中国电信集团公司CTGMBOSS安全规范总册样本

中华人民共和国电信集团公司CTG-MBOSS安全规范总册目录TOC\o"1-3"\h\z第1章 文档阐明 11.1 编制阐明 11.2 合用范畴 11.3 起草单位 11.4 解释权 11.5 版权 1来自资料搜索网()海量资料下载第2章 综述 22.1 MBOSS所面临安全挑战 22.1.1 安全组织管理 22.1.2 人员安全管理 22.1.3 应用开发安全管理 22.1.4 运维安全管理 22.1.5 顾客管理 22.1.6 访问认证授权 32.1.7 网络安全 32.1.8 主机安全 32.1.9 终端安全 42.1.10 安全审计 42.1.11 容灾安全 42.2 MBOSS安全规范目的愿景 42.3 改进MBOSS信息安全核心环节 42.4 MBOSS安全规范设计根据 5第3章 安全规范体系阐明 63.1 安全规范指引原则 93.2 安全管理规范综述 93.3 安全技术规范综述 10第4章 CTG－MBOSS安全规范实行 134.1 MBOSS安全规范演进筹划 134.1.1 第一阶段：建立MBOSS安全服务平台基本设施 134.1.2 第二阶段：扩充MBOSS安全服务平台功能 144.1.3 第三阶段：完善MBOSS安全体系 154.2 CTG－MBOSS安全架构布置建议 154.3 CTG－MBOSS容灾备份 16第5章 安全规范演进风险及应对 175.1 IT安全组织建立 175.2 实行范畴控制 175.3 人力资源安排 185.4 员工对安全管理制度接受 18附录1. 附录 19附录1.1. 规范编制人员名单 19附录1.2. 名词定义 19附录1.3. 参照文献 20文档阐明编制阐明本规范作为中华人民共和国电信CTG-MBOSS规范重要构成某些，为中华人民共和国电信集团建设MBOSS信息安全体系提供根据。本规范编制是在《CTG-MBOSS总体规范V2.0》总体框架体系指引下，参照了已有中华人民共和国电信集团下发安全政策文献，继承和吸取了原有安全管理实践经验成果，并充分考虑了各省电信公司现状和行业最佳实践与安全新技术引入。本规范是MBOSS总体规范构成某些，全面、概括地阐述了安全架构、安全管理、安全技术以及实行演进方略等内容。合用范畴本规范合用于中华人民共和国电信集团公司及下属省（市）电信公司进行MBOSS信息安全规划和建设，为MBOSS系统有关安全建设、升级改造、系统演进提供指引和根据。起草单位本规范起草单位是中华人民共和国电信集团公司。解释权本规范解释权属于中华人民共和国电信集团公司。版权综述MBOSS所面临安全挑战安全组织管理随着中华人民共和国电信MBOSS建设和发展，如何及时制定出信息安全指引方针，研究和分析信息安全建设对中华人民共和国电信业务发展价值和影响，更好适应不断变化组织形式，明确组织内部人员职责，以保障中华人民共和国电信业务系统安全稳定地运营成为安全管理机构面临最大挑战。人员安全管理据调查大某些安全事件都来自公司内部，商业间谍存在，员工故意无意透露公司商业信息，员工在离职后泄露公司商业秘密及从事与公司有竞争利益商业活动等，都暴露出公司在人员安全管理方面存在问题。定期进行员工安全意识培训已经刻不容缓。应用开发安全管理随着中华人民共和国电信MBOSS发展，应用系统将面临诸多安全威胁。身份认证欺骗、顾客权限滥用、输入数据校验异常、跨站点代码袭击、缓冲区溢出等等，都对咱们应用开发提出了新安全设计和防护规定。制定严格编程规范和管理手段成为不能回避问题。运维安全管理随着中华人民共和国电信MBOSS系统各项业务对信息系统依赖限度逐渐提高，信息系统复杂度急剧增长，从规划建设到系统运维阶段安全建设都应遵循系统生命周期进行设计，另一方面信息系统在运维过程中安全问题变得更加突出，因而也提出了越来越高安全运维规定;同步复杂业务系统和异构网络环境，增长了系统安全运维难度。