中国移动网络与信息安全保障体系
网络与信息保障措施 国网
网络与信息保障措施：国网的做法什么是网络与信息保障网络与信息保障是指在网络环境下，为确保数据的保密性、完整性和可用性而采取的技术和措施。
它是指在计算机网络、互联网、包括各种移动通信技术等网络技术中，利用多种信息技术手段，保障信息系统安全性的一组措施和技术。
国网的网络与信息保障措施国网是一家致力于建设和运营中国电力系统的公司，为了保障系统的安全稳定运行，国网制定了一系列网络与信息保障措施。
组织建设方面国网在网络与信息保障方面，首先通过加强组织建设，打造技术防御、管理保障体系。
建立了网络安全管理中心、信息安全保障部和网络安全管理处等机构，全力推动网络安全防护工作的开展。
安全审计方面国网每年都对信息系统安全水平进行全面评估。
安全审计部门利用全面的安全测试工具和方法，对公司各级信息系统进行了全面的漏洞扫描、渗透测试等活动，并对测试结果进行了详细的分析和总结，及时发现系统漏洞并协助相关部门解决安全问题。
网络防护方面国网通过建立多层次的网络防护措施，确保系统在遭受攻击时，能够及时发现、快速处理。
其中，网络入侵检测系统和网络漏洞扫描工具是国网重要的网络防护措施，并通过不断更新软件补丁等手段，及时修补系统中存在的漏洞。
信息加密方面在信息传输过程中，为保障信息的机密性和完整性，国网采取了多种加密措施。
这包括采用高强度算法，对重要数据进行加密存储和传输，以及网络传输中采用加密协议对传输口数据进行加密等措施。
结论通过上述多方面措施，国网已经建立了完备的网络与信息保障体系，为保障电网安全运行起到了重要的作用。
网络与信息保障是一个复杂的系统工作，需要持续地投入人力、物力和财力来不断完善和更新。
中国电力企业也应加强网络与信息保障方面的投入，为建设现代化电力网络打造强有力的保障体系，更好地服务于我国能源发展和经济的繁荣。
中国移动：层层压实防控责任全力保障网络畅通
17独家策划Enterprise Civilization新型冠状病毒疫情发生后，作为关系国计民生的中央企业，中国移动通信集团有限公司（以下简称“中国移动”）迅速行动，主动担起央企责任使命，坚定不移把党中央、国务院关于新型冠状病毒感染的肺炎疫情防控工作的决策部署落到实处，把人民群众和员工的生命安全放在首位，统筹做好疫情防控网络和信息安全保障、通信和信息服务、资源保障等工作。
坚决担起政治责任全力保网络保服务保防控提高站位，压实责任，坚决打赢疫情防控阻击战。
中国移动党组第一时间召开党组会议，认真学习贯彻习近平总书记关于新型冠状病毒感染的肺炎疫情防控工作的重要指示批示精神和上级部门部署安排，把确保疫情防控相关通信网络和信息服务畅通作为增强“四个意识”、坚定“四个自信”、做到“两个维护”的具体行动，研究部署做好疫情防控工作的措施，成立中国移动应对新型冠状病毒感染肺炎疫情工作领导小组；进一步强化组织领导，加强统一指挥协调调度，确保组织到位、人员到位、物资到位，确保号令上下贯通、行动协调有力，做到守土有责、守土担责、守土尽责，发扬连续作战精神，层层压实防控责任，为打赢疫情防控阻击战提供有力保障和强力支持。
彰显央企担当，全力做好“三个保障”。
公司认真履行央企政治责任和社会责任，切实发挥基础电信企业应急保障能力，做好网络保障、服务保障、防控保障。
加快各地“小汤山”模式医院、隔离点等区域的通信网络同步覆盖，做好医院等重点场景网络能力扩容升级，提升无线网络和家庭宽带网络质量。
提供绿色便捷服务，为疫情防控指挥、医务人员、被隔离人员等80余万重点客户提供 “爱心不掉线”等便民服务，减免7 000余名医护人员通信费，提供延期停机和热线紧急复机服务，强化疫情防控大数据支撑。
优先保障疫情防控一线的防护物资需求，坚决防范发生聚集性、群体性感染。
利用5G 高清视频直播、视频彩铃等业务模式，支撑各级媒体开展融媒体传播，深入宣传党中央重大决策部署，充分报道各地区各部门联防联控的措施成效，生动讲述防疫抗疫一线的感人事迹。
{业务管理}等级保护设计要求下的移动业务系统安全防御体系
（业务管理）等级保护设计要求下的移动业务系统安全防御体系等级保护设计要求下的“移动业务系统安全防御体系”1、引言随着全球信息化进程的不断推进，我国政府及各行各业也于进行大量的信息系统的建设，这些信息系统已经成为国家重要的基础设施，因此，信息系统安全问题已经被提升到关系国家安全和国家主权的战略性高度，已引起党和国家领导以及社会各界的关注。
随着政府电子政务办公、移动警务办公、移动执法等信息化建设和发展，作为现代信息社会重要基础设施的信息系统，其安全问题必将对我国的政治、军事、经济、科技、文化等领域产生至关重要的影响。
能否有效的保护信息资源，保护信息化进程健康、有序、可持续发展，直接关乎国家安危，关乎民族兴亡，是国家民族的头等大事。
没有信息安全，就没有真正意义上的政治安全，就没有稳固的经济安全和军事安全，没有完整意义上的国家安全。
经党中央和国务院批准，国家信息化领导小组决定加强信息安全保障工作，实行信息安全等级保护，重点保护基础信息网络和重要信息系统安全，要抓紧信息安全等级保护制度的建设。
对信息系统实行等级保护是我国的法定制度和基本国策，是开展信息安全保护工作的有效办法，是信息安全保护工作的发展方向。
实行信息安全等级保护的决定具有重大的现实和战略意义。
2、《等级保护设计要求》思路的启迪按照信息系统业务处理过程将系统划分成计算环境、区域边界和通信网络三部分，以终端安全为基础对这三部分实施保护，构成由安全管理中心支撑下的计算环境安全、区域边界安全、通信网络安全所组成的三重防护体系结构。
于移动终端安全的领域中，计算环境如PDA、智能手机、PAD等，核心业务系统包括警务通、智能办公系统（OA\ERP）等，目前采用传统的传输加密技术手段仅考虑到如何解决非法接入及链路劫持安全问题，如VPN等，安全防御较为单壹化和局限性，公开的加密算法及隧道的传输模式已无法适应现代化的网络基础设施，于等级保护的信息安全建设中，应从整体安全体系模型考虑潜于风险问题，如计算环境安全、网络通信安全、区域边界安全。
中国移动公司终端安全控制与审计建议方案_北信源武汉分公司_20140719
所有终端接入 网络之前必须 安装终端安全 管理客户端软 件，接受终端 安全管理平台 的管理和监控， 未安装该客户 端的终端不得 接入中国移动 网络。
终端接入网络 之前可选择对 终端进行身份 鉴权认证，未 通过身份鉴权 的终端无法访 问任何系统、 应用以及设备。
终端接入网络 必须接受终端 安全策略检查 并通过终端接 入安全认证， 未通过认证接 入的终端无法 访问任何系统、 应用和设备。
外来移动介质随意接入泄 密
违规软件安装
对移动介质使用缺乏管理，随意接入，造成重要信息泄 露
违规安装企业或者国家相关部门禁止安装的软件，带来 法律风险的同时引入病毒或者木马程序。
