一种矩阵化的信息安全责任划分技术的制作方法
【专利摘要】本发明的目的在于提供一种矩阵化的信息安全责任划分技术，以数据安全防护责任矩阵为核心，落实每个系统和每条数据的安全责任人，落实每个系统和每条数据的所有控制点、控制措施和流程，并以此为核心落实配套的安全岗位和职责、安全策略和制度规范、安全流程、安全技术防护措施和安全考核指标体系，明确核心数据的主要控制环节和控制点要求，并依据责任类型，将责任层层分解落实到具体的岗位和人员，防止核心数据泄露及被篡改事件的发生。
【专利说明】一种矩阵化的信息安全责任划分技术
【技术领域】
[0001]本发明一般涉及计算机信息系统的安全【技术领域】。
【背景技术】
[0002]随着信息技术的发展和数据集中，数据的价值越来越高，已经成为黑客、不法人员的重点攻击对象和盈利手段，而企业由于核心数据泄漏带来的品牌和核心竞争力的损失也越来越大。核心数据安全正日益成为企业安全管理和风险控制的核心内容。
[0003]从安全威胁来看，安全攻击逐渐向趋利化、自动化、组织化和产业化方向发展，以经济为主导的外部黑客产业链初具规模，信息犯罪已经逐步转向追求经济或政治利益。运营商信息化系统承载着大量2G、3G和固网客户信息，对黑客和不法利益团体有着天然的吸引力。一旦这些核心数据泄露或失窃，将对运营商的企业形象造成不可挽回的负面影响，严重打击客户信心。
[0004]从安全监管来看，数据安全日益受到国家监管部门及各电信运营商的普遍重视。《信息产业“十一五”规划》中明确提出“十一五”时期信息基础设施建设应重点关注推进综合信息基础设施建设、促进网络资源整合利用、强化网络与信息安全，构建安全可靠的信息应用环境；工信部等监管部门制定了电信网络安全防护规范，并开展定期的安全检查活动，要求运营商切实落实各项安全工作，保障系统安全运行。
[0005]数据资产核心价值最高，风险最为复杂、集中，防护基础最为薄弱。因此，信息安全工作应以核心数据安全作为核心，形成自上而下逐层分解的矩阵化的数据安全责任和管控要求，形成对核心数据的全面监控、通报、整改、考核的机制，推动核心数据安全管控在各系统、各类人员、各操作使用环节的落实。
【发明内容】
[0006]本发明的目的在于提供一种矩阵化的信息安全责任划分技术，以数据安全防护责任矩阵为核心，落实每个系统和每条数据的安全责任人，落实每个系统和每条数据的所有控制点、控制措施和流程，并以此为核心落实配套的安全岗位和职责、安全策略和制度规范、安全流程、安全技术防护措施和安全考核指标体系，明确核心数据的主要控制环节和控制点要求，并依据责任类型，将责任层层分解落实到具体的岗位和人员，防止核心数据泄露及被篡改事件的发生。
[0007]在核心数据安全防护责任矩阵中，将核心数据分为十类，分别是:客户基本资料、客户密码、客户通信信息、客户业务信息、员工信息、财务信息、工程资料、经营数据、商业秘密、合同文档。
[0008]核心数据安全防护责任矩阵具体展现形式分为4张矩阵表，I张总表，3张分表。
[0009]1.《总表-核心数据安全防护责任总矩阵》；
[0010]2.《分表1-系统开发环节数据安全防护责任分解矩阵》；
[0011]3.《分表2-系统运行环节数据安全防护责任分解矩阵》；[0012]4.《分表3-系统维护环节数据安全防护责任分解矩阵》。
[0013]核心数据安全防护责任总矩阵定义核心数据安全防护工作专项负责人作为核心数据安全的总责任人，确保所有涉及核心数据的信息化系统都有明确的责任分解。出现重大安全事件，属于列入责任矩阵的系统和数据的，按责任矩阵分解责任；未列入责任矩阵的系统和数据的，由总责任人承担责任。按照业务系统梳理并选择所含核心数据的类型，明确对于该系统内所有核心数据安全管理的第一责任人。第一责任人对该业务系统内所有核心数据的安全风险承担总的管理、执行、监督的责任。第一责任人负责将责任矩阵逐层细化分解并落实到人。
[0014]数据安全防护责任分解矩阵涉及系统开发环节、系统运行环节和系统维护环节三个阶段。
[0015]系统开发环节安全责任包括:
[0016]1.应依照核心数据的安全设计，通过应用开发，逐一实现对核心数据的安全管理功能；
[0017]2.设计书中的安全功能可通过使用专用的安全产品或系统实现，应提供专用产品或系统的工程方案、实现功能、配置使用等方面的资料。
[0018]3.应遵循应用开发的代码安全规范进行程序编码和代码版本的安全管理。
[0019]4.应遵照开发类敏感资料的安全管理规定，进行相应文档及资料的安全防护及管理。
[0020]5.应通过手工、工具等方式，实施对核心数据的相应保护要求，对必须使用的核心数据，应记录可直接接触的人员、终端IP及Mac地址。
