搜索

[17141] 2021-08-12_数据交换共享安全管理方案：NISTSP800-47干货

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-18
2021-08-12_数据交换共享安全管理方案：NISTSP800-47干货 数 据 交 换 共 享 安 全 管 理 方 案   ： N I S T   S P   8 0 0 - 4 7 干 货 安 全 妹 儿 j i n g   F r e e B u f   2 0 2 1 - 0 8 - 1 2 一 、 背 景 一 、 背 景 数 据 安 全 是 今 年 的 一 大 热 点 ， 稍 微 了 解 数 据 安 全 的 人 估 计 都 知 道 ， 做 数 据 安 全 要 考 虑 数 据 全 生 命 周 期 ， 包 括 数 据 采 集 / 生 成 、 传 输 、 存 储 、 处 理 、 交 换 / 共 享 、 销 毁 等 阶 段 的 安 全 。 而 其 中 与 业 务 关 系 最 密 切 的 是 交 换 / 共 享 环 节 ， 这 个 环 节 也 是 数 据 发 挥 价 值 的 关 键 一 环 ， 很 多 企 业 由 于 业 务 需 求 ， 通 常 需 要 与 一 个 或 多 个 内 部 或 外 部 的 组 织 交 换 / 共 享 数 据 ， 当 数 据 从 一 个 组 织 转 移 到 另 一 个 组 织 时 ， 交 换 / 共 享 的 数 据 也 需 要 相 同 或 相 似 级 别 的 安 全 保 护 ， 如 何 落 实 数 据 交 换 / 共 享 环 节 的 安 全 管 理 ， N I S T   S P   8 0 0 - 4 7 《 信 息 交 换 安 全 管 理 》 给 出 了 系 统 性 解 决 方 案 。 本 文 梳 理 了 N I S T   S P   8 0 0 - 4 7 原 文 ， 结 合 作 者 对 数 据 安 全 的 理 解 ， 将 主 要 内 容 简 明 的 给 大 家 做 个 介 绍 ， 本 文 的 文 档 结 构 未 按 照 原 文 的 文 档 结 构 。 【 注 ： 由 于 国 内 对 “ 信 息 安 全 ” 、 “ 数 据 安 全 ” 等 术 语 的 定 义 有 不 同 理 解 和 界 定 ， 而 S P   8 0 0 - 4 7 里 的 “ i n f o r m a t i o n   e x c h a n g e 信 息 交 换 ” 实 际 上 主 要 包 含 的 就 是 “ 数 据 交 换 ” ， 所 以 为 了 便 于 阅 读 和 理 解 ， 后 文 我 将 统 一 用 “ 数 据 交 换 ” 。 】 本 文 的 适 用 对 象 ： 需 要 打 破 数 据 孤 岛 ， 实 现 跨 组 织 边 界 的 数 据 共 享 与 交 换 ， 以 支 持 业 务 目 标 的 组 织 ， 以 及 对 本 内 容 感 兴 趣 的 朋 友 。 二 、 前 言 二 、 前 言 出 于 各 种 原 因 ， 组 织 会 选 择 数 据 交 换 / 共 享 ， 例 如 ， 内 部 对 内 部 的 数 据 交 换 / 共 享 、 政 府 对 政 府 的 数 据 交 换 / 共 享 、 企 业 对 企 业 的 数 据 交 换 / 共 享 、 政 府 对 企 业 、 政 府 或 企 业 对 服 务 提 供 商 、 政 府 或 企 业 对 个 人 等 的 数 据 共 享 。 当 数 据 从 一 个 系 统 跨 授 权 边 界 访 问 或 传 递 到 另 一 个 系 统 时 ， 需 要 使 用 一 个 或 多 个 协 议 来 指 定 每 个 组 织 的 责 任 、 要 访 问 或 交 换 的 数 据 类 型 和 影 响 级 别 、 如 何 使 用 交 换 数 据 ， 以 及 在 交 换 系 统 的 两 端 处 理 、   存 储 或 传 输 数 据 时 如 何 保 障 数 据 安 全 。 常 见 的 数 据 交 换 / 共 享 场 景 包 括 但 不 限 于 ： ★   在 授 权 用 户 之 间 共 享 数 据 和 信 息 ； ★   提 供 对 数 据 的 自 定 义 访 问 ； ★   合 作 进 行 联 合 项 目 ； ★   提 供 完 整 的 、 短 暂 的 、 间 歇 性 的 、 永 久 的 或 临 时 的 数 据 交 换 / 共 享 活 动 ； ★   通 过 交 换 / 共 享 减 少 数 据 收 集 工 作 量 和 成 本 ； ★   提 供 在 线 培 训 ； ★   为 关 键 数 据 和 备 份 文 件 提 供 安 全 存 储 。 数 据 交 换 / 共 享 活 动 在 为 组 织 带 来 如 ： 降 低 运 营 成 本 、 增 强 业 务 能 力 、 提 高 效 率 、 集 中 访 问 数 据 以 减 少 重 复 数 据 集 、 促 进 组 织 间 的 沟 通 与 合 作 ， 加 强 参 与 组 织 之 间 的 联 系 等 益 处 的 同 时 也 会 使 参 与 组 织 面 临 安 全 风 险 ， 如 果 数 据 交 换 / 共 享 活 动 没 有 得 到 适 当 的 规 划 与 管 理 ， 则 可 能 导 致 数 据 的 机 密 性 、 完 整 性 和 可 用 性 丢 失 ， 危 及 数 据 本 身 及 相 关 的 网 络 和 信 息 系 统 。 类 似 地 ， 如 果 其 中 一 方 的 系 统 遭 到 破 坏 ， 则 交 换 的 数 据 同 样 可 能 会 受 到 损 害 ， 且 与 系 统 相 连 的 另 一 个 系 统 和 数 据 也 可 能 遭 到 连 带 破 坏 。 因 此 ， 参 与 组 织 就 交 换 数 据 的 管 理 和 使 用 ， 以 及 建 立 并 正 式 发 布 一 项 或 多 项 互 操 作 协 议 来 确 保 数 据 安 全 很 有 必 要 。 三 、 数 据 交 换 三 、 数 据 交 换 / 共 享 方 式 方 法 共 享 方 式 方 法
