中央企業(yè)開(kāi)展網(wǎng)絡(luò)安全工作策略和方式

1、中央企業(yè)開(kāi)展網(wǎng)絡(luò)安全工作策略和方式 目 錄當(dāng)前形勢(shì) 1下一步展望3網(wǎng)絡(luò)信息安全工作框架2 2.1 策略體系 2.2 組織體系 2.3 技術(shù)體系 2.4 運(yùn)行體系宏觀形勢(shì) 信息安全成為社會(huì)熱點(diǎn)問(wèn)題出臺(tái)相關(guān)法律！ 安全形勢(shì) 國(guó)家高度重視信息安全事關(guān)國(guó)家安全：2013年3月韓國(guó)遭網(wǎng)絡(luò)恐怖襲擊，電視臺(tái)及部分銀行網(wǎng)絡(luò)癱瘓；信息安全影響政治穩(wěn)定：北京2012年3月19日謠言事件；信息安全影響經(jīng)濟(jì)發(fā)展：2012年利用“火焰”病毒開(kāi)展攻擊，威脅國(guó)家、企業(yè)安全。 網(wǎng)絡(luò)安全形勢(shì)不容樂(lè)觀網(wǎng)站被植入后門等隱蔽性攻擊事件呈增長(zhǎng)態(tài)勢(shì)，網(wǎng)站用戶信息成為黑客竊取重點(diǎn)；網(wǎng)絡(luò)釣魚(yú)日漸猖獗，嚴(yán)重影響在線金融服務(wù)和電子商務(wù)的發(fā)展，危

2、害公眾利益；高級(jí)可持續(xù)攻擊（APT攻擊）活動(dòng)頻現(xiàn)，對(duì)國(guó)家和企業(yè)的數(shù)據(jù)安全造成嚴(yán)重威脅。3國(guó)家出臺(tái)網(wǎng)絡(luò)信息安全保護(hù)法律：2012年12月28日，全國(guó)人大常委會(huì)通過(guò)了關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定，以法律形式保護(hù)公民個(gè)人及法人信息安全，對(duì)運(yùn)營(yíng)商提出更高要求。黨的十八大報(bào)告明確指出要“健全信息安全保障體系”。工信部、國(guó)資委從2013年起將信息安全責(zé)任制落實(shí)情況納入到對(duì)運(yùn)營(yíng)商各省公司的績(jī)效考核。公安部信息安全等級(jí)保護(hù)管理辦法、信息安全等級(jí)保護(hù)備案實(shí)施細(xì)則對(duì)等級(jí)保護(hù)提出明確要求。加快企業(yè)內(nèi)部網(wǎng)絡(luò)信息安全建設(shè)，實(shí)現(xiàn)企業(yè)網(wǎng)絡(luò)信息安全水平的整體提升驅(qū)動(dòng)力上級(jí)部門監(jiān)管愈加嚴(yán)格外部安全威脅日益嚴(yán)峻內(nèi)部安全體系有待完善

3、員工安全意識(shí)較為薄弱 網(wǎng)絡(luò)信息安全體系建設(shè)的驅(qū)動(dòng)力 目 錄當(dāng)前形勢(shì) 1下一步展望3網(wǎng)絡(luò)信息安全工作框架2 2.1 策略體系 2.2 組織體系 2.3 技術(shù)體系 2.4 運(yùn)行體系網(wǎng)絡(luò)信息安全工作方法信息安全的宗旨和目標(biāo)信息安全現(xiàn)狀信息安全體系框架信息安全規(guī)劃體系運(yùn)營(yíng)信息安全策略體系建設(shè)與推廣定期評(píng)估、檢查、審計(jì)和持續(xù)改進(jìn)信息安全組織體系建立與健全信息安全技術(shù)體系設(shè)計(jì)與建設(shè)信息安全建設(shè)與運(yùn)行體系建設(shè)與推廣信息安全體系總體框架建立符合業(yè)界標(biāo)準(zhǔn)的目標(biāo)架構(gòu)依據(jù)ISO27001、COBIT等信息安全管理標(biāo)準(zhǔn)，從安全策略體系、安全組織體系、安全運(yùn)行體系、安全技術(shù)體系四個(gè)方面加強(qiáng)信息安全管理工作。一、安全策略

