IT运维信息安全解决方案(DOC105页)4299.doc

《IT运维信息安全解决方案(DOC105页)4299.doc》由会员分享，可在线阅读，更多相关《IT运维信息安全解决方案(DOC105页)4299.doc（83页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、8.3 IT运维信信息安全全解决方方案8.3.1安全运运维的重重要性随着信息息安全管管理体系系和技术术体系在在企业领领域的信信息安全全建设中中不断推推进，安安全运维维占信息息系统生生命周期期70% - 80%的信息息，并且且安全运运维体系系的建设设已经越越来越被被广大用用户重视视。尤其其是随着着信息系系统建设设工作从从大规模模建设阶阶段逐步步转型到到“建设和和运维”并举的的发展阶阶段，运运维人员员需要管管理越来来越庞大大的ITT系统这这样的情情况下，信信息安全全运维体体系的建建设已经经被提到到了一个个空前的的高度上上。它不不仅单单单是一个个体系的的建设，更更是IT系统管管理中的的夯实基基础。运

2、维服务务的发展展趋势对对于企业业的安全全运维服服务管理理的发展展，通常常可以将将其分为为混乱阶阶段、被被动阶段段、主动动阶段、服服务阶段段和价值值阶段这这五个阶阶段。1、在混混乱阶段段：运维维服务没没有建立立综合的的支持中中心，也也没有用用户通知知机制；2、在被被动阶段段：运维维服务开开始关注注事件的的发生和和解决，也也开始关关注信息息资产，拥拥有了统统一的运运维控制制台和故故障记录录和备份份机制；3、在主主动阶段段：运维维服务建建立了安安全运行行的定义义，并将将系统性性能，问问题管理理、可用用性管理理、自动动化与工工作调度度作为重重点；4、在服服务阶段段，运维维服务工工作中已已经可以以支持任

3、任务计划划和服务务级别管管理；5、在价价值阶段段，运维维服务实实现了性性能、安安全和核核心几大大应用的的紧密结结合，体体现其价价值所在在。8.3.2信息安全全的概念念8.3.2.11信息安安全定义义信息安全全的概念念在二十十世纪经经历了一一个漫长长的历史史阶段，90年代以以来得到到了深化化。进入入21世纪后后，随着着信息技技术的不不断发展展，信息息安全问问题也日日显突出出。如何何确保信信息系统统的安全全已经成成为了全全社会关关注的问问题。国国际上对对于信息息安全问问题的研研究起步步较早，投投入力度度大，已已取得了了许多成成果，并并得以推推广应用用。中国国目前也也已有一一批专门门从事信信息安全全

4、基础研研究、技技术开发发与技术术服务工工作的研研究机构构与高科科技企业业，形成成了中国国信息安安全产业业的雏形形。 关关于信息息安全的的定义也也有很多多，国内内学者与与国外学学者、不不同的社社会组织织也给出出了不同同的定义义。 国内学者者的定义义：“信息安安全保密密内容分分为：实实体安全全、运行行安全、数数据安全全和管理理安全四四个方面面。” 我国“计计算机信信息系统统安全专专用产品品分类原原则”中的定定义是：“涉及实实体安全全、 运行安安全和信信息安全全三个方方面。” 我国相关关立法给给出的定定义是：“保障计计算机及及其相关关的和配配套的设设备、设设施（网网络）的的安全，运运行环境境的安全全

5、，保障障信息安安全，保保障计算算机功能能的正常常发挥，以以维护计计算机信信息系统统的安全全”。这里里面涉及及了物理理安全、运运行安全全与信息息安全三三个层面面。 国家信息息安全重重点实验验室给出出的定义义是：“信息安安全涉及及到信息息的机密密性、完完整性、可可用性、可可控性。综综合起来来说，就就是要保保障电子子信息的的有效性性。” 英国BSS77999信息安安全管理理标准给给出的定定义是：“信息安安全是使使信息避避免一系系列威胁胁，保障障商务的的连续性性，最大大限度地地减少商商务的损损失，最最大限度度地获取取投资和和商务的的回报，涉涉及的是是机密性性、完整整性、可可用性。” 美国国家家安全局局

