金蝶微博安全白皮書(shū)

《金蝶微博安全白皮書(shū)》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在行業(yè)資料-天天文庫(kù)。

1、金蝶微博安全白皮書(shū)發(fā)表于2012年5月23日由edward_xue陸續(xù)有客戶咨詢金蝶微博安全性的問(wèn)題。下面是部門(mén)最新編寫(xiě)的安全白皮書(shū)，希望可以解決客戶的疑惑。第一部分傳輸、存儲(chǔ)安全1.1企業(yè)數(shù)據(jù)的隔離您的數(shù)據(jù)是私密的，安全的，完全與金蝶微博的其他企業(yè)或組織隔離，只有您才可以訪問(wèn)您的數(shù)據(jù)。數(shù)據(jù)通過(guò)底層框架隔離過(guò)濾器進(jìn)行過(guò)濾，確保您的數(shù)據(jù)不會(huì)在網(wǎng)絡(luò)間傳輸時(shí)泄露。1.2數(shù)據(jù)中心的安全金蝶微博使用了加強(qiáng)型企業(yè)級(jí)數(shù)據(jù)中心來(lái)儲(chǔ)存您的信息。我們?nèi)耆旌驅(qū)嵤╀浵癖O(jiān)控，采用了嚴(yán)格的人員訪問(wèn)路徑控制措施、現(xiàn)場(chǎng)安全以及審計(jì)等措施來(lái)對(duì)您的信息進(jìn)行保護(hù)。訪客在進(jìn)入我們辦公建筑前應(yīng)獲得許可，而對(duì)于需要進(jìn)入有

2、服務(wù)器、工作站或網(wǎng)絡(luò)設(shè)備的區(qū)域的訪客，他們則應(yīng)獲得進(jìn)一步許可。作為我們嚴(yán)格的訪客訪問(wèn)控制措施的一部分，我們還特別保留了訪客日志，用于審核追蹤訪客活動(dòng)。1.3應(yīng)用程序的安全金蝶微博采用各種方式為您的信息提供保護(hù)，確保您的信息不丟失，且在未經(jīng)許可的情況下不得訪問(wèn)。通過(guò)SSL3.0/TLS與金蝶微博聯(lián)接，確保在您的瀏覽器與金蝶微博之間傳輸時(shí)數(shù)據(jù)不會(huì)被竊取。客戶信息無(wú)法使用http訪問(wèn)，我們將所有http聯(lián)接重新導(dǎo)向https（SSL/TLS）。儲(chǔ)存于數(shù)據(jù)庫(kù)或文件中的客戶密碼均通過(guò)MD5不可逆算法進(jìn)行加密，為客戶信息提供高強(qiáng)度加密保護(hù)，使客戶信息不可讀。1.4數(shù)據(jù)備份和恢復(fù)為確保數(shù)據(jù)的完整

3、性與可用性，我們?cè)跀?shù)據(jù)中心中配備了足夠數(shù)量的負(fù)載均衡器與核心交換器?？蛻魯?shù)據(jù)自動(dòng)異處備份，并在備份文件生成后，立即使用AES（高級(jí)加密標(biāo)準(zhǔn)）算法進(jìn)行批量加密。1.5防止病毒為進(jìn)一步保護(hù)數(shù)據(jù)的完整性，在所有易于受到病毒及其他惡意軟件攻擊的系統(tǒng)中，我們都安裝了防病毒軟件。我們努力找出各種新的安全漏洞，并不斷更新標(biāo)準(zhǔn)，以應(yīng)對(duì)這些安全漏洞。1.6內(nèi)部測(cè)試我們會(huì)徹底的測(cè)試我們的源代碼來(lái)防止安全漏洞。我們定期運(yùn)行內(nèi)部和外部的網(wǎng)站的漏洞掃描并徹底測(cè)試。我們還使用了文件完整性監(jiān)控軟件，用來(lái)提醒相關(guān)人員關(guān)鍵系統(tǒng)或者相關(guān)文件未經(jīng)授權(quán)的修改。1.7密碼策略你可以要求員工使用足夠復(fù)雜的密碼（在密碼設(shè)定時(shí)考

