中國(guó)電信產(chǎn)品維護(hù)經(jīng)理認(rèn)證體系教材-網(wǎng)絡(luò)安全

1、產(chǎn)品維護(hù)護(hù)經(jīng)理認(rèn)證證體系教材材-網(wǎng)絡(luò)絡(luò)安全中國(guó)電信信維護(hù)崗崗位認(rèn)證證教材編編寫小組組編制目 錄TOC o 1-3 h z u HYPERLINK l _Toc420309654 第1章信信息安全全管理基基礎(chǔ) PAGEREF _Toc420309654 h 5 HYPERLINK l _Toc420309655 1.1信信息安全全概述 PAGEREF _Toc420309655 h 55 HYPERLINK l _Toc420309656 1.1.1 信信息安全全面臨的的主要問(wèn)問(wèn)題 PAGEREF _Toc420309656 h 5 HYPERLINK l _Toc420309657 1.1.2

2、 信信息安全全的相對(duì)對(duì)性 PAGEREF _Toc420309657 h 5 HYPERLINK l _Toc420309658 1.2信信息安全全管理相相關(guān)概念念 PAGEREF _Toc420309658 h 5 HYPERLINK l _Toc420309659 1.2.1 什什么是信信息安全全 PAGEREF _Toc420309659 h 5 HYPERLINK l _Toc420309660 1.2.2 信信息安全全的發(fā)展展過(guò)程 PAGEREF _Toc420309660 h 66 HYPERLINK l _Toc420309661 1.2.3 信信息安全全的基本本目標(biāo) PAGER

3、EF _Toc420309661 h 66 HYPERLINK l _Toc420309662 1.2.4 如如何實(shí)現(xiàn)現(xiàn)信息安安全 PAGEREF _Toc420309662 h 6 HYPERLINK l _Toc420309663 1.2.5 信信息安全全需要遵遵循的模模式 PAGEREF _Toc420309663 h 7 HYPERLINK l _Toc420309664 1.3 BSS77999概述述 PAGEREF _Toc420309664 h 7 HYPERLINK l _Toc420309665 1.3.1 BBS 777999 PAGEREF _Toc420309665 h

4、 7 HYPERLINK l _Toc420309666 1.3.2 IISO 177799 PAGEREF _Toc420309666 h 88 HYPERLINK l _Toc420309667 1.3.3 安安全管理理體系規(guī)規(guī)范 PAGEREF _Toc420309667 h 144 HYPERLINK l _Toc420309668 1.3.4 IISMSS管理框框架 PAGEREF _Toc420309668 h 155 HYPERLINK l _Toc420309669 第2章網(wǎng)網(wǎng)絡(luò)安全全防護(hù)實(shí)實(shí)施標(biāo)準(zhǔn)準(zhǔn) PAGEREF _Toc420309669 h 17 HYPERLINK l

5、 _Toc420309670 2.1 電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)安全全防護(hù)管管理指南南 PAGEREF _Toc420309670 h 17 HYPERLINK l _Toc420309671 2.2 電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)安全全等級(jí)保保護(hù)實(shí)施施指南 PAGEREF _Toc420309671 h 225 HYPERLINK l _Toc420309672 2.3 電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)安全全風(fēng)險(xiǎn)評(píng)評(píng)估實(shí)施施指南 PAGEREF _Toc420309672 h 551 HYPERLINK l _Toc420309673 2.4 電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)安全全等級(jí)保保護(hù)實(shí)施施指南 PAGEREF _Toc420309

6、673 h 776 HYPERLINK l _Toc420309674 第3章中中國(guó)電信信安全維維護(hù)規(guī)范范 PAGEREF _Toc420309674 h 91 HYPERLINK l _Toc420309675 3.1 安全域域劃分及及邊界整整合 PAGEREF _Toc420309675 h 911 HYPERLINK l _Toc420309676 3.1.1 安安全域劃劃分與邊邊界整合合 PAGEREF _Toc420309676 h 91 HYPERLINK l _Toc420309677 3.1.2 定定級(jí)備案案 PAGEREF _Toc420309677 h 91 HYPERLI

7、NK l _Toc420309678 3.1.3 安安全域職職責(zé)分工工 PAGEREF _Toc420309678 h 91 HYPERLINK l _Toc420309679 3.1.4 網(wǎng)網(wǎng)絡(luò)接入入 PAGEREF _Toc420309679 h 91 HYPERLINK l _Toc420309680 3.2 安全管管理規(guī)范范 PAGEREF _Toc420309680 h 91 HYPERLINK l _Toc420309681 3.2.1 安安全操作作流程和和職責(zé) PAGEREF _Toc420309681 h 991 HYPERLINK l _Toc420309682 3.2.2

8、安安全對(duì)象象管理 PAGEREF _Toc420309682 h 992 HYPERLINK l _Toc420309683 3.2.3 安安全日常常維護(hù)管管理 PAGEREF _Toc420309683 h 922 HYPERLINK l _Toc420309684 3.2.4 第第三方服服務(wù)管理理 PAGEREF _Toc420309684 h 93 HYPERLINK l _Toc420309685 3.2.5 介介質(zhì)安全全管理 PAGEREF _Toc420309685 h 993 HYPERLINK l _Toc420309686 3.2.6 設(shè)設(shè)備安全全規(guī)范管管理 PAGEREF

9、_Toc420309686 h 933 HYPERLINK l _Toc420309687 3.3 訪問(wèn)控控制 PAGEREF _Toc420309687 h 944 HYPERLINK l _Toc420309688 3.3.1 網(wǎng)網(wǎng)絡(luò)訪問(wèn)問(wèn)控制 PAGEREF _Toc420309688 h 994 HYPERLINK l _Toc420309689 3.3.2 操操作系統(tǒng)統(tǒng)的訪問(wèn)問(wèn)控制 PAGEREF _Toc420309689 h 995 HYPERLINK l _Toc420309690 3.3.3 應(yīng)應(yīng)用訪問(wèn)問(wèn)控制 PAGEREF _Toc420309690 h 995 HYPER

10、LINK l _Toc420309691 3.3.4 網(wǎng)網(wǎng)絡(luò)訪問(wèn)問(wèn)與使用用的監(jiān)控控 PAGEREF _Toc420309691 h 95 HYPERLINK l _Toc420309692 3.3.5 遠(yuǎn)遠(yuǎn)程訪問(wèn)問(wèn)控制 PAGEREF _Toc420309692 h 996 HYPERLINK l _Toc420309693 3.4 網(wǎng)絡(luò)與與系統(tǒng)風(fēng)風(fēng)險(xiǎn)評(píng)估估 PAGEREF _Toc420309693 h 96 HYPERLINK l _Toc420309694 3.5 安全事事件與應(yīng)應(yīng)急響應(yīng)應(yīng) PAGEREF _Toc420309694 h 96 HYPERLINK l _Toc420309

11、695 3.5.1 安安全事件件報(bào)告機(jī)機(jī)制 PAGEREF _Toc420309695 h 966 HYPERLINK l _Toc420309696 3.5.2 應(yīng)應(yīng)急響應(yīng)應(yīng) PAGEREF _Toc420309696 h 97 HYPERLINK l _Toc420309697 3.6 安全審審計(jì)管理理 PAGEREF _Toc420309697 h 97 HYPERLINK l _Toc420309698 3.6.1 審審計(jì)內(nèi)容容要求 PAGEREF _Toc420309698 h 997 HYPERLINK l _Toc420309699 3.6.2 審審計(jì)原則則 PAGEREF _T

