IT运维信息安全专项方案.docx

8.3 IT运维信息安全处理方案8.3.1安全运维关键性伴随信息安全管理体系和技术体系在企业领域信息安全建设中不停推进，安全运维占信息系统生命周期70% - 80%信息，而且安全运维体系建设已经越来越被广大用户重视。尤其是伴随信息系统建设工作从大规模建设阶段逐步转型到“建设和运维”并举发展阶段，运维人员需要管理越来越庞大IT系统这么情况下，信息安全运维体系建设已经被提到了一个空前高度上。它不仅单单是一个体系建设，更是IT系统管理中扎实基础。运维服务发展趋势对于企业安全运维服务管理发展，通常能够将其分为混乱阶段、被动阶段、主动阶段、服务阶段和价值阶段这五个阶段。1、在混乱阶段：运维服务没有建立综合支持中心，也没有用户通知机制；2、在被动阶段：运维服务开始关注事件发生和处理，也开始关注信息资产，拥有了统一运维控制台和故障统计和备份机制；3、在主动阶段：运维服务建立了安全运行定义，并将系统性能，问题管理、可用性管理、自动化和工作调度作为关键；4、在服务阶段，运维服务工作中已经能够支持任务计划和服务等级管理；5、在价值阶段，运维服务实现了性能、安全和关键几大应用紧密结合，表现其价值所在。8.3.2信息安全概念8.3.2.1信息安全定义 信息安全概念在二十世纪经历了一个漫长历史阶段，90年代以来得到了深化。进入二十一世纪后，伴随信息技术不停发展，信息安全问题也日显突出。怎样确保信息系统安全已经成为了全社会关注问题。国际上对于信息安全问题研究起步较早，投入力度大，已取得了很多结果，并得以推广应用。中国现在也已经有一批专门从事信息安全基础研究、技术开发和技术服务工作研究机构和高科技企业，形成了中国信息安全产业雏形。 相关信息安全定义也有很多，中国学者和国外学者、不一样社会组织也给出了不一样定义。 中国学者定义：“信息安全保密内容分为：实体安全、运行安全、数据安全和管理安全四个方面。” 中国“计算机信息系统安全专用产品分类标准”中定义是：“包含实体安全、 运行安全和信息安全三个方面。” 中国相关立法给出定义是：“保障计算机及其相关和配套设备、设施（网络）安全，运行环境安全，保障信息安全，保障计算机功效正常发挥，以维护计算机信息系统安全”。这里面包含了物理安全、运行安全和信息安全三个层面。 国家信息安全关键试验室给出定义是：“信息安全包含到信息机密性、完整性、可用性、可控性。综合起来说，就是要保障电子信息有效性。” 英国BS7799信息安全管理标准给出定义是：“信息安全是使信息避免一系列威胁，保障商务连续性，最大程度地降低商务损失，最大程度地获取投资和商务回报，包含是机密性、完整性、可用性。” 美国国家安全局信息保障主任给出定义是：“因为术语信息安全一直仅表示信息机密性，在国防部我们用信息保障来描述信息安全，也叫IA。它包含5种安全服务，包含机密性、完整性、可用性、真实性和不可抵赖性。” 国际标准化委员会给出定义是：“为数据处理系统而采取技术和管理安全保护，保护计算机硬件、软件、数据不因偶然或恶意原所以遭到破坏、更改、显露”。8.3.1.2信息安全目标 机密性 Confidentiality 完整性 Integrity 可用性 Availability 可控性 controllability 真实性 Authenticity 不可否认性 Non-repudiation8.3.1.3信息安全范围 帐号口令管理 系统基线配置安全管理 系统漏洞安全管理 终端安全管理 安全审计管理 用户信息安全管理 业务安全管理 安全检验和维护作业8.3.2 安全运维定义通常安全运维包含两层含义：一是指在运维过程中对网络或系统发生病毒或黑客攻击等安全事件进行定位、防护、排除等运维动作，保障系统不受内、外界侵害。二是指对运维过程中发生基础环境、网络、安全、主机、中间件、数据库乃至关键应用系统发生影响其正常运行事件（包含关联事件）通称为安全事件，而围绕安全事件、运维人员和信息资产，依据具体步骤而展开监控、告警、响应、评定等运行维护活动，称为安全运维服务。