【正文】 容災(zāi)，提高系統(tǒng)應(yīng)對(duì)災(zāi)難性風(fēng)險(xiǎn)的能力和穩(wěn)定性。 網(wǎng)管系統(tǒng)針對(duì)網(wǎng)管系統(tǒng)的安全保護(hù)，還應(yīng)考慮帳號(hào)口令管理系統(tǒng)、終端安全管理系統(tǒng)等。（5）各省所有業(yè)務(wù)支撐系統(tǒng)的接入一個(gè)安全域，進(jìn)一步劃分為互聯(lián)網(wǎng)接口、外部接口、內(nèi)部接口、終端接入安全子域并實(shí)現(xiàn)有效隔離，在區(qū)域邊界上進(jìn)行嚴(yán)格的隔離、防范。（2）計(jì)費(fèi)賬務(wù)數(shù)據(jù)為最高等級(jí)的安全資產(chǎn)，需要加強(qiáng)完整性和可用性保護(hù)手段，必須設(shè)有備份措施，同時(shí)確保措施的有效性；企業(yè)經(jīng)營(yíng)數(shù)據(jù)為最高等級(jí)的安全資產(chǎn)，需求強(qiáng)機(jī)密性保護(hù)手段，在存儲(chǔ)和傳輸時(shí)，必須有加密的措施。示意如下：圖 第三方、漫游的接入（7）DMZ 區(qū)：主要面臨的是外部攻擊，通過(guò)設(shè)置入侵檢測(cè)、病毒防護(hù)、防火墻等技術(shù)，與內(nèi)網(wǎng)可以考慮實(shí)施物理隔離。（3）集團(tuán)省公司的接口區(qū)：都是移動(dòng)內(nèi)部的系統(tǒng)，在部署單層防火墻的基礎(chǔ)上，同時(shí)部署入侵檢測(cè)、防病毒系統(tǒng)。安全管理的具體要求和方法請(qǐng)參見(jiàn)有限公司統(tǒng)一制定的網(wǎng)絡(luò)與信息安全標(biāo)準(zhǔn)體系（NISS）等系列規(guī)范。其中，要求各支撐系統(tǒng)分別在集團(tuán)公司側(cè)統(tǒng)一設(shè)置病毒防護(hù)和補(bǔ)丁管理升級(jí)服務(wù)器，實(shí)現(xiàn)與廠商升級(jí)服務(wù)器的通信，如在 Inter 接口外層防火墻的 DMZ 區(qū)設(shè)置病毒防護(hù)和補(bǔ)丁管理服務(wù)器，完成病毒庫(kù)的更新和補(bǔ)丁的下載，集團(tuán)公司和省公司的病毒防護(hù)和補(bǔ)丁管理升級(jí)服務(wù)器均通過(guò)該服務(wù)器進(jìn)行升級(jí)和更新，實(shí)現(xiàn)兩級(jí)或者三級(jí)的架構(gòu)。具體應(yīng)用如下：? 業(yè)務(wù)支撐系統(tǒng)與網(wǎng)上營(yíng)業(yè)廳的 WEB 服務(wù)器、SP 對(duì)帳系統(tǒng)之間的連接。? 支撐系統(tǒng)之間的互訪，與單層防火墻統(tǒng)一部署，并結(jié)合鑒權(quán)、賬號(hào)口令集中管理等技術(shù)。在該系統(tǒng)訪問(wèn)其它系統(tǒng)時(shí)，均通過(guò)接口服務(wù)器實(shí)現(xiàn)，而其他系統(tǒng)訪問(wèn)該系統(tǒng)時(shí)，也只能訪問(wèn)該系統(tǒng)的接口服務(wù)器。適用于威脅等級(jí)為 5 的系統(tǒng)與等級(jí)為 2 的支撐系統(tǒng)的連接，即5＜－＞5＜－＞4＜－＞4＜－＞2 的連接。下面分別從技術(shù)、安全性、實(shí)施難度、投資角度進(jìn)行分析，并結(jié)合安全域的保護(hù)等級(jí)、威脅等級(jí)，確定上述防護(hù)方式所適用的應(yīng)用環(huán)境：（1）、通過(guò)單層防火墻實(shí)現(xiàn)兩個(gè)安全域邊界的訪問(wèn)控制單層防火墻可以根據(jù)企業(yè)的安全政策控制（允許、拒絕、監(jiān)測(cè)）出入網(wǎng)絡(luò)的信息流，但是單層防火墻只能在一定程度上對(duì)系統(tǒng)進(jìn)行隔離防護(hù)，因此適用于威脅等級(jí)相差較小的安全域之間的連接，3＜－＞2＜－＞1 之間的互訪，即：? 