4、慮長(zhǎng)度、數(shù)字與字母組合以及特殊字符）。為了進(jìn)一步增強(qiáng)安全性，要求員工定期對(duì)密碼進(jìn)行更改。第二部分LDAP單點(diǎn)集成2.1金蝶微博采用LDAP實(shí)現(xiàn)中央用戶存儲(chǔ)和身份管理什么是LDAP？LDAP是輕量目錄訪問(wèn)協(xié)議，英文全稱是LightweightDirectoryAccessProtocol。LDAP能做什么？LDAP目錄中可以存儲(chǔ)各種類型的數(shù)據(jù)：電子郵件地址、郵件路由信息、人力資源數(shù)據(jù)、公用密匙、聯(lián)系人列表等等，實(shí)現(xiàn)企業(yè)內(nèi)部信息查詢。LDAP好在哪里？LDAP對(duì)查詢進(jìn)行了優(yōu)化，與寫(xiě)性能相比LDAP的讀性能要優(yōu)秀很多；LDAP協(xié)議是跨平臺(tái)的和標(biāo)準(zhǔn)的協(xié)議，不同廠商可使用不同技術(shù)實(shí)現(xiàn)。2.2

5、金蝶微博的身份管理解決方案新員工入職新員工在HR系統(tǒng)中創(chuàng)建用戶；中央身份庫(kù)獲取新用戶，創(chuàng)建事件；與中央身份庫(kù)連接的每個(gè)系統(tǒng)中自動(dòng)創(chuàng)建該用戶賬號(hào)，包括金蝶微博，并基于建立的業(yè)務(wù)規(guī)則同步適當(dāng)?shù)男畔?。員工離職員工離職，全部賬戶自動(dòng)停用，包括金蝶微博，降低系統(tǒng)安全風(fēng)險(xiǎn)；用戶在HR系統(tǒng)中被刪除；中央身份庫(kù)獲取賬號(hào)刪除事件；中央身份庫(kù)自動(dòng)停用各個(gè)系統(tǒng)中的賬號(hào)。統(tǒng)一身份管理的應(yīng)用效果和價(jià)值組織和員工變動(dòng)信息HR負(fù)責(zé)統(tǒng)一維護(hù)與管理，自動(dòng)同步到各個(gè)業(yè)務(wù)系統(tǒng)，IT不在需要介入維護(hù)，簡(jiǎn)單高效并具權(quán)威性；IT對(duì)關(guān)鍵業(yè)務(wù)系統(tǒng)賬號(hào)和權(quán)限維護(hù)人員大幅減少，從N個(gè)系統(tǒng)N的人員維護(hù)到N個(gè)系統(tǒng)1個(gè)人員維護(hù)；IT可以更

6、快的加入新的業(yè)務(wù)系統(tǒng)并確保安全訪問(wèn)，降低系統(tǒng)基礎(chǔ)安全的成本和運(yùn)維成本。第三部分用戶使用協(xié)議3.1用戶使用規(guī)則1.用戶需填寫(xiě)個(gè)人真實(shí)資料，并保證在使用本服務(wù)時(shí)用戶所填報(bào)個(gè)人資料信息的真實(shí)性、正確性及完整性，如果資料信息發(fā)生變化，用戶應(yīng)及時(shí)更改。2.用戶需維持賬號(hào)及密碼安全，用戶需對(duì)任何利用該專屬賬號(hào)及密碼而進(jìn)行的所有行為和事件負(fù)全責(zé)，由于無(wú)法對(duì)非法或未經(jīng)您授權(quán)使用您賬號(hào)及密碼的行為做出甄別，因此金蝶微博不承擔(dān)任何責(zé)任。3.用戶發(fā)言要遵循社會(huì)公德、尊重他人，有責(zé)任共同構(gòu)建文明和諧的交流氛圍。用戶不得在網(wǎng)站上制作、復(fù)制、上傳、發(fā)布、傳播含有下列內(nèi)容之一的信息：1）危害國(guó)家安全，損害國(guó)家榮

7、譽(yù)和利益，顛覆國(guó)家政權(quán)，破壞國(guó)家統(tǒng)一的；2）破壞國(guó)家宗教政策，宣揚(yáng)邪教和封建迷信，煽動(dòng)民族仇恨、破壞民族團(tuán)結(jié)的；3）散布謠言，擾亂社會(huì)秩序，破壞社會(huì)穩(wěn)定的；4）散布淫穢、色情、賭博、暴力、兇殺、恐怖或者教唆犯罪的；5）侮辱或者誹謗他人，侵害他人合法權(quán)利的，或其它道德上令人反感的內(nèi)容；；6）煽動(dòng)非法集會(huì)、結(jié)社、游行示威、聚眾擾亂社會(huì)秩序的；7）含有中國(guó)法律、法規(guī)以及任何具有法律效力之規(guī)范所限制或禁止的其它內(nèi)容的。4.用戶承諾自己在使用本網(wǎng)站服務(wù)的所有行為均遵守國(guó)家法律、