12、oc420309699 h 97 HYPERLINK l _Toc420309700 3.6.3 審審計(jì)管理理 PAGEREF _Toc420309700 h 98 HYPERLINK l _Toc420309701 第4章安安全評(píng)估估 PAGEREF _Toc420309701 h 99 HYPERLINK l _Toc420309702 4.1安安全評(píng)估估概述 PAGEREF _Toc420309702 h 999 HYPERLINK l _Toc420309703 4.1.1 安安全評(píng)估估目的 PAGEREF _Toc420309703 h 999 HYPERLINK l _Toc420

13、309704 4.1.2 安安全評(píng)估估要素 PAGEREF _Toc420309704 h 999 HYPERLINK l _Toc420309705 4.1.2 安安全評(píng)估估過(guò)程 PAGEREF _Toc420309705 h 1101 HYPERLINK l _Toc420309706 4.1.4 安安全評(píng)估估工具 PAGEREF _Toc420309706 h 1102 HYPERLINK l _Toc420309707 4.1.5 安安全評(píng)估估標(biāo)準(zhǔn) PAGEREF _Toc420309707 h 1102 HYPERLINK l _Toc420309708 4.2 安全掃掃描 PAGE

14、REF _Toc420309708 h 1003 HYPERLINK l _Toc420309709 4.2.1漏洞洞及其分分類 PAGEREF _Toc420309709 h 1003 HYPERLINK l _Toc420309710 4.2.2 網(wǎng)網(wǎng)絡(luò)掃描描技術(shù) PAGEREF _Toc420309710 h 1104 HYPERLINK l _Toc420309711 第5章常常見安全全產(chǎn)品 PAGEREF _Toc420309711 h 1107 HYPERLINK l _Toc420309712 5.1防防病毒網(wǎng)網(wǎng)關(guān) PAGEREF _Toc420309712 h 1007 HYP

15、ERLINK l _Toc420309713 5.1.1 防防病毒網(wǎng)網(wǎng)關(guān)基礎(chǔ)礎(chǔ)概念 PAGEREF _Toc420309713 h 1107 HYPERLINK l _Toc420309714 5.1.2 防防病毒網(wǎng)網(wǎng)關(guān)與防防火墻區(qū)區(qū)別 PAGEREF _Toc420309714 h 1008 HYPERLINK l _Toc420309715 5.1.3 防防病毒網(wǎng)網(wǎng)關(guān)與防防病毒軟軟件區(qū)別別 PAGEREF _Toc420309715 h 1100 HYPERLINK l _Toc420309716 5.1.4 防防病毒網(wǎng)網(wǎng)關(guān)關(guān)鍵鍵技術(shù) PAGEREF _Toc420309716 h 111

16、1 HYPERLINK l _Toc420309717 5.2 防火墻墻 PAGEREF _Toc420309717 h 1133 HYPERLINK l _Toc420309718 5.2.1 防防火墻基基本知識(shí)識(shí) PAGEREF _Toc420309718 h 1133 HYPERLINK l _Toc420309719 5.2.2 防防火墻基基本配置置 PAGEREF _Toc420309719 h 1177 HYPERLINK l _Toc420309720 5.3 入侵檢檢測(cè) PAGEREF _Toc420309720 h 1223 HYPERLINK l _Toc420309721

17、 5.3.1 入入侵檢測(cè)測(cè)與入侵侵防御概概述 PAGEREF _Toc420309721 h 1223 HYPERLINK l _Toc420309722 5.3.2 入入侵檢測(cè)測(cè)系統(tǒng)介介紹 PAGEREF _Toc420309722 h 1226 HYPERLINK l _Toc420309723 5.3.3 入入侵防御御系統(tǒng)介介紹 PAGEREF _Toc420309723 h 1334 HYPERLINK l _Toc420309724 5.4 VPNN PAGEREF _Toc420309724 h 1388 HYPERLINK l _Toc420309725 5.4.1 VVPN的的

18、基本原原理 PAGEREF _Toc420309725 h 1338 HYPERLINK l _Toc420309726 5.4.2 VVPN的的安全協(xié)協(xié)議 PAGEREF _Toc420309726 h 1339 HYPERLINK l _Toc420309727 附錄：第第一章安安全配置置 PAGEREF _Toc420309727 h 1566 HYPERLINK l _Toc420309728 1.1 網(wǎng)絡(luò)設(shè)設(shè)備安全全配置 PAGEREF _Toc420309728 h 1156 HYPERLINK l _Toc420309729 1.1.1 交交換機(jī)安安全配置置 PAGEREF _T

19、oc420309729 h 1566 HYPERLINK l _Toc420309730 1.1.2 路路由器安安全配置置 PAGEREF _Toc420309730 h 1588 HYPERLINK l _Toc420309731 1.2 主機(jī)安安全配置置 PAGEREF _Toc420309731 h 1688 HYPERLINK l _Toc420309732 1.2.1 WWinddowss安全配配置 PAGEREF _Toc420309732 h 1668 HYPERLINK l _Toc420309733 1.2.2 SSolaariss安全配配置 PAGEREF _Toc4203

20、09733 h 1773 HYPERLINK l _Toc420309734 1.2.3 LLinuux安全全配置 PAGEREF _Toc420309734 h 1175 HYPERLINK l _Toc420309735 附錄第二二章密碼碼學(xué)基礎(chǔ)礎(chǔ) PAGEREF _Toc420309735 h 1777 HYPERLINK l _Toc420309736 2.1密密碼學(xué)概概述 PAGEREF _Toc420309736 h 1777 HYPERLINK l _Toc420309737 2.1.1 密密碼學(xué)概概述 PAGEREF _Toc420309737 h 1777 HYPERLINK

21、 l _Toc420309738 2.1.2 密碼體體制的分分類 PAGEREF _Toc420309738 h 1777 HYPERLINK l _Toc420309739 2.1.4 密密碼學(xué)的的主要應(yīng)應(yīng)用 PAGEREF _Toc420309739 h 1880 HYPERLINK l _Toc420309740 2.1.5 信信息加密密方式 PAGEREF _Toc420309740 h 1180 HYPERLINK l _Toc420309741 2.2對(duì)對(duì)稱密碼碼學(xué) PAGEREF _Toc420309741 h 1882 HYPERLINK l _Toc420309742 2.3

22、非非對(duì)稱密密碼學(xué) PAGEREF _Toc420309742 h 1182 HYPERLINK l _Toc420309743 2.4消消息認(rèn)證證技術(shù) PAGEREF _Toc420309743 h 1183第1章信息安安全管理理基礎(chǔ)1.1信信息安全全概述1.1.1 信信息安全全面臨的的主要問(wèn)問(wèn)題1、人員員問(wèn)題：信息安全全意識(shí)薄薄弱的員員工誤操操作、誤誤設(shè)置造造成系統(tǒng)統(tǒng)宕機(jī)、數(shù)據(jù)丟丟失，信信息泄漏漏等問(wèn)題題特權(quán)人員員越權(quán)訪訪問(wèn)，如如：系統(tǒng)統(tǒng)管理員員，應(yīng)用用管理員員越權(quán)訪訪問(wèn)、傳傳播敏感感數(shù)據(jù)內(nèi)部員工工和即將將離職員員工竊取取企業(yè)秘秘密，尤尤其是骨骨干員工工流動(dòng)、集體流流動(dòng)等2、技術(shù)術(shù)問(wèn)題：病毒

