《信息安全技术电信领域大数据安全防护实现指南》

2020年公需科目：网络信息安全1关于手机安全防范建议，下列表述不当的是（）。

[ 单选题：2 分]A 不安装未知来源的小程序B 要经常Root手机C 不要随意打开短信、彩信的链接D 不使用公众场合和陌生人提供的充电宝试题解析您的答案：B回答正确2（）是指针对数据的采集、传输、存储、处理、展示和决策支持等各种技术。

[ 单选题：2 分]A 网络技术B 信息技术C 数字技术D 数据技术试题解析您的答案：A回答错误32020年国务院政府工作报告指出，要加大减税降费力度。

继续执行去年出台的下调增值税税率和企业养老保险费率政策，新增减税降费约（）亿元。

[ 单选题：2 分]A 3000B 4000C 5000D 6000试题解析您的答案：C回答正确4在重庆县区的功能定位中，定位为重庆重要的先进制造业基地、区域综合交通枢纽、宜居宜业的山水园林之城的是（）。

[ 单选题：2 分]A 江津B 涪陵C 南川D 长寿试题解析您的答案：B回答正确52020年国务院政府工作报告指出，要优先（），坚决打赢脱贫攻坚战，努力实现全面建成小康社会目标任务。

[ 单选题：2 分]A 控疫情保民生B 控疫情保经济C 稳就业保经济D 稳就业保民生试题解析您的答案：D回答正确6《中华人民共和国网络安全法》规定，关键信息基础设施的具体范围和安全保护办法由（）制定。

[ 单选题：2 分]A 国务院B 市级政府C 县级政府D 省级政府试题解析您的答案：A回答正确7大数据产生的主体不包括（）。

[ 单选题：2 分]A 微量自动增加的数据B 少量企业产生的数据C 大量人产生的数据D 巨量机器产生的数据试题解析您的答案：A回答正确8下列选项中，不属于手机安全使用好习惯的是（）。

[ 单选题：2 分]A 设置手机开机密码或用指纹开机，但不要用生日、手机号等作密码B 尽量不要把手机、银行卡及身份证放在一起C 开启小额免密支付功能D 不要频繁刷机，正规渠道装软件，装软件前杀毒试题解析您的答案：C回答正确9（）规定了计算机系统实现安全等级保护。

电信网和互联网安全防护管理指南1 范围本标准对电信网和互联网安全防护的定义、目标、原则进行了描述和规范。

同时，对电信网和互联网安全防护体系、安全防护体系三部分工作及其关系进行了说明。

本标准适用于电信网和互联网的安全防护工作。

本标准涉及的电信网和互联网不包括专用网，仅指公众电信网和公众互联网。

2 规范性引用文件下列文件中的条款通过本标准的引用丽成为指导性技术文件的条款。

凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准。

然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。

凡是不注日期的引用文件，其最新版本适用于本标准。

GB/T 5271.8-2001信息技术词汇第8部分：安全3 术语和定义GB/T 5271.8-2001确立的术语和定义以及下列术语和定义适用于本标准。

3.1电信网Telecom Network利用有线和，或无线的电磁、光电系统，进行文字、声音、数据、图像或其他任何媒体的信息传递的网络，包括固定通信网、移动通信网等．3.2互联网Internet泛报广域网、局域网及终端（包括计算机、手机等）通过交换机、路由器、网络接入设备等基于一定的通信协议连接形成的，功能和逻辑上的大型网络．3.3电信网和互联网安全防护体系 Security Protection Architecture of Telecom Network and Intemet电信网和互联网的安全等级保护、安全风险评估、灾难备份及恢复三项工作互为依托、互为补充、相互配合．共同构成了电信网和互联网安全防护体系。

3.4刮言网和互联网安全等级Security Classification of Telecom Network and Internet电信网和互联网及相关系统重要程度的表征。

