测和响应规范和系统日志规范其它规范可以酌情和以上规范整合在起考虑。系统生命周期安全管理安全加密文档管理规范补丁管理规范物理安全规范本资料来自安全体系完善计划针对待建个安全规范，针对每个具体规范定义了该规范建设目标以及该规范中应该包含内容概要例如信息资产管理规范目标对于企业信息化系统安全管理来说，如果没有份完整能够说明我们所拥有信息资产情况清单，就没有办法评估资产价值应该采取保护措施应该投入资源情况等，也就无法开展有意义企业信息化系统安全工作。所以，中国移动要求所有部门分公司必须维护份完整详细企业信息化系统资产清单，以便于跟踪企业信息化系统安全状态。内容定义信息资产分类标准定义信息分级保护标准设计信息资产识别方法定义识别和企业信息化系统安全策略中国移动企业信息化系统安全规范网络层安全系统层安全应用层安全中国移动企业信息化系统安全流程细则其它管理要素冗余恢复内容安全访问控制鉴别认证安全审计业务保障系统开发访问控制审计响应运行维护物理环境信息资产组织人员安全要素安全体系网络层次终端安全本资料来自企业信息化系统安全体系三层结构中国移动企业信息化系统安全操作手册流程细则中国移动企业信息化系统安全策略中国移动企业信息化系统安全规范和标准网络与信息安全标准管理技术组织人员信息资产运行维护系统开发业务保障安全审计安全技术安全设备网络业务应用物理环境访问控制流程细则操作手册第层第二层第三层本资料来自第层安全策略第二层安全规范和标准企业信息化系统安全策略安全策略安全管理规范风险管理规范系统安全自测规范信息资产管理规范系统生命周期安全管理安全许可证制度人力资源安全管理内部安全审计规范业务持续计划安全事件检测和响应规范个人安全守则企业信息化系统安全规范总则应用安全规范数据库安全规范数据备份和恢复规范安全加密规范网络安全规范企业信息化安全域规范网络设备安全规范防病毒安全规范安全规范防火墙安全规范远程访问安全规范系统安全规范系统日志规范文档管理规范用户管理规范补丁管理规范物理安全规范物理安全规范介质安全管理规范安全策略安全规范和标准本资料来自安全操作手册流程细则第三层安全操作手册流程细则应用安全配置手册数据库安全配置手册门户系统安全配置手册通用应用系统安全配置电子邮件系统通用安全规范服务器通用安全规范通用安全规范服务器，服务器通用安全规范网络安全配置手册交换机和路由器华为防火墙防病毒赛门铁克防病毒趋势瑞星操作系统安全配置手册操作系统安全配置手册通用配置信息化系统安全加固方案及实施计划本资料来自加固方案和实施计划分为三个部分安全管理层面第部分安全体系完善计划针对信息化安全体系整体架构，分析目前在策略规范标准方面缺失部分，制定标准体系规范完善计划第二部分安全体系部署实施计划给出各省市部署和实施该安全体系建议，该部分是指导性，概括性，各省公司应该根据此加固方案和实施计划制定自己详细切实可行实施计划。安全技术层面第三部分总部安全技术体系加固方案和建设计划根据集团总部信息化系统目前所采用安全技术现状，结合安全体系具体要求，制定安全技术体系建设计划。本资料来自安全体系完善计划通过分析中国移动企业信息化系统安全体系结构，发现目前在第二层规范标准这层第二个子层具体规范这层建设还比较缺乏。下图所列规范，除了红色部分外，其它规范还不存在。虽然在规范总则中对这些规范进行了简单说明，但是还不够全面和深入，对于实际操作还是缺乏明确依据。针对以上分析，建议信息化办公室在下阶段将体系建设重点放在安全规范建设上，逐步完善体系中所提到安全规范。安全管理规范风险管理规范系统安全自测规范信息资产管理规范系统生命周期安全管理安全许可证制度人力资源安全管理内部安全审计规范业务持续计划安全事件检测和响应规范个人安全守则应用安全规范数据库安全规范数据备份和恢复规范安全加密规范网络安全规范企业信息化安全域规范网络设备安全规范防病毒安全规范安全规范防火墙安全规范远程访问安全规范系统安全规范系统日志规范文档管理规范用户管理规范补丁管理规范物理安全规范物理安全规范介质安全管理规范本资料来自安全体系完善计划在待建设规范中，有些规范之间是存在定关联，我们建议在建设时能够同时予以考虑和建设。风险管理规范和信息资产管理规范数据备份和恢复和介质安全管理规范和业务连续性计划规范系统安全自测规范和安全许可证制度和内部安全审计规范人力资源安全管理和个人安全守则和用户管理规范和远程访问安全规范安全事件检测和响应规范和系统日志规范其它规范可以酌情和以上规范整合在起考虑。系统生命周期安全管理安全加密文档管理规范补丁管理规范物理安全规范本资料来自安全体系完善计划针对待建个安全规范，针对每个具体规范定义了该规范建设目标以及该规范中应该包含内容概要例如信息资产管理规范目标对于企业信息化系统安全管理来说，如果没有份完整能够说明我们所拥有信息资产情况清单，就没有办法评估资产价值应该采取保护措施应该投入资源情况等，也就无法开展有意义企业信息化系统安全工作。所以，中国移动要求所有部门分公司必须维护份完整详细企业信息化系统资产清单，以便于跟踪企业信息化系统安全状态。内容定义信息资产分类标准定义信息分级保护标准设计信息资产识别方法定义识别和理服务外部域名防毒服务器流量监控文件服务加密服务访问控制系统管理入侵检测日志服务外界访问互联网拨号专线外边界内边界核心边界本资料来自二级安全域划分应用系统分类全国互访应用如系统，从全集团角度向所有中国移动员工提供服务。