客戶信息安全保護的標準化進展及解決方案

劉佳, 杜雪濤, 冀文, 張琳（中國移動通信集團設計院有限公司，北京 100080）

客戶信息安全保護的標準化進展及解決方案

劉佳, 杜雪濤, 冀文, 張琳
（中國移動通信集團設計院有限公司，北京 100080）

摘 要本文跟蹤了信息安全及客戶信息安全相關標準的進展，并重點對客戶信息安全保護的相關標準進行了全面解讀，提出需要技術管理相結合的方式對運營商企業的客戶信息進行全面保護的方案。

關鍵詞信息安全；客戶信息；技管結合

1　引言

近年來，個人信息被泄露的情況時有發生，國家以及整個行業都對客戶信息泄露問題十分重視。國家對客戶信息保護有一些明確的要求，2009年《中華人民共和國刑法修正案》明確規定將本單位在履行職責和提供服務過程中獲得公民個人信息，出售或者非法提供給他人，這樣的行為都要受到刑法的處罰。

工信部在《基礎電信企業信息安全責任管理辦法》中也規定，電信企業應該依法保護客戶信息安全，企業及其工作人員不得擅自向他人提供用戶使用電信網絡所傳輸的信息內容，有關資料應該依法保護。所以保護客戶信息安全是電信運營商應該承擔的社會責任，也是高度關注的敏感話題。

2　信息安全及客戶信息安全標準化進展

隨著人們對信息安全風險管理的日益重視，世界各國、國際組織紛紛推出相應的標準，以指導信息安全風險管理實踐。客戶信息安全作為特殊的一部分，也有相應的行業標準相繼提出。本文將就信息安全及客戶信息安全標準的制定進展進行梳理。

2.1信息安全標準化進展

2.1.1 國際標準化組織

國際標準化組織（ISO）制定了ISO/IEC15408、ISO/IEC13335、ISO/IEC17799、ISO/IEC27001等信息安全領域的若干標準。其中，ISO/IEC 15408對應的是由美國的NSA、NIST的代表會同加拿大、英國、荷蘭、法國、德國共同起草的通用標準CC（Common Criteria），它吸收了《可信計算機系統評估準則TCSEC》、《加拿大可信計算機產品評估準則CTCPEC》以及《信息技術安全評估準則ITSEC》等內容，是通用的信息技術產品和系統安全性的評估準則；ISO/IEC 13335標準則主要對信息安全的概念與模型、安全管理與策劃、安全管理技術、防護措施的選擇、網絡安全管理等多方面內容進行了較為詳細的闡述；ISO/IEC

17799、ISO/IEC 27001，分別對應BS 7799-1與BS 7799-2，建立了信息安全管理系統的一套需求規范，其中詳細說明了建立、實施和維護信息安全管理體系的要求。

2.1.2 英國

英國標準協會（BSI）制定了BS7799-1、BS7799-2，后來分別被國際標準化組織接受，成為ISO/IEC 17799、ISO/IEC27001。目前，BS7799認證已成為衡量信息安全管理水平的通用標準。由于BS7799本身不具有很強的可實施性，BSI組織提供了一組有針對性指導文件。另外，英國政府的中央計算機和通信機構（CCTA）提出了著名的IT基礎架構庫（ITIL），在歐洲、北美乃至全世界都非常盛行，得到了世界的廣泛認可，很多IT著名廠商都根據ITIL制定了自己的服務管理模型。

2.1.3 美國

美國國家標準技術局（NIST）制定了一系列標準，如SP 800-18《IT系統安全計劃開發指南》、SP 800-26《IT系統安全自評估指南》、SP 800-30《IT系統風險管理指南》、SP 800-30《IT系統風險管理指南》等。2.1.4 中國

我國制定的有關信息安全管理的標準主要有《計算機信息系統安全保護等級劃分準則》；GB/T 18336-2001《信息技術 安全技術 信息技術安全性評估準則》；GB/T 19716-2005《信息技術 信息安全管理實用規則》；GB/T 20269-2006《信息安全技術 信息系統安全管理要求》；GB/T 20274.1-2006《信息安全技術信息系統安全保障評估框架》等標準。

