网通[2008]168号 中国移动安全审计管理办法
移动公司数据安全管理制度
第一章总则第一条为加强公司数据安全管理，保障公司数据安全，防止数据泄露、篡改、丢失等风险，根据国家相关法律法规，结合公司实际情况，制定本制度。
第二条本制度适用于公司内部所有数据，包括但不限于客户信息、业务数据、技术数据、财务数据等。
第三条本制度遵循以下原则：1. 隐私保护原则：保护客户隐私，不得非法收集、使用、泄露客户信息。
2. 安全责任原则：明确数据安全责任，落实数据安全防护措施。
3. 风险管理原则：识别、评估、控制数据安全风险。
4. 依法合规原则：遵守国家法律法规，确保数据安全合规。
第二章数据安全责任第四条公司董事会对数据安全负有最终责任，公司高层管理人员对数据安全方针和政策负责。
第五条公司首席信息安全官负责制定、颁布数据安全政策和规程，监督、检查数据安全管理工作。
第六条各部门负责人对本部门数据安全负有直接责任，确保本部门数据安全。
第七条所有员工应遵守数据安全管理制度，履行数据安全责任。
第三章数据分类与分级第八条公司数据按照重要性、机密性、敏感性进行分类分级。
第九条数据分类分为以下类别：1. 公开数据：不涉及公司秘密、客户隐私等数据。
2. 内部数据：涉及公司秘密、客户隐私等数据。
3. 高度敏感数据：涉及国家秘密、客户隐私等高度敏感数据。
第十条数据分级分为以下级别：1. 低级：对业务运营影响较小。
2. 中级：对业务运营有一定影响。
3. 高级：对业务运营有严重影响。
第四章数据收集与存储第十一条数据收集应遵循合法、正当、必要的原则。
第十二条数据存储应选择安全可靠的数据中心，并采取加密、访问控制等安全措施。
第五章数据使用与处理第十三条数据使用应遵循以下原则：1. 不得非法收集、使用、泄露客户信息。
2. 不得非法篡改、删除数据。
3. 不得将数据用于非法目的。
第十四条数据处理应遵循以下要求：1. 数据处理前应进行风险评估。
2. 数据处理过程中应采取安全措施，防止数据泄露、篡改、丢失。
第六章数据传输与交换第十五条数据传输应采用加密、安全协议等技术手段，确保数据传输安全。
中国移动网络安全检查管理办法
中国移动网络与信息平安检查管理方法一、检查目的催促平安管理要求落实，发现系统运行中的平安隐患，促进各省网络与信息平安交流学习。
二、检查人员检查人员组成检查人员一般由集团网络与信息平安专家组成，组长由参加过屡次平安检查技术经验丰富的人员担任。
在组成检查组时应充分考虑组员的技术背景，尽量由维护或管理过不同系统的人员组成。
对检查人员要求检查人员应熟悉集团公司下发的各项平安管理规定和熟悉相关平安配置标准，熟悉常见平安检查工具使用方法，并掌握相关系统平安检查方法，比方日志查看、进程查看、效劳与端口查看等。
三、检查对象网络与信息平安检查主要针对网络部维护管理的主要业务系统进行检查，重点保护近期网络与信息平安热点问题涉及系统、对公司业务运营影响较大的系统、容易受外部攻击的系统，比方短信系统、彩信系统、Wap系统、网管系统、LBS系统、信令监测系统、彩铃系统等。
四、检查内容平安检查一般分技术局部和管理局部。
管理局部主要检查被检查省平安管理体系建立完善情况，相关平安管理要执行落实情况。
技术局部主要检查系统平安防护措施配备情况，设备平安配置情况，特殊系统平安要求落实情况等。
技术局部的内容具体包括1、系统平安防护措施完备情况：比方防火墙等设备是否完备。
2、平安配置落实情况：主要依据集团下发的平安配置系列标准，检查配置标准落实情况。
3、帐号口令落实情况：重点检查系统是否存在弱口令。
4、防火墙策略：检查防火墙策略是否存在明显漏洞。
5、特殊补丁加载情况：对于影响较大的软件补丁，检查是否加载，比方MS08-067。
6、恶意软件检查：检查系统上是否存在恶意软件，比方木马。
8、特殊脚本或自动运行工程检查：检查系统自动运行工程，查看是否存在恶意内容。
9、特殊系统的特殊检查工程：主要针对局部系统的特殊检查要求，比方LBS 的特殊检查工程。
四、检查步骤及方法〔一〕听取被检查省汇报，了解被检查省网络与信息平安工作情况。
〔二〕分工检查。
管理局部和技术局部并行进行。
中国移动公司终端安全控制与审计建议方案_北信源武汉分公司_20140719
所有终端接入 网络之前必须 安装终端安全 管理客户端软 件，接受终端 安全管理平台 的管理和监控， 未安装该客户 端的终端不得 接入中国移动 网络。
终端接入网络 之前可选择对 终端进行身份 鉴权认证，未 通过身份鉴权 的终端无法访 问任何系统、 应用以及设备。
终端接入网络 必须接受终端 安全策略检查 并通过终端接 入安全认证， 未通过认证接 入的终端无法 访问任何系统、 应用和设备。
外来移动介质随意接入泄 密
违规软件安装
对移动介质使用缺乏管理，随意接入，造成重要信息泄 露
违规安装企业或者国家相关部门禁止安装的软件，带来 法律风险的同时引入病毒或者木马程序。
终端安全风险评估-脆弱性识别
终端脆弱性识别 种类
操作系统漏洞
描述
关键高危系统漏洞未及时更新，给黑客、木马等带来可乘之机
防毒软件未安装 防毒软件未安装或者病毒库未及时更新，当病毒发作时未及时发 现或者清除，有可能造成其它内网终端感染。
移动公司终端安全控制与审计 标 题 建议方案
内 容
中移动信息安全建设必要性 怎样进行信息安全建设
VRV
中移动终端安全与审计建议方案 参考标准
网络与信息安全的重要性
网络与信息都是资产，具有不可或缺的重要价值；
网络与信息安全是企业运营与发展的基础和核心；
网络与信息安全是保证网络品质、保障客户利益的基础； 中移动的网络与信息安全同时也是国家安全的需要