23、和黑黑客攻擊擊越來(lái)越越多、爆爆發(fā)越來(lái)來(lái)越頻繁繁，直接接影響企企業(yè)正常常的業(yè)務(wù)務(wù)運(yùn)作3、法律律方面網(wǎng)絡(luò)濫用用：?jiǎn)T工工發(fā)表政政治言論論、訪問(wèn)問(wèn)非法網(wǎng)網(wǎng)站法制不健健全，行行業(yè)不正正當(dāng)競(jìng)爭(zhēng)爭(zhēng)（如：竊取機(jī)機(jī)密，破破壞企業(yè)業(yè)的業(yè)務(wù)務(wù)服務(wù)）1.1.2 信信息安全全的相對(duì)對(duì)性安全沒(méi)有有1000%，完完美的健健康狀態(tài)態(tài)永遠(yuǎn)也也不能達(dá)達(dá)到。安全工作作的目標(biāo)標(biāo)：將風(fēng)風(fēng)險(xiǎn)降到到最低。1.2信信息安全全管理相相關(guān)概念念1.2.1 什什么是信信息安全全I(xiàn)SO1177999中的的描述：“Innforrmattionn iss ann asssett whhichh, llikee ottherr immporrtannt

24、bbusiinesss aasseets, haas vvaluue tto aan oorgaanizzatiion andd coonseequeentlly nneedds tto bbe ssuittablly pprottectted. ” “Innforrmattionn caan eexisst iin mmanyy foormss. IIt ccan be priinteed oor wwritttenn onn paaperr, sstorred eleectrroniicallly, trranssmitttedd byy poost or usiing eleectrro

25、niic mmeanns, shoown on fillms, orr sppokeen iin cconvverssatiion. 定義中強(qiáng)強(qiáng)調(diào)信息息：是一種資資產(chǎn)同其它重重要的商商業(yè)資產(chǎn)產(chǎn)一樣對(duì)組織具具有價(jià)值值 需要適當(dāng)當(dāng)?shù)谋Ｗo(hù)護(hù)以各種形形式存在在：紙、電子、影片、交談等等ISO1177999中的的描述:“Innforrmattionn seecurrityy prroteectss innforrmattionn frrom a wwidee raangee off thhreaats in ordder to enssuree buusinnesss coontiinuiity, mi

26、inimmizee buusinnesss daamagge aand maxximiize retturnn onn innvesstmeentss annd bbusiinesss ooppoortuunittiess.”信息安全全：保護(hù)信息息免受各各方威脅脅確保組織織業(yè)務(wù)連連續(xù)性將信息不不安全帶帶來(lái)的損損失降低低到最小小 獲得最大大的投資資回報(bào)和和商業(yè)機(jī)機(jī)會(huì)1.2.2信息安安全的發(fā)發(fā)展過(guò)程程20世紀(jì)紀(jì)初：強(qiáng)強(qiáng)調(diào)保密密性（密密碼學(xué)）20世紀(jì)紀(jì)60年年代：保保密性、完整性性、可用用性（CCIA）20世紀(jì)紀(jì)80年年代：保保密性、完整性性、可用用性、抗抗抵賴、可控性性、真實(shí)實(shí)性1.2.3信息安安

27、全的基基本目標(biāo)標(biāo)保密性（Connfiddenttiallityy）：確確保信息息在存儲(chǔ)儲(chǔ)、使用用、傳輸輸過(guò)程中中不會(huì)泄泄漏給非非授權(quán)用用戶或?qū)崒?shí)體。完整性（Inttegrrityy）：確確保信息息在存儲(chǔ)儲(chǔ)、使用用、傳輸輸過(guò)程中中不會(huì)被被非授權(quán)權(quán)用戶篡篡改，同同時(shí)還要要防止授授權(quán)用戶戶對(duì)系統(tǒng)統(tǒng)及信息息進(jìn)行不不恰當(dāng)?shù)牡拇鄹?，保持信信息?nèi)、外部表表示的一一致性?？捎眯裕ˋvaailaabillityy）：確確保授權(quán)權(quán)用戶或或?qū)嶓w對(duì)對(duì)信息及及資源的的正常使使用不會(huì)會(huì)被異常常拒絕，允許其其可靠而而及時(shí)地地訪問(wèn)信信息及資資源。1.2.4如何實(shí)實(shí)現(xiàn)信息息安全物理安全全技術(shù)：環(huán)境安安全、設(shè)設(shè)備安全全、媒體體安

28、全；系統(tǒng)安全全技術(shù)：操作系系統(tǒng)及數(shù)數(shù)據(jù)庫(kù)系系統(tǒng)的安安全性；網(wǎng)絡(luò)安全全技術(shù)：網(wǎng)絡(luò)隔隔離、訪訪問(wèn)控制制、VPPN、入入侵檢測(cè)測(cè)、掃描描評(píng)估；應(yīng)用安全全技術(shù)：Emaail 安全、Webb 訪問(wèn)問(wèn)安全、內(nèi)容過(guò)過(guò)濾、應(yīng)應(yīng)用系統(tǒng)統(tǒng)安全；數(shù)據(jù)加密密技術(shù)：硬件和和軟件加加密，實(shí)實(shí)現(xiàn)身份份認(rèn)證和和數(shù)據(jù)信信息的CCIA 特性；認(rèn)證授權(quán)權(quán)技術(shù)：口令認(rèn)認(rèn)證、SSSO 認(rèn)證（例如KKerbberoos）、證書認(rèn)認(rèn)證等；訪問(wèn)控制制技術(shù)：防火墻墻、訪問(wèn)問(wèn)控制列列表等；審計(jì)跟蹤蹤技術(shù)：入侵檢檢測(cè)、日日志審計(jì)計(jì)、辨析析取證；防病毒技技術(shù)：?jiǎn)螁螜C(jī)防病病毒技術(shù)術(shù)逐漸發(fā)發(fā)展成整整體防病病毒體系系；災(zāi)難恢復(fù)復(fù)和備份份技術(shù)：業(yè)務(wù)連連續(xù)性

29、技技術(shù)，前前提就是是對(duì)數(shù)據(jù)據(jù)的備份份。1.2.5信息安安全需要要遵循的的模式在信息安安全管理理方面，BS777999 標(biāo)準(zhǔn)準(zhǔn)為我們們提供了了指導(dǎo)性性建議，即基于于PDCCA（PPlann、Doo、Chheckk 和AAct，即戴明明環(huán)）的的持續(xù)改改進(jìn)的管管理模式式。1.3BBS77799概概述1.3.1 BBS 777999（一）BBS 777999簡(jiǎn)介BS 777999是英國(guó)標(biāo)標(biāo)準(zhǔn)協(xié)會(huì)會(huì)（Brritiish Staandaardss Innstiitutte，BBSI）制定的的信息安安全標(biāo)準(zhǔn)準(zhǔn)，由信信息安全全方面的的最佳慣慣例組成成的一套套全面的的控制集集，是信信息安全全管理方方面最受受推崇

30、的的國(guó)際標(biāo)標(biāo)準(zhǔn)。BS77799和和ISOO177799的的區(qū)別：BS77799：英國(guó)標(biāo)準(zhǔn)準(zhǔn)已被多個(gè)個(gè)國(guó)家認(rèn)認(rèn)同（如如澳大利利亞等）第二部分分是可認(rèn)認(rèn)證標(biāo)準(zhǔn)準(zhǔn)20022年新修修訂了第第2部分分。新版版本風(fēng)格格接近IISO990000和ISSO1440000。ISO117799920000年采納納了BSS77999的第第一部分分第二部分分還在討討論中（二）BBS 777999的歷史史沿革 19990年年代初 英國(guó)國(guó)貿(mào)工部部（DTTI）成成立工作作組，立立項(xiàng)開發(fā)發(fā)一套可可供開發(fā)發(fā)、實(shí)施施和測(cè)量量有效安安全管理理慣例并并提供貿(mào)貿(mào)易伙伴伴間信任任的通用用框架。 19993年年9月 頒布信息安安全管理理實(shí)

