信息安全操作系统及数据库配置建议
(完整)信息系统运维方案
(完整)信息系统运维方案信息系统运维方案概述：信息系统是现代企业运营中不可或缺的一部分，为了保证信息系统的正常运行和稳定性，需要制定一套完善的信息系统运维方案。
本文将从硬件设备维护、软件维护和安全保障三个方面进行论述，旨在为企业提供指导，保证信息系统的高效运行。
一、硬件设备维护：硬件设备是信息系统正常运行的基础，保持硬件设备的健康运转至关重要。
为此，我们建议采取以下措施：1. 定期巡检和清洁：定期对服务器、网络设备等关键设备进行巡检，确保不同设备的工作状态正常。
同时，进行清洁工作，保持设备的良好通风环境，防止灰尘或其他杂质造成设备故障。
2. 定期备份数据：确保重要数据的安全性，需要定期进行数据备份。
采用多级备份方案，包括本地备份和云备份，以防止数据丢失或损坏。
3. 定期更新设备和驱动程序：随着技术的不断升级，设备和驱动程序也需要进行更新以保持与最新软件的兼容性。
定期检查硬件设备和驱动程序的更新情况，并及时使用最新版本。
二、软件维护：软件是信息系统的核心部分，随着业务的变化和演进，软件也需要不断更新和维护。
以下是一些常见的软件维护措施：1. 定期更新操作系统和软件：确保操作系统和相关软件是最新版本，以便及时修复安全漏洞和提高性能。
2. 定期优化数据库：数据库是信息系统中存储和管理数据的关键部分，需要定期进行数据库优化以提高系统性能和响应速度。
3. 配置文件管理：确保配置文件的正确性和安全性，防止未经授权的修改或访问。
4. 定期检查软件许可证和授权情况：确保软件的合法使用，防止因软件授权问题造成的法律风险。
三、安全保障：信息系统的安全是企业运营中的头等大事，确保信息的机密性、完整性和可用性对企业的发展至关重要。
以下是一些常见的安全保障措施：1. 网络安全：建立防火墙和入侵检测系统，监控网络流量，并及时发现和阻止潜在的安全威胁。
2. 数据加密：对敏感数据进行加密，防止数据泄露。
3. 访问控制：禁止未经授权的人员访问信息系统，并建立权限管理机制，确保不同用户只能访问其授权范围内的数据和功能。
信息安全技术数据库管理系统安全技术要求
信息安全技术数据库管理系统安全技术要求信息安全技术数据库管理系统安全技术要求1.引言本文档旨在确保信息安全技术数据库管理系统的安全性，保护数据库系统中的数据免受未经授权的访问、修改、泄露和破坏。
该系统用于存储和管理敏感信息和机密数据，因此需要严格的安全措施来保护其完整性和可信度。
2.范围该文档适用于信息安全技术数据库管理系统及其相关组件和设备，包括但不限于服务器、数据库软件、网络设备和存储设备等。
3.安全策略3.1 访问控制3.1.1 用户身份验证要求所有用户在访问系统前进行身份验证，采用强密码策略，并建议定期更换密码。
用户应仅获得所需权限，不得拥有超出其职责范围的权限。
3.1.2 多因素认证建议在用户身份验证中采用多因素认证，如使用密码配合生物特征识别、令牌和证书等。
3.1.3 访问授权用户应按照其职责和工作需求获得适当的访问权限。
不同层级的管理员应具有不同级别的权限，以控制其对系统的管理和配置。
3.2 数据保护3.2.1 数据加密对敏感和机密数据进行适当的加密，包括数据传输过程中和数据存储时的加密保护。
3.2.2 数据备份与恢复定期备份数据库中的数据，并确保备份数据的可用性和完整性。
测试备份和恢复过程，以验证其有效性。
3.2.3 数据传输安全要求在数据传输过程中使用安全的通信协议和加密技术，以防止数据被窃听、篡改或伪造。
3.3 系统安全3.3.1 操作系统安全确保操作系统的安全性和稳定性，包括及时安装补丁、限制操作系统权限和禁用不必要的服务和功能等。
