asy24中國電信集團(tuán)公司CTGMBOSS安全規(guī)范總冊

精品文檔精心整理精品文檔可編輯的精品文檔中國電信集團(tuán)公司CTG-MBOSS安全規(guī)范總冊目錄第1章 文檔說明 11.1 編制說明 11.2 適用范圍 11.3 起草單位 11.4 解釋權(quán) 11.5 版權(quán) 1第2章 綜述 22.1 MBOSS所面臨的安全挑戰(zhàn) 22.1.1 安全組織管理 22.1.2 人員安全管理 22.1.3 應(yīng)用開發(fā)安全管理 22.1.4 運(yùn)維安全管理 22.1.5 用戶管理 22.1.6 訪問認(rèn)證授權(quán) 32.1.7 網(wǎng)絡(luò)安全 32.1.8 主機(jī)安全 32.1.9 終端安全 42.1.10 安全審計(jì) 42.1.11 容災(zāi)安全 42.2 MBOSS安全規(guī)范的目標(biāo)愿景 42.3 改進(jìn)MBOSS信息安全的關(guān)鍵步驟 42.4 MBOSS安全規(guī)范設(shè)計(jì)依據(jù) 5第3章 安全規(guī)范體系說明 63.1 安全規(guī)范指導(dǎo)原則 93.2 安全管理規(guī)范綜述 93.3 安全技術(shù)規(guī)范綜述 10第4章 CTG－MBOSS安全規(guī)范實(shí)施 134.1 MBOSS安全規(guī)范演進(jìn)計(jì)劃 134.1.1 第一階段：建立MBOSS安全服務(wù)平臺基礎(chǔ)設(shè)施 134.1.2 第二階段：擴(kuò)充MBOSS安全服務(wù)平臺的功能 144.1.3 第三階段：完善MBOSS安全體系 154.2 CTG－MBOSS安全架構(gòu)的部署建議 154.3 CTG－MBOSS容災(zāi)備份 16第5章 安全規(guī)范演進(jìn)風(fēng)險(xiǎn)及應(yīng)對 175.1 IT安全組織的建立 175.2 實(shí)施范圍的控制 175.3 人力資源安排 185.4 員工對安全管理制度的接受 18附錄1. 附錄 19附錄1.1. 規(guī)范編制人員名單 19附錄1.2. 名詞定義 19附錄1.3. 參考文獻(xiàn) 20文檔說明編制說明本規(guī)范作為中國電信CTG-MBOSS規(guī)范的重要組成部分，為中國電信集團(tuán)建設(shè)MBOSS信息安全體系提供依據(jù)。本規(guī)范的編制是在《CTG-MBOSS總體規(guī)范V2.0》的總體框架體系指導(dǎo)下，參考了已有的中國電信集團(tuán)下發(fā)的安全政策文件，繼承和吸收了原有安全管理實(shí)踐的經(jīng)驗(yàn)成果，并充分考慮了各省電信公司的現(xiàn)狀和行業(yè)最佳實(shí)踐與安全新技術(shù)的引入。本規(guī)范是MBOSS總體規(guī)范的組成部分，全面、概括地闡述了安全架構(gòu)、安全管理、安全技術(shù)以及實(shí)施演進(jìn)策略等內(nèi)容。適用范圍本規(guī)范適用于中國電信集團(tuán)公司及下屬?。ㄊ校╇娦殴具M(jìn)行MBOSS信息安全的規(guī)劃和建設(shè)，為MBOSS系統(tǒng)相關(guān)的安全建設(shè)、升級改造、系統(tǒng)演進(jìn)提供指導(dǎo)和依據(jù)。起草單位本規(guī)范的起草單位是中國電信集團(tuán)公司。解釋權(quán)本規(guī)范的解釋權(quán)屬于中國電信集團(tuán)公司。版權(quán)綜述MBOSS所面臨的安全挑戰(zhàn)安全組織管理隨著中國電信MBOSS的建設(shè)和發(fā)展，如何及時(shí)制定出信息安全的指導(dǎo)方針，研究和分析信息安全建設(shè)對中國電信業(yè)務(wù)發(fā)展的價(jià)值和影響，更好適應(yīng)不斷變化的組織形式，明確組織內(nèi)部人員職責(zé)，以保障中國電信業(yè)務(wù)系統(tǒng)安全穩(wěn)定地運(yùn)行成為安全管理機(jī)構(gòu)面臨的最大挑戰(zhàn)。人員安全管理據(jù)調(diào)查大部分的安全事件都來自公司的內(nèi)部，商業(yè)間諜的存在，員工有意無意透露公司商業(yè)信息，員工在離職后泄露公司商業(yè)秘密及從事與公司有競爭利益的商業(yè)活動(dòng)等，都暴露出公司在人員安全管理方面存在的問題。定期進(jìn)行員工安全意識培訓(xùn)已經(jīng)刻不容緩。應(yīng)用開發(fā)安全管理隨著中國電信MBOSS的發(fā)展，應(yīng)用系統(tǒng)將面臨諸多的安全威脅。