信息系統(tǒng)安全設計方案

16六月2023信息系統(tǒng)安全設計方案信息系統(tǒng)安全設計方案全文共93頁，當前為第1頁。日程安排課題背景介紹企業(yè)信息化系統(tǒng)信息安全體系安全加固方案及實施計劃防病毒安全規(guī)范數(shù)據(jù)庫安全規(guī)范防火墻安全規(guī)范企業(yè)信息化系統(tǒng)安全域規(guī)范問答2信息系統(tǒng)安全設計方案全文共93頁，當前為第2頁。課題背景介紹信息系統(tǒng)安全設計方案全文共93頁，當前為第3頁。研究內容中國移動集團公司信息系統(tǒng)安全加固方案及實施計劃

安全加固方案是整個軟課題的入口，是總部信息辦和各省公司信息辦對其所負責的平臺（統(tǒng)一信息平臺、OA等）的安全指南。安全規(guī)范

與具體平臺無關的指導性的安全要求，作為各個平臺安全操作手冊制定時的安全依據(jù)。安全域劃分防病毒系統(tǒng)管理與配置網(wǎng)絡設備安全數(shù)據(jù)庫安全規(guī)范防火墻安全規(guī)范中國移動安全操作過程手冊（安全配置手冊）

根據(jù)信息系統(tǒng)安全操作規(guī)范，結合中國移動具體網(wǎng)絡及應用環(huán)境和設備，在現(xiàn)有安全策略和規(guī)范中的相關部分上進行深化和細化，詳細制定每個具體設備具體流程的操作規(guī)范，形成具有很強操作性的安全操作過程手冊。操作系統(tǒng)安全配置手冊(SUNSOLARIS/IBMAIX/HPUX/WIN2000)數(shù)據(jù)庫安全配置手冊（Oracle/DB2/SqlServer/Domino/Exchange）門戶系統(tǒng)安全配置手冊(WebSpherePortal/BEAWebLogic/SunOnePortal/OracleASPortal/MSSharePoint)網(wǎng)絡安全配置手冊（DNS,FTP,防病毒，VPN，防火墻，交換機，路由器）4信息系統(tǒng)安全設計方案全文共93頁，當前為第4頁。研究成果（1）本軟課題，共有31個提交件《中國移動企業(yè)信息化系統(tǒng)安全加固方案及實施計劃》規(guī)范（與具體產品平臺無關）《中國移動企業(yè)信息化系統(tǒng)安全域規(guī)范》《中國移動防病毒安全規(guī)范》《中國移動網(wǎng)絡設備安全規(guī)范》《中國移動防火墻安全規(guī)范》《中國移動數(shù)據(jù)庫安全規(guī)范》產品操作手冊（見下頁）5信息系統(tǒng)安全設計方案全文共93頁，當前為第5頁。研究成果（2）通用應用系統(tǒng)《中國移動WEB服務器安全配置手冊》

（包括通用，IIS,Apache)《中國移動DNS服務器安全配置手冊》

（包括通用，windowsDNS,UnixBind)《中國移動FTP服務器安全配置手冊》

（包括通用，IIS,WU-ftp)《中國移動電子郵件安全配置手冊》

（包括通用，Domino,Exchange)操作系統(tǒng)《中國移動操作系統(tǒng)安全配置手冊》

（包括通用，Solaris,win2000,HPUX,AIX)數(shù)據(jù)庫《中國移動Oracle安全配置手冊》《中國移動DB2安全配置手冊》《中國移動Domino安全配置手冊》《中國移動SQLServer安全配置手冊》門戶《中國移動WebspherePortal安全配置手冊》《中國移動BEAWeblogic安全配置手冊》《中國移動SUNOnePortal安全配置手冊》《中國移動OracleASPortal安全配置手冊》《中國移動MSSharepoint安全配置手冊》VPN《中國移動CheckPointVPN安全配置手冊》《中國移動NortelVPN安全配置手冊》《中國移動IBMVPN安全配置手冊》路由器，交換機《中國移動華為路由器交換機安全配置手冊》《中國移動CISCO路由器交換機安全配置手冊》防火墻《中國移動CISCOPIX防火墻安全配置手冊》《中國移動Netscreen防火墻安全配置手冊》《中國移動CheckPoint防火墻安全配置手冊》防病毒《中國移動Symantec防病毒安全配置手冊》《中國移動趨勢防病毒安全配置手冊》《中國移動瑞星防病毒安全配置手冊》6信息系統(tǒng)安全設計方案全文共93頁，當前為第6頁。研究方式本課題的研究方式分為兩類《安全加固方案和實施計劃》以及與平臺無關的5個安全規(guī)范IBM負責編寫中國移動提供相關信息，并負責審查和提供修改建議25個與平臺相關的安全操作手冊中國移動負責編寫IBM提供模板，并負責審核和提供修改建議IBM負責手冊中通用部分的撰寫IBM負責文檔的整合感謝相關各省移動對本課題的大力支持。7信息系統(tǒng)安全設計方案全文共93頁，當前為第7頁。企業(yè)信息化系統(tǒng)信息安全體系信息系統(tǒng)安全設計方案全文共93頁，當前為第8頁。中國移動企業(yè)信息化系統(tǒng)安全體系9信息系統(tǒng)安全設計方案全文共93頁，當前為第9頁。企業(yè)信息化系統(tǒng)安全體系的三層結構10信息系統(tǒng)安全設計方案全文共93頁，當前為第10頁。第一層：安全策略

第二層：安全規(guī)范和標準安全策略安全規(guī)范和標準11信息系統(tǒng)安全設計方案全文共93頁，當前為第11頁。安全操作手冊、流程、細則第三層：安全操作手冊、流程、細則12信息系統(tǒng)安全設計方案全文共93頁，當前為第12頁。信息化系統(tǒng)

安全加固方案及實施計劃信息系統(tǒng)安全設計方案全文共93頁，當前為第13頁。加固方案和實施計劃分為三個部分安全管理層面：第一部分安全體系完善計劃

針對信息化安全體系的整體架構，分析目前在策略、規(guī)范、標準方面缺失的部分，制定標準體系規(guī)范完善計劃第二部分安全體系部署/實施計劃

給出各省市部署和實施該安全體系的建議，該部分是指導性的，概括性的，各省公司應該根據(jù)此加固方案和實施計劃制定自己的詳細的、切實可行的實施計劃。安全技術層面：第三部分總部安全技術體系加固方案和建設計劃