4、 四、人員安全五.物理及環(huán)境安全 二、安全組織三、資產(chǎn)管理六.通信與操作管理八、信息系統(tǒng)獲得、開(kāi)發(fā)與維護(hù)七、訪問(wèn)控制十、業(yè)務(wù)持續(xù)性管理十一、符合性九、信息安全事件管理安全策略體系安全戰(zhàn)略確定管理制度組織職責(zé)技術(shù)標(biāo)準(zhǔn)規(guī)范安全組織體系安全組織人員職責(zé)教育培訓(xùn)人員安全安全運(yùn)行體系安全體系建設(shè)與推廣項(xiàng)目建設(shè)的安全管理風(fēng)險(xiǎn)管理與定期評(píng)估日常安全運(yùn)行與維護(hù)用戶安全網(wǎng)絡(luò)安全終端安全主機(jī)安全物理安全安全技術(shù)體系應(yīng)用安全數(shù)據(jù)安全信息安全體系的有機(jī)組成通過(guò)分析ISF和ISO 27000，安全工作由安全策略、安全組織、安全技術(shù)、安全運(yùn)維四個(gè)基本要素構(gòu)成，每一項(xiàng)信息安全工作都可以從這四個(gè)維度去考慮。安全組織安全運(yùn)維安

5、全技術(shù)安全策略依據(jù)什么規(guī)定和要求？ 信息安全策略 信息安全規(guī)范 信息安全操作流程和細(xì)則通過(guò)何種技術(shù)和手段？誰(shuí)來(lái)做？ 安全組織 人員職責(zé) 教育培訓(xùn) 人員安全做什么事？目 錄當(dāng)前形勢(shì) 1下一步展望3網(wǎng)絡(luò)信息安全工作框架2 2.1 策略體系 2.2 組織體系 2.3 技術(shù)體系 2.4 運(yùn)行體系信息安全策略體系框架信息安全制度標(biāo)準(zhǔn)體系參考等級(jí)保護(hù)、ISO27000、電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)體系標(biāo)準(zhǔn)等行業(yè)和國(guó)際標(biāo)準(zhǔn)，建立了信息安全制度標(biāo)準(zhǔn)體系制度體系：制度方針、規(guī)范辦法、作業(yè)指南3層次，共270余個(gè)；標(biāo)準(zhǔn)體系：涵蓋通用安全技術(shù)、通信網(wǎng)安全、支撐網(wǎng)安全、業(yè)務(wù)安全、安全防護(hù)等方面，近100個(gè)技術(shù)標(biāo)準(zhǔn) 月報(bào)制度

6、：制定 信息安全評(píng)價(jià)指標(biāo)，建立定報(bào)制度，每月下發(fā)信息安全通報(bào)，及時(shí)向省公司提出預(yù)警及管理要求。 專報(bào)制度：對(duì)影響公司發(fā)展的業(yè)務(wù)、技術(shù)、管理安全風(fēng)險(xiǎn)進(jìn)行分析，向管理層提交信息安全專報(bào)，發(fā)出安全預(yù)警，降低風(fēng)險(xiǎn)。 整改工單：就信息安全風(fēng)險(xiǎn)、安全事件，向各單位下發(fā)整改工單。 制定信息安全定報(bào)制度、信息安全考核管理辦法，是推動(dòng)信息安全工作有效落實(shí)的重要手段。信息安全考核評(píng)價(jià)體系業(yè)務(wù)通報(bào)整改要求目 錄當(dāng)前形勢(shì) 1下一步展望3網(wǎng)絡(luò)信息安全工作框架2 2.1 策略體系 2.2 組織體系 2.3 技術(shù)體系 2.4 運(yùn)行體系信息安全決策機(jī)構(gòu)：從企業(yè)高層的角度對(duì)于信息安全方面的工作進(jìn)行指導(dǎo)和控制信息安全管理機(jī)構(gòu)：整

