運營商數(shù)據(jù)業(yè)務系統(tǒng)的安全域劃分(編輯修改稿)
2025-05-06 12:12 本頁面
【文章內(nèi)容簡介】 ，即按照計算域、用戶域、支撐域、網(wǎng)絡域的進行細分。216。 計算域的設計對于計算域內(nèi)IT要素進行細分，主要基于信息系統(tǒng)的應用結構，從承載的業(yè)務功能、數(shù)據(jù)流、數(shù)據(jù)處理活動及受到的威脅等導致安全需求差異化的因素進行考慮。圖 常見應用系統(tǒng)結構系統(tǒng)的常見應用結構如上圖所示。對于Browser/WEB/APP/DB、Agent/Manager/Server、Peer/Proxy/Peer結構，其每部分提供的功能/服務都有所不同，訪問策略和數(shù)據(jù)處理活動不同，可以把計算域的IT要素大致分為接入服務、應用服務和數(shù)據(jù)庫服務三部分。相應的，可以將計算域細分為接入計算區(qū)、應用計算區(qū)、數(shù)據(jù)計算區(qū)，其防護級別逐漸遞增。圖 一個信息系統(tǒng)的應用層次結構對于一個信息系統(tǒng)來說，一般是這些常見應用結構的集合體。對于簡單的數(shù)據(jù)業(yè)務系統(tǒng)，可以將應用計算區(qū)、數(shù)據(jù)計算區(qū)合并稱為核心計算區(qū)或核心生產(chǎn)區(qū)。216。 用戶域設計對于用戶域細分設計，主要從用戶終端承擔的業(yè)務功能、所處的邏輯位置、用戶主體、受到的威脅等導致安全需求差異化的因素進行考慮。從功能方面，可以將用戶終端分為管理、業(yè)務兩類。從用戶主體方面，可分為內(nèi)部和第三方。從邏輯位置方面，可以分為本地和遠程。用戶域IT要素的綜合分析：本著簡單、實用、實效的原則，用戶域可以首先分為業(yè)務用戶區(qū)、管理用戶區(qū)兩類，再根據(jù)所處的邏輯位置的不同劃分為本地、遠程兩部分，最后可以對本地管理用戶區(qū)再依據(jù)用戶主體的不同進行細分為本地內(nèi)部管理、本地第三方管理兩部分。另外，對于仍處在開發(fā)中的系統(tǒng)，可以設計單獨的開發(fā)區(qū)，并與正常運營使用的系統(tǒng)進行嚴格隔離。216。 支撐域設計對于支撐域的安全域細分主要根據(jù)其內(nèi)部IT要素提供的支撐功能或服務，以及服務實現(xiàn)要求、合規(guī)性要求等方面進行考慮。對于數(shù)據(jù)業(yè)務系統(tǒng)的支撐性基礎設施一般包括運行維護中心或安全服務中心兩部分。相應的可以劃分為運維管理區(qū)、安全服務區(qū)。216。 網(wǎng)絡域設計對于數(shù)據(jù)業(yè)務系統(tǒng)來說，其系統(tǒng)是分布式的，例如：省中心通過MDCN或CMNet與其他節(jié)點相連，或者所有節(jié)點通過專線方式相連。為了有效的防范來自外部網(wǎng)絡環(huán)境的威脅，系統(tǒng)的核心部分一般會通過一個互聯(lián)互通的隔離帶與外部環(huán)境網(wǎng)絡相連。系統(tǒng)及其外部網(wǎng)絡環(huán)境結構一般如下：圖 信息系統(tǒng)及其外部網(wǎng)絡環(huán)境在互聯(lián)互通部分，一般會有三個邏輯網(wǎng)絡部分(可能使用同一網(wǎng)絡設備)負責Internet(CMNet)、Extranet、Intranet(MDCN、IP承載網(wǎng))網(wǎng)絡的接入，其安全需求因為外部網(wǎng)絡環(huán)境的不同而不同，這三個邏輯部分可分別稱之為互聯(lián)網(wǎng)接入部分、外聯(lián)網(wǎng)接入部分、內(nèi)聯(lián)網(wǎng)接入部分。因此，數(shù)據(jù)業(yè)務系統(tǒng)網(wǎng)絡一般可以首先將網(wǎng)絡劃分為網(wǎng)絡核心區(qū)、網(wǎng)絡接入?yún)^(qū)兩個部分。網(wǎng)絡核心區(qū)內(nèi)部一般有應用計算區(qū)、數(shù)據(jù)計算區(qū)及運維管理區(qū)、安全服務區(qū)，網(wǎng)絡核心區(qū)負責這些上層區(qū)域的隔離和通信控制及提供其所需的網(wǎng)絡層安全服務。網(wǎng)絡接入?yún)^(qū)可以根據(jù)實際情況細分為互聯(lián)網(wǎng)接入?yún)^(qū)、外聯(lián)網(wǎng)接入?yún)^(qū)、內(nèi)聯(lián)網(wǎng)接入?yún)^(qū)、遠程接入?yún)^(qū)等。（3）安全域劃分模型按照這種安全域劃分方法，業(yè)務系統(tǒng)的安全域劃分模型見下圖示。圖 安全域劃分模型（4）安全域劃分示例例如，有一數(shù)據(jù)業(yè)務系統(tǒng)，其允許SP通過CMNet訪問，對其開發(fā)的增值業(yè)務進行定制和管理。同時內(nèi)部用戶或服務人員也可以通過網(wǎng)絡對其增值業(yè)務進行定制和管理。同時，本系統(tǒng)還與銀行合作伙伴通過前置機互聯(lián)，完成相應的充值、繳費等作業(yè)。通過MDCN與BOSS系統(tǒng)互
公司管理相關推薦
鄂ICP備17016276號-1