根據(jù)集團總部信息化系統(tǒng)目前所采用的安全技術現(xiàn)狀，結合安全體系的具體要求，制定安全技術體系建設計劃。14信息系統(tǒng)安全設計方案全文共93頁，當前為第14頁。安全體系完善計劃(1)通過分析中國移動企業(yè)信息化系統(tǒng)安全體系結構，發(fā)現(xiàn)目前在第二層規(guī)范/標準這一層的第二個子層具體規(guī)范這一層的建設還比較缺乏。下圖所列的規(guī)范，除了紅色部分外，其它規(guī)范還不存在。雖然在規(guī)范總則中對這些規(guī)范進行了簡單的說明，但是還不夠全面和深入，對于實際操作還是缺乏明確的依據(jù)。針對以上分析，建議信息化辦公室在下一階段將體系建設的重點放在安全規(guī)范建設上，逐步完善體系中所提到的安全規(guī)范。15信息系統(tǒng)安全設計方案全文共93頁，當前為第15頁。安全體系完善計劃（2）在待建設規(guī)范中，有些規(guī)范之間是存在一定的關聯(lián)的，我們建議在建設時能夠同時予以考慮和建設。風險管理規(guī)范和信息資產管理規(guī)范數(shù)據(jù)備份和恢復和介質安全管理規(guī)范和業(yè)務連續(xù)性計劃規(guī)范系統(tǒng)安全自測規(guī)范和安全許可證制度和內部安全審計規(guī)范人力資源安全管理和個人安全守則和用戶管理規(guī)范和遠程訪問安全規(guī)范安全事件檢測和響應規(guī)范和系統(tǒng)日志規(guī)范其它的規(guī)范可以酌情和以上規(guī)范整合在一起考慮。系統(tǒng)生命周期安全管理安全加密文檔管理規(guī)范補丁管理規(guī)范物理安全規(guī)范16信息系統(tǒng)安全設計方案全文共93頁，當前為第16頁。安全體系完善計劃（3）針對待建的19個安全規(guī)范，針對每個具體的規(guī)范定義了該規(guī)范建設的目標以及該規(guī)范中應該包含的內容概要例如：信息資產管理規(guī)范目標對于企業(yè)信息化系統(tǒng)安全管理來說，如果沒有一份完整的能夠說明我們所擁有的信息資產情況的清單，就沒有辦法評估資產的價值、應該采取的保護措施、應該投入的資源情況等，也就無法開展有意義的企業(yè)信息化系統(tǒng)安全工作。所以，中國移動要求所有部門/分公司必須維護一份完整、詳細的企業(yè)信息化系統(tǒng)資產清單，以便于跟蹤企業(yè)信息化系統(tǒng)安全狀態(tài)。內容定義信息資產分類標準定義信息分級保護標準設計信息資產識別方法定義識別和登記信息資產的流程定義信息資產登記表模版定義信息資產清單維護方法17信息系統(tǒng)安全設計方案全文共93頁，當前為第17頁。安全體系部署/實施計劃（1）

信息安全體系建設的生命周期18信息系統(tǒng)安全設計方案全文共93頁，當前為第18頁。安全體系部署/實施計劃（2）

企業(yè)信息化系統(tǒng)安全建設步驟如下圖所示，建議企業(yè)信息化系統(tǒng)安全建設分為以下三個步驟，首先是在集團公司一級進行總體體系部署的規(guī)劃，然后進行試點，試點成功后進行推廣。而在每一個步驟中的建設都應遵守安全體系建設的PDCA模型，確保中國移動的安全體系能夠不斷地自我發(fā)展，循環(huán)上升。總部信息化辦公室試點省公司3省公司4省公司1其它省公司推廣省公司2項目2項目1項目3項目319信息系統(tǒng)安全設計方案全文共93頁，當前為第19頁。總部安全技術體系加固方案和建設計劃