重要程度从电信网和互联网及相关系统受到破坏后，对国家安全、社会秩序、。

经济运行、公共利益、网络和业务运营商造成的损害来衡量。

电信行业智能化网络安全防护方案第1章网络安全防护概述 (3)1.1 电信网络安全现状分析 (3)1.2 智能化网络安全防护目标与意义 (4)第2章网络安全防护体系架构 (4)2.1 防护体系设计原则 (4)2.2 防护体系架构设计 (5)2.3 防护技术体系 (5)第3章网络安全威胁识别与评估 (6)3.1 常见网络安全威胁分析 (6)3.1.1 恶意软件攻击 (6)3.1.2 网络钓鱼攻击 (6)3.1.3 DDoS攻击 (6)3.1.4 数据泄露 (6)3.2 威胁识别技术 (7)3.2.1 异常检测技术 (7)3.2.2 误用检测技术 (7)3.2.3 深度学习技术 (7)3.2.4 安全情报分析 (7)3.3 风险评估方法 (7)3.3.1 定性风险评估 (7)3.3.2 定量风险评估 (7)3.3.3 模糊综合评价法 (7)3.3.4 威胁建模与仿真 (7)第4章防火墙与入侵检测系统 (8)4.1 防火墙技术与应用 (8)4.1.1 防火墙概述 (8)4.1.2 防火墙技术 (8)4.1.3 防火墙应用 (8)4.2 入侵检测系统原理与部署 (8)4.2.1 入侵检测系统概述 (8)4.2.2 入侵检测系统原理 (8)4.2.3 入侵检测系统部署 (8)4.3 防火墙与入侵检测系统的联动 (8)4.3.1 联动机制 (8)4.3.2 联动策略制定 (8)4.3.3 联动实施与优化 (9)第5章访问控制与身份认证 (9)5.1 访问控制策略 (9)5.1.1 基本原则 (9)5.1.2 访问控制策略的类型 (9)5.2 身份认证技术 (9)5.2.2 生理特征认证 (9)5.2.3 数字证书认证 (9)5.2.4 双因素认证 (10)5.3 访问控制与身份认证的实施 (10)5.3.1 制定合理的访问控制策略 (10)5.3.2 身份认证系统的设计 (10)5.3.3 访问控制与身份认证的集成 (10)5.3.4 安全审计与监控 (10)第6章数据加密与安全传输 (10)6.1 数据加密技术 (10)6.1.1 对称加密技术 (10)6.1.2 非对称加密技术 (10)6.1.3 混合加密技术 (11)6.2 安全传输协议 (11)6.2.1 SSL/TLS协议 (11)6.2.2 IPsec协议 (11)6.2.3 SSH协议 (11)6.3 加密技术在电信网络中的应用 (11)6.3.1 用户数据加密 (11)6.3.2 信令数据加密 (11)6.3.3 网络设备间加密 (11)6.3.4 VPN应用 (11)第7章安全运维管理 (12)7.1 安全运维管理体系构建 (12)7.1.1 管理体系概述 (12)7.1.2 组织架构 (12)7.1.3 岗位职责 (12)7.1.4 人员培训与考核 (12)7.2 安全运维流程与制度 (12)7.2.1 运维流程 (12)7.2.2 安全制度 (12)7.2.3 应急预案 (12)7.3 安全审计与监控 (12)7.3.1 安全审计 (13)7.3.2 安全监控 (13)7.3.3 安全事件预警与通报 (13)7.3.4 持续改进 (13)第8章应急响应与灾难恢复 (13)8.1 应急响应流程与策略 (13)8.1.1 应急响应流程 (13)8.1.2 应急响应策略 (14)8.2 灾难恢复计划 (14)8.2.1 灾难恢复策略 (14)8.3 应急响应与灾难恢复演练 (14)8.3.1 演练目标 (14)8.3.2 演练内容 (15)8.3.3 演练总结 (15)第9章安全培训与意识提升 (15)9.1 安全培训体系 (15)9.1.1 培训体系构建 (15)9.1.2 培训内容更新 (15)9.2 安全意识提升策略 (15)9.2.1 安全宣传 (16)9.2.2 案例警示 (16)9.2.3 奖惩机制 (16)9.3 培训与意识提升的实施 (16)9.3.1 制定培训计划 (16)9.3.2 组织培训活动 (16)9.3.3 跟踪培训效果 (16)9.3.4 持续优化意识提升策略 (16)第10章持续改进与优化 (16)10.1 安全防护效果评估 (16)10.1.1 防护策略有效性评估 (17)10.1.2 防护设备与系统功能评估 (17)10.1.3 安全防护能力提升评估 (17)10.2 持续改进策略与方法 (17)10.2.1 更新防护策略与规程 (17)10.2.2 技术升级与设备更新 (17)10.2.3 培训与人才储备 (17)10.3 优化防护措施与体系升级 (17)10.3.1 优化防护架构 (17)10.3.2 创新防护技术 (17)10.3.3 完善防护体系 (17)10.3.4 加强安全监测与预警 (18)第1章网络安全防护概述1.1 电信网络安全现状分析信息技术的飞速发展，电信行业已全面进入数字化、智能化时代。

