2. 敏感数据加密存储

（1）字段级加密

• 加密对象：用户姓名、身份证号、手机号、银行卡号、密码等敏感信息
• 加密算法：采用AES-256（对称加密）或RSA-2048（非对称加密），禁用DES、MD5等弱算法
• 密钥管理：
• 加密密钥需存储在独立的密钥管理系统（KMS）（如AWS KMS、阿里云KMS），禁止硬编码在代码或与数据同库存储
• 实施密钥轮换策略（如每年更换一次主密钥，旧密钥保留用于解密历史数据）

（2）密码存储规范

• 禁止明文或简单哈希存储：不得使用MD5、SHA-1等可被彩虹表破解的算法
• 推荐方案：
• BCrypt算法（自动加盐，计算成本可调节）
• Argon2算法（2015年密码哈希竞赛冠军，抗GPU破解能力强）
• PBKDF2算法（NIST推荐，迭代次数建议10万次以上）

3. 数据传输与导出管控

（1）内外网数据传输

• 禁止明文传输：所有跨网络的数据传输需通过加密隧道（如VPN、SSH隧道）
• 文件传输安全：
• 禁用FTP明文协议，改用SFTP（SSH File Transfer Protocol）或FTPS（FTP over SSL）
• 对传输文件进行完整性校验（如计算SHA-256哈希值），确保文件未被篡改

（2）数据导出审批流程

• 适用场景：从生产环境导出客户数据、业务台账等敏感信息
• 流程设计：
• 申请人填写导出申请（包含导出原因、数据范围、用途）
• 部门负责人审批（评估合理性和风险）
• 安全部门审批（检查是否违反数据保护政策）
• 系统自动记录导出日志（导出人、时间、数据条数、文件哈希值）
• 数据脱敏：非生产用途的数据导出需进行脱敏处理（如手机号显示为138****5678，身份证号隐藏中间10位）

五、终端与服务器层：加固系统安全基线

终端和服务器是攻击者的常见入侵点（如钓鱼邮件植入木马、利用未修补漏洞入侵），需通过标准化配置降低风险。

1. 服务器安全基线配置

（1）操作系统加固

• 账号管理：
• 禁用或删除默认账号（如guest、匿名账号）
• 修改管理员账号名称（如将administrator改为企业自定义名称）
• 强制密码复杂度策略（最少12位，包含大小写字母+数字+特殊字符）
• 服务与端口管理：
• 关闭非必要服务（如Telnet、FTP、SNMP）
• 修改默认端口（如SSH从22改为自定义端口，RDP从3389改为自定义端口）
• 配置主机防火墙（如Linux的iptables、Windows Defender防火墙），仅开放业务端口