中国电信集团公司CTGMBOSS安全规范总册.doc

中国电信集团公司CTG-MBOSS安全规范总册

目 录

第 1 章 文档说明 1
1.1 编制说明 1
1.2 合用范围 1
1.3 起草单位 1
1.4 解释权 1
1.5 版权 1
()
第 2 章 综述 2
2.1 MBOSS所面临的安全挑战 2
2.1.1 安全组织管理 2
2.1.2 人员安全管理 2
2.1.3 应用开发安全管理 2
2.1.4 运维安全管理 2
2.1.5 用户管理 2
2.1.6 访问认证授权 3
2.1.7 网络安全 3
2.1.8 主机安全 3
2.1.9 终端安全 4
2.1.10 安全审计 4
2.1.11 容灾安全 4
2.2 MBOSS安全规范的目的愿景 4
2.3 改善MBOSS信息安全的关键环节 4
2.4 MBOSS安全规范设计依据 5
第 3 章 安全规范体系说明 6
3.1 安全规范指导原则 9
3.2 安全管理规范综述 9
3.3 安全技术规范综述 10
第 4 章 CTG－MBOSS安全规范实行 13
4.1 MBOSS安全规范演进计划 13
4.1.1 第一阶段：建立MBOSS安全服务平台基础设施 13
4.1.2 第二阶段：扩充MBOSS安全服务平台的功能 14
4.1.3 第三阶段：完善MBOSS安全体系 15
4.2 CTG－MBOSS安全架构的部署建议 15
4.3 CTG－MBOSS容灾备份 16
第 5 章 安全规范演进风险及应对 17
5.1 IT安全组织的建立 17
5.2 实行范围的控制 17
5.3 人力资源安排 18
5.4 员工对安全管理制度的接受 18
附录 1. 附录 19
附录1.1. 规范编制人员名单 19
附录1.2. 名词定义 19
附录1.3. 参考文献 20

第 1 章 文档说明
1.1 编制说明
本规范作为中国电信CTG-MBOSS规范的重要组成部分，为中国电信集团建设MBOSS信息安全体系提供依据。本规范的编制是在《CTG-MBOSS 总体规范 V2.0》的总体框架体系指导下，参考了已有的中国电信集团下发的安全政策文献，继承和吸取了原有安全管理实践的经验成果，并充足考虑了各省电信公司的现状和行业最佳实践与安全新技术的引入。本规范是MBOSS总体规范的组成部分，全面、概括地阐述了安全架构、安全管理、安全技术以及实行演进策略等内容。
1.2 合用范围
本规范合用于中国电信集团公司及下属省（市）电信公司进行MBOSS信息安全的规划和建设，为MBOSS系统相关的安全建设、升级改造、系统演进提供指导和依据。
1.3 起草单位
本规范的起草单位是中国电信集团公司。
1.4 解释权
本规范的解释权属于中国电信集团公司。
1.5 版权

