密评全过程-应用和数据安全

    前言：
     （一）主要是实现对信息系统中应用及其数据的安全防护，应具备的密码功能包括：

1.确认应用系统的管理员和普通用户的身份，防止假冒人员登录；
2.对应用系统的访问控制策略（如安全策略、资源访问控制列表等）、数据库表访问控制信息（如用户身份信息、数据库安全策略、用户权限列表等）、重要信息资源安全标记（如数据标签）等进行保护，防止被非授权篡改；
3.保护客户端与服务器之间、应用系统之间在非安全网络信道中传输的重要数据（包括但不限于鉴别数据、重要业务数据、重要用户信息等），防止数据泄露；
4.保护存储的重要数据（包括但不限于鉴别数据、重要业务数据、重要用户信息等），防止数据泄露、非授权篡改；
5.保护重要日志记录（如认证登录日志、配置操作日志等），防止被非授权篡改；
6.保护可能涉及法律责任认定的应用系统中的数据发送和数据接收操作，确保发送方和接收方对已经发生的操作行为无法否认。
（二）实现上述功能，可结合政务信息系统的网络安全保护等级选用以下密码应用措施：
1.部署证书认证系统1或直接采用具有电子政务电子认证服务资质的机构提供的电子认证服务，为用户配置智能密码钥匙、智能IC卡、移动智能终端密码模块等具备身份鉴别功能的密码产品，对系统用户身份进行管理；
2.部署安全认证网关系统，对访问应用服务器的用户进行身份鉴别和权限控制，对客户端与服务器端、应用系统之间传输的数据进行机密性和完整性保护；
3.部署存储加密产品、服务器密码机或其他密码模块，对存储的重要数据进行机密性和完整性保护；
4.部署签名验签服务器、服务器密码机或其他密码模块，对存储的日志记录进行完整性保护；
5.根据应用系统的需要，部署签名验签服务器、电子签章系统、时间戳服务器等密码产品，对收发的数据及相关操作记录进行签名，实现数据原发行为的不可否认性和数据接收行为的不可否认性。

    密评全过程-应用和数据安全，过程整理如下：