开发测试终端 只允许访问开发测试域，受限访问相关的技术支持和服务网站， 不允许访问除此以外的任何域外环境 临时接入终端 原则上只允许接入办公域，如需接入其它域则必须经过流程审 批，审批通过后方可接入，在接入生产域和业务域时必须由本 公司相关接口人全程陪同
中国移动安全规章制度范本
第一章总则第一条为加强中国移动网络安全管理，保障公司信息系统安全稳定运行，维护公司利益和客户权益，根据国家相关法律法规，结合公司实际情况，制定本规章制度。
第二条本规章制度适用于中国移动所有员工、合作伙伴以及使用公司信息系统的用户。
第三条公司安全管理部门负责组织、协调、监督、检查和指导公司安全工作。
第四条公司各部门应按照本规章制度的要求，建立健全本部门的安全管理制度，落实安全责任。
第二章安全组织与管理第五条公司设立安全委员会，负责公司安全工作的统筹规划、决策和监督。
第六条安全委员会下设安全管理部门，负责具体实施安全管理制度，组织安全培训和应急响应。
第七条各部门应设立安全负责人，负责本部门的安全管理工作，并定期向安全管理部门报告安全工作情况。
第八条公司建立健全安全责任制，明确各级人员的安全职责，确保安全责任落实到人。
第三章信息安全管理制度第九条公司信息系统应遵循国家相关法律法规，采用安全可靠的技术手段，确保信息系统安全。
第十条信息系统建设应遵循安全设计原则，确保信息系统在设计、开发、部署、运行和维护等各个环节符合安全要求。
第十一条公司应建立信息安全风险评估机制，定期对信息系统进行安全风险评估，并采取相应措施。
第十二条公司应建立健全信息安全事件报告、调查、处理和总结制度，确保信息安全事件得到及时、有效处理。
第十三条公司应加强密码管理，确保密码的安全性和保密性。
第十四条公司应加强对员工信息安全意识的教育和培训，提高员工的信息安全素养。
第四章物理安全管理制度第十五条公司应加强办公场所、数据中心等物理场所的安全管理，确保场所安全。
第十六条公司应建立健全门禁、监控、消防等物理安全设施，并定期进行检查和维护。
第十七条公司应加强计算机设备、存储设备等物理设备的安全管理，防止设备丢失、损坏或被盗。
第五章应急管理第十八条公司应建立健全信息安全应急响应机制，确保在发生信息安全事件时，能够迅速、有效地进行处置。
第十九条应急响应机制应包括应急组织、应急预案、应急流程等内容。
中国移动云计算网络安全域划分技术要求
中国移动云计算网络安全域划分技术要求Technical Specification of Centralized Security Protectionfor Cloud Computing版本号： 1.0.0中国移动通信集团公司网络部2013年12月目录前言 (1)1综述 (2)2云计算网络安全域划分 (2)2.1安全域划分的原则 (3)2.2云计算平台的主要安全域 (4)2.2.1云计算平台组网的基本架构 (4)2.2.2云计算平台基础网络安全域划分方法 (5)2.2.3云计算平台所承载业务系统组网安全域划分方法 (7)3云计算网络的安全防护要求 (8)3.1.1云计算平台与互联网之间互联安全要求 (8)3.1.2云计算平台与支撑系统之间互联安全要求 (8)3.1.3云计算平台上承载的业务系统之间互联安全要求 (8)4云计算平台安全运维要求 (9)4.1安全维护要求 (9)4.2安全管理要求 (9)5编制历史 (10)附录A 引用标准与依据 (10)附录B 相关术语与缩略语 (11)前言针对数据业务系统向云计算平台承载方式演进的需求，按照等级保护和集中化要求，本要求明确了在云计算网络环境下组网规划，实施安全域划分的基本原则，并进一步提出了云计算环境安全防护的基本要求。
本要求将云计算网络环境划分为核心网络区、核心生产区、互联网网络区、接入维护区、测试区以及DMZ区等安全域。
并在此基础上，以业务系统为单位，每个业务系统划分不同的VLAN，实现云计算网络环境下业务系统间的安全隔离。
本要求可作为在中国移动公、私有云平台在规划、开发、建设以及维护各阶段组网和实施安全防护的依据，支撑实现网络与信息安全工作“同步规划、同步建设、同步运行”。
本技术要求主要包括以下3个方面内容：1、云计算平台安全域划分；2、云计算平台边界整合；3、云计算平台的安全防护。
起草单位：中国移动通信有限公司网络部、中国移动通信研究院。
国移动网络与信息安全风险评估管理办法
【最新资料，WORD文档，可编辑修改】第一章总则为在确保中国移动通信有限公司（以下简称“有限公司”）及各省公司（有限公司和各省公司统称“中国移动”）网络安全前提下，高效、可控地推动网络与信息系统风险评估工作，依据《电信网和互联网安全防护管理指南》（YD/T 1728-2008）、《电信网和互联网安全风险评估实施指南》（YD/T 1730-2008）等国家政策、行业标准和有限公司相关规定，制定本办法。
本办法所指的网络和信息系统安全风险评估（以下简称“风险评估”）是指对网络和信息系统等信息资产在技术、管理等方面存在的脆弱性、威胁、发生概率、安全事件影响等安全风险情况进行分析，找出安全风险，有针对性的提出改进措施的活动。
本办法自发布之日起实施，各省公司应制定具体实施细则。
第二章适用范围本办法适用于有限公司、各省公司根据行业监管要求或者自身安全要求，针对中国移动通信网、业务网、各支撑系统以及其它服务类信息系统，如电梯控制系统、门禁系统等发起的各类风险评估。
涉及的部门包括：总部及各省公司网络与信息安全工作办公室，其它网络安全工作管理职能部门，各级通信网、业务网和各支撑系统维护部门，如网络部门、业务支撑部门、管理信息系统部门、办公设施管理部门等等。
第三章评估工作宏观要求风险评估内容及组织方式（一）风险评估以识别网络和信息系统等信息资产的价值，发现信息资产在技术、管理等方面存在的脆弱性、威胁，评估威胁发生概率、安全事件影响，计算安全风险为主要目标，同时有针对性的提出改进措施、技术方案和管理要求。
