中国电信运维构建中国电信互联网及相关网络安全策略体系

-1-中国电信运维〔2011〕84号关于构建中国电信互联网及相关网络安全策略体系及推进相关工作的通知集团公司各省级分公司，股份公司并转各省级分公司：为建立健全中国电信互联网及相关网络安全策略体系（以下简称安全策略体系）,集团公司于2010年组织上海、福建、江西、湖南和浙江5个省公司、广州研究院和安全厂家等组成专业工作团队，开展了安全策略体系的研究工作。通过工作团队一年多的研究和试点实践，目前已完成了安全策略体系总体框架及主要规范文档的制订工作，现印发你们，请遵照执行，具体内容和要求通知如下：一、构建安全策略体系目的安全策略体系是互联网及相关网络安全运营所采取的各种安全防范策略的集合，是中国电信网络安全保障体系建设和实-2-施的重要指导和依据。通过建立和形成包含纲领、制度、流程、指南的安全策略体系，可为中国电信互联网及相关网络的网络安全工作提供统一的策略指引。二、安全策略体系架构组成和建设思路（一）安全策略体系是参照ISO27001国际标准，并针对不同的用途及对象,采用结构化、层次化和可扩展的四层体系架构:第一层是纲领性文件、第二层是通用管理办法和技术要求、第三层是具体的制度流程和技术规范、第四层是操作层面的流程和配置指南。（二）安全策略体系建设采用基于安全域划分的方法和思路，通过将大规模复杂网络系统安全风险分解为小区域简单网络系统安全风险，有效实现安全防护。所有IP承载网及接入到IP承载网的业务域（包括业务网、业务平台、支撑平台等），都应按照安全域划分的方法和思路纳入安全策略体系进行统一管理，确保全网网络安全工作的规范性和统一性。（三）安全策略体系目前规划包含了1个纲领性文件和22个二层的管理办法和技术规范（参见附件1）。集团公司将根据安全策略的重要性和紧迫性，有计划有步骤地进行制订、试点和下发，其中《中国电信互联网网络安全信息通报实施办法》等5个文件已下发执行;《中国电信互联网及相关网络安全域划分与边界整合技术规范》等6个文档，已通过试点验证可有效指导网络安全工作开展，本次下发全网执行；其余12个文件已-3-完成制订工作，正在重点省公司部署试点，计划在2012年第一季度下发全网执行。三、重点工作要求（一）各省公司要高度重视安全策略体系建设和推进工作，尽快落实安全运营维护组织和人员（SOC），组织网络安全和各相关网络的技术人员学习策略文件要求和规范指引，坚持统一规划、统筹安排、协同管理、全方位推进的原则，加快推进安全体系建设工作，力争短期内实现安全策略体系全面突破，推进全网网络安全工作再上新台阶。（二）各省公司应结合省内实际情况，积极推进安全策略体系建设工作。各省安全策略体系建设工作主要分为3个阶段：1.第一阶段，各省应在2011年11月底前完成省内安全策略体系框架的构建工作，开展重点网络和重点系统的安全域划分工作，实现安全域划分、安全域准入、边界整合的规范化,通过网络安全优化工作达到安全风险隔离、可控的目标；同时将安全防护需求纳入年度网络发展滚动规划，实现网络安全防护的长效优化；各省应完成省级SOC的组建和人员配备，完善省内SOC安全维护规程，通过细化并落实安全事件处理流程和安全维护作业计划，实现省级SOC日常工作流程化和制度化。2.第二阶段，各省在2012年2月底前应将各业务域分散独立的安全策略按照体系架构要求进行修订和完善，纳入安全策略体系统一管理;加强安全培训工作，形成省市联动的网络安全-4-队伍，培养1-2名熟练掌握网络安全技能的维护骨干；加快推进完成SOC平台的建设工作，基本实现省内安全事件的集中监控、集中处置。3.第三阶段，各省通过日常安全评估和安全运营，积累真实数据，持续完善省内安全策略体系，在2012年底最终实现全网统一的安全策略体系的总体目标。（三）各省应制定本省推进安全策略体系工作的实施方案和工作计划，并在2011年11月15日前将省内工作计划进展和经验建议等内容整理形成书面报告，同时将省公司安全策略部署推进相关工作文件等，一并上报集团公司。（四）集团公司已将安全策略系列文档纳入中国电信企业标准体系进行统一管理，后续文档将先通过运维生产指挥网站下发试行，待完善后通过集团文件形式统一下发。各省在安全策略体系建设及实施过程中如存在问题和建议,可通过运维生产指挥网站中的安全策略体系建设专栏反馈,集团公司将及时对相关问题进行解答。集团公司联系人：苏志胜联系电话：[phone]电子邮箱：[e-mail]广州研究院联系人：罗志强联系电话：[phone]电子邮箱：[e-mail]-5-附件：1．安全策略体系一级和二级文档清单2．中国电信互联网及相关网络安全策略总纲3．中国电信互联网及相关网络安全域划分与边界整合技术规范4．中国电信互联网及相关网络安全组织管理办法5．中国电信互联网及相关网络安全事件工单派发流程6．中国电信互联网及相关网络安全维护作业计划7．中国电信互联网及相关网络安全培训管理办法二○一一年十月十八日-6-附件1：安全策略体系一级和二级文档清单类别文档编号文件名称备注第一层总纲01-01-001中国电信互联网及相关网络安全策略总纲本批下发类别文档编号文件名称备注02-01-001中国电信互联网及相关网络安全组织管理办法本批下发组织与培训02-01-002中国电信互联网及相关网络安全培训管理办法本批下发02-01-003中国电信互联网及相关网络安全准入管理办法待下发安全域管理02-01-004中国电信互联网及相关网络安全域安全运营工作要求待下发02-01-005中国电信互联网及相关网络第三方安全管理办法待下发02-01-006中国电信互联网及相关网络移动存储介质管理办法待下发02-01-007中国电信IP网及C网分组域设备软件版本管理办法已下发02-01-008中国电信木马与僵尸网络监测与处置机制已下发02-01-009中国电信互联网及相关网络安全事件工单派发流程本批下发运营管理02-01-010中国电信互联网及相关网络安全维护作