2015年11月27日,河南省行政审批政务信息管理局起草了《非涉密政务信息系统开发安全管理指南(征求意见稿)》(点击阅读原文查看),面向社会公开征求意见。
《征求意见稿》提出,非涉密政务信息系统(以下简称“政务信息系统”)开发时,应当将安全工作贯穿于系统开发全生命周期,明确安全管理职责,坚持同步规划、同步设计、同步建设、同步验收、同步使用原则,制定相应安全防护措施,严禁未经安全检测、不符合安全要求的政务信息系统“带病运行”。涉及工作秘密的政务信息系统开发应当符合相关安全保密管理规定。
《征求意见稿》提出,建设单位要制定商用密码应用方案并进行安全性评估,评估未通过不得作为商用密码保障系统的建设依据。未通过商用密码应用安全性评估的,应当进行改造,改造期间不得上线运行。设计单位则需在方案中明确密码应用安全保障体系,采用符合国家密码管理要求的商用密码算法、产品和服务,设计密钥安全管理方案,密钥应当与业务数据分离存储,明确密钥定期更换机制和严格的访问控制策略。
《征求意见稿》要求建设单位应当按照数据分类分级保护要求,编制核心数据、重要数据、一般数据目录,明确数据分类分级保护和容灾备份需求。设计单位要在安全设计方案中明确数据安全架构设计,制定数据差异化保护措施,明确不同级别数据的加密传输、加密存储及访问控制策略;要设计数据脱敏技术方案,防范因数据汇聚、关联分析引发的泄密风险;明确输入数据的过滤策略和有效性验证规则,用户输入需要进行合法性校验,文件上传功能应当限制文件类型、大小,文件下载应当进行病毒扫描;不得直接输出未经脱敏处理的敏感信息,错误提示信息应当经过安全处理,不得包含政务信息系统内部技术细节。
推荐站内搜索:最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……




还没有评论,来说两句吧...