（二）有限公司和各省公司应重点针对没有具体、可操作安全规范指导或者管理办法要求的安全领域，如电信业务流程层面，进行风险评估；（三）风险评估原则上以自评估为主，如自身人员数量、技术水平、评估标准支撑能力等不足或者时间紧迫、意义重大，可在上报有限公司审批、加强管理的前提下引入第三方评估，并应侧重通过白客渗透测试技术，发现深层次安全问题，如缓冲区溢出等编程漏洞、业务流程和通信协议中存在的漏洞等等。
电信-移动建设项目审计实施方案
移动建设项目审计实施方案根据中国电信【2008】1350号《关于下达授权审计项目和做好移动网络建设项目审计工作的通知》，省公司审计部将组织对我省2008年移动网络建设项目进行审计，为了更好地指导审计工作，确保审计工作质量和效果，特制订《移动建设项目审计实施方案》，对审计工作有关事项进行具体部署和安排，请在审计过程中严格执行。
一、审计范围2008年投资，立项渠道为省网络分公司的移动网络工程建设项目，包括为支撑移动运营而投资的核心网、无线网、业务网、IT支撑系统、基础网配套等工程项目二、审计原则、依据审计原则：全面审计、突出重点的原则。
审计依据：（1）《中国电信集团内部审计工作规定》（中国电信〔2005〕787号）（2）集团公司工程审计的有关规定（3）中国电信［2008］1350号《关于下达授权审计项目和做好移动网络建设项目审计工作的通知》（4）陕电信［2006］219号《陕西省电信有限公司内部审计中心工程建设项目审计实施细则（暂行）》的通知（5）中电信陕网资［2008］2号《关于中国电信集团公司陕西网络资产分公司运作相关问题的通知》（6）中国电信〔2008〕1269号文集团关于设计及施工等合同签订的相关规定（7）陕西电信C网无线网项目立项办法建议（8）中电信陕网资〔2009〕4号关于印发《中国电信集团公司陕西网络资产分公司报账工作规范》的通知（9）中电信陕〔2008〕242号文招投标实施管理(10)中国电信陕审计[2009]1号《2008年移动网络建设项目通知书》三、审计重点及主要内容按照中国电信〔2008〕1350号《关于下达授权审计项目和做好移动网络建设项目审计工作的通知》要求，本次移动网络工程审计将重点关注以下方面：（一）关注移动业务投资和运营成本的有效控制。
重点关注资本性支出真实性、合理性的管控，严格审核网络建设及由此产生的资本性支出；关注移动网络运营成本支出。
重视投入产出，关注关键环节，促进管控措施的有效执行，规避投资及成本风险。
移动 信息安全管理制度
移动信息安全管理制度第一章总则为规范移动信息安全管理行为，保护移动信息系统和应用数据的安全性和完整性，提高信息系统的稳定性和可用性，制定本制度。
第二章安全管理组织1. 信息安全管理委员会负责本单位移动信息系统的安全管理工作，并对本单位移动信息系统的安全性、可用性、完整性等进行监督和检查。
2. 信息安全管理委员会成员应包括本单位领导、信息安全专家和IT技术人员等，确保移动信息安全管理工作的开展。
3. 信息安全管理委员会应每季度召开一次会议，对移动信息系统安全管理工作进行评估和调整。
第三章安全管理责任1. 移动信息系统运维人员应具备相应的安全意识和技能，确保移动信息系统的正常运行。
2. 移动信息系统管理员应加强对移动信息系统的监控和管理，及时发现并应对安全事件。
3. 移动信息系统使用者应遵守相关安全规定，妥善保护系统账号和密码，不得私自删除、修改或泄露系统数据。
第四章安全管理措施1. 移动信息系统应采取防火墙、入侵检测系统、安全认证等技术手段来保障系统的安全性。
2. 移动信息系统应定期进行安全漏洞扫描和修复，确保系统没有漏洞可以被攻击。
3. 移动信息系统应建立完善的备份机制，定期备份系统数据，以防数据丢失。
第五章安全培训1. 移动信息系统使用者应接受相关安全培训，了解相关安全政策和规定，提高安全意识。
2. 移动信息系统管理员应定期对系统使用者开展安全培训，提高其对系统安全管理的能力。
第六章安全事件响应1. 发现安全事件时，应立即启动应急响应预案，采取相应的措施进行处理。
2. 安全事件处理完毕后，应对事件进行归因分析，找出事件根源并进行整改。
第七章安全审核评估1. 定期对移动信息系统进行安全审核评估，发现潜在风险并及时处理。
2. 对移动信息系统进行安全配置审计，确保系统安全设置合理。
第八章安全保密管理1. 移动信息系统中的敏感数据应进行加密存储，确保信息的保密性。
2. 移动信息系统中的用户访问权限应根据需要进行授权，避免越权访问。
《安全审计》与《帐号口令》制度学习
地市公司违规为3级告警；
省公司违规为4级告警；
中国移动通信集团河北公司
关于帐号口令管理办法4A部分注意事项
第二十三条 用户入职管理
1.4A帐号规则：4A系统工号又称为主帐号，一个主帐号对
应一个自然人。主帐号格式为：姓名全拼-XXXXX, 姓名全 拼为小写，XXXXX为人力资源编号或个人组织等区别自然人 的编码。4A帐号要求每月至少登陆一次，否则以非活跃用 户处理进行锁定，长达90天不登陆的账号按照离职处理删
关于帐号口令管理办法4A部分注意事项
第二十六条 4A平台口令管理 1.口令长度不得少于8位，不能使用弱口令，必须由大、小
写字母、数字以及特殊符号等四种字符组成；口令应在90天
内至少更换一次，五次之内不得设置相同口令。主帐号口令 连续累计输入错误十次，主帐号将被锁定（主账号解锁参考 主账号属性变更流程）。 2.口令应当加密存储，不得以明文方式保存或者传输。
管理平台提交工单申请，并通过BOMC系统BBS平台进行相关
内容提交，或通过各地市业务支撑中心反馈渠道进行提交。
关于安全审计管理办法注意事项
第十七条 审计告警规则 安全审计平台每个小时会将违规操作的工号传送至运营管控