电信行业网络安全指南随着信息技术的快速发展和互联网的普及应用，电信行业在数字化、网络化的进程中取得了巨大的成就。

然而，与此同时，网络安全问题也日趋严重，威胁着电信行业的正常运行和用户的个人信息安全。

因此，为了加强电信行业的网络安全防护，保障行业的可持续发展，本指南将就以下几个方面进行详细阐述。

一、加强网络基础设施的安全保护1. 网络设备安全：选择合格供应商的设备，并严格执行相关安全配置规范，保证设备的安全性和稳定性。

及时更新设备固件和补丁，加强对设备的日常巡检和监控，及时发现并处理潜在的安全威胁。

2. 系统平台安全：搭建合理的平台架构，将业务系统与安全设备相分离，为每个系统设置专属的访问权限，限制非授权人员的访问。

定期进行安全评估，修复系统漏洞，加强防火墙设置和入侵检测系统的部署。

3. 数据安全：加强对用户敏感信息的保护，对数据进行分类处理，明确访问权限和使用规范，建立严格的数据审计机制，及时发现并处理数据泄漏和篡改事件。

加密重要数据，确保数据的传输和存储安全。

二、加强对恶意攻击的防范与响应1. 建立安全事件响应机制：建立安全事件响应团队，明确责任和流程，及时响应和处理各类安全事件。

制定详尽的安全事件响应计划，包括安全漏洞的快速修复、网络攻击的紧急封堵等。

2. 强化入侵检测与防御：部署入侵检测系统，实时监测网络流量，识别异常行为和恶意攻击，及时采取相应的防御措施。

提高员工安全意识，进行定期的网络安全培训，防范社会工程学攻击。

3. 建立漏洞管理机制：及时关注网络安全漏洞的信息发布，对每个漏洞进行风险评估和优先处理，确保系统的安全性。

加强对供应商的漏洞管理和协调沟通，及时获取补丁并进行安装。

三、完善安全监控和预警机制1. 建立安全事件监测系统：通过安全事件监测系统获取实时的网络安全情报，对网络活动进行可视化分析，确保敏感信息的快速定位和处理。

建立安全事件报告和应急预案，及时发布安全通报，提高行业内部的信息共享和协同防御能力。

工业和信息化部办公厅关于印发《电信和互联网行业提升网络数据安全保护能力专项行动方案》的通知文章属性•【制定机关】工业和信息化部•【公布日期】2019.06.28•【文号】工信厅网安〔2019〕42号•【施行日期】2019.06.28•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】电子信息正文工业和信息化部办公厅关于印发《电信和互联网行业提升网络数据安全保护能力专项行动方案》的通知工信厅网安〔2019〕42号各省、自治区、直辖市通信管理局，中国信息通信研究院、中国电子信息产业发展研究院、国家工业信息安全发展研究中心、中国电子技术标准化研究院、人民邮电报社、中国工业互联网研究院、中国互联网协会、中国通信标准化协会，中国电信集团有限公司、中国移动通信集团有限公司、中国联合网络通信集团有限公司、中国广播电视网络有限公司，有关互联网企业：现将《电信和互联网行业提升网络数据安全保护能力专项行动方案》（工信厅网安﹝2019﹞42号）印发给你们，请认真抓好贯彻执行。