现在，大多数企业还停留在被动、传统意义上安全运维服务，这么安全运维服务存在着以下弊端：1）、出现故障纵有众多单一厂商管理工具，但无法快速定位安全事件，忙于“救火”，却又不知火因何而“着”。时时处于被动服务之中，无法提供量化服务质量标准。2）、企业信息系统管理仍在依靠各自“业务骨干”支撑，缺乏对应步骤和知识积累，过多依靠于人。3）、对安全事件缺乏关联性分析和评定分析，而且没有对安全事件定义明确处理步骤，更多是依靠人经验和责任心，缺乏必需审核和工具支撑。正是因为现在运维服务中存在弊端，XX股份依靠长久从事应用平台信息系统运维服务经验，同时结合信息安全保障体系建设中运维体系建设要求，遵照ITIL（最好实践指导）、ISO/IEC 27000系列服务标准、和中国移动广东企业管理支撑系统SOA规范等相关标准，建立了一整套完善和切实可行信息安全运维服务管理建设方案。8.3.3 XX股份运维五大架构体系8.3.3.1建立安全运维监控中心基于关键业务点面向业务系统可用性和业务连续性进行合理布控和监测，以关键绩效指标指导和考评信息系统运行质量和运维管理工作实施和实施，XX股份帮助用户建立全方面覆盖信息系统监测中心，并对各类事件做出快速、正确定位和展现。实现对信息系统运行动态快速掌握，和运行维护管理过程中事前预警、事发时快速定位。其关键包含：1、集中监控：采取开放、遵照国际标准、可扩展架构，整合各类监控管理工具监控信息，实现对信息资产集中监视、查看和管理智能化、可视化监控系统。监控关键内容包含：基础环境、网络、通信、安全、主机、中间件、数据库和关键应用系统等。2、综合展现：合理计划和布控，整合来自多种不一样监控管理工具和信息源，进行标准化、归一化处理，并进行过滤和归并，实现集中、综合展现。3、快速定位和预警：经过同构和归并信息，将依据预先配置规则、事件知识库、关联关系进行快速故障定位，并依据预警条件进行预警。8.3.3.2 建立安全运维告警中心基于规则配置和自动关联，实现对监控采集、同构、归并信息智能关联判别，并综合展现信息系统中发生预警和告警事件，帮助运维管理人员快速定位、排查问题所在。同时，告警中心提供了多个告警响应方法，内置和事件响应中心工单和预案处理接口，可依据事件关联和响应规则定义，触发对应预案处理，实现运维管理过程中突发事件和问题处理自动化和智能化。相关事件基础库维护：它是事件知识库基础定义，内置大量标准事件，按事件类型进行合理划分和维护管理，可基于事件名称和事件描述信息进行归一化处理配置，定义了多源、异构信息同构规则和过滤规则。相关智能关联分析：它是借助基于规则分析算法，对获取各类信息进行分析，找到信息之间逻辑关系，结合安全事件产生网络环境、资产关键程度，对安全事件进行深度分析，消除安全事件误报和反复报警。相关综合查询和展现：它实现了多个视角故障告警信息和业务预警信息查询和集中展现。相关告警响应和处理：它提供了事件生成、过滤、短信告警、邮件告警、自动派发工单、开启预案等多个响应方法，内置监控界面图形化告警方法；提供了和事件响应中心智能接口，可基于事件关联响应规则自动生成工单并触发对应预案工作流进行处理。8.3.3.3 建立安全运维事件响应中心借鉴并融合了ITIL（信息系统基础设施库）/ITSM（IT服务管理）优异管理规范和最好实践指南，借助工作流模型参考等标准，开发图形化、可配置工作步骤管理系统，将运维管理工作以任务和工作单传输方法，经过科学、符适用户运维管理规范工作步骤进行处理，在处理过程中实现电子化自动流转，无需人工干预，缩短了步骤周期，降低人工错误，并实现对事件、问题处理过程中各个步骤追踪、监督和审计。其中包含以下五大方面：1.图形化工作流建模工具：实现预案建模图形化管理，简单易用预案步骤创建和维护，简练工作流仿真和验证。2可配置预案步骤：全部运维管理步骤均可由用户自行配置定义，即可实现ITIL/ITSM关键运维管理步骤，又可依据用户实际管理要求和规范，配置个性化任务、事件处理步骤。