19.4 邏輯訪問控制管理（MCO_LAC）

19.4.1　安全保障管理目的

組織機構應基于業務和安全要求來控制對信息、信息處理設施和業務過程的訪問。訪問控制規則應參照信息分發和授權的策略。

19.4.2　MCO_LAC.1 訪問控制策略

19.4.2.1　管理保障控制組件控制

組織機構應基于業務和安全要求來建立、文檔化訪問控制策略并審核此策略。

19.4.2.2　管理保障控制組件注解

訪問控制策略應清晰地描述每個用戶或用戶組的訪問控制規則和訪問權限。訪問控制規則應從邏輯訪問和物理訪問兩方面考慮。
制定策略時應考慮下面內容：
a) 個別業務應用的安全要求；
b) 識別所有涉及到業務應用和信息風險的信息；
c) 信息分發和授權的策略；
d) 訪問控制與不同信息系統的信息分類策略間一致性問題；
e) 數據訪問保護方面的相關法律和合同義務；
f) 組織機構中普通工作崗位的用戶訪問要求；
g) 在分布式網絡環境下所有可用連接的訪問權限管理；
h) 訪問控制角色的隔離，例如，存取要求、存取權限和存取管理；
i) 正式授權訪問請求的要求；
j) 定期審核訪問控制的要求；

19.4.3　MCO_LAC.2 用戶訪問管理

19.4.3.1　管理保障控制組件控制

組織機構應確保只有授權用戶才能訪問信息系統，禁止未授權訪問。

19.4.3.2　管理保障控制組件注解

組織機構應建立正式的信息系統訪問權限分配流程。

19.4.4　MCO_LAC.3 用戶注冊

19.4.4.1　管理保障控制組件控制

在訪問所有信息系統和服務時都應該有一個正式的用戶注冊和取消注冊流程。

19.4.4.2　管理保障控制組件注解

用戶注冊和取消注冊的訪問控制流程應包括:
a) 使用唯一的用戶帳號使得能夠用戶能被聯系到，并能對自己的行為負責；只有由于業務和運行的需要才使用用戶組帳號，用戶組帳號應得到批準并記錄在案；
b) 驗證用戶是否從系統擁有者獲得使用信息系統的授權；也可以從管理部門獲得訪問權限；
c) 驗證授予的訪問權限是否符合業務目標的要求和組織機構的安全策略；
d) 給用戶一個手寫的訪問權限聲明；
e) 要求用戶簽署聲明，表明他們已經理解了訪問的限制條件；
f) 服務提供商只有完成了授權流程，才能提供用戶對系統訪問；
g) 維護一個注冊使用服務的人員記錄；
h) 如果用戶角色或用戶工作崗位發生變化，或用戶離開組織機構，應立即刪除或鎖定用戶訪問權限；
i) 定期檢查冗余的用戶ID和用戶帳號，并刪除或鎖定冗余信息；
j) 確保其他用戶不知道冗余的用戶ID。

19.4.5　MCO_LAC.4 網絡訪問控制

19.4.5.1　管理保障控制組件控制

組織機構應制定網絡訪問控制策略，采用網絡隔離、強制路徑、用戶身份鑒別等手段加強網絡訪問控制。

19.4.5.2　管理保障控制組件注解

網絡控制策略應包括在訪問控制策略中；應根據網絡服務的安全要求，對網絡的互聯程度進行控制；識別需要強制控制的路徑，據此來限制網絡內每個節點的路由選擇。采用身份鑒別技術來鑒別遠程用戶對系統的訪問，例如口令。采用網點身份鑒別技術鑒別與遠程計算機系統相連的設施。確保每次使用端口前先經過授權,并記錄使用情況。采用高級防火墻等硬件或軟件設備進行路由控制。網絡系統安全管理員應按照明確規定的網絡服務安全屬性值進行參數配置和維護管理，如防火墻配置清單。

19.4.6　MCO_LAC.5 操作系統訪問控制

19.4.6.1　管理保障控制組件控制

組織機構應選擇安全性較高的操作系統，并對操作系統進行合理配置，保證其訪問控制能力。

19.4.6.2　管理保障控制組件注解

組織機構應識別和驗證用戶身份，記錄訪問情況，通過口令管理系統確保高質量口令，并限制用戶訪問時間。

19.4.7　MCO_LAC.6 應用和信息訪問控制

19.4.7.1　管理保障控制組件控制

敏感系統應有專用的或隔離的計算機環境。

19.4.7.2　管理保障控制組件注解

敏感系統應運行在專用的或隔離的計算機環境中，可采用物理隔離（專用的運行環境或獨立網絡）或邏輯隔離的方式來實現隔離。
應考慮對應用系統的訪問限制要求，實現如下控制：
a) 應用系統應提供訪問控制功能菜單。
b) 應限制用戶對無權訪問的信息和系統功能的了解。
c) 應控制用戶訪問權，例如，限制讀、寫、刪除以及執行權限
組織機構應確保處理敏感信息的應用系統輸出僅包含與輸出使用有關的信息，并且僅僅發送到授權的終端。

19.4.8　MCO_LAC.7 移動計算和遠程辦公訪問控制

19.4.8.1　管理保障控制組件控制

組織機構應制定恰當的移動計算和遠程辦公訪問控制策略，并采用合適的安全措施來降低使用移動計算和通訊設備的風險。

19.4.8.2　管理保障控制組件注解

組織機構應制定移動計算設施的安全使用規定，對使用者進行安全意識教育。
組織機構應制定遠程工作的控制程序，對遠程工作活動進行授權管理。