主要安全產品和技術分類20信息系統(tǒng)安全設計方案全文共93頁，當前為第20頁?？偛堪踩夹g體系加固方案和建設計劃

總部信息化系統(tǒng)安全體系改進建議21信息系統(tǒng)安全設計方案全文共93頁，當前為第21頁。安全總控中心集中地檢測、分析、關連、報告、處理安全入侵和違規(guī)事件集中存儲安全事件數(shù)據(jù)和風險信息增加整個組織信息安全管理的效率及經(jīng)濟性支持企業(yè)信息安全決策機制及風險評估為企業(yè)信息安全管理量化提供必要基礎設施入侵檢測機制安全事件管理安全指導中心安全風險評估安全弱點掃描病毒防護處理安全總控中心(SOC)病毒入侵防火墻／防病毒網(wǎng)關管理拒絕服務攻擊入侵檢測非法系統(tǒng)訪問系統(tǒng)管理應用安全弱點應用管理風險管理平臺安全事件關聯(lián)機制安全事件響應機制22信息系統(tǒng)安全設計方案全文共93頁，當前為第22頁。網(wǎng)絡安全審計系統(tǒng)網(wǎng)絡安全審計系統(tǒng)主要用于監(jiān)視并記錄網(wǎng)絡中的各類操作，實時地綜合分析網(wǎng)絡和系統(tǒng)中發(fā)生的安全事件，包括各種外部事件(如外部入侵行為)和內部事件(如內部人員的文件拷貝、信息獲取、信息發(fā)布、資源變遷等)，并根據(jù)設置的安全規(guī)則，智能地判斷出違規(guī)行為，并對違規(guī)行為進行記錄、報警和阻斷。主要功能對網(wǎng)絡中典型的應用如TELNET、HTTP、FTP、SMTP、POP3等進行全面審計，提供詳細信息。按照需要，跟蹤并記錄指定客戶的網(wǎng)絡操作，真實地再現(xiàn)用戶操作的過程，還原該操作。也可以還原電子郵件、網(wǎng)頁訪問操作等。網(wǎng)絡數(shù)據(jù)流量監(jiān)測功能，包括實時流量監(jiān)測和歷史流量記錄，用戶可以使用該功能發(fā)現(xiàn)一些網(wǎng)絡異常現(xiàn)象，尤其是當網(wǎng)絡中有拒絕服務攻擊（DoS）行為時可以及時發(fā)現(xiàn)并采取措施。流量監(jiān)測功能可以自動定時記錄用戶所指定的主機和端口的流量。通過查詢所記錄的主機和端口的歷史流量，系統(tǒng)可以繪制流量曲線圖，生成統(tǒng)計報表。……23信息系統(tǒng)安全設計方案全文共93頁，當前為第23頁。主機入侵檢測系統(tǒng)在目前的中國移動網(wǎng)絡結構中使用了實時監(jiān)視系統(tǒng)，在InternalZone,AdminZone,和InterconnectionZone部署了ISS入侵檢測軟件。由于內部網(wǎng)采用的各種操作系統(tǒng)可能會帶來安全問題，如運行各種UNIX的操作系統(tǒng)。包括操作系統(tǒng)本身的配置不安全和可能駐留在操作系統(tǒng)內部的黑客程序等帶來的威脅。因此，可建立主機IDS以進一步防止黑客的威脅。24信息系統(tǒng)安全設計方案全文共93頁，當前為第24頁。安全掃描、安全政策檢查安全是需要隨時注意及改善的，故系統(tǒng)管理人員需隨時了解網(wǎng)絡和系統(tǒng)安全狀況，因此中國移動需要一套系統(tǒng)弱點掃描的工具，能夠協(xié)助系統(tǒng)管理人員找出重要服務器上可能具有的安全漏洞，以便及早修補。網(wǎng)絡漏洞掃描系統(tǒng)數(shù)據(jù)庫風險評估和安全政策審計系統(tǒng)系統(tǒng)風險評估和安全政策審計系統(tǒng)25信息系統(tǒng)安全設計方案全文共93頁，當前為第25頁。業(yè)務連續(xù)性計劃/災難恢復計劃現(xiàn)在社會中，業(yè)務的連續(xù)性對一個企業(yè)越來越重要，在企業(yè)中已不是IT一個部門的問題，而是整個企業(yè)生死相關的問題。通過對實際情況(包括核心業(yè)務，業(yè)務中斷的損失，可容忍任務中斷的時間)進行分析，建設一套切合實際的，投資合理的，內容可靠的業(yè)務連續(xù)性及容災備份方案。如右圖所示，容災備援方案包括一個相互關連的流程，具體包括風險管理、業(yè)務沖擊分析、恢復能力分析、容災策略制定、容災技術方案的制定和實施、企業(yè)業(yè)務連續(xù)性計劃的制定和企業(yè)容災方案的管理。26信息系統(tǒng)安全設計方案全文共93頁，當前為第26頁。網(wǎng)絡安全體系建設根據(jù)業(yè)務上或管理上以及《企業(yè)信息化安全域規(guī)范》的各種安全相關需求，對現(xiàn)有的網(wǎng)絡系統(tǒng)通過各種網(wǎng)絡安全防范的技術手段和管理規(guī)范進行一系列的安全改造，從而將網(wǎng)絡上存在的安全風險和安全隱患降至最低。本項目的范圍包括了所有與網(wǎng)絡系統(tǒng)相關的運作安全考慮。包括了內部局域網(wǎng)安全建設和改造和第三方合作伙伴的網(wǎng)絡連接安全建設和改造Internet連接安全規(guī)范用戶遠程網(wǎng)絡接入連接相關的安全方面的考慮27信息系統(tǒng)安全設計方案全文共93頁，當前為第27頁。各信息系統(tǒng)的統(tǒng)一單點登錄統(tǒng)一認證和授權系統(tǒng)由以下四個部分組成：目錄服務：存儲多種不同來源的用戶/資源信息。包括：存儲子模塊：即目錄服務模塊同步子模塊：即元目錄，或動態(tài)用戶管理（UserProvisioning）模塊身份管理：管理用戶身份信息，并提供自動工作流程和自服務、分權管理功能。認證管理：認證方式可以分為以下四類：所知（Somethingyouknow） 所持（Somethingyouhave）所具有（Somethingyouare）和所為（Somethingyoudo）訪問管理：進行訪問規(guī)則定義，并進行訪問規(guī)則的中心控制，實現(xiàn)SSO。28信息系統(tǒng)安全設計方案全文共93頁，當前為第28頁。個人及桌面安全管理通過對用戶桌面電腦使用的操作系統(tǒng)和其他相關安全系統(tǒng)平臺進行安全定制，對員工使用的桌面系統(tǒng)進行統(tǒng)一，并對用戶日常使用過程中應當注意的安全問題加以明確的規(guī)定，從而確保了對桌面系統(tǒng)的安全管理。