31、施細(xì)細(xì)則，形成BBS 777999的基礎(chǔ)礎(chǔ)。 19995年年2月 首次出出版BSS 77799-1:119955信息息安全管管理實(shí)施施細(xì)則。 19998年年2月 英國(guó)公公布BSS 77799-2:信息安安全管理理體系規(guī)規(guī)范。 19999年年4月 BS 77999-11與BSS 77799-2修訂訂后重新新發(fā)布。 20000年年12月月 國(guó)際際標(biāo)準(zhǔn)組組織 IISO/IECC JTTC 11/SCC27工工作組認(rèn)認(rèn)可通過(guò)過(guò)BS 77999-11，頒布布ISOO/IEEC 1177999-11:20000信息技技術(shù)信息安安全管理理實(shí)施細(xì)細(xì)則。 20002年年9月 BSII對(duì)BSS 77799-2進(jìn)行

32、行了改版版，用來(lái)來(lái)替代原原標(biāo)準(zhǔn)（BS 77999-22:19999）使用，并可望望通過(guò)IISO組組織認(rèn)可可。ISO2270001:220055 建立信信息安全全管理體體系（IISMSS）的一一套規(guī)范范（Sppeciificcatiion forr Innforrmattionn Seecurrityy Maanaggemeent Sysstemms），其中詳詳細(xì)說(shuō)明明了建立立、實(shí)施施和維護(hù)護(hù)信息安安全管理理體系的的要求，指出實(shí)實(shí)施機(jī)構(gòu)構(gòu)應(yīng)該遵遵循的風(fēng)風(fēng)險(xiǎn)評(píng)估估標(biāo)準(zhǔn) 。1.3.2 IISO 177799圖：ISSO 1177999:220055內(nèi)容框框架（一）信信息安全全管理細(xì)細(xì)則信息安全全策略

33、安全組織織資產(chǎn)分類類和控制制人員安全全物理和環(huán)環(huán)境安全全通信和操操作管理理訪問(wèn)控制制系統(tǒng)獲得得、開發(fā)發(fā)和維護(hù)護(hù)信息安全全事件管管理業(yè)務(wù)連續(xù)續(xù)性管理理依從性（二）信信息安全全策略目標(biāo)：信息安全全策略為信信息安全全提供與與業(yè)務(wù)需需求和法法律法規(guī)規(guī)相一致致的管理理指示及及支持 安全全策略應(yīng)應(yīng)該做到到： 對(duì)信信息安全全加以定定義 陳述述管理層層的意圖圖 分派派責(zé)任 約定定信息安安全管理理的范圍圍 對(duì)特特定的原原則、標(biāo)標(biāo)準(zhǔn)和遵遵守要求求進(jìn)行說(shuō)說(shuō)明 對(duì)報(bào)報(bào)告可疑疑安全事事件的過(guò)過(guò)程進(jìn)行行說(shuō)明 定義義用以維維護(hù)策略略的復(fù)查查過(guò)程（三）安安全組織織目標(biāo)： 信息安安全基礎(chǔ)礎(chǔ)設(shè)施在組組織內(nèi)部部管理信信息安全全 外

34、部部組織保持持組織的的被外部部組織訪訪問(wèn)、處處理、溝溝通或管管理的信信息及信信息處理理設(shè)備的的安全 包含含的內(nèi)容容： 建立立管理委委員會(huì)，定義安安全管理理的角色色和責(zé)任任 對(duì)軟軟硬件的的采購(gòu)建建立授權(quán)權(quán)過(guò)程與第三方方簽訂的的協(xié)議中中應(yīng)覆蓋蓋所有相相關(guān)的安安全要求求。 外包包合同中中的安全全需求包括內(nèi)部部組織和和外部伙伙伴（四）資資產(chǎn)管理理目標(biāo)：資產(chǎn)責(zé)任任實(shí)現(xiàn)現(xiàn)并保持持組織資資產(chǎn)的適適當(dāng)保護(hù)護(hù)信息分類類確確保對(duì)信信息資產(chǎn)產(chǎn)的保護(hù)護(hù)達(dá)到恰恰當(dāng)?shù)乃?包含含的內(nèi)容容： 組織織可以根根據(jù)業(yè)務(wù)務(wù)運(yùn)作流流程和信信息系統(tǒng)統(tǒng)拓?fù)浣Y(jié)結(jié)構(gòu)來(lái)識(shí)識(shí)別信息息資產(chǎn)。 按照照信息資資產(chǎn)所屬屬系統(tǒng)或或所在部部門列出出資產(chǎn)清

35、清單。 所有有的信息息資產(chǎn)都都應(yīng)該具具有指定定的屬主主并且可可以被追追溯責(zé)任任。 信息息應(yīng)該被被分類，以標(biāo)明明其需求求、優(yōu)先先級(jí)和保保護(hù)程度度。 根據(jù)據(jù)組織采采用的分分類方案案，為信信息標(biāo)注注和處理理定義一一套合適適的程序序。（五）人人力資源源安全目標(biāo)： 雇傭傭前確保員員工、合合同訪和和第三方方用戶了了解他們們的責(zé)任任并適合合于他們們所考慮慮的角色色，減少少盜竊、濫用或或設(shè)施誤誤用的風(fēng)風(fēng)險(xiǎn)。 雇傭傭中確保所所有的員員工、合合同方和和第三方方用戶了了解信息息安全威威脅和相相關(guān)事宜宜、他們們的責(zé)任任和義務(wù)務(wù)，并在在他們的的日常工工作中支支持組織織的信息息安全方方針，減減少人為為錯(cuò)誤的的風(fēng)險(xiǎn)。 解聘

36、聘和變更更確確保員工工、合同同方和第第三方用用戶離開開組織或或變更雇雇傭關(guān)系系時(shí)以一一種有序序的方式式進(jìn)行。 包含含的內(nèi)容容： 故意意或者無(wú)無(wú)意的人人為活動(dòng)動(dòng)可能給給數(shù)據(jù)和和系統(tǒng)造造成風(fēng)險(xiǎn)險(xiǎn) 在正正式的工工作描述述中建立立安全責(zé)責(zé)任，員員工入職職審查 （六）物物理和環(huán)環(huán)境安全全目標(biāo)： 安全全區(qū)域防止止非授權(quán)權(quán)訪問(wèn)、破壞和和干擾業(yè)業(yè)務(wù)運(yùn)行行的前提提條件及及信息。 設(shè)備備安全預(yù)防防資產(chǎn)的的丟失、損壞或或被盜，以及對(duì)對(duì)組織業(yè)業(yè)務(wù)活動(dòng)動(dòng)的干擾擾。 包含含的內(nèi)容容： 應(yīng)該該建立帶帶有物理理入口控控制的安安全區(qū)域域 應(yīng)該該配備物物理保護(hù)護(hù)的硬件件設(shè)備 應(yīng)該該防止網(wǎng)網(wǎng)絡(luò)電纜纜被塔線線竊聽 將設(shè)設(shè)備搬離離場(chǎng)所