2.2客戶信息安全標準化進展

客戶信息安全在國內運營商企業內，一直作為安全重點問題備受重視。因此也在中國通信標準化協會CCSA上相繼提出了若干標準，目前已經發布的有YD/T 2670-2013《基礎電信運營企業移動網絡客戶信息安全管理框架》和YD/T 2671-2013《分權模式（金庫模式）客戶信息安全保護技術要求》兩個行業標準，其中YD/T 2670-2013《基礎電信運營企業移動網絡客戶信息安全管理框架》在制定過程中參照和ISO 27001系列并做了嚴格對標，重點從客戶信息的管理手段、技術保護手段等方面進行規范；YD/T 2671-2013《分權模式（金庫模式）客戶信息安全保護技術要求》是針對客戶信息安全保護提出了一種“多人操作”共同協作完成客戶信息操作的實現方法，標準中詳細講解了分權模式的授權、觸發模式以及實現流程，是客戶信息安全保護的一種具體實現方式。

3　客戶信息安全保護方案解讀

本節將重點針對《基礎電信運營企業移動網絡客戶信息安全管理框架》進行解讀，并把《分權模式（金庫模式）客戶信息安全保護技術要求》作為客戶信息安全保護的一種特殊技術與《基礎電信運營企業移動網絡客戶信息安全管理框架》相結合，闡述技管結合的客戶信息完整保護方案。

3.1客戶信息操作的管理方案

3.1.1 人員對客戶信息的操作管理

業務人員、運維支撐人員、開發人員在進行業務操作時，會接觸大量的客戶信息，存在客戶信息泄露的風險。因此，人員對客戶信息的操作必須遵循相應的授權審批流程。

（1）根據業務人員接觸到客戶信息的重要程度，一般采取的授權審批流程略有不同。業務人員在進行涉及普通客戶信息的操作時要獲得客戶的同意，并且按照正常的鑒權流程通過身份認證，鑒權一般采取有效證件或服務密碼驗證，并保留業務受理單據；如果是涉及客戶通話詳單、集團客戶詳細資料等客戶信息的查詢，業務人員只能在響應客戶請求時，并且客戶自身按照正常流程通過身份鑒權的情況下，協助客戶查詢，禁止服務營銷人員擅自進行查詢，查詢需保留業務受理單據；如果是其他人員因投訴處理、營銷策劃、經營分析等工作需要查詢和提取客戶信息的，業務管理部門應建立明確的

操作審批流程，定期進行嚴密的事后審核。

（2） 針對運維支撐人員，需制定并維護業務系統的層角色權限矩陣，明確各崗位角色對客戶信息的訪問權限，明確未經授權的運維支撐人員不允許有客戶信息的訪問權限。除此之外，運維支撐人員對業務系統的應用層的訪問權限必須具有明確的工單并經過審批，在開發測試環境下導出的客戶信息必須進行模糊化。

（3）開發人員在系統開發、測試、上線等環節中，會接觸到各類客戶信息。因此，除了簽署嚴格的安全協議，開發人員的工作區域應與生產、內部辦公、維護區域分離，并應采用嚴格的訪問控制策略和管控手段；使用的測試數據不應當反映用戶的真實信息，必須是經過模糊化處理的數據。

3.1.2 客戶信息安全審核

安全審核主要分為操作日志審核、合規性審核和日常例行安全審核與風險評估。

（1）日志審核是對操作日志與工單等原始憑證進行比對，分析查找違規行為。日志審核是發現客戶信息泄露的主要途徑之一。安全員的設置要遵循“職責不相容”原則，即安全員應與系統管理員、業務操作人員分開，由專人擔任，安全員應定期開展安全審核。

（2）合規性審核是根據法律法規、安全策略和標準、技術標準等要求，對客戶信息的安全防護工作的符合性進行檢查。客戶信息安全防護包括事前預防、事中控制、事后審核。合規性審核的總體范圍涵蓋客戶信息安全防護的各個方面。

（3）日常例行安全審核是指運維支撐部門對所負責維護的系統進行的常規性安全審核，包括日常日志審核、漏洞掃描、基線審核等。日常例行安全審核屬于日常維護審核的范疇，應制定每日、周、月、季度日常檢查報表，并按相應頻次進行檢查；風險評估是對系統面臨的威脅、存在的弱點、造成的影響，以及三者綜合作用帶來風險的可能性進行評估。客戶信息系統的風險評估頻次原則上為每半年一次。但在重大活動或敏感時期，應根據要求開展專項風險評估。

