下载掌阅APP，畅读海量书库
立即打开
数据保密性安全规范是数据安全管理要求中的重点，通过数据的保密实现平台重要业务数据的安全传递与安全应用，确保数据能够被安全、方便、透明地使用。为此，业务平台应采用加密等安全措施完成数据保密性工作。
1）通过加密措施，实现重要业务数据传输保密性。
2）采用加密方法，实现重要业务数据存储的保密性。
加密安全措施主要分为密码安全及密钥安全。
密码的使用应该遵循以下原则：
1）不能将密码写下来，不能通过电子邮件传输。
2）不能使用缺省设置的密码；不能将密码告诉别人。
3）一旦发生系统的密码泄漏了，必须立即更改。
4）密码要以加密形式保存，加密算法强度要高，加密算法要不可逆。
5）系统应该强制指定密码的策略，包括密码的最短有效期、最长有效期、最短长度、复杂性等。
6）如果需要特殊用户的口令（比如说UNIX下的Oracle），要禁止通过该用户进行交互式登录。
7）在要求较高的情况下可以使用强度更高的认证机制，例如：双因素认证。
密钥管理对于有效使用密码技术至关重要。密钥的丢失和泄露可能会损害数据信息的保密性、重要性和完整性。因此，应采取加密技术等措施来有效保护密钥，以免密钥被非法修改和破坏；还应对生成、存储和归档保存密钥的设备采取物理保护。此外，必须使用经过业务平台部门批准的加密机制进行密钥分发，并记录密钥的分发过程，以便审计跟踪，统一对密钥、证书进行管理。密钥管理应该基于以下流程：
1）密钥产生：为不同的密码系统和不同的应用生成密钥。
2）密钥证书：生成并获取密钥证书。
3）密钥分发：向目标用户分发密钥，包括在收到密钥时如何将之激活。
4）密钥存储：为当前或近期使用的密钥或备份密钥提供安全存储，包括授权用户如何访问密钥。
5）密钥变更：包括密钥变更时机及变更规则，处置被泄露的密钥。
6）密钥撤销：包括如何收回或者去激活密钥，如在密钥已被泄露或者相关运维操作员离开业务平台部门时（在这种情况下，应当归档密钥）。
7）密钥恢复：作为业务平台连续性管理的一部分，对丢失或破坏的密钥进行恢复。
8）密钥归档：归档密钥，以用于归档或备份的数据信息。
9）密钥销毁：密钥销毁将删除该密钥管理下数据信息客体的所有记录，将无法恢复，因此，在密钥销毁前，应确认由此密钥保护的数据信息不再需要。