù)選擇1)必須符合國家有關(guān)加密技術(shù)的法律法規(guī)，包括使用和進(jìn)出口限制。2)根據(jù)風(fēng)險評估確定保護(hù)級別，并以此確定加密算法的類型、屬性，以及3)聽取專家的建議，確定合適的保護(hù)級別，選擇能夠提供所需保護(hù)的合適4.2加密管理1)加密策略必須經(jīng)過審核批準(zhǔn)。2)重要信息在傳輸時必須加密。4)數(shù)據(jù)壓縮技術(shù)不得代替安全手段。5數(shù)據(jù)備份恢復(fù)5.1數(shù)據(jù)管理1)應(yīng)設(shè)立數(shù)據(jù)備份與恢復(fù)工作管理崗位。2)數(shù)據(jù)備份與恢復(fù)工作包括制定數(shù)據(jù)備份與恢復(fù)工作規(guī)劃及實(shí)施方案，實(shí)例如全備份、增量備份、差異備份等)、備份技術(shù)、自對核心應(yīng)用系統(tǒng)的數(shù)5.2數(shù)據(jù)備份實(shí)施1)各地應(yīng)根據(jù)實(shí)際情況制定相應(yīng)的數(shù)據(jù)備份實(shí)施方案和操作手冊。2)備份工作要有記錄，記錄要素包括時間、參加人員、系統(tǒng)名稱等。3)對自動備份的系統(tǒng)，應(yīng)對備份任務(wù)執(zhí)行情況進(jìn)行有效監(jiān)控。4)系統(tǒng)重大變更前，應(yīng)對系統(tǒng)進(jìn)行數(shù)據(jù)備份。5)數(shù)據(jù)備份開始前要制定詳細(xì)的計劃、流程和回退方案，以保證業(yè)務(wù)的連6)數(shù)據(jù)備份結(jié)束后，應(yīng)對數(shù)據(jù)備份集的完整性進(jìn)行檢查。7)加強(qiáng)挪移備份介質(zhì)的安全管理，備份完成后，備份介質(zhì)應(yīng)及時歸檔。8)數(shù)據(jù)備份在制作、傳遞、轉(zhuǎn)移過程中，必須建立詳細(xì)的交接登記記錄，9)備份的實(shí)施活動應(yīng)盡量選擇在非工作時間進(jìn)行，以免影響業(yè)務(wù)的正常開5.3數(shù)據(jù)恢復(fù)與演練1)應(yīng)制定數(shù)據(jù)恢復(fù)方案，定期組織評審并結(jié)合實(shí)際環(huán)境持續(xù)改進(jìn)。2)數(shù)據(jù)恢復(fù)方案需經(jīng)主管領(lǐng)導(dǎo)或者運(yùn)行維護(hù)負(fù)責(zé)人批準(zhǔn)后，方可實(shí)施。3)實(shí)施數(shù)據(jù)恢復(fù)時，應(yīng)按照數(shù)據(jù)恢復(fù)方案執(zhí)行，恢復(fù)過程要有記錄，記錄果等。恢復(fù)過程中，要組織相關(guān)人員4)定期(半年或者一年)對備份數(shù)據(jù)在摹擬環(huán)境下進(jìn)行恢復(fù)演練，保證備份5)及時對恢復(fù)演練進(jìn)行總結(jié)，并加以改進(jìn)。5.4備份存儲管理1)備份存儲介質(zhì)應(yīng)按照介質(zhì)中存儲信息的敏感程度進(jìn)行管理，明確責(zé)任人2)備份存儲介質(zhì)應(yīng)存放在安全環(huán)境中，并與原始文件分