关于进一步开展电信网络安全防护工作的实施意见.pdf

关于进一步开展电信网络安全防护工作的实施意见中华人民共和国信息产业部各省、自治区、直辖市通信管理局中国电信集团公司、中国网络通信集团公司、中国移动通信集团公司、中国联合通信有限公司、中国卫星通信集团公司、中国铁通集团有限公司信息产业部电信研究院、国家计算机网络应急技术处理协调中心：为进一步贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）精神加快推进电信网络的等级保护、风险评估、灾难备份等安全防护工作结合国务院信息化工作办公室、公安部等关于风险评估、等级保护、灾难备份的有关工作要求保证电信网络安全防护工作整体、规范、科学、有序地开展在总结电信网络安全防护标准化和相关试点工作的基础上就电信行业进一步全面开展电信网络安全防护工作提出以下意见。一、电信网络安全防护工作的总体思路和基本原则（一）总体思路1、电信网络安全防护工作的主要内容电信网络安全防护工作包括等级保护、风险评估、灾难备份等以事前防护和准备为主的相关工作内容总体目标是要从管理和技术等多个方面落实和改进与电信网络的重要性及面临的威胁相适应的安全保护措施以提高电信网络的安全保护能力和水平有效减少严重网络安全事件的发生。等级保护是根据被保护对象一旦遭受破坏后对国家安全、社会秩序、经济建设、公共利益以及公民、法人和其他组织的合法利益的危害程度大小确定被保护对象的安全保护等级并落实与安全保护等级相适应的基本安全保护措施。风险评估是通过系统地认识和分析被保护对象的相关资产、存在的脆弱性、面临的威胁以及已有保护措施的有效性科学推断出安全事件发生的可能性和可能造成的危害程度并提出和落实有针对性的整改措施将残余风险降低到可以接受的程度。灾难备份是对重要线路、设备、业务系统和数据等进行冗余备份保证当主用线路、设备、业务系统和数据发生故障或遭到破坏后有条件迅速切换使用相应的备用资源提高网络和业务的抗毁性和可持续服务能力。2、将等级保护、风险评估、灾难备份等有机结合等级保护、风险评估、灾难备份等工作相互之间密切相关、互相渗透、互为补充。电信网络安全防护应将等级保护、风险评估、灾难备份等工作有机结合加强相关工作之间的整合和衔接保证电信网络安全防护工作的整体性、统一性和协调性。电信网络安全防护工作应按照根据被保护对象的重要性进行分等级保护的思想通过风险评估的方法正确认识被保护对象存在的脆弱性和面临的威胁进而制定、落实和改进与安全保护等级和风险大小相适应的一系列管理、技术、灾难备份等安全保护措施最终达到提高电信网络安全保护能力和水平的目的。在开展等级保护工作时要充分应用风险评估的方法认识、分析不同类型的网络和业务存在的脆弱性和面临的威胁进而制定和落实与被保护对象的类型、脆弱性和威胁相适应的基本安全保护措施要求提高等级保护工作的针对性和适用性。在开展风险评估工作时在分析被保护对象综合风险和制定改进方案的过程中要始终与被保护对象的安全保护等级相结合合理确定被评估对象的可接受风险和制定确实必要的整改措施避免无限度的改进提高。在开展灾难备份工作时要结合被备份对象的安全保护等级和面临的威胁制定相适应的备份措施并将有关备份的要求体现在等级保护相关标准的措施要求中进行落实。3、运营单位自主防护与行业主管部门监督检查相结合按照“谁主管、谁负责谁运营、谁负责”的原则电信网络安全防护工作实行电信运营企业自主防护与电信行业主管部门监督检查相结合的工作机制。电信运营企业应当按照电信监管部门的要求结合企业自身实际情况认真贯彻落实电信网络安全防护的相关规定和标准并接受电信监管部门的监督检查。电信监管部门负责组织制定和推广科学、有效、适用的电信网络安全防护实施方法和保护措施指导电信业务经营者规范开展电信网络安全防护工作并监督检查电信网络安全防护工作的落实情况不断健全科学、规范、有效的电信网络安全防护管理体系。（二）基本原则电信网络安全防护工作应遵循以下基本原则：1、整体性原则。电信网络由各种设备、线路和相应的支撑、管理单元互联组成具有全程全网的特点对电信网络某一部分的调整或改动（包括实施各项保护措施）可能影响整个电信网络的安全可靠运行。因此电信网络安全防护工作应坚持对整个网络统筹兼顾由信息产业部会同各电信运营企业集团公司结合电信网络的实际特点统一研究和组织部署。2、规范性原则。电信网络种类繁多、结构复杂安全防护工作涵盖线路、设备、网络、业务系统等多种对象涉及管理、技术等多个方面包括安全评测、风险评估等多项环节是一