身份認(rèn)證的欺騙、用戶權(quán)限的濫用、輸入數(shù)據(jù)校驗(yàn)的異常、跨站點(diǎn)的代碼攻擊、緩沖區(qū)溢出等等，都對我們的應(yīng)用開發(fā)提出了新的安全設(shè)計(jì)和防護(hù)要求。制定嚴(yán)格的編程規(guī)范和管理手段成為不能回避的問題。運(yùn)維安全管理隨著中國電信MBOSS系統(tǒng)各項(xiàng)業(yè)務(wù)對信息系統(tǒng)依賴程度逐漸提高，信息系統(tǒng)的復(fù)雜度急劇增加，從規(guī)劃建設(shè)到系統(tǒng)運(yùn)維階段的安全建設(shè)都應(yīng)遵循系統(tǒng)的生命周期進(jìn)行設(shè)計(jì)，另一方面信息系統(tǒng)在運(yùn)維過程中的安全問題變得更加突出，因此也提出了越來越高的安全運(yùn)維要求;同時(shí)復(fù)雜的業(yè)務(wù)系統(tǒng)和異構(gòu)的網(wǎng)絡(luò)環(huán)境，增加了系統(tǒng)安全運(yùn)維的難度。傳統(tǒng)的單一、孤立的安全運(yùn)維管理已越來越不適應(yīng)中國電信CTG-MBOSS系統(tǒng)安全運(yùn)維管理的需求，CTG-MBOSS系統(tǒng)安全運(yùn)維管理應(yīng)向綜合安全運(yùn)維階段進(jìn)行深刻轉(zhuǎn)變。用戶管理隨著中國電信MBOSS系統(tǒng)的發(fā)展，用戶數(shù)量的不斷增加，網(wǎng)絡(luò)規(guī)模迅速擴(kuò)大，信息安全問題愈見突出，原有的用戶管理措施已不能滿足中國電信目前及未來業(yè)務(wù)發(fā)展的要求。主要表現(xiàn)在以下方面：如果MBOSS每個(gè)系統(tǒng)均擁有獨(dú)立的用戶管理系統(tǒng)，將會(huì)給同時(shí)維護(hù)多個(gè)應(yīng)用系統(tǒng)的維護(hù)人員帶來巨大工作量；缺乏賬號生命周期管理機(jī)制，存在大量孤立賬號，增加信息系統(tǒng)安全風(fēng)險(xiǎn)；存在多人共用一賬號現(xiàn)象，難以控制賬號擴(kuò)散范圍，安全管理存在漏洞。且安全事故發(fā)生后，難以審計(jì)并定位到實(shí)際使用者；帳號審計(jì)沒有很好的流程來規(guī)范，進(jìn)行帳號的生命周期管理，保證帳號安全。訪問認(rèn)證授權(quán)隨著網(wǎng)絡(luò)攻擊技術(shù)的快速發(fā)展，CTG-MBOSS的訪問認(rèn)證授權(quán)面臨著嚴(yán)峻的挑戰(zhàn)，具體來說存在著可能導(dǎo)致較嚴(yán)重安全事件的幾類問題，具體如下：1．認(rèn)證功能分散在各設(shè)備和系統(tǒng)中難以統(tǒng)一管理。2．授權(quán)功能分散在各設(shè)備和系統(tǒng)中難以與業(yè)務(wù)要求相協(xié)調(diào)。3．未建立統(tǒng)一的訪問認(rèn)證管理流程。上述三個(gè)方面的問題可能導(dǎo)致較嚴(yán)重的安全事件，是CTG-MBOSS在訪問認(rèn)證授權(quán)方面的主要問題，會(huì)帶來巨大的挑戰(zhàn)。網(wǎng)絡(luò)安全由于以往建設(shè)的網(wǎng)絡(luò)系統(tǒng)在安全建設(shè)和安全互聯(lián)方面考慮較少，隨著信息技術(shù)、網(wǎng)絡(luò)技術(shù)的快速發(fā)展，網(wǎng)絡(luò)系統(tǒng)面臨的安全威脅日益增加。根據(jù)調(diào)研，CTG-MBOSS網(wǎng)絡(luò)系統(tǒng)所面臨的主要威脅除了物理攻擊破壞外，還包括惡意軟件攻擊、內(nèi)部員工誤用、黑客入侵破壞等幾類。因此，迫切需要開展網(wǎng)絡(luò)安全研究，從整體安全防護(hù)、邊界防護(hù)、網(wǎng)絡(luò)安全架構(gòu)及性能規(guī)劃與MBOSS需求相適應(yīng)、系統(tǒng)內(nèi)部安全防護(hù)、安全審計(jì)等不同角度出發(fā)，制定安全防護(hù)原則和優(yōu)化改造方案。使網(wǎng)絡(luò)安全與網(wǎng)絡(luò)系統(tǒng)“同步規(guī)劃、同步建設(shè)、同步維護(hù)”。主機(jī)安全CTG-MBOSS中的主機(jī)系統(tǒng)作為信息存儲(chǔ)、傳輸、應(yīng)用處理的基礎(chǔ)設(shè)施，其自身安全性涉及到系統(tǒng)安全、數(shù)據(jù)安全、網(wǎng)絡(luò)安全等各個(gè)方面。