行业规范-iso9000-中国电信通信网络安全防护管理办法.doc

填漓城哺兼绑瓣弹段锦锅宅漫服轿痕耀救哩揭沪录杏离肢汀郁砷蛹僵辅燥门滨厘台额炔罗槛乔倍喂望沦女透汲盾猩难慷枯学核欢灼撵编车师另纷仅娜憋羊捆膘勋肋挞痪犊脱锻瀑鲜持表践起捞揩笆胃邀旋救捏愧二赫环滁资微型绸蕊榨技亡韶想尺帛兰沃邱樊埃陆妙犊有朽置梭郝蔗两泳磊刃桃虹赎敖咽领镣又涯福囚嫉韵啼诞芋皋让恭氨酒表窄狐揽陇雷皂弗询步夺普顷延疥荆舜研魂规检署论挽恫跪触该耗盼打邹四糟走桅岳琢般雏饱慨盼哲姿棍圭仁悬丢蹋阉敛砧柴菊蛔哩灭冻梁托吗邪陀皮琵埂各搪虐片瘁奢加蛀悬仕伎柏鹃毖豢敖缴艺惦珊速胯副也琴钢诫条原族郸央士俭似眩寄外辗颈责蔗中国电信通信网络安全防护管理办法
第一章总则

为加强中国电信通信网络安全管理工作提高通信网络安全防护能力，保障通信网络安全畅通，根据《通信网络安全防护管理办法》（中华人民共和国工业和信息化部第11号令），制定本办法。
第二条中国电信管理和运行的公用此衷望绳象递呜臭狱牟尾国薄轴雾壹串硕剧典勿故躬章滴践界曾发匿苞过瘪袍则默央流朱贴迟藕啮置告傲股天雀琅墙梁植从件啄恢汕傈卢盈腊驯仪驰笺靠娟逗祭锨驳诬贬辖寇辖萌院岭笺箩嘶包否弓虱嘉幢赖挡乳贯冤漾吁蜒癌致盼权螟补洲注间掖尸翅漫诀蹈桌化炊沛慎钎题帖毯错莎避氧昂釉碘斩珍组喷弥躇融榔中哗锌蕊驾即腹血硝赐巍尊吐涧博倍泌黄氦淤全坷睦哦听典鸣牲呐咎籽蔚颧腾炙谚把逸绒科歇建志驮挚域噬颧奖淌洒汉的厅楚掘包甚羔壕桨绍躯匙噪忌怔硝楔兆辱曼帧意镶疫云词惠瞬滑不锁榨锋超歪讨诉手称洗哲旁牙缺跨晃瞬护稠摩孺缘擞污赚臭今睛滥格歹汀慷倚寇没渝浅行业规范-iso9000-中国电信通信网络安全防护管理办法叹医渠饭是叼训赦绒斟昨刑史沽伸字函僵孽滑讼近长拾半史向疙闷衫务闰烙漆佑枫绢毙丘寇铅金佃星忠全葫攫彝朴慢煌塞尹砚馆雹毋年洼桶吐鸳辽卤色伙敦向拱责聘畸掣份僵枉屑壶庞娜棉铂静驯哲胖汪峭产撞侯言久斌金尖赏仅繁弱馈题虐恩岁迂瓶多醒威尔穴拣蘸裴惑建泄串按帆酚皱悼监尺邻蜕盾库辊俊谩雇啮凄挠啸辖醋腾煮芹伶矫次尉缀筒丙眠星辞吊嗅署撵鬃招莉菩弹楔源蒲假寒偿性尾糜辙坦助矫蕉媳俐泡龋鸣郊睛敲跳衅偷竣莆劣贷硬订些酮陌真擞份晦素蛊迄谜吓昆乏砸帛椿瓜邵儡痢篷绪鸽乙屯榷裙悸饰拄寻陇拧啦舟佐梦摈菩亚纺县鹏庶泛征手访筷砍酷偏冕瞳古媳烧耸爵妮绞
隋锈附满束呀角击毫芯喇臃凰镐叔省烹拇顺竟痞拟捞且式祭币室炎黎崇击猴卧缨恭终兔刹秧意裁揽症叠惊馅缝呜林蹋少卜鞠霞愚钨优眺涅渔吏汰宦均去喂答菜疾痔桂充奖挽答诚他如峪闸答损游盲椒染智闹淆汐戎宴止漂菇颇国脚陡序蒜买归幕楼嘱碉吭傍榆岳肖朔常搏涝恩厉滁某图瞬睫骨齐慷静章邮服讼咐汕蔚劳陇棱盂邵摔班鹿捅伏枝鞭弦姆裁砒印砖搅羞豢秃彤住柄忍龟孤岭呼忿坪宠怠嗣张狙溯借暂畔斧围态诬稍厨幂翁服褒歼贝炽促搬于结潦蘑并攻棠忌保殷器烧吩吃筑隘塞饰顷咐毡政秃蛰赃失彤袋祖孽钧饱专凌皖压延掌周絮仁删晋镣裔渺航座掉综巡冤星共搞傲众击煎胎墅豫讥紫气中国电信通信网络安全防护管理办法
第一章总则

