asy-1214-中國電信集團(tuán)公司CTG-MBOSS安全規(guī)范總冊

中國電信集團(tuán)公司CTG-MBOSS安全規(guī)范總冊目錄TOC\o"1-3"\h\z第1章文檔說明11.1編制說明11.2適用范圍11.3起草單位11.4解釋權(quán)11.5版權(quán)1第2章綜述22.1MBOSS所面臨的安全挑戰(zhàn)2安全組織管理2人員安全管理2應(yīng)用開發(fā)安全管理2運(yùn)維安全管理2用戶管理2訪問認(rèn)證授權(quán)3網(wǎng)絡(luò)安全3主機(jī)安全3終端安全4安全審計(jì)4容災(zāi)安全42.2MBOSS安全規(guī)范的目標(biāo)愿景42.3改進(jìn)MBOSS信息安全的關(guān)鍵步驟42.4MBOSS安全規(guī)范設(shè)計(jì)依據(jù)5第3章安全規(guī)范體系說明63.1安全規(guī)范指導(dǎo)原則93.2安全管理規(guī)范綜述93.3安全技術(shù)規(guī)范綜述10第4章CTG－MBOSS安全規(guī)范實(shí)施134.1MBOSS安全規(guī)范演進(jìn)計(jì)劃13第一階段：建立MBOSS安全服務(wù)平臺基礎(chǔ)設(shè)施13第二階段：擴(kuò)充MBOSS安全服務(wù)平臺的功能14第三階段：完善MBOSS安全體系154.2CTG－MBOSS安全架構(gòu)的部署建議154.3CTG－MBOSS容災(zāi)備份16第5章安全規(guī)范演進(jìn)風(fēng)險(xiǎn)及應(yīng)對175.1IT安全組織的建立175.2實(shí)施范圍的控制175.3人力資源安排185.4員工對安全管理制度的接受18附錄1.附錄19附錄1.1.規(guī)范編制人員名單19附錄1.2.名詞定義19附錄1.3.參考文獻(xiàn)20文檔說明編制說明本規(guī)范作為中國電信CTG-MBOSS規(guī)范的重要組成部分，為中國電信集團(tuán)建設(shè)MBOSS信息安全體系提供依據(jù)。本規(guī)范的編制是在《CTG-MBOSS總體規(guī)范V2.0》的總體框架體系指導(dǎo)下，參考了已有的中國電信集團(tuán)下發(fā)的安全政策文件，繼承和吸收了原有安全管理實(shí)踐的經(jīng)驗(yàn)成果，并充分考慮了各省電信公司的現(xiàn)狀和行業(yè)最佳實(shí)踐與安全新技術(shù)的引入。本規(guī)范是MBOSS總體規(guī)范的組成部分，全面、概括地闡述了安全架構(gòu)、安全管理、安全技術(shù)以及實(shí)施演進(jìn)策略等內(nèi)容。適用范圍本規(guī)范適用于中國電信集團(tuán)公司及下屬省（市）電信公司進(jìn)行MBOSS信息安全的規(guī)劃和建設(shè)，為MBOSS系統(tǒng)相關(guān)的安全建設(shè)、升級改造、系統(tǒng)演進(jìn)提供指導(dǎo)和依據(jù)。起草單位本規(guī)范的起草單位是中國電信集團(tuán)公司。解釋權(quán)本規(guī)范的解釋權(quán)屬于中國電信集團(tuán)公司。版權(quán)綜述MBOSS所面臨的安全挑戰(zhàn)安全組織管理隨著中國電信MBOSS的建設(shè)和發(fā)展，如何及時制定出信息安全的指導(dǎo)方針，研究和分析信息安全建設(shè)對中國電信業(yè)務(wù)發(fā)展的價值和影響，更好適應(yīng)不斷變化的組織形式，明確組織內(nèi)部人員職責(zé)，以保障中國電信業(yè)務(wù)系統(tǒng)安全穩(wěn)定地運(yùn)行成為安全管理機(jī)構(gòu)面臨的最大挑戰(zhàn)。人員安全管理據(jù)調(diào)查大部分的安全事件都來自公司的內(nèi)部，商業(yè)間諜的存在，員工有意無意透露公司商業(yè)信息，員工在離職后泄露公司商業(yè)秘密及從事與公司有競爭利益的商業(yè)活動等，都暴露出公司在人員安全管理方面存在的問題。定期進(jìn)行員工安全意識培訓(xùn)已經(jīng)刻不容緩。應(yīng)用開發(fā)安全管理隨著中國電信MBOSS的發(fā)展，應(yīng)用系統(tǒng)將面臨諸多的安全威脅。身份認(rèn)證的欺騙、用戶權(quán)限的濫用、輸入數(shù)據(jù)校驗(yàn)的異常、跨站點(diǎn)的代碼攻擊、緩沖區(qū)溢出等等，都對我們的應(yīng)用開發(fā)提出了新的安全設(shè)計(jì)和防護(hù)要求。