电信网和互联网安全等级保护实施指南v4docxWord下载.docx

1、6.2定级的主要活动 106.3电信网和互联网的识别和描述 116.4电信网和互联网相关系统的划分 126.5安全等级确定 127安全规划设计 137.1主要活动 137.2安全需求分析 137.3安全总体设计 157.4安全建设规划 158安全实施 158.1主要活动 158.2安全方案详细设计 178.3安全详细设计方案实施 178.4安全等级保护检测 189安全运维 189.1主要活动 189.2运行管理和控制 199.3变更管理和控制 209.4安全状态监控 209.5安全事件处置和应急预案 219.6安全检查和持续改进 229.7安全等级保护检测 2310电信网和互联网及相关系统终止

2、 2310.1主要活动 2310.2信息转移、暂存或清除 2410.3设备迁移或废弃 2510.4存储介质的清除或销毁 2510.5安全等级保护检测 26附录A （规范性附录）安全等级的计算方法 26A.1对数法 26A.2矩阵法 27附录 B （资料性附录） 定级实例 27本标准是“电信网和互联网安全防护体系”系列标准之一。该系列标准预计结构及名称如下:电信网和互联网安全防护管理指南电信网和互联网安全等级保护实施指南电信网和互联网安全风险评估实施指南电信网和互联网灾难备份及恢复实施指南固定网安全防护要求移动网安全防护要求互联网安全防护要求增值业务网（消息网）安全防护要求增值业务网（智能网）安

3、全防护要求 接入网安全防护要求传送网安全防护要求IP承载网安全防护要求核心网安全防护要求信令网安全防护要求同步网安全防护要求支撑网安全防护要求网络终端安全防护要求固定网安全防护检测要求移动网安全防护检测要求互联网安全防护检测要求增值业务网（消息网）安全防护检测要求增值业务网（智能网）安全防护检测要求接入网安全防护检测要求传送网安全防护检测要求IP承载网安全防护检测要求核心网安全防护检测要求信令网安全防护检测要求同步网安全防护检测要求支撑网安全防护检测要求网络终端安全防护检测要求 随着电信网和互联网的发展，将不断补充和完善电信网和互联网安全防护体系的相关标准。 本标准由中国通信标准化协会提出并归

4、口。本标准起草单位：信息产业部电信研究院。本标准主要起草人：1范围本标准规定了电信网和互联网安全等级保护的概念、对象、目标，安全等级划分原则，并结合电 信网和互联网的生命周期定义了电信网和互联网安全等级保护实施过程中的主要阶段及主要活动。本标准适用于电信网和互联网的安全等级保护工作。本标准是电信网和互联网安全等级保护的总体指导性文件，针对具体网络的安全等级保护可参考 具体网络的安全防护要求和安全防护检测要求。2规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有 的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各

5、方 研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。GB/T 5271.8-2001信息技术词汇第8部分：安全GB/T xxxx -xxxx信息系统安全保护等级定级指南信息系统安全等级保护实施指南信息安全风险评估实施规范信息安全风险管理指南信息系统灾难恢复规划指南3术语和定义确立的术语和定义，以及下列术语和定义适用于本标准。3.1电信网 telecom network利用有线和/或无线的电磁、光电系统，进行文字、声音、数据、图象或其它任何媒体的信息传递 的网络，包括固定网、移动网等。3.2电信网和互联网安全防护体系 security protect ion a

6、rchitecture of telecom n etwork andIn ternet电信网和互联网的安全等级保护、 安全风险评估、灾难备份及恢复三项工作互为依托、 互为补充、相互配合，共同构成了电信网和互联网安全防护体系。电信网和互联网相关系统 systems of telecom network and Internet组成电信网和互联网的相关系统，包括接入网、传送网、 IP 承载网、核心网、信令网、同步网、 支撑网、网络终端等。其中，接入网包括各种有线、无线和卫星接入网等，传送网包括光缆、波分、SDH等，核心网包括固定交换、移动交换、软交换、集群、卫星网、 3G和下一代网络相关的核心网