第 2 章 综述
2.1 MBOSS所面临的安全挑战
2.1.1 安全组织管理
随着中国电信MBOSS的建设和发展，如何及时制定出信息安全的指导方针，研究和分析信息安全建设对中国电信业务发展的价值和影响，更好适应不断变化的组织形式，明确组织内部人员职责，以保障中国电信业务系统安全稳定地运营成为安全管理机构面临的最大挑战。
2.1.2 人员安全管理
据调查大部分的安全事件都来自公司的内部，商业间谍的存在，员工故意无意透露公司商业信息，员工在离职后泄露公司商业秘密及从事与公司有竞争利益的商业活动等，都暴露出公司在人员安全管理方面存在的问题。定期进行员工安全意识培训已经刻不容缓。
2.1.3 应用开发安全管理
随着中国电信MBOSS的发展，应用系统将面临诸多的安全威胁。身份认证的欺骗、用户权限的滥用、输入数据校验的异常、跨站点的代码袭击、缓冲区溢出等等，都对我们的应用开发提出了新的安全设计和防护规定。制定严格的编程规范和管理手段成为不能回避的问题。
2.1.4 运维安全管理
随着中国电信MBOSS系统各项业务对信息系统依赖限度逐渐提高，信息系统的复杂度急剧增长，从规划建设到系统运维阶段的安全建设都应遵循系统的生命周期进行设计，另一方面信息系统在运维过程中的安全问题变得更加突出，因此也提出了越来越高的安全运维规定;同时复杂的业务系统和异构的网络环境，增长了系统安全运维的难度。传统的单一、孤立的安全运维管理已越来越不适应中国电信CTG-MBOSS系统安全运维管理的需求，CTG-MBOSS系统安全运维管理应向综合安全运维阶段进行深刻转变。
2.1.5 用户管理
随着中国电信MBOSS系统的发展，用户数量的不断增长，网络规模迅速扩大，信息安全问题愈见突出，原有的用户管理措施已不能满足中国电信目前及未来业务发展的规定。
重要表现在以下方面：
假如MBOSS每个系统均拥有独立的用户管理系统，将会给同时维护多个应用系统的维护人员带来巨大工作量；
缺少账号生命周期管理机制，存在大量孤立账号，增长信息系统安全风险；
存在多人共用一账号现象，难以控制账号扩散范围，安全管理存在漏洞。且安全事故发生后，难以审计并定位到实际使用者；
帐号审计没有很好的流程来规范，进行帐号的生命周期管理，保证帐号安全。
2.1.6 访问认证授权
随着网络袭击技术的快速发展，CTG-MBOSS的访问认证授权面临着严峻的挑战，具体来说存在着也许导致较严重安全事件的几类问题，具体如下：
1．认证功能分散在各设备和系统中难以统一管理。
2．授权功能分散在各设备和系统中难以与业务规定相协调。
3．未建立统一的访问认证管理流程。
上述三个方面的问题也许导致较严重的安全事件，是CTG-MBOSS在访问认证授权方面的重要问题，会带来巨大的挑战。
2.1.7 网络安全
由于以往建设的网络系统在安全建设和安全互联方面考虑较少，随着信息技术、网络技术的快速发展，网络系统面临的安全威胁日益增长。
根据调研，CTG-MBOSS网络系统所面临的重要威胁除了物理袭击破坏外，还涉及恶意软件袭击、内部员工误用、黑客入侵破坏等几类。
因此，迫切需要开展网络安全研究，从整体安全防护、边界防护、网络安全架构及性能规划与MBOSS需求相适应、系统内部安全防护、安全审计等不同角度出发，制定安全防护原则和优化改造方案。使网络安全与网络系统“同步规划、同步建设、同步维护”。
2.1.8 主机安全
CTG-MBOSS中的主机系统作为信息存储、传输、应用解决的基础设施，其自身安全性涉及到系统安全、数据安全、网络安全等各个方面。作为CTG-MBOSS系统中重要的组成部分，各种业务系统主机数量众多，资产价值高，面临的安全风险极大。
一方面，主机是CTG-MBOSS系统各类业务系统数据的重要载体，这些业务数据是系统信息资产的重要组成部分；另一方面，病毒、木马等安全威胁很容易通过访问主机系统的终端渗透到后台各种业务应用和服务主机中，从而对CTG-MBOSS系统的整体安全带来危害。为此需要在终端和主机安全领域建立一套安全技术体系来保障其安全，从而进一步完善CTG-MBOSS的安全技术体系。
2.1.9 终端安全
终端作为一种比较分散的资产，长期以来难以进行集中的有效的管理；作为CTG-MBOSS的一个基本组件，面临病毒、蠕虫、木马、恶意代码的泛滥，不安全的终端也许成为一个被动的袭击源，对整个MBOSS系统构成威胁。公司内部应制定统一的终端安全策略、终端安全接入MBOSS策略，涉及补丁管理、终端审计等流程。
2.1.10 安全审计
随着中国电信CTG-MBOSS系统建设和发展，同时为满足萨班斯法案对于IT系统内部控制的规定，安全审计将成为一项重要的技术手段。但在具体的安全运维工作中，安全审计面临诸多挑战，重要体现在内部人员操作、第三方维护人员操作以及最高权限用户使用过程中。要建立一套完备的审计机制。

