中国移动网络与信息安全保障体系
网络与信息保障措施 国网
网络与信息保障措施：国网的做法什么是网络与信息保障网络与信息保障是指在网络环境下，为确保数据的保密性、完整性和可用性而采取的技术和措施。
它是指在计算机网络、互联网、包括各种移动通信技术等网络技术中，利用多种信息技术手段，保障信息系统安全性的一组措施和技术。
国网的网络与信息保障措施国网是一家致力于建设和运营中国电力系统的公司，为了保障系统的安全稳定运行，国网制定了一系列网络与信息保障措施。
组织建设方面国网在网络与信息保障方面，首先通过加强组织建设，打造技术防御、管理保障体系。
建立了网络安全管理中心、信息安全保障部和网络安全管理处等机构，全力推动网络安全防护工作的开展。
安全审计方面国网每年都对信息系统安全水平进行全面评估。
安全审计部门利用全面的安全测试工具和方法，对公司各级信息系统进行了全面的漏洞扫描、渗透测试等活动，并对测试结果进行了详细的分析和总结，及时发现系统漏洞并协助相关部门解决安全问题。
网络防护方面国网通过建立多层次的网络防护措施，确保系统在遭受攻击时，能够及时发现、快速处理。
其中，网络入侵检测系统和网络漏洞扫描工具是国网重要的网络防护措施，并通过不断更新软件补丁等手段，及时修补系统中存在的漏洞。
信息加密方面在信息传输过程中，为保障信息的机密性和完整性，国网采取了多种加密措施。
这包括采用高强度算法，对重要数据进行加密存储和传输，以及网络传输中采用加密协议对传输口数据进行加密等措施。
结论通过上述多方面措施，国网已经建立了完备的网络与信息保障体系，为保障电网安全运行起到了重要的作用。
网络与信息保障是一个复杂的系统工作，需要持续地投入人力、物力和财力来不断完善和更新。
中国电力企业也应加强网络与信息保障方面的投入，为建设现代化电力网络打造强有力的保障体系，更好地服务于我国能源发展和经济的繁荣。
中国移动：层层压实防控责任全力保障网络畅通
17独家策划Enterprise Civilization新型冠状病毒疫情发生后，作为关系国计民生的中央企业，中国移动通信集团有限公司（以下简称“中国移动”）迅速行动，主动担起央企责任使命，坚定不移把党中央、国务院关于新型冠状病毒感染的肺炎疫情防控工作的决策部署落到实处，把人民群众和员工的生命安全放在首位，统筹做好疫情防控网络和信息安全保障、通信和信息服务、资源保障等工作。
坚决担起政治责任全力保网络保服务保防控提高站位，压实责任，坚决打赢疫情防控阻击战。
中国移动党组第一时间召开党组会议，认真学习贯彻习近平总书记关于新型冠状病毒感染的肺炎疫情防控工作的重要指示批示精神和上级部门部署安排，把确保疫情防控相关通信网络和信息服务畅通作为增强“四个意识”、坚定“四个自信”、做到“两个维护”的具体行动，研究部署做好疫情防控工作的措施，成立中国移动应对新型冠状病毒感染肺炎疫情工作领导小组；进一步强化组织领导，加强统一指挥协调调度，确保组织到位、人员到位、物资到位，确保号令上下贯通、行动协调有力，做到守土有责、守土担责、守土尽责，发扬连续作战精神，层层压实防控责任，为打赢疫情防控阻击战提供有力保障和强力支持。
彰显央企担当，全力做好“三个保障”。
公司认真履行央企政治责任和社会责任，切实发挥基础电信企业应急保障能力，做好网络保障、服务保障、防控保障。
加快各地“小汤山”模式医院、隔离点等区域的通信网络同步覆盖，做好医院等重点场景网络能力扩容升级，提升无线网络和家庭宽带网络质量。
提供绿色便捷服务，为疫情防控指挥、医务人员、被隔离人员等80余万重点客户提供 “爱心不掉线”等便民服务，减免7 000余名医护人员通信费，提供延期停机和热线紧急复机服务，强化疫情防控大数据支撑。
优先保障疫情防控一线的防护物资需求，坚决防范发生聚集性、群体性感染。
利用5G 高清视频直播、视频彩铃等业务模式，支撑各级媒体开展融媒体传播，深入宣传党中央重大决策部署，充分报道各地区各部门联防联控的措施成效，生动讲述防疫抗疫一线的感人事迹。
{业务管理}等级保护设计要求下的移动业务系统安全防御体系
（业务管理）等级保护设计要求下的移动业务系统安全防御体系等级保护设计要求下的“移动业务系统安全防御体系”1、引言随着全球信息化进程的不断推进，我国政府及各行各业也于进行大量的信息系统的建设，这些信息系统已经成为国家重要的基础设施，因此，信息系统安全问题已经被提升到关系国家安全和国家主权的战略性高度，已引起党和国家领导以及社会各界的关注。