7、等,而支撑网包括业务支撑和网管系统。3.4电信网和互联网安全等级 security classification of telecom network and Internet 电信网和互联网及相关系统安全重要程度的表征。重要程度可从电信网和互联网及相关系统受到 破坏后，对国家安全、社会秩序、经济建设、公共利益、网络和业务运营商造成的损害来衡量。3.5电信网和互联网安全等级保护 classified security protection of telecom network andInternet 指对电信网和互联网及相关系统分等级实施安全保护。3.6电信网和互联网 基本保护要求 basic

8、 protection requirements of telecom network andInternet 为确保电信网和互联网及相关系统具有与其安全等级相对应的安全保护能力应该满足的最低要求。3.7电信网和互联网安全检测 security testing of telecom network and Internet 对电信网和互联网及相关系统的安全保护能力是否达到相应保护要求进行衡量。3.8电信网和互联网安全风险 security risk of telecom network and Internet 人为或自然的威胁利用电信网和互联网及相关系统中存在的脆弱性导致安全事件的发生及其对

9、组 织造成的影响。3.9电信网和互联网安全风险评估 security risk assessment of telecom network and Internet指运用科学的方法和手段，系统地分析电信网和互联网及相关系统所面临的威胁及其存在的脆弱 性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施。 防范和化解电信网和互联网及相关系统安全风险，或者将风险控制在可接受的水平，从而最大限度地 为保障电信网和互联网及相关系统的安全提供科学依据。3.10 电信网和互联网灾难 disaster of telecom network and Internet 由于人为

10、或自然的原因，造成电信网和互联网及相关系统故障或瘫痪，使电信网和互联网及相关 系统支持的业务功能停顿或服务水平不可接受、达到特定的时间的突发性事件。3.11电信网和互联网灾难备份 backup for disaster recovery of telecom network and Internet 为了电信网和互联网及相关系统灾难恢复而对相关网络要素进行备份的过程。3.12 电信网和互联网灾难恢复 disaster recovery of telecom network and Internet 为了将电信网和互联网及相关系统从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常 运行状态、

11、 并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态， 而设计的活动和流程。4安全等级保护概述4.1安全等级保护对象 电信网和互联网安全等级保护的主要对象是电信网和互联网及相关系统，包括固定网、移动网、 互联网、增值业务网、接入网、传送网、 IP 承载网、核心网、信令网、同步网、支撑网、网络终端等。 其中，增值业务网则包括消息网、智能网等业务平台以及业务管理平台，接入网包括各种有线、无线 和卫星接入网等，传送网包括光缆、波分、 SDH 等，核心网包括固定交换、移动交换、软交换、集群、 卫星网、 3G 和下一代网络相关的核心网等，支撑网包括业务支撑和网管系统。安全等级保护的具体工作涉及到

12、对电信网和互联网分等级实施安全保护、对电信网和互联网中使 用的安全产品实行分等级管理、对电信网和互联网中发生的安全事件分等级处理等内容。本标准主要 关注于对电信网和互联网分等级实施安全保护提供指导，关于国家对电信网和互联网使用的安全产品 实行分等级管理以及电信网和互联网发生的安全事件实行分等级处理的管理参见其它的相关标准。本标准后续内容中所指的 “安全等级保护” ，其含义均为“对电信网和互联网分等级实施安全保护” 。4.2安全等级保护目标安全等级保护的目标是通过对电信网和互联网及相关系统进行安全等级划分，按照本系列标准中 的安全等级保护要求进行规划、建设、运维、管理和监督，从而加强电信网和互联

13、网及相关系统的安 全防护能力，确保其安全性和可靠性。主管部门对不同安全等级的电信网和互联网及相关系统提出不同的基本保护要求，实行不同等级 的监管，这些基本保护要求是保障各等级电信网和互联网及相关系统安全的最基本要求。电信网和互 联网及相关系统应能够满足其所属安全等级的基本保护要求。电信网和互联网安全等级保护工作可以实现对电信网和互联网及相关系统重点保护和有效保护的 目的，增强安全保护的整体性、针对性和实效性，使电信网和互联网及相关系统的安全建设能够突出 重点、统一规范、科学合理。5安全等级保护的实施过程5.1基本原则 电信网和互联网安全等级保护工作应首先满足电信网和互联网安全防护工作提出的适度