3 . 1   数 据 交 换 数 据 交 换 / 共 享 方 式 共 享 方 式 数 据 交 换 的 条 件 至 少 需 要 具 备 三 个 基 本 组 件 ： 两 个 端 点 和 一 个 数 据 流 动 信 道 ， 数 据 流 动 信 道 可 以 是 专 用 或 租 用 线 路 ， 也 可 以 使 用 虚 拟 专 用 网 络   ( V P N )   解 决 方 案 （ 例 如 ： I P s e c 、 S S L V P N 、 L 2 T P ） ， 使 用 专 用 电 路 会 更 昂 贵 ， 但 更 安 全 ， 使 用 V P N 则 是 较 便 宜 的 替 代 方 法 ， 也 是 常 用 的 通 信 方 案 。 下 图 是 建 立 数 据 交 换 的 两 种 通 信 方 式 ： 数 据 交 换 的 两 个 端 点 / 系 统 之 间 互 连 可 以 在 网 络 级 或 应 用 级 实 现 网 络 互 连 ： 两 个 或 多 个 网 络 之 间 的 物 理 或 虚 拟 通 信 链 接 ， 这 些 网 络 由 不 同 的 组 织 运 行 ， 或 在 同 一 个 组 织 内 ， 但 在 不 同 的 授 权 边 界 内 运 行 。 应 用 互 连 ： 由 不 同 组 织 或 同 一 组 织 内 ， 但 在 不 同 授 权 边 界 内 运 行 的 两 个 或 多 个 应 用 程 序 之 间 的 逻 辑 通 信 链 接 ， 用 于 交 换 数 据 或 提 供 信 息 服 务 （ 例 如 ： 身 份 验 证 、 日 志 记 录 ） 。 应 用 互 连 包 括 文 件 共 享 服 务 或 应 用 以 及 发 生 在 会 话 层 、   表 示 层 或 应 用 层 的 数 据 交 换 源 。 3 . 2   数 据 交 换 数 据 交 换 / 共 享 方 法 共 享 方 法 数 据 交 换 的 常 见 方 法 包 括 但 不 限 于 ： 电 子 或 数 字 文 件 传 输 、 通 过 便 携 式 存 储 设 备 的 数 据 交 换 、 通 过 电 子 邮 件 的 数 据 交 换 、 数 据 库 共 享 或 数 据 库 事 务 信 息 交 换 ， 以 及 基 于 网 络 或 云 的 服 务 。 电 子 或 数 字 文 件 传 输 — — 数 据 可 以 通 过 电 子 或 数 字 文 件 传 输 进 行 交 换 ， 通 过 文 件   传 输 （ 通 信 ） 协 议 在 两 个 系 统 之 间 传 输 文 件 （ 数 据 ） 。 各 组 织 需 要 考 虑 与 使 用 不 同 文 件 传 输 协 议 带 来 的 安 全 风 险 ； 文 件 传 输 协 议 包 括 F T P S 、 H T T P S 和 S C P 。 便 携 式 存 储 设 备 — — 在 某 些 情 况 下 ， 可 能 需 要 使 用 便 携 式 存 储 设 备 交 换 数 据 ，   例 如 可 移 动 磁 盘 （ 数 字 视 频 光 盘   ( D V D ) ） 或 通 用 串 行 总 线   ( U S B ) 等 ） 。 组 织 需 要 考 虑 被 传 输 数 据 的 影 响 级 别 以 及 数 据 将 要 传 输 到 的 系 统 的 影 响 级 别 ， 以 确 定 所 交 换 的 数 据 是 否 采 取 了 足 够 的 措 施 。 电 子 邮 件 — — 组 织 经 常 通 过 电 子 邮 件 以 附 件 的 形 式 共 享 数 据 。 组 织 需 要 考 虑 参 与 组 织 的 电 子 邮 件 基 础 设 施 的 影 响 级 别 和 已 经 实 施 的 安 全 控 制 ， 以 确 定 是 否 实 施 了 足 够 的 控 制 措 施 来 保 护 正 在 交 换 的 数 据 ， 例 如 ， 在 中 等 影 响 级 别 受 保 护 的 电 子 邮 件 基 础 设 施 不 足 以 保 护 高 影 响 级 别 的 数 据 。 数 据 库 共 享 或 数 据 库 事 务 信 息 交 换 ， 包 括 来 自 另 一 个 组 织 的 用 户 对 数 据 的 访 问 。 组 织 需 要 考 虑 的 是 提 供 数 据 访 问 而 不 是 传 输 数 据 的 可 行 性 ， 以 减 少 重 复 数 据 集 以 及 数 据 机 密 性 和 完 整 性 损 失 的 风 险 。 文 件 共 享 服 务 — — 文 件 共 享 服 务 包 括 但 不 限 于 通 过 基 于   W e b   的 文 件 共 享 或 存   储 共 享 数 据 和 访 问 数 据 （ 例 如 D r o p   B o x 、 G o o g l e   D r i v e 、 M S   T e a m s   或   M S   O n e   D r i v e ） 。 使 用 基 于 W e b 的 文 件 共 享 或 存 储 系 统 ， 该 系 统 无 法 让 数 据 所 有 者 了 解 服 务 器 所 在 位 置 ， 或 对 设 施 、 服 务 器 和 数 据 的 物 理 和 逻 辑 访 问 。 3 . 3   数 据 访 问 或 传 输 数 据 访 问 或 传 输 1 ） 当 通 过 系 统 访 问 交 换 数 据 时 ， 数 据 本 身 不 会 被 传 输 ， 而 是 由 参 与 组 织 的 用 户 访 问 。 通 过 系 统 访 问 交 换 数 据 减 少 了 重 复 数 据 集 的 情 况 以 及 数 据 机 密 性 和 完 整 性 丢 失 的 风 险 。 与 任 何 形 式 的 系 统 访 问 一 样 ， 用 户 可 以 访 问 数 据 资 源 的 程 度 取
决 于 组 织 业 务 以 及 数 据 的 机 密 性 、 完 整 性 和 可 用 性 遭 到 破 坏 的 影 响 程 度 。 因 此 ， 组 织 可 以 通 过 访 问 控 制 ， 从 而 将 用 户 限 制 在 单 个 应 用 、 文 件 或 文 件 位 置 ， 并 采 用 特 定 的 策 略 来 管 理 访 问 （ 例 如 ， 访 问 仅 限 于 只 读 ） 。 其 他 组 织 可 能 会 建 立 更 灵 活 的 交 换 ， 使 用 户 能 够 访 问 多 个 应 用 程 序 、 文 件 或 数 据 库 。 2 ） 当 通 过 传 输 交 换 数 据 时 ， 数 据 会 在 其 他 物 理 位 置 被 复 制 。 数 据 传 输 可 能 会 导 致 数 据 集 重 复 、 数 据 过 时 或 数 据 未 经 授 权 披 露 或 修 改 的 风 险 增 加 。 然 而 ， 传 输 的 数 据 可 能 被 要 求 支 持 在 不 同 的 业 务 流 程 、 不 同 的 软 件 中 使 用 同 一 组 数 据 ， 或 者 当 通 过 系 统 无 法 访 问 交 换 数 据 时 。 建 议 组 织 将 交 换 的 数 据 限 制 为 仅 支 持 所 述 业 务 所 需 的 特 定 数 据 ， 而 不 是 传 输 整 个 数 据 集 。 参 与 组 织 需 要 考 虑 丢 失 所 传 输 数 据 的 机 密 性 和 完 整 性 可 能 造 成 的 影 响 ， 以 及 保 护 与 预 期 影 响 级 别 相 称 的 数 据 的 必 要 性 ， 无 论 其 物 理 位 置 如 何 。 四 、 数 据 交 换 四 、 数 据 交 换 / 共 享 安 全 管 理 共 享 安 全 管 理 基 于 风 险 的 数 据 交 换 / 共 享 安 全 管 理 需 要 组 织 层 面 的 治 理 ， 以 及 与 风 险 相 称 的 防 护 水 平 来 保 护 正 在 交 换 的 数 据 。 在 任 何 实 际 的 数 据 交 换 之 前 ， 组 织 应 制 定 、 记 录 并 传 播 管 理 数 据 交 换 的 策 略 和 流 程 。 