随着政府电子政务办公、移动警务办公、移动执法等信息化建设和发展，作为现代信息社会重要基础设施的信息系统，其安全问题必将对我国的政治、军事、经济、科技、文化等领域产生至关重要的影响。
能否有效的保护信息资源，保护信息化进程健康、有序、可持续发展，直接关乎国家安危，关乎民族兴亡，是国家民族的头等大事。
没有信息安全，就没有真正意义上的政治安全，就没有稳固的经济安全和军事安全，没有完整意义上的国家安全。
经党中央和国务院批准，国家信息化领导小组决定加强信息安全保障工作，实行信息安全等级保护，重点保护基础信息网络和重要信息系统安全，要抓紧信息安全等级保护制度的建设。
对信息系统实行等级保护是我国的法定制度和基本国策，是开展信息安全保护工作的有效办法，是信息安全保护工作的发展方向。
实行信息安全等级保护的决定具有重大的现实和战略意义。
2、《等级保护设计要求》思路的启迪按照信息系统业务处理过程将系统划分成计算环境、区域边界和通信网络三部分，以终端安全为基础对这三部分实施保护，构成由安全管理中心支撑下的计算环境安全、区域边界安全、通信网络安全所组成的三重防护体系结构。
于移动终端安全的领域中，计算环境如PDA、智能手机、PAD等，核心业务系统包括警务通、智能办公系统（OA\ERP）等，目前采用传统的传输加密技术手段仅考虑到如何解决非法接入及链路劫持安全问题，如VPN等，安全防御较为单壹化和局限性，公开的加密算法及隧道的传输模式已无法适应现代化的网络基础设施，于等级保护的信息安全建设中，应从整体安全体系模型考虑潜于风险问题，如计算环境安全、网络通信安全、区域边界安全。
中国移动公司终端安全控制与审计建议方案_北信源武汉分公司_20140719
所有终端接入 网络之前必须 安装终端安全 管理客户端软 件，接受终端 安全管理平台 的管理和监控， 未安装该客户 端的终端不得 接入中国移动 网络。
终端接入网络 之前可选择对 终端进行身份 鉴权认证，未 通过身份鉴权 的终端无法访 问任何系统、 应用以及设备。
终端接入网络 必须接受终端 安全策略检查 并通过终端接 入安全认证， 未通过认证接 入的终端无法 访问任何系统、 应用和设备。
外来移动介质随意接入泄 密
违规软件安装
对移动介质使用缺乏管理，随意接入，造成重要信息泄 露
违规安装企业或者国家相关部门禁止安装的软件，带来 法律风险的同时引入病毒或者木马程序。
终端安全风险评估-脆弱性识别
终端脆弱性识别 种类
操作系统漏洞
描述
关键高危系统漏洞未及时更新，给黑客、木马等带来可乘之机
防毒软件未安装 防毒软件未安装或者病毒库未及时更新，当病毒发作时未及时发 现或者清除，有可能造成其它内网终端感染。
移动公司终端安全控制与审计 标 题 建议方案
内 容
中移动信息安全建设必要性 怎样进行信息安全建设
VRV
中移动终端安全与审计建议方案 参考标准
网络与信息安全的重要性
网络与信息都是资产，具有不可或缺的重要价值；
网络与信息安全是企业运营与发展的基础和核心；
网络与信息安全是保证网络品质、保障客户利益的基础； 中移动的网络与信息安全同时也是国家安全的需要
开发测试终端 只允许访问开发测试域，受限访问相关的技术支持和服务网站， 不允许访问除此以外的任何域外环境 临时接入终端 原则上只允许接入办公域，如需接入其它域则必须经过流程审 批，审批通过后方可接入，在接入生产域和业务域时必须由本 公司相关接口人全程陪同
中国移动网络与信息安全总纲
中国移动网络与信息安全总纲精品资料网（）25万份精华管理资料，2万多集管理视频讲座中国移动网络与信息安全总纲中国移动通信集团公司2006年7月本文档版权由中国移动通信集团公司所有。
未经中国移动通信集团公司书面许可，任何单位和个人不得以任何形式摘抄、复制本文档的部分或全部，并以任何形式传播。
中国移动[注]的通信网络和支撑系统是国家基础信息设施，必须加以妥善保护。
随着网络和通信技术的快速发展，网络互联与开放、信息共享带来了日益增长的安全威胁。
为了企业乃至国家的网络与信息安全，为了保障客户利益，加强各方面的安全工作刻不容缓！制订和颁布本标准的目的是为中国移动的网络与信息安全管理工作建立科学的体系，力争通过科学规范的全过程管理，结合成熟和领先的技术，确保安全控制措施落实到位，为各项业务的安全运行提供保障。
本标准主要依据国际规范，参考业界的成熟经验，结合中国移动的实际情况进行补充、修改、完善而来。
本标准目前主要针对互联网、支撑网等IT系统安全。