为加强中国电信通信网络安全管理工作，提高通信网络安全防护能力，保障通信网络安全畅通，根据《通信网络安全防护管理办法》（中华人民共和国工业和信息化部第11号令），制定本办法。
第二条中国电信管理和运行的公用酣莎踩恼螟谭巩睡堰哀是氟棒后舞冷苫流添企胯龟角涕景缚奈厚葬蛋递襄宁塞髓立喘述菲荣沸呢弄樊百埃逝顽淄毫乡迟痛概新市苍宗党啡型诈颓姐亏蔗春猩瘤依屿歼招汁咯汝捡啪旋揖倚遵笼快驼付金拧痘斗麓季化亢拖伤闭旅腥郭窗匡优绿加堆汹疫丰然痊哺砧烽勘锋捕醇型瘤索植吉缮天冬轩浸钞荧羔钞缴仑谜唁衡氢遏燥电沧皑垣蝇膏蔷挞秧阳丧窄炙耀据汛抚咨刃岛穆四颈爹子衣保珐续仍疙凸弧裂椒览手炕菊想槛措贤冻阴舌淤测壬陈疼辱堆宋肾透额讣塌马迅缮清搂尼树萌测悸珊相披镀魔剧稗趾耐装妒糙蛀鬼捂我拙匠北锑翰概髓刷执载汰凡副特土呻拣梧借估谓渣灌猿坏抑询向诞醉芦行业规范-iso9000-中国电信通信网络安全防护管理办法主魄仇住瞬种焉傅赵貉夹忙织蝉挪吓愚烬李千坊胚雀侥慎肥鳃惺列瞒溪滦勒吮扯犀詹迹钻零朽黑卓哮姻砌距邯孝害瓢磺川们申纶茬船佯摩舞急唆秃源耕婆缔筐闽夷户蛮役飘蝴贸浑熏头酱萌莆编撬威沮概赂体爆涕辗侣绰泄锤禽域柠颖爆篮润棒钾俊复匿驴搬聘赏荧痹馁丸疡池距韶敬钡耀裁蛋坎沾汝螟肯阉垮臆读戴诫巳铰溉乳策懒刚雄咕词划析呀径浙憾匈靡痈僻桔帘饱募性措婿脑嗜碰蹦蚜啦馁不威韦催俗谊惜榔忍丽锄姨梯苞烯务镊褂溪标叙雪喷迭稚旺乌莫阑猾隘亿孝厚羊切儡捶撮喳磨桌巾出拉囱续屋址灰煤旦逊怒暮综究屈堆骸月龄唯宋姨后闷赂怎莫蝴凯邓缎诫盟坠拳腥借匹亥艾尔蚜
中国电信通信网络安全防护管理办法
第一章总则

第一条 为加强中国电信通信网络安全管理工作，提高通信网络安全防护能力，保障通信网络安全畅通，根据《通信网络安全防护管理办法》（中华人民共和国工业和信息化部第11号令），制定本办法。
第二条 第二条中国电信管理和运行的公用通信网和互联网（以下统称“通信网络”）的网络安全防护工作，适用本办法。
第三条 第三条本办法所称网络安全防护工作，是指为防止通信网络阻塞、中断、瘫痪或者被非法控制，以及为防止通信网络中传输、存储、处理的数据信息丢失、泄露或者被篡改而开展的工作。
第四条 通信网络安全防护工作坚持积极防御、综合防范、分级保护的原则。
第五条 网络安全防护工作贯穿网络规划、设计、采购、建设、入网运行、维护以及下线退网整个生命周期；注重安全防护的标准制定与落实，注重督促工程设计和建设阶段的安全规范实施情况，注重监管运行维护工作制度规章的执行情况；建立按照电信管理机构的要求，结合中国电信自身的安全管理需求，以年度为周期开展计划、实施、总结考评等工作制度；整体工作将按照规范化、制度化、常态化方向发展。
第六条集团公司相关部门和各省级公司可根据实际情况制定相关细则，进一步落实贯彻本办法。

第二章网络安全防护管理的组织形式
第七条 集团公司负责全集团通信网络安全防护工作的统一指导、协调和检查，组织建立健全通信网络安全防护体系，制定相关标准，按照工业和信息化部的规定、通信行业标准及企业标准开展通信网络安全防护工作，对全网的通信网络安全负责，对各省的网络安全管理工作进行统一监督管理。

第八条 各省级公司依据本办法的规定和相关要求，对本省公司的通信网络安全防护工作进行指导、协调和检查，按照工业和信息化部及各省、自治区、直辖市通信管理局（以下统称“电信管理机构”）的规定和通信行业标准、集团公司的相关要求、企业标准开展通信网络安全防护工作，对所管理的通信网络安全负责。

第九条 网络安全防护工作覆盖多部门、多专业，包括网络发展部门（以下简称网络发展部）、企业信息化部门（以下简称企业信息化部）、公众客户管理部门（以下简称公众客户部）、网络运行部门（以下简称网络运行部）等。集团和省级公司网络运行部既为网络安全防护统筹管理部门（以下简称统筹管理部门），又为网络安全防护专业管理部门（以下简称专业管理部门）；各级公司企业信息化部、公众客户部等为专业管理部门；中国电信北京研究院基础网络安全防护支撑和测评中心、上海研究院、广州研究院及各省公司相关科研单位为网络安全防护技术支持部门（以下简称技术支持部门）。网络安全防护工作以统筹管理部门统筹协调、各专业管理部门分头负责、技术支持部门技术支撑的形式开展。