3.智能化自动派单：智能规则匹配和处理，基于用户管理规范自动处理，降低事件、任务提议四处理延时，和人工派发误差。4.全程事件处理监控：实现对事件响应处理全过程跟踪统计和监控，依据ITIL管理提议和用户运维要求，对事件处理响应时限和处理时限监督和催办。5.事件处理经验积累：实现对事件处理过程立案和综合查询，帮助用户在处理事件时查找历史处理统计和步骤，为运维管理工作积累经验。8.3.3.4 建立安全运维审核评定中心安全运维审核评定中心含有对信息系统运行质量、服务水平、运维管理工作绩效综合评定、考评、审计管理三大功效。1.评定功效：遵照国际和工业标准及指南建立平台运行质量评定框架，经过评定模型使用户了解运维需求、认知运行风险、采取对应保护和控制，有效确保信息系统建设投入和运行风险平衡，系统地确保信息化建设投资效益，提升关键业务应用连续性。2.考评功效：在评价过程中避免主观臆断和片面随意性，能够实现工作量、工作效率、处理考评、状态考评等一个客观评价功效。3.审计功效：是以跨平台多数据源信息安全审计为框架，以电子数据处理审计为基础信息审计系统。关键包含：系统步骤和输入输出数据和数据接口完整性、合规性、有效性、真实性审计。8.3.3.5 以信息资产管理为关键 IT资产管理是全方面实现信息系统运行维护管理基础，提供丰富IT资产信息属性维护和立案管理，和对业务应用系统立案和配置管理。基于关键业务点配置关键业务基础设施关联，经过资产对象信息配置丰富业务应用系统运行维护内容，实现各类IT基础设施和用户关键业务有机结合，和全方面综合监控。这其中包含：综合运行态势：是全方面整合现有各类设备和系统各类异构信息，包含网络设备、安全设备、应用系统和终端管理中多种事件，经过分析后综合展现界面，重视对信息系统运行状态、综合态势宏观展示。系统采集管理：以信息系统内多种IT资源及各个关键业务系统监控管理为根本，采集相关异构监控系统信息，经过对不一样起源信息数据整合、同构、规格化处理、规则匹配，生成面向运行维护管理事件数据，实现信息共享和标准化。系统配置管理：从系统容错、数据备份和恢复和运行监控三个方面着手建立本身运行维护体系，采取平台监测器实时监测、运行检测工具主动检验相结合方法，构建一个安全稳定系统。8.3.3.6 安全管理标准1）、XX股份负责业务支撑中心安全、保密管理工作，遵守南方基地已经有各项安全要求，以此为基础制订具体安全管理实施措施，并采取合适方法确保相关方法有效实施。2）、XX股份定时检验安全、保密要求实施情况；3）、XX股份定时组织系统病毒检验，并对此负责；4）、XX股份立即向信息技术中心反应存在安全隐患。8.3.3.7保密标准1）、XX股份严格遵守南方基地各项安全保密制度，加强服务工程师保密意识，制订有效管理制度。2）、XX股份整理方法和技术方法，预防关键数据、文件、资料丢失及泄漏。3）、XX股份相关计费清单、用户资料、业务数据、关键文件等均属机密，不得任意抄录、复制及带出机房，也不得转告和工作无关人员。4）、机房内关键文件、数据文件销毁方法为文件送入碎纸机，不得随意丢弃。5）、安全保密工作XX股份安排专员负责，定时向XX信息技术中心提交安全工作汇报。8.3.4 信息安全要求8.3.4.1帐号口令管理 账号口令管理要求根据“谁主管，谁负责”标准，业务系统责任部门负责根据本措施管理企业内部人员及第三方协维人员在系统应用层帐号。由企业各部门分别维护管理操作系统层和应用层系统，并分别作为各层帐号管理部门。各层帐号管理部门各自负责本部门职责层面内帐号审批及授权管理，推进制订帐号审批步骤、表格模版等并落实责任人，监督落实帐号申请表、用户帐号记录表维护管理。各层帐号管理部门各自负责本部门职责层面内帐号审批、创建及删除、权限管理和口令管理要求实施情况审核机制，接收定时审核。用户需根据帐号审批步骤向各责任部门申请所需帐号、修改权限或撤销帐号。在帐号审批成功并创建后，应对帐号口令进行定时修改。并应做到严格保护帐号口令，不得有意泄露，不然需负担由此造成安全问题责任。 