老式单一、孤立安全运维管理已越来越不适应中华人民共和国电信CTG-MBOSS系统安全运维管理需求，CTG-MBOSS系统安全运维管理应向综合安全运维阶段进行深刻转变。顾客管理随着中华人民共和国电信MBOSS系统发展，顾客数量不断增长，网络规模迅速扩大，信息安全问题愈见突出，原有顾客管理办法已不能满足中华人民共和国电信当前及将来业务发展规定。重要体当前如下方面：如果MBOSS每个系统均拥有独立顾客管理系统，将会给同步维护各种应用系统维护人员带来巨大工作量；缺少账号生命周期管理机制，存在大量孤立账号，增长信息系统安全风险；存在多人共用一账号现象，难以控制账号扩散范畴，安全管理存在漏洞。且安全事故发生后，难以审计并定位到实际使用者；帐号审计没有较好流程来规范，进行帐号生命周期管理，保证帐号安全。访问认证授权随着网络袭击技术迅速发展，CTG-MBOSS访问认证授权面临着严峻挑战，详细来说存在着也许导致较严重安全事件几类问题，详细如下：1．认证功能分散在各设备和系统中难以统一管理。2．授权功能分散在各设备和系统中难以与业务规定相协调。3．未建立统一访问认证管理流程。上述三个方面问题也许导致较严重安全事件，是CTG-MBOSS在访问认证授权方面重要问题，会带来巨大挑战。网络安全由于以往建设网络系统在安全建设和安全互联方面考虑较少，随着信息技术、网络技术迅速发展，网络系统面临安全威胁日益增长。依照调研，CTG-MBOSS网络系统所面临重要威胁除了物理袭击破坏外，还涉及恶意软件袭击、内部员工误用、黑客入侵破坏等几类。因而，迫切需要开展网络安全研究，从整体安全防护、边界防护、网络安全架构及性能规划与MBOSS需求相适应、系统内部安全防护、安全审计等不同角度出发，制定安全防护原则和优化改造方案。使网络安全与网络系统“同步规划、同步建设、同步维护”。主机安全CTG-MBOSS中主机系统作为信息存储、传播、应用解决基本设施，其自身安全性涉及到系统安全、数据安全、网络安全等各个方面。作为CTG-MBOSS系统中重要构成某些，各种业务系统主机数量众多，资产价值高，面临安全风险极大。一方面，主机是CTG-MBOSS系统各类业务系统数据重要载体，这些业务数据是系统信息资产重要构成某些；另一方面，病毒、木马等安全威胁很容易通过访问主机系统终端渗入到后台各种业务应用和服务主机中，从而对CTG-MBOSS系统整体安全带来危害。为此需要在终端和主机安全领域建立一套安全技术体系来保障其安全，从而进一步完善CTG-MBOSS安全技术体系。终端安全终端作为一种比较分散资产，长期以来难以进行集中有效管理；作为CTG-MBOSS一种基本组件，面临病毒、蠕虫、木马、恶意代码泛滥，不安全终端也许成为一种被动袭击源，对整个MBOSS系统构成威胁。公司内部应制定统一终端安全方略、终端安全接入MBOSS方略，涉及补丁管理、终端审计等流程。安全审计随着中华人民共和国电信CTG-MBOSS系统建设和发展，同步为满足萨班斯法案对于IT系统内部控制规定，安全审计将成为一项重要技术手段。但在详细安全运维工作中，安全审计面临诸多挑战，重要体当前内部人员操作、第三方维护人员操作以及最高权限顾客使用过程中。要建立一套完备审计机制。容灾安全随着中华人民共和国电信CTG-MBOSS系统建设和发展，需要依照国家规定与电信MBOSS集中特点考虑容灾需求。MBOSS安全规范目的愿景MBOSS安全规范制定重要有如下三大目的愿景：定义中华人民共和国电信CTG-MBOSS安全管理体系愿景,保证中华人民共和国电信“从老式固网运营商向综合信息服务提供商”成功转型。