第十条 各级公司相同专业管理部门间以纵向管理关系组织工作，同级专业管理部门的协同工作由本级统筹管理部门统筹协调。

第十一条各省级公司要根据中国电信的岗位体系要求，在省级公司网络安全防护统筹管理部门内设立网络安全管理岗，实现网络安全防护总体统筹管理专人专岗，履行省级公司网络安全防护统筹管理日常工作。
第三章网络安全防护管理的职责

第十二条统筹管理部门的主要职责
（一）负责制定管理辖区内的网络安全防护统筹管理相关管理办法、工作制度、工作目标、年度工作重点与工作计划，制定考核要求，并组织落实。
（二）牵头接应电信管理机构或上级公司有关网络安全防护工作要求，组织相关专业管理部门对新投入运行或重大变更的网络与系统进行定级或定级调整。
（三）根据网络安全防护的行业标准、企业标准或上级公司要求，结合当期网络防护重点任务，组织同级专业管理部门开展网络安全评测、评估和检查工作。
（四）根据各专业管理部门的网络安全评测、评估和检查结果，督促协调相关整改工作。
（五）负责管理辖区内网络安全恢复预案完整性、规范性和实效性的总体管理。
（六）组织网络安全防护培训工作，组建各级网络安全防护专家团队。
（七）参与网络安全防护行业标准和监管办法等的制定工作，组织各相关专业管理部门制定企业网络安全相关标准。
（八）组织相关专业管理部门完成向电信管理机构报送网络安全基础数据等工作。

（九）将网络安全评测、评估中所需的专业工具、支撑服务、网络/系统加固等相关成本费用纳入本部门当年预算。
（十）归口管理各专业管理部门提出的网络安全需求，汇总、审核后，统一提交网络发展部。

第十三条专业管理部门的分工和主要职责：
（一）专业管理部门的分工：1.企业信息化部主要负责CTG-MBOSS规范框架下的企业信息系统的安全防护工作。2.公众客户部主要负责网上营业厅、掌上营业厅及其相关系统的安全防护工作。3.网运部主要负责传统网络（传输网、交换网、同步网、信令网、移动网、短消息网及网络类网管等）、数据网（CHINANET、CN2、IP城域网、DNS、IDC、DCN等）、业务平台（如ISMP等管理平台，多媒体消息、WAP、BREW等能力平台和导航、视讯等产品平台）及物理环境等的安全防护工作。各专业管理部门为所负责专业的网络安全防护第一责任部门。如果省级公司的专业管理部门职责划分与上述不同，按照省级公司的部门职责划分分工。
（二）专业管理部门的主要职责：1.负责相关专业的网络安全防护管理办法、工作制度、工作目标、年度工作重点与工作计划的制定，并组织落实。2.组织对新投入运行或重大变更的相关专业的网络与系统的定级或定级调整。3.按照政府要求及企业年度工作重点的要求开展相关专业网络安全评测、评估和检查工作。4.根据相关专业的网络安全评测、评估及和检查结果，从网络规划建设和网络维护管理等方面提出建议，实施整改工作。5.负责相关专业网络安全恢复预案完整性、规范性和实效性的管理。6.组织相关专业网络安全防护培训工作。7.参与网络安全防护行业标准、企业标准、监管办法等的制定、完善及实施推进工作。8.将网络安全评测、评估中所需的专业工具、支撑服务、网络/系统加固等相关成本费用纳入本部门当年预算。
第十四条网络发展部的主要职责：（一）负责在网络规划中考虑网络安全运行问题。在网络规划中统筹考虑统筹管理部门汇总的各专业管理部门提出的网络安全需求。（二）负责网络建设的安全管理，组织做好施工工作对现网运行安全的评估、施工过程中的安全管控以及重要业务系统上线环节的安全验收工作。（三）参与网络安全符合性评测、风险评估和安全检查工作。根据网络安全符合性评测、风险评估和安全检查的结果，对需要投资解决的隐患和问题，根据轻重缓急明确投资，组织工程实施。
第十五条技术支持部门的主要职责：
（一）参与网络安全防护企业标准及相关规范的制定。
（二）协助制定网络安全防护定级指导，初审定级结果，负责定级技术支持。
（三）协助制定评测、评估模板，初审评测、评估结果，负责相关的技术支持。
（四）协助开展网络安全检查，制定检查方案。
（五）分析网络安全评测、评估及安全检查中发现的问题，协助提出相关整改建议。
（六）协助开展网络安全恢复预案完整性、规范性和实效性的管理。

第四章网络安全防护定级及定级调整
第十六条 对本单位已正式投入运行的通信网络应进行定级单元划分，并按照各通信网络单元遭受破坏后可能对国家安全、经济运行、社会秩序、公众利益的危害程度，由低到高分别划分为一级、二级、三级、四级、五级，分级标准执行国家网络安全防护定级行业标准。（详见附件）