6、信息保保障主任任给出的的定义是是：“因为术术语信息安安全一直仅仅表示信信息的机机密性，在在国防部部我们用用信息保保障来描述述信息安安全，也也叫IA。它包包含5种安全全服务，包包括机密密性、完完整性、可可用性、真真实性和和不可抵抵赖性。” 国际标准准化委员员会给出出的定义义是：“为数据据处理系系统而采采取的技技术的和和管理的的安全保保护，保保护计算算机硬件件、软件件、数据据不因偶偶然的或或恶意的的原因而而遭到破破坏、更更改、显显露”。8.3.1.22信息安安全的目目标 机密性 Connfiddenttiallityy 完整性 Inttegrrityy 可用性 Avaailaabillityy 可

7、控性 conntroollaabillityy 真实性 Autthennticcityy 不可否认认性 Noon-rrepuudiaatioon8.3.1.33信息安全全范围 帐号口令令管理 系统基线线配置安安全管理理 系统漏洞洞安全管管理 终端安全全管理 安全审计计管理 客户信息息安全管管理 业务安全全管理 安全检查查与维护护作业8.3.2 安全运运维的定定义通常安全全运维包包含两层层含义：一是指在在运维过过程中对对网络或或系统发发生病毒毒或黑客客攻击等等安全事事件进行行定位、防防护、排排除等运运维动作作，保障障系统不不受内、外外界侵害害。二是指对对运维过过程中发发生的基基础环境境、网络络、

8、安全全、主机机、中间间件、数数据库乃乃至核心心应用系系统发生生的影响响其正常常运行的的事件（包包含关联联事件）通通称为安安全事件件，而围围绕安全全事件、运运维人员员和信息息资产，依依据具体体流程而而展开监监控、告告警、响响应、评评估等运运行维护护活动，称称为安全全运维服服务。目前，大大多数企企业还停停留在被被动的、传传统意义义上的安安全运维维服务，这这样安全全运维服服务存在在着以下下弊端：1）、出出现故障障纵有众众多单一一的厂商商管理工工具，但但无法迅迅速定位位安全事事件，忙忙于“救火”，却又又不知火火因何而而“着”。时时时处于被被动服务务之中，无无法提供供量化的的服务质质量标准准。2）、企企

9、业的信信息系统统管理仍仍在依靠靠各自的的“业务骨骨干”支撑，缺缺少相应应的流程程和知识识积累，过过多依赖赖于人。3）、对对安全事事件缺少少关联性性分析和和评估分分析，并并且没有有对安全全事件定定义明确确的处理理流程，更更多的是是依靠人人的经验验和责任任心，缺缺少必要要的审核核和工具具的支撑撑。正是因为为目前运运维服务务中存在在的弊端端，XXX股份有有限公司司依靠长长期从事事应用平平台信息息系统运运维服务务的经验验，同时时结合信信息安全全保障体体系建设设中运维维体系建建设的要要求，遵遵循ITTIL（最最佳实践践指导）、ISO/IEC 27000系列服务标准、以及中国移动广东公司管理支撑系统SOA

10、规范等相关标准，建立了一整套完善和切实可行的信息安全运维服务管理的建设方案。8.3.3 XXX股份份运维五五大架构构体系8.3.3.11建立安安全运维维监控中中心基于关键键业务点点面向业业务系统统可用性性和业务务连续性性进行合合理布控控和监测测，以关关键绩效效指标指指导和考考核信息息系统运运行质量量和运维维管理工工作的实实施和执执行，XXX股份份帮助用用户建立立全面覆覆盖信息息系统的的监测中中心，并并对各类类事件做做出快速速、准确确的定位位和展现现。实现现对信息息系统运运行动态态的快速速掌握，以以及运行行维护管管理过程程中的事事前预警警、事发发时快速速定位。其其主要包包括：1、集中中监控：采用

11、开开放的、遵遵循国际际标准的的、可扩扩展的架架构，整整合各类类监控管管理工具具的监控控信息，实实现对信信息资产产的集中中监视、查查看和管管理的智智能化、可可视化监监控系统统。监控控的主要要内容包包括：基基础环境境、网络络、通信信、安全全、主机机、中间间件、数数据库和和核心应应用系统统等。2、综合合展现：合理规规划与布布控，整整合来自自各种不不同的监监控管理理工具和和信息源源，进行行标准化化、归一一化的处处理，并并进行过过滤和归归并，实实现集中中、综合合的展现现。3、快速速定位和和预警：经过同同构和归归并的信信息，将将依据预预先配置置的规则则、事件件知识库库、关联联关系进进行快速速的故障障定位，