[注]：本标准所称“中国移动”是指中国移动通信集团公司及由其直接或间接控股的公司。
中国移动通信集团公司，以下简称“集团公司”。
各移动通信有限责任公司，以下简称“各省公司”。
前言 (2)目录 (3)总则 (13)1．网络与信息安全的基本概念 (13)2．网络与信息安全的重要性和普遍性 (13)3．中国移动网络与信息安全体系与安全策略 (14)4．安全需求的来源 (16)5．安全风险的评估 (17)6．安全措施的选择原则 (18)7．安全工作的起点 (18)8．关键性的成功因素 (19)9．安全标准综述 (20)10．适用范围 (24)第一章组织与人员 (26)第一节..................................................... 组织机构261．领导机构 (26)2．工作组织 (27)3．安全职责的分配 (28)4．职责分散与隔离 (29)5．安全信息的获取和发布 (30)6．加强与外部组织之间的协作 (30)7．安全审计的独立性 (31)第二节...................................... 岗位职责与人员考察311．岗位职责中的安全内容 (31)2．人员考察 (32)3．保密协议 (33)4．劳动合同 (33)5．员工培训 (33)第三节.......................... 第三方访问与外包服务的安全341．第三方访问的安全 (34)2．外包服务的安全 (35)第四节...................................... 客户使用业务的安全37第二章网络与信息资产管理 (38)第一节................................ 网络与信息资产责任制度381．资产清单 (38)2．资产责任制度 (39)第二节....................... 资产安全等级及相应的安全要求421．信息的安全等级、标注及处置 (42)2．网络信息系统安全等级 (44)第三章物理及环境安全 (46)第一节..................................................... 安全区域461．安全边界 (46)2．出入控制 (47)3．物理保护 (48)4．安全区域工作规章制度 (49)5．送货、装卸区与设备的隔离 (50)第二节..................................................... 设备安全511．设备安置及物理保护 (51)2．电源保护 (52)3．线缆安全 (53)4．工作区域外设备的安全 (54)5．设备处置与重用的安全 (54)第三节............................................ 存储媒介的安全551．可移动存储媒介的管理 (55)2．存储媒介的处置 (55)3．信息处置程序 (56)4．系统文档的安全 (57)第四节............................................... 通用控制措施581．屏幕与桌面的清理 (58)2．资产的移动控制 (59)第四章通信和运营管理的安全 (60)第一节............................................ 操作流程与职责601．规范操作细则 (60)2．设备维护 (61)3．变更控制 (62)4．安全事件响应程序 (62)5．开发、测试与现网设备的分离 (63)第二节.......................... 系统的规划设计、建设和验收641．系统规划和设计 (64)2．审批制度 (64)3．系统建设和验收 (65)4．设备入网管理 (67)第三节............................................ 恶意软件的防护67第四节...................................... 软件及补丁版本管理69第五节............................................ 时钟和时间同步70第六节..................................................... 日常工作701．维护作业计划管理 (70)2．数据与软件备份 (70)3．操作日志 (72)4．日志审核 (72)5．故障管理 (73)6．测试制度 (74)7．