電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)管理指南

I Ⅱ 12規(guī)范性引用文件 13術(shù)語和定義 1 25安全防護(hù)體系 3 4 58災(zāi)難備份及恢復(fù) 59安全等級(jí)保護(hù)、安全風(fēng)險(xiǎn)評(píng)估、災(zāi)難備份及恢復(fù)三者之間的關(guān)系 6 7電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)管理指南GB/T5271.8-2001信息技術(shù)詞匯第8部分：安全2人為或自然的威脅可能利用電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)存在的脆弱性導(dǎo)致安全事件的發(fā)生及其對(duì)組評(píng)估安全事件一旦發(fā)生，可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和安全措施，防范和化解電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)安全風(fēng)險(xiǎn)，將風(fēng)險(xiǎn)控制在可接受的水平，為最大限度地保障電信網(wǎng)和由于各種原因，造成電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)故障或癱瘓，使電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)支持的電信網(wǎng)和互聯(lián)網(wǎng)災(zāi)難備份BackupforDis為了將電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)從災(zāi)難造成的故障或癱瘓狀態(tài)恢復(fù)到正常運(yùn)行狀態(tài)或部分正常運(yùn)電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)工作的目標(biāo)就是要加強(qiáng)電信網(wǎng)和互聯(lián)網(wǎng)的安全防護(hù)能力，確保網(wǎng)絡(luò)的安全為了實(shí)現(xiàn)該目標(biāo)，網(wǎng)絡(luò)和業(yè)務(wù)運(yùn)營商、設(shè)備制造商要充分考慮電信網(wǎng)和互聯(lián)網(wǎng)不同等級(jí)的安全要求，從環(huán)境因素以及人為因素分析電信網(wǎng)和互聯(lián)網(wǎng)面臨的威脅，從技術(shù)和管理兩個(gè)方面分析電信網(wǎng)和互聯(lián)網(wǎng)存在的脆弱性，充分考慮現(xiàn)有安全措施，分析電信網(wǎng)和互聯(lián)網(wǎng)現(xiàn)存風(fēng)險(xiǎn)，平衡效益與成本，制定災(zāi)難備份電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)工作要在適度安全原則的指導(dǎo)下，采用自主保護(hù)和重點(diǎn)保護(hù)方法，在安全防護(hù)工作安排部署過程中遵循標(biāo)準(zhǔn)性、可控性、完備性、最小影響和保密原則，實(shí)現(xiàn)同步建設(shè)、統(tǒng)籌兼——標(biāo)準(zhǔn)性原則：安全防護(hù)工作開展的指導(dǎo)性●人員可控性：相關(guān)的安全防護(hù)工作人員應(yīng)具●工具可控性：要充分了解安全防護(hù)工作中所使用3●項(xiàng)目過程可控性：要對(duì)整個(gè)安全防護(hù)項(xiàng)目進(jìn)行科學(xué)的項(xiàng)目管理，實(shí)現(xiàn)項(xiàng)目過程的可控性。 保密性原則：相關(guān)安全防護(hù)工作人員應(yīng)簽署協(xié)議，承諾對(duì)所進(jìn)行的安全防護(hù)工作保密，確保不電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)范疇包括基礎(chǔ)電信運(yùn)營企業(yè)運(yùn)營的傳輸、承載各類電信業(yè)務(wù)的公共電信網(wǎng) (含公共互聯(lián)網(wǎng))及其組成部分，支撐和管理公共電信網(wǎng)及電信業(yè)務(wù)的業(yè)務(wù)單元和控制單元以及企業(yè)辦公系統(tǒng)(含文件管理系統(tǒng)、員工郵件系統(tǒng)、決策支持系統(tǒng)、人事管理系統(tǒng)等)、客服呼叫中心、企業(yè)門戶網(wǎng)站等非核心生產(chǎn)單元。此外，電信網(wǎng)絡(luò)安全防護(hù)工作的范圍還包括經(jīng)營性互聯(lián)網(wǎng)信息服務(wù)單位、移動(dòng)信息服務(wù)單位、互聯(lián)網(wǎng)接入服務(wù)單位、互聯(lián)網(wǎng)數(shù)據(jù)中心、互聯(lián)網(wǎng)域名服務(wù)機(jī)構(gòu)等單位運(yùn)營的網(wǎng)絡(luò)或信第二層從宏觀的角度明確了如何進(jìn)行安全防護(hù)工作，規(guī)范了安全防護(hù)體系中安全等級(jí)保護(hù)、安全風(fēng)根據(jù)電信網(wǎng)和互聯(lián)網(wǎng)全程全網(wǎng)的特點(diǎn)，電信網(wǎng)和互聯(lián)網(wǎng)的安全防護(hù)工作可從固定通信網(wǎng)、移動(dòng)通信網(wǎng)、互聯(lián)網(wǎng)、增值業(yè)務(wù)網(wǎng)、非核心生產(chǎn)單元來開展。