本 部 分 主 要 描 述 了 数 据 交 换 / 共 享 安 全 管 理 的 四 个 阶 段 （ 规 划 、 建 立 、 维 护 、 终 止 ） 。 各 阶 段 如 下 图 ： 4 . 1   规 划 数 据 交 换 规 划 数 据 交 换 / 共 享 共 享 在 两 个 或 多 个 系 统 之 间 交 换 / 共 享 数 据 的 过 程 始 于 规 划 阶 段 ， 在 该 阶 段 ， 参 与 组 织 完 成 准 备 活   动 并 检 查 相 关 的 技 术 、 安 全 和 管 理 问 题 。 规 划 阶 段 的 目 的 是 确 保 数 据 交 换 / 共 享 过 程 尽 可 能 高 效 和 安 全 。 本 小 节 讨 论 规 划 数 据 交 换 / 共 享 的 推 荐 步 骤 。 规 划 阶 段 步 骤 的 形 式 、 结 构 和 严 格 程 度 取 决 于 交 换 / 共 享 的 类 型 、 要 交 换 / 共 享 的 数 据 的 重 要 程 度 、 参 与 交 换 / 共 享 的 组 织 间 关 系 以 及 数 据 交 换 / 共 享 的 组 织 策 略 和 流 程 。 本 阶 段 应 完 成 的 内 容 如 下 ： 4 . 1 . 1   步 骤 一 ： 组 建 联 合 规 划 小 组 步 骤 一 ： 组 建 联 合 规 划 小 组 每 个 组 织 都 有 责 任 确 保 其 各 自 系 统 和 数 据 的 安 全 ， 并 采 用 事 先 协 调 好 的 方 法 进 行 数 据 交   换 / 共 享 ， 包 括 在 整 个 交 换 / 共
享 阶 段 组 织 之 间 应 保 持 定 期 沟 通 。 因 此 ， 各 组 织 需 要 建 立 一 个 由 参 与 组 织 的 代 表 组 成 的 联 合 规 划 小 组 ， 其 中 可 能 包 括 包 括 相 关 的 管 理 和 技 术 人 员 、 业 务 人 员 、 系 统 所 有 者 、 数 据 所 有 者 、 系 统 安 全 员 、 系 统 管 理 员 、 网 络 管 理 员 和 系 统 相 关 的 管 理 和 技 术 人 员 、 业 务 人 员 、 系 统 所 有 者 、 数 据 所 有 者 、 系 统 安 全 员 、 系 统 管 理 员 、 网 络 管 理 员 和 系 统 安 全 架 构 师 安 全 架 构 师 等 。 联 合 规 划 小 组 可 以 是 现 有 工 作 组 的 一 部 分 ， 也 可 以 专 门 为 本 次 数 据 交 换 活 动 而 组 建 。 另 外 ， 获 得 高 级 领 导 的 承 诺 和 支 持 很 重 要 。 该 联 合 规 划 小 组 负 责 协 调 规 划 过 程 的 各 个 方 面 ， 并 确 保 该 过 程 具 有 明 确 的 方 向 、 明 确 的 职 责 和 充 足 的 资 源 。 规 划 小 组 也 可 以 在 规 划 阶 段 之 后 保 持 活 跃 ， 作 为 后 续 讨 论 涉 及 数 据 交 换 / 共 享 问 题 的 窗 口 。 此 外 ， 规 划 小 组 的 成 员 需 要 与 负 责 信 息 技 术   ( I T )   规 划 、 配 置 管 理 和 其 他 与 数 据 交 换 / 共 享 活 动 相 关 的 同 事 进 行 协 调 。 在 大 多 数 情 况 下 ， 数 据 交 换 / 共 享 是 每 个 组 织 网 络 的 一 部 分 或 全 部 。 通 过 与 相 关 利 益 攸 关 方 协 调 数 据 交 换 / 共 享 的 规 划 ， 组 织 可 以 降 低 安 全 风 险 、 减 少 冗 余 并 提 高 效 率 。 4 . 1 . 2   步 骤 二 ： 定 义 业 务 用 例 步 骤 二 ： 定 义 业 务 用 例 组 织 共 同 确 定 数 据 交 换 / 共 享 的 目 的 ， 确 定 数 据 交 换 / 共 享 将 如 何 支 持 业 务 需 求 ， 并 识 别 预 期 成 本 和 风 险 。 定 义 业 务 用 例 是 建 立 数 据 交 换 / 共 享 的 基 础 。 需 要 考 虑 的 因 素 包 括 ： 可 能 的 成 本 成 本 （ 例 如 人 员 配 备 、 设 备 和 设 施 ） 、 预 期 收 益 收 益 （ 例 如 提 高 效 率 和 集 中 访 问 数 据 ） 和 潜 在 风 险 风 险 （ 例 如 安 全 、 技 术 、 隐 私 、 法 律 、 财 务 等 ） 。 需 要 注 意 的 是 ， 可 能 会 有 隐 私 法 规 或 政 策 对 要 交 换 / 共 享 的 数 据 进 行 限 制 。 可 能 受 到 限 制 的 数 据 包 括 个 人 身 份 信 息 （ 如 姓 名 、 电 话 、 地 址 等 ） 或 商 业 机 密 信 息 （ 如 承 包 商 投 标 费 率 和 商 业 秘 密 ） 。 每 个 组 织 都 应 该 咨 询 其 隐 私 保 护 官 或 法 律 顾 问 ， 以 确 定 参 与 数 据 交 换 的 组 织 是 否 可 以 共 享 、 转 移 或 访 问 要 交 换 的 数 据 。 4 . 1 . 3   步 骤 三 ： 开 展 安 全 风 险 管 理 步 骤 三 ： 开 展 安 全 风 险 管 理 在 交 换 / 共 享 数 据 之 前 ， 每 个 组 织 都 应 确 保 已 对 相 关 系 统 和 数 据 进 行 风 险 评 估 ， 并 持 续 开 展 风 险 管 理 ， 风 险 管 理 可 参 考 S P   8 0 0 - 3 7   《 信 息 系 统 和 组 织 的 风 险 管 理 框 架 ： 安 全 和 隐 私 系 统 生 命 周 期 方 法 》 。 4 . 1 . 4   步 骤 四 ： 确 定 具 体 的 保 护 要 求 步 骤 四 ： 确 定 具 体 的 保 护 要 求 联 合 规 划 小 组 确 定 并 审 查 与 数 据 交 换 / 共 享 相 关 的 技 术 、 安 全 和 管 理 问 题 。 审 查 结 果 用 于 制 定 数 据 交 换 / 共 享 安 全 协 议 。 这 些 结 果 也 可 用 于 制 定 建 立 数 据 交 换 / 共 享 的 实 施 计 划 。 联 合 规 划 小 组 需 要 审 议 的 问 题 如 下 ： 适 用 的 法 律 、 法 规 、 政 策 、 标 准 和 指 南 适 用 的 法 律 、 法 规 、 政 策 、 标 准 和 指 南 ： 参 与 组 织 可 能 会 受 到 安 全 和 隐 私 要 求 的 约 束 而 影 响 数 据 交 换 / 共 享 。 数 据 交 换 / 共 享 的 参 与 方 有 责 任 确 保 任 何 适 用 的 法 律 、 法 规 、 政 策 、 标 准 和 指 南 得 到 解 决 。 