平台，运营管控平台匹配出此工号所属的单位，向所属单位
的直接负责人派发告警工单及短信提醒； 告警级别分为4级： 营业厅违规为1级告警； 县公司违规为2级告警；
中国移动通信河北公司
重点 ▪ 第7页 安全审计员工作职责。 设置岗位：各地市、县分公司以及营业厅审计 员 第17页 第二十五条 日常审计工作流程描述 营业厅安全审计员必须每天对高安全级别数据 的操作行为进行审计，重点审计用户详单、客 户资料查询操作和企业经营分析数据的读取日 志，及时发现违规行为并上报上级主管。 县级审计员工作内容。。。 地市审计员工作内容。。。
中国移动网络与信息安全风险评估管理办法V1.0
中国移动网络与信息安全风险评估管理办法第一章总则第一条为在确保中国移动通信有限公司（以下简称“有限公司”）及各省公司（有限公司和各省公司统称“中国移动”）网络安全前提下，高效、可控地推动网络与信息系统风险评估工作，依据《电信网和互联网安全防护管理指南》（YD/T 1728-2008）、《电信网和互联网安全风险评估实施指南》（YD/T1730-2008）等国家政策、行业标准和有限公司相关规定，制定本办法。
第二条本办法所指的网络和信息系统安全风险评估（以下简称“风险评估”）是指对网络和信息系统等信息资产在技术、管理等方面存在的脆弱性、威胁、发生概率、安全事件影响等安全风险情况进行分析，找出安全风险，有针对性的提出改进措施的活动。
第三条本办法自发布之日起实施，各省公司应制定具体实施细则。
第二章适用范围第四条本办法适用于有限公司、各省公司根据行业监管要求或者自身安全要求，针对中国移动通信网、业务网、各支撑系统以及其它服务类信息系统，如电梯控制系统、门禁系统等发起的各类风险评估。
第五条涉及的部门包括：总部及各省公司网络与信息安全工作办公室，其它网络安全工作管理职能部门，各级通信网、业务网和各支撑系统维护部门，如网络部门、业务支撑部门、管理信息系统部门、办公设施管理部门等等。
第三章评估工作宏观要求第六条风险评估内容及组织方式1（一）风险评估以识别网络和信息系统等信息资产的价值，发现信息资产在技术、管理等方面存在的脆弱性、威胁，评估威胁发生概率、安全事件影响，计算安全风险为主要目标，同时有针对性的提出改进措施、技术方案和管理要求。
（二）有限公司和各省公司应重点针对没有具体、可操作安全规范指导或者管理办法要求的安全领域，如电信业务流程层面，进行风险评估；（三）风险评估原则上以自评估为主，如自身人员数量、技术水平、评估标准支撑能力等不足或者时间紧迫、意义重大，可在上报有限公司审批、加强管理的前提下引入第三方评估，并应侧重通过白客渗透测试技术，发现深层次安全问题，如缓冲区溢出等编程漏洞、业务流程和通信协议中存在的漏洞等等。
移动 安全管理制度
移动安全管理制度一、总则为了加强对移动设备的安全管理，保护公司信息安全，维护公司利益，制定本管理制度。
二、适用范围本管理制度适用于公司内所有移动设备的管理和使用。
三、责任与义务1. 公司领导（1）负责制定公司移动安全管理政策，明确安全管理的责任和义务。
（2）定期对公司移动安全管理制度进行检查和修订。
2. 安全管理员（1）负责制定公司的移动设备安全管理规定，并监督实施。
（2）协助公司相关部门定期进行安全检查和风险评估。
3. 移动设备使用人员（1）严格执行公司的移动设备安全管理制度。
（2）及时将移动设备的安全问题上报到相关部门。
四、安全管理政策1. 移动设备安全保密等级分级制度（1）对移动设备进行等级分级，依据设备存储的信息的重要程度，划分为不同的安全保密等级。
（2）对不同等级的移动设备采取不同的管理措施，严格保障信息的安全。
2. 移动设备使用权限管理（1）所有移动设备使用人员需经过公司安全管理员的审批，方可使用公司提供的移动设备。
（2）临时需求使用移动设备的人员，需在使用完毕后立即上报并归还设备。
3. 移动设备信息安全管理（1）对存储在移动设备上的公司机密信息进行加密处理，防止信息泄露。
（2）严禁在移动设备上存储敏感信息，如客户信息、财务信息等。
4. 移动设备使用规范（1）不得在公共场合随意使用移动设备，防止设备丢失或被盗。
（2）禁止在未经授权的网络上连接移动设备，以保护公司信息安全。
五、风险管理1. 对移动设备的安全风险进行评估和分析，及时采取措施消除风险。
2. 定期进行移动设备的安全检查，并做好记录，对问题设备及时处理。
3. 对移动设备的使用情况进行定期监测，发现异常情况及时处理。
六、安全培训公司需对所有使用移动设备的人员进行安全培训，培养员工的安全意识，提高安全管理能力。
七、违规处理对发现违反移动设备安全管理制度的人员，根据实际情况，给予相应的处理，严肃处理严重违规行为。
八、附则本管理制度自颁布之日起执行，如有变动，须及时修订并重新发布。
安全-安全基础-通用-L2
安全安全基础通用 L22015年1月29日 9点30分试题数:115，重复命题数：34，重复命题率:%1. 合规报告中提示切换账号密码错误下面表述正确的是A.同步账号密码错误B.管理员口令错误C.网络不可达D.设备不存在答案：B2. 网络安全架构检查的主要检查项不包括A.动态路由协议B.安全域及防火墙、路由器配置C.安全域拓扑访问控制策略答案：A3. 安全事件应急响应分为（）个阶段答案：A重复命题1次2015年3月25日 14点30分安全安全基础通用 L24. 以下为常用的数据销毁软件有（）。
