网络安全流程规范文件解读（安全专业L1级）
技能本领项编号AQ-AQ-L1-02.01(安全维护作业计划实行本领)课程目的：
通过学习课程，学员可以：
1.了解ZGYD网络安全流程规范
2.独立实行安全维护作业计划。
流程规范
一、《ZGYD远程接入安全管理办法》
二、《ZGYD网络运维账号口令管理办法》
三、《安全维护作业模板》
四、《ZGYD安全审计管理办法》
五、《ZGYD设备入网安全验收管理办法》
六、《ZGYD网络与信息安全变乱处置惩罚指南》
七、《ZGYD庞大故障和庞大安全时间上报管理办法》
八、《机房安全管理规范》
九、《ZGYD通用设备功能与设置规范》
十、《ZGYD第三方人员安全管理要求》
十一、《ZGYD通用网络与信息安全责任条款》
十二、《ZGYD网络与信息安全应急响应技能规范与指南》
十三、《ZGYD客户信息信息安全保护技能要求》
一、《ZGYD远程接入安全管理办法》
一、远程接入原则
1.总体原则
“谁主管、谁负责，谁接入、谁负责”的原则。ZGYD通信网、业务网和各支撑系统的维护部门作为第一责任人，分别负责所辖网络的远程接入管理工作。
2.“基于需求”的原则
全部远程接入需求应符合ZGYD业务发展、运维管理的实际需要，必须有明确的接入目的，接入所开放的访问权限（如访问时限，可访问时间段、可发起访问的地址段、需要访问的系统、操作权限等等）应以满意而且不超出实际需求为标准;
3.“集中化”原则
远程接入应尽量减少接入点，通过逐步设置集中的接入点，为实现对远程访问的集中控管奠定基础；
4.“可控”原则
全部远程接入必须通过申请、审批、备案及审计，确保在安全可控的前提下实现远程接入；
二、远程接入管理流程
1.远程接入申请阶段
远程接入需求人员按照远程接入管理部门订定的远程接入申请表格式要求，填写申请表。
2.接入需求审批阶段
对于需求目的的不合理的申请，应予以拒绝，并对其说明理由；对合理的远程接入申请，应分配并设置相应接入点设备及拟访问系统中的账号，并通知需求人员；远程接入管理部门对接入情况举行备案，以备查询、审计。
3.远程接入阶段
需求人员按照接入管理规定具体要求，访问ZGYD相关系统；远程接入管理部门及所访问系统维护人员应在需求人员接入过程中，监控其重点或者高危操作情况，及时发现违规操作。
4.远程接入终止阶段
访问完毕后，远程接入应按照远程接入点管理部门要求，及时声明并终止接入；如出现违背权限规定的操作，应及时终止该接入人员的连接，并对其提出告诫或者处置惩罚要求。
5.特殊情况处置惩罚方法
在出现庞大故障等紧急情况时，可在向接入需求人员及其公司、内部系统维护人员简单核实人员身份和目的后，允许接入，但需要在事后及时补办手续。
二、《ZGYD网络运维账号口令管理办法》
总体要求
系统维护部门主管领导负责系统账号审批及授权管理，推动订定账号审批流程等并落实责任人，监督落实账号申请表、用户账号登记表的维护管理。
系统维护部门主管领导负责建立系统账号审批、创建及删除、权限管理以及口令管理要求实行情况审核机制，接受上级或者职能管理部门的定期审核。同时，应根据本公司部门设置、分工及维护模式等具体情况，明确指定审核责任人。
系统管理员负责本系统账号的一样平常管理，包括账号的创建、权限变更、冻结和删除等。对于接入管控平台的系统，该系统的管理员通过管控平台完成该系统账号的一样平常管理工作。网络安全管控平台的管理员负责管控平台上人员账号的一样平常管理。
账号必须确定责任人。原则上，账号的使用人作为该账号的责任人。对于非人员使用的账号，如程序账号，原则上由账号所在系统的管理员作为该账号的责任人。
