某公司网络安全产品维护经理认证体系教材.docx

《某公司网络安全产品维护经理认证体系教材.docx》由会员分享，可在线阅读，更多相关《某公司网络安全产品维护经理认证体系教材.docx（185页珍藏版）》请在三一办公上搜索。

1、产品维护经理认证体系教材-网络安全中国电信维护岗位认证教材编写小组编制目 录第1章信息安全管理基础51.1 信息安全概述51.1.1 信息安全面临的主要问题51.1.2 信息安全的相对性51.2 信息安全管理相关概念51.2.1 什么是信息安全51.2.2 信息安全的发展过程61.2.3 信息安全的基本目标61.2.4 如何实现信息安全61.2.5 信息安全需要遵循的模式71.3 BS7799概述71.3.1 BS 779971.3.2 ISO 1779981.3.3 安全管理体系规范141.3.4 ISMS管理框架15第2章 网络安全防护实施标准172.1 电信网和互联网安全防护管理指南17

2、2.2 电信网和互联网安全等级保护实施指南252.3 电信网和互联网安全风险评估实施指南512.4 电信网和互联网安全等级保护实施指南76第3章 中国电信安全维护规范913.1 安全域划分及边界整合913.1.1 安全域划分与边界整合913.1.2 定级备案913.1.3 安全域职责分工913.1.4 网络接入913.2 安全管理规范913.2.1 安全操作流程和职责913.2.2 安全对象管理923.2.3 安全日常维护管理923.2.4 第三方服务管理933.2.5 介质安全管理933.2.6 设备安全规范管理933.3 访问控制943.3.1 网络访问控制943.3.2 操作系统的访问控

3、制953.3.3 应用访问控制953.3.4 网络访问与使用的监控953.3.5 远程访问控制963.4 网络与系统风险评估963.5 安全事件与应急响应963.5.1 安全事件报告机制963.5.2 应急响应973.6 安全审计管理973.6.1 审计内容要求973.6.2 审计原则973.6.3 审计管理98第4章 安全评估994.1 安全评估概述994.1.1 安全评估目的994.1.2 安全评估要素994.1.2 安全评估过程1014.1.4 安全评估工具1024.1.5 安全评估标准1024.2 安全扫描1034.2.1漏洞及其分类1034.2.2 网络扫描技术104第5章 常见安全

4、产品1075.1防病毒网关1075.1.1 防病毒网关基础概念1075.1.2 防病毒网关与防火墙区别1085.1.3 防病毒网关与防病毒软件区别1105.1.4 防病毒网关关键技术1115.2 防火墙1135.2.1 防火墙基本知识1135.2.2 防火墙基本配置1175.3 入侵检测1235.3.1 入侵检测与入侵防御概述1235.3.2 入侵检测系统介绍1265.3.3 入侵防御系统介绍1345.4 VPN1385.4.1 VPN的基本原理1385.4.2 VPN的安全协议139附录：第一章安全配置1561.1 网络设备安全配置1561.1.1 交换机安全配置1561.1.2 路由器安全

5、配置1581.2 主机安全配置1681.2.1 Windows安全配置1681.2.2 Solaris安全配置1731.2.3 Linux安全配置175附录 第二章密码学基础1772.1密码学概述1772.1.1 密码学概述1772.1.2 密码体制的分类1772.1.4 密码学的主要应用1802.1.5 信息加密方式1802.2 对称密码学1822.3 非对称密码学1822.4 消息认证技术183第1章信息安全管理基础1.1 信息安全概述1.1.1 信息安全面临的主要问题1、人员问题： 信息安全意识薄弱的员工误操作、误设置造成系统宕机、数据丢失，信息泄漏等问题 特权人员越权访问，如：系统管理