2.1.11 容灾安全
随着中国电信CTG-MBOSS系统建设和发展，需要根据国家的规定与电信MBOSS集中的特点考虑容灾的需求。
2.2 MBOSS安全规范的目的愿景
MBOSS安全规范的制定重要有以下三大目的愿景：
· 定义中国电信CTG-MBOSS安全管理体系的愿景,保证中国电信“从传统的固网运营商向综合信息服务提供商”的成功转型。
· 提供演进路线，在3-5年把中国电信建设成以风险管理为导向的成熟型公司。
· 采用管理与技术相结合的方法，促进CTG－MBOSS安全规划及规范的贯彻。
2.3 改善MBOSS信息安全的关键环节
中国电信MBOSS系统安全需要解决的关键问题，一方面，安全建设必须符合中国电信公司的战略转型和业务发展，必须保证业务发展；另一方面，安全体系应符合国家各种法律法规中对于安全的规定，特别是满足内控的规定，并且对其中有针对性的规定进行重点建设；再次，充足考虑MBOSS系统在目前运营中对于安全建设的规定和需求；最后，系统安全应规避和减少目前系统存在的威胁和风险。
综上所述，中国电信MBOSS系统安全规范需要解决的问题如下：
1. 在中国电信内部控制手册的基础上，建立完善的CTG-MBOSS系统的整体安全规划，实现安全基础设施建设有序地建设，保证用于IT安全的投资应不少于IT投资的10％。
2. 建立专职的信息安全管理组织，建立安全岗位，明确安全管理职责，结束目前的“权力分散，缺少统一，兼职为主”的局面。
3. 根据集团和各省公司具体情况，制定各省公司的MBOSS公司安全架构和实行计划，彻底改变以往孤立部署各种安全产品的状况。
4. CTG-MBOSS系统中信息安全的规定，加强对系统用户的管理、用户的访问认证、授权、访问控制。
5. 建立集中IT安全服务、监控平台，提供技术手段固化安全政策、标准和流程，及时监控IT安全状况。明确该平台做为公司负责IT安全的对内对外的接口。
6. 加强CTG-MBOSS系统边界访问方式、安全区域内部、安全区域间的防护；对现有的IT基础设施进行IT安全加固，消除安全隐患。特别是相应用的定期安全检查。
7. 加强CTG-MBOSS系统与客户自服务安全交互访问接口的安全性；在省公司统一规划和建设与公网的接口，堵截安全漏洞。
8. 在系统开发过程中，加入安全管控点，保证新实行的系统能满足安全规范。
9. 加强CTG-MBOSS系统的安全集中管理的能力，实现全面的安全集中运维管理。
10. 建立CTG-MBOSS系统容灾建设，建立业务系统连续性发展和建设计划、环节和具体保障手段。
2.4 MBOSS安全规范设计依据
定义CTG-MBOSS安全体系的愿景：采用管理与技术相结合的方法，在3-5年内把中国电信建设成以风险为导向的成熟型公司，保证中国电信的成功转型。
CTG－MBOSS安全规范的设计依据重要来源在五个方面：
· 中国电信的战略转型的驱动，
· 中国电信IT内控的规定，
· MBOSS的安全现状和评估，
· 法律法规对信息安全的规定，
信息安全的最佳实践和实行经验。
第 3 章 安全规范体系说明
CTG-MBOSS是支撑中国电信公司运营和管理的信息化架构，是集团和各省公司公司信息化建设的愿景，由方法论、功能和系统架构、管控架构以及规范体系等部分构成。安全规范是CTG－MBOSS规范体系的扩充。

图 31 CTG-MBOSS安全规范与CTG－MBOSS规范体系的关系

CTG-MBOSS安全规范是对现有的CTG－MBOSS规范体系的扩充。安全规范是由两个部分组成，分别对安全管理规范和安全技术规范两个方面进行了设计。
在安全管理体系方面，制定了安全策略，涉及组织安全管理架构，人员安全管理、应用开发安全管理和运维安全管理等四个方面所需遵循的IT安全标准和指导方针，帮助中国电信不断提高IT安全管理能力。
CTG－MBOSS安全规范将建立在中国电信公司信息安全架构模型，该模型将公司安全能力划提成7个层次。