作為CTG-MBOSS系統(tǒng)中重要的組成部分，各種業(yè)務(wù)系統(tǒng)主機(jī)數(shù)量眾多，資產(chǎn)價(jià)值高，面臨的安全風(fēng)險(xiǎn)極大。一方面，主機(jī)是CTG-MBOSS系統(tǒng)各類業(yè)務(wù)系統(tǒng)數(shù)據(jù)的主要載體，這些業(yè)務(wù)數(shù)據(jù)是系統(tǒng)信息資產(chǎn)的重要組成部分；另一方面，病毒、木馬等安全威脅很容易通過訪問主機(jī)系統(tǒng)的終端滲透到后臺各種業(yè)務(wù)應(yīng)用和服務(wù)主機(jī)中，從而對CTG-MBOSS系統(tǒng)的整體安全帶來危害。為此需要在終端和主機(jī)安全領(lǐng)域建立一套安全技術(shù)體系來保障其安全，從而進(jìn)一步完善CTG-MBOSS的安全技術(shù)體系。終端安全終端作為一種比較分散的資產(chǎn)，長期以來難以進(jìn)行集中的有效的管理；作為CTG-MBOSS的一個(gè)基本組件，面臨病毒、蠕蟲、木馬、惡意代碼的泛濫，不安全的終端可能成為一個(gè)被動(dòng)的攻擊源，對整個(gè)MBOSS系統(tǒng)構(gòu)成威脅。企業(yè)內(nèi)部應(yīng)制定統(tǒng)一的終端安全策略、終端安全接入MBOSS策略，包括補(bǔ)丁管理、終端審計(jì)等流程。安全審計(jì)隨著中國電信CTG-MBOSS系統(tǒng)建設(shè)和發(fā)展，同時(shí)為滿足薩班斯法案對于IT系統(tǒng)內(nèi)部控制的要求，安全審計(jì)將成為一項(xiàng)重要的技術(shù)手段。但在具體的安全運(yùn)維工作中，安全審計(jì)面臨諸多挑戰(zhàn)，主要體現(xiàn)在內(nèi)部人員操作、第三方維護(hù)人員操作以及最高權(quán)限用戶使用過程中。要建立一套完備的審計(jì)機(jī)制。容災(zāi)安全隨著中國電信CTG-MBOSS系統(tǒng)建設(shè)和發(fā)展，需要根據(jù)國家的規(guī)定與電信MBOSS集中的特點(diǎn)考慮容災(zāi)的需求。MBOSS安全規(guī)范的目標(biāo)愿景MBOSS安全規(guī)范的制定主要有以下三大目標(biāo)愿景：定義中國電信CTG-MBOSS安全管理體系的愿景,確保中國電信“從傳統(tǒng)的固網(wǎng)運(yùn)營商向綜合信息服務(wù)提供商”的成功轉(zhuǎn)型。提供演進(jìn)路線，在3-5年把中國電信建設(shè)成以風(fēng)險(xiǎn)管理為導(dǎo)向的成熟型企業(yè)。 采取管理與技術(shù)相結(jié)合的方法，促進(jìn)CTG－MBOSS安全規(guī)劃及規(guī)范的貫徹。改進(jìn)MBOSS信息安全的關(guān)鍵步驟中國電信MBOSS系統(tǒng)安全需要解決的關(guān)鍵問題，首先，安全建設(shè)必須符合中國電信企業(yè)的戰(zhàn)略轉(zhuǎn)型和業(yè)務(wù)發(fā)展，必須保證業(yè)務(wù)發(fā)展；其次，安全體系應(yīng)符合國家各種法律法規(guī)中對于安全的要求，尤其是滿足內(nèi)控的要求，并且對其中有針對性的要求進(jìn)行重點(diǎn)建設(shè)；再次，充分考慮MBOSS系統(tǒng)在目前運(yùn)行中對于安全建設(shè)的要求和需求；最后，系統(tǒng)安全應(yīng)規(guī)避和降低目前系統(tǒng)存在的威脅和風(fēng)險(xiǎn)。綜上所述，中國電信MBOSS系統(tǒng)安全規(guī)范需要解決的問題如下：1. 在中國電信內(nèi)部控制手冊的基礎(chǔ)上，建立完善的CTG-MBOSS系統(tǒng)的整體安全規(guī)劃，實(shí)現(xiàn)安全基礎(chǔ)設(shè)施建設(shè)有序地建設(shè)，確保用于IT安全的投資應(yīng)不少于IT投資的10％。2. 建立專職的信息安全管理組織，建立安全崗位，明確安全管理職責(zé)，結(jié)束目前的“權(quán)力分散，缺乏統(tǒng)一，兼職為主”的局面。3. 根據(jù)集團(tuán)和各省公司具體情況，制定各省公司的MBOSS企業(yè)安全架構(gòu)和實(shí)施計(jì)劃，徹底改變以往孤立部署各種安全產(chǎn)品的狀況。4. CTG-MBOSS系統(tǒng)中信息安全的要求，加強(qiáng)對系統(tǒng)用戶的管理、用戶的訪問認(rèn)證、授權(quán)、訪問控制。5. 