7、個(gè)信息安全管理體系建立和維護(hù)的組織者和管理者信息安全執(zhí)行機(jī)構(gòu)：負(fù)責(zé)具體信息安全工作的執(zhí)行和開(kāi)展信息安全監(jiān)管機(jī)構(gòu)：對(duì)企業(yè)內(nèi)信息安全工作的開(kāi)展情況進(jìn)行獨(dú)立的審查和監(jiān)督。信息安全組織體系框架2009.7客戶信息安全保護(hù)委員會(huì)2008.4治理垃圾短信領(lǐng)導(dǎo)小組2001.10信息安全領(lǐng)導(dǎo)小組 貫徹執(zhí)行政府相關(guān)部門信息安全政策、方針和各項(xiàng)工作要求，并下設(shè)信息安全辦公室。 負(fù)責(zé)治理垃圾短信的相關(guān)工作； 貫徹落實(shí)國(guó)家相關(guān)法規(guī)；研究、制定客戶信息安全管理工作有關(guān)制度與措施；2009.12打擊利用手機(jī)傳播淫穢色情信息專項(xiàng)工作領(lǐng)導(dǎo)小組 貫徹落實(shí)國(guó)家相關(guān)法規(guī)；研究、制定打擊利用手機(jī)傳播淫穢色情信息專項(xiàng)工作的總體方案；重

8、大突發(fā)事件應(yīng)急處置及對(duì)外溝通協(xié)調(diào)工作2011.11信息安全管理與運(yùn)行中心兩歸口，兩集中：歸口信息安全管理工作、歸口不良信息治理工作，以及負(fù)責(zé)開(kāi)展不良信息集中治理、開(kāi)展信息安全集中運(yùn)營(yíng)工作。2010.3信息安全管理部對(duì)上承接、對(duì)下監(jiān)督檢查、橫向協(xié)調(diào)；貫徹落實(shí)國(guó)家要求；組織制定管理制度；制訂目標(biāo)、策略和標(biāo)準(zhǔn)建立信息安全管理體系和監(jiān)督評(píng)價(jià)體系；信息組織機(jī)構(gòu)-中國(guó)移動(dòng)根據(jù)工信部、國(guó)資委信息安全責(zé)任考核要求，各省公司要成立專職信息安全管理機(jī)構(gòu)。信息安全組織機(jī)構(gòu) 制定信息安全責(zé)任矩陣，分解安全責(zé)任到各專業(yè)部門。信息安全人才隊(duì)伍建設(shè)專家隊(duì)伍論壇交流：圍繞安全工作重點(diǎn)，每年開(kāi)展論壇交流論壇研討：各省人員就論壇

9、主題進(jìn)行交流，共享經(jīng)驗(yàn)論壇交流定期培訓(xùn) 開(kāi)展網(wǎng)絡(luò)安全大比武等形式，選拔組建內(nèi)部紅客團(tuán)隊(duì)。組織紅客隊(duì)伍參與評(píng)估、測(cè)試、審計(jì)、安全檢查及應(yīng)急演練，鍛煉和提升專家隊(duì)伍能力。網(wǎng)上培訓(xùn)：通過(guò)網(wǎng)上大學(xué)，進(jìn)行網(wǎng)絡(luò)培訓(xùn)；現(xiàn)場(chǎng)培訓(xùn)：每季度組織安全專業(yè)人員技術(shù)培訓(xùn)；宣傳教育：通過(guò)宣傳片、櫥窗等形式，提升全員安全意識(shí) 通過(guò)定期培訓(xùn)、實(shí)戰(zhàn)演練、論壇交流等形式，培養(yǎng)信息安全專業(yè)人才隊(duì)伍，支撐內(nèi)部信息安全工作的開(kāi)展。 根據(jù)工信部、國(guó)資委信息安全責(zé)任考核要求，配備相應(yīng)專職人員，大省15名、中省10人、小省5人。目 錄當(dāng)前形勢(shì) 1下一步展望3網(wǎng)絡(luò)信息安全工作框架2 2.1 策略體系 2.2 組織體系 2.3 技術(shù)體系 2.4

