電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)管理指南

前言 Ⅱ 12規(guī)范性引用文件 13術(shù)語(yǔ)和定義 14目標(biāo)和原則 25安全防護(hù)體系 36安全等級(jí)保護(hù) 47安全風(fēng)險(xiǎn)評(píng)估 58災(zāi)難備份及恢復(fù) 59安全等級(jí)保護(hù)、安全風(fēng)險(xiǎn)評(píng)估、災(zāi)難備份及恢復(fù)三者之間的關(guān)系 7電信網(wǎng)和互聯(lián)網(wǎng)物理環(huán)境安全等級(jí)保護(hù)檢測(cè)要求；32.YD/T1759-2008非核心生產(chǎn)單元安全防護(hù)檢測(cè)要求。電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)管理指南2人為或自然的威脅可能利用電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)存在的脆弱性導(dǎo)致安全事件的發(fā)生及其對(duì)組評(píng)估安全事件一旦發(fā)生，可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和安全措施，防范和化解電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)安全風(fēng)險(xiǎn)，將風(fēng)險(xiǎn)控制在可接受的水平，為最大限度地保障電信網(wǎng)和由于各種原因，造成電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)故障或癱瘓，使電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)支持的為了將電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)從災(zāi)難造成的故障或癱瘓狀態(tài)恢復(fù)到正常運(yùn)行狀態(tài)或部分正常運(yùn)電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)工作的目標(biāo)就是要加強(qiáng)電信網(wǎng)和互聯(lián)網(wǎng)的安全防護(hù)能力，確保網(wǎng)絡(luò)的安全為了實(shí)現(xiàn)該目標(biāo)，網(wǎng)絡(luò)和業(yè)務(wù)運(yùn)營(yíng)商、設(shè)備制造商要充分考慮電信網(wǎng)和互聯(lián)網(wǎng)不同等級(jí)的安全要求，從環(huán)境因素以及人為因素分析電信網(wǎng)和互聯(lián)網(wǎng)面臨的威脅，從技術(shù)和管理兩個(gè)方面分析電信網(wǎng)和互聯(lián)網(wǎng)存在的脆弱性，充分考慮現(xiàn)有安全措施，分析電信網(wǎng)和互聯(lián)網(wǎng)現(xiàn)存風(fēng)險(xiǎn)，平衡效益與成本，制定災(zāi)難備份電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)工作要在適度安全原則的指導(dǎo)下，采用自主保護(hù)和重點(diǎn)保護(hù)方法，在安全防護(hù)工作安排部署過(guò)程中遵循標(biāo)準(zhǔn)性、可控性、完備性、最小影響和保密原則，實(shí)現(xiàn)同步建設(shè)、統(tǒng)籌兼—適度安全原則：安全防護(hù)工作的根本性原則。安全防護(hù)工作應(yīng)根據(jù)電信網(wǎng)和互聯(lián)網(wǎng)的安全等級(jí)，---標(biāo)準(zhǔn)性原則：安全防護(hù)工作開(kāi)展的指導(dǎo)性原則。指電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)工作的開(kāi)展應(yīng)遵循—可控性原則：指電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)工作的可控性，包括以下三個(gè)方面。3 完備性原則：安全防護(hù)工作要覆蓋電信網(wǎng)和互聯(lián)網(wǎng)的安全范圍. 最小影響原則：從項(xiàng)目管理層面和技術(shù)管理層面，將安全防護(hù)工作對(duì)電信網(wǎng)和互聯(lián)網(wǎng)正常運(yùn)行 保密性原則：相關(guān)安全防護(hù)工作人員應(yīng)簽署協(xié)議，承諾對(duì)所進(jìn)行的安全防護(hù)工作保密，確保不電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)范疇包括基礎(chǔ)電信運(yùn)營(yíng)企業(yè)運(yùn)營(yíng)的傳輸、承載各類電信業(yè)務(wù)的公共電信網(wǎng)(含公共互聯(lián)網(wǎng))及其組成部分，支撐和管理公共電信網(wǎng)及電信業(yè)務(wù)的業(yè)務(wù)單元和控制單元以及企業(yè)辦公系統(tǒng)(含文件管理系統(tǒng)、員工郵件系統(tǒng)、決策支持系統(tǒng)、人事管理系統(tǒng)等)、客服呼叫中心、企業(yè)門戶網(wǎng)站等非核心生產(chǎn)單元。