運營商數據業(yè)務系統(tǒng)的安全域劃分(編輯修改稿)
2025-05-06 12:12 本頁面
【文章內容簡介】 ，即按照計算域、用戶域、支撐域、網絡域的進行細分。216。 計算域的設計對于計算域內IT要素進行細分，主要基于信息系統(tǒng)的應用結構，從承載的業(yè)務功能、數據流、數據處理活動及受到的威脅等導致安全需求差異化的因素進行考慮。圖 常見應用系統(tǒng)結構系統(tǒng)的常見應用結構如上圖所示。對于Browser/WEB/APP/DB、Agent/Manager/Server、Peer/Proxy/Peer結構，其每部分提供的功能/服務都有所不同，訪問策略和數據處理活動不同，可以把計算域的IT要素大致分為接入服務、應用服務和數據庫服務三部分。相應的，可以將計算域細分為接入計算區(qū)、應用計算區(qū)、數據計算區(qū)，其防護級別逐漸遞增。圖 一個信息系統(tǒng)的應用層次結構對于一個信息系統(tǒng)來說，一般是這些常見應用結構的集合體。對于簡單的數據業(yè)務系統(tǒng)，可以將應用計算區(qū)、數據計算區(qū)合并稱為核心計算區(qū)或核心生產區(qū)。216。 用戶域設計對于用戶域細分設計，主要從用戶終端承擔的業(yè)務功能、所處的邏輯位置、用戶主體、受到的威脅等導致安全需求差異化的因素進行考慮。從功能方面，可以將用戶終端分為管理、業(yè)務兩類。從用戶主體方面，可分為內部和第三方。從邏輯位置方面，可以分為本地和遠程。用戶域IT要素的綜合分析：本著簡單、實用、實效的原則，用戶域可以首先分為業(yè)務用戶區(qū)、管理用戶區(qū)兩類，再根據所處的邏輯位置的不同劃分為本地、遠程兩部分，最后可以對本地管理用戶區(qū)再依據用戶主體的不同進行細分為本地內部管理、本地第三方管理兩部分。另外，對于仍處在開發(fā)中的系統(tǒng)，可以設計單獨的開發(fā)區(qū)，并與正常運營使用的系統(tǒng)進行嚴格隔離。216。 支撐域設計對于支撐域的安全域細分主要根據其內部IT要素提供的支撐功能或服務，以及服務實現(xiàn)要求、合規(guī)性要求等方面進行考慮。對于數據業(yè)務系統(tǒng)的支撐性基礎設施一般包括運行維護中心或安全服務中心兩部分。相應的可以劃分為運維管理區(qū)、安全服務區(qū)。216。 網絡域設計對于數據業(yè)務系統(tǒng)來說，其系統(tǒng)是分布式的，例如：省中心通過MDCN或CMNet與其他節(jié)點相連，或者所有節(jié)點通過專線方式相連。為了有效的防范來自外部網絡環(huán)境的威脅，系統(tǒng)的核心部分一般會通過一個互聯(lián)互通的隔離帶與外部環(huán)境網絡相連。系統(tǒng)及其外部網絡環(huán)境結構一般如下：圖 信息系統(tǒng)及其外部網絡環(huán)境在互聯(lián)互通部分，一般會有三個邏輯網絡部分(可能使用同一網絡設備)負責Internet(CMNet)、Extranet、Intranet(MDCN、IP承載網)網絡的接入，其安全需求因為外部網絡環(huán)境的不同而不同，這三個邏輯部分可分別稱之為互聯(lián)網接入部分、外聯(lián)網接入部分、內聯(lián)網接入部分。因此，數據業(yè)務系統(tǒng)網絡一般可以首先將網絡劃分為網絡核心區(qū)、網絡接入區(qū)兩個部分。網絡核心區(qū)內部一般有應用計算區(qū)、數據計算區(qū)及運維管理區(qū)、安全服務區(qū)，網絡核心區(qū)負責這些上層區(qū)域的隔離和通信控制及提供其所需的網絡層安全服務。網絡接入區(qū)可以根據實際情況細分為互聯(lián)網接入區(qū)、外聯(lián)網接入區(qū)、內聯(lián)網接入區(qū)、遠程接入區(qū)等。（3）安全域劃分模型按照這種安全域劃分方法，業(yè)務系統(tǒng)的安全域劃分模型見下圖示。圖 安全域劃分模型（4）安全域劃分示例例如，有一數據業(yè)務系統(tǒng)，其允許SP通過CMNet訪問，對其開發(fā)的增值業(yè)務進行定制和管理。同時內部用戶或服務人員也可以通過網絡對其增值業(yè)務進行定制和管理。同時，本系統(tǒng)還與銀行合作伙伴通過前置機互聯(lián)，完成相應的充值、繳費等作業(yè)。通過MDCN與BOSS系統(tǒng)互
公司管理相關推薦
鄂ICP備17016276號-1