09017中国移动管理信息系统安全防护体系总体技术要求V

中国移中国移动通信企业标准QB-X-017-2009中国移动管理信息系统安全防护体系总体技术要求GeneGeneralTechnicalRequirementsForSecurityProtectionSystemofCMCCMIS

201011522010115中国移动通信集团公司中国移动通信集团公司公布QB-X-017-2009QB-X-017-2009\*ROMAN\*ROMANII目 录前言.........................................................................................1.................1..................1..................4..................4.1背景.................4.2本要求的范围和主要内容.................................................3..................5.4..................6.4..................6.1整体说明.................6.2安全域划分技术要求.....................................................5..................6.3安全域防护技术要求.....................................................6..................6.4.................6.5.................6.6信息安全风险评估技术要求...............................................7..................6.7灾难备份与恢复实施技术要求.............................................7..................7.................前言治理信息系统安全防护和安全运维工作的说明和依据。安全架构、安全评估、系统自身安全加固、安全防护等方面。该系列标准的构造、名称或估量的名称如下：序号标准编号标准名称[1]QB-X-017-2009中国移动治理信息系统安全防护体系总体技术要求[2]QB-X-018-2009中国移动治理信息系统安全域边界防护技术要求[3]QB-X-019-2009中国移动治理信息系统安全域划分技术要求[4]QB-X-020-2009中国移动治理信息系统安全基线标准[5]QB-X-021-2009中国移动治理信息系统安全加固标准[6]QB-X-022-2009中国移动治理信息系统安全风险评估标准[7]QB-X-023-2009中国移动治理信息系统集中灾备系统技术规范本标准由中移技〔2010〕17号印发。口。本标准主要起草人：冯运波、陈江锋、侯春森、康小强QB-X-017-2009QB-X-017-20093范围司、设计院、争论院使用；适用于开展治理信息系统安全防护工作。标准性引用文件随后全部的修改单〔不包括订正的内容版本适用于本标准。序号 标准编号 标准名称 公布单位术语、定义和缩略语以下术语、定义和缩略语适用于本标准：词语 解释安全域具有一样或相近的安全需求、相互信任的区域或网络实体的集合。一个安全域内可进一步被划分为安全子域。资产指组织的信息系统、其供给的效劳以及处理的数据。它可能是以多种形式存在，有无形的、有有形的，有硬件、有软件，有文档、代码，也有效劳、企业形象等。脆弱性/弱点资产本身存在的，它可以被威逼利用、引起资产或商业目标的损害。弱点包括物理环境、组织、过程、人员、治理、配置、硬件、软件和信息等各种资产的脆弱性。/组织的信息直接或间接的攻击，例如非授权的泄露、篡改、删除等，在机密性、完整性或可用性等方面造成损害。威逼也可能源于偶发的、或蓄意的大事风险是一种潜在可能性，是指某个威逼利用弱点引起某项资产或一组资产的损害从而直接地或间接地引起企业或机构的损害的可能性。因此，风险和具体的资产、其价值、威逼以及相关的弱点直接相关剩余风险实行了安全防护措施，提高了防护力量后，仍旧可能存在的风险。风险是客观存在的，确定的安全是不存在的，风险评估的AAAAACLSHGSBLDMZIDSMISSOCRadiusVPN