答案：A重复命题1次2015年3月25日 14点30分安全安全基础通用 L25. 等级保护中对于应用系统安全级别定位几级从低到高为；1－4；4－1；1－5；5－1答案：A重复命题1次2016年3月30日 9点30分安全安全基础通用 L36. 紧急安全事件（一级）指以下安全事件A.导致2级系统出现紧急故障的安全事件B.导致3级或4级系统出现重大故障的安全事件C.导致4级系统完整性或保密性被破坏的安全事件D.以上都是答案：D7. Windows系统基本命令中的“命令模式”的指令是（）答案：B8. SOX规定：为强化上市公司内控及报告制度，要求公司年度报告中提供“内部控制报告”，说明公司（），“内部控制报告”要出具注册会计师的意见。
A.内控的危害B.内控流程制度C.内部控制制度及其实施的有效性D.以上都不是答案：D重复命题1次2015年3月25日 14点30分安全安全基础通用 L29. 系统应在信息获取、处理、存储、消除各环节保护客户信息的完整性、保密性、可用性，下列表述不正确的是A.客户信息存储时应具备相应的安全要求，包括存储位置、存储方式等，对于重要的客户信息，应根据系统实际情况提供必要的加密手段B.应具备完善的权限管理策略，支持权限最大化原则、合理授权，对不能支持此原则的系统，应减少掌握该权限的人员数量，并加强人员管理C.具备完整的用户访问、处理、删除客户信息的操作记录能力，以备审计D.在传输客户信息时，经过不安全网络的（例如INTERNET网），需要对传输的客户信息提供加密和完整性校验答案：B重复命题1次2015年3月25日 14点30分安全安全基础通用 L210. 以下哪种数据销毁技术具备设备简单，体积小，成本低，使用方便的特点（）。
网络安全重点规范文件解读
十一、中国移动网络与信息安全事件处理指南
在于提高中国移动网络与信息安全事件应急响应能力，规范相关应急响应 技术和流程。
1、准备阶段 在事件真正发生前为事件响应做好准备 2、检测阶段 检测是指以适当的方法确认在系统/网络中是否出现了恶意代码、文件和目录是 否被篡改等异常活动/现象。 3、抑制阶段 抑制阶段的目的是限制攻击/破坏所波及的范围。 4、根除阶段 在准确的抑制事件后，找出事件的根源并彻底根除它。 5、恢复阶段 6、跟进阶段 跟进阶段其目标是回顾并整合发生事件的相关信息。
公司的关键或敏感的网络与信息处理设施应被放置在安全区域内，由指定的 安全边界予以保护。
5
三、中国移动网络与信息安全总纲
公司应建立网络与信息处理设施的管理和操作的职责及流程，并尽可能地 实现职责分离。开发、调测和运营环境应保持相对隔离。
公司应基于业务和安全需求，制定访问控制策略，并明确用户职责，加强用 户访问控制管理。公司应加强对移动办公和远程办公的管理。
填写申请表。 2.接入需求审批阶段
对于需求目的不合理的申请，应予以拒绝，并对其说明理由；对合理的远程 接入申请，应分配并配置相应接入点设备及拟访问系统中的帐号，并通知需求 人员；远程接入管理部门对接入情况进行备案，以备查询、审计。 3.远程接入阶段
需求人员按照接入管理规定具体要求，访问中国移动相关系统；远程接入 管理部门及所访问系统维护人员应在需求人员接入过程中，监控其重点或者高 危操作情况，及时发现违规操作。 4.远程接入终止阶段
2
一、关于加强网络信息保护的决定
1.任何组织和个人不得窃取或者以其他非法方式获取公民个人电子信息，不得 出售或者非法向他人提供公民个人电子信息。 2.在业务活动中收集的公民个人电子信息必须严格保密，不得泄露、篡改、毁பைடு நூலகம்损，不得出售或者非法向他人提供。 3.应当采取技术措施和其他必要措施，确保信息安全，防止在业务活动中收集 的公民个人电子信息泄露、毁损、丢失。
中国移动公司安全管理制度
第一章总则第一条为加强中国移动公司的安全管理，保障公司资产和员工的人身安全，维护公司正常运营秩序，根据国家有关法律法规和公司实际情况，制定本制度。
第二条本制度适用于中国移动公司及其各级子公司、分支机构。
第三条安全管理工作遵循“预防为主、防治结合、综合治理”的原则。
第四条公司建立健全安全管理体系，明确各级安全管理职责，加强安全教育和培训，提高员工安全意识。
第二章组织机构与职责第五条公司设立安全管理部门，负责公司安全管理的统筹规划、组织实施和监督检查。
第六条安全管理部门的主要职责：（一）组织制定和修订公司安全管理制度，并组织实施；（二）负责公司安全风险辨识、评估和防控；（三）组织开展安全教育培训，提高员工安全意识和技能；（四）负责公司安全检查、事故调查和处理；（五）监督、指导各部门、各单位的安全管理工作；（六）完成公司领导交办的其他安全管理工作。
第七条各部门、各单位应当设立安全管理机构或指定专人负责安全管理，具体职责如下：（一）贯彻执行公司安全管理制度；（二）组织开展本部门、本单位的安全教育培训；（三）落实安全风险防控措施；（四）开展安全检查，及时发现和消除安全隐患；（五）参与事故调查和处理；（六）完成公司安全管理部门交办的其他工作。
第三章安全风险防控第八条公司建立健全安全风险防控体系，对各类安全风险进行辨识、评估和管控。
第九条安全风险辨识：（一）各部门、各单位应当根据工作实际，定期开展安全风险辨识；（二）安全管理部门应当组织对重大安全风险进行辨识。
第十条安全风险评估：（一）各部门、各单位应当对辨识出的安全风险进行评估，确定风险等级；（二）安全管理部门应当组织对重大安全风险进行评估。
第十一条安全风险管控：（一）针对不同风险等级，采取相应的管控措施；（二）对重大安全风险，应当制定专项应急预案。
第四章安全教育培训第十二条公司建立健全安全教育培训制度，定期开展安全教育培训。
第十三条安全教育培训内容：（一）国家安全生产法律法规；（二）公司安全管理制度；（三）安全操作规程；（四）安全防护知识；（五）应急处置技能。
中国移动安全规章管理制度
第一章总则第一条为加强中国移动通信集团（以下简称“中国移动”）的安全管理工作，保障公司业务安全、信息安全、网络安全和用户信息安全，根据国家有关法律法规和行业规定，结合公司实际情况，制定本制度。