终端安全风险评估-脆弱性识别
终端脆弱性识别 种类
操作系统漏洞
描述
关键高危系统漏洞未及时更新，给黑客、木马等带来可乘之机
防毒软件未安装 防毒软件未安装或者病毒库未及时更新，当病毒发作时未及时发 现或者清除，有可能造成其它内网终端感染。
移动公司终端安全控制与审计 标 题 建议方案
内 容
中移动信息安全建设必要性 怎样进行信息安全建设
VRV
中移动终端安全与审计建议方案 参考标准
网络与信息安全的重要性
网络与信息都是资产，具有不可或缺的重要价值；
网络与信息安全是企业运营与发展的基础和核心；
网络与信息安全是保证网络品质、保障客户利益的基础； 中移动的网络与信息安全同时也是国家安全的需要
开发测试终端 只允许访问开发测试域，受限访问相关的技术支持和服务网站， 不允许访问除此以外的任何域外环境 临时接入终端 原则上只允许接入办公域，如需接入其它域则必须经过流程审 批，审批通过后方可接入，在接入生产域和业务域时必须由本 公司相关接口人全程陪同
中国移动网络与信息安全总纲
中国移动网络与信息安全总纲精品资料网（）25万份精华管理资料，2万多集管理视频讲座中国移动网络与信息安全总纲中国移动通信集团公司2006年7月本文档版权由中国移动通信集团公司所有。
未经中国移动通信集团公司书面许可，任何单位和个人不得以任何形式摘抄、复制本文档的部分或全部，并以任何形式传播。
中国移动[注]的通信网络和支撑系统是国家基础信息设施，必须加以妥善保护。
随着网络和通信技术的快速发展，网络互联与开放、信息共享带来了日益增长的安全威胁。
为了企业乃至国家的网络与信息安全，为了保障客户利益，加强各方面的安全工作刻不容缓！制订和颁布本标准的目的是为中国移动的网络与信息安全管理工作建立科学的体系，力争通过科学规范的全过程管理，结合成熟和领先的技术，确保安全控制措施落实到位，为各项业务的安全运行提供保障。
本标准主要依据国际规范，参考业界的成熟经验，结合中国移动的实际情况进行补充、修改、完善而来。
本标准目前主要针对互联网、支撑网等IT系统安全。
[注]：本标准所称“中国移动”是指中国移动通信集团公司及由其直接或间接控股的公司。
中国移动通信集团公司，以下简称“集团公司”。
各移动通信有限责任公司，以下简称“各省公司”。
前言 (2)目录 (3)总则 (13)1．网络与信息安全的基本概念 (13)2．网络与信息安全的重要性和普遍性 (13)3．中国移动网络与信息安全体系与安全策略 (14)4．安全需求的来源 (16)5．安全风险的评估 (17)6．安全措施的选择原则 (18)7．安全工作的起点 (18)8．关键性的成功因素 (19)9．安全标准综述 (20)10．适用范围 (24)第一章组织与人员 (26)第一节..................................................... 组织机构261．领导机构 (26)2．工作组织 (27)3．安全职责的分配 (28)4．职责分散与隔离 (29)5．安全信息的获取和发布 (30)6．加强与外部组织之间的协作 (30)7．安全审计的独立性 (31)第二节...................................... 岗位职责与人员考察311．岗位职责中的安全内容 (31)2．人员考察 (32)3．保密协议 (33)4．劳动合同 (33)5．员工培训 (33)第三节.......................... 第三方访问与外包服务的安全341．第三方访问的安全 (34)2．外包服务的安全 (35)第四节...................................... 客户使用业务的安全37第二章网络与信息资产管理 (38)第一节................................ 网络与信息资产责任制度381．资产清单 (38)2．资产责任制度 (39)第二节....................... 资产安全等级及相应的安全要求421．信息的安全等级、标注及处置 (42)2．网络信息系统安全等级 (44)第三章物理及环境安全 (46)第一节..................................................... 安全区域461．安全边界 (46)2．出入控制 (47)3．物理保护 (48)4．安全区域工作规章制度 (49)5．送货、装卸区与设备的隔离 (50)第二节..................................................... 设备安全511．设备安置及物理保护 (51)2．电源保护 (52)3．线缆安全 (53)4．工作区域外设备的安全 (54)5．设备处置与重用的安全 (54)第三节............................................ 存储媒介的安全551．可移动存储媒介的管理 (55)2．存储媒介的处置 (55)3．信息处置程序 (56)4．系统文档的安全 (57)第四节............................................... 通用控制措施581．屏幕与桌面的清理 (58)2．资产的移动控制 (59)第四章通信和运营管理的安全 (60)第一节............................................ 操作流程与职责601．规范操作细则 (60)2．设备维护 (61)3．变更控制 (62)4．安全事件响应程序 (62)5．开发、测试与现网设备的分离 (63)第二节.......................... 系统的规划设计、建设和验收641．系统规划和设计 (64)2．审批制度 (64)3．系统建设和验收 (65)4．设备入网管理 (67)第三节............................................ 恶意软件的防护67第四节...................................... 软件及补丁版本管理69第五节............................................ 时钟和时间同步70第六节..................................................... 日常工作701．维护作业计划管理 (70)2．数据与软件备份 (70)3．操作日志 (72)4．日志审核 (72)5．故障管理 (73)6．测试制度 (74)7．日常安全工作 (74)第七节............................................... 网络安全控制75第八节......................................... 信息与软件的交换761．