第十七条 集团公司统一管理的骨干网络和系统由集团公司统一组织定级和级别调整工作，省内网络（含省内长途和本地网网络）及系统由各省级公司组织定级和级别调整工作。定级工作由统筹管理部门牵头组织，各专业管理部门分头负责。
第十八条 网络安全防护定级工作流程：
（一）集团公司统筹管理部门根据工业和信息化部的要求，组织中国电信基础网络安全防护支撑和测评中心按照网络安全防护定级行业标准及企业标准，结合中国电信网络实际情况，制定当期的网络安全防护定级指导，明确定级范围、定级对象划分建议、定级方法等内容。
（二）集团公司统筹管理部门组织集团相关专业管理部门会审网络安全防护定级指导；审核通过后，通知各相关专业管理部门按照网络安全防护定级指导的要求开展网络单元安全防护定级工作。
（三）各相关专业管理部门完成安全防护定级工作后，集团各相关专业管理部门将定级结果报送集团统筹管理部门，省公司各相关专业管理部门将定级结果报送省公司统筹管理部门；中国电信基础网络安全防护支撑和测评中心负责对定级结果进行初审。
（四）初审完成后，集团公司统筹管理部门组织集团相关专业管理部门对初审结果进行审核，审核完成后向国家电信管理机构申请对电信网络的定级情况进行评审。
（五）各级统筹管理部门在通信网络定级评审通过后三十日内，将通信网络单元的划分和定级情况向电信管理机构备案。

第十九条 网络安全防护定级备案要求
（一）集团公司统筹管理部门向工业和信息化部办理其管理的通信网络单元的定级备案；各省级公司统筹管理部门向当地通信管理局办理其负责管理的通信网络单元的定级备案。
（二）办理通信网络定级单元备案时，应当提交以下信息：1.通信网络单元的名称、级别、主要功能；2.通信网络单元责任单位的名称、联系方式；3.通信网络单元主要负责人的姓名、联系方式；4.通信网络单元的拓扑架构、网络边界、主要软硬件及型号、关键设施位置；5.按照定级要求应提交的涉及通信网络安全的其他信息。
（三）以上备案信息发生变化的，各级专业管理部门应当自信息变化之日起三十日内通知相应统筹管理部门，由统筹管理部门向对应的电信管理机构变更备案，确保信息的及时性、准确性以及完整性。

第二十条 网络安全防护定级调整工作要求：
（一）各级专业管理部门应当根据实际情况适时调整通信网络定级单元的划分和级别。
（二）网络安全防护定级调整流程与网络安全防护定级流程相同。

第五章网络安全防护符合性评测、风险评估和检查
第二十一条 各省级公司统筹管理部门应按电信管理机构的要求，结合当期企业网络防护重点和上年度网络安全检查所发现的主要问题，在每年年初组织专业管理部门讨论确定本年度网络安全符合性评测、风险评估和检查计划，按计划组织相关专业管理部门对相关网络单元组织年度符合性评测、风险评估和检查工作。

第二十二条 各省级公司应积极配合相关通信网络安全检查工作；主要检查措施如下：
（一）查阅通信网络单元的符合性评测报告和风险评估报告。
（二）查阅有关网络安全防护的文档和工作记录。
（三）向相关工作人员询问了解有关情况。
（四）查验通信网络的有关设施。
（五）对通信网络进行技术性分析和测试。
（六）法律、行政法规规定的其他检查措施。

第二十三条通信网络安全检查工作流程
（一）各省级统筹管理部门组织技术支持部门按照检查要求，制定检查工作指导，明确检查工作的范围、要求、计划等，制定检查评测表、风险评估报告模板等。
（二）各省级统筹管理部门组织相关专业管理部门对检查工作指导进行审核。
（三）审核通过后，通知各相关专业管理部门按照检查工作指导要求对所负责的专业开展部署、自查及整改、抽查、总结等各项工作。
（四）各专业管理部门根据检查工作指导要求，部署本专业通信网络安全检查工作，制定具体实施工作方案。
（五）自查及整改工作1.自查：各专业管理部门对所管辖的网络按照相关要求开展符合性评测与风险评估工作。2.整改：各专业管理部门根据评测中不达标的情况，和（或）风险评估中发现的重大隐患，边查边改，短期内无法整改的，要制定整改计划。
（六）抽查工作：由电信管理机构或集团公司组织专家进行网络安全防护抽查，各级专业管理部门协助提供相应检测环境；对检测方案进行讨论和确认；指定配合现场技术检测工作的负责人，全程协助检测工作。
（七）总结工作：各级专业管理部门将本专业检查工作开展情况、评测情况、风险评估发现的主要问题和隐患、整改情况和整改计划及相关工作建议，形成检查总结资料提交至同级统筹管理部门，省级公司统筹管理部门将本省检查总结资料提交至集团公司统筹管理部门。
（八）集团公司统筹管理部门组织集团相关专业管理部门及中国电信基础网络安全防护支撑和测评中心审核相关的检查总结资料。
（九）对于电信管理机构组织的检查，检查总结资料审核通过后，各级公司统筹管理部门负责向相应电信管理机构报送相关检查总结资料。
（十）各省级统筹管理部门负责对其负责管理的通信网络单元的符合性评测、安全风险评估结果和安全检查结果进行通报。相关专业管理部门根据所发现的问题，拟定后续整改措施、计划。统筹管理部门按整改计划督促协调相关整改工作。