該項目的范圍包括統(tǒng)一主流的桌面操作系統(tǒng)平臺和其他相關安全系統(tǒng)平臺、定制其安全策略統(tǒng)一制定用戶桌面系統(tǒng)使用安全操作手冊建立桌面電腦補丁的自動分發(fā)機制29信息系統(tǒng)安全設計方案全文共93頁，當前為第29頁。員工安全意識普及教育安全意識培養(yǎng)機制目的Why?確保所有員工都理解企業(yè)所面臨的風險，What?確保所有員工都了解企業(yè)的安全要求How?確保所有員工都具有相應的技能遵守安全要求在通常情況下，絕大多數(shù)員工當他們知道了什么是正確的，以及為什么是正確的之后，都會自覺地遵守。通過提升員工安全意識，可以及時發(fā)現(xiàn)，避免安全事件的發(fā)生，降低安全事件的影響，從而節(jié)約了信息安全成本。中國移動需要一套系統(tǒng)的、有針對性的、層次分明的教育計劃來實現(xiàn)我們的目標。通過教育，讓所有的人了解自己在企業(yè)信息化系統(tǒng)安全中的角色(role)、責任(responsibility)和義務(liability)，以及如何正確、安全地使用企業(yè)信息化系統(tǒng)。30信息系統(tǒng)安全設計方案全文共93頁，當前為第30頁。信息安全風險評估信息安全風險評估項目的目標了解支撐中國移動關鍵業(yè)務運作的信息系統(tǒng)的安全狀況評估核心信息資產所面臨的風險發(fā)現(xiàn)信息安全實踐中的薄弱環(huán)節(jié)和改進機會明確信息系統(tǒng)的安全需求提出信息安全控制措施改進方案。信息安全風險評估項目的主要收益包括明確核心信息資產面臨的主要風險平衡信息安全風險和投入培養(yǎng)信息安全風險評估隊伍31信息系統(tǒng)安全設計方案全文共93頁，當前為第31頁。防病毒安全規(guī)范信息系統(tǒng)安全設計方案全文共93頁，當前為第32頁。病毒發(fā)展趨勢與企業(yè)的病毒威脅分析病毒發(fā)展趨勢病毒技術與系統(tǒng)攻擊技術的結合（蠕蟲病毒、木馬/黑客病毒）混合型病毒傳播方式多變（蠕蟲病毒）電子郵件病毒感染（腳本病毒、蠕蟲病毒、木馬病毒）新病毒爆發(fā)時間短危害大（蠕蟲病毒、木馬病毒、腳本病毒等）企業(yè)的病毒威脅分析惡意破壞桌面終端、服務器系統(tǒng)、網(wǎng)絡系統(tǒng)性能降低、功能失效；破壞系統(tǒng)和數(shù)據(jù)，造成系統(tǒng)崩潰，網(wǎng)絡阻塞盜竊桌面終端和服務器系統(tǒng)中的機密信息帳戶密碼、信用卡資料、機密文件文檔服務器、郵件服務器成為病毒跳板網(wǎng)絡接口成為重要的病毒入侵途徑Web,FTP,SMTP防病毒管理面臨壓力職責不明確、管理規(guī)范不完善、用戶防病毒意識不高33信息系統(tǒng)安全設計方案全文共93頁，當前為第33頁。企業(yè)防病毒安全對策企業(yè)防病毒架構體系建設覆蓋全面、多層次。涵蓋集團公司、各省/直轄市、各地市覆蓋桌面終端、服務器、郵件系統(tǒng)、網(wǎng)關防毒及時及時更新病毒碼、病毒引擎統(tǒng)一管理以集團公司、各省或直轄市為單位，由信息化責任部門設立集團公司、省或直轄市內統(tǒng)一的防病毒管理中心統(tǒng)一防病毒策略制定、統(tǒng)一防病毒工作監(jiān)控企業(yè)防病毒管理機制加強防病毒管理策略防病毒管理職責定義防病毒管理方法和機制34信息系統(tǒng)安全設計方案全文共93頁，當前為第34頁。集團公司防病毒架構第一層：集中管理層。集團總部的統(tǒng)一防病毒管理中心統(tǒng)一管理集團總部的防病毒事務，負責集團總部防病毒架構的工作策略配置的制定和分發(fā)。部署防病毒服務器，負責對各個部門的桌面工作站或文檔服務器的防病毒控制。第二層：各部門的終端層。分布于集團總部內網(wǎng)的各個節(jié)點，數(shù)量眾多，通過防病毒軟件進行病毒監(jiān)視和防護。邊界層：網(wǎng)關防病毒。這個層次分布于集團網(wǎng)絡出入接口，在這些外部網(wǎng)絡接入點部署郵件防病毒過濾服務器、Web防病毒過濾服務器、FTP防病毒過濾服務器。這些邊界防病毒過濾服務器接受集團總部防病毒管理中心的統(tǒng)一管理。35信息系統(tǒng)安全設計方案全文共93頁，當前為第35頁。省/直轄市防病毒架構第一層：集中管理層。成立統(tǒng)一防病毒管理中心。這個層次通過中央控制臺統(tǒng)一管理企業(yè)的防病毒事務，負責省防病毒架構的工作策略配置的制定和分發(fā)。第二層：分布層。部署二層防病毒服務器。這個層次具有多個分布在不同地市部門的防病毒服務器，負責局域網(wǎng)內桌面工作站或者文檔服務器的防病毒控制。防病毒服務器接受第一層的防病毒管理中心的統(tǒng)一管理控制。第三層：終端層。這個層次分布于網(wǎng)絡的各個節(jié)點，數(shù)量眾多，通過防病毒軟件進行病毒監(jiān)視和防護。桌面工作站和文檔服務器接受二層防病毒服務器的直接管理。邊界層：網(wǎng)關防病毒。這個層次分布于網(wǎng)絡出入接口，在這些外部網(wǎng)絡接入點部署郵件防病毒過濾服務器、Web防病毒過濾服務器、FTP防病毒過濾服務器。這些邊界防病毒過濾服務器接受省/直轄市中心的統(tǒng)一管理。36信息系統(tǒng)安全設計方案全文共93頁，當前為第36頁。防病毒工具功能要求中心防病毒控制臺與管理服務器實現(xiàn)統(tǒng)一集中的管理，如防病毒軟件的安裝、維護、病毒定義碼和掃描引擎的更新升級、網(wǎng)絡防病毒策略的配置、報警的集中管理、定時調度、隔離、實時掃描和監(jiān)控等。支持跨越廣域網(wǎng)管理、分級管理、和分組管理。防病毒客戶端防病毒客戶端提供集成化的安全功能，將客戶端病毒防護、防火墻、入侵檢測集成于一體。防病毒功能方面支持文件系統(tǒng)實時防護、病毒掃描、軟件更新、集中管理控制。郵件防病毒（集成于郵件服務器的防病毒工具，郵件防病毒網(wǎng)關）病毒掃描與過濾，對郵件中的病毒文件掃描和過濾，保持病毒碼和掃描引擎的更新，支持對多種壓縮格式的文件進行解壓掃描。