支撐系統(tǒng)之間的互訪? 支撐系統(tǒng)內(nèi)部：集團(tuán)－省公司－地市的連接? 第三方、漫游終端對(duì)支撐系統(tǒng)的訪問(wèn)，也可采用單層防火墻。隨著安全需求的變化和技術(shù)的成熟，安全域的互訪原則將逐步實(shí)現(xiàn)。如果承載網(wǎng)絡(luò)設(shè)備除用于連接上下兩級(jí)子域之外，還連接了其它子域，如省公司網(wǎng)管系統(tǒng)一側(cè)與集團(tuán)公司互聯(lián)的24 / 37路由器可能還負(fù)責(zé)與地市 OMC 或者地市公司互聯(lián)，連接的兩端依然需要分別設(shè)置防火墻。 安全域邊界的保護(hù)原則安全域邊界的保護(hù)原則是：應(yīng)以通為主，以隔為輔，即在保證業(yè)務(wù)系統(tǒng)連通需求的前提下，根據(jù)各安全域的威脅等級(jí)、保護(hù)等級(jí)，部署支撐系統(tǒng)的保護(hù)方式。具體的保護(hù)方式見(jiàn)下面安全域邊界的防護(hù)原則等章節(jié)。 網(wǎng)管系統(tǒng)的邊界整合網(wǎng)管系統(tǒng)的邊界整合，主要是在保障業(yè)務(wù)的同時(shí)對(duì)接口進(jìn)行歸并，減少接口數(shù)量。將業(yè)務(wù)支撐系統(tǒng)劃分為兩個(gè)安全域：核心域、接入域。支撐系統(tǒng)之間的互聯(lián)必須按照互聯(lián)接口申請(qǐng)流程（《中國(guó)移動(dòng)網(wǎng)絡(luò)互聯(lián)安全管理辦法》，正在制定）操作，如果業(yè)務(wù)連接需求發(fā)生變化，需要重新調(diào)整安全策略并向網(wǎng)絡(luò)安全工作辦公室重新申請(qǐng)。（3）企業(yè)信息化系統(tǒng)的合作伙伴互連，暫時(shí)要求在集團(tuán)公司集中設(shè)置連接，省公司的應(yīng)用通過(guò)集團(tuán)公司的接口互連；以后根據(jù)實(shí)際的需要，可以在省公司設(shè)置合作伙伴的連接出口。在各支撐系統(tǒng)設(shè)置與合作伙伴的連接時(shí)，按照以下原則進(jìn)行：（1）業(yè)務(wù)支撐系統(tǒng)中的合作伙伴互連，一般情況下通過(guò)省公司的接口實(shí)現(xiàn)，部分 SP、銀行機(jī)構(gòu)可通過(guò)專線接入設(shè)在地市公司的網(wǎng)絡(luò)設(shè)備，然后通過(guò)?。厥袑＞€接入省業(yè)務(wù)支撐系統(tǒng)。遠(yuǎn)期，以網(wǎng)管系統(tǒng)為例，全國(guó)設(shè)置幾個(gè)集中接口，實(shí)現(xiàn)與 CMNet 的互聯(lián)。這樣不僅有利于管理，而且減少了各支撐系統(tǒng)之間的相互影響，即某一支撐系統(tǒng)如果訪問(wèn)互聯(lián)網(wǎng)發(fā)生網(wǎng)絡(luò)擁塞，也不影響其他支撐系統(tǒng)對(duì)互聯(lián)網(wǎng)的訪問(wèn)。 各支撐系統(tǒng)對(duì)外的邊界整合 與互聯(lián)網(wǎng)的邊界整合根據(jù)現(xiàn)狀調(diào)研情況，目前有部分省在省公司和地市都進(jìn)行了互聯(lián)網(wǎng)的直接連接，省公司很難對(duì)全省的互聯(lián)網(wǎng)出口進(jìn)行統(tǒng)一的安全策略和控制，增加了非法入侵、病毒泛濫的威脅。