中国移动支撑系统安全域划分与边界整合技术要求

《中国移动支撑系统安全域划分与边界整合技术要求》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、2008-01-01实施2007-12-14发布中国移动通信集团公司发布中国移动通信企业标准QB-W-001-2005中国移动支撑系统安全域划分与边界整合技术要求TechnicalSpecificationofSecureDomainandBoundaryConvergenceforSupportingSystems版本号：1.0.0【网络与信息安全规范】·【第二层：技术规范·安全域】·【第2503号】目次前言11适用范围22引用标准与依据23相关术语与缩略语24综述34.1背景44.2本要求的范围和主要内容45安全域划分的必要性

2、和原则55.1安全域划分的必要性55.2各安全域的威胁等级分析65.3支撑系统的保护等级分析75.3.1资产价值赋值85.3.2安全需求赋值85.3.3支撑系统的赋值95.4安全域划分的原则95.4.1安全域划分的根本原则105.4.2安全域划分方法105.5网络调整115.5.1广域网115.5.2局域网125.5.3终端135.6各支撑系统的安全域划分145.6.1业务支撑系统的安全域划分145.6.2网管系统系统的安全域划分155.6.3企业信息化系统的安全域划分166边界整合的原则176.1各支撑系统对外的边界整合186.

3、1.1与互联网的边界整合186.1.2与合作伙伴的边界整合186.1.3与第三方的边界整合196.2各支撑系统之间的边界整合196.3业务支撑系统的边界整合196.4网管系统的边界整合206.5企业信息化系统的边界整合217安全域保护的原则227.1安全域边界的保护原则227.1.1安全域互访的风险分析237.1.2安全域互访的原则237.1.3安全域边界的保护方式247.1.4安全域边界的安全部署267.1.5安全域边界的安全管理267.2安全域内部的保护267.2.1业务支撑系统287.2.2网管系统28II7.2.3企业信息

4、化系统298分阶段实施的建议298.1安全域划分的深入298.2组网方式的演进298.3保护方式的演进308.4支撑系统到互联网接口的演进309编制历史32IIQB-W-001-2005前言本要求主要是针对中国移动通信有限公司的业务运营支撑系统、网管系统和企业信息化系统等支撑系统，根据系统面临的风险、以及保护等级，分析支撑系统安全域划分的必要性并提出划分原则，并结合支撑网络的现状对网络结构进行调整，然后对各支撑系统的边界进行整合，结合威胁等级和保护等级，确定了各安全域保护的原则，包括边界部分和内部的保护。安全域划分包括物理环境、人

5、员组织、管理、技术各个层面，本要求重点针对安全域划分的技术层面。本要求可作为后续支撑系统安全建设的依据。本要求由中国移动通信有限公司网络部提出并归口管理。本要求起草单位：中国移动通信有限公司网络部、计费中心、企业信息化、研发中心本要求主要起草人：周智、刘楠、田峰、王春平、陈豫蓉、刘斐、张焱、陈欣、陈敏时、徐海东、魏丽红。本要求解释单位：中国移动通信有限公司网络部。32QB-W-001-20051适用范围本要求对业务支撑、网管、企业信息化等支撑系统的安全域划分、边界整合以及采用的保护方案进行了规范，适用于中国移动有限公司、各省公司后

6、续支撑系统的安全建设。2引用标准与依据（1）《关于近期网络与信息安全工作安排的通知》，中国移动通信集团公司网络部，移网通【2004】68号。（2）《关于加强信息安全保障工作的意见》，国家信息化领导小组，中办发[2003]27号。（3）公安部、保密局、机要局、国务院信息办联合下发的《关于信息安全等级保护工作的实施意见》（公通字【2004】66号文）。（4）国务院信息办信息安全风险评估课题组编制的《信息安全风险评估研究报告》。（5）美国国家标准和技术研究所（NIST，NationalInstituteofStandardsandTec

7、hnology）制订的SP800系列文档：《IT系统安全自评估指南》、《IT系统风险管理指南》、《联邦IT系统安全认证和认可指南》、《信息系统安全规划指南》等。http://csrc.ncsl.nist.gov/publications/nistpubs/。（6）美国国家安全局，信息保障技术框架IATF（InformationAssuranceTechnicalFramework），V3.1版。网址：www.iatf.net。（7）公安部GA/T387-391-2002系列标准，计算机信息系统安全等级保护操作系统技术要求、管理要求

8、、通用技术要求、网络技术要求、数据库管理系统技术要求（8）中国移动通信有限公司提供的相关资料。（9）全国31个省的调查资料，以及北京、广东、四川、陕西4省现场调研的相关资料。（10）国家质量技术监督局发布的《计算机信息系统安全保护等级划分准则》(G