建立集中IT安全服務(wù)、監(jiān)控平臺，提供技術(shù)手段固化安全政策、標(biāo)準(zhǔn)和流程，及時(shí)監(jiān)控IT安全狀況。明確該平臺做為企業(yè)負(fù)責(zé)IT安全的對內(nèi)對外的接口。6. 加強(qiáng)CTG-MBOSS系統(tǒng)邊界訪問方式、安全區(qū)域內(nèi)部、安全區(qū)域間的防護(hù)；對現(xiàn)有的IT基礎(chǔ)設(shè)施進(jìn)行IT安全加固，消除安全隱患。特別是對應(yīng)用的定期安全檢查。7. 加強(qiáng)CTG-MBOSS系統(tǒng)與客戶自服務(wù)安全交互訪問接口的安全性；在省公司統(tǒng)一規(guī)劃和建設(shè)與公網(wǎng)的接口，堵截安全漏洞。8. 在系統(tǒng)開發(fā)過程中，加入安全管控點(diǎn)，確保新實(shí)施的系統(tǒng)能滿足安全規(guī)范。9. 加強(qiáng)CTG-MBOSS系統(tǒng)的安全集中管理的能力，實(shí)現(xiàn)全面的安全集中運(yùn)維管理。10. 建立CTG-MBOSS系統(tǒng)容災(zāi)建設(shè)，建立業(yè)務(wù)系統(tǒng)連續(xù)性發(fā)展和建設(shè)計(jì)劃、步驟和具體保障手段。MBOSS安全規(guī)范設(shè)計(jì)依據(jù)定義CTG-MBOSS安全體系的愿景：采取管理與技術(shù)相結(jié)合的方法，在3-5年內(nèi)把中國電信建設(shè)成以風(fēng)險(xiǎn)為導(dǎo)向的成熟型企業(yè)，確保中國電信的成功轉(zhuǎn)型。CTG－MBOSS安全規(guī)范的設(shè)計(jì)依據(jù)主要來源在五個(gè)方面：中國電信的戰(zhàn)略轉(zhuǎn)型的驅(qū)動(dòng)，中國電信IT內(nèi)控的要求，MBOSS的安全現(xiàn)狀和評估，法律法規(guī)對信息安全的要求，信息安全的最佳實(shí)踐和實(shí)施經(jīng)驗(yàn)。安全規(guī)范體系說明CTG-MBOSS是支撐中國電信企業(yè)運(yùn)營和管理的信息化架構(gòu)，是集團(tuán)和各省公司企業(yè)信息化建設(shè)的愿景，由方法論、功能和系統(tǒng)架構(gòu)、管控架構(gòu)以及規(guī)范體系等部分構(gòu)成。安全規(guī)范是CTG－MBOSS規(guī)范體系的擴(kuò)充。圖31CTG-MBOSS安全規(guī)范與CTG－MBOSS規(guī)范體系的關(guān)系CTG-MBOSS安全規(guī)范是對現(xiàn)有的CTG－MBOSS規(guī)范體系的擴(kuò)充。安全規(guī)范是由兩個(gè)部分組成，分別對安全管理規(guī)范和安全技術(shù)規(guī)范兩個(gè)方面進(jìn)行了設(shè)計(jì)。在安全管理體系方面，制定了安全策略，包括組織安全管理架構(gòu)，人員安全管理、應(yīng)用開發(fā)安全管理和運(yùn)維安全管理等四個(gè)方面所需遵循的IT安全標(biāo)準(zhǔn)和指導(dǎo)方針，幫助中國電信不斷提高IT安全管理能力。CTG－MBOSS安全規(guī)范將建立在中國電信企業(yè)信息安全架構(gòu)模型，該模型將企業(yè)安全能力劃分成7個(gè)層次。圖32CTG－MBOSS安全規(guī)范信息安全架構(gòu)模型原則：描述信息安全的業(yè)務(wù)需求價(jià)值政策：描述信息安全的目地、方向、愿景及責(zé)任安全標(biāo)準(zhǔn)：信息安全實(shí)施規(guī)則，包括技術(shù)、方法及其它細(xì)節(jié)流程：跨部門實(shí)施政策標(biāo)準(zhǔn)的活動(dòng)、工作及程序作業(yè)指南：描述個(gè)人在流程上的詳細(xì)工作架構(gòu)：信息安全技術(shù)如何結(jié)合的細(xì)節(jié)產(chǎn)品建議：信息安全解決方案所選的產(chǎn)品及工具基于以上MBOSS面臨的IT安全挑戰(zhàn)，MBOSS安全規(guī)范將參考ISO17799主要在IT安全管理體系，IT安全技術(shù)架構(gòu)兩個(gè)方面進(jìn)行了考慮。圖33CTG－MBOSS安全規(guī)范文檔結(jié)構(gòu)管理規(guī)范的設(shè)計(jì)思路：從MBOSS應(yīng)用的開發(fā)、維護(hù)考慮安全方面的管理要求出發(fā)，考慮如下：組織架構(gòu)：結(jié)合企業(yè)信息化部當(dāng)前的組織架構(gòu)及職責(zé)，定義負(fù)責(zé)MBOSS安全的組織架構(gòu)設(shè)置原則，指導(dǎo)機(jī)構(gòu)的設(shè)置，及相關(guān)的崗位職能。