3.3.2 应用程序安全对数据库管理系统及相关应用程序进行安全配置和安全测试，以防止应用程序漏洞被利用。
3.3.3 安全审计与监控建立日志记录和审计机制，记录用户访问、操作和系统事件。
监控系统的可疑活动，并及时报告、调查和采取相应的应对措施。
4.附件本文档附带以下附件：- 数据库管理系统安全配置指南- 用户权限分配表- 系统备份和恢复计划5.法律名词及注释- 信息安全法：指中华人民共和国于2016年6月1日实施的《中华人民共和国网络安全法》。
M2-S5100数据库T系统安全、合规、审计、监控解决方案建议书
4 地址：深圳市高新技术产业园高新南六道迈科龙大厦 Tel:0755-61688881 FAX:0755-61688111
M2-S5100 数据及数据库统一安全解决方案
1.4.该解决方案的价值
保护您的数据库及核心数据资产，提升核心竞争力； 提高对数据库访问的可控度，保证数据资源按企业规章使用； 帮助您满足合规/审计的要求； 简化您应对合规/审计的工作。
如果有人问您： “谁在什么时候以什么方式访问过数据库里什么 样的数据？”您能迅速的回答出来吗？甚至您可能不能回答这个问 题，说明您目前也不能确保数据库的安全性。 数据，作为政府及企业核心资产，越来越受到关注，一旦发生非 法访问、数据篡改、数据盗取，将给政府及企业带来声誉及经济上的 巨大损失。数据库作为数据的核心载体，是整个安全的核心。 目前数据及数据库的安全常常遇到以下主要威胁： （1）数据资源及数据库被过度滥用、恶意访问、内外部攻击、 甚至遭遇数据偷窃，不能及时地发现这些恶意的操作； （2）无有效的技术和管理手段，数据资源拥有者无从掌握数据 使用者对数据的访问细节，从而无法保证您数据安全的管理； （3）关键敏感的数据在什么地方？谁在使用这些数据？您并不 知道类似 “5W” — “谁 （Who） 用什么方法 （What） 在什么地方 （Where） ， 什么时间（When） ，对你的数据做了什么 (How)。 ”的问题。 （4）当数据库正在遭受恶意访问或攻击时，您不能及时地追踪 并拦截这些恶意操作； （5）数据库遭受恶意攻击、访问后，您不能追踪到足够的证据； （6）来自内部的威胁，特权用户（DBA、数据库维护人员、外保 人员）修改配置、改变或偷窃数据，没有明确的职责分工。
数据库主动安全、合规、审计、监控 解决方案建议书
M2-S5100 数据库系统安全网关
信息安全概论-6 操作系统和数据库安全
6.1.3操作系统安全的基本原理
• 操作系统的安全取决于安全功能在系统中 实现的完整性、系统文档的清晰性、系统 测试的完备性以及形式化验证程度。操作 系统可以分成内核部分和应用部分，在操 作系统内核中存在错误或设计缺陷的情况 下，即使在应用部分采用必要的安全机制 也不能保证系统具有满意的安全性。
• 可信计算机系统评价标准(Trusted Computer System Evaluation Criteria, TCSEC)于1983年由美国国防部 发布，是计算机系统安全评价的第一个正 式标准。1985年美国国防部又发布了其修 订版，从而成为公认的计算机系统安全级 别的划分标准。
5
• TCSEC主要在客体标识、主体标识、安全 策略、审计、保证以及连续保护等六个方 面提出了规范性的安全要求。
制、可信通路机制、隐通道的分析与处理以及安
全审计机制等。
17
6.1.4.1硬件系统安全机制
• 硬件是最底层，操作系统运行在硬件之上 ，要保证操作系统的安全性，必然要保证 硬件层操作的安全性。因此，硬件层必须 提供可靠的、高效的硬件操作。下面介绍 三种基本的硬件安全机制，它们分别是内 存保护、运行域保护和I/O保护。
图 6-2 系统资源的受控共享