帐号管理人员逻辑分类岗位职责包含相关统计部门责任人1、需对相关授权表进行审批授权签字，每三个月需复核审批；2、需对职员变动情况进行审批；3、需对远程维护接入申请进行审批系统层/应用层超级管理员：1、 系统层超级管理员：按各系统进行设置2、 应用层超级管理员：按业务应用管理进行设置系统/应用程序最高权限管理员，负责管理所辖系统帐号分配和管理，需要部门责任人对其进行授权。系统层超级管理员、应用层超级管理员需由部门领导分别进行授权，不一样系统能够兼任。系统层/应用层一般用户：系统维护、应用操作实施人员，为一般维护人员及第三方人员，只能申请本身帐号进行操作，不能进行帐号分配管理。安全管理员、安全审计员： 负责所辖各系统及设备信息安全管理工作。每个月检验信息安全管理实施情况，汇总安全分析汇报；和系统层超级管理员、应用层管理员需职责分离。 超级管理员帐号管理步骤管理步骤管理要求开 始申请人填写超级管理员授权表YN审批并授权NY对系统超级管理员清单每三个月进行复核并签字确定。Y授权使用期内各业务系统层/应用层超级管理员由申请人填写系统超级管理员授权表。部门经理审批并进行授权。授权使用期内，部门经理对超级管理员清单进行复核并签字确定。 内部帐号创建/变更步骤管理步骤管理要求开 始申请人填写系统帐号创建/变更申请表YN申请人部门责任人审核NY系统管理员在系统中创建帐号或进行权限修改。系统责任部门责任人书面审批Y内部职员需要增加帐号或进行权限变更时，由申请人填写系统帐号创建/变更申请表。提交所在部门责任人进行权限职责相容性审核。申请部门完成审核后，转发系统责任部门责任人进行书面审批。书面审批经过，由系统超级管理员在系统中创建帐号或进行权限修改。 第三方帐号管理步骤管理步骤管理要求开 始和第三方厂商签署安全保密协议。Y合作引入部门填写系统帐号创建/变更申请表YY系统管理员在系统中创建帐号或进行权限修改。系统责任部门责任人书面审批NNY部门责任人审核如存在第三方企业人员需要建立帐号情况，应和第三方厂商签署相关安全保密协议。保密协议应注明拥有帐号列表及相关保密责任，以合理确保第三方厂商能够实施中国移动安全管理要求和职责不相容要求。第三方企业需要增加一般帐号或进行权限变更时，由合作引入部门填写系统帐号创建/变更申请表。提交所在部门责任人进行权限职责相容性审核。申请部门完成审核后，转发系统责任部门责任人进行书面审批后。系统超级管理员在系统中创建帐号或进行权限修改。 系统预设帐号管理步骤管理步骤管理要求开 始对接口程序、脚本或相关设置进行加密保留，严禁使用简单密码。N系统管理员提交预设帐号清单及使用人员清单。系统责任部门责任人对预设帐号清单每三个月进行复核并签字确定。YY系统责任部门责任人进行书面审批授权。对于部分因系统、接口原因在系统中预设用户帐号，系统责任部门应对接口程序、脚本或相关设置进行加密保留，严禁使用简单密码。因系统原因不能进行加密保留，系统管理员需提交预设帐号清单及使用人员清单。系统责任部门责任人进行书面审批授权。系统责任部门责任人每三个月进行复核签字确定，如发觉多出或不合适账号应进行立即调整。8.3.4.2系统基线配置安全管理 基线配置安全要求依据管理信息系统安全基线规范V2.0等管理规范和要求，企业各业务平台操作系统、数据库、服务器中间件、帐号权限分配和配置策略、防火墙需根据该规范进行配置。定时组织相关检验人员按时对各业务系统进行安全基线配置检验，对检验中存在风险系统发出整改通知书，督促其立即进行整改，并依据整改反馈进行复查，对业务系统上线前进行基线配置安全检验工作，存在有安全风险系统必需进行限期整改，验收合格后才能上线。 基线配置安全检验步骤管理步骤管理要求开 始信息安全管理部门提议基线配置安全检验（复查）步骤Y各业务系统责任人协调人员进行现场配合存在风险系统依据整改通知进行整改加固YY信息安全管理部门按工作计划提议基线安全检验步骤并OA通知具体系统责任人 各系统责任人收到OA邮件后，协调安排配合人员进行现场配合信息安全管理部门依据检验结果，对存在风险系统发出整改通知，系统责任人收到整改通知后安排对风险进行整改加固，并反馈整改情况，信息安全管理部门收到反馈结果组织复查。