10、 運(yùn)行體系安全戰(zhàn)略管理應(yīng)用安全安全運(yùn)營(yíng)管理文檔數(shù)據(jù)安全用戶安全基礎(chǔ)設(shè)施安全戰(zhàn)略編制與維護(hù)安全差距分析網(wǎng)絡(luò)安全安全域劃分防火墻/VPN網(wǎng)絡(luò)入侵檢測(cè)網(wǎng)絡(luò)準(zhǔn)入控制異常流量管理網(wǎng)絡(luò)應(yīng)用安全身份帳號(hào)管理主帳號(hào)管理從帳號(hào)管理口令管理認(rèn)證管理認(rèn)證服務(wù)單點(diǎn)登錄權(quán)限訪問(wèn)管理資源管理角色管理授權(quán)管理變更配置安全管理變更安全檢查服務(wù)異常監(jiān)控配置安全檢查文檔權(quán)限管理文檔策略管理文檔審計(jì)管理安全風(fēng)險(xiǎn)管理風(fēng)險(xiǎn)收集識(shí)別風(fēng)險(xiǎn)分析計(jì)算風(fēng)險(xiǎn)監(jiān)控告警風(fēng)險(xiǎn)響應(yīng)處理安全審計(jì)管理審計(jì)規(guī)則定義安全戰(zhàn)略確定安全基線管理資產(chǎn)分級(jí)分類資產(chǎn)基線定義安全審計(jì)預(yù)警行為審計(jì)分析KPI指標(biāo)定義安全架構(gòu)與策略組織架構(gòu)保障策略規(guī)范編制系統(tǒng)架構(gòu)設(shè)計(jì)交易與傳輸管

11、理應(yīng)用數(shù)據(jù)權(quán)限數(shù)據(jù)接口控制數(shù)據(jù)傳輸控制應(yīng)用安全需求分析安全威脅分析安全設(shè)計(jì)模式編碼安全及評(píng)估安全編碼靜態(tài)代碼分析滲透測(cè)試戰(zhàn)略維護(hù)更新存儲(chǔ)與訪問(wèn)管理數(shù)據(jù)存儲(chǔ)保護(hù)數(shù)據(jù)庫(kù)權(quán)限管理敏感數(shù)據(jù)加密數(shù)據(jù)輸入驗(yàn)證數(shù)據(jù)歸檔銷毀戰(zhàn)略流程控制管理公共安全服務(wù)物理安全機(jī)房物理安全環(huán)境監(jiān)控安全辦公環(huán)境安全主機(jī)安全主機(jī)安全加固主機(jī)入侵檢測(cè)防病毒/垃圾郵件補(bǔ)丁管理終端安全系統(tǒng)配置檢查補(bǔ)丁管理上網(wǎng)行為控制防病毒/惡意軟件19信息安全技術(shù)體系框架安全防護(hù)體系安全管控平臺(tái)持續(xù)推進(jìn)網(wǎng)絡(luò)安全管控平臺(tái)應(yīng)用，使管控平臺(tái)成為日常維護(hù)的主要通道管控平臺(tái)維護(hù)人員終端采集被管設(shè)備的登錄日志，用于發(fā)現(xiàn)繞行行為智能網(wǎng)MISC彩信短信語(yǔ)音交換WAP通

12、信網(wǎng)和業(yè)務(wù)系統(tǒng)位置服務(wù)CMNET其它運(yùn)營(yíng)商出口路由器網(wǎng)絡(luò)流量惡意代碼檢測(cè)系統(tǒng)四均分分光器不良信息監(jiān)測(cè)系統(tǒng)僵木蠕監(jiān)測(cè)系統(tǒng)流量清洗系統(tǒng) 在互聯(lián)網(wǎng)網(wǎng)間互連鏈路部署流量清洗系統(tǒng)和僵木蠕監(jiān)測(cè)系統(tǒng)，為重要系統(tǒng)提供集中安全防護(hù)，減少僵木蠕、DDOS等攻擊。覆蓋范圍：互聯(lián)網(wǎng)國(guó)際國(guó)內(nèi)互聯(lián)節(jié)點(diǎn)主要功能：發(fā)現(xiàn)蠕蟲(chóng)、木馬、僵尸網(wǎng)絡(luò)流量，識(shí)別蠕蟲(chóng)、木馬和僵尸網(wǎng)絡(luò)的具體種類，對(duì)感染主機(jī)IP地址、木馬/僵尸網(wǎng)絡(luò)的受控端和控制端IP地址等信息產(chǎn)生告警，便于管理員組織處理覆蓋范圍：互聯(lián)網(wǎng)國(guó)際國(guó)內(nèi)互聯(lián)節(jié)點(diǎn)主要功能：具備結(jié)合動(dòng)態(tài)基線、異常流量模型和異常報(bào)文特征，對(duì)流量型拒絕服務(wù)攻擊(Dos/DDos等)進(jìn)行清洗過(guò)濾，保證網(wǎng)絡(luò)的安全