联系人及电话：苗琳************/66069561（传真）电子邮箱：****************.cn工业和信息化部办公厅2019年6月28日电信和互联网行业提升网络数据安全保护能力专项行动方案近年来，随着国家大数据发展战略加快实施，大数据技术创新与应用日趋活跃，产生和集聚了类型丰富多样、应用价值不断提升的海量网络数据，成为数字经济发展的关键生产要素。

与此同时，数据过度采集滥用、非法交易及用户数据泄露等数据安全问题日益凸显，做好电信和互联网行业（以下简称行业）网络数据安全管理尤为迫切。

为积极应对新形势新情况新问题，切实做好新中国成立70周年网络数据安全保障工作，全面提升行业网络数据安全保护能力，制定本方案。

一、总体要求以习近平新时代中国特色社会主义思想为指导，全面贯彻党的十九大和十九届二中、三中全会精神，严格落实《网络安全法》《全国人民代表大会常务委员会关于加强网络信息保护的决定》《互联网信息服务管理办法》等法律法规，坚持维护数据安全与促进数据开发利用并重，坚持数据分类分级保护，坚持充分发挥政府引导作用、企业主体作用和社会监督作用，立足我部行业网络数据安全监管职责，开展为期一年的行业提升网络数据安全保护能力专项行动（以下简称专项行动），加快推动构建行业网络数据安全综合保障体系，为建设网络强国、助力数字经济发展提供有力保障和重要支撑。

卫健委明确：健康医疗大数据需境内存储——简评《国家健康医疗大数据标准、安全和服务管理办法（试行）》安杰律师事务所杨洪泉陈扬2018年9月15日，国家卫生健康委员会（“卫健委”）在其官网发布了《国家健康医疗大数据标准、安全和服务管理办法（试行）》（“《管理办法》”）。

《管理办法》已于2018年7月12日生效并施行。

《管理办法》将对医疗卫生行业数据和网络安全实践产生深远的影响。

本文对《管理办法》的立法背景和重要内容进行解读，并对医疗卫生单位和相关企事业单位可能面临的监管趋势进行预判。

一、立法背景2016年颁布的《中华人民共和国网络安全法》（“《网络安全法》”）第三十七条规定：“关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。

因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。

”本条虽然只有寥寥数语，却涵盖了“关键信息基础设施”、“重要数据”、“境内存储”、“数据出境安全评估”几个重要概念，而由此而引起的数据本地化存储和数据出境问题已成为企业数据和网络安全合规中最为关注的风险点。

2017年4月11日，国家互联网信息办公室（网信办）公布《个人信息和重要数据出境安全评估办法（征求意见稿）》（“《评估办法》”），将数据出境安全评估的责任主体由关键信息基础设施运营者扩展至所有网络运营者，并规定了安全评估的适用范围、评估程序、监管机构、评估内容等基本规则。

2017年5月27日，全国信息安全标准化技术委员会（信安标委）发布《信息安全技术数据出境安全评估指南（草案）》（“《评估指南》”），并于同年8月又发布了《评估指南》第二稿。

该《评估指南》对境内运营、数据出境、重要数据等概念进行了明确，对安全评估予以细化。

2018年7月，网信办公布《关键信息基础设施安全保护条例（征求意见稿）》（“CII 条例”），其中规定：“下列单位运行、管理的网络设施和信息系统，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的，应当纳入关键信息基础设施保护范围：政府机关和能源、金融、交通、水利、卫生医疗、教育、社保、环境保护、公用事业等行业领域的单位……”尽管《评估办法》、《评估指南》和《CII条例》尚未正式颁布，有关中国关键信息基础设施及数据出境的法律框架未能得窥全貌，但根据上述几个征求意见稿以及《网络安全法》的原则性规定不难看出，医疗卫生单位将被纳入“关键信息基础设施运营者”的范畴进行管理，并将承担数据本地化、数据出境安全评估等法律义务。