6、员，应用管理员越权访问、传播敏感数据 内部员工和即将离职员工窃取企业秘密，尤其是骨干员工流动、集体流动等2、技术问题： 病毒和黑客攻击越来越多、爆发越来越频繁，直接影响企业正常的业务运作3、法律方面 网络滥用：员工发表政治言论、访问非法网站 法制不健全，行业不正当竞争（如：窃取机密，破坏企业的业务服务）1.1.2 信息安全的相对性安全没有100%，完美的健康状态永远也不能达到。安全工作的目标：将风险降到最低。1.2 信息安全管理相关概念1.2.1 什么是信息安全ISO17799中的描述：“Information is an asset which, like other important b

7、usiness assets, has value to an organization and consequently needs to be suitably protected. ” “Information can exist in many forms. It can be printed or written on paper, stored electronically, transmitted by post or using electronic means, shown on films, or spoken in conversation. 定义中强调信息： 是一种资产

8、 同其它重要的商业资产一样 对组织具有价值 需要适当的保护 以各种形式存在：纸、电子、影片、交谈等ISO17799中的描述:“Information security protects information from a wide range of threats in order to ensure business continuity, minimize business damage and maximize return on investments and business opportunities.”信息安全： 保护信息免受各方威胁 确保组织业务连续性 将信息不安全带来的损失

9、降低到最小 获得最大的投资回报和商业机会1.2.2 信息安全的发展过程20世纪初：强调保密性（密码学）20世纪60年代：保密性、完整性、可用性（CIA）20世纪80年代：保密性、完整性、可用性、抗抵赖、可控性、真实性1.2.3 信息安全的基本目标保密性（Confidentiality）：确保信息在存储、使用、传输过程中不会泄漏给非授权用户或实体。完整性（Integrity）：确保信息在存储、使用、传输过程中不会被非授权用户篡改，同时还要防止授权用户对系统及信息进行不恰当的篡改，保持信息内、外部表示的一致性。可用性（Availability）：确保授权用户或实体对信息及资源的正常使用不会被异常拒

10、绝，允许其可靠而及时地访问信息及资源。1.2.4 如何实现信息安全物理安全技术：环境安全、设备安全、媒体安全；系统安全技术：操作系统及数据库系统的安全性；网络安全技术：网络隔离、访问控制、VPN、入侵检测、扫描评估；应用安全技术：Email 安全、Web 访问安全、内容过滤、应用系统安全；数据加密技术：硬件和软件加密，实现身份认证和数据信息的CIA 特性；认证授权技术：口令认证、SSO 认证（例如Kerberos）、证书认证等；访问控制技术：防火墙、访问控制列表等；审计跟踪技术：入侵检测、日志审计、辨析取证；防病毒技术：单机防病毒技术逐渐发展成整体防病毒体系；灾难恢复和备份技术：业务连续性技术

11、，前提就是对数据的备份。1.2.5 信息安全需要遵循的模式在信息安全管理方面，BS7799 标准为我们提供了指导性建议，即基于PDCA（Plan、Do、Check 和Act，即戴明环）的持续改进的管理模式。1.3 BS7799概述1.3.1 BS 7799（一）BS 7799简介 BS 7799是英国标准协会（British Standards Institute，BSI）制定的信息安全标准，由信息安全方面的最佳惯例组成的一套全面的控制集，是信息安全管理方面最受推崇的国际标准。BS7799和ISO17799的区别：BS7799： 英国标准 已被多个国家认同（如澳大利亚等） 第二部分是可认证标准

12、 2002年新修订了第2部分。新版本风格接近ISO9000和ISO14000。ISO17799 2000年采纳了BS7799的第一部分 第二部分还在讨论中（二）BS 7799的历史沿革 1990年代初 英国贸工部（DTI）成立工作组，立项开发一套可供开发、实施和测量有效安全管理惯例并提供贸易伙伴间信任的通用框架。 1993年9月 颁布信息安全管理实施细则，形成BS 7799的基础。 1995年2月 首次出版BS 7799-1:1995信息安全管理实施细则。 1998年2月 英国公布BS 7799-2:信息安全管理体系规范。 1999年4月 BS 7799-1与BS 7799-2修订后重新发布。

