質量數據:400-686-4199信息標準化:400-643-4668青青草影片、雲LIMS:400-629-4066

有效防範 規避風險丨宅男福利管理係統應用安全

2019-03-07

隨著信息化建設的集成和共享要求,數據應用環境已經從獨立、封閉轉變為集成、開放共享的平台,如何保證企業數據庫的重要敏感數據不被篡改和泄漏,受到廣泛的高度重視。數據資產作為信息係統的一部分,其安全體係建設在企業信息化過程中已經提到了非常重要的高度,以可靠、有效地保證數據資產安全及數據完整和數據運營效率。

宅男福利安全管理是指為了防止無意、故意甚至惡意對宅男福利進行非授權的訪問、瀏覽、修改或刪除而製定的規範及準則,主要通過宅男福利分級、用戶級別及權限的定義來進行宅男福利安全的管理。通過宅男福利安全體係的建設增強信息安全風險防範能力,有效地防範和化解風險,保證業務持續開展,滿足內控和外部法律、法規的要求。安全體係包含安全策略、安全組織、安全技術和安全建設與運行四部分。各部分主要建設內容包括。

安全策略

建立宅男福利安全策略框架,製定宅男福利的分級規範和相應的安全保護標準,製定完善的安全策略、安全管理製度、安全技術規範、操作流程、操作規範,初步形成比較完整的策略體係,並建立策略體係動態維護機製。

安全組織

建立宅男福利安全組織,依據安全崗位的不相容原則,落實崗位職責,建立安全考核機製。配合宅男福利管理係統的建設和運行,加強對員工的安全教育和技能培訓。

安全技術

提升和完善用戶身份認證、傳輸安全、接口安全等能力,通過日誌審計和應用審計,逐步形成完善的安全技術體係。

安全建設與運行

進行定期安全風險評估的機製和應急響應機製,保證信息係統的安全性。

宅男福利管理係統的安全應當從係統研發、身份鑒別、訪問控製、流程安全、異常處理、備份與故障恢複、密碼安全、輸入輸出合法性、安全審計、數據安全性等多個方麵去評價,發現應用程序在設計、運營和管理方麵存在的安全風險,確保應用係統自身的安全。在宅男福利錄入、數據處理、數據集成和交互的各階段,嚴格遵循宅男福利安全控製策略,實現全麵的宅男福利防護。安全技術主要包括身份認證、內容安全、訪問控製、集成安全、日誌管理、安全恢複等方麵。為保證係統應用的安全以及數據的完整性,上述安全技術需要提供以下功能:

1、隻有授權的用戶才能執行合法操作,訪問合法數據。

2、對用戶的重要操作提供審計和跟蹤功能,並顯示操作用戶信息。

3、係統所有功能信息都要按照崗位、角色的分工進行授權使用。

4、係統的各類信息應按照用戶的工作分工進行授權查看或編輯。

5、係統對所有重要的操作必須提供完備的日誌記錄,可以根據需要靈活調整係統日誌記錄級別;係統日誌支持 syslog協議和FTP協議,以遠程保存係統日誌。

6、係統需對所有功能和數據權限進行控製,係統管理員可以根據單位的實際情況設置和分配角色,杜絕越權操作,同時係統支持分級的權限控製。

7、宅男福利管理係統用戶認證支持第三方 LDAP,用戶賬號認證支持CA證書方式,並根據需要完成用戶認證方式的定製。

8、在係統登錄與用戶安全方麵提供雙因素認證令牌、 USB KEY集成、CA數字證書、WINDOWS AD域認證、密碼加密設定等多種可選擇的增強安全的策略,實現係統高安全性與高可靠性。

9、平台提供了穩定可靠的安全框架管理訪問和網絡通信,實現企業數據的安全性和完整性,提供高度的安全保障和高效網絡性能。

微信圖片_20190307154138.jpg

為了便於係統的維護、優化和調整,可以通過調整係統運行中的參數,如最大統計記錄條數等,在係統集成、業務處理等方麵靈活地對係統中各項運行參數、控製參數、操作方式進行設定,保障係統的高可靠運行。

宅男福利管理係統還可以實現對用戶、角色分類,分級的授權管理,控製用戶能夠按權限訪問數據,加強用戶身份安全管理。具體來說,係統支持對用戶和角色進行分級授權:控製用戶僅能訪問權限內的數據;支持用戶強密碼策略和規範;支持用戶身份的第三方驗證;支持用戶身份 USB KEY安全訪問控製;支持用戶登錄、用戶操作、係統錯誤、係統刪除等日誌。

在權限管理中,角色是一個非常重要的概念,不同的角色分配若幹功能,通過將角色與人員進行關聯實現人員的權限設置。擁有某角色的人,擁有該角色所包含的所有功能權限。此外,為了實現功能操作範圍的控製,還引入了機構範圍的概念。機構範圍實際上就是組織機構的集合。在人員與角色相關聯的同時,還將與機構範圍相關聯,人員隻有在某機構範圍內才擁有相應的角色。

微信圖片_20190307154130.jpg

一個角色可以分配多個功能,一個功能可以分配在多個角色中。一個角色可以包含多個人員,一個人員可以屬於多個角色。一個角色可以對應多個機構範圍。

係統通過功能樹實現權限的判斷。用戶在登錄係統時,係統根據其角色獲取用戶所擁有的所有功能權限以及與角色相關聯的機構範圍,並將功能權限組織為樹型結構。當用戶執行某操作時,係統首先判斷機構範圍,然後在功能樹中查找該操作,根據查找結果決定用戶是否擁有該操作的權限。