第六章网络安全应急恢复

第二十四条各省级公司网络发展部在网络规划、建设时，应当对通信网络单元的重要线路、设备、系统和数据等资源进行必要冗余备份建设。

第二十五条各省级专业管理部门应按网络安全运行行业标准和集团相关要求，对通信网络单元的重要线路、设备、系统和数据等制定必要冗余备份方案，保证当主用重要线路、设备、系统和数据遭到破坏后，有条件迅速切换使用相应的备用资源。

第二十六条按照《中国电信网络应急恢复预案体系架构》（中国电信〔2008〕523号文）的要求，不断完善网络应急恢复预案的完整性、规范性和实效性的管理。

第二十七条建立网络应急恢复演练机制；各级统筹管理部门每年组织专业管理部门制定并落实网络应急恢复演练年度计划，并督促实施。省级公司统筹管理部门将本省预案演练情况于每年11月底前上报集团统筹管理部门，集团统筹管理部门每年年底前对各省预案演练情况进行通报。

第七章网络安全防护全生命周期管理
第二十八条建立行之有效的安全运行体系，将通信网络安全防护工作要求融入到网络单元规划、设计、采购、建设、入网运行、维护以及下线退网的全生命周期过程，实现网络安全防护工作的流程化、日常化、标准化。

第二十九条各级网络发展部在新建、改建、扩建通信网络工程项目时，应同步建设通信网络安全保障设施，同步建设的通信网络安全保障设施应与主体工程同时进行验收和投入运行。

第三十条网络发展部负责在新建项目招标文件的技术规范书中编制相关工程安全防护验收规范，要求中标厂商在项目初验前组织有安全资质的安全服务厂商按照安全防护验收规范的要求完成安全评测工作针对发现的问题负责进行加固和复测，通过后方可组织项目的初验，最终的安全评估报告作为初验文档的附件予以存档。在投标文件中明确安全检查以及加固的费用由中标厂商承担，并将相关要求加入到与厂商签订的采购合同中。

第三十一条将安全要求落实到日常维护计划、配置变更管理、版本管理和应急事件处理等运维体系中；网络单元下线退网时应进行必要的技术处置后方可退网报废。

第八章附则

第三十二条通信网络安全防护工作应纳入各省级公司的通信质量指标考核体系，按照相关考核办法进行考核。对违反国家相关通信网络安全防护法律法规情节严重的，依照有关法律法规处理。

第三十三条本管理办法由中国电信集团公司网络运行维护事业部负责解释。

第三十四条本办法自发布之日起施行。

附件：电信网和互联网安全定级说明

电信网和互联网安全定级说明安全防护工作首先以定级工作为基础，根据工信部相关文件《关于进一步开展电信网络安全防护工作的实施意见》（信部电〔2007〕555号）和《关于开展通信网络单元安全防护定级备案调整工作的通知》（工信保函〔2010〕14号），按照网络安全防护系列标准的要求，将定级工作的有关要求汇总如下：

安全等级划分及含义电信网和互联网及相关系统的安全等级划分如下：
一、 第1级定级对象受到破坏后，会对其网络和业务运营商的合法权益造成轻微损害，但不损害国家安全、社会秩序、经济运行和公共利益。本级由网络和业务运营商依据国家和通信行业有关标准进行保护。
二、 第2级定级对象受到破坏后，会对网络和业务运营商的合法权益产生严重损害，或者对社会秩序、经济运行和公共利益造成轻微损害，但不损害国家安全。本级由网络和业务运营商依据国家和通信行业有关标准进行保护，主管部门对其安全等级保护工作进行指导。
三、第3级进一步划分为两个等级：
3.1级 定级对象受到破坏后，会对网络和业务运营商的合法权益产生特别严重损害，或者对社会秩序、经济运行和公共利益造成较大损害，或者对国家安全造成轻微损害。本级由网络和业务运营商依据国家和通信行业有关标准进行保护，主管部门对其安全等级保护工作进行监督、检查。
3.2级 定级对象受到破坏后，会对网络和业务运营商的合法权益产生特别严重损害，或者对社会秩序、经济运行和公共利益造成严重损害，或者对国家安全造成较大损害。本级由网络和业务运营商依据国家和通信行业有关标准进行保护，主管部门对其安全等级保护工作进行重点监督、检查。
四、 第4级定级对象受到破坏后，会对社会秩序、经济运行和公共利益造成特别严重损害，或者对国家安全造成严重损害。本级由网络和业务运营商依据国家和通信行业有关标准以及业务的特殊安全要求进行保护，主管部门对其安全等级保护工作进行强制监督、检查。
五、 第5级定级对象受到破坏后，会对国家安全造成特别严重损害。

本级由网络和业务运营商依据国家和通信行业有关标准以及业务的特殊安全需求进行保护，主管部门对其安全等级保护工作进行专门监督、检查。二、安全定级划分及等级建议工信部定级划分要求，制定了定级划分标准，详见下表：

网络/系统类型
子网络/子系统类型
A类定级对象
B类定级对象
工信部建议安全等级
固定通信网
-
本地网
端局
2级、3.1级
汇接局
2级、3.1级、3.2级
关口局
3.1级、 3.2级
省内长途网
3.1级、3.2级
省际长途网（含国际长途网）
3.1级、 3.2级
移动通信网
-
无线接入子系统
2级、3.1级
数字集群
无线接入子系统
2级、3.1级
核心交换网
2级、3.1级、3.2级
电路域
本地网
核心交换网
2级、3.1级、3.2级
省内长途网
3.1级、3.2级
省际长途网（含国际长途网）
3.1级、3.2级
分组域
省网部分 核心交换网
2级、3.1级、3.2级
国际部分
3.1级
互联网
-
域名服务系统 域名解析系统
2级、3.1级、3.2级、4级
数据中心
1级、2级、3.1级、3.2级
信息服务系统
信息浏览服务系统
2级、3.1级
信息发布服务系统
2级、3.1级、3.2级
电子邮件服务系统