8.3.4.3系统漏洞安全管理 系统漏洞安全要求定时对企业各生产系统进行操作系统、数据库、中间件、Web网站等进安全漏洞检验，对检验中存在漏洞系统发出整改通知书，督促其立即进行整改，并依据整改反馈进行复查，对业务系统上线前进行系统漏洞安全检验工作，存在有安全风险系统必需进行整改验收后才能上线。 系统漏洞安全检验步骤管理步骤管理要求开 始信息安全管理部门提议系统漏洞安全检验（复查）步骤Y各业务系统责任人协调人员进行现场配合存在风险系统依据整改通知进行整改加固YY信息安全管理部门按工作计划提议系统漏洞安全检验步骤并OA通知具体系统责任人 各系统责任人收到OA邮件后，协调安排配合人员进行现场配合信息安全管理部门依据检验结果，对存在漏洞系统发出整改通知，系统责任人收到整改通知后安排对风险进行整改加固，并反馈整改情况，信息安全管理部门收到反馈结果组织复查。8.3.4.4终端安全管理 终端安全管理要求终端安全策略配置项应满足以下要求：1).终端统一命名，统一采取“企业+人员姓名”汉字方法。2).系统标准化管理，统一使用正版软件，严禁安装盗版。3).密码策略，根据企业帐号管理措施设置复杂度策略。4).配置帐户锁定策略，要求设置锁定次数为5次以下。5).禁用匿名访问网络。6).设置系统屏保密码，同时设定10分钟以内锁定策略。7).审计策略，开启全部审计策略。8).要求安装杀毒软件并立即进行病毒库更新。9).要求统一安装企业采购终端监控软件。 终端安全配置检验步骤管理步骤管理要求开 始信息安全管理部门提议终端安全检验（复查）步骤Y各部门职员（含合作伙伴）配合进行安全检验对存在不合规终端进行设置，以满足安全管理要求YY信息安全管理部门按工作计划提议办公终端安全检验步骤并OA通知具体检验部门 各部门职员（含合作伙伴）配合进行终端安全检验。 检验人员对存在不合规项终端进行设置，以满足安全管理要求。8.3.4.5安全审计管理 安全审计管理要求事件日志统计:未来自不一样区域、不一样设备、不一样系统日志信息集中起来，集中分析处理，创建统计异常事件和安全相关事件审计日志并根据协商认可保留期限将其保留一段时间。1).审计日志必需最少包含4W（who/when/where /what）要素：用户ID或帐号。操作日期和时间。终端标识或位置。用户所进行操作。系统成功访问和拒绝访问统计。数据和其它资源成功访问和拒绝访问统计。2).日志审计类型网络类日志（鉴权平台、网络设备日志）主机类日志（主机本身日志）应用类日志（交换机、智能网等应用系统日志）安全类日志（IDS、防火墙等）3).全部特权操作新帐户创建。用户权限升级、口令更改。配置更改。系统文件删除。系统开启和停止。I/O 设备连接/分离。端口开启进程开启等4).对应统计用户 ID。地址：包含目标IP和源IP关键事件日期和时间。事件类型。所访问文件或资源。所用程序/实用程序。所进行操作或操作结果。 安全审计步骤工作步骤工作要求/标准岗位职责 开 始安全监控F 各业务系统安全监控审计人员监控系统中产生事件F 系统管理员F 负责系统日常监控维护和日志分析检测到需立即处理安全事件F 当检测到需处理事件时应立即进行处理F 系统管理员F 安全管理员F 发觉安全事件时，系统管理员经过任务工单向安全管理员立即汇报；F 安全管理员接到事件汇报时，要立即进行分析定性，决定后续处理方法。实时处理F 联络设备厂商、服务厂商，立即对事件进行分析处理，处理内容包含：确定危险程度，实施控制方法，恢复系统，确定起源，搜集数据取证等。F 假如事件对网络或系统造成重大影响，应开启事后分析步骤。F 厂商人员、服务商（如需要）；F 系统管理员；F 安全管理员F 如有必需，系统管理员负责通知厂商、服务商到场F 厂商、服务商如接到安全事件通知，需立即到场，将分析结果和处理提议提交安全管理员；F 安全管理员需审核厂商提交安全事件处理提议；重大安全事件需立即向上级管理人员汇报；F 系统管理员配合厂商进行安全提议实施。