账号的责任人需按照账号审批流程申请所需账号、修改权限或者撤销账号。
三、安全维护作业的主要内容
系统日志安全检查、安全设备网络连通性维护、入侵监测系统告警监控、入侵检测系统健康性检查、防火墙健康巡检、网络非常流量监控、检查应用系统端口、服务情况、检查各防火墙访问控制策略、病毒代码更新检查、重要操作日志检查、入侵系统版本维护、windows系统安装安全补丁、防火墙设置备份、病毒查杀策略定制、更改账号口令、防火墙权限检查、收集安全预警信息、垃圾邮件隐患扫描、远程系统漏洞扫描、安全变乱处置惩罚演练、安全审计。
安全设备维护
安全设备网络连通性维护、入侵检测系统健康性检查、防火墙健康巡检、检查各防火墙访问控制策略、病毒代码更新检查、入侵系统版本维护、防火墙设置备份、病毒杀毒策略定制、防火墙权限检查，要求对安全设备定期巡检、维护版本、更新策略等。
实时监控
入侵监测系统告警监控、网络非常流量监控，对于接入点流量举行实时监控，及时发现非常流量，排查可能发生的威胁变乱，追踪溯源，保障系统业务平稳运行。
主动发现
收集安全预警信息、垃圾邮件隐患扫描、远程系统漏洞扫描、安全变乱处置惩罚演练、安全审计，均属于主动发现的范畴，通过预警通告、漏洞扫描、应急演练以及安全审计等工作，提前发现系统存在的安全隐患并加固处置，做到防患于未然。
系统自查
系统日志安全检查、检查应用系统端口、服务情况、重要操作日志检查、windows系统安装补丁、更改账号口令，均属于对应用系统举行自查工作。通过定期自查，发现系统本身存在的脆弱性，及时修复，尽可能低落系统被威胁利用的可能性，提拔业务安全水平。
四、安全审计管理办法
一、安全审计的目的
审计目的主要为督促落实各项网络与信息安全管理办法、技能规范，规范各项网络与信息安全检查工作。安全审计内容可分为管理和技能两个方面，管理方面的审计侧重检查安全流程、管理要求的实行情况；技能方面的审计侧重检查通信网、业务网和各支撑系统符合设备安全技能要求、安全设置要求以及其它技能规范的情况。
二、安全审计的内容
安全审计主要依据公司已发布的各项安全管理规定和技能要求，检查具体要求的落实情况。根据审计目的、关注点差别，如在某个时间段、针对某些管理规定、技能规范要求检查落实情况，突出相应审计内容的侧重点。
审计方法包括：对安全运行维护等记载的抽样检查、系统检查、现场观察、访问、凭据检查等。可以采用人工和技能手段两种方式举行。
三、操作系统安全审计
Windows系统的安全审计
[*]Windows日志（系统、应用程序、安全）
[*]应用程序和服务日志（IIS日志等）
Linux系统的安全审计
[*]连接时间日志
[*]进程统计
[*]错误日志
[*]应用程序日志
四、数据库安全审计
审计对象
[*]标准审计（系统级、用户级）
[*]细粒度审计（对象级）
审计内容
访问数据库应用程序、位置及用户信息，包括用户操作、操作日期与时间、操作涉及到相关数据、操作是否乐成等。
五、设备入网安全验收管理办法
一、设备入网安全验收的目的
设备入网前做安全验收是为了加强设备入网安全管理，在设备入网前减少和消除安全隐患，防止系统“带病入网”，有效防备和规避安全事故的发生，设备包括通信网、业务系统和各支撑系统的设备，如各种应用服务器、网络设备、交换机以及网络安全设备等。
二、设备入网安全验收的内容
系统入网安全验收应对入网设备举行安全检查和测，包括：网络安全架构检查、账号安全检查、服务端口检查、防火墙策略检查、防病毒软件检查、系统日志安全检查、漏洞扫描检查、安全设置检查、弱口令检查和渗出测试。其中防病毒软件检查仅对Windows系统设备，渗出检查可根据实际情况选择举行。