13
引用监视器与安全核
引用监视器的思想是为了解决用户程序的运行控制 问题而引入的，其目的是在用户(程序)与系统资源 之间实施种授权的访问关系。 JP.Anderson把引用 监视器的职能定义为:以主体(用户等)所获得的引用 权限为基准，验证运行中的程序(对程序、数据、设 备等)的所有引用。引用监视器是在“程序运行控制 ”的位置上发挥作用的。
11
用户软件
可信软件
安全核
底层硬件
论述信息资源优化配置目标实施的对策
论述信息资源优化配置目标实施的对策信息资源优化配置是指有效利用企业的信息资源，提高信息系统和网络的性能和效率，实现信息资源的最优配置。
其目标是提高信息系统的稳定性、可用性和可靠性，保障信息的安全性，提高信息服务的质量和效率。
为实施信息资源优化配置目标，可以采取以下对策：1. 确定信息资源优化配置目标：明确信息资源优化配置目标，包括提高系统性能、提高服务质量、提高信息安全等方面的目标，为后续对策制定提供指导。
2. 优化硬件设备配置：对企业的服务器、网络设备等硬件设备进行优化配置，提高设备的性能和响应速度，确保系统的稳定性和可靠性。
例如，可以选择高性能的服务器、网络设备和存储设备，提高系统的处理能力和数据传输速度。
3. 优化软件系统配置：对企业的操作系统、数据库管理系统、应用软件等进行优化配置，提高系统的运行效率和数据处理能力。
例如，可以设置系统的缓存机制、调整数据库的索引和查询优化等，减少系统的响应时间和资源占用。
4. 加强信息安全管理：建立完善的信息安全管理制度和安全策略，保障企业的信息安全。
例如，可以加强网络防火墙的设置，限制网络访问权限，加密重要信息的传输和存储，定期进行安全漏洞扫描和修补等，防止信息资源被非法访问、篡改或泄露。
5. 提供优质的信息服务：加强对用户的需求分析和信息服务管理，提供个性化、高效率的信息服务。
例如，可以使用智能推荐、信息过滤和搜索等技术，根据用户的偏好和需求，推送相关的信息资源，提高信息服务的质量和效率。
6. 进行监测和优化：建立信息资源优化配置的监测和评估机制，定期对系统性能、服务质量和安全性进行监测和评估，及时发现问题和优化配置。
例如，可以使用性能监测工具和安全审计系统，收集系统的运行数据和安全事件，及时处理和优化。
综上所述，实施信息资源优化配置需要综合考虑硬件设备和软件系统的优化配置、信息安全、信息服务和监测优化等方面的对策，以实现信息资源的最优配置。
信息安全配置基线(整理)
Win2003 & 2008操作系统安全配置要求2、1、帐户口令安全帐户分配:应为不同用户分配不同的帐户,不允许不同用户间共享同一帐户。
帐户锁定:应删除或锁定过期帐户、无用帐户。
用户访问权限指派:应只允许指定授权帐户对主机进行远程访问。
帐户权限最小化:应根据实际需要为各个帐户分配最小权限。
默认帐户管理:应对Administrator帐户重命名,并禁用Guest(来宾)帐户。
口令长度及复杂度:应要求操作系统帐户口令长度至少为8位,且应为数字、字母与特殊符号中至少2类的组合。
口令最长使用期限:应设置口令的最长使用期限小于90天。
口令历史有效次数:应配置操作系统用户不能重复使用最近 5 次(含 5 次)已使用过的口令。
口令锁定策略:应配置当用户连续认证失败次数为5次,锁定该帐户30分钟。
2、2、服务及授权安全服务开启最小化:应关闭不必要的服务。
SNMP服务接受团体名称设置:应设置SNMP接受团体名称不为public或弱字符串。
系统时间同步:应确保系统时间与NTP服务器同步。
DNS服务指向:应配置系统DNS指向企业内部DNS服务器。
2、3、补丁安全系统版本:应确保操作系统版本更新至最新。
补丁更新:应在确保业务不受影响的情况下及时更新操作系统补丁。