37、，或者準(zhǔn)準(zhǔn)備報(bào)廢廢時(shí)，應(yīng)應(yīng)考慮其其安全（七）通通信和操操作管理理目標(biāo)： 操作作程序和和責(zé)任確保保信息處處理設(shè)施施的正確確和安全全操作。 第三三方服務(wù)務(wù)交付管管理實(shí)施并并保持信信息安全全的適當(dāng)當(dāng)水平，確保第第三方交交付的服服務(wù)符合合協(xié)議要要求。 系統(tǒng)統(tǒng)規(guī)劃與與驗(yàn)收減少少系統(tǒng)失失效帶來(lái)來(lái)的風(fēng)險(xiǎn)險(xiǎn)。 防范惡惡意代碼碼和移動(dòng)動(dòng)代碼保護(hù)護(hù)軟件和和信息的的完整性性。 備份保持持信息和和信息處處理設(shè)施施的完整整性和可可用性 網(wǎng)絡(luò)絡(luò)安全管管理確保對(duì)對(duì)網(wǎng)絡(luò)中中信息和和支持性性基礎(chǔ)設(shè)設(shè)施的安安全保護(hù)護(hù)。 介質(zhì)質(zhì)處理和和安全防止止對(duì)資產(chǎn)產(chǎn)的未授授權(quán)泄漏漏、修改改、移動(dòng)動(dòng)或損壞壞，及對(duì)對(duì)業(yè)務(wù)活活動(dòng)的干干擾。 信息息和

38、軟件件的交換換應(yīng)應(yīng)保持組組織內(nèi)部部或組織織與外部部組織之之間交換換信息和和軟件的的安全。 電子商商務(wù)服務(wù)務(wù) 確保電電子商務(wù)務(wù)的安全全及他們們的安全全使用。監(jiān)督檢測(cè)未未經(jīng)授權(quán)權(quán)的信息息處理活活動(dòng)。 包含含的內(nèi)容容： 防病病毒，防防惡意軟軟件 進(jìn)行行變更控控制 做好好備份，存儲(chǔ)介介質(zhì)的安安全處理理，保存存正確的的訪問(wèn)日日志，系系統(tǒng)文件件的安全全性 電子子郵件安安全性 保護(hù)護(hù)傳輸中中的數(shù)據(jù)據(jù)（八）訪訪問(wèn)控制制目標(biāo)： 訪問(wèn)問(wèn)控制的的業(yè)務(wù)需需求控制對(duì)對(duì)信息的的訪問(wèn)。 用戶戶訪問(wèn)管管理確保授授權(quán)用戶戶的訪問(wèn)問(wèn)，并預(yù)預(yù)防信息息系統(tǒng)的的非授權(quán)權(quán)訪問(wèn)。 用戶戶責(zé)任預(yù)防防未授權(quán)權(quán)用戶的的訪問(wèn)，信息和和信息處處理設(shè)

39、施施的破壞壞或被盜盜。 網(wǎng)絡(luò)絡(luò)訪問(wèn)控控制防止對(duì)對(duì)網(wǎng)絡(luò)服服務(wù)未經(jīng)經(jīng)授權(quán)的的訪問(wèn)。 操作作系統(tǒng)訪訪問(wèn)控制制防防止對(duì)操操作系統(tǒng)統(tǒng)的未授授權(quán)訪問(wèn)問(wèn)。 應(yīng)用用訪問(wèn)控控制防止對(duì)對(duì)應(yīng)用系系統(tǒng)中信信息的未未授權(quán)訪訪問(wèn)。 移動(dòng)動(dòng)計(jì)算和和遠(yuǎn)程工工作確保在在使用移移動(dòng)計(jì)算算和遠(yuǎn)程程工作設(shè)設(shè)施時(shí)信信息的安安全。 包含含的內(nèi)容容： 口令令的正確確使用 對(duì)終終端的物物理訪問(wèn)問(wèn) 自動(dòng)動(dòng)終止時(shí)時(shí)間 軟件件監(jiān)視等等（九）系系統(tǒng)獲得得、開發(fā)發(fā)與維護(hù)護(hù)目標(biāo)： 系統(tǒng)統(tǒng)的安全全需求確保保安全內(nèi)內(nèi)建于信信息系統(tǒng)統(tǒng)中。 應(yīng)用用系統(tǒng)的的安全防止止應(yīng)用系系統(tǒng)信息息的錯(cuò)誤誤、丟失失、未授授權(quán)的修修改或誤誤用。 加密密控制通過(guò)過(guò)加密手手段來(lái)保保護(hù)

40、細(xì)膩膩的保密密性、真真實(shí)性或或完整性性。 系統(tǒng)統(tǒng)文件的的安全確保保系統(tǒng)文文檔的安安全。 開發(fā)發(fā)和支持持過(guò)程的的安全保持持應(yīng)用系系統(tǒng)軟件件和信息息的安全全。技術(shù)漏洞洞管理減少少由利用用公開的的技術(shù)漏漏洞帶來(lái)來(lái)的風(fēng)險(xiǎn)險(xiǎn)。 包含含的內(nèi)容容： 在系系統(tǒng)設(shè)計(jì)計(jì)時(shí)應(yīng)該該考慮輸輸入數(shù)據(jù)據(jù)校驗(yàn)、數(shù)據(jù)加加密、數(shù)數(shù)據(jù)文件件的安全全性、測(cè)測(cè)試數(shù)據(jù)據(jù)的保護(hù)護(hù) 軟件件開發(fā)和和維護(hù)中中應(yīng)該建建立配置置管理、變更控控制等機(jī)機(jī)制（十）信信息安全全事件管管理目標(biāo)：報(bào)告信息息安全事事件和弱弱點(diǎn)確保與與信息系系統(tǒng)有關(guān)關(guān)的安全全事件和和弱點(diǎn)的的溝通能能夠及時(shí)時(shí)采取糾糾正措施施。信息安全全事故的的管理和和改進(jìn)確保保使用持持續(xù)有效效的方

41、法法管理信信息安全全事故。 包含含的內(nèi)容容：正常的事事件報(bào)告告和分類類程序，這類程程序用來(lái)來(lái)報(bào)告可可能對(duì)機(jī)機(jī)構(gòu)的財(cái)財(cái)產(chǎn)安全全造成影影響的不不同種類類的事件件和弱點(diǎn)點(diǎn)所有的員員工、合合同方和和第三方方用戶都都應(yīng)該知知曉這套套報(bào)告程程序。要求員工工需要盡盡可能快快地將信信息安全全事件和和弱點(diǎn)報(bào)報(bào)告給指指定的聯(lián)聯(lián)系方。 （十一）業(yè)務(wù)連連續(xù)性管管理目標(biāo)：業(yè)務(wù)連續(xù)續(xù)性管理理的信息息安全方方面：防止止業(yè)務(wù)活活動(dòng)的中中斷，保保護(hù)關(guān)鍵鍵業(yè)務(wù)流流程不會(huì)會(huì)受信息息系統(tǒng)重重大失效效或自然然災(zāi)害的的影響，并確保保他們的的及時(shí)恢恢復(fù)。 包含含的內(nèi)容容： 全面面理解業(yè)業(yè)務(wù)連續(xù)續(xù)性計(jì)劃劃（BCCP） 理解解組織面面臨的風(fēng)風(fēng)

42、險(xiǎn)，識(shí)識(shí)別關(guān)鍵鍵業(yè)務(wù)活活動(dòng)和優(yōu)優(yōu)先次序序。 確認(rèn)認(rèn)可能對(duì)對(duì)業(yè)務(wù)造造成影響響的中斷斷。 應(yīng)該該設(shè)計(jì)、實(shí)施、測(cè)試和和維護(hù)BBCP（十二）符合性性目標(biāo)：與法律法法規(guī)要求求的符合合性避免違違反法律律、法規(guī)規(guī)、規(guī)章章、合同同要求和和其他的的安全要要求。符合安全全方針、標(biāo)準(zhǔn)，技術(shù)符符合性確保保系統(tǒng)符符合組織織安全方方針和標(biāo)標(biāo)準(zhǔn)。信息系統(tǒng)統(tǒng)審核的的考慮因因素最大化化信息系系統(tǒng)審核核的有效效性，最最小化來(lái)來(lái)自/對(duì)對(duì)信息系系統(tǒng)審核核的影響響。 包含含的內(nèi)容容： 組織織應(yīng)該確確保遵守守相關(guān)的的法律法法規(guī)和合合同義務(wù)務(wù) 軟件件版權(quán)，知識(shí)產(chǎn)產(chǎn)權(quán)等1.3.3 安安全管理理體系規(guī)規(guī)范（一）BBS77799-2簡(jiǎn)介介BS