內容過濾，采用預定義的字詞列表，檢查主題、內容和附件等方法內容過濾阻擋垃圾郵件；使用黑名單、白名單等工具管理郵件的收發(fā)。Web與FTP防病毒網(wǎng)關防病毒網(wǎng)關支持HTTP，HTTPS，F(xiàn)TP等協(xié)議，對所有通過防火墻的HTTP通信和FTP通信進行病毒檢測掃描從而保護您的網(wǎng)絡免受病毒攻擊；也能夠使用內容過濾方法（類別列表和數(shù)據(jù)字典）提供有效的Web內容過濾。37信息系統(tǒng)安全設計方案全文共93頁，當前為第37頁。防病毒運維組織架構省/直轄市公司建立防病毒管理中心主要負責防病毒系統(tǒng)的整體規(guī)劃、落實防病毒系統(tǒng)的具體制度、落實防病毒管理員的工作職責等工作。省/直轄市公司、各地市公司可以參照運維組織架構設立相應的防病毒機構。省/直轄市公司、各地市公司要設立防病毒日常維護小組負責防病毒系統(tǒng)的日常維護。省/直轄市公司日常維護小組的成員必須是專職的，地市公司原則上也要有專職的防病毒日常維護人員，也可以根據(jù)網(wǎng)絡及防病毒系統(tǒng)實際狀況由系統(tǒng)管理員兼職。系統(tǒng)管理員也作為網(wǎng)絡防病毒日常維護的一部分，與防病毒日常維護小組相互協(xié)調工作。防病毒應急響應小組由省/直轄市公司防病毒日常維護人員和安全服務提供商以及防病毒廠商技術人員組成，組成人員可以兼職。省/直轄市公司應急響應系統(tǒng)主要負責解決由于病毒造成網(wǎng)絡阻塞等重大問題和事件。38信息系統(tǒng)安全設計方案全文共93頁，當前為第38頁。防病毒管理策略要點這些防病毒策略要求用于指導建立可靠有效的防病毒機制，指引安全管理組織和病毒處理小組才能夠有效地減輕病毒的對公司的潛在威脅。信息資產分類與控制信息資產負責人的防病毒責任信息資產分類防病毒控制人員安全防病毒安全培訓安全時間和故障響應系統(tǒng)維護管理落實防病毒管理流程：文檔維護、工具變更、緊急時間響應等防止惡意軟件：病毒掃描和文件數(shù)據(jù)交換控制遠程辦公移動電腦遵守防病毒法律規(guī)定39信息系統(tǒng)安全設計方案全文共93頁，當前為第39頁。防病毒管理職責定義集團公司防病毒管理職能集團公司在防病毒架構體系建設中起到規(guī)范標準化、建設指導和監(jiān)督者的作用。制定中移動統(tǒng)一的防病毒架構體系建設規(guī)范，為各省/直轄市的防病毒架構建設和改進提供了規(guī)范性的指導建議；制定中移動防病毒的管理制度和管理機制規(guī)范，指導和規(guī)范各省/直轄市的防病毒管理工作；監(jiān)督各省/直轄市的防病毒工作，定期以安全審計檢查的方式監(jiān)督下屬公司工作是否到位。省/直轄市公司防病毒管理職能制定防病毒有關具體管理制度和操作規(guī)程細則；部署病毒防護策略和病毒解決方案；協(xié)調和分配各地分公司防病毒任務和職責權限；發(fā)布計算機病毒疫情，以及突發(fā)病毒解決方案；根據(jù)計算機病毒疫情調整防病毒管理策略；貫徹落實省/直轄市公司病毒防護策略和病毒解決方案；定時統(tǒng)計、分析、匯總和上報本公司防病毒檢測情況報告。地市公司防病毒管理職能根據(jù)省/直轄市公司下發(fā)的最新病毒信息和解決辦法處理各種病毒問題；負責管理轄內病毒防治的管理和日常維護；定時統(tǒng)計、分析、匯總和上報本公司防病毒檢測情況報告。日常運維管理職能由集團公司、省/直轄市公司和地方公司防病毒相關部門執(zhí)行和運作。40信息系統(tǒng)安全設計方案全文共93頁，當前為第40頁。防病毒管理機制建設要點防病毒管理機制建設的主要目標是：有效地管理公司內部病毒事件帶來的風險提高公司所有人員對在防病毒管理過程中相關法規(guī)制度的理解與遵守預防病毒潛在的危險，并能夠處理突發(fā)病毒事件，保證業(yè)務運營連續(xù)性防病毒文檔管理管理文檔運行維護文檔防病毒軟件管理安裝軟件管理軟件升級更新管理41信息系統(tǒng)安全設計方案全文共93頁，當前為第41頁。防病毒管理機制建設要點終端計算機用戶防病毒條例建立全網(wǎng)用戶應該遵循以下用戶使用條例：未經(jīng)許可不能卸載防病毒軟件，不能更改配置。如認為防病毒軟件影響正常使用，應及時聯(lián)系管理員進行判斷處理。定時檢查更新狀態(tài)，定時執(zhí)行掃描。注意不要使用未經(jīng)掃描的軟盤啟動。不允許訪問含有色情、暴力等不健康內容的網(wǎng)站不隨意從互聯(lián)網(wǎng)上下載軟件、游戲、電影等。不運行任何可疑文件。對于主題名新奇的電子郵件不要隨便打開。病毒突發(fā)事件應急響應機制成員組成管理部門、技術部門的相關人員處理步驟和流程確認方案隔離清楚恢復后續(xù)檢查42信息系統(tǒng)安全設計方案全文共93頁，當前為第42頁。防病毒管理機制建設要點防病毒預警機制新病毒訊息公告與處理疑似病毒信息發(fā)布防病毒意識培訓防病毒知識普及防病毒知識全員普及內容病毒疫情預警安全漏洞公告特定病毒處理通告病毒防治論壇用于計算機用戶在線防病毒技術交流、討論、求助和建議等提供相關預防病毒知識43信息系統(tǒng)安全設計方案全文共93頁，當前為第43頁。數(shù)據(jù)庫安全規(guī)范信息系統(tǒng)安全設計方案全文共93頁，當前為第44頁。數(shù)據(jù)庫安全威脅與對策數(shù)據(jù)庫主要安全威脅數(shù)據(jù)被篡改、竊取用戶身份被偽造、密碼被盜用未經(jīng)授權對表、列、行的存取缺乏有效的跟蹤、監(jiān)控機制數(shù)據(jù)庫安全管理關鍵要點管理細分和委派原則數(shù)據(jù)庫管理員與安全管理員最小權限原則本著"最小權限"原則，從需求和工作職能兩方面嚴格限制對數(shù)據(jù)庫的訪問權帳號安全原則密碼規(guī)則、用戶帳號管理有效的審計用戶行為和數(shù)據(jù)庫活動加強關鍵數(shù)據(jù)庫安全保護 數(shù)據(jù)庫備份恢復、數(shù)據(jù)加密45信息系統(tǒng)安全設計方案全文共93頁，當前為第45頁。