人員安全：考慮對MBOSS運(yùn)維人員的管理及考核，對MBOSS的第三方開發(fā)人員的管理與監(jiān)督應(yīng)用開發(fā)安全：應(yīng)用開發(fā)過程中的安全要求運(yùn)維安全：針對MBOSS在運(yùn)維中的安全需求，為規(guī)范日常運(yùn)維工作而定義了相關(guān)的工作流程，其中工作流程按技術(shù)體系進(jìn)行分類。技術(shù)規(guī)范的設(shè)計(jì)思路：從用戶對MBOSS數(shù)據(jù)的訪問流程考慮安全方面的技術(shù)要求出發(fā)，考慮如下：用戶管理：對訪問MBOSS用戶的集中管理訪問認(rèn)證：對訪問MBOSS用戶的集中授權(quán)網(wǎng)絡(luò)安全：承載MBOSS的DCN、中間件、數(shù)據(jù)庫的安全要求主機(jī)安全：承載MBOSS的主機(jī)與數(shù)據(jù)存儲(chǔ)的安全要求終端安全：訪問MBOSS的終端及其接入DCN的安全要求(含VPN方式）安全審計(jì)：定義MBOSS在運(yùn)維過程中的安全檢測點(diǎn)及要求容災(zāi)備份：對MBOSS的應(yīng)用及與數(shù)據(jù)存儲(chǔ)的備份要求安全規(guī)范指導(dǎo)原則在安全規(guī)范的具體編制過程中，充分考慮了以下安全指導(dǎo)原則:集中管理、集中審計(jì)MBOSS應(yīng)采取以省為單位的集中安全管理和集中安全審計(jì)設(shè)計(jì)原則，以提高系統(tǒng)安全運(yùn)行的效率和效果。最少的特權(quán)在確保能完成其工作任務(wù)時(shí)，賦予用戶（包括個(gè)人、應(yīng)用或其它主體）最少的特權(quán)和必需的權(quán)限。提倡分層分區(qū)的防衛(wèi)MBOSS的安全不能建立在單一的安全機(jī)制上。網(wǎng)絡(luò)應(yīng)根據(jù)所承載的系統(tǒng)進(jìn)行分層分區(qū)，分區(qū)域后的網(wǎng)絡(luò)能得到額外的安全保護(hù)和控制。減少最弱環(huán)節(jié)在設(shè)計(jì)中要識別、避免或監(jiān)視任何可能的弱點(diǎn)，并定期進(jìn)行弱點(diǎn)掃描與評估。MBOSS的安全程度取決于系統(tǒng)的最薄弱環(huán)節(jié)，黑客往往尋找企業(yè)的最弱點(diǎn)進(jìn)行攻擊。簡潔的安全解決方案實(shí)施安全解決方案，一個(gè)復(fù)雜的系統(tǒng)往往增加了安全漏洞存在的可能性。防外和防內(nèi)并重在所有攻擊中，內(nèi)部攻擊占據(jù)了很大的一部分，安全解決方案應(yīng)能同時(shí)承擔(dān)內(nèi)部和外部威脅的防范，安全設(shè)施的實(shí)施應(yīng)不考慮威脅源的差異－不管來自何方的訪問，關(guān)鍵信息資源需要提供額外的認(rèn)證和授權(quán)。考慮系統(tǒng)的實(shí)際生產(chǎn)狀態(tài)MBOSS系統(tǒng)安全規(guī)范建設(shè)涉及多方面的安全策略及內(nèi)容，因此根據(jù)各系統(tǒng)實(shí)際的生產(chǎn)狀態(tài)，采取對應(yīng)的規(guī)范。安全管理規(guī)范綜述本安全管理規(guī)范給出了CTG-BOSS系統(tǒng)啟動(dòng)、實(shí)施、保持和改進(jìn)信息安全管理體系的指南和一般原則。本規(guī)范列出的目標(biāo)為系統(tǒng)通常所接受的信息安全管理提供了指導(dǎo)。本管理規(guī)范的控制目標(biāo)和控制措施的實(shí)施旨在滿足以風(fēng)險(xiǎn)為導(dǎo)向所識別的安全要求。本標(biāo)準(zhǔn)可作為建立CTG-BOSS系統(tǒng)安全準(zhǔn)則和有效安全管理的實(shí)用指南，可認(rèn)為是CTG-BOSS系統(tǒng)開發(fā)其詳細(xì)指南的起點(diǎn)。對CTG-BOSS系統(tǒng)來說，雖然本安全管理規(guī)范中的所有控制措施都是重要的并且是應(yīng)被考慮的，但是省公司應(yīng)根據(jù)其CTG-BOSS系統(tǒng)所面臨的具體風(fēng)險(xiǎn)來確定任何一種控制措施是否合適,不能取代基于系統(tǒng)風(fēng)險(xiǎn)評估而選擇的控制措施。