14、安全原 则、标准性原则、可控性原则、完备性原则、最小影响原则以及保密性原则。在此基础上，电信网和 互联网安全等级保护工作在实施过程中还应重点遵循以下原则：a）自主保护原则 在主管部门的监督指导下，各网络和业务运营商遵照本系列标准中确定的安全等级，对本单位的 电信网和互联网及相关系统自主实施安全保护。b）同步建设原则 各运营商在对电信网和互联网及相关系统进行新建、改建、扩建时，应当同步规划和设计其安全 方案，投入一定比例的资金实施安全方案，保障电信网和互联网及相关系统与其所属安全等级的要求 相适应。c）重点保护原则 通过对电信网和互联网及相关系统划分不同的安全等级，提出不同程度的安全保护要求，实

15、现不 同等级的安全保护，集中资源优先保护关键的电信网和互联网及相关系统。d）适当调整原则 跟踪电信网和互联网及相关系统的变化情况调整其安全等级，并根据安全等级的调整情况及时调 整相应的安全保护措施。5.2相关角色和职责 对电信网和互联网及相关系统实施安全等级保护的过程中涉及到各类组织和人员，不同组织和人员将会参与不同或相同的活动。安全等级保护实施过程中各类角色及其职责如下：a）主管部门 主管部门的主要职责是监督、管理网络和业务运营商遵照本系列标准中确定的安全等级和安全等 级保护的要求对其管辖的电信网和互联网及相关系统进行安全等级保护；对网络和业务运营商的安全 等级保护工作开展情况进行检查， 发

16、现存在安全隐患或未达到安全等级保护要求的， 责令其限期整改。 安全等级保护工作的主管部门是信息产业部和相关电信管理局。b）网络和业务运营商 网络和业务运营商的主要职责是根据本系列标准中确定的安全等级和安全等级保护的要求对其管 辖的电信网和互联网及相关系统进行安全等级保护的实施工作，包括规划设计、建设施工、运维、废 弃等；对安全等级是自主保护级的电信网和互联网及相关系统，加强其自主保护工作，对安全等级是 指导保护级、监督保护级的电信网和互联网及相关系统，根据主管部门的要求上报其等级保护工作的 实施情况； 定期对其管辖的电信网和互联网及相关系统进行安全状况检查， 及时消除安全隐患和漏洞； 加强和完

17、善自身安全等级保护制度的建设，制定不同等级安全事件的响应、处置预案，加强电信网和 互联网及相关系统的安全管理。c）设备制造商 设备制造商的主要职责是遵照本系列标准中的安全等级保护要求开发安全的网络设备，提交网络 设备进行入网测试，并且销售安全的网络设备。d）检测机构 检测机构必须是由信息产业部授权的具有安全防护检测服务资质的机构。检测机构的主要职责是 根据主管部门或网络和业务运营商的委托，按照本系列标准对已经完成安全等级保护建设的电信网和 互联网及相关系统进行安全检测。e）安全服务商安全服务商应按照国家和信息产业部的相关规定 , 在本系列标准的指导下， 根据网络和业务运营商 的要求协助其实施安

18、全等级保护工作。5.3基本过程 虽然安全等级保护是一个不断循环和不断提高的过程，但是实施安全等级保护的一次完整过程是 可以区分清楚的，包括五个主要阶段：电信网和互联网及相关系统定级、安全规划设计、安全实施、 安全运维、电信网和互联网及相关系统终止。如图 1 所示。局部调整图1安全等级保护实施的基本过程安全等级保护的五个主要阶段及其主要活动为：a）电信网和互联网及相关系统定级阶段定级阶段主要包括对电信网和互联网的识别和描述、电信网和互联网相关系统的划分以及电信网 和互联网及相关系统安全等级确定等几个主要安全活动。通过对电信网和互联网的识别和描述，进一 步划分电信网和互联网相关系统，根据本标准中的