制定嚴(yán)格的編程規(guī)范和管理手段成為不能回避的問題。運(yùn)維安全管理隨著中國電信MBOSS系統(tǒng)各項(xiàng)業(yè)務(wù)對信息系統(tǒng)依賴程度逐漸提高，信息系統(tǒng)的復(fù)雜度急劇增加，從規(guī)劃建設(shè)到系統(tǒng)運(yùn)維階段的安全建設(shè)都應(yīng)遵循系統(tǒng)的生命周期進(jìn)行設(shè)計(jì)，另一方面信息系統(tǒng)在運(yùn)維過程中的安全問題變得更加突出，因此也提出了越來越高的安全運(yùn)維要求;同時復(fù)雜的業(yè)務(wù)系統(tǒng)和異構(gòu)的網(wǎng)絡(luò)環(huán)境，增加了系統(tǒng)安全運(yùn)維的難度。傳統(tǒng)的單一、孤立的安全運(yùn)維管理已越來越不適應(yīng)中國電信CTG-MBOSS系統(tǒng)安全運(yùn)維管理的需求，CTG-MBOSS系統(tǒng)安全運(yùn)維管理應(yīng)向綜合安全運(yùn)維階段進(jìn)行深刻轉(zhuǎn)變。用戶管理隨著中國電信MBOSS系統(tǒng)的發(fā)展，用戶數(shù)量的不斷增加，網(wǎng)絡(luò)規(guī)模迅速擴(kuò)大，信息安全問題愈見突出，原有的用戶管理措施已不能滿足中國電信目前及未來業(yè)務(wù)發(fā)展的要求。主要表現(xiàn)在以下方面：如果MBOSS每個系統(tǒng)均擁有獨(dú)立的用戶管理系統(tǒng)，將會給同時維護(hù)多個應(yīng)用系統(tǒng)的維護(hù)人員帶來巨大工作量；缺乏賬號生命周期管理機(jī)制，存在大量孤立賬號，增加信息系統(tǒng)安全風(fēng)險(xiǎn)；存在多人共用一賬號現(xiàn)象，難以控制賬號擴(kuò)散范圍，安全管理存在漏洞。且安全事故發(fā)生后，難以審計(jì)并定位到實(shí)際使用者；帳號審計(jì)沒有很好的流程來規(guī)范，進(jìn)行帳號的生命周期管理，保證帳號安全。訪問認(rèn)證授權(quán)隨著網(wǎng)絡(luò)攻擊技術(shù)的快速發(fā)展，CTG-MBOSS的訪問認(rèn)證授權(quán)面臨著嚴(yán)峻的挑戰(zhàn)，具體來說存在著可能導(dǎo)致較嚴(yán)重安全事件的幾類問題，具體如下：1．認(rèn)證功能分散在各設(shè)備和系統(tǒng)中難以統(tǒng)一管理。2．授權(quán)功能分散在各設(shè)備和系統(tǒng)中難以與業(yè)務(wù)要求相協(xié)調(diào)。3．未建立統(tǒng)一的訪問認(rèn)證管理流程。上述三個方面的問題可能導(dǎo)致較嚴(yán)重的安全事件，是CTG-MBOSS在訪問認(rèn)證授權(quán)方面的主要問題，會帶來巨大的挑戰(zhàn)。網(wǎng)絡(luò)安全由于以往建設(shè)的網(wǎng)絡(luò)系統(tǒng)在安全建設(shè)和安全互聯(lián)方面考慮較少，隨著信息技術(shù)、網(wǎng)絡(luò)技術(shù)的快速發(fā)展，網(wǎng)絡(luò)系統(tǒng)面臨的安全威脅日益增加。根據(jù)調(diào)研，CTG-MBOSS網(wǎng)絡(luò)系統(tǒng)所面臨的主要威脅除了物理攻擊破壞外，還包括惡意軟件攻擊、內(nèi)部員工誤用、黑客入侵破壞等幾類。因此，迫切需要開展網(wǎng)絡(luò)安全研究，從整體安全防護(hù)、邊界防護(hù)、網(wǎng)絡(luò)安全架構(gòu)及性能規(guī)劃與MBOSS需求相適應(yīng)、系統(tǒng)內(nèi)部安全防護(hù)、安全審計(jì)等不同角度出發(fā)，制定安全防護(hù)原則和優(yōu)化改造方案。使網(wǎng)絡(luò)安全與網(wǎng)絡(luò)系統(tǒng)“同步規(guī)劃、同步建設(shè)、同步維護(hù)”。主機(jī)安全CTG-MBOSS中的主機(jī)系統(tǒng)作為信息存儲、傳輸、應(yīng)用處理的基礎(chǔ)設(shè)施，其自身安全性涉及到系統(tǒng)安全、數(shù)據(jù)安全、網(wǎng)絡(luò)安全等各個方面。作為CTG-MBOSS系統(tǒng)中重要的組成部分，各種業(yè)務(wù)系統(tǒng)主機(jī)數(shù)量眾多，資產(chǎn)價值高，面臨的安全風(fēng)險(xiǎn)極大。