數(shù)據(jù)庫基本安全技術安全風險解決方法安全技術未驗證用戶確認用戶身份帳戶認證未授權的數(shù)據(jù)存取限制數(shù)據(jù)存取訪問控制加密存儲數(shù)據(jù)存儲數(shù)據(jù)加密限制權限權限管理網(wǎng)絡數(shù)據(jù)偵聽、竊取保護網(wǎng)絡網(wǎng)絡加密數(shù)據(jù)破壞備份恢復數(shù)據(jù)庫備份賬號密碼脆弱強制密碼安全密碼規(guī)則缺乏跟蹤監(jiān)控用戶的行為安全審計系統(tǒng)入侵加密敏感數(shù)據(jù)存儲數(shù)據(jù)加密技術及時修補安全漏洞安全補丁46信息系統(tǒng)安全設計方案全文共93頁，當前為第46頁。數(shù)據(jù)庫系統(tǒng)的安全防護架構數(shù)據(jù)庫系統(tǒng)的安全除依賴自身內部的安全機制外，還與外部網(wǎng)絡環(huán)境、運行主機環(huán)境等因素息息相關。從廣義上講，數(shù)據(jù)庫系統(tǒng)的安全框架可以劃分為三個層次：1.網(wǎng)絡系統(tǒng)層次；2.操作系統(tǒng)層次；3.數(shù)據(jù)庫管理系統(tǒng)層次。47信息系統(tǒng)安全設計方案全文共93頁，當前為第47頁。網(wǎng)絡系統(tǒng)層次安全防護數(shù)據(jù)庫的安全首先倚賴于網(wǎng)絡系統(tǒng)網(wǎng)絡系統(tǒng)的安全是數(shù)據(jù)庫安全的第一道屏障，外部入侵首先就是從入侵網(wǎng)絡系統(tǒng)開始的針對數(shù)據(jù)庫系統(tǒng)的安全風險，可以采用以下的網(wǎng)絡系統(tǒng)層次安全加固方法：采用防火墻系統(tǒng)對數(shù)據(jù)庫服務器與外部不受信任網(wǎng)絡進行隔離，屏蔽外界對數(shù)據(jù)庫系統(tǒng)的攻擊，如SQL注入、未授權訪問、密碼攻擊等；采用入侵檢測系統(tǒng)對數(shù)據(jù)庫系統(tǒng)的攻擊進行監(jiān)測，發(fā)現(xiàn)并切斷外部點惡意攻擊，如SQL注入、未授權訪問、密碼攻擊等；采用VPN技術對網(wǎng)絡傳輸進行安全加密，保護數(shù)據(jù)庫訪問的安全，能夠有效抵御網(wǎng)絡竊聽的攻擊。48信息系統(tǒng)安全設計方案全文共93頁，當前為第48頁。操作系統(tǒng)層次安全加固數(shù)據(jù)庫系統(tǒng)安裝在主機系統(tǒng)之上，為了有效的保障數(shù)據(jù)庫系統(tǒng)安全，必須對主機系統(tǒng)平臺進行規(guī)范的安全加固。操作系統(tǒng)用戶安全設置用戶組權限設置數(shù)據(jù)庫使用程序的安全性操作系統(tǒng)安全日志設置記錄數(shù)據(jù)庫服務的啟動、關閉等操作，以及主機管理員、數(shù)據(jù)庫服務管理員、和應用開發(fā)人員的行為等關閉非必要的服務和程序禁止不使用的數(shù)據(jù)庫服務、應用服務、協(xié)議修補操作系統(tǒng)和更新包49信息系統(tǒng)安全設計方案全文共93頁，當前為第49頁。數(shù)據(jù)庫管理系統(tǒng)層次安全加固（一）數(shù)據(jù)庫安全策略要點系統(tǒng)安全性策略要點用戶帳戶管理用戶身份確認方式管理操作系統(tǒng)安全要求數(shù)據(jù)庫安全性策略要點根據(jù)具體的業(yè)務應用要求設計數(shù)據(jù)對象訪問、數(shù)據(jù)加密用戶安全性策略要點密碼安全、用戶角色分組、權限管理數(shù)據(jù)庫管理者安全性策略要點特權用戶密碼保護特權用戶使用限制應用程序開發(fā)者安全策略要點應用程序開發(fā)者的權限限制應用程序開發(fā)者角色的使用限制50信息系統(tǒng)安全設計方案全文共93頁，當前為第50頁。數(shù)據(jù)庫管理系統(tǒng)層次安全加固（二）數(shù)據(jù)庫帳戶安全設置要點定義數(shù)據(jù)庫系統(tǒng)訪問帳戶負責人員和業(yè)務用途，刪除無關的或者不再使用的數(shù)據(jù)庫系統(tǒng)訪問人員帳戶；修改數(shù)據(jù)庫管理系統(tǒng)內建帳戶的初始密碼；對數(shù)據(jù)庫帳戶所使用的資源（如CPU等）進行限制。密碼安全設置要點多次注冊失敗帳戶鎖定過舊帳戶鎖定防止密碼重用密碼復雜性設置密碼的傳輸和存儲安全訪問權限安全設置要點檢查帳戶的權限是否與業(yè)務使用的要求相符，避免帳戶獲得超出其業(yè)務工作必須的權限；給予帳戶需要的最少權限，包括系統(tǒng)權限和對象權限；采用存儲過程、和數(shù)據(jù)表視圖的方式來限制用戶進行數(shù)據(jù)存取操作。51信息系統(tǒng)安全設計方案全文共93頁，當前為第51頁。數(shù)據(jù)庫管理系統(tǒng)層次安全加固（三）數(shù)據(jù)庫加密對數(shù)據(jù)庫中存儲的重要數(shù)據(jù)進行加密處理，以實現(xiàn)數(shù)據(jù)存儲的安全保護數(shù)據(jù)庫系統(tǒng)的加密工具包數(shù)據(jù)庫加密系統(tǒng)數(shù)據(jù)庫備份與恢復備份方法導出、脫機備份和聯(lián)機備份備份策略建議恢復方法數(shù)據(jù)文件損壞、控制文件損壞、文件系統(tǒng)損壞、介質恢復日志與審計日志記錄數(shù)據(jù)庫服務、數(shù)據(jù)庫管理員和用戶帳戶的訪問和操作行為審計跟蹤用戶的活動，發(fā)現(xiàn)安全設置的漏洞，分析安全事件語句審計、特權審計、模式對象審計管理員客戶端安全數(shù)據(jù)庫安全補丁52信息系統(tǒng)安全設計方案全文共93頁，當前為第52頁。進一步數(shù)據(jù)庫安全考慮細粒度訪問控制 應用程序安全檢查數(shù)據(jù)庫系統(tǒng)與基于標準的公共密鑰體系PKI集成關鍵數(shù)據(jù)庫系統(tǒng)災難備份53信息系統(tǒng)安全設計方案全文共93頁，當前為第53頁。防火墻安全規(guī)范信息系統(tǒng)安全設計方案全文共93頁，當前為第54頁。防火墻分類