19、定级方法科学准确地确定各电信网和互联网及相关 系统的安全等级。b） 安全规划设计阶段安全规划设计阶段主要包括安全需求分析、安全总体设计、安全建设规划等几个主要活动。通过 安全需求分析判断电信网和互联网及相关系统的安全保护现状与安全防护要求中安全等级保护要求之 间的差距，确定安全需求；然后根据电信网和互联网及相关系统的实际情况，设计出合理的、满足安 全等级保护要求的总体安全方案，并制定出安全建设的规划，以指导后续的电信网和互联网及相关系 统的安全建设工程实施。c） 安全实施阶段安全实施阶段主要包括安全方案详细设计、详细设计方案的实施、安全等级保护检测等几个主要 活动。通过安全方案详细设计，将规划

20、设计阶段的总体安全方案和安全建设方案具体落实到电信网和 互联网及相关系统中去，最终提交满足安全需求的电信网和互联网及相关系统、配套的安全技术和管 理体系。在网络实际运行之前，需要由主管部门组织并委托检测机构对安全等级保护工作的实施情况 进行检测，确保其达到安全防护要求。d） 安全运维阶段安全运维阶段需要进行的安全控制活动很多，本标准描述一些重要的安全控制活动。通过运行管 理和控制、变更管理和控制、对安全状态进行监控，对发生的安全事件及时响应，确保电信网和互联 网及相关系统正常运行；通过安全检查和持续改进不断跟踪电信网和互联网及相关系统的变化，并依 据变化调整其安全等级和措施，确保电信网和互联网

21、及相关系统满足相应安全等级的要求。e） 电信网和互联网及相关系统终止阶段终止阶段的主要活动包括对电信网和互联网及相关系统中的信息转移、暂存或清除，对设备迁移 或废弃，对存储介质的清除或销毁。核心关注点是对电信网和互联网及相关系统中过时或无用部分进 行报废处理的过程，防止敏感信息泄漏。在安全运维阶段，当电信网和互联网及相关系统局部调整等原因导致安全措施的变化时，如果不影响其安全等级，应从安全运维阶段进入安全实施阶段，重新调整和实施安全措施，确保满足安全等 级保护的要求；当电信网和互联网及相关系统发生重大变更影响其安全等级时，应从安全运维阶段进 入定级阶段，重新开始一次安全等级保护的实施过程。5.

22、4安全等级保护工作与电信网和互联网及相关系统生命周期的关系电信网和互联网及相关系统的生命周期包括五个阶段，即启动阶段、设计阶段、实施阶段、运维 阶段和废弃阶段。电信网和互联网及相关系统的安全等级保护工作将贯穿其生命周期的各个阶段。安 全等级保护工作可分为：对新建电信网和互联网及相关系统的安全等级保护和对已建电信网和互联网 及相关系统的安全等级保护，两者在电信网和互联网及相关系统生命周期中的切入点是不同的，但是 安全等级保护工作的主要活动基本相同，其安全等级保护过程与电信网和互联网及相关系统生命周期 的关系如图2所示。电信网和互联网及相关系统生命周期启动阶段设计阶段实施阶段运维阶段废弃阶段新建电

23、信网和互联网及相关系统安全等级保护过程电信网和互联网1安全规及相关系统定级1划设计实施运维已建电信网和互联网及相关系统安全等级保护过程电信网和互联网 |及相关系统终止图2安全等级保护过程与电信网和互联网及相关系统生命周期的关系新建的电信网和互联网及相关系统在生命周期中的各个阶段应同步考虑安全等级保护的主要活 动。在启动阶段，应该仔细分析和合理划分各个电信网和互联网及相关系统，确定各个电信网和互联 网及相关系统的安全等级，定级过程也可能在设计阶段；在设计阶段，应该根据各个电信网和互联网 及相关系统的安全等级，进行安全规划设计；在实施阶段，应在电信网和互联网及相关系统建设的同 时，同步进行安全措施

24、的实施；在运维阶段，应按照本系列标准中安全等级保护的要求进行安全运维； 在废弃阶段，应对废弃的设备、信息或存储介质等进行有效的安全管理。已建的电信网和互联网及相关系统通常处于运维阶段，由于在启动阶段、设计阶段和实施阶段可 能没有同步考虑安全等级保护的要求或者对安全等级保护的要求考虑不足，因此应在运维阶段启动安 全等级保护工作，安全等级保护过程中的电信网和互联网及相关系统定级、安全规划设计、安全实施 的主要活动都将在生命周期的运维阶段完成。由于是已经存在的电信网和互联网及相关系统，工作的 重点是在现有网络的基础上，根据安全等级保护要求，在安全规划设计阶段如何制定满足要求的补充 的安全建设方案，