一方面，主機(jī)是CTG-MBOSS系統(tǒng)各類業(yè)務(wù)系統(tǒng)數(shù)據(jù)的主要載體，這些業(yè)務(wù)數(shù)據(jù)是系統(tǒng)信息資產(chǎn)的重要組成部分；另一方面，病毒、木馬等安全威脅很容易通過訪問主機(jī)系統(tǒng)的終端滲透到后臺各種業(yè)務(wù)應(yīng)用和服務(wù)主機(jī)中，從而對CTG-MBOSS系統(tǒng)的整體安全帶來危害。為此需要在終端和主機(jī)安全領(lǐng)域建立一套安全技術(shù)體系來保障其安全，從而進(jìn)一步完善CTG-MBOSS的安全技術(shù)體系。終端安全終端作為一種比較分散的資產(chǎn)，長期以來難以進(jìn)行集中的有效的管理；作為CTG-MBOSS的一個基本組件，面臨病毒、蠕蟲、木馬、惡意代碼的泛濫，不安全的終端可能成為一個被動的攻擊源，對整個MBOSS系統(tǒng)構(gòu)成威脅。企業(yè)內(nèi)部應(yīng)制定統(tǒng)一的終端安全策略、終端安全接入MBOSS策略，包括補(bǔ)丁管理、終端審計(jì)等流程。安全審計(jì)隨著中國電信CTG-MBOSS系統(tǒng)建設(shè)和發(fā)展，同時為滿足薩班斯法案對于IT系統(tǒng)內(nèi)部控制的要求，安全審計(jì)將成為一項(xiàng)重要的技術(shù)手段。但在具體的安全運(yùn)維工作中，安全審計(jì)面臨諸多挑戰(zhàn)，主要體現(xiàn)在內(nèi)部人員操作、第三方維護(hù)人員操作以及最高權(quán)限用戶使用過程中。要建立一套完備的審計(jì)機(jī)制。容災(zāi)安全隨著中國電信CTG-MBOSS系統(tǒng)建設(shè)和發(fā)展，需要根據(jù)國家的規(guī)定與電信MBOSS集中的特點(diǎn)考慮容災(zāi)的需求。MBOSS安全規(guī)范的目標(biāo)愿景MBOSS安全規(guī)范的制定主要有以下三大目標(biāo)愿景：定義中國電信CTG-MBOSS安全管理體系的愿景,確保中國電信“從傳統(tǒng)的固網(wǎng)運(yùn)營商向綜合信息服務(wù)提供商”的成功轉(zhuǎn)型。提供演進(jìn)路線，在3-5年把中國電信建設(shè)成以風(fēng)險(xiǎn)管理為導(dǎo)向的成熟型企業(yè)。 采取管理與技術(shù)相結(jié)合的方法，促進(jìn)CTG－MBOSS安全規(guī)劃及規(guī)范的貫徹。改進(jìn)MBOSS信息安全的關(guān)鍵步驟中國電信MBOSS系統(tǒng)安全需要解決的關(guān)鍵問題，首先，安全建設(shè)必須符合中國電信企業(yè)的戰(zhàn)略轉(zhuǎn)型和業(yè)務(wù)發(fā)展，必須保證業(yè)務(wù)發(fā)展；其次，安全體系應(yīng)符合國家各種法律法規(guī)中對于安全的要求，尤其是滿足內(nèi)控的要求，并且對其中有針對性的要求進(jìn)行重點(diǎn)建設(shè)；再次，充分考慮MBOSS系統(tǒng)在目前運(yùn)行中對于安全建設(shè)的要求和需求；最后，系統(tǒng)安全應(yīng)規(guī)避和降低目前系統(tǒng)存在的威脅和風(fēng)險(xiǎn)。綜上所述，中國電信MBOSS系統(tǒng)安全規(guī)范需要解決的問題如下：1. 在中國電信內(nèi)部控制手冊的基礎(chǔ)上，建立完善的CTG-MBOSS系統(tǒng)的整體安全規(guī)劃，實(shí)現(xiàn)安全基礎(chǔ)設(shè)施建設(shè)有序地建設(shè)，確保用于IT安全的投資應(yīng)不少于IT投資的10％。2. 建立專職的信息安全管理組織，建立安全崗位，明確安全管理職責(zé)，結(jié)束目前的“權(quán)力分散，缺乏統(tǒng)一，兼職為主”的局面。3. 根據(jù)集團(tuán)和各省公司具體情況，制定各省公司的MBOSS企業(yè)安全架構(gòu)和實(shí)施計(jì)劃，徹底改變以往孤立部署各種安全產(chǎn)品的狀況。4. CTG-MBOSS系統(tǒng)中信息安全的要求，加強(qiáng)對系統(tǒng)用戶的管理、用戶的訪問認(rèn)證、授權(quán)、訪問控制。5. 建立集中IT安全服務(wù)、監(jiān)控平臺，提供技術(shù)手段固化安全政策、標(biāo)準(zhǔn)和流程，及時監(jiān)控IT安全狀況。