文│ 中国电子技术标准化研究院 徐羽佳 胡影 上官晓丽数据安全国家标准是开展数据安全监管，规范行业数据安全要求，指导网络运营者提升数据安全能力的重要抓手，对促进数据应用规范化、提升数据活动安全性有着重要意义。

本文介绍了我国数据安全标准化现状，梳理了现有及在研的数据安全国家标准，并介绍了数据安全国家标准的验证试点及推广应用工作。

一、标准化组织——全国信息安全标准化技术委员会概述全国信息安全标准化技术委员会（SAC/TC260，简称“信安标委”）是在信息安全技术专业领域内，从事信息安全标准化工作的技术工作组织。

信安标委于2002年由国家标准化管理委员会（简称“国标委”）批复成立，业务上受中央网信办指导，主要工作范围包括安全技术、安全机制、安全服务、安全管理、安全评估等领域的标准化技术工作。

TC260下设7个工作组，其中，大数据安全标准特别工作组（SWG-BDS）负责大数据和云计算相关的安全标准研制工作，具体职责包括调研急需标准化需求，研究提出标准研制路线图，明确年度标准研制方向，组织开展关键标准研制工作。

SWG-BDS于2016年成立，截至目前，SWG-BDS成员单位已达227家。

二、我国数据安全标准化情况为落实《网络安全法》中“国家鼓励开发网络数据安全保护和利用技术，促进公共数据资源开放”及“国家建立和完善网络安全标准体系”等要求，响应《大数据发展行动纲要》中“健全大数据安全保障体系，强化安全支撑；完善法规制度和标准体系，科学规范利用大数据，切实保障数据安全”的主要任务，2016年，TC260成立大数据安全标准化特别工作组，成功启动了第一批大数据安全标准编制和预研工作。

目前，TC260已开展9项数据安全标准研制项目，其中，已发布标准4项，在研标准5项。

安全要求类标准包括GB/T 35274-2017《信息安全技术 大数据服务安全能力要求》、GB/T 37932-2019《信息安全技术 数据交易服务安全要求》及《信息安全技术 政务信息共享 数据安全技术要求》，分别针对大数据服务、数据交易及政务信息共享的情景提出了安全要求。

影响国家经济竞争力和科技 实力
其他
影响国家机关社会管理和 公共服务的工作秩序
影响各种类型的经济活动 秩序
影响各行业的科研、生产 秩序
影响公众在法律约束和道 德规范下的正常生活秩序
其他
10
社会影响力
定级对象受到破坏后对国家安全、 社会秩序、经济运行、公共利益的损害程度
经济运行
14
社会影响力
安全等级？
规模和服务范围
所提供服务的重要性
安全等级计算方法--对数法
k = Round1{Log2{[α×2I+β×2R+γ×2V]}}
k－安全等级值；I－社会影响力赋值；
R－规模和服务范围赋值；
V－所提供服务的重要性赋值；
Round1{}－四舍五入处理，保留1位小数；
Log2[]表示取以2为底的对数；
12
所提供服务的重要性
定级对象提供的服务被破坏后对网络和业务运营商的合法权益的影响程度
所提供服务的重要性定义
赋值
定级对象所提供服务的重要性较低，被破坏后对网络和业务 1 运营商的合法权益造成轻微损害
定级对象所提供服务的重要性一般，被破坏后对网络和业务 2 运营商的合法权益造成较大损害
定级对象所提供服务的重要性很高，被破坏后对网络和业务 3 运营商的合法权益造成很大损害
26
安全等级确定阶段
输入
技术文档 管理文档
主要活动
电信网和互联网的 识别和描述
输出 总体描述文件
• 识别电信网和互联网的基本信息
• 识别电信网和互联网的管理信息 总体描述文件• 识别电信网定和级互对联象网的的划技分术信息
• 描述电信网和互联网
详细描述文件