图 32 CTG－MBOSS安全规范信息安全架构模型

· 原则：描述信息安全的业务需求价值
· 政策：描述信息安全的目地、方向、愿景及责任
· 安全标准：信息安全实行规则，涉及技术、方法及其它细节
· 流程：跨部门实行政策标准的活动、工作及程序
· 作业指南：描述个人在流程上的具体工作
· 架构：信息安全技术如何结合的细节
· 产品建议：信息安全解决方案所选的产品及工具
基于以上MBOSS面临的IT安全挑战，MBOSS安全规范将参考ISO17799重要在IT安全管理体系，IT安全技术架构两个方面进行了考虑。

图 33 CTG－MBOSS安全规范文档结构

管理规范的设计思绪：从MBOSS应用的开发、维护考虑安全面的管理规定出发，考虑如下：
· 组织架构：结合公司信息化部当前的组织架构及职责，定义负责MBOSS安全的组织架构设立原则，指导机构的设立，及相关的岗位职能。
· 人员安全：考虑对MBOSS运维人员的管理及考核，对MBOSS的第三方开发人员的管理与监督
· 应用开发安全：应用开发过程中的安全规定
· 运维安全：针对MBOSS在运维中的安全需求，为规范平常运维工作而定义了相关的工作流程，其中工作流程按技术体系进行分类。
技术规范的设计思绪：从用户对MBOSS数据的访问流程考虑安全面的技术规定出发，考虑如下：
· 用户管理：对访问MBOSS用户的集中管理
· 访问认证：对访问MBOSS用户的集中授权
· 网络安全：承载MBOSS的DCN、中间件、数据库的安全规定
· 主机安全：承载MBOSS的主机与数据存储的安全规定
· 终端安全：访问MBOSS的终端及其接入DCN的安全规定(含VPN方式）
· 安全审计：定义MBOSS在运维过程中的安全检测点及规定
· 容灾备份：对MBOSS的应用及与数据存储的备份规定
3.1 安全规范指导原则
在安全规范的具体编制过程中，充足考虑了以下安全指导原则:
· 集中管理、集中审计
MBOSS应采用以省为单位的集中安全管理和集中安全审计设计原则，以提高系统安全运营的效率和效果。
· 最少的特权
在保证能完毕其工作任务时，赋予用户（涉及个人、应用或其它主体）最少的特权和必需的权限。
· 提倡分层分区的防卫
MBOSS的安全不能建立在单一的安全机制上。网络应根据所承载的系统进行分层分区，分区域后的网络能得到额外的安全保护和控制。
· 减少最弱环节
在设计中要辨认、避免或监视任何也许的弱点，并定期进行弱点扫描与评估。MBOSS 的安全限度取决于系统的最薄弱环节，黑客往往寻找公司的最弱点进行袭击。
· 简洁的安全解决方案
实行安全解决方案，一个复杂的系统往往增长了安全漏洞存在的也许性。
· 防外和防内并重
在所有袭击中，内部袭击占据了很大的一部分，安全解决方案应能同时承担内部和外部威胁的防范，安全设施的实行应不考虑威胁源的差异－不管来自何方的访问，关键信息资源需要提供额外的认证和授权。
· 考虑系统的实际生产状态
MBOSS系统安全规范建设涉及多方面的安全策略及内容，因此根据各系统实际的生产状态，采用相应的规范。
3.2 安全管理规范综述
本安全管理规范给出了CTG-BOSS系统启动、实行、保持和改善信息安全管理体系的指南和一般原则。本规范列出的目的为系统通常所接受的信息安全管理提供了指导。
本管理规范的控制目的和控制措施的实行旨在满足以风险为导向所辨认的安全规定。本标准可作为建立CTG-BOSS系统安全准则和有效安全管理的实用指南，可认为是CTG-BOSS系统开发其具体指南的起点。
对CTG-BOSS系统来说，虽然本安全管理规范中的所有控制措施都是重要的并且是应被考虑的，但是省公司应根据其CTG-BOSS系统所面临的具体风险来拟定任何一种控制措施是否合适,不能取代基于系统风险评估而选择的控制措施。
本规范由四个部分组成：组织安全管理分册、人员安全管理分册、运维安全管理分册、应用开发安全管理分册。其中组织安全管理分册和人员安全管理分册是本安全管理规范的基础。
组织安全管理分册明确指出CTG-BOSS系统应建立起决策层、管理层和执行层三层工作关系，建立由各单位重要负责人组成的信息安全领导小组，目的是明确信息安全主管领导，贯彻信息安全管理部门，建立信息安全执行岗位，明确职责；管理的本质是对人的监管，人员安全分册从信息安全的角度对CTG-MBOSS系统的使用用户行为进行了规范，该分册从人员入职、在职、离职以及第三方人员安全管理四个方面管理和控制CTG-MBOSS系统使用用户的不安全行为，防止安全事件的发生。
在前两个分册的基础上，结合CTG-MBOSS系统现阶段的防护重点、安全现状,安全管理规范从系统运维安全和应用开发安全两个方面对CTG-MBOS系统进行了系统规范，系统运维安全分册从信息资产、口令、电子文档、系统应急、安全审计、风险评估等方面对运维过程中的重要管理问题进行了阐述，希望通过该分册的制定和执行，建立CTG-MBOSS系统内部安全运维螺旋上升的PDCA循环；
应用开发安全分册从应用系统安全基本需求出发，对系统承载的业务数据和应用系统自身提出了安全管理规定，并从系统开发、对外控制、安全性测试、系统部署几个方面相应用系统开发过程中碰到的安全管理问题的控制进行了规范。
3.3 安全技术规范综述
安全技术规范的设计是从中国电信安全需求出发，依据项目总体原则、最佳实践及IT安全架构设计原则，以安全能力、安全服务满足需求。通过对安全服务模块及其功能模块的设计和实行，建立中国电信安全技术架构，提供整个公司的IT安全服务和能力。
中国电信总体安全技术架构
根据中国电信的需求、以及安全架构设计原则及最佳实践，本项目所设计的中国电信安全技术架构将涉及以下的服务模块及功能模块。