明確該平臺做為企業(yè)負(fù)責(zé)IT安全的對內(nèi)對外的接口。6. 加強(qiáng)CTG-MBOSS系統(tǒng)邊界訪問方式、安全區(qū)域內(nèi)部、安全區(qū)域間的防護(hù)；對現(xiàn)有的IT基礎(chǔ)設(shè)施進(jìn)行IT安全加固，消除安全隱患。特別是對應(yīng)用的定期安全檢查。7. 加強(qiáng)CTG-MBOSS系統(tǒng)與客戶自服務(wù)安全交互訪問接口的安全性；在省公司統(tǒng)一規(guī)劃和建設(shè)與公網(wǎng)的接口，堵截安全漏洞。8. 在系統(tǒng)開發(fā)過程中，加入安全管控點(diǎn)，確保新實(shí)施的系統(tǒng)能滿足安全規(guī)范。9. 加強(qiáng)CTG-MBOSS系統(tǒng)的安全集中管理的能力，實(shí)現(xiàn)全面的安全集中運(yùn)維管理。10. 建立CTG-MBOSS系統(tǒng)容災(zāi)建設(shè)，建立業(yè)務(wù)系統(tǒng)連續(xù)性發(fā)展和建設(shè)計(jì)劃、步驟和具體保障手段。MBOSS安全規(guī)范設(shè)計(jì)依據(jù)定義CTG-MBOSS安全體系的愿景：采取管理與技術(shù)相結(jié)合的方法，在3-5年內(nèi)把中國電信建設(shè)成以風(fēng)險(xiǎn)為導(dǎo)向的成熟型企業(yè)，確保中國電信的成功轉(zhuǎn)型。CTG－MBOSS安全規(guī)范的設(shè)計(jì)依據(jù)主要來源在五個方面：中國電信的戰(zhàn)略轉(zhuǎn)型的驅(qū)動，中國電信IT內(nèi)控的要求，MBOSS的安全現(xiàn)狀和評估，法律法規(guī)對信息安全的要求，信息安全的最佳實(shí)踐和實(shí)施經(jīng)驗(yàn)。安全規(guī)范體系說明CTG-MBOSS是支撐中國電信企業(yè)運(yùn)營和管理的信息化架構(gòu)，是集團(tuán)和各省公司企業(yè)信息化建設(shè)的愿景，由方法論、功能和系統(tǒng)架構(gòu)、管控架構(gòu)以及規(guī)范體系等部分構(gòu)成。安全規(guī)范是CTG－MBOSS規(guī)范體系的擴(kuò)充。圖STYLEREF1\s3SEQ圖\*ARABIC\s11CTG-MBOSS安全規(guī)范與CTG－MBOSS規(guī)范體系的關(guān)系CTG-MBOSS安全規(guī)范是對現(xiàn)有的CTG－MBOSS規(guī)范體系的擴(kuò)充。安全規(guī)范是由兩個部分組成，分別對安全管理規(guī)范和安全技術(shù)規(guī)范兩個方面進(jìn)行了設(shè)計(jì)。在安全管理體系方面，制定了安全策略，包括組織安全管理架構(gòu)，人員安全管理、應(yīng)用開發(fā)安全管理和運(yùn)維安全管理等四個方面所需遵循的IT安全標(biāo)準(zhǔn)和指導(dǎo)方針，幫助中國電信不斷提高IT安全管理能力。CTG－MBOSS安全規(guī)范將建立在中國電信企業(yè)信息安全架構(gòu)模型，該模型將企業(yè)安全能力劃分成7個層次。圖STYLEREF1\s3SEQ圖\*ARABIC\s12CTG－MBOSS安全規(guī)范信息安全架構(gòu)模型原則：描述信息安全的業(yè)務(wù)需求價值政策：描述信息安全的目地、方向、愿景及責(zé)任安全標(biāo)準(zhǔn)：信息安全實(shí)施規(guī)則，包括技術(shù)、方法及其它細(xì)節(jié)流程：跨部門實(shí)施政策標(biāo)準(zhǔn)的活動、工作及程序作業(yè)指南：描述個人在流程上的詳細(xì)工作架構(gòu)：信息安全技術(shù)如何結(jié)合的細(xì)節(jié)產(chǎn)品建議：信息安全解決方案所選的產(chǎn)品及工具基于以上MBOSS面臨的IT安全挑戰(zhàn)，MBOSS安全規(guī)范將參考ISO17799主要在IT安全管理體系，IT安全技術(shù)架構(gòu)兩個方面進(jìn)行了考慮。