包過濾（PacketFilter）應用層代理（Proxy）電路層代理（CircuitProxy）動態(tài)包過濾（DynamicPacketFilter）全狀態(tài)檢測（StatefulInspection）自適應代理（AdaptiveProxy）深度包檢測（DeepPacketInspection）55信息系統(tǒng)安全設計方案全文共93頁，當前為第55頁。防火墻常用技術NAT雙機熱備橋接、路由內容過濾帶寬管理附加功能：攻擊保護，聯(lián)動功能，入侵檢測56信息系統(tǒng)安全設計方案全文共93頁，當前為第56頁。防火墻體系結構

屏蔽路由器（ScreeningRouter）雙穴主機網(wǎng)關（DualHomedGateway）屏蔽主機網(wǎng)關（ScreenedHostGateway）屏蔽子網(wǎng)（ScreenedSubnet）57信息系統(tǒng)安全設計方案全文共93頁，當前為第57頁。包過濾防火墻的基本功能安全要求未鑒別的端到端策略：一個內部或外部網(wǎng)絡上的主體通過防火墻發(fā)送數(shù)據(jù)流到一個外部或內部網(wǎng)絡上的客體。

用戶數(shù)據(jù)保護功能識別與鑒別功能保密功能可信安全功能保護安全審計功能58信息系統(tǒng)安全設計方案全文共93頁，當前為第58頁。應用網(wǎng)關防火墻的基本功能安全要求有鑒別的端到端策略：一個內部或外部網(wǎng)絡上的主體在發(fā)送數(shù)據(jù)流前，必須通過防火墻的鑒別，才能將數(shù)據(jù)流傳送給一個外部或內部網(wǎng)絡上的客體。用戶數(shù)據(jù)保護功能識別與鑒別功能保密功能可信安全功能保護安全審計功能59信息系統(tǒng)安全設計方案全文共93頁，當前為第59頁。防火墻的特殊功能安全要求

模塊化多端口多級過濾內容過濾多種形式審計告警VPN（IPsec和SSL）入侵檢測帶寬管理集中的安全網(wǎng)管支持802.1Q封裝60信息系統(tǒng)安全設計方案全文共93頁，當前為第60頁。防火墻安全策略防火墻安全策略配置:通信策略訪問策略應用策略安全策略管理流程：增添安全策略更改安全策略刪除安全策略61信息系統(tǒng)安全設計方案全文共93頁，當前為第61頁。防火墻管理人員角色分類超級管理員

負責本公司IP網(wǎng)絡安全管理員和安全審計員的選用和監(jiān)督，負責生成安全管理員和安全審計員的賬號及相應權限安全管理員 負責職權范圍內IP網(wǎng)絡安全防范工作的具體實施、安全配置操作和維護工作、以及相關網(wǎng)絡安全問題的處理。安全審計員 負責所管理主機系統(tǒng)及網(wǎng)絡設備的安全定期審查和維護工作。安全審計員僅可以對日志進行審計分析。62信息系統(tǒng)安全設計方案全文共93頁，當前為第62頁。防火墻用戶參數(shù)管理認證模式有效時間連續(xù)認證失敗時間連續(xù)認證失敗次數(shù)恢復時間口令管理閑置時間并發(fā)用戶管理63信息系統(tǒng)安全設計方案全文共93頁，當前為第63頁。防火墻日志審計與監(jiān)控日志收集日志分析建立安全基線界定可疑活動日志存儲安全審計建議建立安全審計報告安全問題應對流程審計與整體監(jiān)控系統(tǒng)配合64信息系統(tǒng)安全設計方案全文共93頁，當前為第64頁。防火墻日常維護管理防火墻系統(tǒng)資源監(jiān)控系統(tǒng)日志監(jiān)控數(shù)據(jù)包捕獲分析定期備份同步備份、手動備份、自動備份 遠程異地方式、本地存儲方式65信息系統(tǒng)安全設計方案全文共93頁，當前為第65頁。防火墻適用環(huán)境－單級防火墻結構66信息系統(tǒng)安全設計方案全文共93頁，當前為第66頁。防火墻適用環(huán)境－多級防火墻結構67信息系統(tǒng)安全設計方案全文共93頁，當前為第67頁。防火墻部署原則骨干層匯聚層接入層68信息系統(tǒng)安全設計方案全文共93頁，當前為第68頁。企業(yè)信息化系統(tǒng)安全域規(guī)范信息系統(tǒng)安全設計方案全文共93頁，當前為第69頁。安全域規(guī)范的主要內容企業(yè)信息化系統(tǒng)的現(xiàn)狀企業(yè)信息化系統(tǒng)的安全域劃分安全域的管理、技術、設備需求定義安全域的威脅等級和保護等級企業(yè)信息化系統(tǒng)安全域的網(wǎng)絡保護70信息系統(tǒng)安全設計方案全文共93頁，當前為第70頁。企業(yè)信息化系統(tǒng)的應用系統(tǒng)現(xiàn)狀統(tǒng)一信息平臺應用： 統(tǒng)一信息平臺包括了OA系統(tǒng)，主要提供企業(yè)各種公文處理、電子郵件和信息發(fā)布等功能；同時還包括統(tǒng)計查詢、電子報銷、資源預定、辦公用品申領、電子期刊、檔案管理、知識管理、考核管理、研發(fā)項目管理、搜索引擎、遠程辦公應用等。MIS應用： MIS包括財務系統(tǒng)、人力資源系統(tǒng)、綜合統(tǒng)計系統(tǒng)等應用系統(tǒng)；還包括電子采購系統(tǒng)、全面預算管理系統(tǒng)等。

