中国移动2008年网络与信息安全工作指导意见.doc

中国移动2008年网络与信息安全工作指导意见2008年是中国移动网络与信息安全面临挑战和压力最大的一年。全面提升中国移动网络与信息安全水平，确保2008北京奥运会移动通信服务工作万无一失,深入落实电信网络安全等级保护各项要求，是今年网络与信息安全工作的重点。为更好地贯彻十七大精神，全面落实中国移动2008年网络工作会议要求，现将2008年网络与信息安全工作指导意见明确如下：一、2008年安全工作总体要求以全面深入开展电信网络安全等级保护工作为基础，以确保奥运期间网络与系统安全稳定运行为首要任务，继续围绕网络与信息安全保障体系开展各项安全工作：扎实推进网络安全规范体系的建设，进一步完善、落实安全管理要求。梳理、建立安全工作流程，实现安全工作落地；以安全域划分和安全管控支撑手段建设为重点，逐步完善安全技术防护体系，进一步提高全网的安全防护水平；初步建立安全统计分析报表及综合评价指标体系，及时全面掌控全网安全情况，不断提升安全工作的执行力；加强网络与信息安全人才队伍建设,重点选拔培养各省公司安全技术人才，逐步成立面向全网的安全规范编写、安全风险评估、安全应急处理专家队伍。二、2008年网络与信息安全工作要点（一）进一步完善安全工作组织架构今年，总部将立足于中国移动自身力量，逐步建设细分不同安全技能，面向全网服务的安全技术团队，构成完整的中国移动安全人才体系。重点选拔培养各省公司安全技术人才，建立面向全网的网络与信息安全规范编写队伍、安全风险评估及渗透测试队伍、以及安全事件分析及应急处理队伍。各省应设置专职网络与信息安全管理人员12名；设置专职网络与信息安全技术人员34名；各省每个班组（交换、智能网、短信、GPRS、短信中心、网管、传输、IP承载网、WAP网关、短信网关、MISC、彩铃、彩信中心、CMNET等）应设置兼职系统安全维护管理员各1名；为落实724小时的安全集中监控要求，各省网管中心应配置34名兼职安全监控人员，确保每个监控班组中至少有1人承担安全监控岗位的工作。各省可通过组织安全人员参加认证培训等方式，提升安全管理人员和技术人员的安全技能。（二）2008年紧要工作（1）冲刺奥运，全力做好奥运安全保障工作工作内容：坚持重点保障原则，对奥运业务产品进行分级，对奥运省和其它省份进行分级，北京公司相关系统作为重中之重；坚持预防为主、应急为辅原则，在赛前和赛中不同保障阶段分别侧重预防和应急，以预防为主。对各省公司的要求：强化安全保障工作执行力度。各省公司应严格按照总部明确的技术规范、管理要求落实各项安全保障工作，强化执行力，做到责任到人、工作到位。按计划完成等级划分、技术评测、评估加固等工作。各省公司应严格按照信息产业部及总部统一要求，按时、保质完成上述相关工作，集中资金和优势兵力确保奥运产品的安全。着力加强安全工作的日常运行管理。各省应开展有效的安全日常作业、安全监控、安全预警，强化完善安全应急响应流程，提高安全事件判别及响应能力，及时处理安全问题。采取适当的措施，确保重要业务系统管理符合奥运要求：各省公司应采取有力措施，确保6月底前，重要网络及系统维护管理符合集中接入、安全监控、账号口令管理、日志审计、集中防病毒等技术要求。 工作安排：7月底之前，各省在加强安全管理的基础上，完成对所有重点涉奥产品的系统分级、技术评测、安全评估、加固、应急演练等工作，消除安全隐患。同时，强化对其余网络系统安全生产执行力度；奥运期间，各省在日常维护的基础上，更进一步重点加强对奥运产品、奥运专项网络保障所涉及的网络、系统的安全监控、事件响应、预警加固、应急处理等工作，增强整体监控能力及维护力度。（2）深入开展电信网络安全等级保护工作工作内容：按照工业和信息化部的统一部署，完成全国网络和系统的定级备案工作。根据电信网安全等级保护要求，实施对重要系统的评估和加固工作。对各省公司的要求：各省应根据总部下发的中国移动设备通用安全功能和配置规范、中国移动JUNIPER路由器安全配置规范、中国移动思科路由器安全配置规范、中国移动华为路由器安全配置规范、中国移动Windows操作系统安全配置规范、中国移动SOLARIS操作系统安全配置规范、及中国移动ORACLE数据库安全配置规范要求，对省内各系统中的主机、网络设备和数据库开展加固工作。