13、 2000年12月 国际标准组织 ISO/IEC JTC 1/SC27工作组认可通过BS 7799-1，颁布ISO/IEC 17799-1:2000信息技术信息安全管理实施细则。 2002年9月 BSI对BS 7799-2进行了改版，用来替代原标准（BS 7799-2:1999）使用，并可望通过ISO组织认可。ISO27001:2005 建立信息安全管理体系（ISMS）的一套规范（Specification for Information Security Management Systems），其中详细说明了建立、实施和维护信息安全管理体系的要求，指出实施机构应该遵循的风险评估标准 。1.3

14、.2 ISO 17799 图：ISO 17799:2005内容框架（一）信息安全管理细则 信息安全策略 安全组织 资产分类和控制 人员安全 物理和环境安全 通信和操作管理 访问控制 系统获得、开发和维护 信息安全事件管理 业务连续性管理 依从性（二）信息安全策略u 目标： 信息安全策略为信息安全提供与业务需求和法律法规相一致的管理指示及支持u 安全策略应该做到： 对信息安全加以定义 陈述管理层的意图 分派责任 约定信息安全管理的范围 对特定的原则、标准和遵守要求进行说明 对报告可疑安全事件的过程进行说明 定义用以维护策略的复查过程（三）安全组织u 目标： 信息安全基础设施在组织内部管理信息安全

15、 外部组织保持组织的被外部组织访问、处理、沟通或管理的信息及信息处理设备的安全u 包含的内容： 建立管理委员会，定义安全管理的角色和责任 对软硬件的采购建立授权过程 与第三方签订的协议中应覆盖所有相关的安全要求。 外包合同中的安全需求 包括内部组织和外部伙伴（四）资产管理u 目标： 资产责任实现并保持组织资产的适当保护 信息分类确保对信息资产的保护达到恰当的水平u 包含的内容： 组织可以根据业务运作流程和信息系统拓扑结构来识别信息资产。 按照信息资产所属系统或所在部门列出资产清单。 所有的信息资产都应该具有指定的属主并且可以被追溯责任。 信息应该被分类，以标明其需求、优先级和保护程度。 根据组

16、织采用的分类方案，为信息标注和处理定义一套合适的程序。（五）人力资源安全u 目标： 雇佣前确保员工、合同访和第三方用户了解他们的责任并适合于他们所考虑的角色，减少盗窃、滥用或设施误用的风险。 雇佣中确保所有的员工、合同方和第三方用户了解信息安全威胁和相关事宜、他们的责任和义务，并在他们的日常工作中支持组织的信息安全方针，减少人为错误的风险。 解聘和变更确保员工、合同方和第三方用户离开组织或变更雇佣关系时以一种有序的方式进行。u 包含的内容： 故意或者无意的人为活动可能给数据和系统造成风险 在正式的工作描述中建立安全责任，员工入职审查 （六）物理和环境安全u 目标： 安全区域防止非授权访问、破坏

17、和干扰业务运行的前提条件及信息。 设备安全预防资产的丢失、损坏或被盗，以及对组织业务活动的干扰。u 包含的内容： 应该建立带有物理入口控制的安全区域 应该配备物理保护的硬件设备 应该防止网络电缆被塔线窃听 将设备搬离场所，或者准备报废时，应考虑其安全（七）通信和操作管理u 目标： 操作程序和责任确保信息处理设施的正确和安全操作。 第三方服务交付管理实施并保持信息安全的适当水平，确保第三方交付的服务符合协议要求。 系统规划与验收减少系统失效带来的风险。 防范恶意代码和移动代码保护软件和信息的完整性。 备份保持信息和信息处理设施的完整性和可用性 网络安全管理确保对网络中信息和支持性基础设施的安全保