[0021]6.测试数据的使用应按要求严格执行申请与审批，并留有相应记录。
[0022]7.应通过设置防火墙、路由器等网络层访问控制规则，对开发环境进行保护、隔离及控制，对于开发人员的远程接入按管理要求进行限制，并应保留相应访问记录。
[0023]8.应对开发终端进行防病毒、补丁管理等安全防护，并实施准入控制。
[0024]9.应对开发测试环境中的服务器进行补丁管理。
[0025]10.应遵照端口服务相关管理流程及规定，提交服务端口及变更清单，进行备案。
[0026]11.第三方厂商及人员，应签订含有安全要求的保密协议或安全责任书。
[0027]12.第三方人员应在设计、开发、测试等环节，严格执行安全管理制度中对于终端安全防护、网络接入、帐号权限等方面的安全要求，第三方人员终端应安装终端审计软件。
[0028]13.应通过网络设备、数据库、操作系统等的操作日志记录功能或其他系统及手段，对于核心数据访问操作按要求进行日志记录。
[0029]14.第三方人员在设计、开发、测试、上线等各环节对于核心数据的使用必须严格执行申请审批流程，经审批后方可使用。申请及审批需保留记录。
[0030]15.应在第三方人员入场前按照安全培训要求，对其进行安全管理制度的培训，该培训还应在整个开发期间定期进行。每次培训应记录培训时间、培训内容、受培训人员、培训考试情况等。
[0031]16.第三方人员应严格执行安全制度要求，在其所在的设计、开发、测试环境内张贴第三方人员安全管理制度，供学习并参照执行，以加强安全意识，形成自觉遵守安全制度的习惯。[0032]17.第三方人员应严格执行安全制度要求，对核心数据不得随意使用、保留和转发。
[0033]18.依照并执行第三方人员的变更管理制度及流程，对变更申请进行审批，进行账号新增、授权、权限回收、网络设置调整、数据清理等操作，并留有记录。
[0034]系统运行环节安全责任包括:
[0035]1.应使用应用程序收集模块(或系统)所实现的安全功能，实施敏感数据的收集操作。包括但不限于:加密传输、帐号认证及权限管理等。
[0036]2.应采用规定的专用工具或者系统(如加密)实现对收集操作的安全管理、采集帐号的认证及权限管理等。
[0037]3.应执行对于收集帐号变更申请审批的流程，经流程审批后，对收集帐号进行创建、变更、回收等管理，并留有记录。
[0038]4.应通过收集程序(或系统)或者规定使用的专用工具，实现收集操作的日志记录，或将日志转发到集中的日志管理系统。
[0039]5.应使用应用程序中提供的对核心数据的安全存储功能，包括但不限于:加密功能、授权及访问管理功能。
[0040]6.可通过专用安全工具或系统实现对存储的敏感数据的安全防护要求
[0041]7.应对核心数据访问严格执行申请审批流程，在审批后实施查询、取数等操作，并留有记录。
[0042]8.应通过应用程序(系统)或者规定使用的专用工具，实现对核心数据访问操作的日志记录，或将日志转发到集中的日志管理系统。
[0043]9.应使用应用程序的发布模块提供的安全发布功能，实施核心数据的发布操作。
[0044]10.应采用规定的专用工具或者系统(如加密)实现对发布操作的安全管理、发布帐号的认证及权限管理等。
[0045]11.应通过发布程序(系统)或者规定使用的专用工具，实现发布操作的日志记录，或将日志转发到集中的日志管理系统。
[0046]12.应对发布帐号执行变更申请审批的流程，经流程审批后，对帐号进行创建、变更、回收等管理，并留有记录。
[0047]13.应对核心数据的发布，严格执行发布操作的申请审批流程。
[0048]14.应严格执行核心数据外发的各项管理要求。
[0049]15.应使用应用程序的功能中所实现的安全操作手段，实施核心数据的一般性操作，包括但不限于:帐号的认证、授权、操作时间、数据范围等。
[0050]16.应采用规定的专用工具或者系统(如:加密、4A)实现对核心数据一般性操作的安全管理、一般性操作帐号的认证及权限管理等。
[0051]17.应对一般性操作帐号执行变更申请审批的流程，经流程审批后，对收集帐号进行创建、变更、回收等管理，并留有记录。
[0052]18.应通过应用程序(系统)或者规定使用的专用工具，实现一般性操作的日志记录，或将日志转发到集中的日志管理系统。
[0053]19.应使用应用程序中所提供的安全操作功能或手段，实施批量下载和导出的操作，安全手段包括但不限于:帐号的认证、授权、操作时间、数据范围等。[0054]20.应采用规定的专用工具或者系统(如:加密)实现对核心数据批量下载及导出操作的安全管理、操作帐号的认证及权限管理等。