12、并并根据预预警条件件进行预预警。8.3.3.22 建立立安全运运维告警警中心基于规则则配置和和自动关关联，实实现对监监控采集集、同构构、归并并的信息息的智能能关联判判别，并并综合的的展现信信息系统统中发生生的预警警和告警警事件，帮帮助运维维管理人人员快速速定位、排排查问题题所在。同时，告告警中心心提供了了多种告告警响应应方式，内内置与事事件响应应中心的的工单和和预案处处理接口口，可依依据事件件关联和和响应规规则的定定义，触触发相应应的预案案处理，实实现运维维管理过过程中突突发事件件和问题题处理的的自动化化和智能能化。关于事件件基础库库维护：它是事事件知识识库的基基础定义义，内置置大量的的标准事

13、事件，按按事件类类型进行行合理划划分和维维护管理理，可基基于事件件名称和和事件描描述信息息进行归归一化处处理的配配置，定定义了多多源、异异构信息息的同构构规则和和过滤规规则。关于智能能关联分分析：它它是借助助基于规规则的分分析算法法，对获获取的各各类信息息进行分分析，找找到信息息之间的的逻辑关关系，结结合安全全事件产产生的网网络环境境、资产产重要程程度，对对安全事事件进行行深度分分析，消消除安全全事件的的误报和和重复报报警。关于综合合查询和和展现：它实现现了多种种视角的的故障告告警信息息和业务务预警信信息的查查询和集集中展现现。关于告警警响应和和处理：它提供供了事件件生成、过过滤、短短信告警警

14、、邮件件告警、自自动派发发工单、启启动预案案等多种种响应方方式，内内置监控控界面的的图形化化告警方方式；提提供了与与事件响响应中心心的智能能接口，可可基于事事件关联联响应规规则自动动生成工工单并触触发相应应的预案案工作流流进行处处理。8.3.3.33 建立立安全运运维事件件响应中中心借鉴并融融合了IITILL（信息息系统基基础设施施库）/ITSSM（IT服务务管理）的的先进管管理规范范和最佳佳实践指指南，借借助工作作流模型型参考等等标准，开开发图形形化、可可配置的的工作流流程管理理系统，将将运维管管理工作作以任务务和工作作单传递递的方式式，通过过科学的的、符合合用户运运维管理理规范的的工作流流

15、程进行行处置，在在处理过过程中实实现电子子化的自自动流转转，无需需人工干干预，缩缩短了流流程周期期，减少少人工错错误，并并实现对对事件、问问题处理理过程中中的各个个环节的的追踪、监监督和审审计。其其中包括括以下五五大方面面：1.图形形化的工工作流建建模工具具：实现现预案建建模的图图形化管管理，简简单易用用的预案案流程的的创建和和维护，简简洁的工工作流仿仿真和验验证。2可配配置的预预案流程程：所有有运维管管理流程程均可由由用户自自行配置置定义，即即可实现现ITIIL/IITSMM的主要要运维管管理流程程，又可可根据用用户的实实际管理理要求和和规范，配配置个性性化的任任务、事事件处理理流程。3.智

16、能能化的自自动派单单：智能能的规则则匹配和和处理，基基于用户户管理规规范的自自动处理理，降低低事件、任任务发起起到处理理的延时时，以及及人工派派发的误误差。4.全程程的事件件处理监监控：实实现对事事件响应应处理全全过程的的跟踪记记录和监监控，根根据ITTIL管管理建议议和用户户运维要要求，对对事件处处理的响响应时限限和处理理时限的的监督和和催办。5.事件件处理经经验的积积累：实实现对事事件处理理过程的的备案和和综合查查询，帮帮助用户户在处理理事件时时查找历历史处理理记录和和流程，为为运维管管理工作作积累经经验。8.3.3.44 建立立安全运运维审核核评估中中心安全运维维审核评评估中心心具有对对

17、信息系系统运行行质量、服服务水平平、运维维管理工工作绩效效的综合合评估、考考核、审审计管理理三大功功能。1.评估估功能：遵循国国际和工工业标准准及指南南建立平平台的运运行质量量评估框框架，通通过评估估模型使使用户了了解运维维需求、认认知运行行风险、采采取相应应的保护护和控制制，有效效的保证证信息系系统的建建设投入入与运行行风险的的平衡，系系统地保保证信息息化建设设的投资资效益，提提高关键键业务应应用的连连续性。2.考核核功能：在评价价过程中中避免主主观臆断断和片面面随意性性，可以以实现工工作量、工工作效率率、处理理考核、状状态考核核等的一一种客观观评价功功能。3.审计计功能：是以跨跨平台多多数

