資訊安全網標誌
English 繁體版 简体版

瀏覽選單一

一般使用者青少年及學生家長及教師資訊科技專業人員中小型企業
back to top 常見問題 back to top 搜尋:
字型大小: 字型大小:原設定 (A) 字型大小:較大 (A) 字型大小:最大 (A)
一般使用者 青少年及學生 家長及老師 資訊科技專業人員 中小型企業

瀏覽選單二

 

網 上 應 用 程 式 保 安  

 
 

網 上 應 用 系 統 的 驗 收 清 單

網 上 應 用 系 統 一 經 驗 收 後 , 應 執 行 獨 立 的 保 安 評 估 來 評 估 網 上 應 用 系 統 和 原 始 碼 , 以 確 保 完 全 符 合 公 司 政 策 或 項 目 的 保 安 需 求 。 對 網 上 應 用 系 統 項 目 來 說 , 這 類 評 估 是 必 要 的 且 可 能 會 外 判 至 外 部 人 員 。 保 安 控 制 的 測 試 案 例 , 需 要 在 項 目 的 初 步 階 段 實 行 , 且 應 包 含 用 戶 驗 收 測 試 。

應 盡 早 在 項 目 的 初 步 階 段 , 考 慮 其 保 安 性 。 必 須 與 開 發 人 員 溝 通 對 保 安 的 期 望 與 需 求 , 特 別 是 授 權 機 制 、 數 據 輸 入 的 認 證 、 與 審 計 追 蹤 。

以 下 是 在 評 估 網 上 應 用 程 式 保 安 時 , 需 要 檢 視 範 圍 的 一 些 例 子 :

身 份 識 別 及 認 證

  1. 使 用 者 與 其 使 用 程 序 如 何 認 證 ?
  2. 認 證 程 序 是 否 遵 照 規 格 的 指 示 , 以 及 是 否 遵 守 機 構 的 保 安 政 策 ?
  3. 如 果 認 證 過 程 是 以 密 碼 為 基 礎 , 使 用 者 的 密 碼 如 何 處 理 與 保 存 ? 這 些 密 碼 處 理 機 制 , 是 否 符 合 機 構 的 保 安 政 策 ? 這 些 密 碼 是 寫 定 的 密 碼 , 或 內 建 於 原 始 程 式 碼 中 ?
  4. 這 些 應 用 系 統 是 否 需 要 在 每 次 連 線 時 針 對 每 一 個 連 結 作 授 權 認 證 ?

數 據 保 護

  1. 數 據 保 護 機 制 是 否 符 合 機 構 的 保 安 政 策 ?
  2. 所 有 受 保 護 的 數 據 是 否 經 由 正 確 的 方 式 傳 輸 ?
  3. 如 果 使 用 加 密 , 如 何 操 作 ? 加 密 的 操 作 程 序 是 否 完 全 遵 照 機 構 的 保 安 政 策 ?

記 錄

  1. 審 計 追 蹤 記 錄 的 機 制 , 是 否 符 合 規 格 ?
  2. 這 些 應 用 系 統 的 審 計 記 錄 , 是 否 容 易 受 到 那 些 未 授 權 的 刪 除 、 修 正 或 洩 露 ?

處 理 錯 誤

  1. 錯 誤 訊 息 是 如 何 被 處 理 ? 洩 漏 的 數 據 , 有 沒 有 可 能 被 後 來 的 攻 擊 行 為 所 利 用 ? 應 用 程 式 的 失 敗 , 會 導 致 系 統 處 於 危 險 狀 態 嗎 ?

操 作

  1. 是 否 有 強 制 執 行 職 務 分 工 ( Segregation of duties) 和 最 少 權 限 原 則 ?
  2. 在 啟 動 前 , 所 有 的 內 建 使 用 者 身 份 、 測 試 的 使 用 者 身 份 、 和 預 設 密 碼 值 的 身 份 是 否 已 從 作 業 系 統 、 網 絡 伺 服 器 及 其 應 用 程 式 本 身 中 移 除 了 ?
  3. 系 統 管 理 程 序 、 改 動 管 理 程 序 、 運 作 復 原 程 序 、 和 備 份 程 序 , 是 否 有 完 整 且 清 楚 的 界 定 ?

這 份 清 單 尚 有 不 足 之 處 , 因 應 保 安 需 求 , 與 網 上 應 用 系 統 目 的 之 特 殊 性 , 應 根 據 特 殊 需 求 以 涵 蓋 額 外 測 試 案 例 或 檢 查 標 準 。

此 外 , 當 任 何 的 資 訊 系 統 外 判 給 第 三 方 服 務 提 供 者 時 , 須 執 行 適 當 的 保 安 管 理 程 序 來 保 護 數 據 , 並 減 輕 資 訊 科 技 項 目 或 服 務 外 判 時 帶 來 的 保 安 風 險 。 建 議 讀 者 可 參 閱 "資 訊 科 技 服 務 外 判 保 安 "一 文 得 知 更 多 有 關 外 判 所 需 保 安 考 慮 的 資 訊 。

 
 
     
上一頁 back to top頁首
 

頁尾選單

網頁指南 | 聯絡本網站 | 私隱政策 | 重要告示
 
一般使用者 青少年及學生 家長及老師 資訊科技專業人員 中小型企業