按照通信网安全等级保护要求，各省应对3级以上系统完成安全评测和评估工作，并针对发现的问题进行整改加固。工作安排：第1季度，总部和各省已完成网络和系统的定级备案工作。第2季度，根据总部下发安全评测和风险评估的工作要求，总部和奥运城市完成安全等级3级及以上系统的评测和评估工作；同时，各省还应根据总部制定下发各类设备安全配置规范，在4月底前完成奥运产品设备的安全加固，5月15日前完成安全等级3级以上系统、网管系统、WAP系统、MISC系统、DNS服务器和自有网站的安全加固；6月15日前完成其余系统的安全加固，对仍在建设中的系统，应同步落实设备安全加固要求；第3季度，非奥运城市所在省在奥运会前应完成安全等级3级及以上系统评测、评估；第4季度，总部将对省公司等级保护执行情况进行汇总和检查。（三）2008年重点工作（1）不断完善网络与信息安全规范体系建设工作内容：在已确立的网络与信息安全规范体系框架下，根据实际工作需要，继续编写和下发安全管理要求和技术规范；组织成立网络与信息安全规范编写工作组，逐步形成安全规范编写的滚动机制，积极推动安全规范管理流程的具体落实。 对各省公司的要求：各省要积极支持编写组工作，合理安排本省编写组成员工作，保证按时高质量的完成规范编写工作。各省对已经下发的管理办法，应制定本省实施细则，做好落实执行工作。工作安排：第1季度，总部已组织制定针对20个奥运系统的安全保障系列规范，其中包括1个总册和20个分册共计21个规范；完成并下发了中国移动帐号口令管理办法、中国移动安全审计管理办法等六个管理办法；完成中国移动帐号口令集中管理系统功能及技术规范、中国移动日志集中管理与审计系统功能及技术规范、中国移动综合维护接入平台功能及技术规范等三个规范的制定并下发工作。年底前，网络与信息安全规范编写工作组将根据规范编写计划，力争完成安全规范体系大部分二层及三层规范的编纂下发工作。（2）优化、细化网络与信息安全工作流程工作内容：结合卓越运维体系，梳理安全工作流程，将安全工作体现在信息系统生命周期中的规划、设计、开发、测试、采购、施工、运行监控、退出服务等各个阶段，保证安全工作的最终落地。 对各省公司的要求：试点省公司应积极配合好流程试点工作，及时总结试点经验，为流程的持续优化及全网推行做好支撑；在完成流程编写的基础上，各省应参照安全工作流程，积极推进安全工作的有效落地。工作安排：第1季度，总部已组织部分省公司完成中国移动网络与信息安全管理框架（初稿）的编写工作，从信息系统规划、设计开发、采购施工、运行监控、退出服务等阶段，细化了各个阶段的安全工作流程；第2-3季度，试点省开展试点工作，细化完善流程；年底前，完成试点总结工作，为第二阶段流程优化做好准备。（3）开展724小时集中化安全监控工作，建立24小时工作的“网络警察”队伍工作内容：总部与各省对具备基础安全监控手段的安全等级2级及以上系统实现7*24安全监控；建立安全监控队伍和安全应急响应队伍。对各省公司的要求：参与建立安全监控队伍和应急响应队伍，实现对省网重要系统集中化的724小时安全监控。工作安排：第1季度，总部组织制定总部和省两级的集中化7*24安全监控和应急响应实施方案；第2季度，总部、奥运省及部分试点省启动7*24安全监控试点工作，组建中国移动内部安全应急响应团队；第3季度，总部与各省做好奥运期间724小时安全监控和应急响应工作；第4季度，各省总结经验和问题，并向总部反馈。（4）完善网络与信息安全统计、分析与考核体系工作内容：按照“对内要全、对上要简、对下要有效”的原则，完善网络安全报表制度，进一步细化、量化网络与信息安全统计分析体系；建立全国网络与信息通报机制和生产分析机制。对各省公司的要求：各省按要求填报新版网络安全报表，并根据总部制定的网络与信息安全综合评价指标体系进行自评分。工作安排：第1季度，总部完善并下发2008年网络安全报表；第2季度，各省按要求填报新版网络安全报表，进行安全综合评价。总部建立通报机制，定期通报各省网络安全工作情况。（5）完善网络安全应急预案，开展应急演练工作内容：完善安全应急预案并开展应急演练，加强安全监控与安全应急响应的配合。对各省公司的要求：各省应重点针对主要安全事件，完善覆盖各重要网络和系统、特别是奥运产品的网络与信息安全应急预案，并开展应急演练。