日常安全工作 (74)第七节............................................... 网络安全控制75第八节......................................... 信息与软件的交换761．信息与软件交换协议 (76)2．交接过程中的安全 (76)3．电子商务安全 (77)4．电子邮件的安全 (78)5．电子办公系统的安全 (79)6．信息发布的安全 (80)7．其他形式信息交换的安全 (81)第五章网络与信息系统的访问控制 (82)第一节............................................... 访问控制策略82第二节............................................... 用户访问管理841．用户注册 (84)2．超级权限的管理 (85)3．口令管理 (87)4．用户访问权限核查 (88)第三节..................................................... 用户职责881．口令的使用 (88)2．无人值守的用户设备 (89)第四节............................................... 网络访问控制901．网络服务使用策略 (91)2．逻辑安全区域的划分与隔离 (91)3．访问路径控制 (92)4．外部连接用户的验证 (93)5．网元节点验证 (93)6．端口保护 (94)7．网络互联控制 (94)8．网络路由控制 (95)9．网络服务的安全 (95)第五节...................................... 操作系统的访问控制951．终端自动识别 (96)2．终端登录程序 (96)3．用户识别和验证 (97)4．口令管理系统 (97)5．限制系统工具的使用 (98)6．强制警报 (99)7．终端超时关闭 (99)8．连接时间限制 (100)第六节............................................... 应用访问控制1001．信息访问限制 (100)2．隔离敏感应用 (101)第七节................................... 系统访问与使用的监控1011．事件记录 (102)2．监控系统使用情况 (102)第八节............................................ 移动与远程工作1041．移动办公 (104)2．远程办公 (105)第六章系统开发与软件维护的安全 (107)第一节............................................ 系统的安全需求107第二节............................................ 应用系统的安全1091．输入数据验证 (109)2．内部处理控制 (110)3．消息认证 (111)4．输出数据验证 (112)第三节............................................ 系统文件的安全1121．操作系统软件的控制 (112)2．系统测试数据的保护 (113)3．系统源代码的访问控制 (114)第四节................................ 开发和支持过程中的安全1151．变更控制程序 (115)2．软件包的变更限制 (116)3．后门及特洛伊代码的防范 (117)4．软件开发外包的安全控制 (118)第五节......................................... 加密技术控制措施1181．加密技术使用策略 (119)2．使用加密技术 (119)3．数字签名 (120)4．不可否认服务 (121)5．密钥管理 (121)第七章安全事件响应及业务连续性管理 (124)第一节...................................... 安全事件及安全响应1241．及时发现与报告 (125)2．分析、协调与处理 (125)3．总结与奖惩 (127)第二节............................................ 业务连续性管理1271．建立业务连续性管理程序 (127)2．业务连续性和影响分析 (128)3．制定并实施业务连续性方案 (129)4．业务连续性方案框架 (130)5．