本規(guī)范由四個(gè)部分組成：組織安全管理分冊、人員安全管理分冊、運(yùn)維安全管理分冊、應(yīng)用開發(fā)安全管理分冊。其中組織安全管理分冊和人員安全管理分冊是本安全管理規(guī)范的基礎(chǔ)。組織安全管理分冊明確指出CTG-BOSS系統(tǒng)應(yīng)建立起決策層、管理層和執(zhí)行層三層工作關(guān)系，建立由各單位主要負(fù)責(zé)人組成的信息安全領(lǐng)導(dǎo)小組，目標(biāo)是明確信息安全主管領(lǐng)導(dǎo)，落實(shí)信息安全管理部門，建立信息安全執(zhí)行崗位，明確職責(zé)；管理的本質(zhì)是對人的監(jiān)管，人員安全分冊從信息安全的角度對CTG-MBOSS系統(tǒng)的使用用戶行為進(jìn)行了規(guī)范，該分冊從人員入職、在職、離職以及第三方人員安全管理四個(gè)方面管理和控制CTG-MBOSS系統(tǒng)使用用戶的不安全行為，預(yù)防安全事件的發(fā)生。在前兩個(gè)分冊的基礎(chǔ)上，結(jié)合CTG-MBOSS系統(tǒng)現(xiàn)階段的防護(hù)重點(diǎn)、安全現(xiàn)狀,安全管理規(guī)范從系統(tǒng)運(yùn)維安全和應(yīng)用開發(fā)安全兩個(gè)方面對CTG-MBOS系統(tǒng)進(jìn)行了系統(tǒng)規(guī)范，系統(tǒng)運(yùn)維安全分冊從信息資產(chǎn)、口令、電子文檔、系統(tǒng)應(yīng)急、安全審計(jì)、風(fēng)險(xiǎn)評估等方面對運(yùn)維過程中的重要管理問題進(jìn)行了闡述，希望通過該分冊的制定和執(zhí)行，建立CTG-MBOSS系統(tǒng)內(nèi)部安全運(yùn)維螺旋上升的PDCA循環(huán)；應(yīng)用開發(fā)安全分冊從應(yīng)用系統(tǒng)安全基本需求出發(fā)，對系統(tǒng)承載的業(yè)務(wù)數(shù)據(jù)和應(yīng)用系統(tǒng)本身提出了安全管理要求，并從系統(tǒng)開發(fā)、對外控制、安全性測試、系統(tǒng)部署幾個(gè)方面對應(yīng)用系統(tǒng)開發(fā)過程中遇到的安全管理問題的控制進(jìn)行了規(guī)范。安全技術(shù)規(guī)范綜述安全技術(shù)規(guī)范的設(shè)計(jì)是從中國電信安全需求出發(fā)，依據(jù)項(xiàng)目總體原則、最佳實(shí)踐及IT安全架構(gòu)設(shè)計(jì)原則，以安全能力、安全服務(wù)滿足需求。通過對安全服務(wù)模塊及其功能模塊的設(shè)計(jì)和實(shí)施，建立中國電信安全技術(shù)架構(gòu)，提供整個(gè)企業(yè)的IT安全服務(wù)和能力。中國電信總體安全技術(shù)架構(gòu)根據(jù)中國電信的需求、以及安全架構(gòu)設(shè)計(jì)原則及最佳實(shí)踐，本項(xiàng)目所設(shè)計(jì)的中國電信安全技術(shù)架構(gòu)將包括以下的服務(wù)模塊及功能模塊。圖34CTG－MBOSS安全技術(shù)架構(gòu)中國電信IT安全架構(gòu)將具備以下功能：集中的用戶管理：通過用戶帳號管理系統(tǒng)，實(shí)行統(tǒng)一的的用戶管理策略。根據(jù)用戶組別及用戶管理策略，可集中授予用戶對各應(yīng)用、系統(tǒng)的的訪問權(quán)限。集中用戶身份管理將提供企業(yè)級的用戶目錄數(shù)據(jù)庫。它的任何變化（如更改、刪除）都會(huì)被同步到其他系統(tǒng)的用戶目錄中。集中的用戶身份管理功能為實(shí)施統(tǒng)一用戶管理政策提供了可能。集中認(rèn)證授權(quán)：通過集中認(rèn)證平臺實(shí)現(xiàn)對各應(yīng)用訪問的集中認(rèn)證和訪問授權(quán)。認(rèn)證平臺基于訪問用戶的宏觀屬性（用戶識別符、目標(biāo)應(yīng)用系統(tǒng)名稱、認(rèn)證所采用信任度）和訪問政策實(shí)現(xiàn)對各應(yīng)用訪問的集中認(rèn)證和應(yīng)用的入口級的訪問授權(quán)。并提供了多應(yīng)用系統(tǒng)的單點(diǎn)登錄的功能。集中安全審計(jì)：通過集中的事件管理平臺為監(jiān)測及處理安全事件提供有效的工具。通過采集應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)中稽查記錄以及收集所部署的安全檢測設(shè)備的事件來實(shí)現(xiàn)對日志、事件的集中收集、集中處理、集中分析、報(bào)告。