[0055]21.应对数据批量下载和导出操作帐号执行变更申请审批的流程，经流程审批后，对收集帐号进行创建、变更、回收等管理，并留有记录。
[0056]22.应通过应用程序(系统)或者规定使用的专用工具，实现批量下载及导出操作的日志记录，或将日志转发到集中的日志管理系统。
[0057]23.应对核心数据的批量下载及导出，严格执行操作的申请及审批流程。
[0058]24.第三方厂商及合作伙伴，应签订含有安全要求的保密协议或安全责任书。
[0059]25.第三方合作伙伴人员应严格执行安全管理制度中对于终端安全防护、网络接入、帐号权限等方面的安全要求，第三方人员终端应安装终端审计软件。
[0060]26.应通过网络设备、数据库、操作系统等的操作日志记录功能或其他系统及手段，对于核心数据访问操作按要求进行日志记录。
[0061]27.第三方人员对核心数据的访问及使用必须严格执行申请审批流程，经审批后方可使用。申请及审批需保留记录。
[0062]28.应对第三方人员进行安全管理制度的培训，每次培训应记录培训时间、培训内容、受培训人员、培训考试情况等。应就安全管理制度内容对第三方合作伙伴进行定期的安全通告，不断强化安全意识。
[0063]29.第三方人员应严格执行安全制度要求，对核心数据不得随意使用、保留和转发，对核心数据不得违规批量下载及导出。
[0064]30.依照并执行第三方人员的变更管理制度及流程，对变更申请进行审批，进行账号新增、授权、权限回收、网络设置调整、数据清理等操作，并留有记录。
[0065]系统维护环节安全责任包括:
[0066]1.应按要求执行应用系统帐号及权限的安全管理，可采用规定的专用工具或者系统，实现应用帐号的实名制管理、安全认证、权限管理等。
[0067]2.应对访问核心数据的应用日志进行开启和转发的配置，将应用系统帐号的操作信息进行记录，或转发到集中的日志管理系统。
[0068]3.应用帐号及权限的变更应严格执行相应的申请及审批流程，并留有相关记录。
[0069]4.应定期(每月一次)对应用系统帐号实施口令加固(应用程序实现的除外)，形成加固记录
[0070]5.应遵照管理规定，实施服务及端口清单备案，对应用端口的变更实施申请及审批，并保留记录。
[0071]6.应遵照管理规定，实施应用软件的变更申请及审批流程，并在变更前实施应用安全的评估，并保留记录。
[0072]7.应按要求执行操作系统帐号及权限的安全管理，可采用规定的专用工具或者系统，实现服务器帐号的实名制管理、安全认证、权限管理等。
[0073]8.应对存放核心数据的服务器进行日志记录和转发的配置，将帐号的操作信息进行记录，或转发到集中的日志管理系统。
[0074]9.操作系统帐号及权限的变更应严格执行相应的申请及审批流程，并留有相关记录。[0075]10.应定期(每月一次)对服务器操作系统帐号实施口令加固，形成加固记录。
[0076]11.应遵照规范实施操作系统、中间件、Web service等的安全加固，形成加固记录。
[0077]12.应遵照规范及流程进行服务器的补丁测试和更新工作。
[0078]13.应遵照管理规定，对服务器安全配置的变更执行申请及审批流程，并保留记录。
[0079]14.应按要求执行数据库帐号及权限的安全管理，可采用规定的专用工具或者系统，实现数据库帐号的实名制管理、安全认证、权限管理等。
[0080]15.应对存放核心数据的数据库部分开启审计功能，或通过专用系统对数据库操作进行审计。
[0081]16.数据库帐号及权限的变更应严格执行相应的申请及审批流程，并留有相关记录。
[0082]17.应定期(每月一次)对数据库帐号实施口令加固(用于程序实现的帐号除外)，形成加固记录。
[0083]18.应遵照规范实施数据库的安全加固，形成加固记录。
[0084]19.应遵照规范及流程进行数据库的补丁测试和更新工作。
[0085]20.应遵照管理规定，实施数据库安全配置的变更申请及审批流程，并保留记录。
[0086]21.应按要求执行网络设备帐号及权限的安全管理，可采用规定的专用工具或者系统，实现网络设备帐号的实名制管理、安全认证、权限管理等。
[0087]22.应核心数据服务器边界的网络设备进行日志记录或转发的配置，将帐号的操作信息进行记录，或转发到集中的日志管理系统。
[0088]23.网络设备帐号及权限的变更应严格执行相应的申请及审批流程，并留有相关记录。
[0089]24.应定期(每月一次)对网络设备的帐号实施口令加固，形成加固记录。
