中国电信内控实施细则(XXXX版中册)

中国电信股份xxxx分公司部控制实施细则手册中册（２０10年修订）目录（中册）1.对程序和数据的访问31.1 交换类系统31.2 智能网和业务平台121.3 MBOSS-A类系统231.4 MBOSS-B类系统342.程序变更管理452.1 交换类系统452.2 智能网和业务平台51 2.3 MBOSS-A类系统592.4 MBOSS-B类系统673.程序开发754.系统运行824.1 交换类系统824.2 智能网和业务平台89 4.3 MBOSS-A类系统964.4 MBOSS-B类系统1045.最终用户计算1091.对程序和数据的访问1.1交换类系统一、业务流程围1、所涉及的业务围逻辑安全和物理安全、用户账号的添加、修改及删除控制、用户账号的定期审阅、职责分工控制。

2、所涉及的部门围前后端相关部门，包括运行维护、计费结算、市场等领域。

二、所涉及的计算机系统负责生成话单的网络运营支持系统（交换机类），包含但不限于交换机、NGN、网关、关口局；以及其他对财务报表的准确性有直接影响的交换类设备，包含但不限于HLR,SHLR等。

三、目标1、对于与财务报告相关的信息，公司应制定相关的信息安全管理政策并使员工意识到公司对信息安全重要性的重视。

2、对公司信息技术资源的物理访问及逻辑访问已建立起通过用户身份的识别，认证及授权的管理机制，以降低由于对系统及数据的未经授权的访问所带来的风险。

3、建立相关流程以确保用户添加、修改、删除都经过管理层授权，及相关操作的准确性和及时性。

4、确期对系统中用户的访问权限进行审阅，以减少未经授权或不适当的对系统或数据进行访问而带来的风险。

5、确保在关键流程中存在适当的职权分离。

四、风险1、公司缺乏可遵循的信息安全管理政策，信息安全管理不规，增加信息安全隐患。

2、缺乏必要的物理访问及逻辑访问管理机制，导致对信息资源未经授权的访问,非法修改系统数据。

3、对添加、修改、删除用户未经过管理层授权，离职员工未及时在系统中删除，导致对系统及数据未经授权或不适当访问。

4、对系统或数据非法和不适当的访问不能被及时发现。

5、系统的权限分配与业务部门授权确定的职责分工要求不符。

五、相关会计科目收入类科目。

六、流程概述1、信息安全管理股份公司按照工业与信息化部或股份公司的相关规定和标准，严格确保交换类设备的安全，进行定期检查并保留书面的检查记录。

2、用户账号的管理2.1 超级用户账号的管理交换类系统的管理员账号的使用仅限于经严格认证的授权人员。

管理员账号的授权经运行维护部门及相关各级主管人员的审批。

授权审批文档集中归档。

对管理员账号在交换类系统的访问及操作要记录并保留日志，并由运行维护部门主管人员每周审阅。

在管理员工作调动或离职等工作职能发生变化时，及时由人力资源部门或用户部门正式通知运行维护部门，按照交换类系统管理员账号的管理流程，由系统管理员更新或删除其相应的访问权限。

2.2 用户账号访问权限的定期审阅运行维护部门主管人员半年对交换类系统的管理员账号进行审阅，以发现任何不合适的管理员访问权限。

发现的问题要及时跟进解决。

审阅结果留下记录。

运行维护部门主管人员半年对电信机房的访问权限清单进行审阅，如果发现不恰当用户的存在及时通知机房管理人员取消相应用户的授权。

3、信息系统的的逻辑访问和物理访问对交换类系统管理员账号的访问采用身份验证机制，而且每个交换类系统管理员账号被授予唯一的维护管理人员。

如果由于系统限制存在管理员账号共享，其密码在其中任一管理员离职时及时更改，以防止非法访问。

按照股份公司及省公司对访问交换类系统的相关规定，对交换类系统固化相应的密码政策设置，以确保用户使用安全级别高的密码。

密码政策包括: 用户密码长度最低位数的规定，密码90天或1季度更换的规定，不得使用最近的密码。

运行维护部门管理人员每周审核交换类系统（包括操作系统和专用管理软件）的安全日志记录，识别潜在的违规，如发现安全问题按照相关的管理规定及时上报。

交换类系统的硬件设备必须存放在符合工业与信息化部、股份公司及省公司制定的安全标准的机房中。

所有出入口均具备电子门禁系统或门锁的保护。

人员进出机房时在机房门禁系统或机房进出登记簿中留下记录。

只有经过授权的人员可对存放有交换类系统设备的电信机房和设备进行物理访问。

对电信机房的访问授权经过各级相关部门主管人员的审批。

按照相关规定及安全标准，对电信机房进行严格的环境监控（如24小时闭路电视监控、防盗监控系统等），以及时发现对电信机房未经授权的访问并进行处理。

监控系统必须留下环境监控的记录。

交换类系统必须确保与外网/公网的隔离，并通过网络安全控制手段阻止网的不适当访问。

4、职责分工按照相关的规定，对维护交换类系统的计费相关设备的维护管理员，特别是具有访问管理终端权限的维护管理员，必须遵循严格的职责分工。

按照相关的规定，实行多级的管理权限划分，对于通话记录(CDR)数据的访问仅限于有最高安全权限的管理员。

七、信息技术控制点八、相关制度和备查文件1、少人无人值守机房管理要求（试行）2、中国电信[2006]221 号《关于尽快落实IT控所涉及部分紧急事项的通知》3、中国电信股份[2007]114号《关于进一步明确IT 控有关要求的通知》4、中国电信信息〔2008〕44号《关于在C 网承接及全业务运营中进一步加强IT 控相关工作的通知》1.2 智能网和业务平台一、业务流程围1、所涉及的业务围逻辑安全和物理安全、用户的添加、修改及删除控制、用户的定期审阅、职责分工控制。