18、据源源信息安安全审计计为框架架，以电电子数据据处理审审计为基基础的信信息审计计系统。主主要包括括：系统统流程和和输入输输出数据据以及数数据接口口的完整整性、合合规性、有有效性、真真实性审审计。8.3.3.55 以信信息资产产管理为为核心IT资产产管理是是全面实实现信息息系统运运行维护护管理的的基础，提提供的丰丰富的IIT资产产信息属属性维护护和备案案管理，以以及对业业务应用用系统的的备案和和配置管管理。基于关键键业务点点配置关关键业务务的基础础设施关关联，通通过资产产对象信信息配置置丰富业业务应用用系统的的运行维维护内容容，实现现各类IIT基础础设施与与用户关关键业务务的有机机结合，以以及全面

19、面的综合合监控。这这其中包包括：综合运行行态势：是全面面整合现现有各类类设备和和系统的的各类异异构信息息，包括括网络设设备、安安全设备备、应用用系统和和终端管管理中各各种事件件，经过过分析后后的综合合展现界界面，注注重对信信息系统统的运行行状态、综综合态势势的宏观观展示。系统采集集管理：以信息息系统内内各种IIT资源源及各个个核心业业务系统统的监控控管理为为主线，采采集相关关异构监监控系统统的信息息，通过过对不同同来源的的信息数数据的整整合、同同构、规规格化处处理、规规则匹配配，生成成面向运运行维护护管理的的事件数数据，实实现信息息的共享享和标准准化。系统配置置管理：从系统统容错、数数据备份份

20、与恢复复和运行行监控三三个方面面着手建建立自身身的运行行维护体体系，采采用平台台监测器器实时监监测、运运行检测测工具主主动检查查相结合合的方式式，构建建一个安安全稳定定的系统统。8.3.3.66 安全全管理原原则1）、XXX股份份有限公公司负责责业务支支撑中心心的安全全、保密密管理工工作，遵遵守南方方基地已已有各项项安全规规定，以以此为基基础制定定详细的的安全全管理实实施办法法，并并采取适适当措施施保证有有关措施施的有效效执行。2）、XXX股份份有限公公司定期期检查安安全、保保密规定定的执行行情况；3）、XXX股份份有限公公司定期期组织系系统病毒毒检查，并并对此负负责；4）、XXX股份份有限公

21、公司及时时向信息息技术中中心反映映存在的的安全隐隐患。8.3.3.77保密原原则1）、XXX股份份严格遵遵守南方方基地各各项安全全保密制制度，加加强服务务工程师师的保密密意识，制制定有效效的管理理制度。2）、XXX股份份整理措措施和技技术措施施，防止止重要数数据、文文件、资资料的丢丢失及泄泄漏。3）、XXX股份份有关计计费清单单、用户户资料、业业务数据据、重要要文件等等均属机机密，不不得任意意抄录、复复制及带带出机房房，也不不得转告告与工作作无关的的人员。4）、机机房内重重要文件件、数据据文件的的销毁方方式为文文件送入入碎纸机机，不得得随意丢丢弃。5）、安安全保密密工作XXX股份份安排专专人负

22、责责，定期期向XXX信息技技术中心心提交安安全工作作报告。8.3.4 信息安全全的要求求8.3.4.11帐号口口令管理理 账号口令令管理要要求按照“谁谁主管，谁谁负责”原则，业业务系统统责任部部门负责责按照本本办法管管理公司司内部人人员及第第三方协协维人员员在系统统应用层层的帐号号。由公司各各部门分分别维护护管理操操作系统统层和应应用层的的系统，并并分别作作为各层层帐号的的管理部部门。各层帐号号管理部部门各自自负责本本部门职职责层面面内的帐帐号审批批及授权权管理，推推动制定定帐号审审批流程程、表格格模版等等并落实实责任人人，监督督落实帐帐号申请请表、用用户帐号号登记表表的维护护管理。各层帐号号

23、管理部部门各自自负责本本部门职职责层面面内的帐帐号审批批、创建建及删除除、权限限管理以以及口令令管理要要求执行行情况审审核机制制，接受受定期审审核。用户需按按照帐号号审批流流程向各各责任部部门申请请所需帐帐号、修修改权限限或者撤撤销帐号号。在帐帐号审批批成功并并创建后后，应对对帐号口口令进行行定期修修改。并并应做到到严格保保护帐号号口令，不不得故意意泄露，否否则需承承担由此此导致安安全问题题的责任任。 帐号管理理人员逻逻辑分类类岗位职责涉及相关关记录部门负责责人1、需对对相关授授权表进进行审批批授权签签字，每每季度需需复核审审批；2、需对对员工变变动情况况进行审审批；3、需对对远程维维护接入入

