中国移动信息安全管理体系说明

单击此处编辑母版文本样式,第二级,第三级,单击此处编辑母版标题样式,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,*,目,标,标,：,：,对,涉,涉,及,及,公,公,司,司,运,运,营,营,的,的,所,所,有,有,信,信,息,息,资,资,产,产,（,（,对,对,通,通,信,信,网,网,业,业,务,务,系,系,统,统,、,、,各,各,支,支,撑,撑,系,系,统,统,网,网,络,络,、,、,以,以,及,及,市,市,场,场,、,、,财,财,务,务,、,、,研,研,发,发,、,、,人,人,力,力,的,的,各,各,类,类,重,重,要,要,信,信,息,息,）,）,进,进,行,行,保,保,护,护,，,，,保,保,障,障,公,公,司,司,“,“,新,新,跨,跨,越,越,战,战,略,略,”,”,实,实,施,施,，,，,保,保,护,护,公,公,司,司,的,的,核,核,心,心,竞,竞,争,争,力,力,。,。,指,导,导,思,思,想,想,：,：,以,风,风,险,险,管,管,理,理,为,为,核,核,心,心,，,，,预,防,防,为,为,主,主,，,，,技,技,术,术,手,手,段,段,为,为,支,支,撑,撑,，,，,围,绕,绕,信,信,息,息,和,和,信,信,息,息,系,系,统,统,生,生,命,命,周,周,期,期,，,，,逐,步,步,建,建,立,立,由,由,安,安,全,全,组,组,织,织,、,、,管,管,理,理,规,规,定,定,和,技,技,术,术,指,指,南,南,、,、,运,运,行,行,和,和,技,技,术,术,防,防,护,护,手,手,段,段,构,成,成,的,的,具,具,有,有,自,自,主,主,创,创,新,新,能,能,力,力,和,和,拓,拓,展,展,能,能,力,的,的,安,安,全,全,体,体,系,系,，,，,保,保,障,障,公,公,司,司,“,“,做,做,世,世,界,界,一,一,流,企,企,业,业,”,”,新,新,跨,跨,越,越,战,战,略,略,的,的,实,实,施,施,。,。,网,络,络,与,与,信,信,息,息,安,安,全,全,保,保,障,障,体,体,系,系,中,国,国,移,移,动,动,网,网,络,络,与,与,信,信,息,息,安,安,全,全,保,保,障,障,体,体,系,系,技术及防,护支撑手段,安全,运行,管理规定,和技术指南,安全,组织架构,制定,执行,支撑,基于,运用,建,立,立,目,录,录,信,息,息,安,安,全,全,：,：,企,企,业,业,面,面,临,临,的,的,巨,巨,大,大,挑,挑,战,战,中,国,国,移,移,动,动,信,信,息,息,安,安,全,全,管,管,理,理,体,体,系,系,介,介,绍,绍,中,移,移,动,动,网,网,络,络,与,与,信,信,息,息,安,安,全,全,总,总,纲,纲,安,全,全,事,事,件,件,分,分,布,布,安,全,全,事,事,件,件,的,的,损,损,失,失,安,全,全,威,威,胁,胁,方,方,的,的,分,分,布,布,独,立,立,黑,黑,客,客,：,：,黑,黑,客,客,攻,攻,击,击,越,越,来,来,越,越,频,频,繁,繁,，,，,直,直,接,接,影,影,响,响,企,企,业,业,正,正,常,常,的,的,业,业,务,务,运,运,作,作,！,！,内,部,部,员,员,工,工,：,：,1,、,信,信,息,息,安,安,全,全,意,意,识,识,薄,薄,弱,弱,的,的,员,员,工,工,误,误,用,用,、,、,滥,滥,用,用,等,等,；,；,2,、,越,越,权,权,访,访,问,问,，,，,如,如,：,：,系,系,统,统,管,管,理,理,员,员,，,，,应,应,用,用,管,管,理,理,员,员,越,越,权,权,访,访,问,问,数,数,据,据,；,；,3,、,政,政,治,治,言,言,论,论,发,发,表,表,、,、,非,非,法,法,站,站,点,点,的,的,访,访,问,问,等,等,；,；,4,、,内,内,部,部,不,不,稳,稳,定,定,、,、,情,情,绪,绪,不,不,满,满,的,的,员,员,工,工,。