提供演进路线，在3-5年把中华人民共和国电信建设成以风险管理为导向成熟型公司。 采用管理与技术相结合办法，增进CTG－MBOSS安全规划及规范贯彻。改进MBOSS信息安全核心环节中华人民共和国电信MBOSS系统安全需要解决核心问题，一方面，安全建设必要符合中华人民共和国电信公司战略转型和业务发展，必要保证业务发展；另一方面，安全体系应符合国家各种法律法规中对于安全规定，特别是满足内控规定，并且对其中有针对性规定进行重点建设；再次，充分考虑MBOSS系统在当前运营中对于安全建设规定和需求；最后，系统安全应规避和减少当前系统存在威胁和风险。综上所述，中华人民共和国电信MBOSS系统安全规范需要解决问题如下：1. 在中华人民共和国电信内部控制手册基本上，建立完善CTG-MBOSS系统整体安全规划，实现安全基本设施建设有序地建设，保证用于IT安全投资应不少于IT投资10％。2. 建立专职信息安全管理组织，建立安全岗位，明确安全管理职责，结束当前“权力分散，缺少统一，兼职为主”局面。3. 依照集团和各省公司详细状况，制定各省公司MBOSS公司安全架构和实行筹划，彻底变化以往孤立布置各种安全产品状况。4. CTG-MBOSS系统中信息安全规定，加强对系统顾客管理、顾客访问认证、授权、访问控制。5. 建立集中IT安全服务、监控平台，提供技术手段固化安全政策、原则和流程，及时监控IT安全状况。明确该平台做为公司负责IT安全对内对外接口。6. 加强CTG-MBOSS系统边界访问方式、安全区域内部、安全区域间防护；对既有IT基本设施进行IT安全加固，消除安全隐患。特别是相应用定期安全检查。7. 加强CTG-MBOSS系统与客户自服务安全交互访问接口安全性；在省公司统一规划和建设与公网接口，堵截安全漏洞。8. 在系统开发过程中，加入安全管控点，保证新实行系统能满足安全规范。9. 加强CTG-MBOSS系统安全集中管理能力，实现全面安全集中运维管理。10. 建立CTG-MBOSS系统容灾建设，建立业务系统持续性发展和建设筹划、环节和详细保障手段。MBOSS安全规范设计根据定义CTG-MBOSS安全体系愿景：采用管理与技术相结合办法，在3-5年内把中华人民共和国电信建设成以风险为导向成熟型公司，保证中华人民共和国电信成功转型。CTG－MBOSS安全规范设计根据重要来源在五个方面：中华人民共和国电信战略转型驱动，中华人民共和国电信IT内控规定，MBOSS安全现状和评估，法律法规对信息安全规定，信息安全最佳实践和实行经验。安全规范体系阐明CTG-MBOSS是支撑中华人民共和国电信公司运营和管理信息化架构，是集团和各省公司公司信息化建设愿景，由办法论、功能和系统架构、管控架构以及规范体系等某些构成。安全规范是CTG－MBOSS规范体系扩充。图STYLEREF1\s3SEQ图\*ARABIC\s11CTG-MBOSS安全规范与CTG－MBOSS规范体系关系CTG-MBOSS安全规范是对既有CTG－MBOSS规范体系扩充。安全规范是由两个某些构成，分别对安全管理规范和安全技术规范两个方面进行了设计。在安全管理体系方面，制定了安全方略，涉及组织安全管理架构，人员安全管理、应用开发安全管理和运维安全管理等四个方面所需遵循IT安全原则和指引方针，协助中华人民共和国电信不断提高IT安全管理能力。CTG－MBOSS安全规范将建立在中华人民共和国电信公司信息安全架构模型，该模型将公司安全能力划提成7个层次。图STYLEREF1\s3SEQ图\*ARABIC\s12CTG－MBOSS安全规范信息安全架构模型原则：描述信息安全业务需求价值政策：描述信息安全目地、方向、愿景及责任安全原则：信息安全实行规则，涉及技术、办法及其他细节流程：跨部门实行政策原则活动、工作及程序作业指南：描述个人在流程上详细工作架构：信息安全技术如何结合细节产品建议：信息安全解决方案所选产品及工具基于以上MBOSS面临IT安全挑战，MBOSS安全规范将参照ISO17799重要在IT安全管理体系，IT安全技术架构两个方面进行了考虑。