通信网络信息安全保障体系

《通信网络信息安全保障体系》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、目标：对涉及公司运营的所有信息资产（对通信网业务系统、各支撑系统网络、以及市场、财务、研发、人力的各类重要信息）进行保护，保障公司“新跨越战略”实施，保护公司的核心竞争力。指导思想：以风险管理为核心，预防为主，技术手段为支撑，围绕信息和信息系统生命周期，逐步建立由安全组织、管理规定和技术指南、运行和技术防护手段构成的具有自主创新能力和拓展能力的安全体系，保障公司“做世界一流企业”新跨越战略的实施。网络与信息安全保障体系通信网络信息安全保障体系指导文件技术及防护支撑手段安全运行管理规定和技术指南安全组织架构制定执行支撑基于运用建立目录信息安全：企业面临的巨大挑战中国移动

2、信息安全管理体系介绍中移动网络与信息安全总纲安全事件分布安全事件的损失安全威胁方的分布独立黑客：黑客攻击越来越频繁，直接影响企业正常的业务运作！内部员工：1、信息安全意识薄弱的员工误用、滥用等；2、越权访问，如：系统管理员，应用管理员越权访问数据；3、政治言论发表、非法站点的访问等；4、内部不稳定、情绪不满的员工。如：员工离职带走企业秘密，尤其是企业内部高层流动、集体流动等！竞争对手：法制环境不健全，行业不正当竞争（如：窃取机密，破坏企业的业务服务）！国外政府或机构：法制环境不健全，行业不正当竞争（如：窃取机密，破坏企业的业务服务）！企业面临的主要信息安全问题人员问题

3、：信息安全意识薄弱的员工误操作、误设置造成系统宕机、数据丢失，信息泄漏等问题特权人员越权访问，如：系统管理员，应用管理员越权访问、传播敏感数据内部员工和即将离职员工窃取企业秘密，尤其是骨干员工流动、集体流动等技术问题：病毒和黑客攻击越来越多、爆发越来越频繁，直接影响企业正常的业务运作法律方面网络滥用：员工发表政治言论、访问非法网站法制不健全，行业不正当竞争（如：窃取机密，破坏企业的业务服务）信息安全事件回放（一）全国最大的网上盗窃通讯资费案某合作方工程师，负责某电信运营商的设备安装。获得充值中心数据库最高系统权限从2005年2月开始，复制出了14000个充值密码。获利

4、380万。2005年7月16日才接到用户投诉说购买的充值卡无法充值，这才发现密码被人盗窃并报警。无法充值的原因是他最后盗取的那批密码忘记了修改有效日期反思：目前是否有类似事件等待进一步发现对第三方的有效安全管理规范缺失信息安全事件回放（二）北京ADSL断网事件2006年7月12日14:35左右，北京地区互联网大面积断网。事故原因：路由器软件设置发生故障，直接导致了这次大面积断网现象。事故分析：操作设备的过程中操作失误或软件不完善属于“天灾”，但问题出现后不及时恢复和弥补，这就涉及人为的因素了，实际上这也是可以控制的。需制定实施的业务连续性管理体系信息安全事件回放（三）

5、希腊总理手机被窃听，沃达丰总裁遭传唤早在2004年雅典奥运会之前，希腊高官们的手机便已开始被第三方窃听，2006年3月份才被发现。事故原因：沃达丰（希腊）公司的中央服务系统被安装了间谍软件制定严格的核心操作系统访问控制流程信息安全事件（四）两名电信公司员工利用职务上的便利篡改客户资料，侵吞ADSL宽带用户服务费76.7万余元事故原因：内部安全管理缺失缺乏有效的内控措施和定期审计对信息安全问题产生过程的认识环境威胁方资产系统漏洞管理漏洞物理漏洞威胁（破坏或滥用）利用工具通过中移动网络与信息安全体系建立紧迫性李跃总的讲话安全问题已时不我待。我所讲的安全问题还不是黑客和防病

6、毒，只讲我们自身的工作安全。从全球及我们自身看，网络安全的形式非常严峻进入网管中心或者通过网管中心进入各生产网元，一定要实行有效的多次密码认证的管理，严格管理每一次进入。对内部人员的登陆要有严格的管理规定，后台操作要留有痕迹。不能光管外人不管自己。（重在管理，其次是手段）对外来人员的进入，我们一定要限人、限时、限范围，明确进入的时间、进入的目的。谁放厂家的人进去谁就要负责检查，并做好记录，要承担起核心设备网元的管理权，出了问题要承担责任。信息安全是信息服务提供商的核心保证一个不安全的网络，将不可能提供高质量的信息服务信息服务必须让客户可信任解决信息安全问题的关键建立一

7、个完善的信息安全管理体系目录信息安全：企业面临的巨大挑战中国移动信息安全管理体系介绍中移动网络与信息安全总纲中移动网络与信息安全建设总体思路基于信息安全管理国际标准BS7799/ISO17799综合顾问的管理和技术经验，结合公司现有的信息安全管理措施以公司信息安全现状为基础，充分考虑了公司所存在的信息安全风险参考国外业界最佳实践，同时考虑国内的管理和法制环境中移动网络与信息安全的目标为中国移动的网络与信息安全管理工作建立科学的体系，确保安全控制措施落实到位，为各项业务的安全运行提供保障。目前公司网络与信息安全工作的重点集中在可用性、保密性和可审查性。