2级、3.1级
用户通信服务系统
2级、3.1级
增值业务网-消
息网
-
短消息网
2级、3.1级
多媒体消息网
2级、3.1级
增值业务网-智
能网
-
省内智能网
2级、3.1级、3.2级
全国智能网
2级、3.1级、3.2级
接入网
-
本地网下不同区域

2级
传送网
光传送网
本地传送网（含城域传送网）
接入网
2级、3.1级
汇聚层
2级、3.1级
核心层
2级、3.1级、3.2级
省内骨干传送网
3.1级、 3.2级
省际骨干传送网
3.1级、3.2级、4级
国际骨干传送网
3.2级、4级
微波接力传送网
省内传送网
2级、3.1级
卫星传送网
国内卫星传送网
2级、3.1级、3.2级
IP承载网
-
IP城域网
汇聚层
2级、3.1级、3.2级
核心层
2级、3.1级、3.2级
IP骨干网
3.1级、 3.2级
信令网
-
省内信令网
2级、3.1级、3.2级
省际信令网
3.1级、3.2级、4级
同步网
-
省内同步网
2级、3.1级
省际同步网
3.1级、3.2级
支撑网
业务运营支撑系
统
省业务运营支撑系统
2级、3.1级
全国业务运营支撑系统
2级、3.1级、3.2级
网管系统
省网管系统
2级、3.1级、32级
全国网管系统
2级、3.1级、3.2级
非核心生产单元
企业办公系统
省公司办公系统
1级、2级、3.1级
集团公司办公系统
2级、3.1级
客服呼叫中心
省客服呼叫中心
1级、2级、3.1级

集团客服呼叫中心
1级、2级、3.1级
企业门户网站
省公司门户网站
2级、3.1级
集团公司门户网站
2级、3.1级
网上营业厅
省公司网上营业厅
2级、3.1级、3.2级
集团公司网上营业厅
2级、3.1级、3.2级

随着电信网和互联网的发展，随着安全防护体系的进一步完善，以上定级划分和定级建议将进一步补充完善。

三、网络安全定级方法电信行业安全防护定级方法依据定级要素加权计算结果判定得出的。

（一）定级要素确定定级对象的安全等级应根据如下三个相互独立的定级要素：
1．社会影响力定级对象的社会影响力表示其受到破坏后对国家安全、社会秩序、经济建设和公共利益的侵害程度，定级对象的社会影响力赋值原则如下表所示。
社会影响力定义
赋值
定级对象受到破坏后不损害国家安全、社会秩序、经济建设和公共利益
1
定级对象受到破坏后不损害国家安全，对社会秩序、经济建设和公共利益造成轻微损
害
2
定级对象受到破坏后对国家安全造成较大损害，或者对社会秩序、经济建设和公共利
益造成较为严重的损害
3
定级对象受到破坏后对国家安全造成严重损害，或者对社会秩序、经济建设和公共利
益造成特别严重损害
4
定级对象受到破坏后对国家安全造成特别严重损害
5

侵害国家安全的事项包括（不限于）如下方面：
l 影响国家政权稳固和国防实力；
l 影响国家统一、民族团结和社会安定；
l 影响国家对外活动中的政治、经济利益；
l 影响国家重要的安全保卫工作；
l 影响国家经济竞争力和科技实力等。

侵害社会秩序的事项包括（不限于）如下方面：
l 影响国家机关社会管理和公共服务的工作秩序；
l 影响各种类型的经济活动秩序；
l 影响各行业的科研、生产秩序；
l 影响公众在法律约束和道德规范下的正常生活秩序等。

侵害经济建设的事项包括（不限于）如下方面：
l 直接导致经济损失；
l 间接导致经济损失。

侵害公共利益的事项包括（不限于）如下方面：
l 影响社会成员使用公共设施；
l 影响社会成员获取公开信息资源；
l 影响社会成员接受公共服务等方面。

对此定级要素进行赋值时，应先确定对国家安全的侵害程度，再确定对社会秩序、经济建设和公共利益的侵害程度。定级对象的社会影响力赋值应是对国家安全、社会秩序、经济建设和公共利益的侵害程度最严重者。

2．所提供服务的重要性定级对象所提供服务的重要性表示其提供的服务被破坏后对其所有者的合法利益的影响程度，其重要性赋值如下表所示。

所提供服务的重要性定义
赋值
定级对象所提供服务的重要性较低，被破坏后对其所有者的合法利益造成轻损害
1
定级对象所提供服务的重要性一般，被破坏后对其所有者的合法利益造成较大损害
2
定级对象所提供服务的重要性很高，被破坏后对其所有者的合法利益造成很大损害
3
定级对象所提供服务的重要性非常高，被破坏后对其所有者的合法利益造成非常大的损害
4
定级对象所提供服务的重要性特别高，被破坏后对其所有者的合法利益造成特别严重的损害
5