三、设备入网安全验收的职责和流程
按照“谁主管谁负责，谁维护谁负责，谁使用谁负责，谁接入谁负责”原则，通信网、业务系统和各支撑系统的维护管理部门应安全专人负责所辖系统安全验收工作。
系统建立方负责提收支网安全测试申请，安全验收实行部门负责对安全检查举行实行和验收，主要包括依据项目技能规范书中的安全相关要求拟定验收方案，举行安全检查，督促安全验收需求部门对遗留题目举行整改，核查验收必须质料是否真实和符合安全验收标准，终极输出安全验收陈诉，给收支网结论。
在需求紧急等特殊情况下，如入网安全验收未通过，经安全验收实行部门及维护部门的领导特批许可后可予以答应系统上线，并同时要求需求系统建立方订定整改计划和提供备案证明，在完成整改前因实行有效的替换措施。
六、网络与信息安全变乱处置惩罚指南
一、安全变乱处置惩罚指南的目的
在于提供网络与信息安全变乱应急响应本领，规范相关硬件响应技能和流程。
二、安全变乱硬件处置惩罚流程
1.准备阶段
在变乱真正发生前为变乱响应做好准备
2.检测阶段
检测是指以得当的方法确认在系统/网络中是否出现了恶意代码、文件和目录是否被篡改等非常活动/现象。
3.抑制阶段
抑制阶段的目的是限制攻击/粉碎所波及到范围。
4.根除阶段
在精确的抑制变乱后，找出变乱的根源并彻底根除它。
5.恢复阶段
6.跟进阶段
跟进阶段其目的是回顾并整合发生变乱的相关信息。
七、庞大故障和庞大安全变乱上报管理办法
网络运行庞大故障陈诉细则
1.各省级公司网络维护部门在故障到达附件定义的上报标准后的1小时内通过EOMS庞大故障及庞大安全变乱上报工单（故障上报时间以EOMS派单时间为准）和电话方式向团体公司网络部上报庞大故障，并在故障处置惩罚过程中与团体公司网络部随时保持信息沟通。一旦发现故障级别到达工业和信息化所规定的上报标准，各省级公司网络维护部门应立刻启动相应的上报流程。
2.故障处置惩罚完毕后，各省级公司网络维护部门应在2日（48小时）内通过该故障点EOMS庞大故障及庞大安全变乱上报工单以附件情势（提交时间以工单处置惩罚流程中“上传附件”环节的“完成时间”为准）向团体公司网络部提交专题书面陈诉。
网络运行庞大故障定义
网络运行庞大故障定义涵盖了现网各类重要业务和设备：
1.庞大业务故障：话音业务、数据业务、互联互通业务
2.庞大设备故障：传输网、承载网（IP承载网及CMNET）、无线接入网、核心网、语音增值平台、数据网、网管网、电源、空调。
3.TD网络庞大故障
八、通信机房物理安全管理规定
一、通信机房物理安全管理的目的
为顺应通信机房物理安全管理要求，加强通信机房情况管理、人员管理、设备管理、作业管理，确保通信网络的生产秩序与生产安全。
二、通信机房物理安全管理的职责分工
通信机房安全管理体系是采用集中的、统一的“两级管理、三级维护”体系，总部、省公司网络部为职能管理单元，总部、省公司、地市三级设置相应具有网络维护职责的生产单元。各单元按照维护生产“谁主管谁负责、谁运营谁负责”的原则，明确责任分工，落实安全主体责任。
三、通信时机安全分级
机房分级
[*]通信机房安全分级、依据机房的放置设备的差别属性及重要性，确定该时机的安全重要级别，分级对象为机房。
[*]通信机房安全级别简直定以其中最重要的设备举行定级。
[*]对于个别时机规模大，各级设备繁杂，安全品级低设备量大，安全品级高设备量少的情况，部分安全管理要求可分片区开展。
安全分级参考：
[*]金级安全管理：服务于国际业务、国家级业务、省际业务的网络设备及全部涉及客户敏感信息都DPI设备（除收罗层设备外）、信令检测、性能管理等设备。
