中国电信IT安全保障体系研究与设计

《中国电信IT安全保障体系研究与设计》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、中国电信IT安全保障体系研究与设计张新跃华汪明黄礼莲高儒振2012-3-511:09:56　　来源：《现代电信科技》2011年第09期　　摘要：文章首先分析了全业务运营形势下中国电信IT支撑系统面临的安全新挑战，从多个角度出发，阐述了电信运营商CTG-MBOSS支撑系统安全现状和当下亟需解决的安全问题，在分析和比较了当前国际最先进的安全保障体系模型，基于多年来电信在IT安全管理方面的实践，结合了行业最佳实践，设计了适用于中国电信全业务支撑要求的安全保障体系模型框架，并给出了安全保障体系建设路线规划和演进策略。　　1IT安全概况中

2、国电信IT安全保障体系研究与设计张新跃华汪明黄礼莲高儒振2012-3-511:09:56　　来源：《现代电信科技》2011年第09期　　摘要：文章首先分析了全业务运营形势下中国电信IT支撑系统面临的安全新挑战，从多个角度出发，阐述了电信运营商CTG-MBOSS支撑系统安全现状和当下亟需解决的安全问题，在分析和比较了当前国际最先进的安全保障体系模型，基于多年来电信在IT安全管理方面的实践，结合了行业最佳实践，设计了适用于中国电信全业务支撑要求的安全保障体系模型框架，并给出了安全保障体系建设路线规划和演进策略。　　1IT安全概况　　

3、近年来，在国家信息化战略的指引下，越来越多的生产系统和企业核心数据承载在网络环境中，IT网络环境下的信息安全问题成为每一位信息管理者都关注的问题，如何构建信息安全保障体系[1-3]，保障企业核心系统安全稳定运行，企业核心数据不丢失，一直是学术界和企业共同关注的焦点。　　根据中国电信企业信息化战略规范IT-SP2.0，以及中国电信的CTG-MBOSS安全规范，由管理支撑系统(MSS)、业务支撑系统(BSS)、运营支撑系统(OSS)和企业数据架构(EDA)组成。伴随着中国电信深度转型战略背景下，如何加强IT系统的统一管理，提高信息化

4、支撑能力成为电信IT工作的主要目标，而IT系统的安全性将直接影响电信业务的开展。一方面，移动互联网、终端智能化、物联网和云计算等新技术的发展对IT系统的安全提出了新的挑战；另一方面，随着全网IP化技术的演进，IT系统由封闭转向开放，业务运营模式的变化带来安全管控点的增多，系统的安全风险也随之增大；同时，由于运营商IT支撑系统数据的大集中增加了提高系统架构的复杂程度，安全事件带来的经济损失也将随之加大。但是，IT系统的安全建设滞后于系统建设的事实一直困扰着IT系统管理者。　　因此，从基础网络环境入手，以安全域为切入点，构建全方位多

5、层次的综合IT安全保障体系，实现IT资产对象可管可控的安全运行环境，为企业全业务运营保驾护航，成为IT安全工作追求的目标。　　2安全保障体系框架　　近年来，随着信息技术的进一步发展，人们逐渐认识到，构建安全保障体系必须从各个方商进行综合考虑，只有将组织、策略、运行和技术等各方面紧密结合，构成全方位一体化的安全保障体系，才能真正保障企业核心资产的安全。　　一个完整的IT安全架构，需要从总体上进行统筹规划，逐一落实每项安全管理制度，统一部署安全防护措施，循序渐进地构建一个科学全面的安全保障体系。从管理和技术层面执行严格的管控措施，使

6、之能够抵御来自外部和内部的各种安全威胁。中国电信IT安全保障体系是支撑企业IT安全建设和管理的基础架构，是指导企业进行安全规划与建设的依据，整体安全保障体系框架如图1所示。　　中国电信IT安全保障体系以CTG-MBOSS信息化架构为基础，以IT安全战略为指导，实现可管、可控和可信的三个IT安全阶段目标目标。体系建设遵循“管技结合、预防为主、注重长效、循序渐进”十六字方针，最终实现可信赖的IT安全运营环境愿景。　　IT安全保障体系的三个阶段目标特征定义如下：可管阶段的特征是“职责明晰、预防为主、有效识别”，可控阶段的特征是“主动防

7、御、及时响应、集中管控”，可信阶段的特征是“体系完善、流程通畅、全员参与”。　　整个IT安全保障体系由安全管理体系和安全技术体系两个重要部分组成。图1中国电信IT安全保障体系框架图　　2.1IT安全管理体系　　管理在整个体系中占有重要的地位，包括安全策略、安全组织和安全运行三大体系。　　安全策略体系总述了中国电信IT安全的总体方针政策、演进策略、标准和指南、以及各类实施细则组成。它明确了企业IT安全的总体目标和建设任务，明确了演进路线和指导原则，是企业统一部署安全建设工作的总体纲领和依据。　　安全组织体系定义了保障IT安全策略有

8、效执行需要的角色和职责，为安全策略能够贯彻实施的组织保障的保证，从职能上分为决策、管理和执行类别。该部分从管理制度的规定和落实上明确了信息安全职责与考核管理规定，从人员和组织上约定了主体和客体以及第三方安全管理规定。　　安全运行体系从IT系统生命周期和安全风险管