信息与软件交换协议 (76)2．交接过程中的安全 (76)3．电子商务安全 (77)4．电子邮件的安全 (78)5．电子办公系统的安全 (79)6．信息发布的安全 (80)7．其他形式信息交换的安全 (81)第五章网络与信息系统的访问控制 (82)第一节............................................... 访问控制策略82第二节............................................... 用户访问管理841．用户注册 (84)2．超级权限的管理 (85)3．口令管理 (87)4．用户访问权限核查 (88)第三节..................................................... 用户职责881．口令的使用 (88)2．无人值守的用户设备 (89)第四节............................................... 网络访问控制901．网络服务使用策略 (91)2．逻辑安全区域的划分与隔离 (91)3．访问路径控制 (92)4．外部连接用户的验证 (93)5．网元节点验证 (93)6．端口保护 (94)7．网络互联控制 (94)8．网络路由控制 (95)9．网络服务的安全 (95)第五节...................................... 操作系统的访问控制951．终端自动识别 (96)2．终端登录程序 (96)3．用户识别和验证 (97)4．口令管理系统 (97)5．限制系统工具的使用 (98)6．强制警报 (99)7．终端超时关闭 (99)8．连接时间限制 (100)第六节............................................... 应用访问控制1001．信息访问限制 (100)2．隔离敏感应用 (101)第七节................................... 系统访问与使用的监控1011．事件记录 (102)2．监控系统使用情况 (102)第八节............................................ 移动与远程工作1041．移动办公 (104)2．远程办公 (105)第六章系统开发与软件维护的安全 (107)第一节............................................ 系统的安全需求107第二节............................................ 应用系统的安全1091．输入数据验证 (109)2．内部处理控制 (110)3．消息认证 (111)4．输出数据验证 (112)第三节............................................ 系统文件的安全1121．操作系统软件的控制 (112)2．系统测试数据的保护 (113)3．系统源代码的访问控制 (114)第四节................................ 开发和支持过程中的安全1151．变更控制程序 (115)2．软件包的变更限制 (116)3．后门及特洛伊代码的防范 (117)4．软件开发外包的安全控制 (118)第五节......................................... 加密技术控制措施1181．加密技术使用策略 (119)2．使用加密技术 (119)3．数字签名 (120)4．不可否认服务 (121)5．密钥管理 (121)第七章安全事件响应及业务连续性管理 (124)第一节...................................... 安全事件及安全响应1241．及时发现与报告 (125)2．分析、协调与处理 (125)3．总结与奖惩 (127)第二节............................................ 业务连续性管理1271．建立业务连续性管理程序 (127)2．业务连续性和影响分析 (128)3．制定并实施业务连续性方案 (129)4．业务连续性方案框架 (130)5．维护业务连续性方案 (132)第八章安全审计 (134)第一节......................................... 遵守法律法规要求1341．识别适用的法律法规 (134)2．保护知识产权 (135)3．保护个人信息 (135)4．防止网络与信息处理设施的不当使用 (136)5．加密技术控制规定 (136)6．保护公司记录 (137)7．收集证据 (137)第二节............................................ 安全审计的内容138第三节............................................... 安全审计管理1381．独立审计原则 (139)2．控制安全审计过程 (139)3．保护审计记录和工具 (140)参考文献 (141)术语和专有名词 (142)附录1：安全体系第二层项目清单（列表） (143)总则1．网络与信息安全的基本概念网络与信息安全包括下列三个基本属性：➢机密性（Confidentiality）：确保网络设施和信息资源只允许被授权人员访问。
中国移动网络互联安全管理办法(v1.0)
中国移动网络互联安全管理办法第一章总则第一条为加强中国移动通信有限公司（以下简称“有限公司”）及各省公司（有限公司和各省公司统称“中国移动”）网络互联安全管理，保障在安全可控的前提下满足不同网络之间的互访需求，根据《中华人民共和国计算机信息系统安全保护条例》、《中国移动网络与信息安全保障体系（NISS）总纲》等国家和公司相关规定，制定本办法。
第二条网络互联应符合“谁主管、谁负责，谁接入、谁负责”总体原则，遵从“基于需求”、“集中化”及“可控”等具体原则。
通过规范申请、审批等过程，实现安全的网络互联。
第三条本办法由中国移动通信有限公司网络部制定、监督实施和解释。
第四条本办法自发布之日起执行，各省公司应制定具体实施细则。
第二章适用范围第五条本办法适用于有限公司及各省公司的建设部门，通信网、业务网和各支撑系统维护部门以及与中国移动相关的所有合作伙伴，如SP、CP、代维公司、银行、设备供应商等等。
第六条CMNet专线用户的管理以业务部门相关规定为准，不在本办法管理范围内。
第七条电信运营商之间网络的互联管理不在本办法规定范围内，可参见信息产业部《电信管理条例》、《公用电信网间互联管理规定》（信息产业部第9号令）以及《中国移动互联互通管理办法》等。
第八条本办法所指“网络互联”仅限于两个需要建立长期连接的网络之间的互联。
其它连接类型的管理要求可参见《中国移动远程接入管理办法》。