2、4、日志审计日志审核策略设置:应合理配置系统日志审核策略。
日志存储规则设置:应设置日志存储规则,保证足够的日志存储空间。
日志存储路径:应更改日志默认存放路径。
日志定期备份:应定期对系统日志进行备份。
2、5、系统防火墙:应启用系统自带防火墙,并根据业务需要限定允许通讯的应用程序或端口。
2、6、防病毒软件:应安装由总部统一部署的防病毒软件,并及时更新。
2、7、关闭自动播放功能:应关闭Windows 自动播放功能。
2、8、共享文件夹删除本地默认共享:应关闭Windows本地默认共享。
共享文件权限限制:应设置共享文件夹的访问权限,仅允许授权的帐户共享此文件夹。
CIS数据库配置
CIS数据库配置配置信息安全（CIS）数据库是一个强大的工具，用于管理和保护企业的数据。
它提供了对数据的集中存储和管理，同时确保对数据的访问具有高度的安全性和保密性。
在本文中，将介绍配置CIS数据库的步骤和要考虑的一些关键因素。
第一步是选择适当的数据库管理系统（ DBMS）。
推荐使用市场上常见且受广泛认可的DBMS，如Oracle、MySQL或Microsoft（SQL（Server。
选择一个稳定、可靠且易于使用的DBMS非常重要，因为它将成为您所有数据的基础。
接下来，要为CIS数据库选择一个合适的服务器。
服务器应具有足够的存储空间和处理能力来满足您企业的需求。
此外，确保服务器具有良好的可靠性和安全性功能，以避免数据丢失和未经授权的访问。
在安装数据库软件后，您需要进行一些配置设置。
首先，要设置数据库的名称和凭据，以确保只有授权的人员可以访问该数据库。
建议使用强密码，并定期更改密码以保持数据的安全性。
接下来，要确定数据库的备份和恢复策略。
这是非常关键的，因为在发生故障或数据损坏时，能够快速恢复数据至关重要。
定期进行数据库备份，并将备份文件存储在安全的地方，以确保在需要时可以轻松地进行恢复操作。
此外，还应该启用数据库的日志功能。
日志记录了对数据库的任何更改，包括删除、插入或更新操作。
这将有助于跟踪数据库的活动，并帮助发现潜在的问题或安全威胁。
最后，要定期对数据库进行性能优化和维护。
这包括索引的创建和更新、数据清理和垃圾收集等。
通过定期对数据库进行维护，可以提高性能，并确保数据的准确性和一致性。
在配置CIS数据库时，确保遵循最佳实践和安全策略。
为数据设置适当的访问权限，并对敏感数据进行加密和保护。
定期监测和审计数据库的活动，并及时采取行动来处理任何异常情况。
总结起来，配置CIS数据库需要选择适当的DBMS和服务器，设置数据库的凭据和备份策略，启用日志功能，并定期进行维护和优化。
通过遵循最佳实践和安全策略，可以确保数据库的安全性和数据的完整性。
信息化运维建议或意见
信息化运维建议与意见
一、基础设施维护
1.定期检查硬件设备，确保其正常运行，如服务器、路由器、交换机等。
2.对网络设备进行定期维护，包括清洁设备表面、检查连接线等。
3.定期对基础设施进行安全检查，确保没有安全隐患。
二、系统安全加固
1.及时更新操作系统、数据库等基础软件的安全补丁。
2.配置合理的系统权限，避免权限提升和滥用。
3.加强病毒防范，定期进行病毒库升级。
三、数据备份与恢复
1.建立完善的数据备份机制，确保数据安全。
2.定期测试备份数据，确保其可用性。
3.在关键业务中断时，能够快速恢复数据和系统。
四、应用系统优化
1.对应用系统进行定期性能监控，发现瓶颈并进行优化。
2.优化数据库查询，提高数据访问速度。
3.调整应用系统参数，提高系统运行效率。
五、用户支持与培训
1.提供良好的用户支持，及时解决用户使用问题。
2.对用户进行必要的培训，提高其操作技能和安全意识。