,。,如,如,：,：,员,员,工,工,离,离,职,职,带,带,走,走,企,企,业,业,秘,秘,密,密,，,，,尤,尤,其,其,是,是,企,企,业,业,内,内,部,部,高,高,层,层,流,流,动,动,、,、,集,集,体,体,流,流,动,动,等,等,！,！,竞,争,争,对,对,手,手,：,：,法,法,制,制,环,环,境,境,不,不,健,健,全,全,，,，,行,行,业,业,不,不,正,正,当,当,竞,竞,争,争,（,（,如,如,：,：,窃,窃,取,取,机,机,密,密,，,，,破,破,坏,坏,企,企,业,业,的,的,业,业,务,务,服,服,务,务,）,）,！,！,国,外,外,政,政,府,府,或,或,机,机,构,构,：,：,法,法,制,制,环,环,境,境,不,不,健,健,全,全,，,，,行,行,业,业,不,不,正,正,当,当,竞,竞,争,争,（,（,如,如,：,：,窃,窃,取,取,机,机,密,密,，,，,破,破,坏,坏,企,企,业,业,的,的,业,业,务,务,服,服,务,务,）,）,！,！,企业面临的,主,主要信息安,全,全问题,人员问题：,信息安全意,识,识薄弱的员,工,工误操作、,误,误设置造成,系,系统宕机、,数,数据丢失，,信,信息泄漏等,问,问题,特权人员越,权,权访问，如,：,：系统管理,员,员，应用管,理,理员越权访,问,问、传播敏,感,感数据,内部员工和,即,即将离职员,工,工窃取企业,秘,秘密，尤其,是,是骨干员工,流,流动、集体,流,流动等,技术问题：,病毒和黑客,攻,攻击越来越,多,多、爆发越,来,来越频繁，,直,直接影响企,业,业正常的业,务,务运作,法律方面,网络滥用：,员,员工发表政,治,治言论、访,问,问非法网站,法制不健全,，,，行业不正,当,当竞争（如,：,：窃取机密,，,，破坏企业,的,的业务服务,）,）,信息安全事,件,件回放（一,）,）,全国最大的,网,网上盗窃通,讯,讯资费案,某合作方工,程,程师，负责,某,某电信运营,商,商的设备安,装,装。获得充,值,值中心数据,库,库最高系统,权,权限,从,2005,年,2,月开始，复,制,制出了,14000,个充值密码,。,。获利,380,万。,2005,年,7,月,16,日才接到用,户,户投诉说购,买,买的充值卡,无,无法充值，,这,这才发现密,码,码被人盗窃,并,并报警。,无法充值的,原,原因是他最,后,后盗取的那,批,批密码忘记,了,了修改有效,日,日期,反思：目前,是,是否有类似,事,事件等待进,一,一步发现,对第三方的,有,有效安全管,理,理规范缺失,信息安全事,件,件回放（二,）,）,北京,ADSL,断网事件,2006,年,7,月,12,日,14:35,左右，北京,地,地区互联网,大,大面积断网,。,。,事故原因：,路,路由器软件,设,设置发生故,障,障，直接导,致,致了这次大,面,面积断网现,象,象。,事故分析：,操,操作设备的,过,过程中操作,失,失误或软件,不,不完善属于,“,“天灾”，,但,但问题出现,后,后不及时恢,复,复和弥补，,这,这就涉及人,为,为的因素了,，,，实际上这,也,也是可以控,制,制的。,需制,定,定实,施,施的,业,业务,连,连续,性,性管,理,理体,系,系,信息,安,安全,事,事件,回,回放,（,（三,）,）,希腊,总,总理,手,手机,被,被窃,听,听，,沃,沃达,丰,丰总,裁,裁遭,传,传唤,早在,2004,年雅,典,典奥,运,运会,之,之前,，,，希,腊,腊高,官,官们,的,的手,机,机便,已,已开,始,始被,第,第三,方,方窃,听,听,，,，,2006,年,3,月份,才,才被,发,发现,。,。