2、所涉及的部门围前后端相关部门，包括运行维护、计费结算、市场等领域。

二、所涉及的计算机系统具有计费或账务功能的非MBOSS系统，包含但不限于智能网、增值业务平台、卡平台等。

增值业务平台包含但不限于短信平台、彩信平台、彩铃平台、WAP平台、ISMP平台、上网卡平台等。

xxxx包括的平台有B.1 200、201/B.2统一预付费/B.3 彩信中心、短信中心及网关（计费采集点）/B.4 IVPN平台/B.5 彩铃网关及平台（计费采集点）/B.6 WAP平台/B.7 AAA平台/B.8 综合业务管理平台ISMP/B.9全国数字音乐平台。

三、目标1、对于与财务报告相关的信息，公司应制定相关的信息安全管理政策并使员工意识到信息安全的重要性。

2、对公司信息技术资源的物理访问及逻辑访问已建立起通过用户身份的识别，认证及授权的管理机制，以降低由于对系统及数据未经授权的访问所带来的风险。

3、建立相关流程以确保用户添加、修改、删除都经过管理层授权，及相关操作的准确性和及时性。

4、确期对系统中用户的访问权限进行审阅，以减少未经授权或不适当的对系统或数据进行访问而带来的风险。

5、确保在关键流程中存在适当的职权分离。

四、风险1、公司缺乏可遵循的信息安全管理政策，信息安全管理不规，增加信息安全隐患。

2、缺乏必要的物理访问及逻辑访问管理机制，导致对信息资源未经授权的访问,非法修改系统数据。

3、对添加、修改、删除用户未经过管理层授权，离职员工未及时在系统中删除，导致对系统及数据未经授权或不适当访问。

4、对系统或数据非法和不适当的访问不能被及时发现。

5、系统的权限分配与业务部门授权确定的职责分工要求不符。

五、相关会计科目收入类科目。

六、流程概述1、信息安全管理股份公司及省公司在组织中建立了信息安全职能，并制定相应的组织结构图及部门、人员职责描述文档。

股份公司及省公司制定了正式并经过管理层批准的信息安全政策，围包括所有与生成财务报告的程序和数据相关的信息技术环境（例如网络安全、物理安全、操作系统安全、应用程序安全等方面）。

用户和信息技术人员都应知晓本公司的信息安全政策。

2、用户的管理2.1 用户的添加、修改及删除控制公司建立了用户及其权限设置的管理流程，对智能网和业务平台的用户创建和授权必须通过系统使用部门和系统维护部门审批后，方可由系统管理员在系统中创建用户，以避免未经授权及权限的创建或修改。

如果IT服务供应商需要在系统中创建账号，则需签署协议或条款，并且在经过IT服务供应商管理部门和系统维护部门审批后，方可由系统管理员在系统中创建用户，以避免未经授权及权限的创建或修改。

在员工以及IT服务供应商人员工作调动或离职等工作职能发生变化时，由人力资源部门或用户部门或IT服务供应商管理部门及时正式通知系统维护部门，由系统管理员更新或删除其相应的访问权限。

2.2 超级用户的管理以下各超级用户/特权功能用户的使用仅限于经授权人员，用户的授权须经系统维护部门主管人员或相关业务部门主管人员的授权审批：●操作系统的超级用户、(比如root用户，系统管理员，安全管理员，批处理用户)。

●数据库的超级用户（比如数据库管理员）。

●智能网和业务平台的特权功能用户（例如具有增加/变更/删除用户等权限）。

IT服务供应商不得具有超级用户。

智能网和业务平台的管理（包括操作系统、数据库和应用程序层面）如果由于系统限制存在共享，其密码在其中任一管理员离职时需及时更改，以防止非法访问。

2.3 用户访问权限的定期审阅业务部门、系统维护部门和IT服务供应商管理部门对智能网和业务平台的用户账号和用户访问权限进行每半年审阅，以发现任何不合适的系统访问权限。

发现的问题要及时跟进解决。

审阅结果留下记录。

系统维护部门主管人员每半年对机房访问权限清单进行审阅，如果发现存在不适当用户及时通知机房管理人员取消相应用户的授权。

3、信息系统的逻辑访问和物理访问在智能网和业务平台中采用用户身份的验证机制，对智能网和业务平台的访问必须使用用户名和密码或者其他身份验证机制（例如USB KEY），而且每个用户被授予唯一的用户。

系统维护部门对访问智能网和业务平台（包括操作系统、数据库和应用程序层面）的用户（含超级用户）制定密码政策，并根据密码政策在系统固化相应的设置，以避免用户使用安全级别低的密码。

密码政策应包括:用户密码长度最低位数的规定，密码至少一季度或90天更换的规定，不得使用最近的密码。

对于使用密钥棒或动态密码卡的系统，需要配合使用由用户掌握的PIN码。

独立于系统管理员的日志管理员负责每周检查智能网和业务平台应用程序、操作系统和数据库层面安全日志记录（含对于重要的数据增、删、改操作），发现异常现象应及时跟进或上报。

安装智能网和业务平台应用程序、操作系统和数据库的硬件设备存放在安全的机房中。

所有出入口均具备电子门禁系统或门锁的保护。

只有经授权的人员可对存放智能网和业务平台设备的计算机机房和设备进行物理访问。

对机房的访问授权须经系统维护部门主管审批。

非授权人员出入机房必须由机房工作人员陪同。

人员进出机房会在机房门禁系统或机房进出日志中留下记录。

4、职责分工在智能网和业务平台中创立新用户角色或对用户组(或用户)角色定义进行修改时，根据业务部门或相关管理部门对用户角色权限的审批结果进行设定。