13、運(yùn)行安全技術(shù)體系互聯(lián)網(wǎng)安全集中防護(hù)安全技術(shù)體系網(wǎng)站縱深安全防護(hù)脆弱性檢測(cè)基于網(wǎng)絡(luò)爬蟲(chóng)的主動(dòng)掃描技術(shù)，檢測(cè)網(wǎng)站狀況，并輸出包含風(fēng)險(xiǎn)分析及解決方案的監(jiān)控?cái)?shù)據(jù)。篡改檢測(cè)使用數(shù)字水印技術(shù)及頁(yè)面框架比對(duì)等技術(shù)，智能的檢測(cè)出網(wǎng)站頁(yè)面上是否出現(xiàn)了不尋常的新鏈接。掛馬檢測(cè)采用 “腳本沙箱”技術(shù)，能夠完全模擬所有的腳本層交互行為。脆弱性 檢測(cè)掛馬檢測(cè)可用性檢測(cè)攻擊 檢測(cè)篡改 檢測(cè)健康指數(shù)網(wǎng)站安全監(jiān)控平臺(tái)可用性檢測(cè)可用性檢測(cè)是針對(duì)網(wǎng)站連接性能的監(jiān)控功能，透過(guò)監(jiān)控引擎對(duì)網(wǎng)站頁(yè)面載入性能的分析，記錄詳細(xì)的網(wǎng)站可用性數(shù)據(jù)。攻擊檢測(cè)通過(guò)日志分析，流量采集，檢測(cè)對(duì)網(wǎng)站主機(jī)上的入侵嘗試信息。健康指數(shù)支持通過(guò)一個(gè)健康指數(shù)全面反

14、映網(wǎng)站的健康狀況和態(tài)勢(shì)。安全技術(shù)體系網(wǎng)站安全監(jiān)控安全運(yùn)行管理系統(tǒng)以風(fēng)險(xiǎn)管理為核心，以資產(chǎn)信息庫(kù)為基礎(chǔ)，主要包括安全事件管理、安全預(yù)警管理、安全風(fēng)險(xiǎn)管理、安全對(duì)象管理、安全策略管理、安全工作流程管理等各功能模塊，全面支持安全運(yùn)行管理工作，逐步實(shí)現(xiàn)動(dòng)態(tài)、可量化的安全管理。安全技術(shù)體系安全運(yùn)行管理目 錄當(dāng)前形勢(shì) 1下一步展望3網(wǎng)絡(luò)信息安全工作框架2 2.1 策略體系 2.2 組織體系 2.3 技術(shù)體系 2.4 運(yùn)行體系根據(jù)公安部信息安全等級(jí)保護(hù)管理辦法、信息安全等級(jí)保護(hù)備案實(shí)施細(xì)則和工業(yè)和信息化部通信網(wǎng)絡(luò)安全管理辦法（部第11號(hào)令），開(kāi)展等級(jí)保護(hù)工作。定級(jí)備案符合性評(píng)測(cè)風(fēng)險(xiǎn)評(píng)估安全檢查對(duì)正式投入運(yùn)行