[*]银级安全管理：服务于省级业务、市级业务、地市级重要业务的网络设备（不涉及客户敏感信息）、DPI收罗层设备。
[*]铜级安全管理：服务于地市级一般业务及以下的网络设备（不涉及客户敏感信息）。
九、通用设备功能及设置规范
一、总体要求
本规范提出的安全功能要求和安全设置要求，在未特殊说明的情况下，均适用于设备上运行的操作系统、数据库、网络和应用系统。本规范从账号管理及认证授权、日志以及IP协媾和其他四个方面提出安全功能和设置要求。
二、设备通用安全功能和设置要求
账号管理及认证授权要求
账号安全要求、口令安全要求、授权安全要求
日志安全要求
功能要求、设置要求
IP协议安全要求
功能要求、设置要求
设备其他安全要求
功能要求、设置要求
十、第三方人员安全管理要求
一、总体要求
按照"谁主管谁负责、谁运营谁负责、谁使用谁负责、谁接入谁负责"的原则，加强对第三方合作伙伴，人员、系统的安全管理，防止引入第三方给公司带来的安全风险。
二、第三方的定义
[*]第三方公司是指向各部门提供服务的外部公司。
[*]第三方系统是指为各部门服务或与各部门合作运营的系统。这些系统可能不在各部门机房内，但能通过接口与各部门的系统发生数据交互。
[*]第三方人员是指为各部门提供开发、测试、运维等服务或参与合作运营系统管理的非ZGYD人员。
三、组织与职责
第三方安全管理责任部门为对口合作（包括代维、开发、测试、增值业务合作）的主管部门。对于开展合作运营的第三方公司，对口主管部门应要求其设立专职安全管理机构或人员，按照网络与信息安全的管理规定，严格落实信息安全责任，建立一样平常安全运维、检查制度，确保不发生信息泄密、庞大安全漏洞。
开展现场长期服务的第三方公司，在派驻现场设立专职信息安全管理人员，其主要职责包括：负责按照国家及ZGYD的信息安全管理要求，开展派驻现场的安全管理，引导和监督派驻现场人员的信息安全，确保不发生违规活动；接受监督和考核等。
对口主管部门要督促引导第三方公司及人员遵照ZGYD的安全管理制度和规范，将安全要求作为考核内容，纳入两边合作协议，定期组织对第三方安全检查。
十一、通用网络与信息安全责任条款
一、总体要求
本条款所指的乙方，如无特殊说明，专指负担工程建立项目的集成商或者提供维保服务的厂商。
本条款所包罗的安全责任如无特殊说明，分别适用于设备到货、入场施工、项目验收以及系统运行维护整个过程的各个环节，集成商需要严格实行。
向甲方提供维保服务的乙方在服务期间需要遵照条款2规定，如更换设备、升级软件或调整设置，需要遵照条款1、3。
二、条款内容
1、乙方应保证本工程新增设备符合ZGYD《ZGYD设备通用安全功能和设置规范》规定的安全设置要求。
2、乙方应服从ZGYD有关安全管理规定要求，具体规定如下:
《ZGYD安全域管理方法》
《ZGYD帐号口令管理方法》
《ZGYD远程接入安全管理方法(v1.0)》
《ZGYD网络互联安全管理方法(v1.0)》
3、乙方应保证本工程新增的IT设备安装操作系统、应用软件均有安全补丁，关闭与业务无关端口，无关进程和服多，按照最小化的原则举行授权，并无庞大安全漏洞、后门或者感染病毒。
4、乙方提供的应用软件中账号所使用的口令应便于在维护中定期修改并以加密方式储存，不可固化在软件里。
5、乙方在设备上线前，应参照《ZGYD系统安全有关基础信息列表》格式，详细提供本工程新增设备和应用的进程、端口、账号等方面的情况。
6、在工程实行期间，甲方有权通过安全扫描软件或者人工评估等手段,对本期工程新增设备和应用软件举行检查并给出评估结果。一旦发觉有庞大安全漏洞、后门或者病毒感染，由乙方举行修补、扫除或者采纳其他手段清除安全题目。关于违背本规定导致的一切题目，由乙方负全部责任。