18、护。 介质处理和安全防止对资产的未授权泄漏、修改、移动或损坏，及对业务活动的干扰。 信息和软件的交换应保持组织内部或组织与外部组织之间交换信息和软件的安全。 电子商务服务 确保电子商务的安全及他们的安全使用。 监督检测未经授权的信息处理活动。u 包含的内容： 防病毒，防恶意软件 进行变更控制 做好备份，存储介质的安全处理，保存正确的访问日志，系统文件的安全性 电子邮件安全性 保护传输中的数据（八）访问控制u 目标： 访问控制的业务需求控制对信息的访问。 用户访问管理确保授权用户的访问，并预防信息系统的非授权访问。 用户责任预防未授权用户的访问，信息和信息处理设施的破坏或被盗。 网络访问控制防止

19、对网络服务未经授权的访问。 操作系统访问控制防止对操作系统的未授权访问。 应用访问控制防止对应用系统中信息的未授权访问。 移动计算和远程工作确保在使用移动计算和远程工作设施时信息的安全。 u 包含的内容： 口令的正确使用 对终端的物理访问 自动终止时间 软件监视等（九）系统获得、开发与维护u 目标： 系统的安全需求确保安全内建于信息系统中。 应用系统的安全防止应用系统信息的错误、丢失、未授权的修改或误用。 加密控制通过加密手段来保护细腻的保密性、真实性或完整性。 系统文件的安全确保系统文档的安全。 开发和支持过程的安全保持应用系统软件和信息的安全。 技术漏洞管理减少由利用公开的技术漏洞带来的风

20、险。u 包含的内容： 在系统设计时应该考虑输入数据校验、数据加密、数据文件的安全性、测试数据的保护 软件开发和维护中应该建立配置管理、变更控制等机制（十）信息安全事件管理u 目标： 报告信息安全事件和弱点确保与信息系统有关的安全事件和弱点的沟通能够及时采取纠正措施。 信息安全事故的管理和改进确保使用持续有效的方法管理信息安全事故。 u 包含的内容： 正常的事件报告和分类程序，这类程序用来报告可能对机构的财产安全造成影响的不同种类的事件和弱点 所有的员工、合同方和第三方用户都应该知晓这套报告程序。 要求员工需要尽可能快地将信息安全事件和弱点报告给指定的联系方。 （十一）业务连续性管理u 目标：

21、业务连续性管理的信息安全方面：防止业务活动的中断，保护关键业务流程不会受信息系统重大失效或自然灾害的影响，并确保他们的及时恢复。u 包含的内容： 全面理解业务连续性计划（BCP） 理解组织面临的风险，识别关键业务活动和优先次序。 确认可能对业务造成影响的中断。 应该设计、实施、测试和维护BCP（十二）符合性u 目标： 与法律法规要求的符合性避免违反法律、法规、规章、合同要求和其他的安全要求。 符合安全方针、标准，技术符合性确保系统符合组织安全方针和标准。 信息系统审核的考虑因素最大化信息系统审核的有效性，最小化来自/对信息系统审核的影响。u 包含的内容： 组织应该确保遵守相关的法律法规和合同义

22、务 软件版权，知识产权等1.3.3 安全管理体系规范 （一）BS7799-2简介BS 7799标准对信息安全管理体系（ISMS）并没有一个明确的定义，可以将其理解为组织管理体系的一部分。ISMS涉及到的内容：用于组织信息资产风险管理、确保组织信息安全的、包括为制定、实施、评审和维护信息安全策略所需的组织机构、目标、职责、程序、过程和资源。标准要求的ISMS建立过程：制定信息安全策略，确定体系范围，明确管理职责，通过风险评估确定控制目标和控制方式。体系一旦建立，组织应该按规定要求进行运作，保持体系的有效性。ISMS应形成一定的文档，包括策略、适用性声明文件和实施安全控制所需的程序文件。一个文档化