24、申请进进行审批批系统层/应用层层超级管管理员：1、 系统层超超级管理理员：按按各系统统进行设设置2、 应用层超超级管理理员：按按业务应应用管理理进行设设置系统/应应用程序序最高权权限管理理员，负负责管理理所辖系系统的帐帐号分配配和管理理，需要要部门负负责人对对其进行行授权。系统层超超级管理理员、应应用层超超级管理理员需由由部门领领导分别别进行授授权，不不同系统统可以兼兼任。系统层/应用层层普通用用户：系统维护护、应用用操作执执行人员员，为普普通维护护人员及及第三方方人员，只只能申请请自身帐帐号进行行操作，不不能进行行帐号分分配管理理。安全管理理员、安安全审计计员： 负责所辖辖各系统统及设备备的

25、信息息安全管管理工作作。每月月检查信信息安全全管理的的执行情情况，汇汇总安全全分析报报告；与与系统层层超级管管理员、应应用层管管理员需需职责分分离。 超级管理理员帐号号管理流流程管理流程程管理要求求开 始申请人填写超级管理员授权表YN审批并授权NY对系统超级管理员清单每季度进行复核并签字确认。Y授权有效期内各业务系系统层/应用层层超级管管理员由由申请人人填写系系统超级级管理员员授权表表。部门经理理审批并并进行授授权。授权有效效期内，部门经理对超级管理员的清单进行复核并签字确认。 内部帐号号创建/变更流流程管理流程程管理要求求开 始申请人填写系统帐号创建/变更申请表YN申请人部门负责人审核NY系

26、统管理员在系统中创建帐号或进行权限修改。系统责任部门负责人书面审批Y内部员工工需要增增加帐号号或进行行权限变变更时，由由申请人人填写系系统帐号号创建/变更申申请表。提交所在在部门负负责人进进行权限限职责相相容性审审核。申请部门门完成审审核后，转转发系统统责任部部门负责责人进行行书面审审批。书面审批批通过，由由系统超超级管理理员在系系统中创创建帐号号或进行行权限修修改。 第三方帐帐号管理理流程管理流程程管理要求求开 始和第三方厂商签订安全保密协议。Y合作引入部门填写系统帐号创建/变更申请表YY系统管理员在系统中创建帐号或进行权限修改。系统责任部门负责人书面审批NNY部门负责人审核如存在第第三方公

27、公司人员员需要建建立帐号号的情况况，应和和第三方方厂商签签订相关关的安全全保密协协议。保保密协议议应注明明拥有帐帐号列表表及相关关保密责责任，以以合理确确保第三三方厂商商能够执执行中国国移动的的安全管管理要求求和职责责不相容容要求。第三方公公司需要要增加普普通帐号号或进行行权限变变更时，由由合作引引入部门门填写系系统帐号号创建/变更申申请表。提交所在在部门负负责人进进行权限限职责相相容性审审核。申请部门门完成审审核后，转转发系统统责任部部门负责责人进行行书面审审批后。系统超级级管理员员在系统统中创建建帐号或或进行权权限修改改。 系统预设设帐号管管理流程程管理流程程管理要求求开 始对接口程序、脚

28、本或相关设置进行加密保存，禁止使用简单密码。N系统管理员提交预设帐号清单及使用人员清单。系统责任部门负责人对预设帐号清单每季度进行复核并签字确认。YY系统责任部门负责人进行书面审批授权。对于部分分因系统统、接口口原因在在系统中中预设的的用户帐帐号，系系统责任任部门应对对接口程程序、脚脚本或相相关设置置进行加加密保存存，禁止止使用简简单密码码。因系统原原因不能能进行加加密保存存的，系系统管理理员需提提交预设设帐号清清单及使使用人员员清单。系统责任任部门负负责人进进行书面面审批授授权。系统责任任部门负负责人每每季度进进行复核核签字确确认，如如发现多多余或不不恰当的的账号应应进行及及时调整整。8.3