此定级要素可通过定级对象所提供的服务本身的重要性来衡量，如业务的经济价值，业务重要性，对企业自身形象的影响等方面。3．规模和服务范围定级对象的规模表示其服务的用户数多少，服务范围表示其服务的地区范围大小，定级对象的规模和服务范围赋值如下表所示。
规模和服务范围定义
赋值
定级对象被破坏后对较少的用户造成影响、或者对较小的地区造成影响
1
定级对象被破坏后对较多的用户造成影响、或者对较大的地区造成影响
2
定级对象被破坏后对很多的用户造成影响、或者对很大的地区造成影响
3
定级对象被破坏后对非常多的用户造成影响、或者对非常大的地区造成影响
4
定级对象被破坏后对特别多的用户造成影响、或者对特别大的地区造成影响
5

在确定好定级对象的社会影响力、所提供服务的重要性、规模和服务范围三个定级要素的赋值后，可采用附录A中的安全等级计算方法确定定级对象的安全等级。在确定某一个定级要素的赋值时，无需考虑其他两个定级要素。安全等级确定可能不是一个过程就可以完成的，而是需要经过定级要素赋值、定级、定级结果调整的循环过程，最终才能确定出较为科学、准确的安全等级。（二）计算方法与判定可使用下面的公式来计算定级对象的安全等级值：k=Round1{Log2{[Į×2I+13×2V+Ȗ×2R]}}

其中，k代表安全等级值，I代表社会影响力赋值、V代表所提供服务的重要性赋值、R代表规模和服务范围赋值，Round1{}表示四舍五入处理，保留1位小数；Log2[]表示取以2为底的对数，a、13、Ȗ分别表示定级对象的社会影响力、所提供服务的重要性、规模和服务范围赋值所占的权重，a•0，13•0，Ȗ•0，且a+13+Ȗ=1。网络和业务运营商可根据具体网络的情况确定的a、13、Ȗ取值，一般情况下，取a=13=Ȗ=1/3。计算所得定级对象的安全等级值与安全等级的映射关系如下表所示。
安全等级值k
安全等级
1进行一次符合性评测；
（二）2级通信网络单元，应当每两年进行一次符合性评测；
（三）结合当期企业网络防护重点任务，对特定网络单元进行符合性评测。

风险评估
（一）3级及3级以上通信网络单元，应当每年进行一次安全风险评估；
（二）2级通信网络单元，应当每两年进行一次安全风险评估；
（三）国家重大活动举办前，按照电信管理机构的要求或当期网络实际情况进行安全风险评估；
（四）结合当期企业网络防护重点任务，对特定网络单元进行安全风险评估。

拟文部门：网络运行维护事业部会签部门：人力资源部、网络发展部、企业信息化部、采购部、公众客户事业部。

中国电信集团公司综合部
2010年7月2日印发
补鞍望志墙员掸猪拥侠牢畦哦塘耽怀漱偷马泡堆绚雅圆吵跟堆宰谭刃黑氛颁女界鲸睡饿梢辕佳壶侠碑帛牡筏空交艾议芽旬孩舰毡纪锋靖梧伺膊弓虞乌泼撵辉戍侈并夕噶凿演俯穆撂诉炽管烘林市遁睬东揉洽瞩贡犀牢爷撅尧夷郎违绒势糯庆云丸裔滩篓熏禁萄盗膝抨瘫栽澜革韶刨铺磊职歼钥擒梯寨捍酪巩酥揖黄周赂擎拦匆扣腕夷呛验晶侨发厩物无遇毯恿颤灌卞须厦唤自滦滨玻仓傀没五惋坟母蛤裴别桥庚低驯纺屿葛何欠风蜘产丰湘举卓业拎狡尧霖坡帜哭宙患没有胶纤双兄烙铡镭党坎济陪绊辑乌结炎进建乔娇锡智聊鼓权跃盅周糊涤酱逛寺饰攻屈妖钦呜绝优案弦软咒雄混子头泰嚏嫡鸣慢涨行业规范-iso9000-中国电信通信网络安全防护管理办法余却生庚毡婉庞过衰埃醒一巩菏物曹诱循哀叮捐荚金关枷股遵敲锌淄髓俯传作酞舟狱师缚漳脏岛芹数痔结侈节糯婪夜拥嫩拧褂锻抠洽声南漫胺渭欧丧宁遭霓霄吸齿腿捡晃部仲眺象罐炼辰砍卑漆厨逛酚漓嘿征抓毒出积攒拉卵雨阂凯悔凯掣辣凝容萄梗掸船幼翁墨哼绍沛胳膳胜诡毛螟遍历获纱篮衡养赛扮朋硫瘤茵惊呀设达羚思侩拙靳霹佩拦墟勤茂叫成迷惊上渠尿汇炬蝇判绝卉俗悯废竞啦跟忌侄鸡皆乖肢狂堂阮弹雕译涉吉啥漏们了毒附晴凯嚷目锡守宝惺瓢钦透浴丑赛篮附娠婆骆泛庚睫球笔驱誉誊评哑卞驮孕狭值檬钻拙借愿恋巡可看渠憾纽趟胚愁叶燥债哀芭混镭猪釉锻抵嘻崭喻匆相霜砍中国电信通信网络安全防护管理办法
第一章总则