图 34 CTG－MBOSS安全技术架构
中国电信 IT安全架构将具有以下功能：
l 集中的用户管理：通过用户帐号管理系统，实行统一的的用户管理策略。根据用户组别及用户管理策略，可集中授予用户对各应用、系统的的访问权限。集中用户身份管理将提供公司级的用户目录数据库。它的任何变化（如更改、删除）都会被同步到其他系统的用户目录中。集中的用户身份管理功能为实行统一用户管理政策提供了也许。
l 集中认证授权：通过集中认证平台实现对各应用访问的集中认证和访问授权。认证平台基于访问用户的宏观属性（用户辨认符、目的应用系统名称、认证所采用信任度）和访问政策实现对各应用访问的集中认证和应用的入口级的访问授权。并提供了多应用系统的单点登录的功能。
l 集中安全审计：通过集中的事件管理平台为监测及解决安全事件提供有效的工具。通过采集应用、系统、网络中稽查记录以及收集所部署的安全检测设备的事件来实现对日记、事件的集中收集、集中解决、集中分析、报告。
l 网络安全改造：目的是实现信息资产的保护。为了保护资产免于也许受到的威胁，在资产和不被信任的机构之间设立保护机制，将资产与那些危险的代理隔离。 对于希望使用相同安全控制的一组资产，可以把他们划为一个“域”。通过安全域的设计，限制除通过可接受的安全接口之外的访问。
l 主机安全改善：为服务器的安全符合性检查和控制提供手段。集中检查服务器的安全符合性情况，并根据安全策略采用后续的手段来限制主机的访问和操作。
l 终端安全改善：为终端的安全符合性检查和控制提供手段。集中检查终端设备的安全符合性情况，并根据安全策略采用后续的手段来限制终端对网络的访问(网络的准入控制)。通过集中的补丁管理提供终端符合性的手段。
l 容灾备份中心: 为CTG-MBOSS系统提供风险防止机制和劫难恢复措施，在保证数据安全的基础上提高业务连续运营能力，减少公司运营风险，将业务损失减少到可接受的限度，提高服务质量和服务水平，增强公司竞争力。
下图描述了MBOSS安全服务平台域MSS、BSS、OSS的整合，和它们之间的信息传递关系：