圖STYLEREF1\s3SEQ圖\*ARABIC\s13CTG－MBOSS安全規(guī)范文檔結(jié)構(gòu)管理規(guī)范的設(shè)計(jì)思路：從MBOSS應(yīng)用的開發(fā)、維護(hù)考慮安全方面的管理要求出發(fā)，考慮如下：組織架構(gòu)：結(jié)合企業(yè)信息化部當(dāng)前的組織架構(gòu)及職責(zé)，定義負(fù)責(zé)MBOSS安全的組織架構(gòu)設(shè)置原則，指導(dǎo)機(jī)構(gòu)的設(shè)置，及相關(guān)的崗位職能。人員安全：考慮對MBOSS運(yùn)維人員的管理及考核，對MBOSS的第三方開發(fā)人員的管理與監(jiān)督應(yīng)用開發(fā)安全：應(yīng)用開發(fā)過程中的安全要求運(yùn)維安全：針對MBOSS在運(yùn)維中的安全需求，為規(guī)范日常運(yùn)維工作而定義了相關(guān)的工作流程，其中工作流程按技術(shù)體系進(jìn)行分類。技術(shù)規(guī)范的設(shè)計(jì)思路：從用戶對MBOSS數(shù)據(jù)的訪問流程考慮安全方面的技術(shù)要求出發(fā)，考慮如下：用戶管理：對訪問MBOSS用戶的集中管理訪問認(rèn)證：對訪問MBOSS用戶的集中授權(quán)網(wǎng)絡(luò)安全：承載MBOSS的DCN、中間件、數(shù)據(jù)庫的安全要求主機(jī)安全：承載MBOSS的主機(jī)與數(shù)據(jù)存儲的安全要求終端安全：訪問MBOSS的終端及其接入DCN的安全要求(含VPN方式）安全審計(jì)：定義MBOSS在運(yùn)維過程中的安全檢測點(diǎn)及要求容災(zāi)備份：對MBOSS的應(yīng)用及與數(shù)據(jù)存儲的備份要求安全規(guī)范指導(dǎo)原則在安全規(guī)范的具體編制過程中，充分考慮了以下安全指導(dǎo)原則:集中管理、集中審計(jì)MBOSS應(yīng)采取以省為單位的集中安全管理和集中安全審計(jì)設(shè)計(jì)原則，以提高系統(tǒng)安全運(yùn)行的效率和效果。最少的特權(quán)在確保能完成其工作任務(wù)時，賦予用戶（包括個人、應(yīng)用或其它主體）最少的特權(quán)和必需的權(quán)限。提倡分層分區(qū)的防衛(wèi)MBOSS的安全不能建立在單一的安全機(jī)制上。網(wǎng)絡(luò)應(yīng)根據(jù)所承載的系統(tǒng)進(jìn)行分層分區(qū)，分區(qū)域后的網(wǎng)絡(luò)能得到額外的安全保護(hù)和控制。減少最弱環(huán)節(jié)在設(shè)計(jì)中要識別、避免或監(jiān)視任何可能的弱點(diǎn)，并定期進(jìn)行弱點(diǎn)掃描與評估。MBOSS的安全程度取決于系統(tǒng)的最薄弱環(huán)節(jié)，黑客往往尋找企業(yè)的最弱點(diǎn)進(jìn)行攻擊。簡潔的安全解決方案實(shí)施安全解決方案，一個復(fù)雜的系統(tǒng)往往增加了安全漏洞存在的可能性。防外和防內(nèi)并重在所有攻擊中，內(nèi)部攻擊占據(jù)了很大的一部分，安全解決方案應(yīng)能同時承擔(dān)內(nèi)部和外部威脅的防范，安全設(shè)施的實(shí)施應(yīng)不考慮威脅源的差異－不管來自何方的訪問，關(guān)鍵信息資源需要提供額外的認(rèn)證和授權(quán)?？紤]系統(tǒng)的實(shí)際生產(chǎn)狀態(tài)MBOSS系統(tǒng)安全規(guī)范建設(shè)涉及多方面的安全策略及內(nèi)容，因此根據(jù)各系統(tǒng)實(shí)際的生產(chǎn)狀態(tài)，采取對應(yīng)的規(guī)范。安全管理規(guī)范綜述本安全管理規(guī)范給出了CTG-BOSS系統(tǒng)啟動、實(shí)施、保持和改進(jìn)信息安全管理體系的指南和一般原則。本規(guī)范列出的目標(biāo)為系統(tǒng)通常所接受的信息安全管理提供了指導(dǎo)。本管理規(guī)范的控制目標(biāo)和控制措施的實(shí)施旨在滿足以風(fēng)險(xiǎn)為導(dǎo)向所識別的安全要求。本標(biāo)準(zhǔn)可作為建立CTG-BOSS系統(tǒng)安全準(zhǔn)則和有效安全管理的實(shí)用指南，可認(rèn)為是CTG-BOSS系統(tǒng)開發(fā)其詳細(xì)指南的起點(diǎn)。對CTG-BOSS系統(tǒng)來說，雖然本安全管理規(guī)范中的所有控制措施都是重要的并且是應(yīng)被考慮的，但是省公司應(yīng)根據(jù)其CTG-BOSS系統(tǒng)所面臨的具體風(fēng)險(xiǎn)來確定任何一種控制措施是否合適,不能取代基于系統(tǒng)風(fēng)險(xiǎn)評估而選擇的控制措施。