存档F 填写事件分析处理统计存档。汇报应包含已经采取防护方法具体情况和其它任何经验教训（比如用来预防相同或类似事件再次发生深入防护方法）F 厂商人员、服务商F 系统管理员F 安全管理员F 处理人员需填写事件分析处理汇报F 安全管理员需审核并签署处理结果结 束8.3.4.6用户信息安全管理 用户信息安全管理要求各系统管理员应明确识别各系统中存放、传输用户相关信息，并具体标注需要保护用户信息类型，对于各相关系统中用户信息，未经授权许可不得查询，更不能用于企业正当运行之外其它商业用途。严禁在相关系统中运行和业务无关其它程序，尤其是可能自动获取用户资料程序。根据最小化标准配置账户权限，确保对用户信息访问不得超出本身工作范围。对于访问相关系统用户，能直接取得用户信息，必需经过授权，未经授权用户不得访问该系统。对包含用户信息相关操作，严格根据“金库模式”实施指导意见要求实施，对业务系统包含用户身份资料、位置信息、通话详单、充值统计等高价值信息高风险操作纳入金库管控。各系统在信息获取、处理、存放、消除各步骤保护用户信息完整性、保密性、可用性，含有但不限于以下功效：1).用户信息存放时应含有对应安全要求，包含存放位置、存放方法等，对于关键用户信息，应依据系统实际情况提供必需加密手段。2).应含有完善权限管理策略，支持权限最小化标准、合理授权，对不能支持此标准系统，应降低掌握该权限人员数量，并加强人员管理。3).含有完整用户访问、处理、删除用户信息操作统计能力，以备审计。 新建系统必需满足本要求，对于不支持本要求已建系统，应依据实际情况在系统升级中进行改造。4).在传输用户信息时，经过不安全网络（比如INTERNET网），需要对传输用户信息提供加密和完整性校验8.3.4.7业务安全管理加强业务内容安全监控，加强对业务内容源引入、内容提供/公布、内容传输等步骤审核和监控，并建立和完善内容安全事件应急处理机制，确保业务内容提供健康、正当。提升业务计费安全控制，加强对业务计费步骤梳理，严防计费问题出现。针对WAP、WWW、短信等不一样业务订购方法，分别采取有效手段，预防业务计费点被套用；确保建立和完善业务信息费异常监控技术手段，立即发觉计费安全问题；对代收费业务应进行定时拨测，发觉问题立即处理。增强业务系统外部接口安全防护，高度重视和外部系统有交互接口业务平台安全风险，确保交互协议设计安全可靠。加强对外部交互协议和接口拨测，立即发觉存在安全问题。在业务系统建设过程中应在业务系统和外部平台之间计划布署防火墙、流量监控等安全管控方法。完善业务使用步骤和制度相关自，加强对业务订购、业务认证、业务使用、业务退订等各步骤步骤审核和监控，立即发觉安全问题。对业务订购、变更、退订要提供正确核实和确定机制，对业务认证要关键关注敏感认证数据加密、认证算法强度和认证失败次数控制等。加强对互联网营销渠道安全监控，采取黑白名单、动态码验证等技术手段预防营销渠道恶意盗链，建立完善拨测机制，监控违规情况。针对第三方营销渠道，严禁层层转包，并定时进行营销规范性拨测，发觉违规情况立即处理。业务平台运维从系统、人员、第三方管理等方面，加强业务平台运维安全管控，预防业务运维中出现安全隐患。增强业务系统本身访问控制，严格限制运维人员帐号、权限，确保权限、角色相符合；加强对运维人员安全意识和技能培训，提升安全运维能力。 8.3.4.8安全检验和维护作业根据规范要求，定时进行信息安全检验，形成汇报材料并进行内部通报。检验应包含但不限于以下内容，1).每个月进行1次检验生产终端及网络接入情况。2).平均每2个月完成1次全量系统漏洞扫描，而且完成系统帐号弱口令安全检验工作。3).每个月完成1次全量Web漏洞扫描，每半月完成1次关键Web网站漏洞扫描。4).针对割接变更业务系统，每个月进行1检验安全基线配置情况。5).每个月出具1次安全审计月报。6).