等保测评高风险判定——安全计算环境（应用系统）篇

提示：文章如有错误，欢迎指出。

前言

等保测评的意义：一、降低信息安全风险，提高信息系统的安全防护能力；二、满足国家相关法律法规和制度的要求；三、满足相关主管单位和行业要求；四、合理地规避或降低风险。

高可用性系统:
可用性大于或等于99.9% ,年度停机时间小于或等于8.8小时的系统,例如,银行、证券、非银行支付机构、互联网金融等交易类系统，提供公共服务的民生类系统、工业控制类系统、云计算平台等。

提示：以下是本篇文章正文内容。

等保测评高风险判定——第四章 安全计算环境（应用系统）

安全计算环境（应用系统）

二级及以上系统高风险判定

1.1应用系统口令策略缺失

要求项:应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并定期更换。

解读:
应用系统无用户口令长度,复杂度校验机制,例如可设置6位以下，单个、相同、连续数字、字母或字符等易猜测的口令。

补偿措施:
1)应用系统采取多种身份鉴别、访问地址限制等技术措施，获得的口令无法直接登录应用系统，可根据实际措施效果，酌情判定风险等级；
2)对于仅内网访问的内部管理系统,可从内网管控、人员管控、实际用户口令质量等角度进行综合风险分析,根据分析结果,酌情判定风险等级；
3)对于部分专用软件、老旧系统等无法添加口令复杂度校验功能的情况,可从登录管控措施、实际用户口令质量、口令更换频率等角度进行综合风险分析,根据分析结果,酌情判定风险等级;
4)对于特定应用场景中的口令,例如PIN码、电话银行系统查询口令等，可从行业要求、行业特点等角度进行综合风险分析,根据分析结果,酌情判定风险等级。

1.2应用系统存在弱口令

要求项:应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并定期更换。

解读:
通过渗透测试或使用常用口令尝试登录,发现应用系统中存在可被登录的空口令、弱口令账户。

补偿措施:
1)对于互联网前端系统的注册用户存在弱口令的情况,可从对单个用户,整个应用系统所可能造成的影响等角度进行综合风险分析,根据分析结果,酌情判定风险等级;
2)对