[0090]25.应遵照规范实施网络设备的加固，形成加固记录。
[0091]26.应遵照规范及流程进行网络设备的补丁测试和更新工作。
[0092]27.应遵照规定及流程要求，实施网络及防火墙等设备访问控制策略的调整，包括变更申请、审批及操作，保留操作记录。
[0093]28.应执行网络入侵防御系统的安全管理规定和运维作业计划
[0094]29.应严格执行核心数据互联网泄密管理规定。
[0095]30.通过终端安全管理系统及辅助管理手段落实终端安全的管理规范。
[0096]31.通过终端准入控制系统实施对终端的准入管理。
[0097]32.对能够访问到核心数据的终端，通过专机专用、IP/MAC地址绑定等方式限定对核心数据访问的终端，并通过其他专用系统或工具对核心数据在终端上的保存、复制、转存、外发等实施严格的管理。
[0098]33.应通过备份及归档工具或系统，按管理要求实施备份与归档操作；
[0099]34.核心数据的备份与恢复、数据回收及销毁操作应执行相应管理流程，并保留记录。
[0100]35.应通过规定的专用工具(如:加密或文档授权管理系统)执行保密管理规定的要求。
[0101]36.第三方厂商及合作伙伴，应签订含有安全要求的保密协议或安全责任书。
[0102]37.第三方代维人员应严格执行安全管理制度中对于本地维护终端安全防护、网络接入、远程接入控制、帐号权限等方面的安全要求，第三方人员终端应安装终端审计软件。
[0103]38.应通过网络设备、数据库、操作系统等的操作日志记录功能或其他系统及手段，对于核心数据的维护操作及访问按要求进行日志记录。
[0104]39.第三方人员对核心数据的访问及使用必须严格执行申请审批流程，经审批后方可使用。申请及审批需保留记录。
[0105]40.应在第三方人员入场前按照安全培训要求，对其进行安全管理制度的培训，该培训还应在整个开发期间定期进行。每次培训应记录培训时间、培训内容、受培训人员、培训考试情况等。
[0106]41.第三方人员应严格执行安全制度要求，在其所在的运维环境内张贴第三方人员安全管理制度，供学习并参照执行，以加强安全意识，形成自觉遵守安全制度的习惯。
[0107]42.第三方人员应严格执行安全制度要求，对核心数据不得随意使用、保留和转发，对核心数据不得违规批量下载及导出。
[0108]43.依照并执行第三方人员的变更管理制度及流程，对变更申请进行审批，进行账号新增、授权、权限回收、网络设置调整、数据清理等操作，并留有记录。
【专利附图】
【附图说明】
[0109]参考以下结合附图的详细说明，本发明的特征、优点及其其它方面将变得更加明显,其中:
[0110]图1示意性示出了本数据安全防护责任矩阵总体架构图；
[0111]图2示意性示出了责任矩阵覆盖的系统生命周期图；
[0112]图3示意性示出了数据安全防护的责任矩阵示例图。
【具体实施方式】
[0113]数据安全防护责任矩阵具体的使用方法如下:
[0114]1.首先填写《总表-核心数据安全防护责任总矩阵》，列出本部门涉及核心数据的所有信息化系统，并选择各业务系统含有的核心数据类型(在方框中打“V”)和数据安全的第一责任人。该表每个部门填写一张。
[0115]2.其次填写《分表1-系统开发环节数据安全防护责任分解矩阵》、《分表2-系统运行环节数据安全防护责任分解矩阵》和《分表3-系统维护环节数据安全防护责任分解矩阵》三个分表，《总表-中国联通信息化系统核心数据安全防护责任总矩阵》中的每一个业务系统对应一组三张分表，按照总表中业务系统的罗列顺序依次添加。
[0116]3.矩阵中的“控制点”填主要责任人，如涉及多个责任人时，应选定一个责任人为主要责任人，各部门可根据实际责任划分在后续工作中自行细化、分解。
[0117]4.矩阵中出现灰色方框表示该部分不必填写。
【权利要求】
1.一种矩阵化的信息安全责任划分技术，其特征在于，以数据安全防护责任矩阵为核心，通过矩阵的方式分解信息安全责任，覆盖数据和系统全生命周期。
2.根据权利要求1所述的安全责任矩阵，其特征在于，将管理责任、执行责任和考核责任分离，并基于不同控制要求形成责任矩阵。
3.根据权利要求1所述的数据安全生命周期，其特征在于，系统和数据全流程分为系统开发环节、系统运行环节和系统维护环节的责任。
【文档编号】G06Q10/06GK103473624SQ201310244708
【公开日】2013年12月25日 申请日期:2013年6月20日 优先权日:2013年6月20日
【发明者】柳博亮, 耿向东, 娄瑜, 刘险峰, 杨利 申请人:中国联合网络通信集团有限公司