如生产域或测试域、内部域或外部域。六不同域之间的连通性。七域的可信程度。第二十条应通过以下措施，确保所有计算机操作系统和系统软件的安全：
f一制定每种类型操作系统的基本安全要求，确保所有系统满足基本安全要求。
二明确定义包括终端用户、系统开发人员、系统测试人员、计算机操作人员、系统管理员和用户管理员等不同用户组的访问权限。
三制定最高权限系统账户的审批、验证和监控流程，并确保最高权限用户的操作日志被记录和监察。
四要求技术人员定期检查可用的安全补丁，并报告补丁管理状态。
五在系统日志中记录不成功的登录、重要系统文件的访问、对用户账户的修改等有关重要事项，手动或自动监控系统出现的任何异常事件，定期汇报监控情况。
第二十一条应通过以下措施，确保所有信息系统安全：
一明确定义终端用户和信息科技技术人员在信息系统安全中的角色和职责。
二针对信息系统的重要性和敏感程度，采取有效的身份验证方法。
三加强职责划分，对关键或敏感岗位进行双重控制。
四在关键的接合点进行输入验证或输出核对。
f五采取安全的方式处理保密信息的输入和输出，防止信息泄露或被盗取、篡改。
六确保系统按预先定义的方式处理例外情况，当系统被迫终止时向用户提供必要信息。
七以书面或电子格式保存审计痕迹。
八要求用户管理员监控和审查未成功的登录和用户账户的修改。
第二十二条应制定相关策略和流程，管理所有生产系统的活动日志，以支持有效的审核、安全取证分析和预防欺诈。日志可以在软件的不同层次、不同的计算机和网络设备上完成，日志划分为两大类：
一交易日志。交易日志由应用软件和数据库管理系统产生，内容包括用户登录尝试、数据修改、错误信息等。交易日志应按照国家会计准则要求予以保存。
二系统日志。系统日志由操作系统、数据库管理系统、防火墙、入侵检测系统和路由器等生成，内容包括管理登录尝试、系统事件、网络事件、错误信息等。系统日志保存期限按系统的风险等级确定，但不能少于一年。
第二十三条应保证交易日志和系统日志中包含足够的内容，以便完成有效的内部控制、解决系统故障和满足审计需要；应采取适当措施保证所有日志同步计时，并确保其完整性。在例
f外情况发生后应及时复查系统日志。交易日志或系统日志的复查频率和保存周期应由信息科技部门和有关业务部门共同决定，并报信息科技管理委员会批准。
第二十四条应采取加密技术，防r