网络互联可分为两大类：(一)内部网络互联：指中国移动内部各安全域之间的互联，包括各支撑系统之间、支撑系统与业务系统之间、业务系统之间以及总部和各省公司两级安全域之间的互联等；(二)内部与外部网络互联：指中国移动网络与与第三方网络之间的互联，第三方网络包括但不限于合作伙伴、客户网络、设备提供商等等。
第三章组织及职责第九条总体原则(一)“谁主管、谁负责，谁接入、谁负责”原则。
中国移动通信网、业务网和各支撑系统的维护部门作为第一责任人，分别直接负责所辖网络的网络互联管理工作。
中国移动网络与信息安全概论
中国移动网络与信息安全概论介绍移动网络是指通过无线通信技术实现的获取和交换信息的网络。
中国移动网络发展迅速，如今已经成为全球最大的移动通信市场之一。
然而，随着移动网络的普及和应用范围的不断扩大，信息安全问题也逐渐凸显出来。
本文将介绍中国移动网络的发展现状，并探讨其中的信息安全挑战和解决方案。
中国移动网络的发展中国移动网络的发展可以分为以下几个阶段：1.第一代移动通信网络（1G）：在上世纪80年代末和90年代初，中国引入了第一代模拟移动通信系统（AMPS）。
这一阶段的移动通信网络主要用于语音通信。
2.第二代移动通信网络（2G）：在20世纪90年代中后期，中国引入了第二代数字移动通信系统（GSM）。
2G网络的出现使得短信服务成为可能，并且可以进行基本的数据传输。
3.第三代移动通信网络（3G）：在2009年，中国推出了第三代移动通信网络（WCDMA和CDMA2000）。
3G网络实现了更快的数据传输速度，使得视频通话和高速互联网访问成为可能。
4.第四代移动通信网络（4G）：在2013年，中国正式商用了第四代移动通信网络（LTE）。
4G网络具有更高的速度和更低的延迟，可以实现更高质量的音视频传输和互联网访问。
5.第五代移动通信网络（5G）：目前，中国正在大力推进第五代移动通信网络的建设。
5G网络将具有更高的速度、更低的延迟和更大的容量，将进一步推动移动通信技术的发展。
中国移动网络的信息安全挑战随着中国移动网络的普及，信息安全问题也逐渐成为关注的焦点。
以下是中国移动网络面临的一些主要信息安全挑战：1.数据隐私泄漏：移动网络中的大量个人数据和敏感信息使得用户隐私面临风险，一旦数据被泄漏，可能导致恶意使用和身份盗窃。
2.病毒和恶意软件攻击：恶意软件和病毒的传播易于通过移动网络进行，这可能导致设备被感染、数据被损坏或盗取。
3.网络钓鱼和网络诈骗：移动网络为网络钓鱼和网络诈骗行为提供了更多的机会。
骗子可以通过伪装成合法机构或个人，以获取用户的敏感信息或欺骗他们付款。
国移动网络与信息安全风险评估管理办法
【最新资料，WORD文档，可编辑修改】第一章总则为在确保中国移动通信有限公司（以下简称“有限公司”）及各省公司（有限公司和各省公司统称“中国移动”）网络安全前提下，高效、可控地推动网络与信息系统风险评估工作，依据《电信网和互联网安全防护管理指南》（YD/T 1728-2008）、《电信网和互联网安全风险评估实施指南》（YD/T 1730-2008）等国家政策、行业标准和有限公司相关规定，制定本办法。
本办法所指的网络和信息系统安全风险评估（以下简称“风险评估”）是指对网络和信息系统等信息资产在技术、管理等方面存在的脆弱性、威胁、发生概率、安全事件影响等安全风险情况进行分析，找出安全风险，有针对性的提出改进措施的活动。
本办法自发布之日起实施，各省公司应制定具体实施细则。
第二章适用范围本办法适用于有限公司、各省公司根据行业监管要求或者自身安全要求，针对中国移动通信网、业务网、各支撑系统以及其它服务类信息系统，如电梯控制系统、门禁系统等发起的各类风险评估。
涉及的部门包括：总部及各省公司网络与信息安全工作办公室，其它网络安全工作管理职能部门，各级通信网、业务网和各支撑系统维护部门，如网络部门、业务支撑部门、管理信息系统部门、办公设施管理部门等等。
第三章评估工作宏观要求风险评估内容及组织方式（一）风险评估以识别网络和信息系统等信息资产的价值，发现信息资产在技术、管理等方面存在的脆弱性、威胁，评估威胁发生概率、安全事件影响，计算安全风险为主要目标，同时有针对性的提出改进措施、技术方案和管理要求。
（二）有限公司和各省公司应重点针对没有具体、可操作安全规范指导或者管理办法要求的安全领域，如电信业务流程层面，进行风险评估；（三）风险评估原则上以自评估为主，如自身人员数量、技术水平、评估标准支撑能力等不足或者时间紧迫、意义重大，可在上报有限公司审批、加强管理的前提下引入第三方评估，并应侧重通过白客渗透测试技术，发现深层次安全问题，如缓冲区溢出等编程漏洞、业务流程和通信协议中存在的漏洞等等。
应对挑战,健全安全保障体系
响 网 络 的 运 行 效 率 和 产 生 其 他 的 网 络 安
全 『题 。 口 Ｊ
・业 务 多 媒 体 化 带 来 的 挑 战 ：基 于 Ｉ Ｐ 的 数 据 业 务 越 来 越 多 样 化 ， 语 音 业 务 和
１ 电 信 业 所 面 临 的 安 全 挑 战
１ １ 信 息 通 信 技 术 发 展 带 来 的 挑 战 ． 信 息 通 信 技 术 （ＣＴ） 发 腱 ，使 新 的 移 Ｉ 的 动 通 信 网有 别 于传 统 的 ２ Ｇ通 信 网络 ， 网络 的 数 据 化 、终 端 的 智 能 化 以 及 业 务 的 多 媒 体 化 ，部 给 网 络 安 全 运 营 带 来 新 的 挑 战 。 ・ 络 数 据 化 带 来 的 挑 战 ：通 信 网 已
（１ ）安 全 组 织 架 构
安 全 工 作 “ 分 靠技 术 ，七 分 三 靠 管 理 ” 建 立 有 效 的 组 织 机 构 是 ， 安 全 管 理 的 基 础 。 中 国 移 动 在 集 公 一 设 立 了 网 络 与 信 息 安 全 领 Ｊ 导 小 组 ， 由 公 一 领 导 层 和 各 业 务 Ｊ 部 ｆ 主 管 组 成 ，领 导 小 组 是 中 国 Ｊ 移 动 网 络 与 信 息 安 全 管 理 的 最 高
维普资讯
瞅 忠
中 国 移 动 通 信 集 团 公 司
．
Ｉ京 Ｌ
１０ ３ ０ ０ ２
来 越 快 。 但 网 络 的 Ｉ 化 在 带 来 开 放 性 Ｐ 擅 ｜：首 先 分 析 ７ 电 信 业 所 面 临 的 安 全 挑 战 Ｉ然 后 介 绍 ７ 中 国 移 与 互 联 性 的 同 时 ， 也 带 来 更 多 的 网 络 安
系统也是基 于 Ｉ Ｐ网 络 。 综 合 考 虑 ，
中国移动通信集团加强信息安全与数据保护
中国移动通信集团加强信息安全与数据保护随着信息技术的快速发展，信息安全与数据保护日益受到人们的关注。
中国移动通信集团作为我国最大的移动通信运营商，承担着呼叫与数据传输的重要任务，必须加强信息安全与数据保护，确保通信网络的安全稳定、用户数据的隐私保护。
本文将针对中国移动通信集团加强信息安全与数据保护的措施与实践进行探讨。