29、.4.22系统基基线配置置安全管管理 基线配置置安全要要求依据管管理信息息系统安安全基线线规范V2.0等管管理规范范与要求求，公司司各业务务平台操操作系统统、数据据库、服服务器中中间件、帐帐号权限限分配与与配置策策略、防防火墙需需按照该该规范进进行配置置。定期组织织相关检检查人员员按时对对各业务务系统进进行安全全基线配配置检查查，对检检查中存存在风险险的系统统发出整整改通知知书，督督促其及及时进行行整改，并并根据整整改反馈馈进行复复查，对对业务系系统上线线前进行行基线配配置安全全检查工工作，存存在有安安全风险险的系统统必须进进行限期期整改，验收合格格后才能能上线。 基线配置置安全检检查流程程管

30、理流程程管理要求求开 始信息安全管理部门发起基线配置安全检查（复查）流程Y各业务系统负责人协调人员进行现场配合存在风险的系统根据整改通知进行整改加固YY信息安全全管理部部门按工工作计划划发起基基线安全全检查流流程并OA通知具具体系统统负责人人 各系统统责任人人收到OA邮件后后，协调调安排配配合人员员进行现现场配合合信息安全全管理部部门根据据检查结结果，对对存在风风险的系系统发出出整改通通知，系系统责任任人收到到整改通通知后安安排对风风险进行行整改加加固，并并反馈整整改情况况，信息息安全管管理部门门收到反反馈结果果组织复复查。8.3.4.33系统漏漏洞安全全管理 系统漏洞洞安全要要求定期对公公司

31、各生生产系统统进行操操作系统统、数据据库、中中间件、Web网站等等进安全全漏洞检检查，对对检查中中存在漏漏洞的系系统发出出整改通通知书，督督促其及及时进行行整改，并并根据整整改反馈馈进行复复查，对对业务系系统上线线前进行行系统漏漏洞安全全检查工工作，存存在有安安全风险险的系统统必须进进行整改改验收后后才能上上线。 系统漏洞洞安全检检查流程程管理流程程管理要求求开 始信息安全管理部门发起系统漏洞安全检查（复查）流程Y各业务系统负责人协调人员进行现场配合存在风险的系统根据整改通知进行整改加固YY信息安全全管理部部门按工工作计划划发起系系统漏洞洞安全检检查流程程并OA通知具具体系统统负责人人 各系统

32、统责任人人收到OA邮件后后，协调调安排配配合人员员进行现现场配合合信息安全全管理部部门根据据检查结结果，对对存在漏漏洞的系系统发出出整改通通知，系系统责任任人收到到整改通通知后安安排对风风险进行行整改加加固，并并反馈整整改情况况，信息息安全管管理部门门收到反反馈结果果组织复复查。8.3.4.44终端安安全管理理 终端安全全管理要要求终端安全全策略配配置项应应满足以以下要求求：1).终终端统一一命名，统统一采用用“公司+人员姓姓名”中文方方式。2).系系统标准准化管理理，统一一使用正正版软件件，禁止止安装盗盗版。3).密密码策略略，按照照公司帐帐号管理理办法设设置复杂杂度策略略。4).配配置帐户

33、户锁定策策略，要要求设置置锁定次次数为5次以下下。5).禁禁用匿名名访问网网络。6).设设置系统统屏保密密码，同同时设定定10分钟以以内的锁锁定策略略。7).审审计策略略，开启启所有审审计策略略。8).要要求安装装杀毒软软件并及及时进行行病毒库库更新。9).要要求统一一安装公公司采购购的终端端监控软软件。 终端安全全配置检检查流程程管理流程程管理要求求开 始信息安全管理部门发起终端安全检查（复查）流程Y各部门员工（含合作伙伴）配合进行安全检查对存在不合规的终端进行设置，以满足安全管理要求YY信息安全全管理部部门按工工作计划划发起办办公终端端安全检检查流程程并OA通知具具体检查查部门 各各部门员

34、员工（含含合作伙伙伴）配配合进行行终端安安全检查查。 检查人人员对存存在不合合规项的的终端进进行设置置，以满满足安全全管理要要求。8.3.4.55安全审审计管理理 安全审计计管理要要求事件日志志记录:将来自自不同区区域、不不同设备备、不同同系统的的日志信信息集中中起来，集集中分析析处理，创创建记录录异常事事件和安安全相关关事件的的审计日日志并按按照协商商认可的的保留期期限将其其保留一一段时间间。1).审审计日志志必须至至少包含含4W（whoo/whhen/wheere /whhat）要素素：用户IDD或帐号号。操作日期期和时间间。终端标识识或位置置。用户所进进行的操操作。系统的成成功访问问和拒