维护业务连续性方案 (132)第八章安全审计 (134)第一节......................................... 遵守法律法规要求1341．识别适用的法律法规 (134)2．保护知识产权 (135)3．保护个人信息 (135)4．防止网络与信息处理设施的不当使用 (136)5．加密技术控制规定 (136)6．保护公司记录 (137)7．收集证据 (137)第二节............................................ 安全审计的内容138第三节............................................... 安全审计管理1381．独立审计原则 (139)2．控制安全审计过程 (139)3．保护审计记录和工具 (140)参考文献 (141)术语和专有名词 (142)附录1：安全体系第二层项目清单（列表） (143)总则1．网络与信息安全的基本概念网络与信息安全包括下列三个基本属性：➢机密性（Confidentiality）：确保网络设施和信息资源只允许被授权人员访问。
中国移动网络互联安全管理办法(v1.0)
中国移动网络互联安全管理办法第一章总则第一条为加强中国移动通信有限公司（以下简称“有限公司”）及各省公司（有限公司和各省公司统称“中国移动”）网络互联安全管理，保障在安全可控的前提下满足不同网络之间的互访需求，根据《中华人民共和国计算机信息系统安全保护条例》、《中国移动网络与信息安全保障体系（NISS）总纲》等国家和公司相关规定，制定本办法。
第二条网络互联应符合“谁主管、谁负责，谁接入、谁负责”总体原则，遵从“基于需求”、“集中化”及“可控”等具体原则。
通过规范申请、审批等过程，实现安全的网络互联。
第三条本办法由中国移动通信有限公司网络部制定、监督实施和解释。
第四条本办法自发布之日起执行，各省公司应制定具体实施细则。
第二章适用范围第五条本办法适用于有限公司及各省公司的建设部门，通信网、业务网和各支撑系统维护部门以及与中国移动相关的所有合作伙伴，如SP、CP、代维公司、银行、设备供应商等等。
第六条CMNet专线用户的管理以业务部门相关规定为准，不在本办法管理范围内。
第七条电信运营商之间网络的互联管理不在本办法规定范围内，可参见信息产业部《电信管理条例》、《公用电信网间互联管理规定》（信息产业部第9号令）以及《中国移动互联互通管理办法》等。
第八条本办法所指“网络互联”仅限于两个需要建立长期连接的网络之间的互联。
其它连接类型的管理要求可参见《中国移动远程接入管理办法》。
网络互联可分为两大类：(一)内部网络互联：指中国移动内部各安全域之间的互联，包括各支撑系统之间、支撑系统与业务系统之间、业务系统之间以及总部和各省公司两级安全域之间的互联等；(二)内部与外部网络互联：指中国移动网络与与第三方网络之间的互联，第三方网络包括但不限于合作伙伴、客户网络、设备提供商等等。
第三章组织及职责第九条总体原则(一)“谁主管、谁负责，谁接入、谁负责”原则。
中国移动通信网、业务网和各支撑系统的维护部门作为第一责任人，分别直接负责所辖网络的网络互联管理工作。
中国移动网络与信息安全概论
中国移动网络与信息安全概论介绍移动网络是指通过无线通信技术实现的获取和交换信息的网络。
中国移动网络发展迅速，如今已经成为全球最大的移动通信市场之一。
然而，随着移动网络的普及和应用范围的不断扩大，信息安全问题也逐渐凸显出来。
本文将介绍中国移动网络的发展现状，并探讨其中的信息安全挑战和解决方案。
中国移动网络的发展中国移动网络的发展可以分为以下几个阶段：1.第一代移动通信网络（1G）：在上世纪80年代末和90年代初，中国引入了第一代模拟移动通信系统（AMPS）。
这一阶段的移动通信网络主要用于语音通信。
2.第二代移动通信网络（2G）：在20世纪90年代中后期，中国引入了第二代数字移动通信系统（GSM）。
2G网络的出现使得短信服务成为可能，并且可以进行基本的数据传输。
3.第三代移动通信网络（3G）：在2009年，中国推出了第三代移动通信网络（WCDMA和CDMA2000）。
3G网络实现了更快的数据传输速度，使得视频通话和高速互联网访问成为可能。
4.第四代移动通信网络（4G）：在2013年，中国正式商用了第四代移动通信网络（LTE）。
4G网络具有更高的速度和更低的延迟，可以实现更高质量的音视频传输和互联网访问。
5.第五代移动通信网络（5G）：目前，中国正在大力推进第五代移动通信网络的建设。