23、的ISMS应该阐述：要保护的资产，组织进行风险管理的途径，控制目标和控制方式，需要的保障程度。（二）ISMS的作用 强化员工的信息安全意识，规范组织信息安全行为； 对组织的关键信息资产进行全面系统的保护，维持竞争优势； 在信息系统受到侵袭时，确保业务持续开展并将损失降到最低程度； 使组织的生意伙伴和客户对组织充满信心，如果通过体系认证，表明体系符合标准，证明组织有能力保障重要信息，提高组织的知名度与信任度； 促使管理层坚持贯彻信息安全保障体系。（三）ISO 27001定义的信息安全管理体系1.3.4 ISMS管理框架建立ISMS管理框架的过程：ISMS是一个文档化的体系。文档架构如下图所示：第

24、一级 ：方针策略，信息安全管理手册是xx信息安全管理工作的纲领性文件 。第二级 ：管理规定、规范、程序文件用来规定所要求的管理制度或技术控制措施。第三级 ：管理办法和实施细则解释特殊工作和活动的细节。第四级 ：记录活动实行以符合等级1,2,和3的文件要求的客观证据，阐明所取得的结果或提供完成活动的证据 ISMS文件体系逻辑框架图：第2章 网络安全防护实施标准2.1 电信网和互联网安全防护管理指南1. 范围 本标准对电信网和互联网安全防护的定义、目标、原则进行了描述和规范。同时，对电信网和互联网安全防护体系、安全防护体系三部分工作及其关系进行了说明。本标准适用于电信网和互联网的安全防护工作。本标

25、准涉及的电信网和互联网不包括专用网，仅指公众电信网和公众互联网。2. 规范性引用文件 下列文件中的条款通过本标准的引用而成为指导性技术文件的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准。然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。 GB/T 5271.8-2001 信息技术 词汇 第 8 部分：安全 3. 术语和定义 GB/T 5271.8-2001确立的术语和定义，以及下列术语和定义适用于本标准。 3.1 电信网 telecom network 利用有线和/或无线的电磁、光电

26、系统，进行文字、声音、数据、图象或其它任何媒体的信息传递的网络，包括固定通信网、移动通信网等。 3.2 互联网 Internet 泛指广域网、局域网及终端（包括计算机、手机等）通过交换机、路由器、网络接入设备等基于一定的通讯协议连接形成的，功能和逻辑上的大型网络。 3.3 电信网和互联网安全防护体系 security protection architecture of telecom network and Internet电信网和互联网的安全等级保护、安全风险评估、灾难备份及恢复三项工作互为依托、互为补充、相互配合，共同构成了电信网和互联网安全防护体系。 3.4 电信网和互联网安全等级 s

27、ecurity classification of telecom network and Internet 电信网和互联网及相关系统重要程度的表征。重要程度从电信网和互联网及相关系统受到破坏后，对国家安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。 3.5 电信网和互联网安全等级保护 classified security protection of telecom network and Internet 指对电信网和互联网及相关系统分等级实施安全保护。 3.6 电信网和互联网安全风险 security risk of telecom network and Inte

28、rnet 人为或自然的威胁可能利用电信网和互联网及相关系统存在的脆弱性导致安全事件的发生及其对组织造成的影响。 3.7 电信网和互联网安全风险评估 security risk assessment of telecom network and Internet 指运用科学的方法和手段，系统地分析电信网和互联网及相关系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施，防范和化解电信网和互联网及相关系统安全风险，将风险控制在可接受的水平，为最大限度地保障电信网和互联网及相关系统的安全提供科学依据。3.8 电信网和互联网灾难 disa

29、ster of telecom network andInternet 由于各种原因，造成电信网和互联网及相关系统故障或瘫痪，使电信网和互联网及相关系统支持的业务功能停顿或服务水平不可接受、达到特定的时间的突发性事件。 3.9 电信网和互联网灾难备份 backup for disaster recovery of telecom network and Internet为了电信网和互联网及相关系统灾难恢复而对相关网络要素进行备份的过程。3.10 电信网和互联网灾难恢复 disaster recovery of telecom network and Internet 为了将电信网和互联网及相关