设计应用技术术故障等非人为因素的威胁，也包含人员失误和恶意攻击等人为因素的威胁。

利用密码技术可以有效阻断外界对信息系统重要场所、监控设备的直接入侵，并确保监控记录不被恶意篡改。

2.2　网络和通信安全需部署符合国密标准的安全套接层（Secure Socket Layer，SSL）虚拟专用网络（Virtual Private Network，VPN）安全网关，对通过电子政务外网访问安徽省信用平台的用户终端进行身份鉴别，建立安全数据传输通道，保证网络边界访问控制信息的完整性，防止访问控制信息被非法篡改。

2.3　设备和计算安全设备和计算安全层面使用的密码算法、密码技术、密码服务和密钥管理，由国密安全浏览器、符合《服务器密码机技术规范》（GM/T 0030—2014）的服务器密码机、符合《智能密码钥匙技术规范》（GM/ T 0027—2014）的智能密码钥匙（UKey）、数字证书组成，实现设备与计算层的功能需求。

以上的密码产品符合《信息安全技术密码模块安全要求》（GM/T 37092—2018）的2级要求。

2.4　应用和数据安全需部署符合国密标准的服务器密码机，应用通过调用服务器密码机，对登录平台的用户和管理员的身份鉴别数据、重要应用业务数据、虚拟机镜像文件等进行传输机密性、完整性保护，以及存储的机密性和完整性保护，防止重要数据被窃取和被篡改。

密码应用详细指标要求如表1所示。

2.5　国产化需求当前，我国密码技术能力已达到国际先进水平，自主设计的商用密码算法ZUC、SM2和SM9已成为国际标准，并在金融、税务、海关、电力、公安等重要领域的网络和信息系统中广泛应用。

随着政务信息应用的多样化、移动化发展，多数系统要求达到等保三级的安全保障能力，更加强调了各类国产密码的应用。

在系统密码应用中，需依据用户实际需求选择合适的国产密码技术为政务应用提供服务。

3　某信用平台密码应用改造方案根据某信用平台的部署方式和业务功能，在满足总体性、完备性、经济性原则的基础上，设计一套科学合理、目标明确、措施完备的密码应用技术方案。

CISE必须练习题1.关于微软的SDL原则，弃用不安全的函数属于哪个阶段?A.规划B.设计C.实现一D.测试2.优秀源代码审核工具具有哪些特点( )①安全性②多平台性③可扩展性④知识性⑤集成性A. ①②③④⑤B.230C.①②③④D.②③3.信息安全风险管理过程的模型如图所示。

按照流程，请问，信息安全风险管理包括( )六个方面的内容。

( )是信息安全风险管理的四个基本步骤，( )则贯穿于这四个基本步骤中。

A. 背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询; 背景建立、风险评估、风险处理和批准监督；监控审查和沟通咨询B. 背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询; 背景建立、风险评估、风险处理和监控审查；批准监督和沟通咨询C. 背景建立、风险评估、风险处理、批准监督、监控审查和沟通咨询; 背景建立、风险评估、风险处理和沟通咨询；监控审查和批准监督D. 背景建立，风险评估、风险处理、批准监督、监控审查和沟通咨询: 背景建立、风险评估、监控审查和批准监督；风险处理和沟通咨询4.某公司在讨论如何确认已有的安全措施，对于确认已有安全措施，下列选项中描述不正确的是( )A.对有效的安全措施继续保持，以避免不必要的工作和费用，防止安全措施的重复实施B.安全措施主要有预防性、检测性和纠正性三种C.安全措施的确认应评估其有效性，即是否真正地降低了系统的脆弱性，抵御了威胁D.对确认为不适当的安全措施可以置之不顾5.密码是一种用来混滑的技术，使用者希望将正常的(可识别的)信息转变为无法识别的信息。