6 邊界整合的原則安全域劃分的原則明確以后，安全域的邊界訪問(wèn)控制將是關(guān)注的重點(diǎn)。17 / 37（7）互聯(lián)網(wǎng)接入?yún)^(qū)：提供訪問(wèn) Cm 的網(wǎng)絡(luò)連接。（3）日常辦公區(qū)：包括樓層的辦公終端。（6）DMZ 區(qū)：放置 IP 網(wǎng)管與網(wǎng)元進(jìn)行數(shù)據(jù)交換的服務(wù)器，如數(shù)據(jù)采集機(jī)。（2）日常辦公區(qū)區(qū)：用于日常維護(hù)的終端。具體描述如下：15 / 37圖 業(yè)務(wù)支撐系統(tǒng)安全域劃分（1）業(yè)務(wù)支撐系統(tǒng)核心域主要包括：BOSS 系統(tǒng)子域含客服子系統(tǒng)、經(jīng)營(yíng)分析系統(tǒng)子域、業(yè)務(wù)支撐網(wǎng)網(wǎng)管子域三個(gè)子域。（5）互聯(lián)網(wǎng)的應(yīng)用隨著業(yè)務(wù)的發(fā)展也越來(lái)越多，面臨著黑客入侵、病毒擴(kuò)散等威脅，主要的安全需求是入侵檢測(cè)、病毒防護(hù)、數(shù)據(jù)過(guò)濾等。（1）生產(chǎn)服務(wù)器：一般都是 UNIX 平臺(tái)，資產(chǎn)價(jià)值最高，不直接連接外部網(wǎng)絡(luò)，主要的安全需求是訪問(wèn)控制、帳號(hào)口令、權(quán)限管理和補(bǔ)丁的管理。第二種情況：某一支撐系統(tǒng)內(nèi)部的終端訪問(wèn)另一支撐系統(tǒng)時(shí)，屬于系統(tǒng)之間的互訪，則需要通過(guò)支撐系統(tǒng)之間統(tǒng)一設(shè)置的訪問(wèn)控制的互聯(lián)接口進(jìn)行訪問(wèn)。對(duì)于系統(tǒng)間的互訪，應(yīng)根據(jù)系統(tǒng)的保護(hù)等級(jí)、互訪對(duì)象的風(fēng)險(xiǎn)大小，按照第 5 章提出的互聯(lián)原則，設(shè)置互聯(lián)接口。圖 支撐系統(tǒng)各局域網(wǎng)目標(biāo)網(wǎng)絡(luò)架構(gòu)示意圖13 / 37 終端終端層面的調(diào)整目標(biāo)是實(shí)現(xiàn)終端的隔離，即生產(chǎn)終端與辦公終端的物理分離。（2）核心交換層：主要包括核心交換機(jī)設(shè)備，實(shí)現(xiàn)外部接口與各子系統(tǒng)之間的數(shù)據(jù)交互，以及子系統(tǒng)之間的數(shù)據(jù)交互。12 / 37 局域網(wǎng)各支撐系統(tǒng)在集團(tuán)－?。厥腥?jí)節(jié)點(diǎn)的局域網(wǎng)組織基本采用了網(wǎng)絡(luò)分層的架構(gòu)體系，即接入層、核心層。隨著對(duì)網(wǎng)絡(luò)安全要求的提高和技術(shù)進(jìn)步，將來(lái)再逐步加強(qiáng)各支撐系統(tǒng)內(nèi)部子系統(tǒng)之間的訪問(wèn)控制。在支撐系統(tǒng)內(nèi)部，從不同的角度安全域的劃分也不盡相同：（1）橫向：按照業(yè)務(wù)將支撐系統(tǒng)劃分各個(gè)不同的安全域，如業(yè)務(wù)支撐系統(tǒng)安全域、網(wǎng)管系統(tǒng)安全域、企業(yè)信息化系統(tǒng)安全域等；（2）縱向：各安全域又可以按照地域和管理分為集團(tuán)公司、省公司和地市分公司三個(gè)層面的安全子域，如集團(tuán)網(wǎng)管系統(tǒng)安全子域、省公司網(wǎng)管系統(tǒng)安全子域、地市分公司的網(wǎng)管系統(tǒng)安全子域。