中国移动云南公司信息安全合规管理平台建设研究.docxVIP

N E T W O R K A N D I N F O R M N E T W O R K A N D I N F O R M A T I O N S E C U R I T Y C O L U M N T E L E C O M E N G I N E E R I N G T E C H N I C S A N D S T A N D A R D I Z A T I O N 中国移动云南公司信息安全合规管理平台建设研究 孔令南，谭智，杨果 （中国移动通信集团云南有限公司，昆明 650000） 摘 要 云南移动信息安全合规管理平台以技术合规工具集成、安全管理与业务融合、定量化多维合规评价为着眼 点，实现技术与管理的有效融合，降低安全合规成本，保障系统平稳运行，维护企业利益，为企业战略决策 提供辅助信息。 网络与信息安全；客户信息安全； 控制矩阵；安全对象管理 关键词 中图分类号 TN918 文献标识码 A 文章编号 1008-5599（2012）12-0036-04 随着社会环境、产业环境的变化，电信企业面临的 信息安全形势日益严峻，信息安全事件严重影响着国家 安全、经济和社会稳定、企业利益、企业声誉、客户权 益等多个方面。面对新形势下的安全威胁，加强电信企 业信息安全管理刻不容缓。 中国移动云南公司（以下简称“云南移动”）信息 安全合规工作需要遵从众多日益严格的标准和法规，在 资源有限的前提下，依据栅栏管控、效益成本原则，通 过建设信息安全合规管理平台，梳理公司内部各部门的 信息安全的相关工作职责，实现闭环管理，提高云南移 动的信息安全合规管理水平。 云南移动信息安全合规管理框架分成 4 部分 ：信息 安全合规矩阵、信息安全合规管理系统、管理合规和技 术合规，目前管理合规和技术合规有部分实现外，信息安 全合规矩阵和信息安全合规管理系统都没有梳理和建设。 2 实施内容 2.1 系统建设思路 基于云南移动的合规现状，我们需要解决以下 4 方 面的问题 ： (1) 利用与业务融合的安全管理落地的思想实现信 息安全精细化管理。 (2) 利用管理与技术结合、闭环管理的平台来解决 管理脱节的问题。 (3) 利用涵盖面广、指标精细的技术检查手段来解 决合规自动化支撑不足的现状。 (4) 利用定量化多维合规评价模型来辅助管理层决 策。 1 背景和现状 云南移动作为首批试点单位，将在集团合规管理平 台的整体规划基础上，依据云南移动企业特点和管理需 求，建设云南合规管理平台，在完成集团试点任务的同 时，进一步提升云南移动信息安全管理能力。 收稿日期 ：2012-11-20 36 ·2012年 第12期· 网络与信息安全专题N E T W O R K A 网络与信息安全专题 N E T W O R K A N D I N F O R M A T I O N S E C U R I T Y C O L U M N 电信工程技术与标准化 在集团公司信息安全管理中心的指导和要求下，分 别与云南移动 8 个业务部门需求访谈结果分析的基础上， 云南合规管理平台项目建设范围主要包括 3 个层面 ：矩 阵规划与建设、合规平台建设、安全技术工具支撑。 3 个层面之间的关系为 ：将信息安全矩阵固化到平 台的后台数据库中，同时平台能够快捷的维护信息安全 矩阵。合规管理平台可有效的监督合规的执行情况，合 规技术工具将能够支撑平台的合规检查管理模块提供自 动化的手段。 2.2 系统总体架构 依据云南合规管理平台建设思路设计出系统建设总 体架构，由硬件及网络、数据集成、技术支撑层、应用 层和展现层组成。 数据集成层是云南合规管理平台的重点，应用层是 平台提供的核心功能模块，展现层是对系统的业务进行 集中展现，让使用者可以快速了解信息安全合规工作进 展情况。 2.3 信息安全合规评价建设具体做法 2.3.1 与业务融合的安全管理落地 利用“三同步”与业务相融合的责任制矩阵、控制 矩阵、检查矩阵解决业务部门长期被动推动安全执行工 作、运维部门闭门自管安全的现状，将网络部从尴尬的 管理窘境中解放出来，把更多的精力投入到整体安全规 划、整体策略制定、安全监督的本职工作中。 2.3.1.1 三同步流程设计 在规划、建设、运行、退出阶段设定各部门的安全 职责，有效将网络部从繁琐的三同步流程解放出来，如 图 1 所示。 2.3.1.2 三同步安全管理流程落地表单设计 利用表单的填表人员和审批人员让业务部门和维护 部门将流程运转起来，避开执行人员需要解读，管理人 员需要解释繁琐的流程说明，使得安全执行灵活化，安 全责任明确化。 2.3.1.3 平台责任制矩阵设计 云南移动的责任制矩阵将牵头协调