每三个月定时抽检要害人员保密协议、第三方保密协议、信息安全承诺书、要害人员保密协议签署立案情况。7).每三个月定时抽检业务系统业务步骤制订和实施、信息公布和审核等情况。8).每三个月定时抽检新建系统上线安全验收情况。9).针对重大专题安全保障工作，依据专题工作具体要求，信息安全组负责制订专题安全保障工作安排，其中包含：内容安全保障、业务安全保障、系统和网络安全保障、用户信息安全保障、第三方保障，并组织基地各部门开展各项安全检验工作。8.3.5 IT运维服务范围 IT运维是IT管理关键和关键部分，也是内容最多、最繁杂部分，该阶段关键用于IT部门内部日常运行管理，包含对象分成两大部分，即IT业务系统和运维人员，可细分为八个子系统： 设备管理：对网络设备、主机、存放、操作系统运行情况进行监控 应用/服务管理对多种应用支持软件如数据库、中间件、群件和多种通用或特定服务监控管理，如邮件系统、DNS、Web等监控和管理 数据/存放/容灾管理对系统和业务数据进行统一存放、备份和恢复 业务管理对企业本身关键业务系统运行情况监控和管理 目录/内容管理关键对于企业需要统一公布或因人定制内容管理和对公共信息管理 资产管理管理企业中各IT系统资源资产情况，这些资源资产能够是物理存在，也能够是逻辑存在，并能够和企业财务部门进行数据交互 信息安全管理现在信息安全管理关键依据国际标准是ISO17799，该标准涵盖了信息安全管理十大控制方面，36个控制目标和127种控制方法，如企业安全组织方法、资产分类和控制、人员安全、物理和环境安全、通信和运行安全、访问控制、业务连续性管理等 日常工作管理关键用于规范和明确运维人员岗位职责和工作安排、提供绩效考评量化依据、提供处理经验和知识积累和共享手段8.3.6 IT运维和信息安全关系信息安全是IT运维关键组成模块，对于一些行业是关键模块 IT运维意在寻求安全性和方便性 信息安全保障着价值 信息安全正在发明价值信息安全和IT运维共有一个衡量标尺：组织业务目标 业务需求驱动信息安全和IT运维需求 信息安全和IT运维方案要适应业务步骤 信息安全和IT运维方案要支撑业务可连续发展 业务目标调整驱使安全和IT运维调整 投资和企业战略、风险情况亲密相关信息安全贯穿了IT运维整个生命周期 信息安全和IT运维全部是一个过程，而不是一次事件 每个IT运维步骤全部影响着安全一个或多个目标（C.I.A） 失去信息安全IT运维是失败运维 信息安全成熟度模型和IT运维标杆管理是吻合IT运维和信息安全融合 信息安全企业试水运维，安全产品强化管理、监控功效，支持IT运维 运维支持类产品引入安全概念、集成安全技术 信息安全融入IT运维步骤中 相关标准认证工作能够同时进行（ISO0/270001）IT运维趋势彰示着安全未来 IT运维标准化符合安全“纵深防御”理念 IT运维步骤化提升了安全可管理性，为改善安全工作提供条件 IT运维自动化降低了人为失误，降低了安全成本8.3.7云计算信息安全云计算是一个基于Internet新兴应用计算机技术，在信息行业发展中占据着关键位置，它为互联网用户提供了安全可靠地服务和计算能力。其信息安全问题不仅仅是云计算所要处理首要问题，也是决定云计算发展前景关键性原因。8.3.7.1云计算特征云计算是在分布式计算、网格计算、并行计算等发展基础上提出一个计算模型，它面正确是超大规模分布式环境，关键是提供数据存放和网络服务。它含有以下部分特点： 较高可靠性云计算采取了计算节点同构可交换、数据多副本容错等分支，所以和当地计算机相比，其可靠性更高。 大规模性由含有一定规模多个结点组成，系统规模能够无限大。 高度可扩展性可用即插即用方法方便、快速地增加和降低资源，可扩展性和弹性比较高。 资源共享性提供一个或多个形式计算或存放能力资源池，如物理服务器，虚拟机，事物和文件处理能力或任务进程。 动态分配实现资源自动分配管理，包含资源即时监控和自动调度等，并能够提供使用量监控和管理。 