广西系统等保中软件访问控制策略要求（广西等保2.0整改）

如何提高广西公司软件系统访问控制策略，广西等保2.0测评中对系统访问控制策略有哪些要求？

对应要求：

应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。

判例内容：

应用系统访问控制策略存在缺陷，可越权访问系统功能模块或查看、操作其他用户的数据。如存在平行权限漏洞，低权限用户越权访问高权限功能模块等，可判定为高风险。

适用范围：

所有系统。

满足条件：

系统访问控制策略存在缺陷，可越权访问系统功能模块或查看、操作其他用户的数据。如存在平行权限漏洞，低权限用户越权访问高权限功能模块等。

补偿措施：

1、如应用系统部署在可控网络，有其他防护措施能限制、监控用户行为的，可酌情降低风险等级。

2、可根据非授权访问模块的重要程度、越权访问的难度，酌情提高/减低风险等级。

广西等保测评整改建议：

建议完善访问控制措施，对系统重要页面、功能模块进行重新进行身份、权限鉴别，确保应用系统不存在访问控制失效情况。