對外通過合作伙伴門戶與外部的合作伙伴連接，對內與BOSS系統(tǒng)和網(wǎng)管系統(tǒng)存在接口。71信息系統(tǒng)安全設計方案全文共93頁，當前為第71頁。企業(yè)信息化系統(tǒng)的應用系統(tǒng)現(xiàn)狀（圖）72信息系統(tǒng)安全設計方案全文共93頁，當前為第72頁。企業(yè)信息化系統(tǒng)的網(wǎng)絡架構（圖）73信息系統(tǒng)安全設計方案全文共93頁，當前為第73頁。企業(yè)信息化系統(tǒng)的應用架構緊密耦合結構的應用： 例如終端標準化，有一個全集團的終端標準化系統(tǒng)，還有各個業(yè)務單位終端標準化子系統(tǒng)。松散耦合結構的應用： 例如OA系統(tǒng)，各個業(yè)務單位都有自身的OA系統(tǒng)，其服務器在各個業(yè)務單位的服務器區(qū)域，而OA互連主要通過公文網(wǎng)關。全部集中在集團總部的應用： 例如電子采購系統(tǒng)，各個業(yè)務單位沒有單獨的電子采購系統(tǒng)，只有集中的系統(tǒng)。74信息系統(tǒng)安全設計方案全文共93頁，當前為第74頁。企業(yè)信息化系統(tǒng)的應用架構（圖）集團總部信息化廣域專網(wǎng)CMNETVPNPSTN省公司信息化全集團信息化系統(tǒng)服務器集團總部75信息系統(tǒng)安全設計方案全文共93頁，當前為第75頁。集團總部企業(yè)信息化的網(wǎng)絡拓撲（圖）76信息系統(tǒng)安全設計方案全文共93頁，當前為第76頁。省公司企業(yè)信息化的網(wǎng)絡拓撲（圖）集團公司CMNet網(wǎng)管省計費中心SOC外部接入OA辦公自動化DCN省信息化集團總部信息化……內部辦公局域網(wǎng)CMNet網(wǎng)管網(wǎng)管地市1銀證郵/ISP地市1地市信息化銀證郵/ISP縣級信息化省網(wǎng)管中心SOCMIS服務器地市分公司MISOAOA服務器因特網(wǎng)網(wǎng)管網(wǎng)管BOSS統(tǒng)一信息平臺統(tǒng)一信息平臺服務器集團公司全集團公司信息化CMNetCMNet專線集團總部77信息系統(tǒng)安全設計方案全文共93頁，當前為第77頁。企業(yè)信息化的一級安全域劃分公共區(qū)不在中國移動直接控制范圍內的區(qū)域。包括外界的各種訪問設備和用戶資源，從外部對中國移動信息化系統(tǒng)進行訪問并要求服務。半安全區(qū)安全區(qū)核心安全區(qū)位于中國移動信息化系統(tǒng)控制范圍內，是公共區(qū)與安全區(qū)之間的“過渡”區(qū)域。包括所有能被非信任來源直接訪問并提供服務的系統(tǒng)和設備。位于中國移動信息化系統(tǒng)控制范圍內，是安全控制和保護級別較高的區(qū)域。包括中國移動信息化系統(tǒng)內部用戶終端和一些重要程度不高且經(jīng)常使用的服務器。位于中國移動信息化系統(tǒng)控制范圍內，是安全控制和保護級別最高的區(qū)域。包括中國移動信息化系統(tǒng)重要的應用服務器、數(shù)據(jù)庫服務器、管理控制臺和服務器。78信息系統(tǒng)安全設計方案全文共93頁，當前為第78頁。企業(yè)信息化一級安全域的安全措施公共區(qū)半安全區(qū)安全區(qū)核心安全區(qū)外部防火墻防毒網(wǎng)關代理服務外部域名…防毒服務器流量監(jiān)控文件服務加密服務…訪問控制系統(tǒng)管理入侵檢測日志服務…外界訪問互聯(lián)網(wǎng)撥號專線外邊界內邊界核心邊界79信息系統(tǒng)安全設計方案全文共93頁，當前為第79頁。二級安全域的劃分－應用系統(tǒng)分類全國互訪應用： 如e-learning系統(tǒng)，從全集團的角度向所有中國移動員工提供服務。其用戶是集團總部和各省公司信息化系統(tǒng)內部員工，從內部安全區(qū)或外部半安全區(qū)發(fā)起訪問。局部應用： 如OA系統(tǒng)，主要是集團總部和各省公司信息化系統(tǒng)為各自的內部員工提供服務，其用戶訪問來自各自安全區(qū)內的日常辦公區(qū)，服務器放置在各自核心安全區(qū)內的服務器區(qū)。如果有互訪要求，可以通過各自集團－省公司互聯(lián)區(qū)內的公文網(wǎng)關進行數(shù)據(jù)傳輸。對外應用：

如電子采購系統(tǒng)，用戶是中國移動的供應商，信息化系統(tǒng)內部只有發(fā)布、更新和