业计划本批下发访问控制02-01-011中国电信互联网及相关网络帐号口令管理办法待下发风险评估02-01-012中国电信互联网及相关网络风险评估管理办法待下发备份恢复02-01-013中国电信互联网及相关网络备份策略管理办法待下发02-01-014中国电信互联网网络安全信息通报实施办法已下发安全事件与应急响应02-01-015中国电信互联网网络安全应急预案已下发02-01-016中国电信互联网及相关网络安全审计管理办法待下发管理办法安全审计管理02-01-017中国电信互联网及相关网络安全基线考评管理办法待下发安全域划分02-02-001中国电信互联网及相关网络安全域划分与边界整合技术规范本批下发02-02-002中国电信互联网及相关网络路由器设备安全防护要求待下发网元安全02-02-003中国电信互联网及相关网络交换机设备安全防护要求待下发安全基础手段02-02-004中国电信网管系统安全技术规范待下发第二层技术规范安全管理平台02-02-005中国电信互联网及相关网络安全管理平台功能及技术规范已下发中国电信互联网及相关网络安全策略总纲1附件2：中国电信互联网及相关网络安全策略总纲文档编号:SOC01-01-001中国电信安全策略体系文档版本号：3.5.2中国电信集团公司网络运行维护事业部发布日期：2011年9月中国电信互联网及相关网络安全策略总纲2修订记录修订日期修订内容修订人中国电信互联网及相关网络安全策略总纲3目次前言................................................................................................................................11导论.................................................................................................................................21.1基本原则..............................................................................................................21.2总体目标..............................................................................................................21.3具体范围..............................................................................................................21.4关键的成功因素..................................................................................................21.5引用标准..............................................................................................................22安全策略体系架构及建设思路.....................................................................................32.1安全策略体系架构..............................................................................................32.2安全策略体系建设思路......................................................................................43组织与人员.....................................................................................................................53.1组织机构..............................................................................................................53.2人员管理..............................................................................................................54网络及系统开发与建设.................................................................................................54.1职责分工..............................................................................................................54.2安全要求及准入标准..........................................................................................64.3建设过程中的安全..........................