第二条本制度适用于中国移动各级分支机构、各部门、各岗位员工，以及其他与公司业务相关的合作伙伴。
第三条本制度遵循以下原则：（一）安全第一，预防为主；（二）全员参与，责任到人；（三）技术与管理相结合；（四）持续改进，不断完善。
第二章安全管理制度第一节保密制度第四条公司对涉及国家秘密、商业秘密和用户个人信息等敏感信息实行严格保密。
第五条员工应当遵守以下保密规定：（一）不得泄露公司秘密，不得擅自复制、传播、出售或提供给他人；（二）不得利用公司秘密谋取不正当利益；（三）离职时，应将涉及公司秘密的资料、设备等交还公司。
第二节信息安全制度第六条公司建立健全信息安全管理体系，确保信息系统安全稳定运行。
第七条员工应当遵守以下信息安全规定：（一）不得利用公司信息系统进行非法活动；（二）不得未经授权访问、修改、删除信息系统中的数据；（三）不得擅自安装、修改、删除系统软件或硬件；（四）不得泄露公司网络账号、密码等信息。
第三节网络安全制度第八条公司建立健全网络安全防护体系，确保网络安全。
第九条员工应当遵守以下网络安全规定：（一）不得利用公司网络进行非法活动；（二）不得擅自连接外部网络；（三）不得传播、下载、安装恶意软件；（四）不得泄露公司网络账号、密码等信息。
第四节用户信息安全制度第十条公司严格遵守国家法律法规，保护用户信息安全。
第十一条员工应当遵守以下用户信息安全规定：（一）不得泄露用户个人信息；（二）不得未经用户同意，向第三方提供用户个人信息；（三）不得利用用户个人信息进行非法活动。
第三章责任与奖惩第十二条公司各级领导和员工应当对本部门、本岗位的安全工作负责。
第十三条对违反本制度的行为，公司将根据情节轻重，采取以下措施：（一）警告、通报批评；（二）扣发绩效奖金；（三）解除劳动合同；（四）追究法律责任。
中国移动内部审计培训讲义
流程层面的控制（续）
财务数据生成
风险：传递到MIS财务系统中的计费账务数据的 不真实、不准确、不完整性和不及时 控制目标：合理确保传递到MIS财务系统中的计 费账务数据的真实性、准确性、完整性和及时性 控制举例：
数据生成、传输、导入的权限设置 接口文件的完整性校验 BOSS与MIS代码不匹配时的错误报告 对匹配规则及财务数据的审阅
流程层面的控制
集团 漫游话单
1860
通信机
计费表
客户数据库
部分话单
FTAM MSC TCP/IP
采集机
。
GMSC
。
DC
。
N
。 DD
。
N
。
采集 服务器(
备份)
采集 服务器
SMSC
网间话单 FTP
计费参数 局数据
预处理 计费
错单回收
预处理、计费
预处理 一次批价 分检
查重 二次批价 出帐
预处理 一次批价 分检
获取并查阅相关文件，以确认数据文件从BOSS到BI或从BOSS到MIS传输过程 中的错误检测机制。
执行有效性测试方法
根据接口数据的传输频率获取并查阅系统日志，以确定数据是否得到正确传输。
获取并查阅跟踪处理记录，以确定关于数据传输异常处理的过程、方法及处理 人均被完整正确记录下来。
控制点测试举例（续）
控制点测试举例（续）
例外情况报告
控制点描述： 批价过程中，计费系统自动对计费资源信息、产品信息、用户资料等 无法匹配的服务使用记录或服务使用记录错误进行单独处理和记录。
流程：
收入和计费业务流程 -计费账务业务子流程
安全监控及审计管理办法范本
安全监控及审计管理办法范本第一章总则第一条为了加强安全监控及审计管理，确保信息系统的安全稳定运行，维护国家安全和社会公共利益，制定本办法。
第二条本办法适用于从事信息系统运维、数据传输、信息存储和处理等相关活动的单位和个人。
第三条信息系统安全监控及审计应当遵循法律法规、国家标准和行业规范，坚持预防为主、防控结合、科技支撑、综合治理的原则。
第四条信息系统安全监控及审计应当实行总体规划、分类管理、层级负责、综合治理的原则。
第五条信息系统安全监控及审计应当依法进行和授权，保障信息系统的安全性、完整性和可用性。
第六条信息系统安全监控及审计应当保护用户的合法权益，防范和打击网络犯罪活动。
第七条信息系统安全监控及审计应当及时发现和处置信息系统安全事件，做好事件日志管理和分析。
第八条信息系统安全监控及审计应当开展评估和测试，发现安全漏洞并及时修复。
第九条信息系统安全监控及审计应当建立健全监察机制，加强对信息系统运行状况的监控和评估。
第十条信息系统安全监控及审计应当加强安全培训和教育，提高从业人员的安全意识和技能。
第十一条信息系统安全监控及审计应当做好安全事件的调查和应急响应工作。
第二章安全监控管理第十二条安全监控管理应当建立完善的监控系统和技术手段，包括但不限于入侵检测与防护、流量分析与监测、安全通信等。
第十三条安全监控管理应当明确安全监控责任，建立安全监控岗位，配备专门的安全监控人员。
第十四条安全监控管理应当加强对信息系统的实时监测和分析，发现安全风险和威胁。
第十五条安全监控管理应当建立安全事件记录和报告机制，及时上报和处置安全事件。
第十六条安全监控管理应当进行定期巡检，发现和排查系统安全隐患，并及时整改。
第十七条安全监控管理应当建立安全漏洞管理制度，及时修复漏洞，防止被利用攻击。
第十八条安全监控管理应当加强对第三方服务提供商的安全监管，确保其业务活动的安全性。
第十九条安全监控管理应当加强对系统操作日志的管理，确保操作的合法性和安全性。
中国移动基础信息安全管理通用要求
中国移动基础信息安全管理通用要求一、总则为加强中国移动基础信息安全管理，保障移动通信信息系统及相关资源的安全性、可靠性和完整性，依据《中华人民共和国网络安全法》等相关法律法规，制定本通用要求。
二、信息安全管理机构1.设立信息安全管理机构，明确信息安全管理组织机构与管理层之间的职责及权限关系。