30、系统从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态、并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。4. 目标和原则 电信网和互联网安全防护工作的目标就是要加强电信网和互联网的安全防护能力，确保网络的安全性和可靠性，尽可能实现对电信网和互联网安全状况的实时掌控，保证电信网和互联网能够完成其使命。为了实现该目标，网络和业务运营商、设备制造商要充分考虑电信网和互联网不同等级的安全要求，从环境因素以及人为因素分析电信网和互联网面临的威胁，从技术和管理两个方面分析电信网和互联网存在的脆弱性，充分考虑现有安全措施，分析电信网和互联网现存风险，平衡效益与成本

31、，制定灾难备份及恢复计划，将电信网和互联网的安全控制在可接受的水平。 电信网和互联网安全防护工作要在适度安全原则的指导下，采用自主保护和重点保护方法，在安全防护工作安排部署过程中遵循标准性、可控性、完备性、最小影响和保密原则，实现同步建设、统筹兼顾、经济实用和循序渐进地进行安全防护工作。 适度安全原则：安全防护工作的根本性原则。安全防护工作应根据电信网和互联网的安全等级，平衡效益与成本，采取适度的安全技术和管理措施。 标准性原则：安全防护工作开展的指导性原则。指电信网和互联网安全防护工作的开展应遵循相关的国家或行业标准。 可控性原则：指电信网和互联网安全防护工作的可控性，包括： 人员可控性：相

32、关的安全防护工作人员应具备可靠的政治素质、职业素质和专业素质。相关安全防护工作的检测机构应具有主管部门授权的电信网和互联网安全防护检测服务资质。 工具可控性：要充分了解安全防护工作中所使用的技术工具，并进行一些实验，确保这些技术工具能被正确地使用。 项目过程可控性：要对整个安全防护项目进行科学的项目管理，实现项目过程的可控性。 完备性原则：安全防护工作要覆盖电信网和互联网的安全范围。 最小影响原则：从项目管理层面和技术管理层面，将安全防护工作对电信网和互联网正常运行的可能影响降低到最低限度。 保密性原则：相关安全防护工作人员应签署协议，承诺对所进行的安全防护工作保密，确保不泄露电信网和互联网及

33、安全防护工作的重要和敏感信息。 5. 安全防护体系 电信网和互联网安全防护范畴包括基础电信运营企业运营的传输、承载各类电信业务的公共电信网（含公共互联网）及其组成部分，支撑和管理公共电信网及电信业务的业务单元和控制单元，以及企业办公系统（含文件管理系统、员工邮件系统、决策支持系统、人事管理系统等）、客服呼叫中心、企业门户网站等非核心生产单元。此外，电信网络安全防护工作的范围还包括经营性互联网信息服务单位、移动信息服务单位、互联网接入服务单位、互联网数据中心、互联网域名服务机构等单位运营的网络或信息系统。 根据电信网和互联网安全防护范畴，建立的电信网和互联网安全防护体系如图1所示。整个体系分为三

34、层，第一层为整个安全防护体系的总体指导性规范，明确了对电信网和互联网安全防护的定义、目标、原则，并说明了安全防护体系的组成。 第二层从宏观的角度明确了如何进行安全防护工作，规范了安全防护体系中安全等级保护、安全风险评估、灾难备份及恢复三部分工作的原则、流程、方法、步骤等。 第三层具体规定了电信网和互联网安全防护工作的要求，即安全防护要求和安全防护检测要求。 根据电信网和互联网全程全网的特点，电信网和互联网的安全防护工作可从固定通信网、移动通信网、互联网、增值业务网、非核心生产单元来开展。其中，互联网包括经营性互联网信息服务单位、互联网接入服务单位、互联网数据中心、互联网域名服务机构等单位运营的