一、加强网络安全建设网络安全是信息安全的重要组成部分，中国移动通信集团针对网络安全问题，制定了一系列的措施与策略。
首先，加强网络设备的防护能力，确保防火墙、入侵检测和防病毒等关键系统的正常运行。
其次，建立完善的安全管理体系，通过加密技术和身份认证策略，保护关键数据的安全。
此外，加强对网络系统的监测和分析，及时发现并解决安全隐患，防止网络攻击的发生。
二、规范用户数据保护用户数据在信息时代中具有重要价值，中国移动通信集团积极采取措施保护用户数据的隐私和安全。
首先，严格遵守个人信息保护相关法律法规，建立健全用户数据保护的制度和政策。
其次，加强对内部员工的培训与管理，提高员工的安全意识和保密能力。
同时，加强对外部合作伙伴的监督与管理，确保用户数据不被非法获取与滥用。
三、加强应急响应能力面对日益复杂的网络安全威胁，中国移动通信集团积极提升应急响应能力，及时有效地应对安全事件。
首先，建立健全的安全事件监测与预警机制，通过网络安全事件的实时监控，迅速发现并响应安全事件。
其次，建立紧急响应机制，对安全事件进行快速处置和恢复，最大程度减少对用户及平台的影响。
同时，加强与政府部门及其他移动通信运营商的合作，共同应对网络安全威胁，形成合力。
四、推动技术创新信息安全与数据保护需要不断创新和技术进步的支持。
中国移动通信集团致力于推动技术创新，在密码学、虚拟化与云安全等方面加强研发与应用，提高信息安全与数据保护的能力。
同时，密切关注国内外安全技术的发展动态，及时引进和采纳先进的安全技术，提高整体安全水平。
总结：中国移动通信集团加强信息安全与数据保护，是对当前信息安全形势的应对之举。
中国移动网大
中国移动网大中国移动网大5G+通用知识考试《人人学IT》习题库一、单选题1.常见的存储介质不包括A.光盘B.机械硬盘C.磁带D.鼠标2、云管理层是确保云数据中心运转的核心，其主要模块不包括A.用户管理B.安全管理C.监控系统D.数据交换3、虚拟化是云计算的核心技术。
以下哪一项虚拟化技术目前尚未广泛应用？A.网络虚拟化B.存储虚拟化C.安全虚拟化D.桌面虚拟化4、人类有语言，才有概念，才有推理，所以概念、意识、观念等都是人类（）的表现。
A.计算智能B.图像识别智能C.感知智能D.认知智能5、自动驾驶汽车，就是通过激光雷达等感知设备和人工智能算法，实现（）的。
A.计算智能B.图像识别智能C.感知智能D.认知智能6、下列选项中，不是大数据发展趋势的是？A.大数据分析的革命性方法出现B.大数据与云计算将深度融合C.大数据一体机将陆续发布D.大数据未来可能会被淘汰7、以下哪个场景可以称为大数据场景？A.故宫游客人数B.故宫门票收入C.美团APP的定位信息D.文章内容8、在架构层之上是（），利用云计算系统即把硬件设备“资源池化”，形成虚拟计算池、虚拟存储池、虚拟网络池A.链路层B.网络层C.虚拟化层D.功能层9、CPEX的定义是什么A.成本性支出B.资本性支出C.一次性支出D.以上都不对10、以下数据量可以称为大数据的是？A.100MBB.100KBC.100PBD.100MB11、转发设备部署在业务网络和()层，控制设备部署在管理网络。
A.核心B.链路C.网络D.应用12、（）是网络系统的第一道防线A.口令B.文件C.代码D.验证码13、网络安全防御体系的目的是（）A.增加攻击者被检测的风险B.降低攻击者的成功几率C.以上都是D.以上都不是14、现代应用的发展对服务器提出了越来越细致的要求，特别是云计算的发展和部署导致了数据中心服务器针对特殊用途出现了更加细分的进化，叫做（）A.塔式B.机架式C.刀片式D.高密度优化15、（）架构具有高性能、低沉本、高密度、节能低碳和集群管理等特点A.纵向扩展架构B.多维扩展架构C.横向扩展架构D.超融合架构16、（）C在数据中心中用独立的物理资源为企业建立专用的云平台，并提供运营和运维增值服务。
分阶层、多维度、全周期的网络与信息安全综合管理体系建设
（） 划 设 计 阶 段 １规
在 项 目方 案 的 规 划 设 计 阶 段 ，要 求 进 行 网
络 与信息安全评审 ，有正 式的安全评审记录才
等 技术层 面进行 检查 ，并以此 督促整 改 、复查 ，有 力地保 障业 务 的连 续性
与 可 用性 。
制度 中 ，包 含人 员管理体系 ，规定 各
部 门培 养安 全人 员的职责 ，确定培养
方 针 和 政 策 ，规范 职 责 。
ＴＥＬ Ｅ￣
ＵＮＩ． Ｏ Ｎ￥ Ｔ臣ＣＨＮｏＩ Ｇ ／ Ｃ， ＡＴＩ ｏ ２０ １１ ・ ５
实 时 端 口信 息 ，可 以 掌 握 各 系 统 主 机
（） 表 与 考 核 ６报 为 全 面 、及 时 地 掌 握 维 护 部 门 的
安 全 工 作 执 行 情 况 ， 建 立 安 全 报 表 制
系 统 的基 础 安 全 数 据 ，以 便 在 系 统 维 护 交 接 时 可 以尽 快 掌 握 系 统 的 基 本 安
采购技术规范书。
谁 主 管 、谁 负责 ” 为原 则 ，以 “ 同步 规划 、同步
建设 、同步运行”为方法论 ，建立分阶层 、多维
度 、全 周 期的 网络 与信 息安 全综 合 管理 体系 。
在 合 同签 订 阶段 ，将 卖 方 应 承 担 的安 全 责 任 写入 合 同 条 款 ，若 在 合 同有 效 期 内 有 不 符 合 安 全 要 求 的 问题 出现 ，合 同 条款 将 作 为 追 究 卖
动 派 单 给 各 安 全 事 件 责 任 人 ，实 现 安
CheckPoint防火墙配置
中国移动通信CHINA MOBILECheckPo int 防火墙配置Specificati on for CheckPo int FireWailCo nf i g u r a中国移n动通版信有限公司网络部n2 .Mo bileXXXX - XX - XX 发布XXXX - XX - XX 实施11.2内部适用性说明1 概述2 CHECKPOIN 防火墙设备配置要求 (7)冃U 言概述1.1适用范围本规范适用于中国移动通信网、业务系统和支撑系统的CHECKPOIN 防火墙设备。
本规范明确了设备的基本配置要求， 为在设备入网测试、工程验收和设备 运行维护环节明确相关配置要求提供指南。
本规范可作为编制设备入网测试规 范，工程验收手册，局数据模板等文档的参考本规范是依据《中国移动防火墙配置规范》中配置类规范要求的基础上提出目录1677的CHECKPOIN防火墙配置要求规范，为便于比较，特作以下逐一比较及说明（在2 2.2内部适用性说明数超过6次（不含6次），锁定 持“采纳意见”部分对应为“完全采纳”、“部分采纳”、“增强要求”、“新增要求”、 “不采纳”。
在“补充说明”部分，对于增强要求的情况，说明在本规范的相应 条款中描述了增强的要求。
对于“不采纳”的情况，说明采纳的原因）。