15、的通信網(wǎng)絡(luò)進(jìn)行單元?jiǎng)澐?，按照遭到破壞后可能?duì)國(guó)家安全、經(jīng)濟(jì)運(yùn)行、社會(huì)秩序、公眾利益的危害程度，由低到高劃分為五級(jí)，并將劃分和定級(jí)情況向電信管理機(jī)構(gòu)備案。按照相應(yīng)級(jí)別標(biāo)準(zhǔn)，落實(shí)安全防護(hù)措施，進(jìn)行符合性評(píng)測(cè)。三級(jí)及以上通信網(wǎng)絡(luò)單元每年進(jìn)行一次符合性評(píng)測(cè)，二級(jí)通信網(wǎng)絡(luò)單元每?jī)赡赀M(jìn)行一次符合性評(píng)測(cè)。組織安全風(fēng)險(xiǎn)評(píng)估，及時(shí)發(fā)現(xiàn)并消除重大網(wǎng)絡(luò)安全隱患。三級(jí)及以上通信網(wǎng)絡(luò)單元每年進(jìn)行一次安全風(fēng)險(xiǎn)評(píng)估，二級(jí)通信網(wǎng)絡(luò)單元每?jī)赡赀M(jìn)行一次安全風(fēng)險(xiǎn)評(píng)估。每年對(duì)通信網(wǎng)絡(luò)運(yùn)行單位開(kāi)展通信網(wǎng)絡(luò)安全防護(hù)工作的情況進(jìn)行檢查，并明確了檢查工作方式和有關(guān)要求。安全運(yùn)行體系等級(jí)保護(hù)安全運(yùn)行體系將安全生產(chǎn)融入日常運(yùn)維規(guī)劃人員規(guī)劃管理人

16、員、需求管理人員等。負(fù)責(zé)在業(yè)務(wù)需求規(guī)劃、應(yīng)用規(guī)劃設(shè)計(jì)、系統(tǒng)規(guī)劃設(shè)計(jì)中落實(shí)應(yīng)用系統(tǒng)、基礎(chǔ)設(shè)施的安全要求建設(shè)人員設(shè)計(jì)管理人員、建設(shè)實(shí)施人員、開(kāi)發(fā)管理人員、測(cè)試管理人員、項(xiàng)目管理人員等負(fù)責(zé)在設(shè)計(jì)管理、項(xiàng)目管理、項(xiàng)目實(shí)施建設(shè)、開(kāi)發(fā)測(cè)試、上線發(fā)布中落實(shí)安全要求運(yùn)維人員應(yīng)用管理人員、系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、數(shù)據(jù)庫(kù)管理人員、備份管理人員等 負(fù)責(zé)在應(yīng)用系統(tǒng)、基礎(chǔ)設(shè)施日常運(yùn)行維護(hù)中落實(shí)安全要求安全人員安全管理人員（安全主管和安全管理員）和安全審核人員1、安全管理人員負(fù)責(zé)組織制定并落實(shí)安全管理實(shí)施細(xì)則，指導(dǎo)和監(jiān)督其他人員的安全工作，負(fù)責(zé)項(xiàng)目規(guī)劃、設(shè)計(jì)、開(kāi)發(fā)、測(cè)試、上線發(fā)布等安全評(píng)審，負(fù)責(zé)評(píng)估加固、配置變更、應(yīng)

17、急響應(yīng)等。 2、安全審核人員負(fù)責(zé)定期對(duì)安全狀況、安全管理工作落實(shí)情況進(jìn)行審核，提交審核報(bào)告。明確信息安全責(zé)任，將網(wǎng)絡(luò)與信息安全工作重點(diǎn)從“事后處理”轉(zhuǎn)移到“事前預(yù)防”和“事中監(jiān)督”，從源頭上加以防范。在新業(yè)務(wù)規(guī)劃環(huán)節(jié)：新制定的業(yè)務(wù)規(guī)范中已明確網(wǎng)絡(luò)安全要求，并在設(shè)備集采評(píng)分時(shí)有所體現(xiàn)；在新簽采購(gòu)合同：以合同附件形式補(bǔ)充保密協(xié)議與中國(guó)移動(dòng)通用網(wǎng)絡(luò)與信息安全責(zé)任條款，通過(guò)對(duì)網(wǎng)絡(luò)安全檢查結(jié)果分析以及部分省的專項(xiàng)了解，目前各省已在新簽合同中簽署安全要求。在設(shè)備入網(wǎng)環(huán)節(jié)：增加網(wǎng)絡(luò)安全審核，進(jìn)行設(shè)備安全功能、通用安全補(bǔ)丁兼容性測(cè)試，接入管控平臺(tái)，端口進(jìn)程、防護(hù)措施是否正常應(yīng)用等項(xiàng)目的檢查，促進(jìn)設(shè)備安全功能的

