搜索
移动集团技术规范和标准2011培训主要技术规范及标准中国移动网络与信息安全总纲中国移动支撑系统安全域划分与边界整合技术要求中国移动互联网网络安全应急处理预案中国移动帐号口令管理办法网络与信息是否是资产网络与信息都是资产，具有不可或缺的重要价值。无论对企业、国家还是个人，保证其安全性是十分重要的。网络与信息安全的三个基本属性机密性（Confidentiality）：确保网络设施和信息资源只允许被授权人员访问。根据信息的重要性和保密要求，可以分为不同密级，并具有时效性。完整性（Integrity）：确保网络设施和信息及其处理的准确性和完整性。可用性（Availability）：确保被授权用户能够在需要时获取网络与信息资产。网络面临的典型威胁未经授权的访问;信息在传送过程中被截获、篡改;黑客攻击;滥用和误用等。中国移动网络与信息安全体系国内外标准合作方经验网络与信息安全体系（NISS）总纲安全评估结果技术管理具体实施现有规范检查考核效果评估安全审计业务保障系统开发访问控制运营维护物理环境信息资产组织人员网络业务应用安全设备安全技术第一层第二层第三层操作手册流程、细则中国移动网络与信息安全体系(NISS)由两部分组成，一部分是一系列安全策略和技术管理规范（第一、二层），另一部分是实施层面的工作流程（第三层）。安全措施的选择原则有效性。安全措施的实施必须能够确保风险被降低到可以接受的水平，达到期望的安全目标。可行性。安全措施必须在技术上是可操作的，可以实现的。某些安全措施不具备通用性，需要因地制宜的考虑具体实施环境。实际性。应从管理、财务等非技术因素详细分析待实施的安全措施，综合比较实施成本与由此减少的潜在损失，非经济因素也应考虑在内。安全工作的八个方面国内外标准合作方经验网络与信息安全体系（NISS）总纲安全评估结果技术管理具体实施现有规范检查考核效果评估安全审计业务保障系统开发访问控制运营维护物理环境信息资产组织人员网络业务应用安全设备安全技术第一层第二层第三层操作手册流程、细则1、组织与人员2、网络与信息资产管理3、物理与环境安全4、通信与运营管理安全5、访问控制6、开发与维护7、安全事件响应与业务连续性8、安全审计1、组织与人员安全工作“三分靠技术，七分靠管理”，建立有效的组织机构是安全管理的基础。不健全的安全管理机制是网络与信息安全最大的薄弱点。安全责任分配的基本原则是“谁主管，谁负责”。公司拥有的每项网络与信息资产，必须根据资产归属确定“责任人”。“责任人”对资产安全保护负有完全责任。“责任人”可以是个人或部门，但“责任人”是部门时，应由该部门领导实际负责。岗位职责描述应包含的内容中国移动的岗位描述中都应明确包含安全职责，并形成正式文件记录在案。安全描述应包括落实安全政策的常规职责和保护具体资产或执行具体安全程序或活动的特定职责。控制第三方访问所采取的措施•公司应与第三方公司法人签署保密协议，并要求其第三方个人签署保密承诺，此项工作应在第三方获得网络与信息资产的访问权限之前完成。•实行访问授权管理，未经授权，第三方不得进行任何形式的访问。•公司应加强第三方访问的过程控制，监督其活动及操作。•公司应对第三方人员进行适当的安全宣传与培训•第三方人员应佩带易于识别的标志，并在访问公司重要场所时有专人陪同。人员考察•来自组织和个人的品格鉴定；•学历和履历的真实性和完整性；•学术及专业资格；•身份查验。劳动合同劳动合同中应包含网络与信息安全条款，明确规定员工的安全责任和违约罚则。这些责任可延伸至公司场所以外和正常工作时间以外。必要时，这些责任应在雇用结束后延续一段特定的时间。2、网络与信息资产管理网络与信息资产责任制度资产清单资产责任制度：责任人的职责和权限、维护人的职责和权限资产安全等级及相应的安全要求信息的安全等级、标注及处置网络信息系统安全等级3、物理与环境安全物理与环境安全是保护网络基础设施、信息系统及存储媒介免受非法的物理访问、自然灾害和环境危害。