中國(guó)電信集團(tuán)公司CTGMBOSS安全規(guī)范總冊(cè)

中國(guó)電信集團(tuán)公司CTG-MBOSS安全規(guī)范總冊(cè)目錄TOC\o"1-3"\h\z第1章 文檔說明 11.1 編制說明 11.2 合用范圍 11.3 起草單位 11.4 解釋權(quán) 11.5 版權(quán) 1()第2章 綜述 22.1 MBOSS所面臨的安全挑戰(zhàn) 22.1.1 安全組織管理 22.1.2 人員安全管理 22.1.3 應(yīng)用開發(fā)安全管理 22.1.4 運(yùn)維安全管理 22.1.5 用戶管理 22.1.6 訪問認(rèn)證授權(quán) 32.1.7 網(wǎng)絡(luò)安全 32.1.8 主機(jī)安全 32.1.9 終端安全 42.1.10 安全審計(jì) 42.1.11 容災(zāi)安全 42.2 MBOSS安全規(guī)范的目的愿景 42.3 改善MBOSS信息安全的關(guān)鍵環(huán)節(jié) 42.4 MBOSS安全規(guī)范設(shè)計(jì)依據(jù) 5第3章 安全規(guī)范體系說明 63.1 安全規(guī)范指導(dǎo)原則 93.2 安全管理規(guī)范綜述 93.3 安全技術(shù)規(guī)范綜述 10第4章 CTG－MBOSS安全規(guī)范實(shí)行 134.1 MBOSS安全規(guī)范演進(jìn)計(jì)劃 134.1.1 第一階段：建立MBOSS安全服務(wù)平臺(tái)基礎(chǔ)設(shè)施 134.1.2 第二階段：擴(kuò)充MBOSS安全服務(wù)平臺(tái)的功能 144.1.3 第三階段：完善MBOSS安全體系 154.2 CTG－MBOSS安全架構(gòu)的部署建議 154.3 CTG－MBOSS容災(zāi)備份 16第5章 安全規(guī)范演進(jìn)風(fēng)險(xiǎn)及應(yīng)對(duì) 175.1 IT安全組織的建立 175.2 實(shí)行范圍的控制 175.3 人力資源安排 185.4 員工對(duì)安全管理制度的接受 18附錄1. 附錄 19附錄1.1. 規(guī)范編制人員名單 19附錄1.2. 名詞定義 19附錄1.3. 參考文獻(xiàn) 20文檔說明編制說明本規(guī)范作為中國(guó)電信CTG-MBOSS規(guī)范的重要組成部分，為中國(guó)電信集團(tuán)建設(shè)MBOSS信息安全體系提供依據(jù)。本規(guī)范的編制是在《CTG-MBOSS總體規(guī)范V2.0》的總體框架體系指導(dǎo)下，參考了已有的中國(guó)電信集團(tuán)下發(fā)的安全政策文獻(xiàn)，繼承和吸取了原有安全管理實(shí)踐的經(jīng)驗(yàn)成果，并充足考慮了各省電信公司的現(xiàn)狀和行業(yè)最佳實(shí)踐與安全新技術(shù)的引入。本規(guī)范是MBOSS總體規(guī)范的組成部分，全面、概括地闡述了安全架構(gòu)、安全管理、安全技術(shù)以及實(shí)行演進(jìn)策略等內(nèi)容。合用范圍本規(guī)范合用于中國(guó)電信集團(tuán)公司及下屬?。ㄊ校╇娦殴具M(jìn)行MBOSS信息安全的規(guī)劃和建設(shè)，為MBOSS系統(tǒng)相關(guān)的安全建設(shè)、升級(jí)改造、系統(tǒng)演進(jìn)提供指導(dǎo)和依據(jù)。起草單位本規(guī)范的起草單位是中國(guó)電信集團(tuán)公司。解釋權(quán)本規(guī)范的解釋權(quán)屬于中國(guó)電信集團(tuán)公司。版權(quán)綜述MBOSS所面臨的安全挑戰(zhàn)安全組織管理隨著中國(guó)電信MBOSS的建設(shè)和發(fā)展，如何及時(shí)制定出信息安全的指導(dǎo)方針，研究和分析信息安全建設(shè)對(duì)中國(guó)電信業(yè)務(wù)發(fā)展的價(jià)值和影響，更好適應(yīng)不斷變化的組織形式，明確組織內(nèi)部人員職責(zé)，以保障中國(guó)電信業(yè)務(wù)系統(tǒng)安全穩(wěn)定地運(yùn)營(yíng)成為安全管理機(jī)構(gòu)面臨的最大挑戰(zhàn)。人員安全管理?yè)?jù)調(diào)查大部分的安全事件都來自公司的內(nèi)部，商業(yè)間諜的存在，員工故意無意透露公司商業(yè)信息，員工在離職后泄露公司商業(yè)秘密及從事與公司有競(jìng)爭(zhēng)利益的商業(yè)活動(dòng)等，都暴露出公司在人員安全管理方面存在的問題。定期進(jìn)行員工安全意識(shí)培訓(xùn)已經(jīng)刻不容緩。應(yīng)用開發(fā)安全管理隨著中國(guó)電信MBOSS的發(fā)展，應(yīng)用系統(tǒng)將面臨諸多的安全威脅。