網(wǎng)絡(luò)安全改造：目的是實(shí)現(xiàn)信息資產(chǎn)的保護(hù)。為了保護(hù)資產(chǎn)免于可能受到的威脅，在資產(chǎn)和不被信任的機(jī)構(gòu)之間設(shè)立保護(hù)機(jī)制，將資產(chǎn)與那些危險(xiǎn)的代理隔離。對于希望使用相同安全控制的一組資產(chǎn)，可以把他們劃為一個(gè)“域”。通過安全域的設(shè)計(jì)，限制除通過可接受的安全接口之外的訪問。主機(jī)安全改進(jìn)：為服務(wù)器的安全符合性檢查和控制提供手段。集中檢查服務(wù)器的安全符合性情況，并根據(jù)安全策略采用后續(xù)的手段來限制主機(jī)的訪問和操作。終端安全改進(jìn)：為終端的安全符合性檢查和控制提供手段。集中檢查終端設(shè)備的安全符合性情況，并根據(jù)安全策略采用后續(xù)的手段來限制終端對網(wǎng)絡(luò)的訪問(網(wǎng)絡(luò)的準(zhǔn)入控制)。通過集中的補(bǔ)丁管理提供終端符合性的手段。容災(zāi)備份中心:為CTG-MBOSS系統(tǒng)提供風(fēng)險(xiǎn)預(yù)防機(jī)制和災(zāi)難恢復(fù)措施，在確保數(shù)據(jù)安全的基礎(chǔ)上提高業(yè)務(wù)連續(xù)運(yùn)行能力，降低企業(yè)運(yùn)營風(fēng)險(xiǎn)，將業(yè)務(wù)損失降低到可接受的程度，提升服務(wù)質(zhì)量和服務(wù)水平，增強(qiáng)企業(yè)競爭力。下圖描述了MBOSS安全服務(wù)平臺域MSS、BSS、OSS的整合，和它們之間的信息傳遞關(guān)系：圖35CTG－MBOSS與MSS、BSS、OSS的整合CTG－MBOSS安全規(guī)范實(shí)施CTG-MBOSS安全規(guī)范實(shí)施演進(jìn)計(jì)劃圖41CTG－MBOSS安全規(guī)范演進(jìn)規(guī)劃第一階段：建立MBOSS安全服務(wù)平臺基礎(chǔ)設(shè)施通過第一階段的實(shí)施，建立起MBOSS安全服務(wù)體系的基礎(chǔ)設(shè)施。要求達(dá)到以下目標(biāo)：建立MBOSS的安全管理體系：建立MBOSS安全管理組織，實(shí)施人員安全管理規(guī)范、對員工進(jìn)行個(gè)人安全教育，推廣實(shí)施MBOSS運(yùn)維安全管理規(guī)范，推廣并實(shí)施MBOSS應(yīng)用開發(fā)安全管理規(guī)范。制定各省公司的MBOSS安全架構(gòu)與總體解決方案（EnterpriseSecurityArchitecture）網(wǎng)絡(luò)安全改進(jìn)－網(wǎng)絡(luò)改進(jìn)要求取得以下的結(jié)果：按照網(wǎng)絡(luò)安全規(guī)范的要求，根據(jù)不同的安全要求，建立相應(yīng)的安全區(qū)域。網(wǎng)絡(luò)安全區(qū)域的劃分，要與MBOSS應(yīng)用數(shù)據(jù)流相結(jié)合不同的安全區(qū)域要用采用相應(yīng)的隔離手段，并在網(wǎng)絡(luò)上部署入侵檢測或防御手段。建立統(tǒng)一的外網(wǎng)訪問出口，逐步關(guān)閉部門自主部署的互聯(lián)網(wǎng)訪問出口。主機(jī)安全管理：建設(shè)主機(jī)安全管理基礎(chǔ)設(shè)施，定義主機(jī)安全策略，實(shí)施對MSS、BSS、OSS系統(tǒng)主機(jī)的安全管理。實(shí)施基于主機(jī)的系統(tǒng)補(bǔ)丁管理實(shí)施基于主機(jī)的主機(jī)加固和審計(jì)系統(tǒng)、防病毒系統(tǒng)、防惡意代碼工具，及相應(yīng)安全代理的部署實(shí)施基于主機(jī)的攻擊防護(hù)系統(tǒng)的部署集中安全審計(jì)平臺：建設(shè)集中安全審計(jì)平臺實(shí)現(xiàn)對BSS關(guān)鍵系統(tǒng)的安全審計(jì)整合，包括BSS應(yīng)用、服務(wù)器操作系統(tǒng)和數(shù)據(jù)庫，DCN關(guān)鍵網(wǎng)絡(luò)設(shè)備。能對BSS關(guān)鍵系統(tǒng)（應(yīng)用、操作系統(tǒng)和數(shù)據(jù)庫）安全進(jìn)行監(jiān)控和統(tǒng)計(jì)報(bào)告。