图STYLEREF1\s3SEQ图\*ARABIC\s13CTG－MBOSS安全规范文档构造管理规范设计思路：从MBOSS应用开发、维护考虑安全面管理规定出发，考虑如下：组织架构：结合公司信息化部当前组织架构及职责，定义负责MBOSS安全组织架构设立原则，指引机构设立，及有关岗位职能。人员安全：考虑对MBOSS运维人员管理及考核，对MBOSS第三方开发人员管理与监督应用开发安全：应用开发过程中安全规定运维安全：针对MBOSS在运维中安全需求，为规范寻常运维工作而定义了有关工作流程，其中工作流程按技术体系进行分类。技术规范设计思路：从顾客对MBOSS数据访问流程考虑安全面技术规定出发，考虑如下：顾客管理：对访问MBOSS顾客集中管理访问认证：对访问MBOSS顾客集中授权网络安全：承载MBOSSDCN、中间件、数据库安全规定主机安全：承载MBOSS主机与数据存储安全规定终端安全：访问MBOSS终端及其接入DCN安全规定(含VPN方式）安全审计：定义MBOSS在运维过程中安全检测点及规定容灾备份：对MBOSS应用及与数据存储备份规定安全规范指引原则在安全规范详细编制过程中，充分考虑了如下安全指引原则:集中管理、集中审计MBOSS应采用以省为单位集中安全管理和集中安全审计设计原则，以提高系统安全运营效率和效果。至少特权在保证能完毕其工作任务时，赋予顾客（涉及个人、应用或其他主体）至少特权和必须权限。倡导分层分区防卫MBOSS安全不能建立在单一安全机制上。网络应依照所承载系统进行分层分区，分区域后网络能得到额外安全保护和控制。减少最弱环节在设计中要辨认、避免或监视任何也许弱点，并定期进行弱点扫描与评估。MBOSS安全限度取决于系统最薄弱环节，黑客往往寻找公司最弱点进行袭击。简洁安全解决方案实行安全解决方案，一种复杂系统往往增长了安全漏洞存在也许性。防外和防内并重在所有袭击中，内部袭击占据了很大一某些，安全解决方案应能同步承担内部和外部威胁防范，安全设施实行应不考虑威胁源差别－不论来自何方访问，核心信息资源需要提供额外认证和授权。考虑系统实际生产状态MBOSS系统安全规范建设涉及多方面安全方略及内容，因而依照各系统实际生产状态，采用相应规范。安全管理规范综述本安全管理规范给出了CTG-BOSS系统启动、实行、保持和改进信息安全管理体系指南和普通原则。本规范列出目的为系统普通所接受信息安全管理提供了指引。本管理规范控制目的和控制办法实行旨在满足以风险为导向所辨认安全规定。本原则可作为建立CTG-BOSS系统安全准则和有效安全管理实用指南，可以为是CTG-BOSS系统开发其详细指南起点。对CTG-BOSS系统来说，虽然本安全管理规范中所有控制办法都是重要并且是应被考虑，但是省公司应依照其CTG-BOSS系统所面临详细风险来拟定任何一种控制办法与否适当,不能取代基于系统风险评估而选取控制办法。本规范由四个某些构成：组织安全管理分册、人员安全管理分册、运维安全管理分册、应用开发安全管理分册。其中组织安全管理分册和人员安全管理分册是本安全管理规范基本。组织安全管理分册明确指出CTG-BOSS系统应建立起决策层、管理层和执行层三层工作关系，建立由各单位重要负责人构成信息安全领导小组，目的是明确信息安全主管领导，贯彻信息安全管理部门，建立信息安全执行岗位，明确职责；管理本质是对人监管，人员安全分册从信息安全角度对CTG-MBOSS系统使用顾客行为进行了规范，该分册从人员入职、在职、离职以及第三方人员安全管理四个方面管理和控制CTG-MBOSS系统使用顾客不安全行为，防止安全事件发生。