5G网络将具有更高的速度、更低的延迟和更大的容量，将进一步推动移动通信技术的发展。
中国移动网络的信息安全挑战随着中国移动网络的普及，信息安全问题也逐渐成为关注的焦点。
以下是中国移动网络面临的一些主要信息安全挑战：1.数据隐私泄漏：移动网络中的大量个人数据和敏感信息使得用户隐私面临风险，一旦数据被泄漏，可能导致恶意使用和身份盗窃。
2.病毒和恶意软件攻击：恶意软件和病毒的传播易于通过移动网络进行，这可能导致设备被感染、数据被损坏或盗取。
3.网络钓鱼和网络诈骗：移动网络为网络钓鱼和网络诈骗行为提供了更多的机会。
骗子可以通过伪装成合法机构或个人，以获取用户的敏感信息或欺骗他们付款。
国移动网络与信息安全风险评估管理办法
【最新资料，WORD文档，可编辑修改】第一章总则为在确保中国移动通信有限公司（以下简称“有限公司”）及各省公司（有限公司和各省公司统称“中国移动”）网络安全前提下，高效、可控地推动网络与信息系统风险评估工作，依据《电信网和互联网安全防护管理指南》（YD/T 1728-2008）、《电信网和互联网安全风险评估实施指南》（YD/T 1730-2008）等国家政策、行业标准和有限公司相关规定，制定本办法。
本办法所指的网络和信息系统安全风险评估（以下简称“风险评估”）是指对网络和信息系统等信息资产在技术、管理等方面存在的脆弱性、威胁、发生概率、安全事件影响等安全风险情况进行分析，找出安全风险，有针对性的提出改进措施的活动。
本办法自发布之日起实施，各省公司应制定具体实施细则。
第二章适用范围本办法适用于有限公司、各省公司根据行业监管要求或者自身安全要求，针对中国移动通信网、业务网、各支撑系统以及其它服务类信息系统，如电梯控制系统、门禁系统等发起的各类风险评估。
涉及的部门包括：总部及各省公司网络与信息安全工作办公室，其它网络安全工作管理职能部门，各级通信网、业务网和各支撑系统维护部门，如网络部门、业务支撑部门、管理信息系统部门、办公设施管理部门等等。
第三章评估工作宏观要求风险评估内容及组织方式（一）风险评估以识别网络和信息系统等信息资产的价值，发现信息资产在技术、管理等方面存在的脆弱性、威胁，评估威胁发生概率、安全事件影响，计算安全风险为主要目标，同时有针对性的提出改进措施、技术方案和管理要求。
（二）有限公司和各省公司应重点针对没有具体、可操作安全规范指导或者管理办法要求的安全领域，如电信业务流程层面，进行风险评估；（三）风险评估原则上以自评估为主，如自身人员数量、技术水平、评估标准支撑能力等不足或者时间紧迫、意义重大，可在上报有限公司审批、加强管理的前提下引入第三方评估，并应侧重通过白客渗透测试技术，发现深层次安全问题，如缓冲区溢出等编程漏洞、业务流程和通信协议中存在的漏洞等等。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
– 从全球及我们自身看，网络安全的形式非常严峻 – 进入网管中心或者通过网管中心进入各生产网元，一定要实行
有效的多次密码认证的管理，严格管理每一次进入。 – 对内部人员的登陆要有严格的管理规定，后台操作要留有痕迹。
•技术问题： •病毒和黑客攻击越来越多、爆发越来越频繁，直接影响企业正常的业务 运作
•法律方面 •网络滥用：员工发表政治言论、访问非法网站 •法制不健全，行业不正当竞争（如：窃取机密，破坏企业的业务服务）
信息安全事件回放（一）
全国最大的网上盗窃通讯资费案
某合作方工程师，负责某电信运营商的设备安装。获得充值中 心数据库最高系统权限
可审查性
任何对公司业务运作的威胁和破坏行为都得到记录，并 能跟踪和追查
中移动信息安全建设原则与总体策略
• 安全管理流程、制度和安全控 制措施的设计应基于风险分析， 而不应基于信任管理
• 权限制衡和监督原则：安全管 理人员和网络管理人员、主机 管理人员相互制约
▪ 作为国家基础设施提供商，其 网络与信息安全工作目前必须 围绕公司业务目标开展；
▪ 北京ADSL断网事件
– 2006年7月12日14:35左右，北京地区互联网大面 积断网。
– 事故原因：路由器软件设置发生故障，直接导致了 这次大面积断网现象。
– 事故分析：操作设备的过程中操作失误或软件不完 善属于“天灾”，但问题出现后不及时恢复和弥补， 这就涉及人为的因素了，实际上这也是可以控制的。
▪ 两名电信公司员工利用职务上的便利篡改客户 资料，侵吞ADSL宽带用户服务费76.7万余元