身份認(rèn)證的欺騙、用戶權(quán)限的濫用、輸入數(shù)據(jù)校驗(yàn)的異常、跨站點(diǎn)的代碼襲擊、緩沖區(qū)溢出等等，都對(duì)我們的應(yīng)用開發(fā)提出了新的安全設(shè)計(jì)和防護(hù)規(guī)定。制定嚴(yán)格的編程規(guī)范和管理手段成為不能回避的問題。運(yùn)維安全管理隨著中國(guó)電信MBOSS系統(tǒng)各項(xiàng)業(yè)務(wù)對(duì)信息系統(tǒng)依賴限度逐漸提高，信息系統(tǒng)的復(fù)雜度急劇增長(zhǎng)，從規(guī)劃建設(shè)到系統(tǒng)運(yùn)維階段的安全建設(shè)都應(yīng)遵循系統(tǒng)的生命周期進(jìn)行設(shè)計(jì)，另一方面信息系統(tǒng)在運(yùn)維過程中的安全問題變得更加突出，因此也提出了越來越高的安全運(yùn)維規(guī)定;同時(shí)復(fù)雜的業(yè)務(wù)系統(tǒng)和異構(gòu)的網(wǎng)絡(luò)環(huán)境，增長(zhǎng)了系統(tǒng)安全運(yùn)維的難度。傳統(tǒng)的單一、孤立的安全運(yùn)維管理已越來越不適應(yīng)中國(guó)電信CTG-MBOSS系統(tǒng)安全運(yùn)維管理的需求，CTG-MBOSS系統(tǒng)安全運(yùn)維管理應(yīng)向綜合安全運(yùn)維階段進(jìn)行深刻轉(zhuǎn)變。用戶管理隨著中國(guó)電信MBOSS系統(tǒng)的發(fā)展，用戶數(shù)量的不斷增長(zhǎng)，網(wǎng)絡(luò)規(guī)模迅速擴(kuò)大，信息安全問題愈見突出，原有的用戶管理措施已不能滿足中國(guó)電信目前及未來業(yè)務(wù)發(fā)展的規(guī)定。重要表現(xiàn)在以下方面：假如MBOSS每個(gè)系統(tǒng)均擁有獨(dú)立的用戶管理系統(tǒng)，將會(huì)給同時(shí)維護(hù)多個(gè)應(yīng)用系統(tǒng)的維護(hù)人員帶來巨大工作量；缺少賬號(hào)生命周期管理機(jī)制，存在大量孤立賬號(hào)，增長(zhǎng)信息系統(tǒng)安全風(fēng)險(xiǎn)；存在多人共用一賬號(hào)現(xiàn)象，難以控制賬號(hào)擴(kuò)散范圍，安全管理存在漏洞。且安全事故發(fā)生后，難以審計(jì)并定位到實(shí)際使用者；帳號(hào)審計(jì)沒有很好的流程來規(guī)范，進(jìn)行帳號(hào)的生命周期管理，保證帳號(hào)安全。訪問認(rèn)證授權(quán)隨著網(wǎng)絡(luò)襲擊技術(shù)的快速發(fā)展，CTG-MBOSS的訪問認(rèn)證授權(quán)面臨著嚴(yán)峻的挑戰(zhàn)，具體來說存在著也許導(dǎo)致較嚴(yán)重安全事件的幾類問題，具體如下：1．認(rèn)證功能分散在各設(shè)備和系統(tǒng)中難以統(tǒng)一管理。2．授權(quán)功能分散在各設(shè)備和系統(tǒng)中難以與業(yè)務(wù)規(guī)定相協(xié)調(diào)。3．未建立統(tǒng)一的訪問認(rèn)證管理流程。上述三個(gè)方面的問題也許導(dǎo)致較嚴(yán)重的安全事件，是CTG-MBOSS在訪問認(rèn)證授權(quán)方面的重要問題，會(huì)帶來巨大的挑戰(zhàn)。網(wǎng)絡(luò)安全由于以往建設(shè)的網(wǎng)絡(luò)系統(tǒng)在安全建設(shè)和安全互聯(lián)方面考慮較少，隨著信息技術(shù)、網(wǎng)絡(luò)技術(shù)的快速發(fā)展，網(wǎng)絡(luò)系統(tǒng)面臨的安全威脅日益增長(zhǎng)。根據(jù)調(diào)研，CTG-MBOSS網(wǎng)絡(luò)系統(tǒng)所面臨的重要威脅除了物理襲擊破壞外，還涉及惡意軟件襲擊、內(nèi)部員工誤用、黑客入侵破壞等幾類。因此，迫切需要開展網(wǎng)絡(luò)安全研究，從整體安全防護(hù)、邊界防護(hù)、網(wǎng)絡(luò)安全架構(gòu)及性能規(guī)劃與MBOSS需求相適應(yīng)、系統(tǒng)內(nèi)部安全防護(hù)、安全審計(jì)等不同角度出發(fā)，制定安全防護(hù)原則和優(yōu)化改造方案。使網(wǎng)絡(luò)安全與網(wǎng)絡(luò)系統(tǒng)“同步規(guī)劃、同步建設(shè)、同步維護(hù)”。主機(jī)安全CTG-MBOSS中的主機(jī)系統(tǒng)作為信息存儲(chǔ)、傳輸、應(yīng)用解決的基礎(chǔ)設(shè)施，其自身安全性涉及到系統(tǒng)安全、數(shù)據(jù)安全、網(wǎng)絡(luò)安全等各個(gè)方面。