（4） 生命周期原則：對(duì)于安全域的劃分和布防不僅僅要考慮靜態(tài)設(shè)計(jì)，還要考慮不斷的變化；另外，在安全域的建設(shè)和調(diào)整過(guò)程中要考慮工程化的管理。在保證安全的同時(shí)，還要保障業(yè)務(wù)的正常運(yùn)行和運(yùn)行效率。（1）可用性指的是對(duì)系統(tǒng)實(shí)時(shí)可用的要求：9 / 37? 可用性要求高，賦值為 3? 可用性要求是中，賦值為 2? 可用性要求是低，賦值為 1（2）完整性指的是對(duì)完整性和準(zhǔn)確性的要求：? 對(duì)完整性和準(zhǔn)確性要求高，賦值為 3? 對(duì)完整性和準(zhǔn)確性要求較低，賦值為 2? 對(duì)完整性和準(zhǔn)確性要求低，賦值為 1（3）機(jī)密性指的是對(duì)保密性的要求：? 對(duì)機(jī)密性要求很高，賦值為 3? 對(duì)機(jī)密性要求較低，賦值為 2? 對(duì)機(jī)密性要求低，賦值為 1 支撐系統(tǒng)的賦值根據(jù)上述各項(xiàng)賦值的要求，對(duì)支撐系統(tǒng)的賦值進(jìn)行取定：支撐系統(tǒng)的保護(hù)等級(jí)列表表 資產(chǎn)價(jià)值 安全需求　系統(tǒng)名稱業(yè)務(wù)關(guān)聯(lián)性對(duì)業(yè)務(wù)網(wǎng)絡(luò)的影響業(yè)務(wù)收益的關(guān)系對(duì)公司經(jīng)營(yíng)管理的影響客戶重要程度對(duì)可用性要求完整和準(zhǔn)確性要求保密性要求合計(jì)企業(yè)信息化系統(tǒng) 1 1 1 3 1 1 2 3 13網(wǎng)管系統(tǒng) 2 3 2 2 3 2 3 2 19業(yè)務(wù)支撐系統(tǒng) 3 3 3 2 3 3 3 3 23根據(jù)上面資產(chǎn)價(jià)值和安全需求的賦值可以得出，業(yè)務(wù)支撐系統(tǒng)的保護(hù)等級(jí)設(shè)為最高，網(wǎng)管系統(tǒng)的保護(hù)等級(jí)次之，企業(yè)信息化系統(tǒng)的保護(hù)等級(jí)更次之。主要的的威脅等級(jí)分析見(jiàn)下表：其中等級(jí)分為 1－5，其中 5 威脅最大，即可能造成的損失最大。（3）第三方的接入由于移動(dòng)公司對(duì)其操作很難控制，而且第三方很容易獲取所管理維護(hù)的支撐系統(tǒng)的弱點(diǎn)及其分布，由于具有很高權(quán)限，其潛在威脅最大，但是通過(guò)一定的管理手段、合同要求、法律規(guī)定進(jìn)行約束后，這樣的威脅可以降低；網(wǎng)絡(luò)接入方面的安全問(wèn)題可以通過(guò)技術(shù)手段結(jié)合管理規(guī)定，進(jìn)行控制。需要說(shuō)明的是，威脅分為應(yīng)用層面的和網(wǎng)絡(luò)層面的，應(yīng)用層面的威脅主要是越權(quán)或?yàn)E用、篡改、泄密等，網(wǎng)絡(luò)層面的威脅主要針對(duì)網(wǎng)絡(luò)的弱點(diǎn)、漏洞產(chǎn)生的威脅。威脅可能源于對(duì)系統(tǒng)直接或間接的攻擊，例如信息泄漏、篡改、刪除等，在機(jī)密性、完整性或可用性等方面造成損害；威脅也可能源于偶發(fā)的、或蓄意的事件。支撐系統(tǒng)與不同威脅等級(jí)、可信度的系統(tǒng)互聯(lián)時(shí)，面對(duì)的威脅是不同的。