目的就是使剩余风险可承受账号治理、认证、授权与审计系统访问掌握列表安全加固手册(SecurityHardenGuideline)安全基线(SecurityBaseline)非军事化区、停火区〔DeMilitarizedZone〕入侵检测系统(IntrusionDetectionSystem)治理信息系统(ManagementInformationSystem)安全运行治理中心接入用户远程认证效劳(RemoteAuthenticationDial-InUserService)虚拟专用网综述背景随着总部和各省公司在安全方面的建设IDS、防病毒、防垃圾邮件系统、终端安全治理系统等，已具备了肯定的安全防护力量。但是通过对省公司的调研觉察，省公司普遍存在安全防护、在于过去治理信息系统的整体安全治理体系中对操作实施层面的其次层要求不够细化与完善，消灭了安全工作中没有可参考依据，可衡量标准的问题。依据国务院信息化领导小组2003[2003]27号)的要求息系统安全，创立安全安康的网络环境，保障和促进信息化进展，保护公众利益，维护国家安全”。文件要求正确处理安全与进展的关系，统筹规划，突出重点，强化根底性工作，通息安全等级保护的治理方法和技术指南。〔下图所示〕中其次层第三层技术标准与要求的完善和补充，标准具体安全工作的实施与落地。图一治理信息系统安全治理体系本要求的范围和主要内容本技术要求的范围为总部和各省公司治理信息系统，涉及到网络安全域划分和安全防护，对主机、数据库、网络、应用系统的安全加固、安全基线检查、安全评估。主要内容包括：大事和安全风险的传播。《治理信息系统安全域防护技术要求设施〔如防火墙、入侵检测、防病毒、安全审计等〕，针对各个子域，制定标准的侵、网络失窃密的防范力量，防止有害信息传播，保证治理信息系统的安全运行。险评估，依据评估结果与加固标准要求对系统进展安全加固。用来解决大多数因安全配置不到位而引起的安全问题。障整体信息安全的水平。《治理信息系统集中灾备系统技术要求要求，涵盖建设、扩容、升级多个方面。目标和原则治理信息系统安全防护工作的主要目标就是要增加治理信息系统各个系统的安全防护是建立治理信息系统安全防护体系的指导性文件相关安全工作。具体包括以下步骤与要求：据流的安全策略掌握。安全漏洞与隐患。和维持治理信息系统的安全基准，运维治理人员要基于安全基线定期进展安全检查。总部与省公司要基于风险评估技术要求定期组织开展风险评估中存在的风险，并对风险进展相应的处置。针对治理信息系统需要依据灾难备份与恢复实施技术要求，在风险评估的根底上，平衡效益与本钱，建立完善灾难备份与恢复体系。安全防护技术体系整体说明本技术要求是中国移动治理信息系统信息安全防护技术的指导性文件包括集团总部和省公司的治理信息系统两个层次，横向掩盖整个治理信息系统内部业务系统，包括其所属的网络设备、安全设备、效劳器、终端等。中国移动治理信息系统涉及的业务系统信息平台、OA系统、ERP系统、综合统计系统、电子选购系统、综合信息网、终端治理平台、网上教育、全面预算治理、银企互联、打算治理系统等。安全防护技术要求明确了治理信息系统需要落实的安全技术措施和相关的安全工作复实施技术要求构成。此外，本体系针对不同的安全域，例如DMZ，效劳器区，制定了安全对全部的IT关要求，用于标准与指导风险评估的方法、实施步骤，内容等活动。本体系还要求对灾难备治理信息系统安全防护体系总体技术要求份及恢复工作依据风险评估相关结果进展需求分析并构建灾难恢复预案。治理信息系统安全防护体系总体技术要求安全域划分技术要求安全加固标准安全基线标准安全域划分技术要求安全加固标准安全基线标准灾难备份与恢复实施标准灾难备份与恢复实施标准信息安全风险评估标准IT设备系统应用安全基线Web应用安全基线信息安全风险评估标准IT设备系统应用安全基线Web应用安全基线Web效劳器安全基线数据库安全基线效劳器主机安全基线网络设备安全基线安全加固技术要求应用加固手册Web效劳器加固手册数据库加固手册效劳器主机加固手册网络设备加固手册安全域防护技术要求互联网出口安全防护标准DMZ服区安全防护标准务器区安全防护标准办公区安全防护标准安全域划分技术要求全策略进展了标准，适用于集团总部及各省公司治理信息系统。本技术要求文件是中国移动治理信息系统安全域划分原则与技术要求省公司的治理信息系统的划分建议，同时也定义了相应的应用系统在安全域上的映射。全手段，并实施相应的安全处理。此根底上需要进展安全域的边界隔离与数据流的安全策略掌握域制定了具体的防护技术要求。因此，安全域技术要求具有以下的目的：制定治理信息系统的全网安全域划分总体原则；对治理信息系统进展安全域划分；确定治理信息系统各个安全域的治理需求、技术需求和设备需求；确定治理信息系统各个安全域的威逼等级和保护等级；针对以防火墙或交换机为核心的治理信息系统网络构造，供给VLAN划分、ACL和防火墙策略制定的参照标准。域或接口，确保其设备连接的规律区域和设备放置的物理区域符合本技术要求。如有必要，同时也更本技术要求。安全域防护技术要求本安全域防护技术要求对中国移动集团公司治理信息系统安全域防护中需要标准的内遵从的技术文件。本技术要求文件具有以下的目的：标准各个安全域保护级别与手段确实定；标准各个安全域边界承受的防护技术与措施；标准安全域内各子域边界的防护技术与措施；标准省公司与集团总部边界承受的防护技术与措施。本标准主要包括以下几方面的内容：评估，流量治理，网络防病毒网关，应用代理，入侵检测系统，入侵防范系统，防DDOS攻击，反垃圾邮件系统，网页防篡改等。术要求。安全加固标准做出了规定，对和安全加固相关的关键角色和职责划分也做出了相应的说明。使全部被评估对象应不再存在高风险漏洞和性能。影响减至最小。安全防护技术要求中具体的安全加固标准主要适用于治理信息系统部已有的各个系统，并依据网络层、主机层、数据库层、中间件、应用层进展分册，具体阐述各个层次的加固的安全加固工作。安全基线标准免信息安全消灭严峻的短板。安全基线标准是中国移动治理信息系统部制定的各类IT到达的最低