SAS简介 生产培训ppt课件.ppt

《SAS简介 生产培训ppt课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、SAS认证简介SAS-SecurityAccreditationScheme安全保证方案什么是SASSAS标准是通讯智能卡行业特殊的工业安全生产标准，是通讯智能卡行业中现有最高级别的安全和数据保护标准，旨在提高通讯高智能卡的整体安全性。其核心在于保证客户数据/信息的安全。标准发布机构：GSMAssociation认证管理机构：GSMAssociation适用范围：通信智能卡认证性质：自愿性认证审核实施机构：FraudManagementLimited（FML）（英国）ChaseWaterford（南非）SAS的认证范围卡片封装(含预个人化

2、）数据处理卡片个人化PIN封打印其它增值服务（如封套包装等）其他卡商获证情况全球共有22家卡商取得了该认证中国大陆有6家已获证：Watchdata（北京）OberthurCardSystems（深圳）EastcomPeaceSmartCard（珠海）DatangMicroelectronics（北京）HengbaoDanyang,ChinaGiesecke&Devrient(China)InformationTechnologiesCo.,Ltd.Nanchang,ChinaSAS之安全目标防止信息泄露，保持信息的秘密、完整和可用性防止资

3、产被盗、损失或不当使用防止重卡、错位卡寻找可能的或真实的安全违规并处理改正防止一个客户的数据被披露给另外客户SAS要求1.安全策略制定安全手册，定义安全方针、目标和策略，让全体员工都知道定期进行风险评估，识别、处理做好应急计划（BCP)定期进行内部审核。SAS要求2.组织和责任明确的安全管理组织结构定期的、跨职能团队的安全管理会议责任：所有员工应对整个生产流程里处于他们管理下的敏感资产（物理资产和信息）负责……即每个阶段要明确保管责任合同/保险：与客户的合同需明确损失的责任和义务，需要购买包括直接、间接损失的责任险。SAS要求3.信息对信

4、息和其他资产分类，并根据不同类别的信息和资产有适当的处理方针对敏感信息和资产的访问必须总是根据“需要知道”的原则附件一:资产分类表（参考）SAS要求4.人事安全在岗位职责JD中明确安全职责有明确的人员筛选政策：……信用调查、犯罪背景调查和2年一次的定期再调查所有人员需要签订保密协议，并签署已接受安全政策安全培训：入职、定期、特殊岗位人员应有违反安全规定的处罚机制、有员工报告或秘密报告违反安全事件或怀疑的体制离职手续。门禁、资产、钥匙、账户等SAS要求5厂房安防设施总体上和EMV的要求差不多，外围栅栏、CCTV、运动探测、震动探测、图像分析

5、等，但审核员把握的度会比较紧。有特别的地方将在以下提到。应有紧急撤退时的保护和恢复机制。如指定人员监控、使用自动门等安防设施的定期检查：第三方和自检，自检需定义方法、周期、记录等。对由外面通向高安全区的门（如逃生门）的要求有些特别：多点锁（Multi-pointlockingsystem）、移动或切断铰链门不会被打开？RemovalorcuttingofhingesshouldnotallowdoorstobeopenedSAS要求6.访问控制根据“需要访问”的原则给每位员工授权访客、临时工的管理方法同EMV卸/发货区的管理同EMV，三门

6、联锁管理。钥匙的管理同EMV，需要授权或审批部分区域需要ID卡+PIN管理：数据室、碎卡室处理一类资产和二类资产的区域应分开SAS要求6.访问控制-常犯的问题把自己的ID卡借给他人使用尾随：即跟随其他人进出（自己没有刷卡）不正确佩戴或不戴ID卡将门敞开临时工、访客ID卡不及时归还保安访客进厂后不陪同SAS要求7.保安基本要求同EMV:手册、时间、职责、人员管理保安需熟悉安防设施的操作（门禁系统、CCTV、警报系统），审核员需验证。SAS要求8.生产数据管理总体上考虑采取和EMV相同原则的数据接收、存储、处理、删除机制与客户达成敏感数据的安

7、全传输机制协议，包括加解密。应证明已经保证数据传输机制是适合的。如果可户要求不安全的数据传输机制，供应商应正式书面通知客户数据传输机制的不适合。用适当的加密技术全程加密（除非必要阶段如个人化），使用后应安全删除，尽可能避免对未加密数据进行人工交互处理，优先考虑自动加密系统使用的数字生成器Randomnumbersgenerat的质量应证实符合公认的国际标准、定期进行适当测试。应提供测试和成功结果的证据。用于数据保护的加密密钥应安全地生成、交换和存储，强烈推荐专用密钥存储机制Dedicatedkeystoragemechanisms防止重复

8、生产是SAS的基本原则，数据处理和生产系统必须从出现时为防止重复的可能而设计，如果生产体系依赖数据库驱动机制，应严格控制并全面审计对数据库、系统状态的访问。生产数据的手工生成或操作、生产数据状