内容采纳意见备注1.不同等级管理员分配不同账完全采纳号，避免账号混用。
2.应删除或锁定与设备运行、维完全采纳护等工作无关的账号。
3.防火墙管理员账号口令长度至完全采纳少8位，并包括数字、小写字母、大与子母和特殊符号4类中至少2类。
4.账户口令的生存期不长于90部分采纳IPSO 操作系统支天。
持5.应配置设备，使用户不能重复部分采纳IPSO 操作系统支使用最近5次（含5次）内已持使用的口令。
该用户使用的账号。
6.应配置当用户连续认证失败次部分采纳IPSO 操作系统支7. 在设备权限配置能力内，根据用户的管理等级，配置其所需的最小管理权限。
中国移动信息安全管理体系说明
▪ 事故原因：内部安全管理缺失
缺乏有效的内控措施和定期审计
对信息安全问题产生过程的认识
威胁
通过
方
工具
威胁（破坏或滥用）
•环
境
利用
系统漏洞
管理漏洞
资产
物理漏洞
中移动网络与信息安全体系建立紧迫性
▪ 李跃总的讲话
需制定实施的业务连续性管理体系
信息安全事件回放（三）
▪ 希腊总理手机被窃听，沃达丰总裁遭传唤
– 早在2004年雅典奥运会之前，希腊高官们的手机便 已开始被第三方窃听 ，2006年3月份才被发现。
– 事故原因：沃达丰（希腊）公司的中央服务系统被 安装了间谍软件
制定严格的核心操作系统访问控制流程
信息安全事件（四）
从2005年2月开始，复制出了14000个充值密码。获利380 万。
2005年7月16日才接到用户投诉说购买的充值卡无法充值， 这才发现密码被人盗窃并报警。
无法充值的原因是他最后盗取的那批密码忘记了修改有效日期
反思：目前是否有类似事件等待进一步发现
对第三方的有效安全管理规范缺失
信息安全事件回放（二）
• 竞争对手：法制环境不健全，行业不正当竞争 （如：窃取机密，破坏企业的业务服务）！ • 国外政府或机构：法制环境不健全，行业不正当 竞争（如：窃取机密，破坏企业的业务服务）！
企业面临的主要信息安全问题
•人员问题： •信息安全意识薄弱的员工误操作、误设置造成系统宕机、数据丢失，信 息泄漏等问题 •特权人员越权访问，如：系统管理员，应用管理员越权访问、传播敏感 数据 •内部员工和即将离职员工窃取企业秘密，尤其是骨干员工流动、集体流 动等
中 国移动网络与信息安全保障体系
中国移动网络与信息安全保障体系在当今数字化的时代，中国移动网络已经成为人们生活、工作和社会运转不可或缺的一部分。
从日常的通信交流到重要的金融交易，从便捷的在线购物到关键的政务服务，几乎所有领域都依赖于稳定、高效且安全的移动网络。
然而，随着网络技术的飞速发展和应用场景的不断拓展，信息安全问题也日益凸显。
构建一个强大而有效的中国移动网络与信息安全保障体系，不仅是保障用户权益和社会稳定的需要，也是推动中国移动通信产业持续健康发展的关键。
中国移动网络面临着多种多样的安全威胁。
其中，网络攻击是最为常见和严重的问题之一。
黑客可能通过各种手段入侵网络系统，窃取用户的个人信息、企业的商业机密，甚至破坏关键的基础设施。
此外，恶意软件的传播也给移动网络带来了巨大的风险，这些软件可能会导致设备故障、数据泄露、通信中断等严重后果。
再者，随着物联网的兴起，大量的智能设备接入移动网络，由于这些设备的安全防护能力相对较弱，容易成为攻击者的突破口，进而威胁整个网络的安全。
为了应对这些威胁，中国移动构建了一套全面的网络与信息安全保障体系。
在技术层面，采用了先进的加密技术来保护通信数据的机密性和完整性。
无论是语音通话还是短信、数据传输，都经过严格的加密处理，确保只有授权的用户能够访问和理解这些信息。
同时，通过建立强大的防火墙和入侵检测系统，实时监控网络流量，及时发现并阻止潜在的攻击行为。
此外，还加强了对移动应用的安全审核和管理，从源头上减少恶意软件的传播和危害。
在管理层面，中国移动制定了完善的安全策略和规章制度。
明确了各级员工在网络与信息安全方面的职责和义务，建立了严格的权限管理制度，确保只有经过授权的人员能够访问和操作敏感信息。
同时，加强了对员工的安全培训和教育，提高他们的安全意识和防范能力。
定期进行安全审计和风险评估，及时发现并整改存在的安全隐患，不断完善安全保障体系。
在应急响应方面，中国移动建立了高效的应急响应机制。
一旦发生网络安全事件，能够迅速启动应急预案，采取有效的措施进行处置，将损失和影响降到最低。
国移动网络与信息安全风险评估管理规定
【最新资料，WORD文档，可编辑修改】第一章总则为在确保中国移动通信有限公司（以下简称“有限公司”）及各省公司（有限公司和各省公司统称“中国移动”）网络安全前提下，高效、可控地推动网络与信息系统风险评估工作，依据《电信网和互联网安全防护管理指南》（YD/T1728-2008）、《电信网和互联网安全风险评估实施指南》（YD/T 1730-2008）等国家政策、行业标准和有限公司相关规定，制定本办法。
本办法所指的网络和信息系统安全风险评估（以下简称“风险评估”）是指对网络和信息系统等信息资产在技术、管理等方面存在的脆弱性、威胁、发生概率、安全事件影响等安全风险情况进行分析，找出安全风险，有针对性的提出改进措施的活动。
本办法自发布之日起实施，各省公司应制定具体实施细则。
第二章适用范围本办法适用于有限公司、各省公司根据行业监管要求或者自身安全要求，针对中国移动通信网、业务网、各支撑系统以及其它服务类信息系统，如电梯控制系统、门禁系统等发起的各类风险评估。
涉及的部门包括：总部及各省公司网络与信息安全工作办公室，其它网络安全工作管理职能部门，各级通信网、业务网和各支撑系统维护部门，如网络部门、业务支撑部门、管理信息系统部门、办公设施管理部门等等。
第三章评估工作宏观要求风险评估内容及组织方式（一）风险评估以识别网络和信息系统等信息资产的价值，发现信息资产在技术、管理等方面存在的脆弱性、威胁，评估威胁发生概率、安全事件影响，计算安全风险为主要目标，同时有针对性的提出改进措施、技术方案和管理要求。
（二）有限公司和各省公司应重点针对没有具体、可操作安全规范指导或者管理办法要求的安全领域，如电信业务流程层面，进行风险评估；（三）风险评估原则上以自评估为主，如自身人员数量、技术水平、评估标准支撑能力等不足或者时间紧迫、意义重大，可在上报有限公司审批、加强管理的前提下引入第三方评估，并应侧重通过白客渗透测试技术，发现深层次安全问题，如缓冲区溢出等编程漏洞、业务流程和通信协议中存在的漏洞等等。
中国移动网络与信息安全风险评估管理办法V1.0
中国移动网络与信息安全风险评估管理办法第一章总则第一条为在确保中国移动通信有限公司（以下简称“有限公司”）及各省公司（有限公司和各省公司统称“中国移动”）网络安全前提下，高效、可控地推动网络与信息系统风险评估工作，依据《电信网和互联网安全防护管理指南》（YD/T 1728-2008）、《电信网和互联网安全风险评估实施指南》（YD/T1730-2008）等国家政策、行业标准和有限公司相关规定，制定本办法。