此外，電信網(wǎng)絡(luò)安全防護(hù)工作的范圍還包括經(jīng)營(yíng)性互聯(lián)網(wǎng)信息服務(wù)單位、移動(dòng)信息服務(wù)單位、互聯(lián)網(wǎng)接入服務(wù)單位、互聯(lián)網(wǎng)數(shù)據(jù)中心、互聯(lián)網(wǎng)域名服務(wù)機(jī)構(gòu)等單位運(yùn)營(yíng)的網(wǎng)絡(luò)或信第二層從宏觀的角度明確了如何進(jìn)行安全防護(hù)工作，規(guī)范了安全防護(hù)體系中安全等級(jí)保護(hù)、安全風(fēng)根據(jù)電信網(wǎng)和互聯(lián)網(wǎng)全程全網(wǎng)的特點(diǎn)，電信網(wǎng)和互聯(lián)網(wǎng)的安全防護(hù)工作可從固定通信網(wǎng)、移動(dòng)通信網(wǎng)、互聯(lián)網(wǎng)、增值業(yè)務(wù)網(wǎng)、非核心生產(chǎn)單元來(lái)開(kāi)展。其中，互聯(lián)網(wǎng)包括經(jīng)營(yíng)性互聯(lián)網(wǎng)信息服務(wù)單位、互聯(lián)網(wǎng)接入服務(wù)單位、互聯(lián)網(wǎng)數(shù)據(jù)中心、互聯(lián)網(wǎng)域名服務(wù)機(jī)構(gòu)等單位運(yùn)營(yíng)的網(wǎng)絡(luò)或信息系統(tǒng)。增值業(yè)務(wù)網(wǎng)對(duì)固定通信網(wǎng)、移動(dòng)通信網(wǎng)、互聯(lián)網(wǎng)實(shí)施安全防護(hù)，應(yīng)分別從構(gòu)成上述網(wǎng)絡(luò)的不同電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)要求明確了電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)需要落實(shí)的安全管理和技術(shù)措施，涵蓋了安全等級(jí)保護(hù)、安全風(fēng)險(xiǎn)評(píng)估、災(zāi)難備份及恢復(fù)等三部分內(nèi)容，其中安全等級(jí)保護(hù)工作需要落實(shí)的物理環(huán)境和管隨著電信網(wǎng)和互聯(lián)網(wǎng)的發(fā)展，隨著安全防護(hù)體系的進(jìn)一安全防護(hù)要求固定通信網(wǎng)固定通信網(wǎng)安全防護(hù)拉測(cè)要求非核心生產(chǎn)單元智能游增值業(yè)務(wù)用消息網(wǎng)非核心生產(chǎn)單元智能用增值業(yè)務(wù)網(wǎng)消息網(wǎng)互聯(lián)網(wǎng)移動(dòng)通信網(wǎng)移動(dòng)通信網(wǎng)互聯(lián)網(wǎng)圖1電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)體系電信網(wǎng)和互聯(lián)網(wǎng)安全等級(jí)保護(hù)工作貫穿于電信網(wǎng)和互聯(lián)網(wǎng)生命周期的各個(gè)階段，是一個(gè)不斷循環(huán)和不斷提高的過(guò)程。首先，根據(jù)電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)受到破壞后，對(duì)國(guó)家安全、社會(huì)秩序、經(jīng)濟(jì)運(yùn)行、公共利益、網(wǎng)絡(luò)和業(yè)務(wù)運(yùn)營(yíng)商造成的損害程度來(lái)確定安全等級(jí)。通過(guò)進(jìn)一步分析電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)的安全保護(hù)現(xiàn)狀與安全等級(jí)保護(hù)要求之間的差距，確定安全需求，設(shè)計(jì)合理的、滿足安全等級(jí)保護(hù)要求的總體安全方案，制定出安全建設(shè)規(guī)劃。并進(jìn)一步將其落實(shí)到電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)中，形成安全技術(shù)和管理體系。在電信網(wǎng)和互聯(lián)網(wǎng)安全運(yùn)維階段，根據(jù)安全等級(jí)保護(hù)的需要對(duì)安全技術(shù)和管理體系不斷調(diào)整和持續(xù)改進(jìn)，確保電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)滿足相應(yīng)等級(jí)的安全要求；在安全資產(chǎn)終止階段對(duì)信息、設(shè)備、介質(zhì)進(jìn)行終止處理時(shí)，防止敏感信息的泄露，保障電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)的5圖2安全等級(jí)保護(hù)實(shí)施的基本過(guò)程電信網(wǎng)和互聯(lián)網(wǎng)安全風(fēng)險(xiǎn)評(píng)估應(yīng)貫穿于電信網(wǎng)和互聯(lián)網(wǎng)生命周期的各階段中，在生命周期不同階段的風(fēng)險(xiǎn)評(píng)估原則和方法是一致的。