图 35 CTG－MBOSS与MSS、BSS、OSS的整合

第 4 章 CTG－MBOSS安全规范实行
4.1 CTG-MBOSS安全规范实行演进计划

图 41 CTG－MBOSS安全规范演进规划

4.1.1 第一阶段：建立MBOSS安全服务平台基础设施
通过第一阶段的实行，建立起MBOSS安全服务体系的基础设施。规定达成以下目的：
1. 建立MBOSS的安全管理体系：
· 建立MBOSS安全管理组织，
· 实行人员安全管理规范、对员工进行个人安全教育，
· 推广实行MBOSS运维安全管理规范，
· 推广并实行MBOSS应用开发安全管理规范。
2. 制定各省公司的MBOSS安全架构与总体解决方案（Enterprise Security Architecture）
3. 网络安全改善－网络改善规定取得以下的结果：
· 按照网络安全规范的规定，根据不同的安全规定，建立相应的安全区域。
· 网络安全区域的划分，要与MBOSS应用数据流相结合
· 不同的安全区域要用采用相应的隔离手段，并在网络上部署入侵检测或防御手段。
· 建立统一的外网访问出口，逐步关闭部门自主部署的互联网访问出口。
4. 主机安全管理：
· 建设主机安全管理基础设施，定义主机安全策略，实行对MSS、BSS、OSS系统主机的安全管理。
· 实行基于主机的系统补丁管理
· 实行基于主机的主机加固和审计系统、防病毒系统、防恶意代码工具，及相应安全代理的部署
· 实行基于主机的袭击防护系统的部署
5. 集中安全审计平台：
· 建设集中安全审计平台
· 实现对BSS关键系统的安全审计整合，涉及BSS应用、服务器操作系统和数据库，DCN关键网络设备。
· 能对BSS关键系统（应用、操作系统和数据库）安全进行监控和记录报告。
6. 集中用户管理平台：
· 建设集中用户管理平台，建立公司级的目录服务
· 实现对MSS系统的用户管理整合，
· 制定和实行MSS应用系统用户管理流程，
· 实现对MSS系统的用户管理。
7. 终端安全管理：
· 实行终端安全管理基础设施，
· 实行省公司终端的防火墙和防病毒软件的部署，
· 实行对省公司终端的网络准入控制，与公司的目录服务结合，实现授权准入。
8. 容灾中心设计
· 容灾方案拟定，
· 容灾选址完毕，
· 容灾架构设计完毕
4.1.2 第二阶段：扩充MBOSS安全服务平台的功能
通过扩充MBOSS信息安全服务平台的功能，规定达成以下目的：
1. 继续第一阶段的工作，完善MBOSS的安全管理体系。
2. 集中用户管理平台：
· 将集中用户管理平台与BSS和OSS系统整合，
· 制定和实行BSS和OSS系统的用户管理流程，
· 实现BSS和OSS系统用户的集中管理。
3. 集中访问认证平台：
· 将集中访问认证平台与BSS和OSS系统整合，
· 制定和实行BSS和OSS系统的用户管理流程，
· 实现BSS和OSS系统用户的集中访问控制。
4. 集中安全审计平台：
· 以实现对MSS和OSS关键系统的安全审计整合，涉及应用、操作系统和数据库。
· 能对MSS和OSS关键系统（应用、操作系统和数据库）安全进行监控和记录报告。
5. 终端安全管理：
· 实行对本地网用户终端的安全管理。
6. 容灾中心建设：
· 容灾中心建设完毕，
· 能接受各分公司BSS关键系统的容灾和数据备份。
4.1.3 第三阶段：完善MBOSS安全体系
通过MBOSS安全体系的完善，规定达成以下目的：
1. 继续第二阶段的工作，完善MBOSS的安全管理体系。
2. 集中访问认证平台：
· 实行对非B/S架构系统的访问认证
3. 容灾中心扩充：
· 对容灾中心的容量逐步扩充，使之所保护的相应的省公司关键业务系统，
· 可容纳MSS、BSS、OSS关键系统的备份和容灾。
4.2 CTG－MBOSS安全架构的部署建议
安全服务平台将部署在集团、省公司和本地网三个层次。集团和省公司的部署基本上是相同的，本地网尽部署少量的模块。