其中，互聯(lián)網(wǎng)包括經(jīng)營性互聯(lián)網(wǎng)信息服務(wù)單位、互聯(lián)網(wǎng)接入服務(wù)單位、互聯(lián)網(wǎng)數(shù)據(jù)中心、互聯(lián)網(wǎng)域名服務(wù)機(jī)構(gòu)等單位運(yùn)營的網(wǎng)絡(luò)或信息系統(tǒng)。增值業(yè)務(wù)網(wǎng)對(duì)固定通信網(wǎng)、移動(dòng)通信網(wǎng)、互聯(lián)網(wǎng)實(shí)施安全防護(hù)，應(yīng)分別從構(gòu)成上述網(wǎng)絡(luò)的不同電信網(wǎng)和互聯(lián)網(wǎng)其中，接入網(wǎng)包括各種有線、無線和衛(wèi)星接入網(wǎng)等，傳送網(wǎng)包括光纜、波分、SDH、衛(wèi)星等，而支撐網(wǎng)安全防護(hù)要求明確了電信網(wǎng)和互聯(lián)網(wǎng)及相關(guān)系統(tǒng)需要落實(shí)的安全管理和技術(shù)措施，涵蓋了安全等級(jí)保護(hù)、安全風(fēng)險(xiǎn)評(píng)估、災(zāi)難備份及恢復(fù)等三部分內(nèi)容，其中安全等級(jí)保護(hù)工作需要落實(shí)的物理環(huán)境和管4IP承載網(wǎng)習(xí)能游智能網(wǎng)消息鬥安全防護(hù)要求增值業(yè)務(wù)網(wǎng)互聯(lián)附圖1電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)體系5安全運(yùn)維電信網(wǎng)和互聯(lián)網(wǎng)安全風(fēng)險(xiǎn)評(píng)估應(yīng)貫穿于電信網(wǎng)和互聯(lián)網(wǎng)生命周期的各階段中，在生命周期不同階段的風(fēng)險(xiǎn)評(píng)估原則和方法是一致的。在電信網(wǎng)和互聯(lián)網(wǎng)的安全風(fēng)險(xiǎn)評(píng)估工作中，應(yīng)首先進(jìn)行相關(guān)工作的準(zhǔn)安全風(fēng)險(xiǎn)分析中要涉及資產(chǎn)、威脅、脆弱性等基本要素，每個(gè)要素有各自的屬性。資產(chǎn)的屬性是資產(chǎn)價(jià)值；威脅的屬性可以是威脅主體、影響對(duì)象、出現(xiàn)頻率、動(dòng)機(jī)等；脆弱性的屬性是資產(chǎn)弱點(diǎn)的嚴(yán)重程度威脅出現(xiàn)安全事件的可能性存在的脆安全事件資產(chǎn)價(jià)值風(fēng)險(xiǎn)評(píng)估鳳險(xiǎn)處理電信網(wǎng)和互聯(lián)網(wǎng)災(zāi)難備份及恢復(fù)工作利用技術(shù)、管理手段以及相關(guān)資源，確保已有的電信網(wǎng)和互聯(lián)網(wǎng)在災(zāi)難發(fā)生后，在確定的時(shí)間內(nèi)可以恢復(fù)和繼續(xù)運(yùn)行。災(zāi)難備份及恢復(fù)工作需要防范包括地震、水災(zāi)等自然災(zāi)難以及火災(zāi)、戰(zhàn)爭、恐怖襲擊、網(wǎng)絡(luò)攻擊、設(shè)備系統(tǒng)故障、人為破壞等無法預(yù)料的突發(fā)事件。保證在災(zāi)難發(fā)生后單一地區(qū)的災(zāi)難不影響災(zāi)難發(fā)生地理范圍以外地區(qū)的語音業(yè)務(wù)，并且發(fā)生災(zāi)難的地區(qū)的語音業(yè)務(wù)能夠通過有效災(zāi)難恢復(fù)計(jì)劃的實(shí)施，在一定時(shí)間范圍(指標(biāo)應(yīng)與災(zāi)難級(jí)別對(duì)應(yīng))內(nèi)恢復(fù)通信。6關(guān)、互相滲透、互為補(bǔ)充。電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)應(yīng)將安全等級(jí)保護(hù)、安全風(fēng)險(xiǎn)評(píng)估、災(zāi)難備份及恢復(fù)工作有機(jī)結(jié)合，加強(qiáng)相關(guān)工作之間的整合和銜接，保證電信網(wǎng)絡(luò)安全防護(hù)工作的整體性、統(tǒng)一性和協(xié)調(diào)性。電信網(wǎng)絡(luò)安全防護(hù)工作應(yīng)按照根據(jù)被保護(hù)對(duì)象的重要性進(jìn)行分等級(jí)保護(hù)的思想，通過安全風(fēng)險(xiǎn)評(píng)估的方法正確認(rèn)識(shí)被保護(hù)對(duì)象存在的脆弱性和面臨的威脅，進(jìn)而制定、落實(shí)和改進(jìn)與安全保護(hù)等級(jí)和風(fēng)險(xiǎn)大小相適應(yīng)的一系列管理、技術(shù)、災(zāi)難備份等安全等級(jí)保護(hù)措施，最終達(dá)到提高電信網(wǎng)絡(luò)安全保護(hù)能在開展安全等級(jí)保護(hù)工作時(shí)，要充分應(yīng)用安全風(fēng)險(xiǎn)評(píng)估的方法，認(rèn)識(shí)、分析不存在的脆弱性和面臨的威脅，進(jìn)而制定和落實(shí)與被保護(hù)對(duì)象的類型、脆弱性和威脅相適應(yīng)的基本安全保護(hù)措施要求，提高安全等級(jí)保護(hù)工作的針對(duì)性和適用性。在開展安全風(fēng)險(xiǎn)評(píng)估工作時(shí)，在分析被保護(hù)對(duì)象綜合