在对应用系统进行等级测评时，一般先对系统管理员进行访谈，了解应用系统的状况，然后对应用系统和文档等进行检查，查看其内容是否与管理员访谈的结果一致，最后对主要的应用系统进行抽查和测试，验证系统提供的功能，并可配合渗透测试检查系统提供的安全功能是否被旁路。
主要控制点的要求如下：
1. 身份鉴别
应用系统需对登录的用户进行身份鉴别，以防止非授权用户访问。
2. 访问控制
在应用系统中实施访问控制的目的是保证应用系统受控、合法地被使用。用户只能根据自己的权限来访问应用系统，不得越权访问。
3. 安全审计
对应用系统进行安全审计的目的是保持对应用系统的运行情况及用户行为的跟踪，以便事后进行追踪和分析。应用系统安全审计主要涉及用户登录情况、管理用户的操作行为、关键的业务操作行为、系统功能执行情况、系统资源使用情况等。
4. 入侵防范
在《基本要求》中，基于应用系统的入侵防范主要体现在数据有效性验证和软件自身漏洞发现两个方面。
5. 数据备份恢复
应提供主要数据处理系统的热冗余，保证系统的高可用性。
6. 剩余信息保护
为保证存储在硬盘、内存或缓冲区的信息不被非授权访问，应用系统应对这些信息加以保护。对于用户的鉴别信息、文件、目录等资源所在的存储空间，在将其内容完全清除之后，才能释放或重新分配给其他用户。
7. 个人信息保护
为了加强对个人信息的保护，《基本要求》对个人信息的采集、存储和使用提出了强制保护要求。应仅采集和保存业务必需的用户个人信息。应禁止未授权访问和非法使用用户个人信息。
共有条留言 用户留言