作為CTG-MBOSS系統(tǒng)中重要的組成部分，各種業(yè)務(wù)系統(tǒng)主機(jī)數(shù)量眾多，資產(chǎn)價(jià)值高，面臨的安全風(fēng)險(xiǎn)極大。一方面，主機(jī)是CTG-MBOSS系統(tǒng)各類業(yè)務(wù)系統(tǒng)數(shù)據(jù)的重要載體，這些業(yè)務(wù)數(shù)據(jù)是系統(tǒng)信息資產(chǎn)的重要組成部分；另一方面，病毒、木馬等安全威脅很容易通過訪問主機(jī)系統(tǒng)的終端滲透到后臺(tái)各種業(yè)務(wù)應(yīng)用和服務(wù)主機(jī)中，從而對(duì)CTG-MBOSS系統(tǒng)的整體安全帶來危害。為此需要在終端和主機(jī)安全領(lǐng)域建立一套安全技術(shù)體系來保障其安全，從而進(jìn)一步完善CTG-MBOSS的安全技術(shù)體系。終端安全終端作為一種比較分散的資產(chǎn)，長(zhǎng)期以來難以進(jìn)行集中的有效的管理；作為CTG-MBOSS的一個(gè)基本組件，面臨病毒、蠕蟲、木馬、惡意代碼的泛濫，不安全的終端也許成為一個(gè)被動(dòng)的襲擊源，對(duì)整個(gè)MBOSS系統(tǒng)構(gòu)成威脅。公司內(nèi)部應(yīng)制定統(tǒng)一的終端安全策略、終端安全接入MBOSS策略，涉及補(bǔ)丁管理、終端審計(jì)等流程。安全審計(jì)隨著中國(guó)電信CTG-MBOSS系統(tǒng)建設(shè)和發(fā)展，同時(shí)為滿足薩班斯法案對(duì)于IT系統(tǒng)內(nèi)部控制的規(guī)定，安全審計(jì)將成為一項(xiàng)重要的技術(shù)手段。但在具體的安全運(yùn)維工作中，安全審計(jì)面臨諸多挑戰(zhàn)，重要體現(xiàn)在內(nèi)部人員操作、第三方維護(hù)人員操作以及最高權(quán)限用戶使用過程中。要建立一套完備的審計(jì)機(jī)制。容災(zāi)安全隨著中國(guó)電信CTG-MBOSS系統(tǒng)建設(shè)和發(fā)展，需要根據(jù)國(guó)家的規(guī)定與電信MBOSS集中的特點(diǎn)考慮容災(zāi)的需求。MBOSS安全規(guī)范的目的愿景MBOSS安全規(guī)范的制定重要有以下三大目的愿景：定義中國(guó)電信CTG-MBOSS安全管理體系的愿景,保證中國(guó)電信“從傳統(tǒng)的固網(wǎng)運(yùn)營(yíng)商向綜合信息服務(wù)提供商”的成功轉(zhuǎn)型。提供演進(jìn)路線，在3-5年把中國(guó)電信建設(shè)成以風(fēng)險(xiǎn)管理為導(dǎo)向的成熟型公司。 采用管理與技術(shù)相結(jié)合的方法，促進(jìn)CTG－MBOSS安全規(guī)劃及規(guī)范的貫徹。改善MBOSS信息安全的關(guān)鍵環(huán)節(jié)中國(guó)電信MBOSS系統(tǒng)安全需要解決的關(guān)鍵問題，一方面，安全建設(shè)必須符合中國(guó)電信公司的戰(zhàn)略轉(zhuǎn)型和業(yè)務(wù)發(fā)展，必須保證業(yè)務(wù)發(fā)展；另一方面，安全體系應(yīng)符合國(guó)家各種法律法規(guī)中對(duì)于安全的規(guī)定，特別是滿足內(nèi)控的規(guī)定，并且對(duì)其中有針對(duì)性的規(guī)定進(jìn)行重點(diǎn)建設(shè)；再次，充足考慮MBOSS系統(tǒng)在目前運(yùn)營(yíng)中對(duì)于安全建設(shè)的規(guī)定和需求；最后，系統(tǒng)安全應(yīng)規(guī)避和減少目前系統(tǒng)存在的威脅和風(fēng)險(xiǎn)。綜上所述，中國(guó)電信MBOSS系統(tǒng)安全規(guī)范需要解決的問題如下：1. 在中國(guó)電信內(nèi)部控制手冊(cè)的基礎(chǔ)上，建立完善的CTG-MBOSS系統(tǒng)的整體安全規(guī)劃，實(shí)現(xiàn)安全基礎(chǔ)設(shè)施建設(shè)有序地建設(shè)，保證用于IT安全的投資應(yīng)不少于IT投資的10％。2. 建立專職的信息安全管理組織，建立安全崗位，明確安全管理職責(zé)，結(jié)束目前的“權(quán)力分散，缺少統(tǒng)一，兼職為主”的局面。3. 根據(jù)集團(tuán)和各省公司具體情況，制定各省公司的MBOSS公司安全架構(gòu)和實(shí)行計(jì)劃，徹底改變以往孤立部署各種安全產(chǎn)品的狀況。4. CTG-MBOSS系統(tǒng)中信息安全的規(guī)定，加強(qiáng)對(duì)系統(tǒng)用戶的管理、用戶的訪問認(rèn)證、授權(quán)、訪問控制。5. 