43、777999標(biāo)準(zhǔn)對(duì)對(duì)信息安安全管理理體系（ISMMS）并并沒(méi)有一一個(gè)明確確的定義義，可以以將其理理解為組組織管理理體系的的一部分分。ISMSS涉及到到的內(nèi)容容：用于于組織信信息資產(chǎn)產(chǎn)風(fēng)險(xiǎn)管管理、確確保組織織信息安安全的、包括為為制定、實(shí)施、評(píng)審和和維護(hù)信信息安全全策略所所需的組組織機(jī)構(gòu)構(gòu)、目標(biāo)標(biāo)、職責(zé)責(zé)、程序序、過(guò)程程和資源源。標(biāo)準(zhǔn)要求求的ISSMS建建立過(guò)程程：制定定信息安安全策略略，確定定體系范范圍，明明確管理理職責(zé)，通過(guò)風(fēng)風(fēng)險(xiǎn)評(píng)估估確定控控制目標(biāo)標(biāo)和控制制方式。體系一旦旦建立，組織應(yīng)應(yīng)該按規(guī)規(guī)定要求求進(jìn)行運(yùn)運(yùn)作，保保持體系系的有效效性。ISMSS應(yīng)形成成一定的的文檔，包括策策略、適適用性

44、聲聲明文件件和實(shí)施施安全控控制所需需的程序序文件。一個(gè)文檔檔化的IISMSS應(yīng)該闡闡述：要要保護(hù)的的資產(chǎn)，組織進(jìn)進(jìn)行風(fēng)險(xiǎn)險(xiǎn)管理的的途徑，控制目目標(biāo)和控控制方式式，需要要的保障障程度。（二）IISMSS的作用用強(qiáng)化員工工的信息息安全意意識(shí)，規(guī)規(guī)范組織織信息安安全行為為；對(duì)組織的的關(guān)鍵信信息資產(chǎn)產(chǎn)進(jìn)行全全面系統(tǒng)統(tǒng)的保護(hù)護(hù)，維持持競(jìng)爭(zhēng)優(yōu)優(yōu)勢(shì)；在信息系系統(tǒng)受到到侵襲時(shí)時(shí)，確保保業(yè)務(wù)持持續(xù)開展展并將損損失降到到最低程程度；使組織的的生意伙伙伴和客客戶對(duì)組組織充滿滿信心，如果通通過(guò)體系系認(rèn)證，表明體體系符合合標(biāo)準(zhǔn)，證明組組織有能能力保障障重要信信息，提提高組織織的知名名度與信信任度；促使管理理層堅(jiān)持持貫徹

45、信信息安全全保障體體系。（三）IISO 270001定定義的信信息安全全管理體體系1.3.4 IISMSS管理框框架建立ISSMS管管理框架架的過(guò)程程：ISMSS是一個(gè)個(gè)文檔化化的體系系。文檔檔架構(gòu)如如下圖所所示：第一級(jí) ：方針針策略，信息息安全管管理手冊(cè)冊(cè)是xxx信息息安全管管理工作作的綱領(lǐng)領(lǐng)性文件件 。第二級(jí) ：管理理規(guī)定、規(guī)范、程序文文件用來(lái)來(lái)規(guī)定所所要求的的管理制制度或技技術(shù)控制制措施。第三級(jí) ：管理理辦法和和實(shí)施細(xì)細(xì)則解釋釋特殊工工作和活活動(dòng)的細(xì)細(xì)節(jié)。第四級(jí) ：記錄錄活動(dòng)實(shí)實(shí)行以符符合等級(jí)級(jí)1,22,和33的文件件要求的的客觀證證據(jù)，闡闡明所取取得的結(jié)結(jié)果或提提供完成成活動(dòng)的的證據(jù)

46、ISMSS文件體體系邏輯輯框架圖圖：第2章 網(wǎng)絡(luò)安安全防護(hù)護(hù)實(shí)施標(biāo)標(biāo)準(zhǔn)2.1 電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)安全全防護(hù)管管理指南南1. 范圍 本標(biāo)準(zhǔn)對(duì)對(duì)電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)安全全防護(hù)的的定義、目標(biāo)、原則進(jìn)進(jìn)行了描描述和規(guī)規(guī)范。同同時(shí)，對(duì)對(duì)電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)安全全防護(hù)體體系、安安全防護(hù)護(hù)體系三三部分工工作及其其關(guān)系進(jìn)進(jìn)行了說(shuō)說(shuō)明。本標(biāo)準(zhǔn)適適用于電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)的安全全防護(hù)工工作。本標(biāo)準(zhǔn)涉涉及的電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)不包括括專用網(wǎng)網(wǎng)，僅指指公眾電電信網(wǎng)和和公眾互互聯(lián)網(wǎng)。2. 規(guī)范性性引用文文件 下列文件件中的條條款通過(guò)過(guò)本標(biāo)準(zhǔn)準(zhǔn)的引用用而成為為指導(dǎo)性性技術(shù)文文件的條條款。凡凡是注日日期的引引用文件件，其隨隨后

47、所有有的修改改單（不不包括勘勘誤的內(nèi)內(nèi)容）或或修訂版版均不適適用于本本標(biāo)準(zhǔn)。然而，鼓勵(lì)根根據(jù)本標(biāo)標(biāo)準(zhǔn)達(dá)成成協(xié)議的的各方研研究是否否可使用用這些文文件的最最新版本本。凡是是不注日日期的引引用文件件，其最最新版本本適用于于本標(biāo)準(zhǔn)準(zhǔn)。 GB/TT 52271.8-220011 信息息技術(shù) 詞匯匯 第第 8 部分：安全 3. 術(shù)語(yǔ)和和定義 GB/TT 52271.8-220011確立的的術(shù)語(yǔ)和和定義，以及下下列術(shù)語(yǔ)語(yǔ)和定義義適用于于本標(biāo)準(zhǔn)準(zhǔn)。 3.1 電信網(wǎng) tellecoom nnetwworkk 利用有線線和/或或無(wú)線的的電磁、光電系系統(tǒng)，進(jìn)進(jìn)行文字字、聲音音、數(shù)據(jù)據(jù)、圖象象或其它它任何媒媒體的信

48、信息傳遞遞的網(wǎng)絡(luò)絡(luò)，包括括固定通通信網(wǎng)、移動(dòng)通通信網(wǎng)等等。 3.2 互聯(lián)網(wǎng) Intternnet 泛指廣域域網(wǎng)、局局域網(wǎng)及及終端（包括計(jì)計(jì)算機(jī)、手機(jī)等等）通過(guò)過(guò)交換機(jī)機(jī)、路由由器、網(wǎng)網(wǎng)絡(luò)接入入設(shè)備等等基于一一定的通通訊協(xié)議議連接形形成的，功能和和邏輯上上的大型型網(wǎng)絡(luò)。 3.3 電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)安全防防護(hù)體系系 seecurrityy prroteectiion arcchittectturee off teeleccom nettworrk aand Intternnet電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)的安全全等級(jí)保保護(hù)、安安全風(fēng)險(xiǎn)險(xiǎn)評(píng)估、災(zāi)難備備份及恢恢復(fù)三項(xiàng)項(xiàng)工作互互為依托托、互為為補(bǔ)充、相互配配合