35、网络或信息系统。增值业务网包括消息网、智能网等业务平台以及业务管理平台。 对固定通信网、移动通信网、互联网实施安全防护，应分别从构成上述网络的不同电信网和互联网相关系统入手。电信网和互联网相关系统包括接入网、传送网、IP承载网、信令网、同步网、支撑网等。其中，接入网包括各种有线、无线和卫星接入网等，传送网包括光缆、波分、SDH、卫星等，而支撑网则包括业务支撑和网管系统。 安全防护要求明确了电信网和互联网及相关系统需要落实的安全管理和技术措施，涵盖了安全等级保护、安全风险评估、灾难备份及恢复等三部分内容，其中安全等级保护工作需要落实的物理环境和管理的安全等级保护要求被单独提出作为电信网和互联网及

36、相关系统的通用安全等级保护要求。 安全防护检测要求与安全防护要求相对应，提供了对电信网和互联网安全防护工作进行检测的方法，从而确认网络和业务运营商、设备制造商在安全防护工作实施过程中是否满足了相关安全防护要求。 随着电信网和互联网的发展，随着安全防护体系的进一步完善，第三层的内容将进一步补充完善。 6. 安全等级保护电信网和互联网安全等级保护工作贯穿于电信网和互联网生命周期的各个阶段，是一个不断循环和不断提高的过程。首先，根据电信网和互联网及相关系统受到破坏后，对国家安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害程度来确定安全等级；通过进一步分析电信网和互联网及相关系统的安全保

37、护现状与安全等级保护要求之间的差距，确定安全需求，设计合理的、满足安全等级保护要求的总体安全方案，制定出安全建设规划；并进一步将其落实到电信网和互联网及相关系统中，形成安全技术和管理体系；在电信网和互联网安全运维阶段，根据安全等级保护的需要对安全技术和管理体系不断调整和持续改进，确保电信网和互联网及相关系统满足相应等级的安全要求；在安全资产终止阶段对信息、设备、介质进行终止处理时，防止敏感信息的泄露，保障电信网和互联网及相关系统的安全。安全等级保护工作的实施过程如图2所示。 7. 安全风险评估 电信网和互联网安全风险评估应贯穿于电信网和互联网生命周期的各阶段中，在生命周期不同阶段的风险评估原则

38、和方法是一致的。在电信网和互联网的安全风险评估工作中，应首先进行相关工作的准备，通过安全风险分析计算电信网和互联网及相关系统的风险值，进而确定其风险等级和风险防范措施。安全风险分析中要涉及资产、威胁、脆弱性等基本要素，每个要素有各自的属性。资产的属性是资产价值；威胁的属性可以是威胁主体、影响对象、出现频率、动机等；而脆弱性的属性是资产弱点的严重程度等。安全风险评估的实施流程如图3所示。 8. 灾难备份及恢复 电信网和互联网灾难备份及恢复工作利用技术、管理手段以及相关资源，确保已有的电信网和互联网在灾难发生后，在确定的时间内可以恢复和继续运行。灾难备份及恢复工作需要防范包括地震、水灾等自然灾难以

39、及火灾、战争、恐怖袭击、网络攻击、设备系统故障、人为破坏等无法预料的突发事件。如图4所示，灾难备份及恢复工作应根据安全等级保护确定的安全等级以及安全风险分析的相关结果进行需求分析，制定、实现相应的灾难备份及恢复策略，并构建灾难恢复预案，这是一个循环改进的过程。 针对电信网和互联网的不同网络、不同重要级别的业务，灾难备份及恢复所要达到的目标是不同的。例如，在电信网和互联网中，对于普通话音业务，可以要求网络和业务运营商通过灾难备份及恢复工作，保证在灾难发生后单一地区的灾难不影响灾难发生地理范围以外地区的话音业务，并且发生灾难的地区的话音业务能够通过有效灾难恢复计划的实施，在一定时间范围（指标应与灾