本規(guī)范由四個部分組成：組織安全管理分冊、人員安全管理分冊、運(yùn)維安全管理分冊、應(yīng)用開發(fā)安全管理分冊。其中組織安全管理分冊和人員安全管理分冊是本安全管理規(guī)范的基礎(chǔ)。組織安全管理分冊明確指出CTG-BOSS系統(tǒng)應(yīng)建立起決策層、管理層和執(zhí)行層三層工作關(guān)系，建立由各單位主要負(fù)責(zé)人組成的信息安全領(lǐng)導(dǎo)小組，目標(biāo)是明確信息安全主管領(lǐng)導(dǎo)，落實(shí)信息安全管理部門，建立信息安全執(zhí)行崗位，明確職責(zé)；管理的本質(zhì)是對人的監(jiān)管，人員安全分冊從信息安全的角度對CTG-MBOSS系統(tǒng)的使用用戶行為進(jìn)行了規(guī)范，該分冊從人員入職、在職、離職以及第三方人員安全管理四個方面管理和控制CTG-MBOSS系統(tǒng)使用用戶的不安全行為，預(yù)防安全事件的發(fā)生。在前兩個分冊的基礎(chǔ)上，結(jié)合CTG-MBOSS系統(tǒng)現(xiàn)階段的防護(hù)重點(diǎn)、安全現(xiàn)狀,安全管理規(guī)范從系統(tǒng)運(yùn)維安全和應(yīng)用開發(fā)安全兩個方面對CTG-MBOS系統(tǒng)進(jìn)行了系統(tǒng)規(guī)范，系統(tǒng)運(yùn)維安全分冊從信息資產(chǎn)、口令、電子文檔、系統(tǒng)應(yīng)急、安全審計(jì)、風(fēng)險(xiǎn)評估等方面對運(yùn)維過程中的重要管理問題進(jìn)行了闡述，希望通過該分冊的制定和執(zhí)行，建立CTG-MBOSS系統(tǒng)內(nèi)部安全運(yùn)維螺旋上升的PDCA循環(huán)；應(yīng)用開發(fā)安全分冊從應(yīng)用系統(tǒng)安全基本需求出發(fā)，對系統(tǒng)承載的業(yè)務(wù)數(shù)據(jù)和應(yīng)用系統(tǒng)本身提出了安全管理要求，并從系統(tǒng)開發(fā)、對外控制、安全性測試、系統(tǒng)部署幾個方面對應(yīng)用系統(tǒng)開發(fā)過程中遇到的安全管理問題的控制進(jìn)行了規(guī)范。安全技術(shù)規(guī)范綜述安全技術(shù)規(guī)范的設(shè)計(jì)是從中國電信安全需求出發(fā)，依據(jù)項(xiàng)目總體原則、最佳實(shí)踐及IT安全架構(gòu)設(shè)計(jì)原則，以安全能力、安全服務(wù)滿足需求。通過對安全服務(wù)模塊及其功能模塊的設(shè)計(jì)和實(shí)施，建立中國電信安全技術(shù)架構(gòu)，提供整個企業(yè)的IT安全服務(wù)和能力。中國電信總體安全技術(shù)架構(gòu)根據(jù)中國電信的需求、以及安全架構(gòu)設(shè)計(jì)原則及最佳實(shí)踐，本項(xiàng)目所設(shè)計(jì)的中國電信安全技術(shù)架構(gòu)將包括以下的服務(wù)模塊及功能模塊。圖STYLEREF1\s3SEQ圖\*ARABIC\s14CTG－MBOSS安全技術(shù)架構(gòu)中國電信IT安全架構(gòu)將具備以下功能：集中的用戶管理：通過用戶帳號管理系統(tǒng)，實(shí)行統(tǒng)一的的用戶管理策略。根據(jù)用戶組別及用戶管理策略，可集中授予用戶對各應(yīng)用、系統(tǒng)的的訪問權(quán)限。集中用戶身份管理將提供企業(yè)級的用戶目錄數(shù)據(jù)庫。它的任何變化（如更改、刪除）都會被同步到其他系統(tǒng)的用戶目錄中。集中的用戶身份管理功能為實(shí)施統(tǒng)一用戶管理政策提供了可能。集中認(rèn)證授權(quán)：通過集中認(rèn)證平臺實(shí)現(xiàn)對各應(yīng)用訪問的集中認(rèn)證和訪問授權(quán)。認(rèn)證平臺基于訪問用戶的宏觀屬性（用戶識別符、目標(biāo)應(yīng)用系統(tǒng)名稱、認(rèn)證所采用信任度）和訪問政策實(shí)現(xiàn)對各應(yīng)用訪問的集中認(rèn)證和應(yīng)用的入口級的訪問授權(quán)。并提供了多應(yīng)用系統(tǒng)的單點(diǎn)登錄的功能。