建立集中IT安全服務(wù)、監(jiān)控平臺(tái)，提供技術(shù)手段固化安全政策、標(biāo)準(zhǔn)和流程，及時(shí)監(jiān)控IT安全狀況。明確該平臺(tái)做為公司負(fù)責(zé)IT安全的對(duì)內(nèi)對(duì)外的接口。6. 加強(qiáng)CTG-MBOSS系統(tǒng)邊界訪問方式、安全區(qū)域內(nèi)部、安全區(qū)域間的防護(hù)；對(duì)現(xiàn)有的IT基礎(chǔ)設(shè)施進(jìn)行IT安全加固，消除安全隱患。特別是相應(yīng)用的定期安全檢查。7. 加強(qiáng)CTG-MBOSS系統(tǒng)與客戶自服務(wù)安全交互訪問接口的安全性；在省公司統(tǒng)一規(guī)劃和建設(shè)與公網(wǎng)的接口，堵截安全漏洞。8. 在系統(tǒng)開發(fā)過程中，加入安全管控點(diǎn)，保證新實(shí)行的系統(tǒng)能滿足安全規(guī)范。9. 加強(qiáng)CTG-MBOSS系統(tǒng)的安全集中管理的能力，實(shí)現(xiàn)全面的安全集中運(yùn)維管理。10. 建立CTG-MBOSS系統(tǒng)容災(zāi)建設(shè)，建立業(yè)務(wù)系統(tǒng)連續(xù)性發(fā)展和建設(shè)計(jì)劃、環(huán)節(jié)和具體保障手段。MBOSS安全規(guī)范設(shè)計(jì)依據(jù)定義CTG-MBOSS安全體系的愿景：采用管理與技術(shù)相結(jié)合的方法，在3-5年內(nèi)把中國(guó)電信建設(shè)成以風(fēng)險(xiǎn)為導(dǎo)向的成熟型公司，保證中國(guó)電信的成功轉(zhuǎn)型。CTG－MBOSS安全規(guī)范的設(shè)計(jì)依據(jù)重要來源在五個(gè)方面：中國(guó)電信的戰(zhàn)略轉(zhuǎn)型的驅(qū)動(dòng)，中國(guó)電信IT內(nèi)控的規(guī)定，MBOSS的安全現(xiàn)狀和評(píng)估，法律法規(guī)對(duì)信息安全的規(guī)定，信息安全的最佳實(shí)踐和實(shí)行經(jīng)驗(yàn)。安全規(guī)范體系說明CTG-MBOSS是支撐中國(guó)電信公司運(yùn)營(yíng)和管理的信息化架構(gòu)，是集團(tuán)和各省公司公司信息化建設(shè)的愿景，由方法論、功能和系統(tǒng)架構(gòu)、管控架構(gòu)以及規(guī)范體系等部分構(gòu)成。安全規(guī)范是CTG－MBOSS規(guī)范體系的擴(kuò)充。圖STYLEREF1\s3SEQ圖\*ARABIC\s11CTG-MBOSS安全規(guī)范與CTG－MBOSS規(guī)范體系的關(guān)系CTG-MBOSS安全規(guī)范是對(duì)現(xiàn)有的CTG－MBOSS規(guī)范體系的擴(kuò)充。安全規(guī)范是由兩個(gè)部分組成，分別對(duì)安全管理規(guī)范和安全技術(shù)規(guī)范兩個(gè)方面進(jìn)行了設(shè)計(jì)。在安全管理體系方面，制定了安全策略，涉及組織安全管理架構(gòu)，人員安全管理、應(yīng)用開發(fā)安全管理和運(yùn)維安全管理等四個(gè)方面所需遵循的IT安全標(biāo)準(zhǔn)和指導(dǎo)方針，幫助中國(guó)電信不斷提高IT安全管理能力。CTG－MBOSS安全規(guī)范將建立在中國(guó)電信公司信息安全架構(gòu)模型，該模型將公司安全能力劃提成7個(gè)層次。圖STYLEREF1\s3SEQ圖\*ARABIC\s12CTG－MBOSS安全規(guī)范信息安全架構(gòu)模型原則：描述信息安全的業(yè)務(wù)需求價(jià)值政策：描述信息安全的目地、方向、愿景及責(zé)任安全標(biāo)準(zhǔn)：信息安全實(shí)行規(guī)則，涉及技術(shù)、方法及其它細(xì)節(jié)流程：跨部門實(shí)行政策標(biāo)準(zhǔn)的活動(dòng)、工作及程序作業(yè)指南：描述個(gè)人在流程上的具體工作架構(gòu)：信息安全技術(shù)如何結(jié)合的細(xì)節(jié)產(chǎn)品建議：信息安全解決方案所選的產(chǎn)品及工具基于以上MBOSS面臨的IT安全挑戰(zhàn)，MBOSS安全規(guī)范將參考ISO17799重要在IT安全管理體系，IT安全技術(shù)架構(gòu)兩個(gè)方面進(jìn)行了考慮。圖STYLEREF1\s3SEQ圖\*ARABIC\s13CTG－MBOSS安全規(guī)范文檔結(jié)構(gòu)管理規(guī)范的設(shè)計(jì)思緒：從MBOSS應(yīng)用的開發(fā)、維護(hù)考慮安全面的管理規(guī)定出發(fā)，考慮如下：組織架構(gòu)：結(jié)合公司信息化部當(dāng)前的組織架構(gòu)及職責(zé)，定義負(fù)責(zé)MBOSS安全的組織架構(gòu)設(shè)立原則，指導(dǎo)機(jī)構(gòu)的設(shè)立，及相關(guān)的崗位職能。