网上办税系统安全保障要求分析.doc

《网上办税系统安全保障要求分析.doc》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、网上办税系统安全保障要求分析一、概述本文档分析的内容是辽宁国税网上办税厅系统（含网络发票部分）【后简称系统】与国税总局发布的《网上办税系统安全保障要求》【后简称要求】之间的异同。本次分析仅包括要求文档中第二部分（既系统安全保障技术要求）中的应用和数据安全要求，安全保障基础设施和系统安全开发和实现。不包括涉及硬件环境或管理制度的环境安全要求，系统安全配置要求和第三部分系统安全管理要求。分析分为两部分：一分原文分析（采用原文加注的方式），二为针对原文分析部分的简要总结。二、原文分析---------------------------------------------------

2、-------------------------------------------------------------2.3应用和数据安全要求2.3.1用户数据保护2.3.1.1用户数据完整性与抗抵赖性应从以下方面设计和实现应用系统的数据完整性与抗抵赖性控制功能：（1）应对纳税登记数据、纳税申报数据、纳税证书数据等用户数据进行完整性与抗抵赖性检测，确保数据完整性和抗抵赖。（2）应对网上办税业务数据、业务管理数据等用户数据进行完整性与抗抵赖性检测，确保数据完整性和抗抵赖。【目前系统的完整性和抗抵赖性检测由电子签章技术实现。由于文中没有相关的技术标准，所以该项技术是否符合要求不

3、确定。】2.3.1.2用户数据保密性应从以下方面设计和实现应用系统的数据保密性控制功能：（1）纳税登记数据、纳税申报数据、纳税证书数据等用户数据，应进行一定的保密性保护，确保外部用户不能用简单的方法获得该类用户数据。（2）应对网上办税业务数据、业务管理数据等用户数据进行数据保密性保护。【目前系统应已实现外部用户不能用简单的方法获得该类用户数据。但文中未明确简单的方法是什么意思，也没有明确保密性措施是在以哪种方式实现，有没有什么标准要求。】2.3.2身份鉴别2.3.2.1用户身份标识（1）对用户身份标识要求进行基本标识、标识唯一性和标识信息管理：①基本标识：应在系统安全功能实施所

4、要求的动作之前，先对提出该动作要求的用户进行标识；②标识唯一性：应确保所标识用户在信息系统生命周期内的唯一性，并将用户标识与安全审计相关联；③标识信息管理：应对用户标识信息进行管理、维护，确保其不被非授权地访问、修改或删除。（2）实现用户与主体绑定。一般以用户名和用户标识符（UID）来标识一个用户，确保在系统中用户名和用户标识符的唯一性。这种唯一性应在系统的整个生命周期内都有效。如果一个用户的账号已被删除，他的用户标识也不能再使用，并由此确保用户的唯一性和可区别性。用户标识应与安全审计相关联，以提供可查性。【此部分功能系统应已实现。】2.3.2.2用户鉴别（1）设计和实现用户鉴

5、别功能，要求进行基本鉴别、不可伪造鉴别、一次性使用鉴别和鉴别信息管理。在每次用户登录系统时进行鉴别：①基本鉴别：应在实施所要求的动作之前，先对提出该动作要求的用户成功地进行鉴别；②不可伪造鉴别：应检测并防止使用伪造或复制的鉴别信息；一方面，应检测或防止由任何别的用户伪造的鉴别数据，另一方面，应检测或防止当前用户从任何其他用户处复制的鉴别数据的使用；③一次性使用鉴别：应提供一次性使用鉴别数据的鉴别机制，即应防止与已标识过的鉴别机制有关的鉴别数据的重用；④鉴别信息管理：应对用户鉴别信息进行管理、维护，确保其不被非授权的访问、修改或删除。（2）对跨网络的远程用户，当用于身份鉴别的信息

6、在网上传输时应采用密码技术进行保护。【上述两部分功能由电子签章技术实现。由于文中没有相关的技术标准，所以该项技术是否符合要求不确定。】（3）设计和实现鉴别失败处理功能。系统安全功能应为不成功的鉴别尝试（包括尝试次数和时间的阈值）定义一个值，并明确规定达到该值时所应采取的动作。鉴别失败的处理应包括检测出现的相关不成功鉴别尝试次数与所规定的数目相同的情况，并进行预先定义的处理。【这部分功能系统没有实现。】（1）支持证书方式、口令方式、证书与口令相结合等认证方式。【此部分功能由电子签章技术实现。由于文中没有相关的技术标准，所以该项技术是否符合要求不确定。】2.3.2.1认证登录（1）

7、在用户身份被认证前，系统限制用户只能执行登录功能。【已实现。】（2）应规定用户不成功的登录尝试次数，及达到该次数时所采取的措施。【这部分功能系统没有实现。】（3）负责及时传递用户身份信息给用户将要访问的服务器，并响应合法用户对登录信息的查询。【已实现。】（4）身份认证功能应避免在提供给用户的反馈信息中泄露用户的认证信息。【已实现。】2.3.2.2与应用系统的融合（1）支持认证信息与应用系统模块信息的同步，确保组织机构、用户、角色关系等信息的一致性。（2）支持认证结果的在线查询。（3）支持认证