▪ 事故原因：内部安全管理缺失
缺乏有效的内控措施和定期审计对ຫໍສະໝຸດ 息安全问题产生过程的认识威胁
通过
方
工具
威胁（破坏或滥用）
•环
境
利用
系统漏洞
管理漏洞
资产
物理漏洞
中移动网络与信息安全体系建立紧迫性
▪ 李跃总的讲话
▪ 信息服务必须让客户可信任 ▪ 解决信息安全问题的关键
– 建立一个完善的信息安全管理体系
目录
▪ 信息安全：企业面临的巨大挑战 ▪ 中国移动信息安全管理体系介绍 ▪ 中移动网络与信息安全总纲
中移动网络与信息安全建设总体思路
基于信息安全管理国际标准BS7799/ISO17799 综合顾问的管理和技术经验，结合公司现有的信息安 全管理措施 以公司信息安全现状为基础，充分考虑了公司所存在 的信息安全风险 参考国外业界最佳实践，同时考虑国内的管理和法制 环境
▪ 网络与信息安全管理工作应以 风险管理为基础，在安全、效 率和成本之间均衡考虑；
• 全面防范，突出重点
高层牵头 领导负责 全员参与
专人管理
中移动网络与信息安全策略架构
国家政策要求 企业发展战略 国内外标准 安全评估结果
从宏 观方 针到 微观 操作, 建立 了包 含三 个层 面的 安全 制度 体系
• 竞争对手：法制环境不健全，行业不正当竞争 （如：窃取机密，破坏企业的业务服务）！ • 国外政府或机构：法制环境不健全，行业不正当 竞争（如：窃取机密，破坏企业的业务服务）！
企业面临的主要信息安全问题
•人员问题： •信息安全意识薄弱的员工误操作、误设置造成系统宕机、数据丢失，信 息泄漏等问题 •特权人员越权访问，如：系统管理员，应用管理员越权访问、传播敏感 数据 •内部员工和即将离职员工窃取企业秘密，尤其是骨干员工流动、集体流 动等
和技术指南 制定
基于
建立 组织架构
执行
技术及防
护支撑手段
运行
运用
目录
▪ 信息安全：企业面临的巨大挑战 ▪ 中国移动信息安全管理体系介绍 ▪ 中移动网络与信息安全总纲
安全事件分布
安全事件的损失
安全威胁方的分布
• 独立黑客：黑客攻击越来越频繁，直接 影响企 业正常的业务运作！ • 内部员工：
•1、信息安全意识薄弱的员工误用、滥用等； •2、越权访问，如：系统管理员，应用管理 员越权访问数据； •3、政治言论发表、非法站点的访问等； •4、内部不稳定、情绪不满的员工。如：员 工离职带走企业秘密，尤其是企业内部高层 流动、集体流动等！
中国移动网络与信息安全保障体系
目标：对涉及公司运营的所有信息资产（对通信网业务系统、 各支撑 系统网络、以及市场、财务、研发、人力的各类重要信息）进行保护， 保障公司“新跨越战略”
网络与信息安全保障体系
指导思想：以风险管理为核心， 预防为主，技术手段为支撑， 围绕信息和信息系统生命周期， 逐步建立由安全组织、管理规定 和技术指南、运行和技术防护手段 构成的具有自主创新能力和拓展能 “做世界一 流企业”新跨越战略的实施。
中移动网络与信息安全的目标
▪ 为中国移动的网络与信息安全管理工作建立科学的体系，确保安 全控制措施落实到位，为各项业务的安全运行提供保障。
▪ 目前公司网络与信息安全工作的重点集中在可用性、保密性和可 审查性。
可用性 保密性
确保被授权用户能够在需要时获取网络与信息资产。
关键信息资产的使用都必须经过授权，只有得到相应授 权的人员才可使用网络和保密信息
不能光管外人不管自己。（重在管理，其次是手段） – 对外来人员的进入，我们一定要限人、限时、限范围，明确进
入的时间、进入的目的。谁放厂家的人进去谁就要负责检查， 并做好记录，要承担起核心设备网元的管理权，出了问题要承 担责任。
信息安全是信息服务提供商的核心保证
▪ 一个不安全的网络，将不可能提供高质量的信 息服务
需制定实施的业务连续性管理体系
信息安全事件回放（三）
▪ 希腊总理手机被窃听，沃达丰总裁遭传唤
– 早在2004年雅典奥运会之前，希腊高官们的手机便 已开始被第三方窃听 ，2006年3月份才被发现。
– 事故原因：沃达丰（希腊）公司的中央服务系统被 安装了间谍软件
制定严格的核心操作系统访问控制流程
信息安全事件（四）
从2005年2月开始，复制出了14000个充值密码。获利380 万。
2005年7月16日才接到用户投诉说购买的充值卡无法充值， 这才发现密码被人盗窃并报警。
无法充值的原因是他最后盗取的那批密码忘记了修改有效日期
反思：目前是否有类似事件等待进一步发现
对第三方的有效安全管理规范缺失
信息安全事件回放（二）