3.2客戶信息系統的技術管控

客戶信息系統的技術管控主要包括系統安全防護、用戶訪問操作安全管控、敏感數據傳輸安全管控。

3.2.1 系統安全防護

系統安全防護是從系統設計到日常運行維護的各個方面采用技術手段對系統進行安全防護。主要安全技術手段包括：首先，確保包含客戶信息的系統位于核心安全域，嚴格管理和限制涉及客戶信息的系統與其他系統的互聯互通的能力和范圍，安全域邊界部署防火墻、IDS等設備進行安全域的隔離，并且這些安全邊界的網絡設備應定期進行安全評估和審核；其次，需要加強系統自身安全，在系統設計、系統交付和系統上線階段，根據接口和流程涉及到客戶信息的類型和操作類型（查詢、修改、增刪），來定義安全需求，進行安全評估，基線審查、日常安全運維等安全防護。

3.2.2 統一安全管控系統

用戶訪問操作安全管控包括統一安全管控系統和遠程接入管控系統兩方面內容。統一安全管控系統從技術上限制非授權用戶接觸客戶信息。遠程接入管控系統對遠程登錄用戶的操作進行管控。

為了從技術上限制非授權用戶接觸客戶信息，涉及客戶信息的支撐系統、業務平臺、通信系統等應納入統一安全管理。統一安全管理即指運維人員訪問敏感信息系統的唯一入口，運維人員訪問敏感信息的權限由統一安全管理系統進行管控，運維人員接觸敏感信息，均需在統一安全管理系統進行強認證，同時，完整的操作日志均由統一安全管理系統進行記錄以備審核。

遠程接入作為一種特殊的接入方式，一般由企業內部員工或者需要進行緊急故障處理的非內部人員才能有此權限，遠程登錄必須通過統一安全管控系統進行集中認證、授權和審核，應遵循權限最小化原則，開放用戶能訪問的系統及權限。

YD/T 2671-2013《分權模式（金庫模式）客戶信息安全保護技術要求》中提到的金庫模式實際也是一種統一安全管控技術，即在用戶登入各類客戶信息系統中

時，觸發金庫模式，需要多人操作才能進行后續操作，可以理解為是一種增強型的安全管控技術。

3.2.3 客戶信息泄密防護系統

從支撐系統、業務平臺或通信系統中提取客戶信息時，應從技術手段上防止其被泄密。可以采用防泄密技術手段包括文檔安全管理、終端安全管理、敏感信息監控等。

（1）文檔安全管理

文檔安全管理系統能夠通過采用加密、授權、數字水印、數字簽名等技術手段對文檔進行安全保護，能夠基于用戶角色或主機的進行文檔授權，使其成為受控文檔，僅有被授權的特定用戶或終端才能打開受控文檔，未被授權的人或終端無法打開文檔。

（2）終端安全管理

對能處理客戶信息的終端，需采取統一的接入控制，并定期掃描終端漏洞，統一安裝防病毒軟件，限制移動存儲介質的使用，限制無線網絡的使用。

（3）敏感信息監控系統

敏感信息監控系統一般對在業務支撐網和OA網內，可傳輸的客戶信息進行監控；對通過QQ、MSN、飛信、電子郵件、http等網絡途徑泄密客戶信息進行監控；對監控到的批量傳輸客戶信息的行為進行預警。

4　總結

對于運營商而言，客戶信息一直是被高度關注的敏感話題，因此客戶信息的保護是一項重要又艱巨的任務。本文通過對相關標準的進展和方案進行全面解讀，提出了通過技管集合的方案，將客戶信息保護工作落實到位，并徹底貫徹到客戶信息的整個生命周期，只有這樣才能做到客戶信息的全方位保護。

參考文獻

[1] YD/T 2670-2013. 基礎電信運營企業移動網絡客戶信息安全管理框架[S]. 2013.

[2] YD/T 2671-2013.分權模式（金庫模式）客戶信息安全保護技術要求[S]. 2013.

[3] 范紅. 信息安全風險評估規范國家標準理解與實施[M]. 北京：中國標準出版社， 2008.

Standardization progress and solution of customer information security protection

LIU Jia, DU Xue-tao, JI Wen, ZHANG Lin
(China Mobile Group Design Institute Co., Ltd., Beijing 100080, China)

AbstractThe progress of the relevant standards of the information security and the customer information security is summarized in the paper. The standards of the customer information are interpreted. And it is put forward that the customer information should be protected by technology and management.

Keywordsinformation security； the customer information security； technology and management

收稿日期：2015-07-08

中圖分類號TP918

文獻標識碼A

文章編號1008-5599（2015）11-0050-04