安全日志管理要求.doc

3.1 总体原则1） 在考虑业务系统稳定运行的前提下，应确保日志记录完整，满足安全管理要求2） 日志记录中禁止包含业务的敏感信息，避免因日志分析导致业务敏感数据泄密3） 从数据保护的角度出发，根据IT系统承载的业务数据设置合理的日志记录要求4） 日志格式应满足通用的格式要求，以便和第三方日志管理平台进行对接5） 不满足本规范的情况应向进行合理评估IT风险管理组备案，并采取风险规避措施3.2 日志产生3.2.1 IT基础设备和系统1） IT基础设备和系统应根据本规范要求开启日志记录功能，开启方法见安全配置标准或者产品手册2） 应对包括但不限于以下活动进行日志记录：Ø 登录认证日志：成功/失败的认证/登录、用户注销、超时退出等活动；Ø 用户/权限管理：用户/权限的增删改以及密码的修改和重置等活动；Ø 恶意软件/外部威胁：可疑/恶意软件的活动记录等或者来自外部的感染威胁等；Ø 网络活动：网络设备的流量活动（例如防火墙的流量允许和拒绝等行为）；Ø 系统操作：对IT基础设备和系统中的安全策略/系统配置或者存储的数据进行操作 (查询/修改/删除等)的活动等。

3.2.2 应用系统3.2.2.1 研发中心负责开发的应用系统1） 应用系统应对以下活动进行日志记录：Ø 登录认证日志：成功/失败的认证/登录、用户注销、超时退出等活动；Ø 用户/权限管理：用户/权限的增删改以及密码的修改和重置等活动；Ø 业务敏感数据访问：对IT基础设备和系统中的系统配置或者存储的数据进行操作(查询/修改/删除等)的活动等2） 在应用系统开发过程中，研发中心应将安全日志的管理要求纳入到项目的需求中，并在项目开发周期内实现安全日志的管理要求；3） 质量管控中心应对安全日志的功能进行验证并出具验证报告4） 在引入新的应用系统时，IT服务中心应检查安全日志记录功能是否满足管理要求并出具验证报告如不满足要求，原则上不允许进入生产环境5） 已上线的应用系统安全日志功能如不满足安全管理要求，应用系统负责人应和研发经理确定整改完成时间3.2.2.2 软件外包的应用系统1） 在选型时研发中心应在到软件选型过程中考虑安全日志的记录需求，并在项目实施的过程中落实安全日志的记录需求，管理要求参考3.2.2.1 2） 已引进的应用系统如不满足安全管理要求，应用系统负责人应和与供应商确定整改完成时间。

3.3 日志使用1）原则上日志应仅允许该系统的维护人员只读访问2）系统负责人应根据本规范要求对异常的日志进行分析处理，发现异常及时上报IT风险管控组3.4 日志保存1）应用系统日志的保存期限要求如下：Ø 安全级别为高的应用系统，日志保存时间至少为36个月；Ø 安全级别为中或者低的应用系统，日志保存时间至少为12个月2）IT基础设备和系统的日志保存时间至少为12个月3）日志记录应设置合理的阀值并进行监控，确保达到阀值前进行有效的处理，确保日志的安全性和完整性4）在未确保日志安全备份前，任何人不得以任何理由删除日志对于恶意破坏日志独立性和真实性的行为将按照《信息安全奖惩管理办法》进行处罚3.5 日志销毁超出本规范要求的保存期限的日志，由系统管理员自行删除。