跨地域能够将分布于多个物理地点资源进行整合，提供统一资源共享，并能在各物理地点间实现负载均衡。另外，因为云计算含有低廉成本及宽广应用空间，不停吸引着电信运行商和制造商关注。如中国三大电信运行商纷纷开展了云计算研究和试验工作，构建中国IT支撑云、业务云、公众服务云，为社会提供基于云计算IT服务。然而，在云计算应用发展中面临着很多挑战，如标准化问题、网络带宽问题、安全风险问题，其中安全问题被认为是最大挑战之一，对于云计算商业模式能否成功起着至关关键影响。云计算安全出了传统IT架构中信息安全风险外，还包含虚拟化、多租户技术带来新业务风险，造成信息安全风险复杂度升高。8.3.7.2云计算九大安全威胁CSA(Cloud Security Alliance，云计算安全联盟)列出了云计算领域9个安全威胁。 1.数据泄露为了表明数据泄露对企业危害程度，CSA在汇报中提到了一篇研究文章，该文章描述了黑客怎样利用边信道(Side-Channel)时间信息，经过侵入一台虚拟机来获取同一服务器上其它虚拟机所使用私有密钥。不过，其实不怀好意黑客未必需要如此煞费苦心，就能确保这种攻击得逞。要是多租户云服务数据库设计不妥，哪怕某一个用户应用程序只存在一个漏洞，全部能够让攻击者获取这个用户数据，而且还能获取其它用户数据。要应对数据丢失和数据泄露方面威胁，难就难在其有可能造成“拆东墙补西墙”般效果。CSA汇报认为：“你落实到位方法可能能够缓解一个威胁，不过会加大遭遇另一个威胁风险。”用户能够对数据进行加密，以减小泄露风险，不过一旦用户丢失了加密密钥，就再也无法查看数据了。反过来说，假如用户决定对数据进行异地备份以减小数据丢失风险，却就又加大了数据泄露几率。 2.数据丢失CSA认为，云计算环境第二大威胁是数据丢失。用户有可能会眼睁睁地看着那些宝贵数据消失得无影无踪，不过却对此毫无措施。不怀好意黑客会删除攻击对象数据。粗心大意服务提供商或灾难(如大火、洪水或地震)也可能造成用户数据丢失。让情况更为严峻是，要是用户丢失了加密密钥，那么对数据进行加密行为反而会给用户带来麻烦。汇报尤其指出，数据丢失带来问题不仅仅可能影响企业和用户之间关系。根据法规，企业必需存放一些数据存档以备核查，然而这些数据一旦丢失，企业由此有可能陷入困境，遭到政府处罚。 3.数据劫持第三大云计算安全风险是账户或服务流量被劫持。CSA认为，云计算在这方面增添了一个新威胁。假如黑客获取了企业登录资料，其就有可能窃听相关活动和交易，并操纵数据、返回虚假信息，将企业用户引到非法网站。汇报表示：“你账户或服务实例可能成为攻击者新大本营。她们进而会利用你良好信誉，对外发动攻击。”要抵御这种威胁，关键在于保护好登录资料，以免被偷窃。CSA认为：“企业应考虑严禁用户和服务商之间共享账户登录资料。企业应该尽可能采取安全性高双因子验证技术。” 4.不安全接口第四大安全威胁是不安全接口(API)。IT管理员们会利用API对云服务进行配置、管理、协调和监控。API对通常云服务安全性和可用性来说极为关键。企业和第三方所以常常在这些接口基础上进行开发，并提供附加服务。CSA在汇报中表示：“这为接口管理增加了复杂度。因为这种做法会要求企业将登录资料交给第三方，方便相互联络，所以其也加大了风险。”CSA在此给出提议是，企业要明白使用、管理、协调和监控云服务会在安全方面带来什么影响。安全性差API会让企业面临包含机密性、完整性、可用性和问责性安全问题。 5.拒绝服务攻击分布式拒绝服务(DDoS)被列为云计算面临第五大安全威胁。DDoS一直全部是互联网一大威胁。而在云计算时代，很多企业会需要一项或多项服务保持7二十四小时可用性，在这种情况下这个威胁显得尤为严重。DDoS引发服务停用会让服务提供商失去用户，还会给根据使用时间和磁盘空间为云服务付费用户造成惨重损失。即使攻击者可能无法完全摧垮服务，不过“还是可能让计算资源消耗大量处理时间，以至于对提供商来说运行成本大大提升，只好被迫自行关掉服务。” 6.不怀好意“临时工”第六大威胁是不怀好意内部人员，这些人可能是在职