35、绝绝访问的的记录。数据与其其它资源源的成功功访问和和拒绝访访问记录录。2).日日志审计计类型网络类日日志（鉴鉴权平台台、网络络设备日日志）主机类日日志（主主机本身身日志）应用类日日志（交交换机、智智能网等等应用系系统日志志）安全类日日志（IDS、防火火墙等）3).所所有特权权操作新帐户的的创建。用户权限限升级、口口令更改改。配置的更更改。系统文件件的删除除。系统启动动和停止止。I/O 设备连连接/分离。端口开启启进程启动动等4).对对应记录录用户 IID。地址：包包括目标标IP和源IP重要事件件的日期期和时间间。事件类型型。所访问的的文件或或资源。所用程序序/实用程程序。所进行的的操作或或操作

36、结结果。 安全审计计流程工作流程程工作要求求/标准岗位职责 开 始安全监控F 各业务系系统安全全监控审审计人员员监控系系统中产产生的事事件F 系统管理理员F 负责系统统的日常常监控维维护和日日志分析析检测到需及时处理安全事件F 当检测到到需处理理事件时时应及时时进行处处理F 系统管理理员F 安全管理理员F 发现安全全事件时时，系统统管理员员通过任任务工单单向安全全管理员员及时汇汇报；F 安全管理理员接到到事件报报告时，要要及时进进行分析析定性，决决定后续续处理措措施。实时处理F 联系设备备厂商、服服务厂商商，及时时对事件件进行分分析处理理，处理理内容包包括：确确定危险险程度，实实施控制制措施，

37、恢恢复系统统，确定定来源，收收集数据据取证等等。F 如果事件件对网络络或系统统造成重重大影响响，应启启动事后后分析流流程。F 厂商人员员、服务务商（如如需要）；F 系统管理理员；F 安全管理理员F 如有必要要，系统统管理员员负责通通知厂商商、服务务商到场场F 厂商、服服务商如如接到安安全事件件通知，需需及时到到场，将将分析结结果和处处理建议议提交安安全管理理员；F 安全管理理员需审审核厂商商提交的的安全事事件处理理建议；重大安安全事件件需及时时向上级级管理人人员汇报报；F 系统管理理员配合合厂商进进行安全全建议的的实施。存档F 填写事事件分析析处理记记录存存档。报报告应包包含已经经采取的的防护

38、措措施的详详细情况况和其他他任何经经验教训训（例如如用来预预防相同同或类似似事件再再次发生生的进一一步防护护措施）F 厂商人员员、服务务商F 系统管理理员F 安全管理理员F 处理人员员需填写写事件件分析处处理报告告F 安全管理理员需审审核并签签署处理理结果结 束8.3.4.66客户信信息安全全管理 客户信息息安全管管理要求求各系统管管理员应应明确识识别各系系统中存存储、传传输的客客户有关关信息，并并具体标标注需要要保护的的客户信信息类型型，对于于各相关关系统中中的客户户信息，未未经授权权许可不不得查询询，更不不能用于于公司合法法运营之之外的其其它商业业用途。禁止在相相关系统统中运行行与业务务无

39、关的的其它程程序，尤尤其是可可能自动动获取用用户资料料的程序序。按照最小小化原则则配置账账户权限限，保证证对客户户信息的的访问不不得超过过本身工工作范围围。对于于访问相相关系统统的用户户，能直直接获得得客户信信息的，必必须经过过授权，未未经授权权的用户户不得访访问该系系统。对涉及客客户信息息相关操操作，严严格按照照“金库模模式”实施指指导意见见要求求执行，对对业务系系统涉及及客户身身份资料料、位置置信息、通通话详单单、充值值记录等等高价值值信息的的高风险险操作纳纳入金库库管控。各系统在在信息获获取、处处理、存存储、消消除各环环节保护护客户信信息的完完整性、保保密性、可可用性，具具备但不不限于如

40、如下功能能：1).客客户信息息存储时时应具备备相应的的安全要要求，包包括存储储位置、存存储方式式等，对对于重要要的客户户信息，应应根据系系统实际际情况提提供必要要的加密密手段。2).应应具备完完善的权权限管理理策略，支支持权限限最小化化原则、合合理授权权，对不不能支持持此原则则的系统统，应减减少掌握握该权限限的人员员数量，并并加强人人员管理理。3).具具备完整整的用户户访问、处处理、删删除客户户信息的的操作记记录能力力，以备备审计。 新建系系统必须须满足本本要求，对对于不支支持本要要求的已已建系统统，应根根据实际际情况在在系统升升级中进进行改造造。4).在在传输客客户信息息时，经经过不安安全网