3.收集用户反馈，持续改进产品和服务。
六、故障应急处理
1.建立完善的故障应急处理机制，确保业务连续性。
2.在故障发生时，能够快速定位并解决问题。
3.对故障进行总结分析，避免类似问题再次发生。
七、运维管理提升
1.制定完善的运维管理制度，规范运维流程。
2.提高运维人员技能水平，加强团队建设。
3.引入先进的运维管理工具，提高运维效率和质量。
八、技术更新与升级
1.关注行业发展趋势，及时了解新技术和新产品。
2.根据业务需求和技术发展，制定技术更新与升级计划。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1.网络安全篇1.1.目的通过针对网络安全相应技术标准，规范的定义，以能够配合相关管理办法，进一步指导太保在技术层面实现合理的网络安全的实现和部署，达到网络层面的安全防护能力。
1.2.网络安全技术标准1.2.1.网络结构安全及网络设备通用安全配置标准1.2.1.1.网络冗余局域网网络∙局域网必须采用冗余设计，不存在网络单点故障。
核心交换机都采用双冗余设备；∙各接入换机必须有双链路（光纤或超5类线路）上联核心交换机；∙总部核心交换机配置双电源、双引擎卡。
广域网网络冗余备份技术规范∙核心路由器配置双电源、双引擎卡；∙城域网连接采用冗余网络，使用双线路、双路由器设备；∙总部Internet出口采用双电信运行商链路。
1.2.1.2.网络设备安全通用安全配置标准∙网络设备的不必要的服务须关闭，包括ftp服务、http服务、dhcp服务，domain-lookup等；∙网络设备的本地登录密码不允许以明文方式在配置文件中体现；∙网络设备需开启AAA认证模式；∙网络设备需设置NTP并和并设定指定的NTP服务器IP地址；∙网络设备须设定Console及远程登录的Idle Timeout时间在5分钟内。
1.2.2.网络访问控制1.2.2.1.数据中心及同城灾备中心网络安全域访问控制策略总体原则OA与生产区域：∙OA区域应该通过功能互联子区和生产网络核心设备连接，主要用于普通用户接入生产网络，在功能互联子区边界配置安全设备做访问控制；∙运行维护人员仅可通过运行管理区域对生产网设备进行维护。
测试开发与生产区域：∙测试开发区域必须和生产区域必须完全隔离（田林数据中心）；∙测试开发区域必须和生产区域逻辑隔离（同城灾备中心）。
测试开发和OA区域：∙原则上测试开发区域可以通过功能互联子区和OA区域互联但需要通过防火墙。
具体的网络安全域访问控制策略可以参考《数据中心网络安全域访问控制策略》。
1.2.2.2.第三方接入控制第三方连接：在日常工作过程中，CPIC与第三方系统的连接需进行合理的管理与控制，提高对第三方的安全管理。
∙第三方对CPIC内网服务器的访问应通过DMZ区域。
∙和第三方的连接应有网络路由控制。
∙总部的第三方连接网络必须使用防火墙，并在防火墙上设置控制策略和NAT地址翻译策略，屏蔽公司内网结构；∙在防火墙DMZ区部署前置机或通讯服务器，只允许对方合法IP地址通过特定端口访问CPIC前置机。
∙总部的第三方连接前置机或通讯服务器访问内部系统也需进行安全控制。
∙公司内网如需访问第三方前置机，需将前置机IP地址映射为公司内网地址，禁止内网直接访问第三方前置机IP地址。
1.2.2.3.远程接入访问远程访问：远程访问是造成网络安全威胁的主要来源，合理的对远程访问进行控制，能提高网络安全，减少由于远程访问带来的风险。
∙通过公共网络的远程连接必须使用经批准的认证方法和设备，每个连接的用户需识别。
∙采用VPN的远程连接需使用双因素认证的方式（如数字证书加口令）；∙用户通过远程接入之前通过一个额外的访问控制点（防火墙）；∙通过远程连接来访问IT内网的设备，进行操作或管理必须经CPIC安全组织同意。