第二条本办法所指的网络和信息系统安全风险评估（以下简称“风险评估”）是指对网络和信息系统等信息资产在技术、管理等方面存在的脆弱性、威胁、发生概率、安全事件影响等安全风险情况进行分析，找出安全风险，有针对性的提出改进措施的活动。
第三条本办法自发布之日起实施，各省公司应制定具体实施细则。
第二章适用范围第四条本办法适用于有限公司、各省公司根据行业监管要求或者自身安全要求，针对中国移动通信网、业务网、各支撑系统以及其它服务类信息系统，如电梯控制系统、门禁系统等发起的各类风险评估。
第五条涉及的部门包括：总部及各省公司网络与信息安全工作办公室，其它网络安全工作管理职能部门，各级通信网、业务网和各支撑系统维护部门，如网络部门、业务支撑部门、管理信息系统部门、办公设施管理部门等等。
第三章评估工作宏观要求第六条风险评估内容及组织方式1（一）风险评估以识别网络和信息系统等信息资产的价值，发现信息资产在技术、管理等方面存在的脆弱性、威胁，评估威胁发生概率、安全事件影响，计算安全风险为主要目标，同时有针对性的提出改进措施、技术方案和管理要求。
（二）有限公司和各省公司应重点针对没有具体、可操作安全规范指导或者管理办法要求的安全领域，如电信业务流程层面，进行风险评估；（三）风险评估原则上以自评估为主，如自身人员数量、技术水平、评估标准支撑能力等不足或者时间紧迫、意义重大，可在上报有限公司审批、加强管理的前提下引入第三方评估，并应侧重通过白客渗透测试技术，发现深层次安全问题，如缓冲区溢出等编程漏洞、业务流程和通信协议中存在的漏洞等等。
网络和信息安全体系建设和完善
网络和信息安全体系建设和完善1 前言中国移动通信网络是国家基础信息网络和重要信息系统的组成部分，更是中国移动赖以生存和发展的基本条件，随着网络IP化进程、终端智能化以及业务、服务多样化趋势的加快，移动通信网络面临的威胁和攻击也越来越多，网络与信息安全工作日趋重要。
为了确保网络安全，现在很多企业采用了防火墙、防病毒、入侵检测、漏洞扫描等一系列安全产品，提高了本企业的网络安全水平，但是这些改善仍没有达到理想的目标，病毒、黑客和计算机犯罪依然猖獗，这给信息安全的理论界、厂商和用户提出了一系列问题，促使人们开始对安全体系进行思考和研究。
在网络安全建设时，不单单是考虑某一项安全技术或者某一种安全产品，而是从管理制度、流程、技术手段和措施、应急响应、风险评估等多方面构建一个良好的网络和信息安全体系，全面营造一个良好的网络安全运行环境。
2 网络与信息安全体系概述一个完整的信息安全体系应该是安全管理和安全技术实施的结合，两者缺一不可。
为了实现对信息系统的多层保护，真正达到信息安全保障的目标，国外安全保障理论也在不断的发展之中，美国国家安全局从1998年以来开展了信息安全保障技术框架（IATF）的研究工作，并在2000年10月发布了IATF 3.1版本，在IATF中提出信息安全保障的深度防御战略模型，将防御体系分为策略、组织、技术和操作4个要素，强调在安全体系中进行多层保护。
安全机制的实现应具有以下相对固定的模式，即“组织（或人）在安全策略下借助于一定的安全技术手段进行持续的运作”。
图1 信息安全保障体系在建设中国移动通信集团西藏有限公司（以下简称为西藏移动）网络安全体系时，从横向主要包含安全管理和安全技术两个方面的要素，在采用各种安全技术控制措施的同时，制定层次化的安全策略，完善安全管理组织机构和安全管理人员配备，提高系统管理人员的安全意识和技术水平，完善各种安全策略和安全机制，利用多种安全技术实施和安全管理实现对网络和系统的多层保护，减小其受到攻击的可能性，防范安全事件的发生，提高对安全事件的应急响应能力，在发生安全事件时尽量减少因事件造成的损失。
中国移动网络与信息安全保障体系
中移动网络与信息安全建设总体思路
基于信息安全管理国际标准BS7799/ISO17799 综合顾问的管理和技术经验，结合公司现有的信息安 全管理措施 以公司信息安全现状为基础，充分考虑了公司所存在 的信息安全风险 参考国外业界最佳实践，同时考虑国内的管理和法制 环境
中国移动网络与信息安全保障体系
中国移动网络与信息安全保障体系
信息安全是信息服务提供商的核心保证
▪ 一个不安全的网络，将不可能提供高质量的信 息服务
▪ 信息服务必须让客户可信任 ▪ 解决信息安全问题的关键
– 建立一个完善的信息安全管理体系
中国移动网络与信息安全保障体系
目录
▪ 信息安全：企业面临的巨大挑战 ▪ 中国移动信息安全管理体系介绍 ▪ 中移动网络与信息安全总纲
中移动网络与信息安全的目标
▪ 为中国移动的网络与信息安全管理工作建立科学的体系，确保安 全控制措施落实到位，为各项业务的安全运行提供保障。
▪ 目前公司网络与信息安全工作的重点集中在可用性、保密性和可 审查性。
可用性 保密性
确保被授权用户能够在需要时获取网络与信息资产。
关键信息资产的使用都必须经过授权，只有得到相应授 权的人员才可使用网络和保密信息
网络与信息安 全领导小组
网络安全办 公室
网络部
….
信息系统部
….
网络运营中 …. 心
运营支撑中 心
网络与信息安全办公室负责公司具体的网络与信息安全工作 ，落实公司层面 的各项网络安全政策，牵头部门为网络部。
中国移动网络与信息安全保障体系
信息安全管理框架
总体策略
信息资产分类与控制
职员的安全管理
组
物理环境的安全
中 国移动网络与信息安全保障体系
中国移动网络与信息安全保障体系在当今数字化的时代，中国移动网络已经成为人们生活和工作中不可或缺的一部分。
从日常的通信交流到重要的金融交易，从便捷的在线购物到高效的远程办公，中国移动网络承载着海量的信息和关键的业务。
然而，随着网络的不断发展和应用的日益广泛，信息安全问题也日益凸显。
构建一个强大、有效的中国移动网络与信息安全保障体系，不仅关乎个人的隐私和权益，更关系到国家的安全和社会的稳定。
一、中国移动网络面临的信息安全挑战（一）网络攻击手段多样化如今，网络攻击的手段愈发复杂多样。
黑客可以利用漏洞进行恶意软件植入、拒绝服务攻击（DDoS）、网络钓鱼等，以获取用户的个人信息、破坏网络服务或实施敲诈勒索。
（二）移动设备的安全隐患智能手机、平板电脑等移动设备的普及带来了便捷，但也增加了安全风险。
设备操作系统的漏洞、恶意应用程序的存在以及用户安全意识的薄弱，都可能导致信息泄露。
（三）数据隐私保护问题大量的个人数据在中国移动网络中传输和存储，包括姓名、身份证号、银行卡号等敏感信息。
如何确保这些数据的合法收集、使用和保护，防止数据被滥用或泄露，是一个严峻的挑战。
（四）新兴技术带来的风险5G 网络、物联网、云计算等新兴技术的应用，在推动中国移动网络发展的同时，也引入了新的安全隐患。
例如，物联网设备的安全防护相对薄弱，容易成为攻击者的突破口。