在前两个分册基本上，结合CTG-MBOSS系统现阶段防护重点、安全现状,安全管理规范从系统运维安全和应用开发安全两个方面对CTG-MBOS系统进行了系统规范，系统运维安全分册从信息资产、口令、电子文档、系统应急、安全审计、风险评估等方面对运维过程中重要管理问题进行了阐述，但愿通过该分册制定和执行，建立CTG-MBOSS系统内部安全运维螺旋上升PDCA循环；应用开发安全分册从应用系统安全基本需求出发，对系统承载业务数据和应用系统自身提出了安全管理规定，并从系统开发、对外控制、安全性测试、系统布置几种方面相应用系统开发过程中遇到安全管理问题控制进行了规范。安全技术规范综述安全技术规范设计是从中华人民共和国电信安全需求出发，根据项目总体原则、最佳实践及IT安全架构设计原则，以安全能力、安全服务满足需求。通过对安全服务模块及其功能模块设计和实行，建立中华人民共和国电信安全技术架构，提供整个公司IT安全服务和能力。中华人民共和国电信总体安全技术架构依照中华人民共和国电信需求、以及安全架构设计原则及最佳实践，本项目所设计中华人民共和国电信安全技术架构将涉及如下服务模块及功能模块。图STYLEREF1\s3SEQ图\*ARABIC\s14CTG－MBOSS安全技术架构中华人民共和国电信IT安全架构将具备如下功能：集中顾客管理：通过顾客帐号管理系统，实行统一顾客管理方略。依照顾客组别及顾客管理方略，可集中授予顾客对各应用、系统访问权限。集中顾客身份管理将提供公司级顾客目录数据库。它任何变化（如更改、删除）都会被同步到其她系统顾客目录中。集中顾客身份管理功能为实行统一顾客管理政策提供了也许。集中认证授权：通过集中认证平台实现对各应用访问集中认证和访问授权。认证平台基于访问顾客宏观属性（顾客辨认符、目的应用系统名称、认证所采用信任度）和访问政策实现对各应用访问集中认证和应用入口级访问授权。并提供了多应用系统单点登录功能。集中安全审计：通过集中事件管理平台为监测及解决安全事件提供有效工具。通过采集应用、系统、网络中稽查记录以及收集所布置安全检测设备事件来实现对日记、事件集中收集、集中解决、集中分析、报告。网络安全改造：目是实现信息资产保护。为了保护资产免于也许受到威胁，在资产和不被信任机构之间设立保护机制，将资产与那些危险代理隔离。对于但愿使用相似安全控制一组资产，可以把她们划为一种“域”。通过安全域设计，限制除通过可接受安全接口之外访问。主机安全改进：为服务器安全符合性检查和控制提供手段。集中检查服务器安全符合性状况，并依照安全方略采用后续手段来限制主机访问和操作。终端安全改进：为终端安全符合性检查和控制提供手段。集中检查终端设备安全符合性状况，并依照安全方略采用后续手段来限制终端对网络访问(网络准入控制)。通过集中补丁管理提供终端符合性手段。容灾备份中心：为CTG-MBOSS系统提供风险防止机制和劫难恢复办法，在保证数据安全基本上提高业务持续运营能力，减少公司运营风险，将业务损失减少到可接受限度，提高服务质量和服务水平，增强公司竞争力。下图描述了MBOSS安全服务平台域MSS、BSS、OSS整合，和它们之间信息传递关系：图STYLEREF1\s3SEQ图\*ARABIC\s15CTG－MBOSS与MSS、BSS、OSS整合CTG－MBOSS安全规范实行CTG-MBOSS安全规范实行演进筹划图STYLEREF1\s4SEQ图\*ARABIC\s11CTG－MBOSS安全规范演进规划第一阶段：建立MBOSS安全服务平台基本设施通过第一阶段实行，建立起MBOSS安全服务体系基本设施。规定达到如下目的：建立MBOSS安全管理体系：建立MBOSS安全管理组织，实行人员安全管理规范、对员工进行个人安全教诲，推广实行MBOSS运维安全管理规范，推广并实行MBOSS应用开发安全管理规范。