目前中國(guó)移動(dòng)的支撐系統(tǒng)還存在以下問(wèn)題： （1）隨著中國(guó)移動(dòng)的網(wǎng)絡(luò)規(guī)模和各相關(guān)應(yīng)用系統(tǒng)的不斷擴(kuò)大，支撐系統(tǒng)也隨之不斷發(fā)展，但各支撐系統(tǒng)的部署沒(méi)有明確的指導(dǎo)原則，導(dǎo)致網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜、層次不清、系統(tǒng)管理維護(hù)困難，網(wǎng)絡(luò)的有效性、穩(wěn)定性較低。通過(guò)在網(wǎng)絡(luò)和系統(tǒng)層面安全域的劃分，將業(yè)務(wù)系統(tǒng)、安全技術(shù)有機(jī)結(jié)合，形成完整的防護(hù)體系，這樣既可以對(duì)同一安全域內(nèi)的系統(tǒng)進(jìn)行統(tǒng)一規(guī)范的保護(hù)，又可以限制系統(tǒng)風(fēng)險(xiǎn)在網(wǎng)內(nèi)的任意擴(kuò)散，從而有效控制安全事件和安全風(fēng)險(xiǎn)的傳播。（4） 安全域保護(hù)的原則：包括安全域邊界部分的防護(hù)和安全域內(nèi)部的防護(hù)兩方面。 本要求的范圍和主要內(nèi)容本要求主要包含中國(guó)移動(dòng)網(wǎng)管系統(tǒng)、業(yè)務(wù)支撐系統(tǒng)、企業(yè)信息化系統(tǒng)的安全域劃分與邊界整合的技術(shù)要求，其中網(wǎng)管系統(tǒng)包括集團(tuán)公司、省公司網(wǎng)管系統(tǒng)和 OMC，業(yè)務(wù)支撐系統(tǒng)包括集團(tuán)公司、省公司業(yè)務(wù)支撐系統(tǒng)及其地市部分，企業(yè)信息化系統(tǒng)包括集團(tuán)公司、省公司企業(yè)信息化系統(tǒng)和地市終端。文件要求正確處理安全與發(fā)展的關(guān)系，統(tǒng)籌規(guī)劃，突出重點(diǎn)，強(qiáng)化基礎(chǔ)性工作，通過(guò)實(shí)行信息安全等級(jí)保護(hù)實(shí)現(xiàn)這一目的。對(duì)于信息保密性，請(qǐng)參見(jiàn)其他相關(guān)技術(shù)規(guī)范。如今的商業(yè)模式要求企業(yè)與 Inter 之間、企業(yè)與業(yè)務(wù)合作伙伴、信息提供商及客戶組成的網(wǎng)絡(luò)之間實(shí)現(xiàn)連接，而企業(yè)內(nèi)部的企業(yè)信息化系統(tǒng)、業(yè)務(wù)支撐系統(tǒng)、網(wǎng)管系統(tǒng)等系統(tǒng)之間也存在著復(fù)雜的連接關(guān)系。所謂安全域(Security Zone)，是指網(wǎng)絡(luò)中具有相同的安全保護(hù)需求、并相互信任的區(qū)域或網(wǎng)絡(luò)實(shí)體的集合。（9） 全國(guó) 31 個(gè)省的調(diào)查資料，以及北京、廣東、四川、陜西 4 省現(xiàn)場(chǎng)調(diào)研的相關(guān)資料。（5） 美國(guó)國(guó)家標(biāo)準(zhǔn)和技術(shù)研究所（NIST ，National Institute of Standards and Technology）制訂的SP 800 系列文檔：《IT 系統(tǒng)安全自評(píng)估指南 》、《IT 系統(tǒng)風(fēng)險(xiǎn)管理指南 》、《聯(lián)邦 IT 系統(tǒng)安全認(rèn)證和認(rèn)可指南》、《信息系統(tǒng)安全規(guī)劃指南》等。2 引用標(biāo)準(zhǔn)與依據(jù)（1） 《關(guān)于近期網(wǎng)絡(luò)與信息安全工作安排的通知》，中國(guó)移動(dòng)通信集團(tuán)公司網(wǎng)絡(luò)部，移網(wǎng)通【2022】68 號(hào)。