人員安全：考慮對(duì)MBOSS運(yùn)維人員的管理及考核，對(duì)MBOSS的第三方開發(fā)人員的管理與監(jiān)督應(yīng)用開發(fā)安全：應(yīng)用開發(fā)過程中的安全規(guī)定運(yùn)維安全：針對(duì)MBOSS在運(yùn)維中的安全需求，為規(guī)范平常運(yùn)維工作而定義了相關(guān)的工作流程，其中工作流程按技術(shù)體系進(jìn)行分類。技術(shù)規(guī)范的設(shè)計(jì)思緒：從用戶對(duì)MBOSS數(shù)據(jù)的訪問流程考慮安全面的技術(shù)規(guī)定出發(fā)，考慮如下：用戶管理：對(duì)訪問MBOSS用戶的集中管理訪問認(rèn)證：對(duì)訪問MBOSS用戶的集中授權(quán)網(wǎng)絡(luò)安全：承載MBOSS的DCN、中間件、數(shù)據(jù)庫(kù)的安全規(guī)定主機(jī)安全：承載MBOSS的主機(jī)與數(shù)據(jù)存儲(chǔ)的安全規(guī)定終端安全：訪問MBOSS的終端及其接入DCN的安全規(guī)定(含VPN方式）安全審計(jì)：定義MBOSS在運(yùn)維過程中的安全檢測(cè)點(diǎn)及規(guī)定容災(zāi)備份：對(duì)MBOSS的應(yīng)用及與數(shù)據(jù)存儲(chǔ)的備份規(guī)定安全規(guī)范指導(dǎo)原則在安全規(guī)范的具體編制過程中，充足考慮了以下安全指導(dǎo)原則:集中管理、集中審計(jì)MBOSS應(yīng)采用以省為單位的集中安全管理和集中安全審計(jì)設(shè)計(jì)原則，以提高系統(tǒng)安全運(yùn)營(yíng)的效率和效果。最少的特權(quán)在保證能完畢其工作任務(wù)時(shí)，賦予用戶（涉及個(gè)人、應(yīng)用或其它主體）最少的特權(quán)和必需的權(quán)限。提倡分層分區(qū)的防衛(wèi)MBOSS的安全不能建立在單一的安全機(jī)制上。網(wǎng)絡(luò)應(yīng)根據(jù)所承載的系統(tǒng)進(jìn)行分層分區(qū)，分區(qū)域后的網(wǎng)絡(luò)能得到額外的安全保護(hù)和控制。減少最弱環(huán)節(jié)在設(shè)計(jì)中要辨認(rèn)、避免或監(jiān)視任何也許的弱點(diǎn)，并定期進(jìn)行弱點(diǎn)掃描與評(píng)估。MBOSS的安全限度取決于系統(tǒng)的最薄弱環(huán)節(jié)，黑客往往尋找公司的最弱點(diǎn)進(jìn)行襲擊。簡(jiǎn)潔的安全解決方案實(shí)行安全解決方案，一個(gè)復(fù)雜的系統(tǒng)往往增長(zhǎng)了安全漏洞存在的也許性。防外和防內(nèi)并重在所有襲擊中，內(nèi)部襲擊占據(jù)了很大的一部分，安全解決方案應(yīng)能同時(shí)承擔(dān)內(nèi)部和外部威脅的防范，安全設(shè)施的實(shí)行應(yīng)不考慮威脅源的差異－不管來自何方的訪問，關(guān)鍵信息資源需要提供額外的認(rèn)證和授權(quán)。考慮系統(tǒng)的實(shí)際生產(chǎn)狀態(tài)MBOSS系統(tǒng)安全規(guī)范建設(shè)涉及多方面的安全策略及內(nèi)容，因此根據(jù)各系統(tǒng)實(shí)際的生產(chǎn)狀態(tài)，采用相應(yīng)的規(guī)范。安全管理規(guī)范綜述本安全管理規(guī)范給出了CTG-BOSS系統(tǒng)啟動(dòng)、實(shí)行、保持和改善信息安全管理體系的指南和一般原則。本規(guī)范列出的目的為系統(tǒng)通常所接受的信息安全管理提供了指導(dǎo)。本管理規(guī)范的控制目的和控制措施的實(shí)行旨在滿足以風(fēng)險(xiǎn)為導(dǎo)向所辨認(rèn)的安全規(guī)定。本標(biāo)準(zhǔn)可作為建立CTG-BOSS系統(tǒng)安全準(zhǔn)則和有效安全管理的實(shí)用指南，可認(rèn)為是CTG-BOSS系統(tǒng)開發(fā)其具體指南的起點(diǎn)。對(duì)CTG-BOSS系統(tǒng)來說，雖然本安全管理規(guī)范中的所有控制措施都是重要的并且是應(yīng)被考慮的，但是省公司應(yīng)根據(jù)其CTG-BOSS系統(tǒng)所面臨的具體風(fēng)險(xiǎn)來擬定任何一種控制措施是否合適,不能取代基于系統(tǒng)風(fēng)險(xiǎn)評(píng)估而選擇的控制措施。