运营商等级保护建设（shè）解决方案

一、运营商信息（xī）化（huà）的现状

随着3G业（yè）务的（de）推广，三大（dà）运营商正（zhèng）在热（rè）火朝天的进（jìn）行移（yí）动网络的改造和建设（shè），为大规模的业（yè）务上线做着积极准备（bèi），随之而来的网络安（ān）全（quán）建设也需要（yào）同步展开。传（chuán）统的电信网络主要以专有协议（yì）、专有网（wǎng）络为（wéi）主，现在移动网络从承载（zǎi）平台、业务系统到后台的支撑系统都越来越多（duō）地转移到（dào）了IP承（chéng）载网络，与互联网的结（jié）合也越来越紧密，因此互联网中大量存在的安全风险都将对运（yùn）营商（shāng）的移动网络形成（chéng）威胁（xié），也必然（rán）会对运营商的移动互联网战略造成影响。因此（cǐ），在网络发展的同时进行安全体系的建设，降低（dī）安全风险成为各大运营商一个急待解决的问题。 作为网络服务的供应（yīng）商，运营（yíng）商为全国各行各业（yè）重要系统提供基础网（wǎng）络（luò）支撑，其（qí）信息安全建设（shè）也必须考虑到等（děng）级保护的（de）相关要求（qiú）。

二、运营商等级保护建设方案

2.1 参考依据

GB/T 22239—2008 《信（xìn）息（xī）安（ān）全技术 信息系统安全等级保护基本要求》

GB/T 22240—2008 《信息安全技术 信息系统安全保护（hù）等级定（dìng）级指南（nán）》

GB/T 20984—2007 《信息安全技术 信息（xī）安全风险评估规范》

GB/T 18336—2001 《信息技术—安全技术（shù）—信（xìn）息技术安全性评估准则（zé）》

公通字【2007】43号 《信息安全等级（jí）保护（hù）管理办法》

公通字【2004】66号 《关于（yú）信息安全（quán）等级（jí）保护工作（zuò）的（de）实（shí）施意见》

ISO/IEC 27001:2005《信息安全技术 信息（xī）系统安（ān）全管理要求》

ISO/IEC 13335—1: 2004 《信息（xī）技（jì）术（shù） 信息技（jì）术安（ān）全管理（lǐ）指南》第1部分：信息技术安（ān）全概念和模型

信息系统安全保障理论模型和技术框架IATF

2.2 方（fāng）案建设（shè）思路

信（xìn）息安全等（děng）级保护的重点在于内网安全（quán）措施的（de）建设和落实，对于运营上来（lái）说，支撑系统作为运营商的内网，承担（dān）着公众（zhòng）通（tōng）信网络的管理职责，其（qí）各类支撑系统例如网管、计费、营帐、客服等等（děng），不仅与业务网络的配置调度、业务（wù）统计等有着密切的相关性（xìng），同（tóng）时还保有大量（liàng）的客（kè）户（hù）基础（chǔ）信息（xī），成为（wéi）实（shí）施（shī）信息安全（quán）等级保（bǎo）护的重要IT系统。

各类支撑系统的相关（guān）网络和应用系统伴随着（zhe）通信业务发展的需（xū）要逐步建设形成的，因为前期缺乏（fá）统（tǒng）一规划，经过多年（nián）的建设积累（lèi），形成网络结构复杂、层（céng）次不清、系统管理维护（hù）困难的（de）现（xiàn）状，网络的有效性和（hé）稳定性较低。出（chū）于运营商自（zì）身的安全需（xū）求，对支撑系（xì）统进行区（qū）域划分（fèn），并对区域（yù）进行有层次（cì）、有重点的保护是当前（qián）迫切（qiē）的需求。非常（cháng）一致的要求也出现在等级保护的文（wén）件上，等保规定，安（ān）全系（xì）统必（bì）须进行“结（jié）构安全（quán）与网段划分”，并针对边界进行“网络访（fǎng）问控制”、“ 边界完整性检查”以及（jí）“网（wǎng）络入侵防范”和“恶意代码防（fáng）范”等（děng）。

根据信息安（ān）全保障体系的建设（shè）思（sī）路，分为三个阶段，分别为基（jī）础完善阶段、增强（qiáng）和扩展阶段、整合建设阶（jiē）段，具体如下图：

图（tú）1信息安全保障体系（xì）的建设（shè）思路图（tú）

基（jī）础建（jiàn）设阶段：基础建设阶段：重点保（bǎo）护、强化管理。工作重点包括：安全域划分与实施、等级（jí）保（bǎo）护整改的设备采购、安全加固（gù）、等级保护测评等。

增（zēng）强与扩展阶段：安全拓展，自我优化。在技（jì）术体系建设的基础上，本阶段工作重点包括：定（dìng）期安全评估、信（xìn）息系统安全建设、系统上线检查、管（guǎn）理制度完善和推（tuī）广（guǎng）、技术层面其它（tā）加固等。

整（zhěng）合建（jiàn）设阶段：全面整合、平台实（shí）现（xiàn）。完善管理体系、技术体系、运维（wéi）体系，全（quán）面（miàn）建立信息（xī）安全保障体系。

三、方（fāng）案（àn）特色

1)建立（lì）信息安全纵深（shēn）防御（yù）机（jī）制，层层设防（fáng），提高信（xìn）息（xī）科技抗攻击的能力，有效保护生产和（hé）办公系统的安（ān）全性，完善管（guǎn）理（lǐ）体系、技术体系（xì）和运维体系。

2)安全域建设的成果不仅是全面（miàn）增强了运营商整体的安（ān）全性和（hé）制度性，更大的收获从长远的角（jiǎo）度去考虑了规划了未来发展的安全域管理（lǐ）模式。

3)通过评（píng）估手段发（fā）现（xiàn）的典型安全问题通过技（jì）术（shù）手段（duàn）进行解决，建立基本（běn）的安（ān）全（quán）技术框架，满足（zú）关键业（yè）务持续、稳定运行的基本（běn）要求（qiú）。