风 险 评 估 风 险 评 估 ： 数 据 交 换 / 共 享 的 参 与 方 应 进 行 风 险 评 估 ， 确 定 要 交 换 的 数 据 遭 到 保 密 性 、 完 整 性 和 可 用 性 损 失 后 ， 造 成 的 影 响 程 度 ， 以 确 保 适 当 的 保 护 级 别 和 所 需 资 源 的 可 用 性 。 发 起 方 在 协 议 中 规 定 对 数 据 的 保 护 要 求 。 如 果 已 经 进 行 了 风 险 评 估 ， 联 合 规 划 小 组 需 考 虑 现 有 结 果 是 否 适 用 ， 是 否 需 要 更 新 和 再 评 估 。 信 息 安 全 风 险 注 意 事 项 信 息 安 全 风 险 注 意 事 项 ： 尽 量 减 少 交 换 / 共 享 的 数 据 ， 以 降 低 数 据 在 授 权 边 界 之 外 丢 失 机 密 性 和 完 整 性 的 风 险 ； 如 果 要 交 换 / 共 享 高 价 值 资 产 数 据 ， 注 意 考 虑 额 外 风 险 ； 考 虑 数 据 交 换 / 共 享 的 可 用 性 和 弹 性 要 求 ； 考 虑 参 与 组 织 间 的 系 统 互 连 是 否 会 增 加 数 据 和 系 统 的 安 全 风 险 。 影 响 级 别 影 响 级 别 ： 分 别 针 对 三 个 安 全 目 标 （ 机 密 性 、 完 整 性 和 可 用 性 ） 确 定 要 交 换 的 数 据 丢 失 会 造 成 的 影 响 。 如 果 可 用 性 损 失 的 影 响 很 大 ， 但 机 密 性 损 失 的 影 响 低 ， 而 完 整 性 损 失 的 影 响 中 等 ， 但 可 用 性 损 失 的 影 响 低 ， 则 关 于 是 否 以 及 如 何 共 享 数 据 的 决 定 可 能 会 有 所 不 同 。 准 确 识 别 数 据 的 重 要 性 对 于 确 定 数 据 的 保 护 要 求 至 关 重 要 。 数 据 交 换 数 据 交 换 / 共 享 方 法 共 享 方 法 ： 明 确 数 据 交 换 / 共 享 的 方 法 对 确 定 数 据 保 护 要 求 也 是 必 不 可 少 。 对 现 有 基 础 设 施 和 运 营 的 影 响 ： 对 现 有 基 础 设 施 和 运 营 的 影 响 ： 确 定 参 与 组 织 当 前 使 用 的 网 络 基 础 设 施 和 系 统 架 构 是 否 足 以 支 持 数 据 交 换 / 共 享 ， 或
是 否 需 要 额 外 的 基 础 设 施 组 件 （ 例 如 ， 通 信 线 路 、 路 由 器 、 交 换 机 ） 。 如 果 需 要 其 他 组 件 ， 应 确 定 安 装 和 使 用 这 些 组 件 可 能 对 现 有 基 础 架 构 产 生 的 潜 在 影 响 。 此 外 ， 确 定 数 据 交 换 / 共 享 可 能 对 当 前 运 营 产 生 的 潜 在 影 响 （ 例 如 ， 数 据 流 量 的 增 加 、 新 的 培 训 要 求 以 及 对 系 统 管 理 、 运 维 的 额 外 要 求 ） 。 依 赖 关 系 依 赖 关 系 ： 确 定 参 与 数 据 交 换 / 共 享 的 一 个 或 多 个 系 统 是 否 依 赖 于 本 次 数 据 交 换 / 共 享 活 动 才 能 继 续 运 行 。 如 果 存 在 此 类 依 赖 关 系 ， 需 要 考 虑 的 控 制 措 施 包 括 应 急 预 案 、 系 统 或 网 络 冗 余 ， 以 及 其 他 弹 性 需 求 。 特 定 硬 件 要 求 特 定 硬 件 要 求 ： 确 定 支 持 数 据 交 换 / 共 享 所 需 的 硬 件 （ 例 如 ， 路 由 器 、 防 火 墙 、 交 换 机 、 服 务 器 或 工 作 台 ） 。 确 定 现 有 硬 件 是 否 足 够 ？ 尤 其 是 在 预 计 未 来 数 据 增 长 的 情 况 下 ， 是 否 需 要 额 外 的 组 件 。 如 果 需 要 新 硬 件 ， 应 选 择 能 够 与 现 有 硬 件 互 操 作 的 产 品 。 特 定 软 件 要 求 特 定 软 件 要 求 ： 确 定 支 持 数 据 交 换 / 共 享 所 需 的 软 件 ， 包 括 用 于 数 据 交 换 / 共 享 管 理 和 文 件 共 享 服 务 的 软 件 ， 以 及 软 件 将 安 装 在 哪 些 硬 件 上 （ 例 如 ， 防 火 墙 、 服 务 器 、 工 作 台 和 笔 记 本 电 脑 ） 。 确 定 现 有 软 件 是 否 足 够 ？ 是 否 需 要 额 外 的 软 件 。 如 果 需 要 新 软 件 ， 应 选 择 能 够 与 现 有 软 件 互 操 作 的 产 品 。 用 户 社 区 用 户 社 区 ： 确 定 能 够 访 问 交 换 / 共 享 数 据 的 用 户 群 组 。 确 定 是 否 要 求 用 户 具 有 特 定 的 就 业 状 况 或 国 籍 要 求 ， 以 及 需 要 何 种 级 别 的 背 景 或 安 全 许 可 。 设 计 一 种 方 法 来 管 理 需 要 访 问 交 换 数 据 （ 包 括 用 户 身 份 ） 的 用 户 信 息 。 参 与 组 织 使 用 用 户 信 息 来 开 发 和 维 护 一 个 经 批 准 的 访 问 列 表 或 用 户 数 据 库 ， 这 些 用 户 有 权 访 问 交 换 / 共 享 的 数 据 。 需 要 的 安 全 措 施 包 括 ： 账 户 管 理 、 访 问 控 制 、 身 份 认 证 等 。 服 务 和 应 用 程 序 服 务 和 应 用 程 序 ： 确 定 每 个 组 织 作 为 数 据 交 换 / 共 享 的 一 部 分 提 供 的 任 何 信 息 服 务 ， 以 及 与 这 些 服 务 相 关 的 应 用 程 序 。 服 务 的 示 例 包 括 电 子 邮 件 、 安 全 文 件 共 享 服 务 、 身 份 验 证 服 务 和 通 用 计 算 服 务 。 角 色 和 职 责 角 色 和 职 责 ： 确 定 负 责 建 立 、 维 护 或 管 理 数 据 交 换 / 共 享 的 人 员 ， 以 及 与 数 据 交 换 / 共 享 有 关 的 具 体 职 责 。 人 员 包 括 项 目 经 理 、 系 统 所 有 者 、 数 据 所 有 者 、 系 统 或 数 据 库 管 理 员 以 及 系 统 安 全 员 。 调 度 调 度 ： 为 参 与 规 划 、 建 立 和 维 护 数 据 交 换 / 共 享 活 动 制 定 一 个 时 间 表 。 同 时 ， 确 定 终 止 或 重 新 授 权 交 换 的 时 间 表 和 条 件 。 例 如 ， 参 与 组 织 可 能 同 意 每 年 审 查 与 交 换 相 关 的 协 议 ， 以 确 定 是 否 仍 然 需 要 交 换 ， 以 及 保 护 要 求 是 否 仍 然 足 够 。 成 本 和 预 算 成 本 和 预 算 ： 确 定 规 划 、 建 立 和 维 护 互 连 所 需 的 预 期 成 本 。 