工作安排：第1季度，奥运省完善网络与信息安全应急预案和演练方案；第2季度，奥运省开展应急演练工作，并根据演练情况对应急预案进行完善，总部将对演练情况进行抽查；第3季度，其它省完善网络安全应急预案和演练方案，并开展应急演练。（6）逐步建立覆盖全网的安全信息发布渠道工作内容：进一步加强安全宣传的力度和广度，不断丰富已有网络安全快讯（彩信）宣传内容，有力支撑和服务各项安全工作的开展，提高整体安全意识，使网络与信息安全工作逐步“融于日常”。对各省公司的要求：全国初步建成以1-2个省公司为牵头单位，各省确定1-2名信息员的全网安全信息管理平台。各省依托平台积极参与投稿，有效支撑和宣传各项安全工作。工作安排：第1季度，总部重点组织相关省公司明确安全信息管理、发布流程及支撑平台方案；第2季度，依托信息平台开展安全宣传，有效支撑各项安全工作；年底，总部将评比各省公司全年安全彩信的搞稿及发稿情况。（7）推进网络安全管控项目一期建设工作内容：制定并发布帐号口令集中管理系统、日志集中管理与审计系统、综合维护接入平台等相关技术规范；配合规划设计部门制定建设方案，明确建设模式，启动项目建设，并配合项目实施。对各省公司的要求：根据技术规范及项目建设模式启动项目建设。工作安排：第1季度，总部完成并发布帐号口令集中管理系统、日志集中管理与审计系统、综合维护接入平台的功能及技术规范；第2季度，总部明确项目建设模式。第3-4季度，总部及省公司根据项目建设模式启动项目建设。（四）2008年度工作（1）建立网络与信息安全知识培训体系工作内容：面向不同岗位需求，逐步建立覆盖高、中、低三个层次的网络安全培训体系。对各省公司的要求：省公司网络部总经理、网管中心主任及安全管理人员应参加总部组织的安全宣贯及培训。各省应按照总部确定的安全培训知识体系，根据实际情况，至少组织1-2面向省内管理层和执行层的安全培训。同时，各省还应对新入职员工做好安全知识培训，使其熟悉掌握公司安全管理要求，新入职员工接受安全培训率应达到100%。工作安排：第1季度，总部确定安全培训知识体系整体框架，编写面向省公司管理层的安全培训教材；第2季度，总部将分片区开展面向省公司网络部总经理、网管中心主任及安全管理人员的安全宣贯及培训。年内，各省至少组织1-2次省内安全培训。（2）细化安全预警工作工作内容：深入开展安全预警工作，将安全预警信息公告精确到业务系统。 对各省公司的要求：各省协助总部开展针对重要业务系统和奥运产品的安全预警，将安全预警与安全补丁管理工作相结合，强化安全补丁加固工作的落实，实现安全预警工作的闭环管理。工作安排：第1季度，总部组织修订安全预警工作规范；第2季度，总部委托部分省协助总部开展针对重要业务系统和奥运产品发布安全预警信息；第3-4季度，各省根据预警，确保紧急安全补丁的加固实施。总部将逐步把紧急预警信息的加固执行工作纳入对省公司的考核范围。（3）继续推动业务系统和支撑系统安全域划分工作内容：编制并发布数据业务系统安全域划分和边界整合技术要求，启动数据业务系统安全域划分试点工作，完成网管网安全域划分和边界整合。对各省公司的要求：各省公司应在总部统一安排下，10月份之前完成网管网安全域划分和边界整合工作；各省依据数据业务系统安全域划分和边界整合技术要求，启动数据业务系统安全域划分和边界整合项目。工作安排：第1-2季度，完成数据业务系统安全域划分的试点和总结；第3季度，评审并发布数据业务系统安全域划分和边界整合技术要求，各省完成网管网安全域划分和边界整合工作。（4）持续推动“三同步”原则的落实执行工作内容：依托公司已有流程，建立落实安全“三同步”要求的环节，研究开发可形成系统安全要求的自动化工具。对省公司要求：各省公司逐步落实安全“三同步”要求，首先保证新入网系统达到安全防护基本要求。工作安排：第1季度，调研各省安全“三同步”流程建立情况，形成“三同步”流程建设意见；第2季度，完成系统安全要求相关规范初稿（安全防护方案制定指导原则、安全需求分析标准模板、安全威胁分析标准模版库、安全防护基准构件模板库）；第3季度，初步建立“三同步”流程。（5）完善设备安全要求，推动网络系统安全改造工作内容：继续完善设备安全要求系列规范，新增Web平台安全、DNS设备、以及部分重要业务系统设备安全要求等二层规范；逐步实现由自动化工具辅助完成规范要