其用户是集团总部和各省公司信息化系统内部员工，从内部安全区或外部半安全区发起访问。局部应用如系统，主要是集团总部和各省公司信息化系统为各自内部员工提供服务，其用户访问来自各自安全区内日常办公区，服务器放置在各自核心安全区内服务器区。如果有互访要求，可以通过各自集团省公司互联区内公文网关进行数据传输。对外应用如电子采购系统，用户是中国移动供应商，信息化系统内部只有发布更新和维护工作。这类应用用户终端位于公共区，因此其服务器只能放置在半安全区区。如果该服务器保护级别要求很高，也可以放置在核心安全区，通过区应用代理服务器作应用数据转发。本资料来自二级安全域划分集团总部本资料来自二级安全域划分集团总部二本资料来自二级安全域划分省公司本资料来自二级安全域划分省公司二本资料来自公共区两个子区域非移动用户接入区移动用户接入区公共区业务数据流公共区安全策略公共区安全设备需求本资料来自半安全区两个子区域区集团省公司互联区区业务数据流区安全策略区安全设备需求集团省公司互联区业务数据流集团省公司互联区安全策略集团省公司互联区安全设备需求本资料来自安全区三个子区域日常办公区内部系统互联区省地市公司互联区日常办公区业务数据流内部系统互联区业务数据流省地市公司互联区业务数据流安全区安全策略安全安全设备需求本资料来自核心安全区两个子区域服务器区管理区服务器区业务数据流服务器区安全策略服务器区安全设备需求管理区业务数据流管理区安全策略管理区安全设备需求本资料来自企业信息化系统威胁等级威胁分析公共区与互联网直接相联，威胁主要是来自外部威胁，包括黑客攻击病毒扩散等，因此属于非信任区，其受到威胁等级最高。半安全区与非信任区直接相联并接受其访问，也会受到定外部威胁和内部威胁，因此属于半信任区，其受到威胁等级较高。安全区非信任区不能直接访问，主要是内部威胁存在，但是有定安全控制机制，因此属于信任区，其受到威胁等级较低。核心安全区类似安全区，但是有更加严格安全控制机制进行管理，属于高度信任区，其受到威胁等级最低。本资料来自企业信息化系统威胁等级赋值表系统名称威胁等级可能带来威胁公共区严重黑客攻击恶意代码和病毒篡改泄密半安全区黑客攻击恶意代码和病毒越权或滥用安全区恶意代码或病毒越权或滥用核心安全区内部人员操作失误恶意代码和病毒篡改等本资料来自企业信息化系统保护等级指标列表指标类型信息资产价值信息资产安全需求指标影响程度用户重要程度保密性完整性可用性赋值为高管理用户高高高赋值为中内部连接用户中中中赋值为低外部连接用户低低低本资料来自企业信息化系统保护等级赋值表指标类型信息资产价值信息资产安全需求合计安全域名称影响程度用户重要程度保密性完整性可用性公共区半安全区安全区核心安全区本资料来自企业信息化系统安全域网络保护通用网络保护交换机上控制路由器上控制防火墙上控制问答企业信息化系统安全策略中国移动企业信息化系统安全规范网络层安全系统层安全应用层安全中国移动企业信息化系统安全流程细则其它管理要素冗余恢复内容安全访问控制鉴别认证安全审计业务保障系统开发访问控制审计响应运行维护物理环境信息资产组织人员安全要素安全体系网络层次终端安全本资料来自企业信息化系统安全体系三层结构中国移动企业信息化系统安全操作手册流程细则中国移动企业信息化系统安全策略中国移动企业信息化系统安全规范和标准网络与信息安全标准管理技术组织人员信息资产运行维护系统开发业务保障安全审计安全技术安全设备网络业务应用物理环境访问控制流程细则操作手册第层第二层第三层本资料来自中国移动企业信息化系统安全加固方案设计软课题报告安全项目组本资料来自日程安排课题背景介绍企业信息化系统信息安全体系安全加固方案及实施计划防病毒安全规范数据库安全规范防火墙安全规范企业信息化系统安全域规范问答课题背景介绍本资料来自研究内容中国移动集团公司信息系统安全加固方案及实施计划安全加固方案是整个软课题入口，是总部信息办和各省公司信息办对其所负责平台统信息平台等安全指南。安全规范与具体平台无关指导性安全要求，作为各个平台安全操作手册制定时安全依据。安全域划分防病毒系统管理与配置网络设备安全数据库安全规范防火墙安全规范中国移动安全操作过程手册安全配置手册根据信息系统安全操作规范，结合中国移动具体网络及应用环境和设备，在现有安全策略和规范中相关部分上进行深化和细化，详细制定每个具体设备具体流程操作规范，形成具有很强操作性安全操作过程手册。操作系统安全配置手册数据库安全配置手册门户系统安全配置手册网络安全配置手册防病毒防火墙，交换机，路由器本资料来自研究成果本软课题，共有个提交件中国移动企业信息化系统安全加固方案及实施计划规范与具体产品平台无关中国移动企业信息化系统安全域规范中国移动防病毒安全规范中国移动网络设备安全规范中国移动防火墙安全规范中国移动数据库安全规范产品操作手册见下页本资料来自研究成果通用应用系统中国移动服务器安全配置手册包括通用中国移动服务器安全配置手册包括通用中国移动服务器安全配置手册包括通用中国移动电子邮件安全配置手册包括通用操作系统中国移动操作系统安全配置手册包括通用数据库