2.信息安全管理机构应配备足够的专业人员，负责信息安全管理工作的组织、协调、监督和指导。
3.信息安全管理机构应定期组织信息安全培训，提高全员信息安全意识和技能。
三、信息安全政策1.制定信息安全政策，明确信息安全目标、原则和体系。
2.信息安全政策应体现法律法规要求，保障用户隐私权和信息安全。
3.信息安全政策应经管理层审核、批准并向全员公布。
四、信息资产管理1.建立信息资产清单，对信息资产进行分类、归档和保护。
2.制定信息资产管理规范，明确信息资产的保密、完整性和可用性要求。
3.定期审核信息资产管理规范，保证其有效性和持续改进。
五、风险管理1.建立风险评估和风险处理制度，对关键信息系统和网络进行风险评估。
2.定期开展风险评估，根据评估结果制定风险处理计划和措施。
3.建立应急预案，做好信息安全事件的应急处置工作。
六、系统安全管理1.建立系统安全管理规范，对系统硬件、软件和网络进行安全管理。
2.对系统进行安全加固，保护系统的稳定性和可靠性。
3.建立系统审计机制，对系统操作进行监控和审计。
七、网络安全管理1.建立网络安全管理规范，保护网络的安全性和可靠性。
2.加强边界防护，确保网络的畅通和安全。
3.加密网络通信，防止网络数据泄露和窃听。
八、身份认证和访问控制1.建立用户身份认证机制，确保用户访问的合法性和安全性。
2.细化访问控制策略，根据不同用户权限控制其访问的范围和权限。
3.定期审核用户权限，避免权限滥用和泄露。
九、安全培训和教育1.定期开展信息安全培训，提高员工信息安全意识和技能。
2.加强安全意识教育，防范社会工程和网络攻击。
中国移动通信记录管理办法
中国移动通信记录管理办法移动通信在当前社会中扮演着至关重要的角色。
为了维护国家安全、保护公民隐私以及有效管理通信记录，中国制定了《中国移动通信记录管理办法》。
本文将介绍该办法的主要内容和实施细则。
一、背景移动通信行业的迅猛发展和技术的日益成熟，使得通信记录管理变得迫在眉睫。
随着通信活动的不断增多，相关数据的规模和复杂性也大幅增加。
因此，有必要建立一套管理办法，以确保通信记录的安全和可控。
二、通信记录的定义根据《中国移动通信记录管理办法》，通信记录是指通过移动通信网络进行的通信活动所产生的数据和信息。
主要包括通话记录、短信记录、网络通信记录以及其他相关数据。
三、通信记录的收集与保存1. 运营商责任：移动通信运营商应当合法、安全地收集和保存用户通信记录。
运营商需确保记录的完整性和准确性，并采取措施防止非法侵入和篡改。
2. 用户授权：运营商在收集和保存通信记录前，必须获得用户的明确授权。
用户有权了解运营商收集的记录内容和使用目的，并可以随时撤销授权。
3. 数据安全：运营商应当采取必要的安全措施，保护通信记录的安全性。
任何未经授权的第三方不得访问、获取或使用这些记录。
四、通信记录的使用与限制1. 法定用途：通信记录只能在法定的范围内被使用。
这包括国家安全调查、犯罪侦查、证据保全等公安机关、法院和有关部门的合法需求。
2. 个人隐私保护：通信记录涉及到用户的个人隐私，必须得到用户的授权。
除非符合相关法律规定，否则不得非法获取、传播或泄露通信记录。
3. 时限规定：运营商需按照法律和政策要求，保存通信记录的时限。
超过时限的记录应及时销毁或匿名化处理，以保护用户隐私的同时确保信息安全。
五、监管与违法处罚1. 监管机构：中国国家通信管理局负责监督和管理移动通信记录的收集、保存和使用。
移动通信运营商需配合相关监管工作，并报告潜在的违法行为。
2. 违法处罚：对于非法获取、篡改、传播通信记录的行为，将依法追究刑事责任或行政处罚，并赔偿受害者的损失。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
中国移动安全审计管理办法（试行）
第一章总则
第一条为督促落实各项网络与信息安全管理办法、技术规范，规范各项网络与信息安全检查工作（以下简称“安全审计”），特制定本办法。
第二条安全审计内容可分为管理和技术两个方面，管理方面的审计侧重检查安全流程、管理要求的执行情况；技术方面的审计侧重检查通信
网、业务网和各支撑系统符合设备安全技术要求、安全配置要求以
及其它技术规范的情况。
第三条安全审计应遵循“审计独立性”的原则，通过设立独立的审计岗位或采取交叉审计等方式开展。
第四条本办法解释权归中国移动通信有限公司网络部，各省公司应根据本办法制定实施细则。
第二章适用范围
第五条本办法适用于中国移动总部和各省公司。
第六条可依据本办法开展通信网、业务网和各支撑系统的安全审计，开展信息安全等其它安全管理方面的审计。
第七条用于指导开展定期和不定期，全面和针对特定目的的安全审计。
第三章组织与职责
第八条发起网络与信息安全审计工作的主体包括：总部及各省的网络与信息安全工作办公室、网络部门、业务支撑部门、管理信息系统部门
等。
第九条网络与信息安全工作办公室在网络与信息安全工作领导小组及上级主管部门领导下，组织开展公司层面安全审计工作：
(一)落实上级审计工作总体安排；
(二)组织制定安全审计细则；
(三)作为公司范围安全审计工作的责任主体，组织制定并实施公司级的
审计计划。
每年1月底前完成当年审计计划制定工作；
(四)对其它安全审计责任主体的审计工作，如制定内部审计工作计划、
实施审计等，进行指导、审批、检查、备案；
(五)汇总、审阅审计报告，审核改进方案，督促解决审计中发现的突出
问题。
出现涉及公司层面的重大问题或者需要对技术或者管理流程
做出重大调整时，应向公司主管领导汇报。
(六)总部网络与信息安全工作办公室负责对各省安全审计工作进行检
查。
第十条各审计责任主体的主要职责：
(一)配合完成网络与信息安全工作领导小组、网络与信息安全工作办公