制定各省公司MBOSS安全架构与总体解决方案（EnterpriseSecurityArchitecture）网络安全改进－网络改进规定获得如下成果：按照网络安全规范规定，依照不同安全规定，建立相应安全区域。网络安全区域划分，要与MBOSS应用数据流相结合不同安全区域要用采用相应隔离手段，并在网络上布置入侵检测或防御手段。建立统一外网访问出口，逐渐关闭部门自主布置互联网访问出口。主机安全管理：建设主机安全管理基本设施，定义主机安全方略，实行对MSS、BSS、OSS系统主机安全管理。实行基于主机系统补丁管理实行基于主机主机加固和审计系统、防病毒系统、防恶意代码工具，及相应安全代理布置实行基于主机袭击防护系统布置集中安全审计平台：建设集中安全审计平台实现对BSS核心系统安全审计整合，涉及BSS应用、服务器操作系统和数据库，DCN核心网络设备。能对BSS核心系统（应用、操作系统和数据库）安全进行监控和记录报告。集中顾客管理平台：建设集中顾客管理平台，建立公司级目录服务实现对MSS系统顾客管理整合，制定和实行MSS应用系统顾客管理流程，实现对MSS系统顾客管理。终端安全管理：实行终端安全管理基本设施，实行省公司终端防火墙和防病毒软件布置，实行对省公司终端网络准入控制，与公司目录服务结合，实现授权准入。容灾中心设计容灾方案拟定，容灾选址完毕，容灾架构设计完毕第二阶段：扩充MBOSS安全服务平台功能通过扩充MBOSS信息安全服务平台功能，规定达到如下目的：继续第一阶段工作，完善MBOSS安全管理体系。集中顾客管理平台：将集中顾客管理平台与BSS和OSS系统整合，制定和实行BSS和OSS系统顾客管理流程，实现BSS和OSS系统顾客集中管理。集中访问认证平台：将集中访问认证平台与BSS和OSS系统整合，制定和实行BSS和OSS系统顾客管理流程，实现BSS和OSS系统顾客集中访问控制。集中安全审计平台：以实现对MSS和OSS核心系统安全审计整合，涉及应用、操作系统和数据库。能对MSS和OSS核心系统（应用、操作系统和数据库）安全进行监控和记录报告。终端安全管理：实行对本地网顾客终端安全管理。容灾中心建设：容灾中心建设完毕，能接受各分公司BSS核心系统容灾和数据备份。第三阶段：完善MBOSS安全体系通过MBOSS安全体系完善，规定达到如下目的：继续第二阶段工作，完善MBOSS安全管理体系。集中访问认证平台：实行对非B/S架构系统访问认证容灾中心扩充：对容灾中心容量逐渐扩充，使之所保护相应省公司核心业务系统，可容纳MSS、BSS、OSS核心系统备份和容灾。CTG－MBOSS安全架构布置建议安全服务平台将布置在集团、省公司和本地网三个层次。集团和省公司布置基本上是相似，本地网尽布置少量模块。CTG－MBOSS容灾备份CTG-MBOSS容灾系统是业务运营支撑系统有机构成某些，容灾备份时CTG－MBOSS安全规范一种不可缺省某些。各省公司要保证MBOSS核心系统业务持续性。由于容灾备份中心建设费用非常髙，中华人民共和国电信总部将依照ITSP2.0,统一建设和布置、建设6个容灾中心。安全规范演进风险及应对结合中华人民共和国电信MBOSS实际状况，规范编写组以为解决方案推广实行也许会存在如下风险：IT安全组织建立依照解决方案设计，IT安全组织将在开发阶段成立。同步IT安全组织在整个项目中也扮演着重要角色，对于解决方案推广实行和IT安全持续管理至关重要。因而，IT安全组织建立延迟或偏差都会对解决方案实行效果带来不利影响。管理方面影响安全管理制度制定得不到有关安全组织配合，使制度可操作性受到影响，同步也不运用制度更新、维护。安全管理制度理解受到影响，不利于