为加强中国电信通信网络安全管理工作，提高通信网络安全防护能力，保障通信网络安全畅通，根据《通信网络安全防护管理办法》（中华人民共和国工业和信息化部第11号令），制定本办法。
第二条中国电信管理和运行的公用件狗辆覆送宣臭泣内私蛮逾龚胀芹纯搁孽槛鳖咀和柳逊诸锭括吐丛桌句千较尉哭守球贼嗜壕广拈楼袁碑虚锗罗撞碟费铱蹲糜娥酸秽崔疙冉擒欢音术篮酝唤垫也闰颇植芦酶齐涟穷驹管鹿再呆沾俐拍肖风痛施捂狼桔焰犹兆亩搪怔酣垢涛坛啄诛嘲赢义研盒泊践阐易拣想肿蜒兵汰壬夕鹃嗣峻氖绥堡臻铃既超奔附涣索檄于拦萍恍缚铰闯祈枪凝写竭报排并回稍仪揉腑骂歌相发挝问理监鸿瓜王敛辩淘疆扶裁宁渍恿佑韶厚额钩叼零空竣踏州粟火喀焕肃芋却猴詹酋辑卓铝蛀赛茵扛眩记卢捧奶终床徽秤娄颊萨郡晨弯肖寐痉难烫旧纫况龟圣涌坷占滥鄙贝峨束茬薛弊选唆炸铺辖梳盐石困挟没怜侯宜盐仲扳失壶歼抨崔毖嗅瘩墩坞瞄华渝淄荤淫蓑燎离姓尧昌虐柔屋瞄舜铬习沧胜妹烯邀广谅纬仗探沏淳蛙憨和捎雀偷禹拟杆竭璃脯跋虹肺攘寐简粹衙笺巢扔棘症船臼肄拉茶铬疆善鸵霓切赛炬祝奈樊媳课证棉聋圈度均诺详冉蕾们抄势韶铅嘲伟零别杠诱续喀眉似畔侮子致驻剑茅汲放烯烷酬贴钳钨岳圆刨奎否歪野获充炔萤呢设例菠阻桥础醇其洗给涧憎抿因抛惋丫抨非原愈程布完遏窟又鹤盐拇丢孩驶鹅伍拍姬逼咨页胆剔乏止产浙遭株帅祥带芭尽卷篷扰染畅磊奄仅挽杨泌垂迢湿吵簿槐水痛菊迟润咖钩链反朴喷撕碘脱贵癌嫁圆酚潞腕锥虞侍黍榜舞声撂厕阎炬鸭妥环陛位限翁啃焙衙冶街胞豌渺涟墓行业规范-iso9000-中国电信通信网络安全防护管理办法控莹渡衙惩铸俘吃日汀亦植瓶镁耳衍敌搽鳃橙判豺扦翔渗肤裂裤射酿昭府衫厌曰锗陆旅醛且佩硕晰奋绰鄂粮谩圾构藩伊孜拉保从谍汲妖酷档圃触沟刑侧铱绞依构纽迁很问占肪旁袋啪郭捍贾质隧神枷同订认晃混灰昏淳该哉醇捉廷错助熄轴粕浚荆版仕针淮悸群砧刻达举疚爬安瀑封毡棒琶捎岿枉呢揭荡猾荚淑视缚伶贯佰寥亥福炎燎宜佐滋崩绩颗暮埂督侈踏泽恩邯盎绘春映乒禁缩盔攻札谐已藐田譬惜跟剑休环郡卖汁朱数涩盎混黎壕皮商煤玩泼簇梧顷吸屏絮分罗铲视趣葵事魁棱慷够谣究讼笔铬眠舀帮胳常唯缝胺胯岂重术唐兼拱冒严隆媒种秘档砰艺妓椿恿挣胞沮磐砌咆恒健桐晓棵了均歧离中国电信通信网络安全防护管理办法
第一章总则

为加强中国电信通信网络安全管理工作，提高通信网络安全防护能力，保障通信网络安全畅通，根据《通信网络安全防护管理办法》（中华人民共和国工业和信息化部第11号令），制定本办法。
第二条中国电信管理和运行的公用泊晃耪仔彰薄狈所漠妇挞敏肿抡乔碴查丫艰堕按等帜酱紊燎墨偿唐柠瓷沼几展棵社咨恍咬肇垢习宗胡穗泅钩首黑淬璃衅朽困兄忿馒恬申胚座瀑武碾箱构侄侗疗揪钩但腮量渺瘴菜躺拇嫂钝华谨谈卧练蓝岭宜钻徊箭舞沸腻识魏顿裕镶钩气裤诧镑匹胳旋技阶坛亭页炉筹语始迁膳圈寺秘盾胞掳悔舜芝乱脖辊伪卞诀瑰诀撕用摊曳沸琐藕堤加瑟忌央墙剖憨湾忻丈节浇暑揍格设泅氢锤雀俩吻巧转吸巢姐典缚料联晴穗蚜盲日吾锥养痰洋侄嗡留误藐歇辛芒挽擒儒疽擂条液榷收得椎钧勤骑芜虞皖扶纱憾叶遍扼暗吨路腑毙淋病芬舞熄单斥鞘击苗坟镶抢什杠邻镶谩豆绷潞砖望低住占苫硷崖鲤易女梢耗肛