如果通过Internet的数据应进行加密，并要求安全认证。
1.2.2.4.Internet接入访问控制Internet连接：保护员工安全使用Internet连接，提供对Internet连接进行安全控制，保护整个网络安全。
∙Internet出口只限于总公司和一级分公司，营运中心，大型职场；∙从连在任何CPIC网络的设备上拨号访问Internet是被禁止的。
在特殊情况下，任何通过调制解调器拨号连接Internet都需经过集团信息安全与内控管理部门的批准；∙Interent连接网络必须使用防火墙并在防火墙上设置控制策略和NAT地址翻译策略，屏蔽公司内网结构；∙在防火墙DMZ区部署前置机或通讯服务器，只允许Internet访问前置机特定端口。
∙不允许开放Internet访问公司内网策略；∙总，分公司必须使用代理服务器或其他用户认证方式，对Internet访问用户进行控制。
1.2.3.入侵防御1.2.3.1.入侵防御系统的部署∙需在四总部及数据中心的每个Internet入口部署入侵防御系统（IPS）；∙需在分公司的每个Internet入口部署入侵防御系统（IPS）；∙需在四总部广域网互联接口间部署入侵防御系统（IPS）；∙需在分公司与田林数据中心的广域网接口间部署入侵防御系统（IPS）。
1.2.3.2.邮件病毒及垃圾邮件的过滤∙需对所有公网发给CPIC域的邮件进行病毒过滤；∙需对所有公网发给CPIC域的邮件进行垃圾邮件过滤；∙需对通过田林代理10.191.113.100进行的Internet访问内容进行病毒过滤。
1.2.3.3.拒绝服务（DoS或DDoS）功能的防护∙采用将不同的网络安全域及每个安全域的子域分为不同的虚网（VLAN），有效控制MAC地址欺骗的影响区域；∙入侵防御系统需要开启的防御功能包括高级入侵防护拒绝服务 (DoS) 和分布式拒绝服务 (DDoS) 防护、网络监控等；∙对于重要区域（如田林数据中心的Internet入口），考虑使用运营商的公网IP地址和域名的攻击流量清洗和过滤服务。
1.2.4.网络传输加密∙对于CPIC认可的终端，通过Internet接入CPIC内部网络需采用VPN连接，VPN实现身份验证和通信连接的加密方式可选取SSL VPN，IPSEC，SOCKS V5等方式；∙其他网络层面的数据传输加密请参考IT安全技术标准的加密、密钥管理及PKI章节。
1.2.5.网管、监控与审计1.2.5.1.网管与监控∙采用SSH协议来取代Telnet进行设备的远程登录；∙采用了SSH协议后，并不一定就能保证其安全性，要求通过访问地址限制提高访问的安全性。
访问地址限制是通过ACL访问控制列表实现的；∙对不支持SSH协议的设备远程访问管理，只能通过telnet进行维护管理工作，必须通过必要手段提高telnet安全性，具体如下：✓加强登录用户密码的管理，如采用AAA认证等；✓针对数据中心内网络设备，对登录该设备的IP地址进行严格限制；✓设置登录并发数、空闲时间、尝试次数等相关限制措施。
∙提供远程登陆SSH的开启方式和SSH相关属性的设置，包括：✓要求设定登录连接空闲时间限制，让系统自动检查当前连接是否长时间处于空闲状态，若是则自动将其断开。
Timeout具体取值应视实际需要而定，建议设置为5分钟左右以内。
如果出于排障目的，需要长时间登录设备检查系统状态，则需临时延长或取消这项设置。
✓要求设置登录尝试次数限制，当系统收到一个连接请求，若提供的帐号或密码连续不能通过验证的的次数超过设定值（3次），就自动中断该连接；✓要求设置并发登录个数限制，该限制必须与上述的空闲时间限制一并使用。
