安全性要求

安全性是一个复杂的主题，涉及到部署系统的各个级别。开发安全要求围绕确定安全威胁和开发解决它们的策略进行。此安全分析包括以下步骤：

1. 确定关键资产

2. 确定对这些资产的威胁

3. 确定使组织暴露于可能带来风险的威胁的薄弱环节

4. 开发减轻组织风险的安全规划

分析安全要求应由您的组织的各方面风险承担者参与，包括管理员、业务分析师和信息技术人员。通常，组织会指定一个安全结构设计师来领导安全措施的设计和实现。

以下各节介绍安全规划包括的一些领域。

安全规划元素

规划系统安全是部署设计的一部分，对于设计的成功实现至关重要。规划安全时请考虑以下几点：

• 物理安全。物理安全是对路由器、服务器、服务器机房、数据中心及基础结构中其他部分的物理访问。如果未经授权的人可以进入服务器机房然后拔掉路由器电源，则其他安全措施将毫无意义。

• 网络安全。网络安全是通过防火墙、安全访问区、访问控制列表和端口访问对网络进行访问。对于网络安全，应开发针对未授权访问、篡改和拒绝服务 (denial of service, DoS) 攻击的策略。

• 应用程序和应用程序数据安全。应用程序和应用程序数据安全包括通过验证和授权过程及策略访问用户帐户、公司数据和企业应用程序。此领域包括定义下列策略：

  • 密码策略

  • 访问权限，如对用户的委派管理（区别于管理员访问）

  • 帐户灭活

  • 访问控制

  • 加密策略，包括数据安全传输和使用证书签署数据

• 个人安全惯例。组织范围的安全策略，定义工作环境和所有用户必须遵守的惯例，以确保其他安全措施按设计实行。通常的做法是编印安全手册并对用户进行安全惯例培训。要实现有效的总体安全策略，可靠的安全惯例必须成为企业文化的组成部分。