18、提高。在系統(tǒng)運(yùn)維環(huán)節(jié)：開(kāi)展常態(tài)化安全評(píng)估掃描，針對(duì)發(fā)現(xiàn)的安全問(wèn)題，及時(shí)進(jìn)行安全加固。安全運(yùn)行體系落實(shí)安全“三同步” 建立監(jiān)督檢查工作機(jī)制，開(kāi)展常規(guī)安全檢查、第三方監(jiān)測(cè)、事件稽查、業(yè)務(wù)安全評(píng)估，以查促建、以查促優(yōu)，實(shí)現(xiàn)信息安全能力持續(xù)螺旋式提升。風(fēng)險(xiǎn)發(fā)現(xiàn)風(fēng)險(xiǎn)控制風(fēng)險(xiǎn)評(píng)估閉環(huán)管理螺旋上升網(wǎng)絡(luò)層、業(yè)務(wù)層、端到端的全面防護(hù)分公司集團(tuán)第三方按照通信網(wǎng)絡(luò)安全防護(hù)要求，分系統(tǒng)安全等級(jí)，開(kāi)展安全符合性評(píng)測(cè)和風(fēng)險(xiǎn)評(píng)估開(kāi)展常態(tài)化日常安全巡檢定期對(duì)各省互聯(lián)網(wǎng)系統(tǒng)進(jìn)行遠(yuǎn)程掃描，不定期組織現(xiàn)場(chǎng)專項(xiàng)檢查開(kāi)展第三方安全監(jiān)測(cè)，發(fā)現(xiàn)的風(fēng)險(xiǎn)及時(shí)要求省公司核查整改檢查發(fā)現(xiàn)問(wèn)題通報(bào)相關(guān)單位，督促相關(guān)單位限期解決邀請(qǐng)國(guó)家級(jí)安全專控隊(duì)伍

19、，對(duì)重點(diǎn)地區(qū)、重要系統(tǒng)進(jìn)行安全風(fēng)險(xiǎn)排查多層次的檢查機(jī)制安全運(yùn)行體系安全檢查安全運(yùn)行體系應(yīng)急響應(yīng) 根據(jù)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全應(yīng)急預(yù)案等要求，定期發(fā)布安全預(yù)警，開(kāi)展安全事件監(jiān)測(cè)，建立健全公司應(yīng)急預(yù)案體系。目 錄當(dāng)前形勢(shì) 1下一步展望3網(wǎng)絡(luò)信息安全工作框架2 2.1 策略體系 2.2 組織體系 2.3 技術(shù)體系 2.4 運(yùn)行體系日 常檢 測(cè)每月開(kāi)展互聯(lián)網(wǎng)網(wǎng)站和設(shè)備開(kāi)展遠(yuǎn)程安全掃描，協(xié)助各省公司發(fā)現(xiàn)安全漏洞，降低互聯(lián)網(wǎng)入侵風(fēng)險(xiǎn)?；A(chǔ)安全排查選取重點(diǎn)省公司，邀請(qǐng)國(guó)家信息安全?？仃?duì)伍，開(kāi)展現(xiàn)場(chǎng)風(fēng)險(xiǎn)評(píng)估、滲透測(cè)試，改善整體防護(hù)水平?，F(xiàn) 場(chǎng)檢 測(cè)組織自有專家隊(duì)伍，對(duì)省公司基礎(chǔ)安全管理要求落實(shí)情況進(jìn)行現(xiàn)場(chǎng)抽查。遠(yuǎn)程檢測(cè)在重要活動(dòng)前期，對(duì)31省重要業(yè)務(wù)系統(tǒng)進(jìn)行遠(yuǎn)程檢測(cè)，規(guī)避安全風(fēng)險(xiǎn)。針對(duì)不同安全等級(jí)的網(wǎng)絡(luò)單元，特別是風(fēng)險(xiǎn)較高的系統(tǒng)，開(kāi)展多層次的網(wǎng)絡(luò)安全測(cè)評(píng)和風(fēng)險(xiǎn)評(píng)估，全面提升通信網(wǎng)絡(luò)安全綜合防護(hù)水平。32