本規(guī)范由四個(gè)部分組成：組織安全管理分冊(cè)、人員安全管理分冊(cè)、運(yùn)維安全管理分冊(cè)、應(yīng)用開發(fā)安全管理分冊(cè)。其中組織安全管理分冊(cè)和人員安全管理分冊(cè)是本安全管理規(guī)范的基礎(chǔ)。組織安全管理分冊(cè)明確指出CTG-BOSS系統(tǒng)應(yīng)建立起決策層、管理層和執(zhí)行層三層工作關(guān)系，建立由各單位重要負(fù)責(zé)人組成的信息安全領(lǐng)導(dǎo)小組，目的是明確信息安全主管領(lǐng)導(dǎo)，貫徹信息安全管理部門，建立信息安全執(zhí)行崗位，明確職責(zé)；管理的本質(zhì)是對(duì)人的監(jiān)管，人員安全分冊(cè)從信息安全的角度對(duì)CTG-MBOSS系統(tǒng)的使用用戶行為進(jìn)行了規(guī)范，該分冊(cè)從人員入職、在職、離職以及第三方人員安全管理四個(gè)方面管理和控制CTG-MBOSS系統(tǒng)使用用戶的不安全行為，防止安全事件的發(fā)生。在前兩個(gè)分冊(cè)的基礎(chǔ)上，結(jié)合CTG-MBOSS系統(tǒng)現(xiàn)階段的防護(hù)重點(diǎn)、安全現(xiàn)狀,安全管理規(guī)范從系統(tǒng)運(yùn)維安全和應(yīng)用開發(fā)安全兩個(gè)方面對(duì)CTG-MBOS系統(tǒng)進(jìn)行了系統(tǒng)規(guī)范，系統(tǒng)運(yùn)維安全分冊(cè)從信息資產(chǎn)、口令、電子文檔、系統(tǒng)應(yīng)急、安全審計(jì)、風(fēng)險(xiǎn)評(píng)估等方面對(duì)運(yùn)維過程中的重要管理問題進(jìn)行了闡述，希望通過該分冊(cè)的制定和執(zhí)行，建立CTG-MBOSS系統(tǒng)內(nèi)部安全運(yùn)維螺旋上升的PDCA循環(huán)；應(yīng)用開發(fā)安全分冊(cè)從應(yīng)用系統(tǒng)安全基本需求出發(fā)，對(duì)系統(tǒng)承載的業(yè)務(wù)數(shù)據(jù)和應(yīng)用系統(tǒng)自身提出了安全管理規(guī)定，并從系統(tǒng)開發(fā)、對(duì)外控制、安全性測(cè)試、系統(tǒng)部署幾個(gè)方面相應(yīng)用系統(tǒng)開發(fā)過程中碰到的安全管理問題的控制進(jìn)行了規(guī)范。安全技術(shù)規(guī)范綜述安全技術(shù)規(guī)范的設(shè)計(jì)是從中國(guó)電信安全需求出發(fā)，依據(jù)項(xiàng)目總體原則、最佳實(shí)踐及IT安全架構(gòu)設(shè)計(jì)原則，以安全能力、安全服務(wù)滿足需求。通過對(duì)安全服務(wù)模塊及其功能模塊的設(shè)計(jì)和實(shí)行，建立中國(guó)電信安全技術(shù)架構(gòu)，提供整個(gè)公司的IT安全服務(wù)和能力。中國(guó)電信總體安全技術(shù)架構(gòu)根據(jù)中國(guó)電信的需求、以及安全架構(gòu)設(shè)計(jì)原則及最佳實(shí)踐，本項(xiàng)目所設(shè)計(jì)的中國(guó)電信安全技術(shù)架構(gòu)將涉及以下的服務(wù)模塊及功能模塊。圖STYLEREF1\s3SEQ圖\*ARABIC\s14CTG－MBOSS安全技術(shù)架構(gòu)中國(guó)電信IT安全架構(gòu)將具有以下功能：集中的用戶管理：通過用戶帳號(hào)管理系統(tǒng)，實(shí)行統(tǒng)一的的用戶管理策略。根據(jù)用戶組別及用戶管理策略，可集中授予用戶對(duì)各應(yīng)用、系統(tǒng)的的訪問權(quán)限。集中用戶身份管理將提供公司級(jí)的用戶目錄數(shù)據(jù)庫(kù)。它的任何變化（如更改、刪除）都會(huì)被同步到其他系統(tǒng)的用戶目錄中。集中的用戶身份管理功能為實(shí)行統(tǒng)一用戶管理政策提供了也許。集中認(rèn)證授權(quán)：通過集中認(rèn)證平臺(tái)實(shí)現(xiàn)對(duì)各應(yīng)用訪問的集中認(rèn)證和訪問授權(quán)。認(rèn)證平臺(tái)基于訪問用戶的宏觀屬性（用戶辨認(rèn)符、目的應(yīng)用系統(tǒng)名稱、認(rèn)證所采用信任度）和訪問政策實(shí)現(xiàn)對(duì)各應(yīng)用訪問的集中認(rèn)證和應(yīng)用的入口級(jí)的訪問授權(quán)。并提供了多應(yīng)用系統(tǒng)的單點(diǎn)登錄的功能。集中安全審計(jì)：通過集中的事件管理平臺(tái)為監(jiān)測(cè)及解決安全事件提供有效的工具。