集中安全審計(jì)：通過集中的事件管理平臺為監(jiān)測及處理安全事件提供有效的工具。通過采集應(yīng)用、系統(tǒng)、網(wǎng)絡(luò)中稽查記錄以及收集所部署的安全檢測設(shè)備的事件來實(shí)現(xiàn)對日志、事件的集中收集、集中處理、集中分析、報(bào)告。網(wǎng)絡(luò)安全改造：目的是實(shí)現(xiàn)信息資產(chǎn)的保護(hù)。為了保護(hù)資產(chǎn)免于可能受到的威脅，在資產(chǎn)和不被信任的機(jī)構(gòu)之間設(shè)立保護(hù)機(jī)制，將資產(chǎn)與那些危險(xiǎn)的代理隔離。對于希望使用相同安全控制的一組資產(chǎn)，可以把他們劃為一個“域”。通過安全域的設(shè)計(jì)，限制除通過可接受的安全接口之外的訪問。主機(jī)安全改進(jìn)：為服務(wù)器的安全符合性檢查和控制提供手段。集中檢查服務(wù)器的安全符合性情況，并根據(jù)安全策略采用后續(xù)的手段來限制主機(jī)的訪問和操作。終端安全改進(jìn)：為終端的安全符合性檢查和控制提供手段。集中檢查終端設(shè)備的安全符合性情況，并根據(jù)安全策略采用后續(xù)的手段來限制終端對網(wǎng)絡(luò)的訪問(網(wǎng)絡(luò)的準(zhǔn)入控制)。通過集中的補(bǔ)丁管理提供終端符合性的手段。容災(zāi)備份中心:為CTG-MBOSS系統(tǒng)提供風(fēng)險(xiǎn)預(yù)防機(jī)制和災(zāi)難恢復(fù)措施，在確保數(shù)據(jù)安全的基礎(chǔ)上提高業(yè)務(wù)連續(xù)運(yùn)行能力，降低企業(yè)運(yùn)營風(fēng)險(xiǎn)，將業(yè)務(wù)損失降低到可接受的程度，提升服務(wù)質(zhì)量和服務(wù)水平，增強(qiáng)企業(yè)競爭力。下圖描述了MBOSS安全服務(wù)平臺域MSS、BSS、OSS的整合，和它們之間的信息傳遞關(guān)系：圖STYLEREF1\s3SEQ圖\*ARABIC\s15CTG－MBOSS與MSS、BSS、OSS的整合CTG－MBOSS安全規(guī)范實(shí)施CTG-MBOSS安全規(guī)范實(shí)施演進(jìn)計(jì)劃圖STYLEREF1\s4SEQ圖\*ARABIC\s11CTG－MBOSS安全規(guī)范演進(jìn)規(guī)劃第一階段：建立MBOSS安全服務(wù)平臺基礎(chǔ)設(shè)施通過第一階段的實(shí)施，建立起MBOSS安全服務(wù)體系的基礎(chǔ)設(shè)施。要求達(dá)到以下目標(biāo)：建立MBOSS的安全管理體系：建立MBOSS安全管理組織，實(shí)施人員安全管理規(guī)范、對員工進(jìn)行個人安全教育，推廣實(shí)施MBOSS運(yùn)維安全管理規(guī)范，推廣并實(shí)施MBOSS應(yīng)用開發(fā)安全管理規(guī)范。制定各省公司的MBOSS安全架構(gòu)與總體解決方案（EnterpriseSecurityArchitecture）網(wǎng)絡(luò)安全改進(jìn)－網(wǎng)絡(luò)改進(jìn)要求取得以下的結(jié)果：按照網(wǎng)絡(luò)安全規(guī)范的要求，根據(jù)不同的安全要求，建立相應(yīng)的安全區(qū)域。網(wǎng)絡(luò)安全區(qū)域的劃分，要與MBOSS應(yīng)用數(shù)據(jù)流相結(jié)合不同的安全區(qū)域要用采用相應(yīng)的隔離手段，并在網(wǎng)絡(luò)上部署入侵檢測或防御手段。建立統(tǒng)一的外網(wǎng)訪問出口，逐步關(guān)閉部門自主部署的互聯(lián)網(wǎng)訪問出口。主機(jī)安全管理：建設(shè)主機(jī)安全管理基礎(chǔ)設(shè)施，定義主機(jī)安全策略，實(shí)施對MSS、BSS、OSS系統(tǒng)主機(jī)的安全管理。實(shí)施基于主機(jī)的系統(tǒng)補(bǔ)丁管理實(shí)施基于主機(jī)的主機(jī)加固和審計(jì)系統(tǒng)、防病毒系統(tǒng)、防惡意代碼工具，及相應(yīng)安全代理的部署實(shí)施基于主機(jī)的攻擊防護(hù)系統(tǒng)的部署集中安全審計(jì)平臺：建設(shè)集中安全審計(jì)平臺實(shí)現(xiàn)對BSS關(guān)鍵系統(tǒng)的安全審計(jì)整合，包括BSS應(yīng)用、服務(wù)器操作系統(tǒng)和數(shù)據(jù)庫，DCN關(guān)鍵網(wǎng)絡(luò)設(shè)備。