二、中国移动网络与信息安全保障体系的构成要素（一）技术手段1、加密技术通过对数据进行加密，确保在传输和存储过程中的保密性和完整性，即使数据被窃取，也难以被解读。
2、身份认证与访问控制严格的身份认证机制和访问控制策略，确保只有合法用户能够访问相应的网络资源和数据。
3、防火墙与入侵检测系统防火墙用于阻挡外部非法访问，入侵检测系统则实时监测网络中的异常活动，及时发现并阻止潜在的攻击。
4、漏洞管理与修复定期对网络系统进行漏洞扫描，及时发现并修复安全漏洞，降低被攻击的风险。
（二）管理措施1、安全策略与制度制定完善的安全策略和制度，明确安全责任和流程，规范员工的网络行为。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
– 从全球及我们自身看，网络安全的形式非常严峻 – 进入网管中心或者通过网管中心进入各生产网元，一定要实行
有效的多次密码认证的管理，严格管理每一次进入。 – 对内部人员的登陆要有严格的管理规定，后台操作要留有痕迹。
•技术问题： •病毒和黑客攻击越来越多、爆发越来越频繁，直接影响企业正常的业务 运作
•法律方面 •网络滥用：员工发表政治言论、访问非法网站 •法制不健全，行业不正当竞争（如：窃取机密，破坏企业的业务服务）
信息安全事件回放（一）
全国最大的网上盗窃通讯资费案
某合作方工程师，负责某电信运营商的设备安装。获得充值中 心数据库最高系统权限
可审查性
任何对公司业务运作的威胁和破坏行为都得到记录，并 能跟踪和追查
中移动信息安全建设原则与总体策略
• 安全管理流程、制度和安全控 制措施的设计应基于风险分析， 而不应基于信任管理
• 权限制衡和监督原则：安全管 理人员和网络管理人员、主机 管理人员相互制约
▪ 作为国家基础设施提供商，其 网络与信息安全工作目前必须 围绕公司业务目标开展；
▪ 北京ADSL断网事件
– 2006年7月12日14:35左右，北京地区互联网大面 积断网。
– 事故原因：路由器软件设置发生故障，直接导致了 这次大面积断网现象。
– 事故分析：操作设备的过程中操作失误或软件不完 善属于“天灾”，但问题出现后不及时恢复和弥补， 这就涉及人为的因素了，实际上这也是可以控制的。
▪ 两名电信公司员工利用职务上的便利篡改客户 资料，侵吞ADSL宽带用户服务费76.7万余元
▪ 事故原因：内部安全管理缺失
缺乏有效的内控措施和定期审计对ຫໍສະໝຸດ 息安全问题产生过程的认识威胁
通过
方
工具
威胁（破坏或滥用）
•环
境
利用
系统漏洞
管理漏洞
资产
物理漏洞
中移动网络与信息安全体系建立紧迫性
▪ 李跃总的讲话
▪ 信息服务必须让客户可信任 ▪ 解决信息安全问题的关键
– 建立一个完善的信息安全管理体系
目录
▪ 信息安全：企业面临的巨大挑战 ▪ 中国移动信息安全管理体系介绍 ▪ 中移动网络与信息安全总纲
中移动网络与信息安全建设总体思路
基于信息安全管理国际标准BS7799/ISO17799 综合顾问的管理和技术经验，结合公司现有的信息安 全管理措施 以公司信息安全现状为基础，充分考虑了公司所存在 的信息安全风险 参考国外业界最佳实践，同时考虑国内的管理和法制 环境
▪ 网络与信息安全管理工作应以 风险管理为基础，在安全、效 率和成本之间均衡考虑；
• 全面防范，突出重点
高层牵头 领导负责 全员参与
专人管理
中移动网络与信息安全策略架构
国家政策要求 企业发展战略 国内外标准 安全评估结果
从宏 观方 针到 微观 操作, 建立 了包 含三 个层 面的 安全 制度 体系
• 竞争对手：法制环境不健全，行业不正当竞争 （如：窃取机密，破坏企业的业务服务）！ • 国外政府或机构：法制环境不健全，行业不正当 竞争（如：窃取机密，破坏企业的业务服务）！
企业面临的主要信息安全问题
•人员问题： •信息安全意识薄弱的员工误操作、误设置造成系统宕机、数据丢失，信 息泄漏等问题 •特权人员越权访问，如：系统管理员，应用管理员越权访问、传播敏感 数据 •内部员工和即将离职员工窃取企业秘密，尤其是骨干员工流动、集体流 动等
和技术指南 制定
基于
建立 组织架构
执行
技术及防
护支撑手段
运行
运用
目录
▪ 信息安全：企业面临的巨大挑战 ▪ 中国移动信息安全管理体系介绍 ▪ 中移动网络与信息安全总纲
安全事件分布
安全事件的损失
安全威胁方的分布
• 独立黑客：黑客攻击越来越频繁，直接 影响企 业正常的业务运作！ • 内部员工：
•1、信息安全意识薄弱的员工误用、滥用等； •2、越权访问，如：系统管理员，应用管理 员越权访问数据； •3、政治言论发表、非法站点的访问等； •4、内部不稳定、情绪不满的员工。如：员 工离职带走企业秘密，尤其是企业内部高层 流动、集体流动等！
中国移动网络与信息安全保障体系
目标：对涉及公司运营的所有信息资产（对通信网业务系统、 各支撑 系统网络、以及市场、财务、研发、人力的各类重要信息）进行保护， 保障公司“新跨越战略”
网络与信息安全保障体系
指导思想：以风险管理为核心， 预防为主，技术手段为支撑， 围绕信息和信息系统生命周期， 逐步建立由安全组织、管理规定 和技术指南、运行和技术防护手段 构成的具有自主创新能力和拓展能 “做世界一 流企业”新跨越战略的实施。
中移动网络与信息安全的目标
▪ 为中国移动的网络与信息安全管理工作建立科学的体系，确保安 全控制措施落实到位，为各项业务的安全运行提供保障。
▪ 目前公司网络与信息安全工作的重点集中在可用性、保密性和可 审查性。
可用性 保密性
确保被授权用户能够在需要时获取网络与信息资产。
关键信息资产的使用都必须经过授权，只有得到相应授 权的人员才可使用网络和保密信息
不能光管外人不管自己。（重在管理，其次是手段） – 对外来人员的进入，我们一定要限人、限时、限范围，明确进
入的时间、进入的目的。谁放厂家的人进去谁就要负责检查， 并做好记录，要承担起核心设备网元的管理权，出了问题要承 担责任。
信息安全是信息服务提供商的核心保证
▪ 一个不安全的网络，将不可能提供高质量的信 息服务
需制定实施的业务连续性管理体系
信息安全事件回放（三）
▪ 希腊总理手机被窃听，沃达丰总裁遭传唤
– 早在2004年雅典奥运会之前，希腊高官们的手机便 已开始被第三方窃听 ，2006年3月份才被发现。
– 事故原因：沃达丰（希腊）公司的中央服务系统被 安装了间谍软件
制定严格的核心操作系统访问控制流程
信息安全事件（四）
从2005年2月开始，复制出了14000个充值密码。获利380 万。
2005年7月16日才接到用户投诉说购买的充值卡无法充值， 这才发现密码被人盗窃并报警。
无法充值的原因是他最后盗取的那批密码忘记了修改有效日期
反思：目前是否有类似事件等待进一步发现
对第三方的有效安全管理规范缺失
信息安全事件回放（二）