室或者其它上级主管安排的安全审计任务；
(二)组织制定部门内部安全审计实施细则；
(三)在本部门职责范围内，制定安全审计工作年度计划、明确审计要点
及实施方案，并报上级部门批准。
每年1月底前完成当年审计计划
制定工作，内容应满足本部门或上级部门各类网络与信息安全检查
需求；
(四)按照审计计划，实施项目；
(五)提交审计报告；
(六)及时上报审计中发现的重大问题；
(七)针对审计发现的问题，形成改进方案并启动改进工作。
第十一条被审计对象应参与制定审计计划、明确审计重点，配合审计工作。
第十二条在审计过程中，审计人员应按照公司信息保密规定对接触到的敏感信息进行严格保密，尤其在安全漏洞修补之前，严禁泄露给第三方。
第四章审计频次与工作重点
第十三条总体原则
(一)在确定审计频次、工作重点时，应坚持“对重要系统、重要设备、
重要信息、重要规章制度和技术要求，进行重点审计”的原则，综
合考虑审计对象主要安全需求、人力资源、技术手段等因素，发挥
审计工作的最大效益；
(二)应与国家政府部门确定的安全审计原则、频次要求相一致；
(三)应与《萨班斯法案》、ISO27001认证等要求相一致，如对纳入萨班
斯法案审计范围的系统和流程，审计频率应不低于《中国移动内控
手册》相关要求。
第十四条安全审计频次要求
(一)针对公司范围进行的全面审计，每年至少一次，可按需不定期开展；
(二)对局部范围内进行的安全策略技术要求符合情况的审计，依据《信
息资产安全等级划分及保护指南》要求，原则上3级及3级以上的
系统每半年审计一次。
3级以下的系统每年审计一次，并形成分系统
的审计报告；
(三)在能够真实反映整体安全工作水平的前提下，采用抽查方式，提高
工作效率；
(四)审计结束后，应编制并上报书面审计报告和改进报告。
公司层面的
审计报告应上报公司网络与信息安全工作领导小组。
部门组织进行
的审计，应将报告上报主管部门如安全工作主管部门和维护职能管
理部门，如发现重大问题，应通过网络与信息安全工作办公室上报
网络与信息安全工作领导小组。
第十五条审计重点应包括重点要求、重点规范、重要系统中的重要设备，以及用户的操作行为等。
第五章审计内容和审计方法
第十六条安全审计主要依据公司已发布的各项安全管理规定和技术要求，检查具体要求的落实情况。
第十七条根据审计目的、关注点不同，如在某个时间段、针对某些管理规定、技术规范要求检查落实情况，突出相应审计内容的侧重点。
第十八条审计方法包括：对安全运行维护等记录的抽样检查、系统检查、现场观察、访问、凭证检查等。
第十九条可以采用人工和技术手段两种方式进行。
第六章安全审计工作步骤
第二十条制定计划阶段。
在针对特定目的、启动某特定审计工作之前，应首先制订具体的安全审计计划，确定本次审计工作的范围、审计
重点、时间安排、审计人员及配合人员安排、采用的技术手段、
主要风险及规避方案等等。
第二十一条准备阶段
(一)细化审计内容。
如：审计的系统范围，检查的重点项，各个系统中
增删改等重点操作的指令、关键词等等；
(二)编写《安全审计检查表》（参见附件一，各部门可自行修订）等工
作底稿。
检查表应包含安全审计内容、审计方式、依据标准、审计
方法、审计结果、问题描述、审计人员和被审计人员签字栏等；
(三)进行审计培训。
重点培训审计人员，说明审计内容、检查方法、注
意事项、表格填写要求、问题处理方法等等；
(四)配置必要的技术手段。
如合规检查工具、漏洞扫描工具等等。
第二十二条实施阶段。
(一)按照《安全审计检查表》，采用人工和技术手段相结合的方式，进
行记录抽样检查、系统检查、现场观察、访问、凭证检查等，并逐
一记录结果；
(二)在审计过程中，如果发现不符合项，经确认无误后，被审计单位负
责人在报告书中签字认可；
(三)审计人员与配合审计人员签字确认。
第二十三条总结和改进阶段
(一)审计责任主体参照附件格式要求编写《安全审计报告》（参见附件
二，各部门可自行修订），总结审计情况，分析主要问题，提出改
进意见及下次审计重点等建议；
(二)《安全审计报告》应在实施阶段完成后一个月之内完成，并提交网
络与信息安全工作办公室审核、批准；
(三)对于审计过程中发现的不符合项，审计责任主体形成书面改进意见
后，要求系统维护等责任部门和人员整改；
(四)系统维护等责任部门按照审计责任主体意见，在一个月之内形成《安
全审计问题整改计划及实施方案》，实施完成后，向审计责任主体
提交《安全审计改进情况报告》，并提请审计人员复核，由后者在
《安全审计改进情况报告》（参见附件三，，各部门可自行修订）
中出具复核意见；
(五)各方签字的《安全审计报告》、《安全审计问题整改计划及实施方
案》、《安全审计改进情况报告》等相关文档，经过审批后提交到
相关部门、网络与信息安全工作办公室并由规定的保管责任人存档。
第七章监督执行
第二十四条各公司网络与信息安全工作领导小组应督促网络与信息安全工作办公室和各部门领导对本办法执行情况进行有效监督和管理，
对违反本办法的行为要及时予以更正，情节严重者应立即上报。
编制历史
附件一、安全审计检查表
附件二、安全审计报告
xx公司**安全审计报告
一、本次审计概述
(一)目的
(二)时间
(三)范围
(四)依据
(五)内容
(六)方法
(七)审计人员及配合人员
二、审计对象情况概述
（1）系统服务情况
（2）组网情况
（3）维护部门
（4）安全防护现状等等
三、结果分析
（1）列举所有安全问题和安全隐患，并按照严重程度进行划分
（2）说明安全问题和安全隐患的责任人员或责任部门
四、改进意见
五、审计结论
六、本审计报告分发范围
审计项目负责人签名：附件
（1）安全审计检查记录表
（2）其它辅助材料，如被检查人员提交的相关文件、数据，系统扫描结果等等。
附件三、安全审计改进情况报告。