在電信網(wǎng)和互聯(lián)網(wǎng)的安全風(fēng)險(xiǎn)評(píng)估工作中，應(yīng)首先進(jìn)行相關(guān)工作的準(zhǔn)安全風(fēng)險(xiǎn)分析中要涉及資產(chǎn)、威脅、脆弱性等基本要素，每個(gè)要素有各自的屬性。資產(chǎn)的屬性是資產(chǎn)價(jià)值；威脅的屬性可以是威脅主體、影響對(duì)象、出現(xiàn)頻率、動(dòng)機(jī)等；脆弱性的屬性是資產(chǎn)弱點(diǎn)的嚴(yán)重程度成脅出現(xiàn)威脅識(shí)別存在的脆胞羽性重程度損失的頻率圖3安全風(fēng)險(xiǎn)評(píng)估實(shí)施的基本過(guò)程電信網(wǎng)和互聯(lián)網(wǎng)災(zāi)難備份及恢復(fù)工作利用技術(shù)、管理手段以及相關(guān)資源，確保已有的電信網(wǎng)和互聯(lián)網(wǎng)在災(zāi)難發(fā)生后，在確定的時(shí)間內(nèi)可以恢復(fù)和繼續(xù)運(yùn)行。災(zāi)難備份及恢復(fù)工作需要防范包括地震、水災(zāi)等自然災(zāi)難以及火災(zāi)、戰(zhàn)爭(zhēng)、恐怖襲擊、網(wǎng)絡(luò)攻擊、設(shè)備系統(tǒng)故障、人為破壞等無(wú)法預(yù)料的突發(fā)事件。需求分析，制定、實(shí)現(xiàn)相應(yīng)的災(zāi)難備份及恢復(fù)策略，并保證在災(zāi)難發(fā)生后單一地區(qū)的災(zāi)難不影響災(zāi)難發(fā)生地理范圍以外地區(qū)的語(yǔ)音業(yè)務(wù)，并且發(fā)生災(zāi)難的地區(qū)的語(yǔ)音業(yè)務(wù)能夠通過(guò)有效災(zāi)難恢復(fù)計(jì)劃的實(shí)施，在一定時(shí)間范圍(指標(biāo)應(yīng)與災(zāi)難級(jí)別對(duì)應(yīng))內(nèi)恢復(fù)通信。6災(zāi)難備份及恢復(fù)需求分析災(zāi)難備份及恢復(fù)策略制定災(zāi)難備份及恢復(fù)策略實(shí)現(xiàn)9安全等級(jí)保護(hù)、安全風(fēng)險(xiǎn)評(píng)估、災(zāi)難備份及恢復(fù)三者之間的關(guān)系電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)體系中的安全等級(jí)保護(hù)、安全風(fēng)險(xiǎn)評(píng)估、災(zāi)難備份及恢復(fù)三者之間密切相關(guān)、互相滲透、互為補(bǔ)充。電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)應(yīng)將安全等級(jí)保護(hù)、安全風(fēng)險(xiǎn)評(píng)估、災(zāi)難備份及恢復(fù)工作有機(jī)結(jié)合，加強(qiáng)相關(guān)工作之間的整合和銜接，保證電信網(wǎng)絡(luò)安全防護(hù)工作的整體性、統(tǒng)一性和協(xié)調(diào)性。電信網(wǎng)絡(luò)安全防護(hù)工作應(yīng)按照根據(jù)被保護(hù)對(duì)象的重要性進(jìn)行分等級(jí)保護(hù)的思想，通過(guò)安全風(fēng)險(xiǎn)評(píng)估的方法正確認(rèn)識(shí)被保護(hù)對(duì)象存在的脆弱性和面臨的威脅，進(jìn)而制定、落實(shí)和改進(jìn)與安全保護(hù)等級(jí)和風(fēng)險(xiǎn)大小相適應(yīng)的一系列管理、技術(shù)、災(zāi)難備份等安全等級(jí)保護(hù)措施，最終達(dá)到提高電信網(wǎng)絡(luò)安全保護(hù)能在開(kāi)展安全等級(jí)保護(hù)工作時(shí)，要充分應(yīng)用安全風(fēng)險(xiǎn)評(píng)估的方法，認(rèn)識(shí)、分析不同類型的網(wǎng)絡(luò)和業(yè)務(wù)存在的脆弱性和面臨的威脅，進(jìn)而制定和落實(shí)與被保護(hù)對(duì)象的類型、脆弱性和威脅相適應(yīng)的基本安全保護(hù)措施要求，提高安全等級(jí)保護(hù)工作的針對(duì)性和適用性。在開(kāi)展安全風(fēng)險(xiǎn)評(píng)估工作時(shí)，在分析被保護(hù)對(duì)象綜合風(fēng)險(xiǎn)和制定改進(jìn)方案的過(guò)程中，要始終與被保護(hù)對(duì)象的安全保護(hù)等級(jí)相結(jié)合，合理確定被評(píng)