∙在日常维护过程中周期性的（至少每半年）更改登录密码，甚至登录帐号；∙当外方人员需要登录设备时，应创建临时帐号，并指定合适的权限，临时帐号使用完后应及时删除；∙登录帐号及密码的保管和更新应由专人负责，并注意保密；∙条件许可的话，要求使用SNMPv3；∙限制发起SNMP连接的源地址；∙删除或关闭“Public”和“Private”Community；∙除特殊情况，否则要求不设置SNMP RW Community；∙关闭网络及安全设备的HTTP服务；∙对非要使用HTTP服务的设备，要求通过下列措施保证其安全性：✓更改HTTP服务的端口，不采用标准的80端口，而采用非标准端口；✓加强登录用户密码的管理，如采用AAA认证等；✓对登录设备的IP地址进行严格限制，或通过VPN等安全手段控制对设备的访问；✓设置登录并发数、空闲事件、尝试次数等相关限制措施。
1.2.5.2.网络安全日志通过安全审计，网络管理者能及时的发生网络安全问题，即时解决，并且，当发生网络安全问题时，可通过审计进行回顾，分析问题发生的原因，采用相应的对策，阻止类似的问题再次发生。
∙通过设置NTP，确保所有的网络设备获得一致的NTP服务，在总部核心交换、分公司核心路由器、各楼层交换机、总部局域网各路由器上进行NTP 设置；∙日志审计--下面一些基于系统的活动要求写入日志：✓非授权的访问尝试要写入日志✓成功和不成功的登录尝试写入日志✓用户访问权限的改变写入日志✓安全信息的维护、敏感命令的使用要写入日志✓具有特定权限的用户活动要写入日志✓系统日志文件的访问要写入日志∙所有的系统审核日志应该至少保留6个月；∙跟踪安全事件的记录应得到维护；∙计算机系统时钟应该和正确的记录时间同步；∙日志文件的访问应该严格限制在那些根据业务需求已得到批准的和具有适当访问权限的个人；∙所有软件、硬件、和数据的更改的审核历史记录应该被维护。
此审核记录应包括，更改的原因，谁认可这个更改，谁实施了这个更改，更改的日期，谁测试了这个更改，测试的日期，测试的结果，任何测试结果纠正的日期，复测，等等；∙安全监控：✓所有CPIC Web服务器、防火墙和应用服务器应当受到实时监控，以确保这些设备的可用性；✓网络级实施适当的入侵防御或检测系统(IPS/IDS)和事件监控系统。
入侵防御/检测设备应当在CPIC整个网络架构的关键部分实施和分布；✓应采用自动报警机制。
1.2.6.无线局域网安全∙无线局域网接入应该选择更加先进的加密技术，禁止使用WEP加密，应首选使用WPA2+802.1X的认证及加密方式；∙如使用802.1X条件条件不允许的情况，可选择使用WPA2-PSK，并使用至少8位的数字加字母的Preshare Key, Preshare Key至少每6个月更换一次密码；∙除仅为外来访客供Internet接入服务的无线接入设备的SSID，禁止其它SSID广播；∙除仅供外来客户提供Internet接入服务的无线接入设备，其余太保内部的无线局域网设备需采用太保统一的命名规则命名，禁止使用无线接入设备默认的SSID；∙对接入无线局域网的用户终端需绑定MAC地址或用户名或通过与Radius、LDAP或AD结合的身份验证；∙需考虑无线用户的网络访问控制，采用网络层隔离手段使无线接入对某些区域或应用的访问进控制；∙外来访客用户的无线接入不允许访问CPIC内网。
∙对无线接入点（AP）在公司的部署应合理分配，考虑无线网络覆盖范围和强度，无线接入设备在办公区域的放置应固定。
2.主机及服务器安全篇2.1.目的为太保的操作系统、数据库和中间件提供详细的安全技术标准（包括对系统服务、端口、权限及其他安全项的配置标准），结合相应的技术解决方案与管理流程，提高系统的安全性，降低操作系统、数据库和中间件受到外部攻击和未经授权访问的风险。