14.1信息系統的安全要求

14.1信息系統的安全要求

14.1.1信息安全要求分析和說明

控制
新建信息系統或增強現有信息系統的要求中宜包括信息安全相關要求。
實現指南
宜使用不同的方法來識別信息安全要求，例如，來自政策法規的符合性要求、威脅建模、事件評審或脆弱性閾值的使用。識別結果宜形成文件并被所有利益相關方評審。
信息安全要求和控制宜反映出所涉及信息的業務價值（見8.2），和可能由于缺乏足夠的安全導致的潛在的負面的業務影響。
宜在信息系統項目初期階段識別和管理信息安全要求和相關的過程。盡早考慮信息安全要求(如在設計階段)可形成更高效和具有成本效益的解決方案。
信息安全要求宜考慮：
a) 針對用戶聲稱身份所要求的信任度，得出用戶鑒別要求；
b) 對業務用戶、特權人員或技術人員的訪問配置和授權過程；
c) 告知用戶和操作人員的職責和責任；
d) 所涉及資產的保護需求，尤其是有關可用性、保密性和完整性
e) 來自業務過程的要求，例如，事務日志、監視和抗抵賴要求；
f) 其他安全控制規定的要求，例如，對記錄和監視系統或數據泄露檢測系統的接口。
如需某種產品，則宜遵循一個正式的測試和獲取過程。與供貨商簽訂的合同宜確定已識別的安全要求。如果推薦的產品的安全功能不能滿足規定的安全要求，那么在購買產品之前宜重新考慮引入的風險和相關控制。
宜評價和實現可用的產品安全配置指南及其系統的最終軟件/服務棧。
宜規定產品接收準則（如產品的功能性方面），這可為滿足已識別的安全要求提供保證。宜在獲取產品之前根據這些準則評價產品。宜評審附加功能以確保其不會引入不可接受的附加風險。
其他信息

14.1.2公共網絡上應用服務的安全保護

控制
宜保護在公共網絡上的應用服務中的信息以防止欺詐行為、合同糾紛以及未經授權的泄露和修改。
實現指南
公共網絡上應用服務的安全宜考慮：
a) 每一方要求其他方所聲稱身份的信心程度，例如通過鑒別；
b) 與可批準、發布或簽署關鍵交易文件內容的人員相關聯的授權過程；
c) 確保在與合作伙伴的溝通中，完整地告知了他們有關服務供給或使用的授權；
d) 確定并滿足關鍵文件的保密性、完整性、分發和接受證明的要求以及合同的抗抵賴要求，例如所關聯的投標和簽署合同的過程；
e) 關鍵文件完整性所要求的可信等級；
f) 任何保密信息的保護要求；
g) 任何訂單交易、支付信息、交付地址細節和接收確認的保密性和完整性；
h) 適用于驗證顧客提供的支付信息的驗證程度；
i) 為防止欺詐，選擇最適合的支付結算方式；
j) 為維護訂單信息的保密性和完整性所需的保護級別；
k) 避免交易信息的丟失或復制；
l) 與任何欺詐交易相關的義務；
m) 保險要求。
上述考慮可以通過應用密碼控制來實現（見第10章），還要考慮符合法律要求（見第18章，特別是18.1.5密碼法規）。
合作伙伴間的應用服務協議宜形成文件，該協議列出了雙方達成一致的服務條款，包括上述授權(見b))的細節。
宜考慮受攻擊后快速恢復的要求，可包括為了交付服務，保護所涉及到的應用服務器的要求或確保所需的網絡連接的可用性的要求。
其他信息
通過公共網絡可訪問的應用程序易遭受許多網絡相關的威脅，如欺詐活動、合同爭端和向公眾泄露信息。因此詳細的風險評估和適當的控制選擇不可或缺。所要求的控制通常包括有關鑒別和使數據傳輸安全的密碼學方法。

14.1.3應用服務事務的保護

控制
宜保護應用服務事務中的信息，以防止不完整的傳輸、錯誤路由、未授權的消息變更、未授權的泄露、未授權的消息復制或重放。
實現指南
應用服務事務的信息安全宜考慮：
a) 事務中涉及的每一方的電子簽名的使用；
b) 事務的所有方面，即確保：
1) 各方的用戶秘密鑒別信息是有效的并經過驗證的；
2) 事務保持保密性；
3) 保持各方相關聯的隱私；
c) 加密涉及的各方間的通信路徑；
d) 在涉及的各方之間通信的協議是安全的；
e) 確保事務細節存儲于任何公開可訪問環境之外，如存儲于組織內部互聯網的存儲平臺，不留在或暴露于互聯網可直接訪問的存儲介質上；
f) 當使用一個可信機構（例如為了頒布及維護數字簽名或數字認證）時，安全可被集成嵌入到整個端到端認證/簽名管理過程中。
其他信息
采用控制的程度要對應每種形式應用服務事務相關的風險級別。