25、在安全实施阶段如何保证在不影响现有业务 /应用的情况下， 分步骤分阶段分目标地 使各类安全补救措施可以顺利落实。在已建的电信网和互联网及相关系统基础上进行扩容的安全等级保护工作，扩容部分应与新建的 电信网和互联网及相关系统的安全等级保护过程一致。6电信网和互联网及相关系统定级6.1定级方法电信网和互联网安全防护体系中，确定安全等级是进行安全等级保护的前提和基础，直接影响和 指导安全防护体系中的安全风险评估和灾难备份及恢复工作。电信网和互联网及相关系统应根据本标 准确定安全等级，以保证定级的科学性和准确性。在电信网和互联网及相关系统中进行安全等级划分的总体原则是：电信网和互联网及相关系统受 到破

26、坏后对国家安全、社会秩序、经济建设、公共利益、网络和业务运营商的损害程度。电信网和互联网及相关系统可以划分为三个安全等级，分别为自主保护级、指导保护级和监督保 护级，其中监督保护级又分为普通监督保护级和重点监督保护级。主管部门对不同级别的电信网和互 联网及相关系统实行不同等级的监管。第 1级 自主保护级 电信网和互联网及相关系统遭到破坏后仅对其所有者的利益产生损害，但是不损害国家安全、社 会秩序、经济建设、公共利益。本级按照通信行业安全标准进行自主保护。第2级指导保护级电信网和互联网及相关系统遭到破坏后对社会秩序、经济建设、公共利益以及网络和业务运营商 造成轻微损害。本级在主管部门的指导下，按

27、照通信行业安全标准进行自主保护。第3级监督保护级分为两种情况：3.1级普通监督保护级电信网和互联网及相关系统遭到破坏后对国家安全、社会秩序、经济建设、公共利益以及网络和 业务运营商造成较大损害。本级按照通信行业安全标准进行自主保护，主管部门对其进行监督、检查。3.2级重点监督保护级电信网和互联网及相关系统遭到破坏后对国家安全、社会秩序、经济建设、公共利益以及网络和 业务运营商造成严重损害。本级按照通信行业安全标准进行自主保护，主管部门对其进行重点监督、检查。决定电信网和互联网及相关系统的安全等级的具体定级要素及其赋值如下：a）电信网和互联网及相关系统的社会影响力电信网和互联网及相关系统的社会影

28、响力表示其无法提供有效服务对国家安全、社会秩序、经济 建设、公共利益的影响程度，电信网和互联网及相关系统的社会影响力赋值如表 1所示。表1对电信网和互联网及相关系统的社会影响力赋值表社会影响力定义赋值电信网和互联网及相关系统无法提供有效服务对国家安全、社会秩序、经济建设、公共利益的影响较小1共利益的影响较大2共利益的影响很大3共利益的影响非常大4b）电信网和互联网及相关系统所提供服务的重要性电信网和互联网及相关系统所提供服务的重要性表示其提供的服务对网络和业务运营商的影响程度。电信网和互联网及相关系统所提供服务的重要性赋值如表 2所示。表2电信网和互联网及相关系统所提供服务的重要性赋值表所提供

29、服务的重要性定义电信网和互联网及相关系统所提供服务的重要性一般， 运营商产生较小的影响无法提供服务对网络和业务电信网和互联网及相关系统所提供服务的重要性较高， 运营商产生较大的影响电信网和互联网及相关系统所提供服务的重要性很高， 运营商产生很大的影响电信网和互联网及相关系统所提供服务的重要性非常高， 务运营商产生非常大的影响无法提供服务对网络和业c）电信网和互联网及相关系统的规模和服务范围电信网和互联网及相关系统的规模表示其服务的用户数多少，服务范围表示其服务的地区范围大小，电信网和互联网及相关系统的规模和服务范围赋值如表 3所示。表3电信网和互联网及相关系统的规模和服务范围赋值表规模和服务范