中国石化远程安全维护管理规范.doc

《中国石化远程安全维护管理规范.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、中国石化集团公司远程安全接入和维护管理规范V1.0中国石化集团2005年12月1日文档控制拟制:审核:标准化:读者：版本控制版本提交日期相关组织和人员版本描述V1.02005-12-08前言11目的22适用范围23术语23.1远程接入23.2管理员23.3用户24规范性要求24.1维护人员要求24.2远程可接入区域和设备标识24.2.1接入区域24.2.2设备标识34.3远程可接入主体及授权34.3.1接入主体34.3.2远程访问授权34.4远程接入安全要求44.4.1远程接入方式44.4.2远程接入安全控制技术44.4.3远程接入的用户鉴

2、别44.4.4远程接入的网络连接访问控制54.4.5远程访问接入的审计64.4.6可信通道64.4.7内容安全75附则75.1文档信息75.2与其他管理规范的关系8前言为了控制远程访问对中国石化公司网络、业务系统的非授权访问及其影响，确保网络通信畅通和业务系统的正常运营，在中国石化统一安全保障体系框架下，特建立本规范文档，以使中国石化各组织机构、团体和个人明确其远程访问的权利和义务。本规范由中国石化集团公司信息系统管理部制定，经由公司信息安全工作组讨论通过并发布执行。本规范由公司信息安全办公室负责解释和修订。本规范自发布之日起执行。1目的本

3、规范旨在明确中国石化公司远程用户对公司网络、业务系统的远程访问控制，规范各类安全接入，避免一些非授权访问行为，从而有效降低或减少此类行为对公司信息系统的影响。2适用范围本策略文档适用于中国石化公司范围内可控制的信息系统部分，以及可远程访问这些信息系统部分的实体。3术语3.1远程接入指因远程业务、为客户提供电子商务或通告服务、远程维护信息系统、第三方提供IT服务等的需要，特定主体对信息系统中的某个设备实施非本机直接访问的接入行为。3.2管理员包括公司安全管理员、主机系统管理员、网络管理员、数据库和其它应用管理员在内的所有系统管理人员。3.3用

4、户指除了系统管理员之外，所有可通过物理或者逻辑途径能够远程访问到公司信息系统的主体。4规范性要求4.1维护人员要求对本策略文档中规定的安全要求，应该由管理员负责其实施、检查、监督任务，并定期将任务的执行情况向相应的安全管理机构汇报。管理员还应该负责跟踪本策略文档中安全要求的使用情况，并适时反映给负责制定策略文档的机构，及时将变更后的情况反馈给公司的所有人员。4.2远程可接入区域和设备标识4.2.1接入区域根据业务应用价值以及信息资源类型，将信息系统划分为不同的安全区域，通过远程访问这些不同的区域时，应执行不同的远程接入安全策略。远程接入和远

5、程访问应考虑：1)明确网络区域承载的业务应用；2)明确网络区域中的设备和信息资源；3)划分网络区域（包括物理的或逻辑的VLAN）；第8页1)划分网络区域的级别；2)确定可远程访问点，准备制定远程接入策略。1.1.1设备标识在制定远程接入策略之前，应标识这些区域（含级别）以及区域中的关键设备。对设备的标识将与访问主体的标识结合起来，作为审计远程访问行为的依据。中国石化信息系统根据远程访问控制的要求，将内部网划分为业务网、办公网和Web服务区三个区域，其级别分别为“3、2、1”三个层次，应明确标识各层次相关关键设备清单和编号。网络区域划分、级别

6、确定以及关键设备标识将由管理员统一负责，并将结果上报给安全管理机构。1.2远程可接入主体及授权1.2.1接入主体根据不同访问需求、远程维护需求、执行IT服务需求，确定如下可实施远程访问的主体：1)管理员；2)公司内部授权人员；3)授权业务用户；4)授权设备厂商技术支持人员；5)授权集成技术支持人员；6)授权第三方服务人员；7)其他授权用户。应该标识这些访问主体，使其行为可追踪和审计。1.2.2远程访问授权对于授权的设备厂商技术支持人员、授权的集成技术支持人员、授权的第三方服务人员以及其他授权用户，应该由管理员按照统一的规则建立临时账号，对临

7、时账号的要求如下：1)设置连接阈值，即应设立远程登录连接次数的阈值，当连接次数超过此阈值时，应终止该账号连续或并发的登录权限，同时规定相关的登录工作时间；2)当临时用户完成远程访问任务后，应由管理员统一撤销临时账号（注：如果系统支持帐户时效性功能，则进行相应的设置工作时效和帐户过期时间），并记录归档；3)第8页应由管理员根据最小权限原则授予所有访问主体权限，在访问主体执行远程访问之前，管理员应该将授权情况上报给安全管理机构审核、批准。1.1远程接入安全要求1.1.1远程接入方式本策略文档可控制的远程接入方式包括：1)通过内部网远程接入。访问

8、主体在内部网内从一个区域远程接入另一个区域；2)通过Internet的远程接入。外部用户通过Internet网络访问中国石化内部可访问的区域中的主机或服务系统；3)远程拨号接入。