通過采集應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)中稽查記錄以及收集所部署的安全檢測(cè)設(shè)備的事件來實(shí)現(xiàn)對(duì)日記、事件的集中收集、集中解決、集中分析、報(bào)告。網(wǎng)絡(luò)安全改造：目的是實(shí)現(xiàn)信息資產(chǎn)的保護(hù)。為了保護(hù)資產(chǎn)免于也許受到的威脅，在資產(chǎn)和不被信任的機(jī)構(gòu)之間設(shè)立保護(hù)機(jī)制，將資產(chǎn)與那些危險(xiǎn)的代理隔離。對(duì)于希望使用相同安全控制的一組資產(chǎn)，可以把他們劃為一個(gè)“域”。通過安全域的設(shè)計(jì)，限制除通過可接受的安全接口之外的訪問。主機(jī)安全改善：為服務(wù)器的安全符合性檢查和控制提供手段。集中檢查服務(wù)器的安全符合性情況，并根據(jù)安全策略采用后續(xù)的手段來限制主機(jī)的訪問和操作。終端安全改善：為終端的安全符合性檢查和控制提供手段。集中檢查終端設(shè)備的安全符合性情況，并根據(jù)安全策略采用后續(xù)的手段來限制終端對(duì)網(wǎng)絡(luò)的訪問(網(wǎng)絡(luò)的準(zhǔn)入控制)。通過集中的補(bǔ)丁管理提供終端符合性的手段。容災(zāi)備份中心:為CTG-MBOSS系統(tǒng)提供風(fēng)險(xiǎn)防止機(jī)制和劫難恢復(fù)措施，在保證數(shù)據(jù)安全的基礎(chǔ)上提高業(yè)務(wù)連續(xù)運(yùn)營(yíng)能力，減少公司運(yùn)營(yíng)風(fēng)險(xiǎn)，將業(yè)務(wù)損失減少到可接受的限度，提高服務(wù)質(zhì)量和服務(wù)水平，增強(qiáng)公司競(jìng)爭(zhēng)力。下圖描述了MBOSS安全服務(wù)平臺(tái)域MSS、BSS、OSS的整合，和它們之間的信息傳遞關(guān)系：圖STYLEREF1\s3SEQ圖\*ARABIC\s15CTG－MBOSS與MSS、BSS、OSS的整合CTG－MBOSS安全規(guī)范實(shí)行CTG-MBOSS安全規(guī)范實(shí)行演進(jìn)計(jì)劃圖STYLEREF1\s4SEQ圖\*ARABIC\s11CTG－MBOSS安全規(guī)范演進(jìn)規(guī)劃第一階段：建立MBOSS安全服務(wù)平臺(tái)基礎(chǔ)設(shè)施通過第一階段的實(shí)行，建立起MBOSS安全服務(wù)體系的基礎(chǔ)設(shè)施。規(guī)定達(dá)成以下目的：建立MBOSS的安全管理體系：建立MBOSS安全管理組織，實(shí)行人員安全管理規(guī)范、對(duì)員工進(jìn)行個(gè)人安全教育，推廣實(shí)行MBOSS運(yùn)維安全管理規(guī)范，推廣并實(shí)行MBOSS應(yīng)用開發(fā)安全管理規(guī)范。制定各省公司的MBOSS安全架構(gòu)與總體解決方案（EnterpriseSecurityArchitecture）網(wǎng)絡(luò)安全改善－網(wǎng)絡(luò)改善規(guī)定取得以下的結(jié)果：按照網(wǎng)絡(luò)安全規(guī)范的規(guī)定，根據(jù)不同的安全規(guī)定，建立相應(yīng)的安全區(qū)域。網(wǎng)絡(luò)安全區(qū)域的劃分，要與MBOSS應(yīng)用數(shù)據(jù)流相結(jié)合不同的安全區(qū)域要用采用相應(yīng)的隔離手段，并在網(wǎng)絡(luò)上部署入侵檢測(cè)或防御手段。建立統(tǒng)一的外網(wǎng)訪問出口，逐步關(guān)閉部門自主部署的互聯(lián)網(wǎng)訪問出口。主機(jī)安全管理：建設(shè)主機(jī)安全管理基礎(chǔ)設(shè)施，定義主機(jī)安全策略，實(shí)行對(duì)MSS、BSS、OSS系統(tǒng)主機(jī)的安全管理。實(shí)行基于主機(jī)的系統(tǒng)補(bǔ)丁管理實(shí)行基于主機(jī)的主機(jī)加固和審計(jì)系統(tǒng)、防病毒系統(tǒng)、防惡意代碼工具，及相應(yīng)安全代理的部署實(shí)行基于主機(jī)的襲擊防護(hù)系統(tǒng)的部署集中安全審計(jì)平臺(tái)：建設(shè)集中安全審計(jì)平臺(tái)實(shí)現(xiàn)對(duì)BSS關(guān)鍵系統(tǒng)的安全審計(jì)整合，涉及BSS應(yīng)用、服務(wù)器操作系統(tǒng)和數(shù)據(jù)庫(kù)，DCN關(guān)鍵網(wǎng)絡(luò)設(shè)備。能對(duì)BSS關(guān)鍵系統(tǒng)（應(yīng)用、操作系統(tǒng)和數(shù)據(jù)庫(kù)）安全進(jìn)行監(jiān)控和記錄報(bào)告。