40、难级别对应）内恢复通信。9. 安全等级保护、安全风险评估、灾难备份及恢复三者之间的关系 电信网和互联网安全防护体系中的安全等级保护、安全风险评估、灾难备份及恢复三者之间密切相关、互相渗透、互为补充。电信网和互联网安全防护应将安全等级保护、安全风险评估、灾难备份及恢复工作有机结合，加强相关工作之间的整合和衔接，保证电信网络安全防护工作的整体性、统一性和协调性。电信网络安全防护工作应按照根据被保护对象的重要性进行分等级保护的思想，通过安全风险评估的方法正确认识被保护对象存在的脆弱性和面临的威胁，进而制定、落实和改进与安全保护等级和风险大小相适应的一系列管理、技术、灾难备份等安全等级保护措施，最终达

41、到提高电信网络安全保护能力和水平的目的。在开展安全等级保护工作时，要充分应用安全风险评估的方法，认识、分析不同类型的网络和业务存在的脆弱性和面临的威胁，进而制定和落实与被保护对象的类型、脆弱性和威胁相适应的基本安全保护措施要求，提高安全等级保护工作的针对性和适用性。在开展安全风险评估工作时，在分析被保护对象综合风险和制定改进方案的过程中，要始终与被保护对象的安全保护等级相结合，合理确定被评估对象的可接受风险和制定确实必要的整改措施，避免无限度的改进提高。在开展灾难备份及恢复工作时，要结合被备份对象的安全保护等级和面临的威胁，制定相适应的备份措施，并将有关备份的要求体现在安全等级保护的要求中进行

42、落实。电信网和互联网安全等级保护、安全风险评估和灾难备份及恢复工作应随着电信网和互联网的发展变化而动态调整，适应国家对电信网和互联网的安全要求。2.2 电信网和互联网安全等级保护实施指南 1 范围本标准规定了电信网和互联网安全等级保护的概念、对象、目标，安全等级划分和定级方法，安全等级保护实施过程中的基本原则，并结合电信网和互联网的生命周期定义了电信网和互联网安全等级保护工作的主要阶段及主要活动。 本标准适用于电信网和互联网的安全等级保护工作。 本标准是电信网和互联网安全等级保护的总体指导性文件，针对具体网络的安全等级保护可参考具体网络的安全防护要求和安全防护检测要求。 2 规范性引用文件下列

43、文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。 GB/T 5271.8-2001 信息技术 词汇 第8部分：安全3 术语和定义GB/T 5271.8-2001确立的术语和定义，以及下列术语和定义适用于本标准。 3.1 电信网 telecomnetwork 利用有线和/或无线的电磁、光电系统，进行文字、声音、数据、图象或其它任何媒体的信息传递的网络，包括固定通信网、移动通信网等。 3.2 电信网

44、和互联网安全防护体系 security protection architecture of telecom network and Internet 电信网和互联网的安全等级保护、安全风险评估、灾难备份及恢复三项工作互为依托、互为补充、相互配合，共同构成了电信网和互联网安全防护体系。 3.3 电信网和互联网相关系统 systems of telecom network and Internet 组成电信网和互联网的相关系统，包括接入网、传送网、IP承载网、信令网、同步网、支撑网等。其中，接入网包括各种有线、无线和卫星接入网等，传送网包括光缆、波分、SDH、卫星等，而支撑网包括业务支撑和网管系统。 3.4 电信网和互联网安全等级 security classification of telecom network and Internet 电信网和互联网及相关系统安全重要程度的表征。重要程度可从电信网和互联网及相关系统受到破坏后，对国家安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。 3.5 电信网和互联网安全等级保护 classified security protection of telecom networkand Internet 指对电信网和互联网及相关系统分等级实施安全保护。3.6 电信网和互联网基本保护要求 basic protection