49、，共共同構(gòu)成成了電信信網(wǎng)和互互聯(lián)網(wǎng)安安全防護(hù)護(hù)體系。 3.4 電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)安全等等級(jí) ssecuuritty cclasssifficaatioon oof tteleecomm neetwoork andd Innterrnett 電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)及相關(guān)關(guān)系統(tǒng)重重要程度度的表征征。重要要程度從從電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)及相相關(guān)系統(tǒng)統(tǒng)受到破破壞后，對(duì)國(guó)家家安全、社會(huì)秩秩序、經(jīng)經(jīng)濟(jì)運(yùn)行行、公共共利益、網(wǎng)絡(luò)和和業(yè)務(wù)運(yùn)運(yùn)營(yíng)商造造成的損損害來(lái)衡衡量。 3.5 電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)安全等等級(jí)保護(hù)護(hù) cclasssiffiedd ssecuuritty prootecctioon of teeleccom

50、 neetwoork andd Innterrnett 指對(duì)對(duì)電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)及相相關(guān)系統(tǒng)統(tǒng)分等級(jí)級(jí)實(shí)施安安全保護(hù)護(hù)。 3.6 電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)安全風(fēng)風(fēng)險(xiǎn) ssecuuritty rriskk off teeleccom nettworrk aand Intternnet 人為或或自然的的威脅可可能利用用電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)及相相關(guān)系統(tǒng)統(tǒng)存在的的脆弱性性導(dǎo)致安安全事件件的發(fā)生生及其對(duì)對(duì)組織造造成的影影響。 3.7 電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)安全風(fēng)風(fēng)險(xiǎn)評(píng)估估 seecurrityy riisk asssesssmennt oof tteleecomm neetwoork andd Innterrnet

51、t 指運(yùn)用科科學(xué)的方方法和手手段，系系統(tǒng)地分分析電信信網(wǎng)和互互聯(lián)網(wǎng)及及相關(guān)系系統(tǒng)所面面臨的威威脅及其其存在的的脆弱性性，評(píng)估估安全事事件一旦旦發(fā)生可可能造成成的危害害程度，提出有有針對(duì)性性的抵御御威脅的的防護(hù)對(duì)對(duì)策和安安全措施施，防范范和化解解電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)及相相關(guān)系統(tǒng)統(tǒng)安全風(fēng)風(fēng)險(xiǎn)，將將風(fēng)險(xiǎn)控控制在可可接受的的水平，為最大大限度地地保障電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)及相關(guān)關(guān)系統(tǒng)的的安全提提供科學(xué)學(xué)依據(jù)。3.8 電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)災(zāi)難 dissastter of tellecoom nnetwworkk anndInnterrnett 由于于各種原原因，造造成電信信網(wǎng)和互互聯(lián)網(wǎng)及及相關(guān)系系統(tǒng)故障障或癱

52、瘓瘓，使電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)及相關(guān)關(guān)系統(tǒng)支支持的業(yè)業(yè)務(wù)功能能停頓或或服務(wù)水水平不可可接受、達(dá)到特特定的時(shí)時(shí)間的突突發(fā)性事事件。 3.9 電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)災(zāi)難備備份 bacckupp foor ddisaasteer rrecooverry oof tteleecomm neetwoork andd Innterrnett為了電信信網(wǎng)和互互聯(lián)網(wǎng)及及相關(guān)系系統(tǒng)災(zāi)難難恢復(fù)而而對(duì)相關(guān)關(guān)網(wǎng)絡(luò)要要素進(jìn)行行備份的的過(guò)程。3.100 電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)災(zāi)難恢恢復(fù) ddisaasteer rrecooverry oof tteleecomm neetwoork andd Innterrnett 為了了將電信信

53、網(wǎng)和互互聯(lián)網(wǎng)及及相關(guān)系系統(tǒng)從災(zāi)災(zāi)難造成成的故障障或癱瘓瘓狀態(tài)恢恢復(fù)到正正常運(yùn)行行狀態(tài)或或部分正正常運(yùn)行行狀態(tài)、并將其其支持的的業(yè)務(wù)功功能從災(zāi)災(zāi)難造成成的不正正常狀態(tài)態(tài)恢復(fù)到到可接受受狀態(tài)，而設(shè)計(jì)計(jì)的活動(dòng)動(dòng)和流程程。4. 目標(biāo)和和原則 電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)安全防防護(hù)工作作的目標(biāo)標(biāo)就是要要加強(qiáng)電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)的安全全防護(hù)能能力，確確保網(wǎng)絡(luò)絡(luò)的安全全性和可可靠性，盡可能能實(shí)現(xiàn)對(duì)對(duì)電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)安全全狀況的的實(shí)時(shí)掌掌控，保保證電信信網(wǎng)和互互聯(lián)網(wǎng)能能夠完成成其使命命。為了了實(shí)現(xiàn)該該目標(biāo)，網(wǎng)絡(luò)和和業(yè)務(wù)運(yùn)運(yùn)營(yíng)商、設(shè)備制制造商要要充分考考慮電信信網(wǎng)和互互聯(lián)網(wǎng)不不同等級(jí)級(jí)的安全全要求，從環(huán)境境因素以以及人

54、為為因素分分析電信信網(wǎng)和互互聯(lián)網(wǎng)面面臨的威威脅，從從技術(shù)和和管理兩兩個(gè)方面面分析電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)存在的的脆弱性性，充分分考慮現(xiàn)現(xiàn)有安全全措施，分析電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)現(xiàn)存風(fēng)風(fēng)險(xiǎn)，平平衡效益益與成本本，制定定災(zāi)難備備份及恢恢復(fù)計(jì)劃劃，將電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)的安全全控制在在可接受受的水平平。 電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)安全防防護(hù)工作作要在適適度安全全原則的的指導(dǎo)下下，采用用自主保保護(hù)和重重點(diǎn)保護(hù)護(hù)方法，在安全全防護(hù)工工作安排排部署過(guò)過(guò)程中遵遵循標(biāo)準(zhǔn)準(zhǔn)性、可可控性、完備性性、最小小影響和和保密原原則，實(shí)實(shí)現(xiàn)同步步建設(shè)、統(tǒng)籌兼兼顧、經(jīng)經(jīng)濟(jì)實(shí)用用和循序序漸進(jìn)地地進(jìn)行安安全防護(hù)護(hù)工作。 適適度安全全原則：安全

55、防防護(hù)工作作的根本本性原則則。安全全防護(hù)工工作應(yīng)根根據(jù)電信信網(wǎng)和互互聯(lián)網(wǎng)的的安全等等級(jí)，平平衡效益益與成本本，采取取適度的的安全技技術(shù)和管管理措施施。 標(biāo)標(biāo)準(zhǔn)性原原則：安安全防護(hù)護(hù)工作開開展的指指導(dǎo)性原原則。指指電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)安全全防護(hù)工工作的開開展應(yīng)遵遵循相關(guān)關(guān)的國(guó)家家或行業(yè)業(yè)標(biāo)準(zhǔn)。 可可控性原原則：指指電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)安全全防護(hù)工工作的可可控性，包括： 人員可可控性：相關(guān)的的安全防防護(hù)工作作人員應(yīng)應(yīng)具備可可靠的政政治素質(zhì)質(zhì)、職業(yè)業(yè)素質(zhì)和和專業(yè)素素質(zhì)。相關(guān)安全全防護(hù)工工作的檢檢測(cè)機(jī)構(gòu)構(gòu)應(yīng)具有有主管部部門授權(quán)權(quán)的電信信網(wǎng)和互互聯(lián)網(wǎng)安安全防護(hù)護(hù)檢測(cè)服服務(wù)資質(zhì)質(zhì)。 工具可控控性：要要充分了了