41、络络的（例例如INTTERNNET网），需需要对传传输的客客户信息息提供加加密和完完整性校校验8.3.4.77业务安安全管理理加强业务务内容安安全监控控，加强强对业务务内容源源引入、内内容提供供/发布、内内容传播播等环节节的审核核和监控控，并建建立和完完善内容容安全事事件的应应急处理理机制，确确保业务务内容提提供的健健康、合合法。提高业务务计费安安全控制制，加强强对业务务计费流流程的梳梳理，严严防计费费问题的的出现。针针对WAP、WWW、短信信等不同同业务订订购方式式，分别别采用有有效手段段，防止止业务计计费点被被套用；确保建建立和完完善业务务信息费费异常监监控技术术手段，及及时发现现计费安安

42、全问题题；对代代收费业业务应进进行定期期拨测，发发现问题题及时处处理。增强业务务系统外外部接口口安全防防护，高高度重视视与外部部系统有有交互接接口的业业务平台台的安全全风险，确确保交互互协议设设计的安安全可靠靠。加强强对外部部交互协协议与接接口的拨拨测，及及时发现现存在的的安全问问题。在在业务系系统建设设过程中中应在业业务系统统与外部部平台之之间规划划部署防防火墙、流流量监控控等安全全管控措措施。完善业务务使用流流程和制制度相关关自，加加强对业业务订购购、业务务认证、业业务使用用、业务务退订等等各环节节流程的的审核和和监控，及及时发现现安全问问题。对对业务订订购、变变更、退退订要提提供准确确的

43、核实实和确认认机制，对对业务认认证要重重点关注注敏感认认证数据据加密、认认证算法法强度和和认证失失败次数数控制等等。加强对互互联网营营销渠道道的安全全监控，采采取黑白白名单、动动态码验验证等技技术手段段防止营营销渠道道恶意盗盗链，建建立完善善的拨测测机制，监监控违规规情况。针针对第三三方营销销渠道，禁禁止层层层转包，并并定期进进行营销销规范性性拨测，发发现违规规情况及及时处理理。业务平台台运维从从系统、人人员、第第三方管管理等方方面，加加强业务务平台的的运维安安全管控控，防止止业务运运维中出出现安全全隐患。增增强业务务系统自自身的访访问控制制，严格格限制运运维人员员的帐号号、权限限，确保保权限

44、、角角色相符符合；加加强对运运维人员员的安全全意识和和技能培培训，提提高安全全运维能能力。 8.3.4.88安全检查查与维护护作业按照规范范要求，定定期进行行信息安安全检查查，形成成汇报材材料并进进行内部部通报。检检查应包包括但不不限于以以下内容容，1).每每月进行行1次检查查生产终终端及网网络接入入情况。2).平平均每2个月完完成1次全量量的系统统漏洞扫扫描，并并且完成成系统帐帐号弱口口令安全全检查工工作。3).每每月完成成1次全量Web漏洞扫扫描，每每半月完完成1次重要Web网站漏漏洞扫描描。4).针针对割接接变更的的业务系系统，每每月进行行1检查安安全基线线配置情情况。5).每每月出具具

45、1次安全全审计月月报。6).每每季度定定期抽检检要害人人员保密密协议、第第三方保保密协议议、信息息安全承承诺书、要要害人员员保密协协议签署署备案情情况。7).每每季度定定期抽检检业务系系统业务务流程制制定与执执行、信信息发布布与审核核等情况况。8).每每季度定定期抽检检新建系系统上线线安全验验收情况况。9).针针对重大大专项安安全保障障工作，根根据专项项工作的的具体要要求，信信息安全全组负责责制定专专项的安安全保障障工作安安排，其其中包括括：内容容安全保保障、业业务安全全保障、系系统与网网络安全全保障、客客户信息息安全保保障、第第三方保保障，并并组织基基地各部部门开展展各项安安全检查查工作。8.3.5 IIT运维服服务范围围 IT运运维是IT管理的的核心和和重点部部分，也也是内容容最多、最最繁杂的的部分，该该阶段主主要用于于IT部门内内部日常常运营管管理，涉涉及的对对象分成成两大部部分，即即IT业务系系统和运运维人员员，可细细