十二、网络与信息安全应急响应技能规范与指南
一、总体要求
安全变乱应急响应是指针对已经发生或可能发生的安全变乱举行监控、分析、和谐、处置惩罚、保护资产安全属性的活动。良好的安全变乱响应遵照事先订定的流程和技能规范。
安全变乱应急响应工作的特点是高度的压力，短暂的时间和有限的资源。
安全变乱应急响应的目的通常包括:采取紧急措施，恢复业务到正常服务状态;调查安全变乱发生的因制止同类安全变乱再次发生;在需要司法构造参与时，提供法律数字证据等。
在规范中以安全变乱应急响应6阶段(准备、检测、抑制、根除、恢复和跟进6个阶段)方法学为主线介绍安全变乱应急响应的过程和具体工作内容。它是目前适用性较强的应急响应的通用方法学。
二、安全变乱及分类
安全变乱是有可能损害资产安全属性(机密性、完整性、可用性)的任何活动。本文采用两种分类原则对安全变乱举行了分类:基于受攻击设备的分类原则和基于安全变乱缘故原由的分类原则。
基于受攻击设备分类原则，安全变乱分为:
[*]主机设备安全变乱
[*]网络设备安全变乱
[*]数据库系统安全变乱
基于安全变乱缘故原由的分类原则，安全变乱分为:
[*]拒绝服务类安全变乱
[*]系统漏洞类安全变乱
[*]网络诱骗类安全变乱
[*]网络窃听类安全变乱
[*]数据库注入类安全变乱
[*]恶意代码类安全变乱
[*]操作误用类安全变乱
可能存在一个具体的安全变乱同时属于几类的情况，此时应根据安全变乱特性的轻重缓急，来合理的选择应对的技能措施。
十三、客户信息安全保护技能要求
一、总体要求
本规范针对ZGYD客户信息安全面对的主要风险，提出了ZGYD客户信息安全保护技能要求，作为定制ZGYD客户信息安全防护具体技能方案的依据。本规范主要包括以下几方面的内容：客户信息都内容及品级分别、客户信息访问控制、客户信息操作保护、客户信息存储与备份管理和客户信息系统安全防护等。
二、具体内容
[*]客户信息的内容及品级分别
客户信息的内容、客户信息品级分别、存储及处置惩罚客户信息的系统
[*]用户访问控制
集中4A管控、脚色与权限、账号与授权、口令管理
[*]客户信息操作保护
金库模式、日志管理与审计、防泄密系统、网络终端、数字键盘、客户信息模糊化
[*]客户信息存储与备份管理
数据备份、数据加密、数据销毁
[*]客户信息系统安全防护
安全风险评估、安全基线、安全加固、安全域分别与防护
三、客户信息分级及管控原则
种别定位子类与范围管控原则第4级极敏感级 （A1-4）实体身份证明
（A1-5）用户隐私资料
（A2-1）用户密码及关联信息
应实行严格的技能和管理措施，保护数据的机密性和完整性，确保数据访问控制安全，建立严格的数据安全规范以及数据实时监控机制第3级敏感级 （A1-1）自然人身份标识
（A1-2）网络身份标识
（B1-1）服务内容数据
（B1-2）联系人信息
（C1-2）服务记载和日志
（C1-4）位置数据
应实行较严格的技能和管理措施，保护数据的机密性和完整性，确保数据访问控制安全，建立数据安全管理规范以及数据准实时监控机制。第2级较敏感级 （C1-3）消费信息和账单
（C2-1）终端设备标识
（C2-2）终端设备资料
应实行必要的技能和管理措施，确保数据生命周期安全，建立数据安全管理规范。第1级低敏感级 （C1-1）业务订购关系
（C1-5）违规记载数据
应实行基本的技能和管理措施，确保数据生命周期安全。
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]