,事故,原,原因,：,：沃,达,达丰,（,（希,腊,腊）,公,公司,的,的中,央,央服,务,务系,统,统被,安,安装,了,了间,谍,谍软,件,件,制定,严,严格,的,的核,心,心操,作,作系,统,统访,问,问控,制,制流,程,程,信息,安,安全,事,事件,（,（四,）,）,两名,电,电信,公,公司,员,员工,利,利用,职,职务,上,上的,便,便利,篡,篡改,客,客户,资,资料,，,，侵,吞,吞ADSL宽,带,带用,户,户服,务,务费76.7,万,万余,元,元,事故,原,原因,：,：内,部,部安,全,全管,理,理缺,失,失,缺乏有效,的,的内控措,施,施和定期,审,审计,对信息安,全,全问题产,生,生过程的,认,认识,环境,威胁,方,资产,系统漏洞,管理漏洞,物理漏洞,威胁（破坏或滥用）,利用,工具,通过,中移动网,络,络与信息,安,安全体系,建,建立紧迫,性,性,李跃总的,讲,讲话,安全问题,已,已时不我,待,待。我所,讲,讲的安全,问,问题还不,是,是黑客和,防,防病毒，,只,只讲我们,自,自身的工,作,作安全。,从全球及,我,我们自身,看,看，网络,安,安全的形,式,式非常严,峻,峻,进入网管,中,中心或者,通,通过网管,中,中心进入,各,各生产网,元,元，一定,要,要实行有,效,效的多次,密,密码认证,的,的管理，,严,严格管理,每,每一次进,入,入。,对,内部人员,的,的登陆要,有,有严格的,管,管理规定,，,，后台操,作,作要留有,痕,痕迹。不,能,能光管外,人,人不管自,己,己。（重,在,在管理，,其,其次是手,段,段）,对外来人,员,员的进入,，,，我们一,定,定要限人,、,、限时、,限,限范围，,明,明确进入,的,的时间、,进,进入的目,的,的。谁放,厂,厂家的人,进,进去谁就,要,要负责检,查,查，并做,好,好记录，,要,要承担起,核,核心设备,网,网元的管,理,理权，出,了,了问题要,承,承担责任,。,。,信息安全,是,是信息服,务,务提供商,的,的核心保,证,证,一个不安,全,全的网络,，,，将不可,能,能提供高,质,质量的信,息,息服务,信息服务,必,必须让客,户,户可信任,解决信息,安,安全问题,的,的关键,建立一个,完,完善的信,息,息安全管,理,理体系,目录,信息安全,：,：企业面,临,临的巨大,挑,挑战,中国移动,信,信息安全,管,管理体系,介,介绍,中移动网,络,络与信息,安,安全总纲,中移动网,络,络与信息,安,安全建设,总,总体思路,基于信息,安,安全管理,国,国际标准,BS7799/ISO17799,综合顾问,的,的管理和,技,技术经验,，,，结合公,司,司现有的,信,信息安全,管,管理措施,以公司信,息,息安全现,状,状为基础,，,，充分考,虑,虑了公司,所,所存在的,信,信息安全,风,风险,参考国外,业,业界最佳,实,实践，同,时,时考虑国,内,内的管理,和,和法制环,境,境,中移动网,络,络与信息,安,安全的目,标,标,为中国移,动,动的网络,与,与信息安,全,全管理工,作,作建立科,学,学的体系,，,，确保安,全,全控制措,施,施落实到,位,位，为各,项,项业务的,安,安全运行,提,提供保障,。,。,目前公司,网,网络与信,息,息安全工,作,作的重点,集,集中在可,用,用性、保,密,密性和可,审,审查性。,可用性,保密性,可审查性,确保被授,权,权用户能,够,够在需要,时,时获取网,络,络与信息,资,资产。,关键信息,资,资产的使,用,用都必须,经,经过授权,，,，只有得,到,到相应授,权,权的人员,才,才可使用,网,网络和保,密,密信息,任何对公,司,司业务运,作,作的威胁,和,和破坏行,为,为都得到,记,记录，并,能,能跟踪和,追,追查,中移动信,息,息安全建,设,设原则与,总,总体策略,安全管理,流,流程、制,度,度和安全,控,控制措施,的,的设计应,基,基于风险,分,分析，而,不,不应基于,信,信任管理,权限制衡,和,和监督原,则,则：安全,管,管理人员,和,和网络管,理,理人员、,主,主机管理,人,人员相互,制,制约,作为国家,基,基础设施,提,提供商，,其,其网络与,信,信息安全,工,工作目前,必,必须围绕,公,公司业务,