DCSS — 数字网络安全与防护标准

规范控制集

DCSS 强制要求。

声明范围内每项适用要求都必须得到处理。仅在替代控制设计产生等效且有证据支持的成果，并与要求不冲突时，才可接受。评估人员抽查设计与运营，出现重大风险或不一致时可要求额外证据。每项控制都需要负责人、受影响边界、审核触发条件与例外路径；证据须可归属于评估版本或运营期间。

1. DCSS-4.1

   治理

   组织必须批准声明范围的网络安全职责、风险容忍度、报告路径与例外。 证据：安全章程、责任矩阵与审核记录。

2. DCSS-4.2

   资产清单

   组织必须维护责任明确的硬件、软件、云服务、数据存储及对外暴露服务清单。 证据：当前资产与服务清单。

3. DCSS-4.3

   风险评估

   组织必须识别可信的威胁、漏洞、后果与处理措施，并在重大变更后重新评估。 证据：风险登记表与处理决策。

4. DCSS-5.1

   身份生命周期

   组织必须控制账户创建、身份验证、角色变更、特权访问与及时撤销。 证据：身份管理程序与访问审核证据。

5. DCSS-5.2

   强身份验证

   组织必须对特权及风险重大的访问要求多因素身份验证，除非有记录的补偿控制获接受。 证据：多因素身份验证配置与例外记录。

6. DCSS-5.3

   最小权限

   组织必须仅授予必要权限、分离高影响职责并定期审核特权角色。 证据：角色矩阵与特权访问审核。

7. DCSS-5.4

   加密与机密凭据

   组织必须按风险需要保护传输与静态存储中的敏感数据，并在不受控源码或消息之外管理密钥、令牌与其他机密凭据。 证据：加密设计与机密凭据清单。

8. DCSS-6.1

   安全配置

   组织必须为相关平台与服务定义、部署并监测安全加固配置基线。 证据：获批准基线与漂移结果。

9. DCSS-6.2

   漏洞管理

   组织必须根据风险、暴露与利用背景发现、验证、排序并修复漏洞。 证据：扫描结果、分级处理与整改历史。

10. DCSS-6.3

    补丁管理

    组织必须按基于风险的目标测试并应用安全更新，记录获接受的延期或补偿控制。 证据：补丁状态与例外证据。

11. DCSS-6.4

    终端与网络控制

    组织必须隔离重要信任边界，并采用适度的终端、网络及管理保护。 证据：网络图与控制状态。

12. DCSS-7.1

    安全应用生命周期

    组织必须将安全要求、代码审核、依赖控制与核验融入软件变更。 证据：软件开发生命周期控制与发布证据。

13. DCSS-7.2

    供应链风险

    组织必须评估关键提供商与软件依赖的访问、保障、事故通知、连续性与退出风险。 证据：供应商登记表与尽职调查。

14. DCSS-8.1

    日志

    组织必须收集、保护、对齐时间并保留足以支持检测与调查的安全相关事件。 证据：日志清单、保留规则与示例。

15. DCSS-8.2

    检测与升级处理

    组织必须定义监测条件、告警责任、严重程度决策与升级处理路径，并测试有代表性的信号。 证据：检测目录与测试结果。

16. DCSS-8.3

    事故响应

    组织必须维护并演练分级处理、控制影响、证据保全、恢复、沟通与学习程序。 证据：事故计划与演练记录。

17. DCSS-9.1

    备份与恢复

    组织必须保护备份免受同一故障域影响，并核验有代表性的数据与服务恢复。 证据：备份设计与恢复测试。

18. DCSS-9.2

    连续性与意识

    组织必须定义最低服务连续性、依赖、人工替代办法及按角色划分的安全意识要求。 证据：连续性演练与培训证据。

实施路径

实用的 30／60／90 天采用顺序。

此顺序是规划辅助，不是承诺的认证时间表。复杂性、证据成熟度、第三方访问与纠正工作决定实际路径。团队应优先处理重大风险及可持续运营，不应制作仅为评估当天而存在的文档。

相关标准与服务

将 DCSS 连接到其周围职责。