56、解安全全防護(hù)工工作中所所使用的的技術(shù)工工具，并并進(jìn)行一一些實(shí)驗(yàn)驗(yàn)，確保保這些技技術(shù)工具具能被正正確地使使用。 項(xiàng)目過(guò)程程可控性性：要對(duì)對(duì)整個(gè)安安全防護(hù)護(hù)項(xiàng)目進(jìn)進(jìn)行科學(xué)學(xué)的項(xiàng)目目管理，實(shí)現(xiàn)項(xiàng)項(xiàng)目過(guò)程程的可控控性。 完完備性原原則：安安全防護(hù)護(hù)工作要要覆蓋電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)的安全全范圍。 最最小影響響原則：從項(xiàng)目目管理層層面和技技術(shù)管理理層面，將安全全防護(hù)工工作對(duì)電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)正常運(yùn)運(yùn)行的可可能影響響降低到到最低限限度。 保保密性原原則：相相關(guān)安全全防護(hù)工工作人員員應(yīng)簽署署協(xié)議，承諾對(duì)對(duì)所進(jìn)行行的安全全防護(hù)工工作保密密，確保保不泄露露電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)及安安全防護(hù)護(hù)工作的的重要和和敏感信信

57、息。 5. 安全防防護(hù)體系系 電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)安全防防護(hù)范疇疇包括基基礎(chǔ)電信信運(yùn)營(yíng)企企業(yè)運(yùn)營(yíng)營(yíng)的傳輸輸、承載載各類電電信業(yè)務(wù)務(wù)的公共共電信網(wǎng)網(wǎng)（含公公共互聯(lián)聯(lián)網(wǎng)）及及其組成成部分，支撐和和管理公公共電信信網(wǎng)及電電信業(yè)務(wù)務(wù)的業(yè)務(wù)務(wù)單元和和控制單單元，以以及企業(yè)業(yè)辦公系系統(tǒng)（含含文件管管理系統(tǒng)統(tǒng)、員工工郵件系系統(tǒng)、決決策支持持系統(tǒng)、人事管管理系統(tǒng)統(tǒng)等）、客服呼呼叫中心心、企業(yè)業(yè)門戶網(wǎng)網(wǎng)站等非非核心生生產(chǎn)單元元。此外外，電信信網(wǎng)絡(luò)安安全防護(hù)護(hù)工作的的范圍還還包括經(jīng)經(jīng)營(yíng)性互互聯(lián)網(wǎng)信信息服務(wù)務(wù)單位、移動(dòng)信信息服務(wù)務(wù)單位、互聯(lián)網(wǎng)網(wǎng)接入服服務(wù)單位位、互聯(lián)聯(lián)網(wǎng)數(shù)據(jù)據(jù)中心、互聯(lián)網(wǎng)網(wǎng)域名服服務(wù)機(jī)構(gòu)構(gòu)等單位位運(yùn)營(yíng)

58、的的網(wǎng)絡(luò)或或信息系系統(tǒng)。 根據(jù)電信信網(wǎng)和互互聯(lián)網(wǎng)安安全防護(hù)護(hù)范疇，建立的的電信網(wǎng)網(wǎng)和互聯(lián)聯(lián)網(wǎng)安全全防護(hù)體體系如圖圖1所示示。整個(gè)個(gè)體系分分為三層層，第一一層為整整個(gè)安全全防護(hù)體體系的總總體指導(dǎo)導(dǎo)性規(guī)范范，明確確了對(duì)電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)安全防防護(hù)的定定義、目目標(biāo)、原原則，并并說(shuō)明了了安全防防護(hù)體系系的組成成。 第二層從從宏觀的的角度明明確了如如何進(jìn)行行安全防防護(hù)工作作，規(guī)范范了安全全防護(hù)體體系中安安全等級(jí)級(jí)保護(hù)、安全風(fēng)風(fēng)險(xiǎn)評(píng)估估、災(zāi)難難備份及及恢復(fù)三三部分工工作的原原則、流流程、方方法、步步驟等。 第三層具具體規(guī)定定了電信信網(wǎng)和互互聯(lián)網(wǎng)安安全防護(hù)護(hù)工作的的要求，即安全全防護(hù)要要求和安安全防護(hù)護(hù)檢

59、測(cè)要要求。 根據(jù)電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)全程全全網(wǎng)的特特點(diǎn)，電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)的安全全防護(hù)工工作可從從固定通通信網(wǎng)、移動(dòng)通通信網(wǎng)、互聯(lián)網(wǎng)網(wǎng)、增值值業(yè)務(wù)網(wǎng)網(wǎng)、非核核心生產(chǎn)產(chǎn)單元來(lái)來(lái)開展。其中，互聯(lián)網(wǎng)網(wǎng)包括經(jīng)經(jīng)營(yíng)性互互聯(lián)網(wǎng)信信息服務(wù)務(wù)單位、互聯(lián)網(wǎng)網(wǎng)接入服服務(wù)單位位、互聯(lián)聯(lián)網(wǎng)數(shù)據(jù)據(jù)中心、互聯(lián)網(wǎng)網(wǎng)域名服服務(wù)機(jī)構(gòu)構(gòu)等單位位運(yùn)營(yíng)的的網(wǎng)絡(luò)或或信息系系統(tǒng)。增增值業(yè)務(wù)務(wù)網(wǎng)包括括消息網(wǎng)網(wǎng)、智能能網(wǎng)等業(yè)業(yè)務(wù)平臺(tái)臺(tái)以及業(yè)業(yè)務(wù)管理理平臺(tái)。 對(duì)固定通通信網(wǎng)、移動(dòng)通通信網(wǎng)、互聯(lián)網(wǎng)網(wǎng)實(shí)施安安全防護(hù)護(hù)，應(yīng)分分別從構(gòu)構(gòu)成上述述網(wǎng)絡(luò)的的不同電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)相關(guān)系系統(tǒng)入手手。電信信網(wǎng)和互互聯(lián)網(wǎng)相相關(guān)系統(tǒng)統(tǒng)包括接接入網(wǎng)、傳送網(wǎng)網(wǎng)、I

60、PP承載網(wǎng)網(wǎng)、信令令網(wǎng)、同同步網(wǎng)、支撐網(wǎng)網(wǎng)等。其其中，接接入網(wǎng)包包括各種種有線、無(wú)線和和衛(wèi)星接接入網(wǎng)等等，傳送送網(wǎng)包括括光纜、波分、SDHH、衛(wèi)星星等，而而支撐網(wǎng)網(wǎng)則包括括業(yè)務(wù)支支撐和網(wǎng)網(wǎng)管系統(tǒng)統(tǒng)。 安全防護(hù)護(hù)要求明明確了電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)及相關(guān)關(guān)系統(tǒng)需需要落實(shí)實(shí)的安全全管理和和技術(shù)措措施，涵涵蓋了安安全等級(jí)級(jí)保護(hù)、安全風(fēng)風(fēng)險(xiǎn)評(píng)估估、災(zāi)難難備份及及恢復(fù)等等三部分分內(nèi)容，其中安安全等級(jí)級(jí)保護(hù)工工作需要要落實(shí)的的物理環(huán)環(huán)境和管管理的安安全等級(jí)級(jí)保護(hù)要要求被單單獨(dú)提出出作為電電信網(wǎng)和和互聯(lián)網(wǎng)網(wǎng)及相關(guān)關(guān)系統(tǒng)的的通用安安全等級(jí)級(jí)保護(hù)要要求。 安全防護(hù)護(hù)檢測(cè)要要求與安安全防護(hù)護(hù)要求相相對(duì)應(yīng)，提供了了對(duì)電