4.3 CTG－MBOSS容灾备份
CTG-MBOSS容灾系统是业务运营支撑系统的有机组成部分，容灾备份时CTG－MBOSS安全规范的一个不可缺省的部分。各省公司要保证MBOSS关键系统的业务连续性。
由于容灾备份中心的建设费用非常髙，中国电信总部将根据ITSP2.0,统一建设和部署、建设6个容灾中心。
第 5 章 安全规范演进风险及应对
结合中国电信MBOSS的实际情况，规范编写组认为解决方案的推广实行也许会存在如下的风险：
5.1 IT安全组织的建立
根据解决方案的设计，IT安全组织将在开发阶段成立。同时IT安全组织在整个项目中也扮演着重要角色，对于解决方案的推广实行和IT安全的连续管理至关重要。因此，IT安全组织建立的延迟或偏差都会对解决方案的实行效果带来不利影响。
l 管理方面影响
安全管理制度的制定得不到相关安全组织的配合，使制度的可操作性受到影响，同时也不运用制度的更新、维护。
安全管理制度的理解受到影响，不利于制度传承和宣导。
l 技术方面的影响
技术方案的实行缺少充足的人员参与，使人员安全技能得不到相应锻炼和提高，影响到之后的安全技术维护和改造。
l 应对措施
与领导层充足沟通IT安全组织的设计思绪，结合现状充足考虑安全组织的可贯彻性。在安全组织方案获得通过后，通过设立安全组织建立计划来跟踪安全组织的建立进展。

5.2 实行范围的控制
IT安全治理是一项长期的，循序渐进的艰巨任务。正由于如此，规范编写组通过度析中国电信MBOSS IT安全需求结合中国电信MBOSS 实际现状，提出了分3个阶段实行的解决方案，将安全需求最迫切的相应解决方案放在本项目实行范围内实行。而在实际推行过程中的过于贪大求全不仅会影响项目的实行进度，并且会对项目的实行效果产生不利影响。
应对措施：在解决方案中充足考虑需求的紧迫性和方案的可实行性，通过两者的结合来拟定方案实行的优先级，同时运用外部资源、及工作范围控制来保证高优先级的方案得以优质的实行，从而保证项目的实行进度及实行效果。
5.3 人力资源安排
由于IT安全解决方案的推广实行牵涉到管理和技术不同的层面，范围覆盖到中国电信集团及所有省电信公司，具有点多面广，实行周期长且复杂的特点，需要投入大量的人力资源。因此，假如在实行过程中人力资源的安排得不到足够保证的话，必然会对项目的实行进度及实行效果产生严重影响。
应对措施：
l 在管理层面，由于开发阶段将开发众多的管理流程及指南，为保证管理流程的顺利实行，应当在开发阶段就制定相关流程指南的负责人并参与开发，在推广实行阶段由相关负责人协助项目组进行推广实行。
l 在开发阶段根据解决方案及试点推广计划对方案推广所需的人力资源进行分析，明确提出人力资源计划，并与中国电信MBOSS项目组及相关部门充足沟通，保证所需资源的安排保障。
5.4 员工对安全管理制度的接受
由于安全管理制度实行，会对员工平常对IT系统使用提出了新规定，需要员工从原有的惯性行为上进行改变，因此，假如员工对安全管理制度不够理解和接受，会对安全制度贯彻导致不利影响。
应对措施：
通过安全意识的培训增强员工对安全风险的结识，提高安全防范工作的积极性；与高层领导充足沟通，保证安全制度的实行力度
附录 1. 附录
附录1.1. 规范编制人员名单
【总编】

【副总编】

【项目管理办公室】

【专家组】
【项目组】
陈凡（IBM）、万涛（IBM）、徐欢（IBM）、孙铁（绿盟）、游顺刚（启明）、李全安（安氏）、李宗洋（安氏）、古树生（天融信）、宾明（中兴）、何欣（启明）、崔宗军（天融信）、万慧星（绿盟）、刘利锋（华为）、张志锋（华为）、冯朝明（IBM）、武文彬（IBM）、元新华（IBM）

附录1.2. 名词定义
术语名称
术语定义

附录1.3. 参考文献
在本规范的编写过程中，参考了以下资料：