能對BSS關(guān)鍵系統(tǒng)（應(yīng)用、操作系統(tǒng)和數(shù)據(jù)庫）安全進(jìn)行監(jiān)控和統(tǒng)計(jì)報(bào)告。集中用戶管理平臺：建設(shè)集中用戶管理平臺，建立企業(yè)級的目錄服務(wù)實(shí)現(xiàn)對MSS系統(tǒng)的用戶管理整合，制定和實(shí)施MSS應(yīng)用系統(tǒng)用戶管理流程，實(shí)現(xiàn)對MSS系統(tǒng)的用戶管理。終端安全管理：實(shí)施終端安全管理基礎(chǔ)設(shè)施，實(shí)施省公司終端的防火墻和防病毒軟件的部署，實(shí)施對省公司終端的網(wǎng)絡(luò)準(zhǔn)入控制，與企業(yè)的目錄服務(wù)結(jié)合，實(shí)現(xiàn)授權(quán)準(zhǔn)入。容災(zāi)中心設(shè)計(jì)容災(zāi)方案確定，容災(zāi)選址完成，容災(zāi)架構(gòu)設(shè)計(jì)完成第二階段：擴(kuò)充MBOSS安全服務(wù)平臺的功能通過擴(kuò)充MBOSS信息安全服務(wù)平臺的功能，要求達(dá)到以下目標(biāo)：繼續(xù)第一階段的工作，完善MBOSS的安全管理體系。集中用戶管理平臺：將集中用戶管理平臺與BSS和OSS系統(tǒng)整合，制定和實(shí)施BSS和OSS系統(tǒng)的用戶管理流程，實(shí)現(xiàn)BSS和OSS系統(tǒng)用戶的集中管理。集中訪問認(rèn)證平臺：將集中訪問認(rèn)證平臺與BSS和OSS系統(tǒng)整合，制定和實(shí)施BSS和OSS系統(tǒng)的用戶管理流程，實(shí)現(xiàn)BSS和OSS系統(tǒng)用戶的集中訪問控制。集中安全審計(jì)平臺：以實(shí)現(xiàn)對MSS和OSS關(guān)鍵系統(tǒng)的安全審計(jì)整合，包括應(yīng)用、操作系統(tǒng)和數(shù)據(jù)庫。能對MSS和OSS關(guān)鍵系統(tǒng)（應(yīng)用、操作系統(tǒng)和數(shù)據(jù)庫）安全進(jìn)行監(jiān)控和統(tǒng)計(jì)報(bào)告。終端安全管理：實(shí)施對本地網(wǎng)用戶終端的安全管理。容災(zāi)中心建設(shè)：容災(zāi)中心建設(shè)完成，能接受各分公司BSS關(guān)鍵系統(tǒng)的容災(zāi)和數(shù)據(jù)備份。第三階段：完善MBOSS安全體系通過MBOSS安全體系的完善，要求達(dá)到以下目標(biāo)：繼續(xù)第二階段的工作，完善MBOSS的安全管理體系。集中訪問認(rèn)證平臺：實(shí)施對非B/S架構(gòu)系統(tǒng)的訪問認(rèn)證容災(zāi)中心擴(kuò)充：對容災(zāi)中心的容量逐步擴(kuò)充，使之所保護(hù)的對應(yīng)的省公司關(guān)鍵業(yè)務(wù)系統(tǒng)，可容納MSS、BSS、OSS關(guān)鍵系統(tǒng)的備份和容災(zāi)。CTG－MBOSS安全架構(gòu)的部署建議安全服務(wù)平臺將部署在集團(tuán)、省公司和本地網(wǎng)三個層次。集團(tuán)和省公司的部署基本上是相同的，本地網(wǎng)盡部署少量的模塊。CTG－MBOSS容災(zāi)備份CTG-MBOSS容災(zāi)系統(tǒng)是業(yè)務(wù)運(yùn)營支撐系統(tǒng)的有機(jī)組成部分，容災(zāi)備份時CTG－MBOSS安全規(guī)范的一個不可缺省的部分。各省公司要確保MBOSS關(guān)鍵系統(tǒng)的業(yè)務(wù)連續(xù)性。由于容災(zāi)備份中心的建設(shè)費(fèi)用非常髙，中國電信總部將根據(jù)ITSP2.0,統(tǒng)一建設(shè)和部署、建設(shè)6個容災(zāi)中心。安全規(guī)范演進(jìn)風(fēng)險(xiǎn)及應(yīng)對結(jié)合中國電信MBOSS的實(shí)際情況，規(guī)范編寫組認(rèn)為解決方案的推廣實(shí)施可能會存在如下的風(fēng)險(xiǎn)