安全区域：安全边界、出入控制、物理保护、安全区域工作规章制度、送货/装卸区与设备的隔离设备安全：设备安置及物理保护、电源保护、线缆安全、工作区域外设备的安全、设备处置与重用的安全存储媒介的安全：可移动存储媒介的管理、存储媒介的处置、信息处置程序、系统文档的安全通用控制措施：屏幕与桌面的清理、资产的移动控制4、通信与运营管理安全操作流程与职责：规范操作细则、设备维护、变更控制、安全事件响应程序、开发、测试与现网设备的分离系统的规划设计、建设和验收：系统规划和设计、审批制度、系统建设和验收、设备入网管理恶意软件的防护软件及补丁版本管理时钟和时间同步日常工作：维护作业计划管理、数据与软件备份、操作日志、日志审核、故障管理、测试制度、日常安全工作网络安全控制信息与软件的交换：信息与软件交换协议、交接过程中的安全、电子商务安全、电子邮件的安全、电子办公系统的安全、信息发布的安全、其他形式信息交换的安全恶意软件的防护恶意软件（如病毒、蠕虫、木马等）通常会造成设备损坏、数据丢失、系统崩溃或秘密泄露。为确保网络与信息安全，公司应从安全意识、合理的系统访问和变更管理控制这三个方面出发，加强用户教育，强化防范意识，并采取积极有效的检测和预防控制措施，以减少恶意软件入侵带来的风险。软件及补丁版本管理所有安全软件（如：安全访问软件、病毒防护软件、入侵检测软件等）应尽可能选择经实践验证稳定运行的版本，不应立即使用厂商发布的最新版本，但病毒代码库和系统漏洞库例外。日常安全工作日常安全工作包括安全预警、安全监控、安全设备维护、安全类统计分析（性能、日志、安全事件）等。公司应建立专职安全队伍从事日常的安全生产工作，并制定工作计划严格执行。5、访问控制网络访问控制：在公司网络与其他公司的网络，或者公共网络之间设置合适的接口；采取有效的用户和设备验证机制；控制用户访问信息服务。5、访问控制操作系统访问控制：验证用户身份，必要的话，还应进行终端或物理地点识别；记录所有系统访问日志；必要时，应能限制用户连接时间。用户帐户检查间隔用户账户的访问权限应至少每6个月检查一次，特殊功能账户应至少每3个月检查一次，超级账户应至少每1个月检查一次6、开发与维护网络与信息系统的安全控制或安全性是通过系统的开发设计予以实现的，在设计阶段采取控制措施远比在实施过程中或者实施结束之后落实控制措施更廉价。若在系统设计阶段未充分考虑系统的安全性，则系统本身就存在着先天不足。因此，公司应在网络基础设施、应用系统（包括为最终用户开发的程序）的开发与维护阶段，正确识别、确认、批准所有安全需求（包括备用安排，如手工方式），并将之文档化。关于数字签名公司在使用数据签名技术时，应注意以下事项：充分保护私钥的机密性，防止窃取者伪造密钥持有人的签名。采取保护公钥完整性的安全措施，例如使用公钥证书；确定签名算法的类型、属性以及所用密钥长度；用于数字签名的密钥应不同于用来加密内容的密钥；符合有关数字签名的法律法规。必要时，应在合同或协议中规定使用数字签名的相关事宜。7、安全事件响应与业务连续性安全事件及安全响应：及时发现与报告、分析、协调与处理、总结与奖惩业务连续性管理：建立业务连续性管理程序、业务连续性和影响分析、制定并实施业务连续性方案、业务连续性方案框架、维护业务连续性方案8、安全审计安全审计是从管理和技术两个方面检查公司的安全策略和控制措施的执行情况，发现安全隐患的过程。主要技术规范及标准中国移动网络与信息安全体系总纲（NISS）中国移动支撑系统安全域划分与边界整合技术要求（QB-W-001-2005）中国移动互联网网络安全应急处理预案中国移动帐号口令管理办法什么是安全域安全域，即网络安全域，是指同一系统内有相同的安全保护需求，相互信任，并具有相同的安全访问控制和边界控制策略的子网或网络，相同的网络安全域共享一样的安全策略。