确 定 所 有 相 关 成 本 ， 包 括 人 工 、 硬 件 、 软 件 、 通 信 线 路 、 应 用 程 序 、 设 施 、 物 理 安 全 、 培 训 和 测 试 等 ， 制 定 综 合 预 算 并 确 定 如 何 在 各 参 与 数 据 交 换 的 组 织 之 间 分 配 成 本 。 数 据 元 素 命 名 数 据 元 素 命 名 ： 如 果 数 据 交 换 / 共 享 涉 及 数 据 库 ， 确 定 参 与 组 织 使 用 的 数 据 元 素 命 名 方 案 是 否 兼 容 ， 或 者 是 否 需 要 对 数 据 库 进 行 规 范 化 ， 以 便 组 织 可 以 使 用 交 换 的 数 据 。 此 外 ， 确 定 如 何 识 别 和 解 决 潜 在 的 数 据 元 素 命 名 冲 突 。 数 据 所 有 权 数 据 所 有 权 ： 确 定 交 换 / 共 享 数 据 的 所 有 权 是 否 从 发 送 方 转 移 到 接 收 方 ， 或 者 发 送 方 是 否 保 留 所 有 权 ， 而 接 收 方 是 保 管 人 。 并 确 定 如 何 存 储 交 换 的 数 据 ， 是 否 可 以 重 用 数 据 或 将 数 据 转 移 到 第 三 方 组 织 或 系 统 ， 以 及 如 何 在 不 需 要 时 销 毁 数 据 。 安 全 控 制 安 全 控 制 ： 确 定 安 全 控 制 措 施 ， 以 保 护 交 换 / 共 享 数 据 和 系 统 处 理 、 存 储 或 传 输 数 据 的 机 密 性 、 完 整 性 和 可 用 性 。 安 全 控 制 措 施 的 制 定 是 基 于 数 据 和 相 关 系 统 的 重 要 程 度 、 组 织 风 险 承 受 能 力 以 及 风 险 评 估 结 果 来 确 定 。 推 荐 的 安 全 控 制 措 施 如 下 ： 职 责 分 离 职 责 分 离 ： 确 定 对 数 据 交 换 / 共 享 相 关 人 员 的 管 理 ， 并 分 配 相 应 的 职 责 。 可 参 考 的 职 责 分 配 示 例 包 括 审 计 、 管 理 用 户 配 置 文 件 、 管 理 配 置 和 维 护 设 备 。 职 责 分 离 降 低 了 单 个 个 人 可 能 对 交 换 的 数 据 ， 以 及 处 理 、 存 储 或 传 输 数 据 的 系 统 造 成 损 害 的 风 险 ， 无 论 是 意 外 还 是 故 意 。 事 件 报 告 和 响 应 事 件 报 告 和 响 应 ： 建 立 流 程 来 报 告 和 响 应 参 与 组 织 的 技 术 或 人 员 检 测 到 的 与 数 据 交 换 有 关 的 安 全 事 件 或 异 常 和 可 疑 活 动 。 事 件 报 告 程 序 需 符 合 适 用 的 法 律 、 法 规 、 政 策 、 标 准 和 指 南 。 确 定 何 时 以 及 如 何 相 互 通 知 可 能 影 响 数 据 交 换 的 可 疑 活 动 或 安 全 事 件 。 确 定 需 要 报 告 的 事 件 类 型 和 报 告 中 包 含 的 信 息 ， 例 如 事 件 的 原 因 、 受 影 响 的 数 据 或 应 用 ， 造 成 的 影 响 。 此 外 ， 确 定 需 要 协 调 响 应 的 事 件 类 型 ， 并 确 定 如 何 协 调 响 应 活 动 。 建 议 可 制 定 联 合 事 件 响 应 计 划 。 应 急 预 案 应 急 预 案 ： 有 必 要 制 定 应 急 预 案 ， 以 应 对 可 能 影 响 数 据 交 换 / 共 享 的 灾 难 或 破 坏 性 突 发 事 件 ， 尤 其 是 在 交 换 / 共 享 具 有 中 等 或 高 影 响 数 据 的 情 况 下 。 组 织 决 定 如 何 相 互 通 知 此 类 突 发 事 件 、 各 组 织 将 相 互 帮 助 的 程 度 以 及 提 供 援 助 的 条 件 。
确 定 紧 急 联 络 点 、 确 定 是 否 将 冗 余 合 并 到 支 持 数 据 交 换 / 共 享 的 组 件 中 ， 包 括 冗 余 互 连 点 ， 以 及 如 何 检 索 备 份 数 据 。 协 调 应 急 响 应 培 训 、 测 试 和 演 习 。 数 据 备 份 数 据 备 份 ： 确 定 交 换 / 共 享 数 据 的 备 份 和 存 储 要 求 。 如 果 需 要 备 份 ， 应 确 定 需 要 备 份 的 信 息 类 型 、 备 份 频 率 （ 例 如 ， 每 天 、 每 周 或 每 月 ） 以 及 负 责 备 份 的 组 织 。 此 外 ， 确 定 如 何 执 行 备 份 以 及 如 何 将 备 份 与 应 急 预 案 流 程 相 关 联 。 配 置 管 理 配 置 管 理 ： 确 定 如 何 协 调 可 能 影 响 数 据 交 换 / 共 享 安 全 性 和 功 能 的 配 置 变 更 的 规 划 、 设 计 和 实 施 ， 例 如 升 级 硬 件 或 软 件 、 更 改 配 置 设 置 或 添 加 服 务 。 与 每 个 组 织 的 相 关 人 员 建 立 一 个 群 组 ， 以 审 查 可 能 影 响 数 据 交 换 / 共 享 的 预 期 变 更 。 协 调 配 置 管 理 活 动 将 降 低 实 施 变 更 的 可 能 性 。 行 为 准 则 行 为 准 则 ： 制 定 行 为 准 则 ， 明 确 规 定 被 授 权 访 问 交 换 数 据 和 系 统 处 理 、 存 储 或 传 输 数 据 的 人 员 的 职 责 和 可 操 作 行 为 。 以 书 面 形 式 记 录 规 则 并 说 明 不 一 致 行 为 或 不 遵 守 的 后 果 ， 并 通 过 安 全 意 识 培 训 强 调 行 为 准 则 。 培 训 和 意 识 培 训 和 意 识 ： 为 授 权 访 问 交 换 / 共 享 数 据 的 用 户 、 以 及 处 理 、 存 储 或 传 输 数 据 的 系 统 用 户 进 行 安 全 培 训 和 意 识 教 育 。 数 据 交 换 安 全 培 训 和 意 识 教 育 可 以 纳 入 现 有 的 组 织 培 训 活 动 中 。 在 适 当 的 情 况 下 ， 要 求 用 户 签 署 一 份 确 认 表 ， 表 明 对 数 据 交 换 安 全 责 任 的 理 解 。 如 果 使 用 共 享 应 用 ， 需 要 确 保 用 户 知 道 如 何 正 确 使 用 它 们 。 4 . 1 . 5   步 骤 五 ： 记 录 适 当 的 协 议 步 骤 五 ： 记 录 适 当 的 协 议 联 合 规 划 小 组 确 定 并 记 录 管 理 交 换 信 息 所 需 的 协 议 ； 处 理 、 存 储 或 传 输 信 息 的 系 统 ； 相 关 组 织 和 用 户 的 角 色 和 职 责 ； 根 据 对 相 关 技 术 、 安 全 和 管 理 问 题 的 审 查 （ 如   4 . 1 . 