集中用戶管理平臺：建設(shè)集中用戶管理平臺，建立企業(yè)級的目錄服務(wù)實(shí)現(xiàn)對MSS系統(tǒng)的用戶管理整合，制定和實(shí)施MSS應(yīng)用系統(tǒng)用戶管理流程，實(shí)現(xiàn)對MSS系統(tǒng)的用戶管理。終端安全管理：實(shí)施終端安全管理基礎(chǔ)設(shè)施，實(shí)施省公司終端的防火墻和防病毒軟件的部署，實(shí)施對省公司終端的網(wǎng)絡(luò)準(zhǔn)入控制，與企業(yè)的目錄服務(wù)結(jié)合，實(shí)現(xiàn)授權(quán)準(zhǔn)入。容災(zāi)中心設(shè)計(jì)容災(zāi)方案確定，容災(zāi)選址完成，容災(zāi)架構(gòu)設(shè)計(jì)完成第二階段：擴(kuò)充MBOSS安全服務(wù)平臺的功能通過擴(kuò)充MBOSS信息安全服務(wù)平臺的功能，要求達(dá)到以下目標(biāo)：繼續(xù)第一階段的工作，完善MBOSS的安全管理體系。集中用戶管理平臺：將集中用戶管理平臺與BSS和OSS系統(tǒng)整合，制定和實(shí)施BSS和OSS系統(tǒng)的用戶管理流程，實(shí)現(xiàn)BSS和OSS系統(tǒng)用戶的集中管理。集中訪問認(rèn)證平臺：將集中訪問認(rèn)證平臺與BSS和OSS系統(tǒng)整合，制定和實(shí)施BSS和OSS系統(tǒng)的用戶管理流程，實(shí)現(xiàn)BSS和OSS系統(tǒng)用戶的集中訪問控制。集中安全審計(jì)平臺：以實(shí)現(xiàn)對MSS和OSS關(guān)鍵系統(tǒng)的安全審計(jì)整合，包括應(yīng)用、操作系統(tǒng)和數(shù)據(jù)庫。能對MSS和OSS關(guān)鍵系統(tǒng)（應(yīng)用、操作系統(tǒng)和數(shù)據(jù)庫）安全進(jìn)行監(jiān)控和統(tǒng)計(jì)報(bào)告。終端安全管理：實(shí)施對本地網(wǎng)用戶終端的安全管理。容災(zāi)中心建設(shè)：容災(zāi)中心建設(shè)完成，能接受各分公司BSS關(guān)鍵系統(tǒng)的容災(zāi)和數(shù)據(jù)備份。第三階段：完善MBOSS安全體系通過MBOSS安全體系的完善，要求達(dá)到以下目標(biāo)：繼續(xù)第二階段的工作，完善MBOSS的安全管理體系。集中訪問認(rèn)證平臺：實(shí)施對非B/S架構(gòu)系統(tǒng)的訪問認(rèn)證容災(zāi)中心擴(kuò)充：對容災(zāi)中心的容量逐步擴(kuò)充，使之所保護(hù)的對應(yīng)的省公司關(guān)鍵業(yè)務(wù)系統(tǒng)，可容納MSS、BSS、OSS關(guān)鍵系統(tǒng)的備份和容災(zāi)。CTG－MBOSS安全架構(gòu)的部署建議安全服務(wù)平臺將部署在集團(tuán)、省公司和本地網(wǎng)三個(gè)層次。集團(tuán)和省公司的部署基本上是相同的，本地網(wǎng)盡部署少量的模塊。CTG－MBOSS容災(zāi)備份CTG-MBOSS容災(zāi)系統(tǒng)是業(yè)務(wù)運(yùn)營支撐系統(tǒng)的有機(jī)組成部分，容災(zāi)備份時(shí)CTG－MBOSS安全規(guī)范的一個(gè)不可缺省的部分。各省公司要確保MBOSS關(guān)鍵系統(tǒng)的業(yè)務(wù)連續(xù)性。由于容災(zāi)備份中心的建設(shè)費(fèi)用非常髙，中國電信總部將根據(jù)ITSP2.0,統(tǒng)一建設(shè)和部署、建設(shè)6個(gè)容災(zāi)中心。安全規(guī)范演進(jìn)風(fēng)險(xiǎn)及應(yīng)對結(jié)合中國電信MBOSS的實(shí)際情況，規(guī)范編寫組認(rèn)為解決方案的推廣實(shí)施可能會(huì)存在如下的風(fēng)險(xiǎn)：IT安全組織的建立根據(jù)解決方案的設(shè)計(jì)，IT安全組織將在開發(fā)階段成立。同時(shí)IT安全組織在整個(gè)項(xiàng)目中也扮演著重要角色，對于解決方案的推廣實(shí)施和IT安全的持續(xù)管理至關(guān)重要。因此，IT安全組織建立的延遲或偏差都會(huì)對解決方案的實(shí)施效果帶來不利影響。管理方面影響安全管理制度的制定得不到相關(guān)安全組織的配合，使制度的可操作性受到影響，同時(shí)也不利用制度的更新、維護(hù)。安全管理制度的理解受到影響，不利于制度傳承和宣導(dǎo)。技術(shù)方面的影響技術(shù)方案的實(shí)施缺乏充分的人員參與，使人員安全