安全域是一个逻辑范围或区域，同一安全域中的信息资产具有相同或相近的安全属性对于中国移动，各个支撑系统本身相当于一个安全域；而对于某一支撑系统，又可划分为集团公司层面、省公司层面、地市层面的安全子域；各安全子域进而可分为不同的安全区域。在安全域内部进一步划分安全区域时，如核心生产区、日常工作区、漫游区、DMZ区、第三方互联区等等，重点参考了IATF计算区域划分的理论，并考虑了不同区域和不同的威胁。安全域、安全子域、安全区域安全域划分的必要性各安全域的威胁等级分析支撑系统的保护等级分析：资产价值赋值、安全需求赋值、支撑系统的赋值安全域划分的原则：安全域划分的根本原则、安全域划分方法网络调整：广域网、局域网、终端各支撑系统的安全域划分：业务支撑系统的安全域划分、网管系统系统的安全域划分、企业信息化系统的安全域划分安全域划分威胁等级分析表威胁等级可能带来的威胁可控性系统5黑客攻击、恶意代码和病毒等完全不可控互联网4病毒扩散、恶意代码等合作关系，但不可控合作伙伴3物理攻击、恶意代码和病毒等一定的可控性第三方2内部人员的操作失误、恶意代码和病毒等较大的可控性企业信息化系统1内部人员的操作失误、恶意代码和病毒等基本可控网管系统、业务支撑系统安全域划分的根本原则业务保障原则：安全域方法的根本目标是能够更好的保障网络上承载的业务。在保证安全的同时，还要保障业务的正常运行和运行效率。结构简化原则：安全域划分的直接目的和效果是要将整个网络变得更加简单，简单的网络结构便于设计防护体系。比如，安全域划分并不是粒度越细越好，安全域数量过多过杂可能导致安全域的管理过于复杂和困难。等级保护原则：安全域的划分要做到每个安全域的信息资产价值相近，具有相同或相近的安全等级、安全环境、安全策略等。生命周期原则：对于安全域的划分和布防不仅仅要考虑静态设计，还要考虑不断的变化；另外，在安全域的建设和调整过程中要考虑工程化的管理。根据安全域的划分原则，结合目前支撑系统的现状，需要从广域网、局域网、终端三个方面进行网络调整，实现支撑系统之间的有效隔离。生产服务器：一般都是UNIX平台，资产价值最高，不直接连接外部网络，主要的安全需求是访问控制、帐号口令、权限管理和补丁的管理。维护终端：一般都是WINDOWS平台，维护管理人员可以直接操作，其用户接入的方式也不尽相同（本地维护终端、远程维护终端），面临着病毒扩散、漏洞补丁、误操作、越权和滥用等威胁，其安全需求是安全策略的集中管理、病毒检测（固定终端）、漏洞补丁等。设备不同，安全需求不同（举例）各支撑系统对外的边界整合与互联网的边界整合与合作伙伴的边界整合与第三方的边界整合各支撑系统之间的边界整合业务支撑系统的边界整合网管系统的边界整合企业信息化系统的边界整合边界整合（1）业务支撑系统在集团公司设置互联网出口，主要实现SP对帐系统的需求；在各省公司统一设置互联网出口，主要实现网上营业厅、网上联办营业厅的应用。（2）网管系统集团直接连接CMNet骨干网，实现IP综合网管数据采集和对网元进行管理的功能；在各省网管系统设置互联网出口，实现IP综合网管功能。（3）企业信息化系统集团公司直接连接CMNet，实现集团办公的上网需求，同时实现电子采购系统的应用需求；在各省企业信息化系统设置互联网出口，全省办公网通过部署在省公司的出口上网，严禁地市公司办公网私自就近接入CMNet网络，地市公司与省公司之间通过专线或者VPN连接。各支撑系统与互联网边界整合（近期）网管系统的边界整合，主要是在保障业务的同时对接口进行归并，减少接口数量。针对网管系统目前对外的互联接口，其互联边界整合为：网管系统内部的互联边界：集团公司－省公司－地市连接的互联；与移动内部其他系统，如业务支撑系统、企业信息化系统等的互联；与第三方（集成商、设备商）的互联；与CMNET的互联（IP数据网管系统、EOMS与短信网关的连接）。网管系统的边界整合主要技术规范及标准中国移动网络与信息安全体系总纲（NISS）中国移动支撑系统安