集中用戶管理平臺(tái)：建設(shè)集中用戶管理平臺(tái)，建立公司級(jí)的目錄服務(wù)實(shí)現(xiàn)對(duì)MSS系統(tǒng)的用戶管理整合，制定和實(shí)行MSS應(yīng)用系統(tǒng)用戶管理流程，實(shí)現(xiàn)對(duì)MSS系統(tǒng)的用戶管理。終端安全管理：實(shí)行終端安全管理基礎(chǔ)設(shè)施，實(shí)行省公司終端的防火墻和防病毒軟件的部署，實(shí)行對(duì)省公司終端的網(wǎng)絡(luò)準(zhǔn)入控制，與公司的目錄服務(wù)結(jié)合，實(shí)現(xiàn)授權(quán)準(zhǔn)入。容災(zāi)中心設(shè)計(jì)容災(zāi)方案擬定，容災(zāi)選址完畢，容災(zāi)架構(gòu)設(shè)計(jì)完畢第二階段：擴(kuò)充MBOSS安全服務(wù)平臺(tái)的功能通過擴(kuò)充MBOSS信息安全服務(wù)平臺(tái)的功能，規(guī)定達(dá)成以下目的：繼續(xù)第一階段的工作，完善MBOSS的安全管理體系。集中用戶管理平臺(tái)：將集中用戶管理平臺(tái)與BSS和OSS系統(tǒng)整合，制定和實(shí)行BSS和OSS系統(tǒng)的用戶管理流程，實(shí)現(xiàn)BSS和OSS系統(tǒng)用戶的集中管理。集中訪問認(rèn)證平臺(tái)：將集中訪問認(rèn)證平臺(tái)與BSS和OSS系統(tǒng)整合，制定和實(shí)行BSS和OSS系統(tǒng)的用戶管理流程，實(shí)現(xiàn)BSS和OSS系統(tǒng)用戶的集中訪問控制。集中安全審計(jì)平臺(tái)：以實(shí)現(xiàn)對(duì)MSS和OSS關(guān)鍵系統(tǒng)的安全審計(jì)整合，涉及應(yīng)用、操作系統(tǒng)和數(shù)據(jù)庫(kù)。能對(duì)MSS和OSS關(guān)鍵系統(tǒng)（應(yīng)用、操作系統(tǒng)和數(shù)據(jù)庫(kù)）安全進(jìn)行監(jiān)控和記錄報(bào)告。終端安全管理：實(shí)行對(duì)本地網(wǎng)用戶終端的安全管理。容災(zāi)中心建設(shè)：容災(zāi)中心建設(shè)完畢，能接受各分公司BSS關(guān)鍵系統(tǒng)的容災(zāi)和數(shù)據(jù)備份。第三階段：完善MBOSS安全體系通過MBOSS安全體系的完善，規(guī)定達(dá)成以下目的：繼續(xù)第二階段的工作，完善MBOSS的安全管理體系。集中訪問認(rèn)證平臺(tái)：實(shí)行對(duì)非B/S架構(gòu)系統(tǒng)的訪問認(rèn)證容災(zāi)中心擴(kuò)充：對(duì)容災(zāi)中心的容量逐步擴(kuò)充，使之所保護(hù)的相應(yīng)的省公司關(guān)鍵業(yè)務(wù)系統(tǒng)，可容納MSS、BSS、OSS關(guān)鍵系統(tǒng)的備份和容災(zāi)。CTG－MBOSS安全架構(gòu)的部署建議安全服務(wù)平臺(tái)將部署在集團(tuán)、省公司和本地網(wǎng)三個(gè)層次。集團(tuán)和省公司的部署基本上是相同的，本地網(wǎng)盡部署少量的模塊。CTG－MBOSS容災(zāi)備份CTG-MBOSS容災(zāi)系統(tǒng)是業(yè)務(wù)運(yùn)營(yíng)支撐系統(tǒng)的有機(jī)組成部分，容災(zāi)備份時(shí)CTG－MBOSS安全規(guī)范的一個(gè)不可缺省的部分。各省公司要保證MBOSS關(guān)鍵系統(tǒng)的業(yè)務(wù)連續(xù)性。由于容災(zāi)備份中心的建設(shè)費(fèi)用非常髙，中國(guó)電信總部將根據(jù)ITSP2.0,統(tǒng)一建設(shè)和部署、建設(shè)6個(gè)容災(zāi)中心。安全規(guī)范演進(jìn)風(fēng)險(xiǎn)及應(yīng)對(duì)結(jié)合中國(guó)電信MBOSS的實(shí)際情況，規(guī)范編寫組認(rèn)為解決方案的推廣實(shí)行也許會(huì)存在如下的風(fēng)險(xiǎn)：IT安全組織的建立根據(jù)解決方案的設(shè)計(jì)，IT安全組織將在開發(fā)階段成立。同時(shí)IT安全組織在整個(gè)項(xiàng)目中也扮演著重要角色，對(duì)于解決方案的推廣實(shí)行和IT安全的連續(xù)管理至關(guān)重要。因此，IT安全組織建立的延遲或偏差都會(huì)對(duì)解決方案的實(shí)行效果帶來不利影響。管理方面影響安全管理制度的制定得不到相關(guān)安全組織的配合，使制度的可操作性受到影響，同時(shí)也不運(yùn)用制度的更新、維護(hù)。安全管理制度的理解受到影響，不利于制度