本要求由中國(guó)移動(dòng)通信有限公司網(wǎng)絡(luò)部提出并歸口管理。安全域】【第二層：技術(shù)規(guī)范本要求可作為后續(xù)支撐系統(tǒng)安全建設(shè)的依據(jù)。2 / 371 適用范圍本要求對(duì)業(yè)務(wù)支撐、網(wǎng)管、企業(yè)信息化等支撐系統(tǒng)的安全域劃分、邊界整合以及采用的保護(hù)方案進(jìn)行了規(guī)范，適用于中國(guó)移動(dòng)有限公司、各省公司后續(xù)支撐系統(tǒng)的安全建設(shè)。（4） 國(guó)務(wù)院信息辦信息安全風(fēng)險(xiǎn)評(píng)估課題組編制的《信息安全風(fēng)險(xiǎn)評(píng)估研究報(bào)告》。（7） 公安部 GA/T 3873912022 系列標(biāo)準(zhǔn)，計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)操作系統(tǒng)技術(shù)要求、管理要求、通用技術(shù)要求、網(wǎng)絡(luò)技術(shù)要求、數(shù)據(jù)庫(kù)管理系統(tǒng)技術(shù)要求（8） 中國(guó)移動(dòng)通信有限公司提供的相關(guān)資料。 Operations Support System 業(yè)務(wù)運(yùn)營(yíng)支撐系統(tǒng)CMNet China Mobile Net 中國(guó)移動(dòng)互聯(lián)網(wǎng)DDN Digital Data Network 數(shù)字?jǐn)?shù)據(jù)網(wǎng)3 / 37DMZ DeMilitarized Zone 非軍事化區(qū)DNS Domain Name Server 域名服務(wù)器DSMP Data Service Management Platform 數(shù)據(jù)業(yè)務(wù)管理平臺(tái)EOMS Electronic Operation and Maintainence System 電子運(yùn)行維護(hù)系統(tǒng)GPRS General Packet Radio Service 通用分組無(wú)線業(yè)務(wù)IATF Information Assurance Technical Framework 信息保障技術(shù)框架IDS Intrusion Detection System 入侵檢測(cè)系統(tǒng)IPSec Inter Protocol Security 互聯(lián)網(wǎng)協(xié)議安全I(xiàn)P Inter Protocol 互聯(lián)網(wǎng)協(xié)議IT Information Technology 信息技術(shù)MDCN Mobile data munication work 移動(dòng)數(shù)據(jù)通信網(wǎng)MIS Management Information System 管理信息系統(tǒng)MPLS MultiProtocol Label Switching 多協(xié)議標(biāo)記交換NIST National Institute of Standards and Technology 國(guó)家標(biāo)準(zhǔn)和技術(shù)研究所OMC Operation management center 操作維護(hù)中心RADIUS Remote Authentication DialIn User Service 接入用戶遠(yuǎn)程認(rèn)證服務(wù)SP Service Provider 業(yè)務(wù)提供者VPN Virtual Private Network 虛擬專用網(wǎng)VLA