4   节 所 述 ） ， 明 确 组 织 将 遵 守 的 协 议 条 款 ， 以 及 其 他 适 当 的 要 求 。 可 能 需 要 多 种 类 型 的 协 议 ， 例 如 服 务 水 平 协 议 、 通 信 协 议 和 保 密 协 议 等 。 下 表 反 映 了 基 于 数 据 交 换 / 共 享 类 型 或 方 法 （ 行 ） 以 及 数 据 丢 失 的 影 响 程 度 （ 列 ） 可 能 需 要 的 协 议 ， 提 供 了 初 步 指 导 以 帮 助 组 织 确 定 最 合 适 的 协 议 。 由 于 协 议 本 身 可 能 包 含 中 等 影 响 或 更 高 影 响 的 数 据 ， 因 此 根 据 影 响 级 别 处 理 、 存 储 和 传 输 协 议 ， 以 防 止 通 信 过 程 中 数 据 被 盗 窃 、 篡 改 或 破 坏 。 （ （ 1 ） 互 连 安 全 协 议 ） 互 连 安 全 协 议 ( I S A ) 互 连 安 全 协 议   ( I S A )   是 一 份 文 件 ， 规 定 了 在 两 个 或 多 个 系 统 之 间 建 立 、 操 作 和 维 护 互 连 的 技 术 和 安 全 要 求 。 I S A   还 支 持 组 织 之 间 的 谅 解 备 忘 录 / 协 议   ( M O U / A ) 。 具 体 来 说 ， I S A   记 录 了 连 接 系 统 的 要 求 ； 描 述 了 保 护 交 换 数 据 及 处 理 、 存 储 或 传 输 数 据 的 系 统 所 需 的 安 全 保 护 要 求 和 控 制 措 施 ； 包 括 互 连 的 网 络 拓 扑 图 ； 并 为 参 与 组 织 提 供 签 名 行 。 当 通 过 系 统 互 连 方 式 进 行 数 据 交 换 / 共 享 时 ， 应 选 择 该 协 议 。 （ （ 2 ） 谅 解 备 忘 录 及 协 议 （ ） 谅 解 备 忘 录 及 协 议 （ M O U / A ） ） M O U / A   通 常 与   I S A   一 起 应 用 于 数 据 交 换 / 共 享 。 一 般 来 说 ， 谅 解 备 忘 录 是 参 与 组 织 之 间 的 合 作 意 向 声 明 ， 通 常 说 明 合 作 的 目 标 、 目 的 ； 详 细 说 明 协 议 的 条 款 和 条 件 ； 概 述 实 现 目 标 或 目 的 所 需 的 操 作 。 谅 解 协 议 最 常 用 于 解 决 各 方 之 间
的 财 务 责 任 和 义 务 。 虽 然 谅 解 协 议   不 承 担 资 金 责 任 ， 但 它 可 以 指 定 承 担 资 金 责 任 的 组 织 。 为 支 持 数 据 交 换 / 共 享 ， 谅 解 备 忘 录 及 协 议 共 同 解 决 如 下 问 题 ： 数 据 交 换 / 共 享 的 目 标 和 目 的 ； 每 个 组 织 的 相 关 权 限 和 职 责 ； 以 安 全 方 式 交 换 / 共 享 数 据 的 协 议 和 条 件 ， 包 括 可 接 受 的 交 换 / 共 享 数 据 的 使 用 ； 交 换 / 共 享 所 涉 及 的 财 务 责 任 ； 中 止 或 重 新 授 权 数 据 交 换 / 共 享 的 时 间 表 。 谅 解 备 忘 录 和 谅 解 协 议 不 包 括 有 关 如 何 建 立 或 维 护 数 据 交 换 / 共 享 的 技 术 细 节 或 交 换 的 具 体 安 全 要 求 ； 如 果 数 据 交 换 / 共 享 活 动 中 ， 不 涉 及 相 关 的 财 务 责 任 问 题 ， 则 可 以 不 使 用 谅 解 协 议 （ M O A ） 。 （ （ 3 ） 数 据 交 换 ） 数 据 交 换 / 共 享 协 议 共 享 协 议 数 据 交 换 / 共 享 协 议 是 一 份 文 件 ， 规 定 了 交 换 / 共 享 数 据 的 安 全 保 护 要 求 和 责 任 。 类 似 于   I S A ， 但 不 包 括 与 互 连 相 关 的 技 术 细 节 。 具 体 来 说 ， 数 据 交 换 / 共 享 协 议 描 述 了 保 护 交 换 / 共 享 数 据 以 及 处 理 、 存 储 或 传 输 数 据 的 系 统 所 需 的 保 护 要 求 和 安 全 控 制 措 施 ， 并 为 参 与 组 织 提 供 了 签 名 行 。 （ （ 4 ） 服 务 水 平 协 议 ） 服 务 水 平 协 议 服 务 水 平 协 议   ( S L A )   代 表 服 务 提 供 商 与 一 个 或 多 个 客 户 之 间 的 承 诺 ， 并 涉 及 服 务 的 特 定 方 面 ， 例 如 责 任 、 服 务 类 型 等 详 细 信 息 、 预 期 的 性 能 水 平 （ 例 如 ， 可 靠 性 、 可 接 受 的 质 量 、   和 响 应 时 间 ） ， 以 及 报 告 、 解 决 和 终 止 的 要 求 。 S L A 通 常 是 正 式 合 同 的 一 部 分 。 当 数 据 交 换 / 共 享 活 动 的 影 响 程 度 为 中 等 或 高 等 级 时 ， 可 以 使 用 S L A   进 行 数 据 交 换 / 共 享 。 （ （ 5 ） 用 户 协 议 、 访 问 协 议 和 用 户 许 可 协 议 ） 用 户 协 议 、 访 问 协 议 和 用 户 许 可 协 议 用 户 协 议 、 访 问 协 议 和 用 户 许 可 协 议 是 面 向 用 户 的 协 议 ， 类 似 于 行 为 准 则 ， 指 定 用 户 在 交 换 / 共 享 数 据 或 访 问 包 含 交 换 / 共 享 数 据 的 文 件 或 系 统 时 的 责 任 。 协 议 中 规 定 的 用 户 责 任 可 能 包 括 但 不 限 于 允 许 用 户 对 数 据 做 什 么 、 如 何 使 用 数 据 以 及 数 据 是 否 可 以 传 输 给 其 他 方 。 有 权 访 问 数 据 的 用 户 在 获 得 数 据 访 问 权 限 之 前 阅 读 并 同 意 协 议 以 确 认 接 受 和 理 解 。 当 被 交 换 / 共 享 的 数 据 重 要 性 为 中 等 或 高 影 响 等 级 时 ， 可 以 使 用 用 户 协 议 、 访 问 协 议 和 用 户 许 可 协 议 。 （ （ 6 ） 保 密 协 议 ） 保 密 协 议 保 密 协 议   ( N D A )   描 述 了 签 署 方 同 意 不 向 任 何 其 他 方 发 布 或 泄 露 的 特 定 信 息 、 材 料 或 知 识 。 N D A 可 以 在 规 定 的 时 间 范 围 内 有 效 ， 也 可 以 是 无 限 期 的 。 当 被 交 换 / 共 享 的 数 据 的 保 密 性 很 高 或 属 于 个 人 身 份 信 息 时 ， 建 议 使 用 保 密 协 议 进 行 数 据 交 换 / 共 享 。 （ （ 7 ） 组 织 定 义 的 其 他 类 型 协 议 ） 组 织 定 义 的 其 他 类 型 协 议 合 同 、 互 联 网 服 务 协 议 或 其 他 组 织 定 义 的 协 议 也 可 应 用 于 数 据 交 换 / 共 享 。 为 支 持 业 务 需 求 ， 组 织 可 能 会 签 订 机 构 间 / 或 组 织 间 协 议 ， 这 些 协 议 并 非 特 定 于 数 据 交 换 / 共 享 ， 但 可 能 包 含 了 交 换 / 共 享 数 据 的 需 求 。 如 果 需 要 数 据 交 换 / 共 享 来 支 持 另 一 项 协 议 ， 则 组 织 应 确 定 要 交 换 的 数 据 的 特 定 保 护 需 求 和 相 关 协 议 需 求 。 （ （ 8 ） 登 录 追 踪 工 具 ） 登 录 追 踪 工 具 追 踪 工 具 提 供 了 一 种 记 录 和 追 踪 授 权 边 界 外 数 据 交 换 / 共 享 的 方 法 。 追 踪 工 具 的 示 例 包 括 但 不 限 于 内 部 电 子 表 格 或 数 据 库 ； 治 理 、 风 险 和 合 规   ( G R C )   工 具 或 其 他 自 动 化 工 具 ； 并 在 系 统 安 全 规 划 中 保 持 最 新 的 控 制 实 施 信 息 。 追 踪 数 据 交 换 / 共 享 的 要 求 可 能 会 作 为 其 他 类 型 协 议 （ 如 ， I S A 和 I E A ） 的 一 部 分 被 提 出 。 4 . 1 . 6   步 骤 六 ： 批 准 或 拒 绝 数 据 步 骤 六 ： 批 准 或 拒 绝 数 据 / 共 享 交 换 共 享 交 换 联 合 规 划 小 组 将 起 草 的 协 议 提 交 给 每 个 参 与 组 织 的 相 关 领 导 或 风 险 管 理 官 员 ， 并 请 求 批 准 数 据 交 换 / 共 享 活 动 。 相 关 领 导 或 风 险 管 理 官 员 收 到 后 审 查 协 议 及 相 关 文 件 或 程 序 。 根 据 审 查 结 果 决 定 以 下 事 项 之 一 ：
批 准 数 据 交 换 / 共 享 ； 拒 绝 数 据 交 换 / 共 享 。 如 果 相 关 领 导 或 风 险 管 理 官 员 接 受 协 议 ， 则 需 要 签 署 文 件 并 注 明 日 期 ， 从 而 批 准 数 据 交 换 / 共 享 活 动 。 参 与 组 织 根 据 组 织 存 档 政 策 和 程 序 保 留 这 些 协 议 ， 并 通 知 其 他 相 关 人 员 该 活 动 已 获 批 准 。 如 果 协 议 被 领 导 或 风 险 管 理 官 员 拒 绝 ， 他 们 将 提 出 解 决 方 案 或 指 定 在 批 准 之 前 要 完 成 的 额 外 要 求 ， 包 括 实 施 额 外 的 安 全 控 制 。 此 外 ， 还 规 定 了 完 成 任 务 的 时 间 表 。 联 合 规 划 小 组 努 力 满 足 要 求 ， 然 后 重 新 提 交 更 新 的 数 据 安 全 协 议 。 4 . 1 . 7   紧 急 交 换 紧 急 交 换 / 共 享 数 据 共 享 数 据 有 时 可 能 会 出 现 紧 急 情 况 ， 需 要 立 即 交 换 / 共 享 数 据 。 当 时 间 不 允 许 遵 循 既 定 的 数 据 交 换 / 共 享 安 全 管 理 流 程 时 ， 仍 然 可 以 对 数 据 交 换 / 共 享 进 行 管 理 和 控 制 。 例 如 ， 在 交 换 之 前 ， 组 织 应 明 确 处 理 和 保 护 数 据 的 说 明 、 对 数 据 访 问 的 限 制 、 用 户 访 问 或 保 密 协 议 等 。 数 据 或 系 统 所 有 者 应 记 录 紧 急 交 换 / 共 享 的 理 由 以 及 参 与 紧 急 交 换 / 共 享 的 角 色 和 特 定 个 人 ， 如 果 紧 急 交 换 / 共 享 成 为 经 常 性 或 永 久 性 的 交 换 / 共 享 ， 参 与 组 织 应 在 初 始 紧 急 交 换 / 共 享 后 记 录 数 据 交 换 / 共 享 安 全 管 理 过 程 并 持 续 完 善 管 理 措 施 。 如 果 紧 急 交 换 / 共 享 是 孤 立 事 件 ， 参 与 组 织 应 确 保 对 数 据 进 行 与 风 险 相 称 的 安 全 保 护 ， 并 订 立 适 当 的 协 议 进 行 后 续 跟 进 。 4 . 2   建 立 数 据 交 换 建 立 数 据 交 换 / 共 享 共 享 数 据 交 换 / 共 享 活 动 经 规 划 批 准 后 ， 方 可 实 施 。 本 小 节 提 供 了 建 立 数 据 交 换 / 共 享 的 推 荐 步 骤 ， 本 阶 段 应 完 成 的 内 容 如 下 ： 4 . 2 . 1   步 骤 一 ： 制 定 实 施 计 划 步 骤 一 ： 制 定 实 施 计 划 为 了 确 保 数 据 安 全 地 交 换 / 共 享 ， 联 合 规 划 小 组 应 制 定 数 据 交 换 / 共 享 实 施 计 划 。 实 施 计 划 的 目 的 是 将 数 据 交 换 / 共 享 工 作 的 所 有 方 面 集 中 在 一 份 文 件 中 ， 并 阐 明 将 如 何 实 施 协 议 中 规 定 的 相 关 技 术 要 求 。 完 善 的 实 施 计 划 将 极 大 地 提 高 数 据 交 换 / 共 享 的 安 全 性 和 成 功 性 。 实 施 计 划 包 含 的 内 容 如 下 ： 描 述 数 据 交 换 / 共 享 活 动 所 涉 及 的 相 关 系 统 ； 确 定 要 交 换 / 共 享 的 数 据 的 影 响 级 别 ； 确 定 负 责 建 立 和 维 护 数 据 交 换 / 共 享 的 人 员 并 指 定 他 们 的 职 责 ；
确 定 实 施 任 务 和 流 程 ； 确 定 并 描 述 为 保 护 交 换 / 共 享 数 据 的 机 密 性 、 完 整 性 和 可 用 性 而 实 施 的 安 全 控 制 措 施 ； 提 供 控 制 措 施 评 估 和 测 量 标 准 ， 以 确 保 数 据 被 安 全 地 交 换 ； 指 定 对 用 户 的 培 训 要 求 ， 包 括 培 训 计 划 ； 引 用 或 包 括 所 有 相 关 文 档 ， 例 如 系 统 安 全 计 划 、 设 计 规 范 和 标 准 操 作 流 程 。 4 . 2 . 2   步 骤 二 ： 执 行 实 施 计 划 步 骤 二 ： 执 行 实 施 计 划 在 规 划 小 组 的 成 员 制 定 、 审 查 和 批 准 实 施 计 划 后 ， 该 计 划 就 可 以 执 行 了 。 下 面 提 供 了 用 于 实 施 数 据 交 换 / 共 享 的 推 荐 任 务 。 （ （ 1 ） 安 装 或 配 置 硬 件 和 软 件 ） 安 装 或 配 置 硬 件 和 软 件 可 能 需 要 安 装 新 的 硬 件 和 软 件 或 配 置 现 有 的 硬 件 和 软 件 以 支 持 数 据 交 换 / 共 享 活 动 。 （ （ 2 ） 实 施 或 配 置 安 全 控 制 ） 实 施 或 配 置 安 全 控 制 如 果 安 全 控 制 不 到 位 或 配 置 不 当 ， 建 立 数 据 交 换 / 共 享 的 过 程 可 能 会 使 系 统 暴 露 给 未 经 授 权 的 人 员 访 问 。 因 此 ， 第 一 步 是 按 照 协 议 和 实 施 计 划 中 的 规 定 实 施 适 当 的 安 全 控 制 措 施 或 配 置 现 有 安 全 控 制 措 施 。 （ （ 3 ） 集 成 应 用 程 序 ） 集 成 应 用 程 序 为 支 持 数 据 交 换 / 共 享 的 服 务 需 要 集 成 应 用 程 序 或 协 议 。 示 例 包 括 但 不 限 于 数 据 库 应 用 程 序 、 电 子 邮 件 、 W e b   浏 览 器 、 应 用 程 序 服 务 器 、 身 份 认 证 服 务 器 、 域 名 服 务 器 、 开 发 工 具 、 编 辑 程 序 和 通 信 程 序 。 （ （ 4 ） 实 施 操 作 并 安 全 测 试 ） 实 施 操 作 并 安 全 测 试 进 行 评 估 以 确 定 支 持 数 据 交 换 / 共 享 的 设 备 是 否 正 常 运 行 ， 并 且 未 授 权 用 户 没 有 明 显 的 方 法 可 以 规 避 或 破 坏 安 全 控 制 。 测 试 跨 交 换 的 应 用 程 序 之 间 的 接 口 ， 并 模 拟 数 据 流 量 ， 以 在 接 收 端 验 证 正 确 的 数 据 接 收 。 如 果 可 以 ， 应 在 隔 离 的 非 操 作 环 境 中 进 行 测 试 以 避 免 影 响 系 统 。 记 录 测 试 结 果 ， 并 将 其 与 各 组 织 批 准 的 一 组 预 先 确 定 的 操 作 和 安 全 要 求 进 行 比 较 。 确 定 结 果 是 否 满 足 双 方 商 定 的 可 接 受 的 风 险 水 平 ， 以 及 是 否 需 要 采 取 其 他 应 对 措 施 。 （ （ 5 ） 开 展 安 全 培 训 及 意 识 教 育 ） 开 展 安 全 培 训 及 意 识 教 育 对 所 有 参 与 管 理 、 使 用 或 操 作 数 据 的 授 权 人 员 进 行 安 全 培 训 和 意 识 培 训 。 定 期 为 特 定 用 户 提 供 安 全 培 训 ， 并 为 所 有 用 户 提 供 意 识 教 育 。 将 行 为 准 则 分 发 给 所 有 接 触 交 换 数 据 的 人 员 。 确 保 人 员 知 道 如 何 报 告 可 疑 或 禁 止 的 活 动 ， 以 及 在 遇 到 问 题 时 如 何 请 求 帮 助 。 （ （ 6 ） 更 新 系 统 安 全 计 划 ） 更 新 系 统 安 全 计 划 组 织 更 新 他 们 的 系 统 安 全 计 划 和 相 关 文 件 ， 以 反 映 他 们 各 自 系 统 运 行 的 安 全 环 境 变 化 。 此 外 ， 建 议 对 更 新 计 划 中 与 数 据 交 换 / 共 享 相 关 的 部 分 进 行 相 互 审 查 。 在 数 据 交 换 / 共 享 协 议 中 应 规 定 进 行 相 互 审 查 的 细 节 。 建 议 系 统 安 全 计 划 应 包 括 以 下 有 关 数 据 交 换 / 共 享 的 信 息 ： 受 影 响 系 统 的 名 称 ； 参 与 组 织 ； 交 换 / 共 享 方 法 ； 授 权 管 理 人 员 的 姓 名 和 职 务 ； 授 权 日 期 ；
要 交 换 / 共 享 数 据 的 描 述 / 类 型 ； 要 交 换 / 共 享 的 各 类 数 据 的 影 响 级 别 ； 受 影 响 系 统 的 影 响 程 度 ； 受 影 响 系 统 的 接 口 ； 硬 件 清 单 ； 软 件 清 单 ； 管 理 数 据 交 换 / 共 享 的 安 全 问 题 和 行 为 准 则 。 （ （ 7 ） 开 展 安 全 评 估 和 授 权 活 动 ） 开 展 安 全 评 估 和 授 权 活 动 建 立 数 据 交 换 / 共 享 活 动 可 能 会 带 来 相 关 系 统 的 重 大 变 化 。 在 进 一 步 进 行 之 前 ， 每 个 参 与 组 织 都 应 评 估 并 授 权 各 自 的 系 统 ， 以 确 保 安 全 风 险 保 持 在 可 接 受 的 水 平 。 4 . 2 . 3   步 骤 三 ： 启 动 数 据 交 换 步 骤 三 ： 启 动 数 据 交 换 / 共 享 共 享 按 照 规 定 的 准 则 ， 启 动 供 各 方 使 用 的 数 据 交 换 / 共 享 活 动 。 建 议 各 组 织 在 商 定 的 期 限 内 密 切 监 视 交 换 / 共 享 活 动 ， 以 确 保 其 正 常 和 安 全 地 运 行 。 并 且 仔 细 、 频 繁 地 分 析 审 计 日 志 ， 以 及 监 控 用 户 请 求 的 帮 助 类 型 。 记 录 并 及 时 解 决 出 现 的 任 何 脆 弱 性 或 问 题 。 4 . 3   维 护 数 据 交 换 维 护 数 据 交 换 / 共 享 共 享 一 旦 建 立 数 据 交 换 / 共 享 活 动 ， 就 应 对 其 积 极 维 护 ， 以 确 保 数 据 交 换 / 共 享 安 全 。 本 小 节 描 述 了 维 护 数 据 交 换 / 共 享 安 全 的 推 荐 活 动 ， 如 图 下 图 所 示 ： 4 . 3 . 1   保 持 清 晰 的 沟 通 渠 道 保 持 清 晰 的 沟 通 渠 道 参 与 数 据 交 换 / 共 享 的 组 织 必 须 建 立 明 确 的 沟 通 渠 道 并 定 期 沟 通 ， 这 一 点 至 关 重 要 。 开 放 的 沟 通 渠 道 有 助 于 确 保 数 据 交 换 / 共 享 和 与 之 相 关 的 互 连 得 到 适 当 维 护 ， 并 且 确 保 安 全 控 制 措 施 持 续 有 效 。 开 放 式 沟 通 还 有 助 于 及 时 管 理 活 动 的 变 化 ， 比 如 ， 系 统 的 变 更 ， 另 外 ， 保 持 清 晰 的 沟 通 渠 道 将 提 高 安 全 事 件 响 应 速 度 。 指 定 人 员 之 间 的 沟 通 是 通 过 使 用 与 数 据 交 换 / 共 享 相 关 的 协 议 中 规 定 的 流 程 来 完 成 的 。 沟 通 的 主 题 包 括 但 不 限 于 以 下 内 容 ： 初 始 协 议 和 协 议 变 更 ； 指 定 管 理 和 技 术 人 员 的 变 动 ；
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理