但这种无法识信息部分是可以再加工并恢复和破解的，小刚是某公司新进的员工，公司要求他注册一个公司网站的账号，小刚使用一个安全一点的密码，请问以下选项中那个密码最安全（）A.使用和与用户名相同的口令B.选择可以在任何字典或语言中找到的口令C.选择任何和个人信息有关的口令D.采取数字，字母和特殊符号混合并且易于记忆6.基于对（）的信任，当一个请求或命令来自一个“权威”人士时，这个请求就可能被毫不怀疑的（）。

工业和信息化部关于开展2017年电信和互联网行业网络安全试点示范工作的通知文章属性•【制定机关】工业和信息化部•【公布日期】2017.07•【文号】工信部网安函〔2017〕310号•【施行日期】2017.07•【效力等级】部门规范性文件•【时效性】现行有效•【主题分类】电子信息正文工业和信息化部关于开展2017年电信和互联网行业网络安全试点示范工作的通知工信部网安函〔2017〕310号各省、自治区、直辖市通信管理局，中国电信集团公司、中国移动通信集团公司、中国联合网络通信集团有限公司，互联网域名注册管理和服务机构，互联网企业，网络安全企业，有关单位：为贯彻落实习近平总书记关于网络安全的系列重要讲话精神和《网络安全法》，有效实施《国家网络空间安全战略》，提升电信和互联网行业网络安全保障能力和水平，进一步推动电信和互联网行业网络安全技术手段建设，根据《工业和信息化部关于加强电信和互联网行业网络安全工作的指导意见》（工信部保〔2014〕368号）,结合往年试点示范工作经验和我部重点工作安排，决定组织开展2017年电信和互联网行业网络安全试点示范工作（以下简称试点示范）。

现将有关事项通知如下：一、工作目标聚焦电信和互联网行业网络安全保障关键环节，在2015年、2016年工作基础上，继续面向全行业开展网络安全试点示范工作，引导企业加强技术手段建设，推广创新网络安全最佳实践，增强企业防范和应对网络安全威胁的能力，拉动网络安全产业发展，提升电信和互联网行业网络安全技术防护水平。

二、遴选要求2017年试点示范项目的申报主体为基础电信企业集团公司或省级公司、互联网域名注册管理和服务机构、互联网企业、网络安全企业等。

试点示范项目应为支撑自身网络安全工作或为客户提供安全服务的已建成并投入运行的网络安全系统（平台）。

试点示范项目遴选应综合考虑项目的实用性、创新性、先进性和可推广性，重点考察试点示范项目是否具备扎实的实践基础和技术创新性，能否最大程度促成技术手段快速转化成可应用的成果，能否坚持持续改进，发挥综合效益。

中华人民共和国信息产业部 发布
目次
YD/T xxxx-xxxx
前 言 ............................................................................ III 1 范围 ................................................................................ 1 2 规范性引用文件 ...................................................................... 1 3 术语和定义 .......................................................................... 1 4 风险评估框架及流程 .................................................................. 4 4.1 风险要素关系 ...................................................................... 4 4.2 实施流程 .......................................................................... 6 4.3 工作形式 .......................................................................... 6 4.4 遵循的原则 ........................................................................ 7 5 风险评估实施 ........................................................................ 7 5.1 风险评估的准备 .................................................................... 7 5.2 资产识别 .......................................................................... 9 5.3 威胁识别 ......................................................................... 12 5.4 脆弱性识别 ....................................................................... 14 5.5 威胁利用脆弱性的关联关系 ......................................................... 16 5.6 已有安全措施的确认 ............................................................... 17 5.7 风险分析 ......................................................................... 17 5.8 风险评估文件 ..................................................................... 20 6 风险评估在电信网和互联网及相关系统生命周期中的不同要求 ............................. 21 6.1 电信网和互联网及相关系统生命周期概述 ............................................. 21 6.2 启动阶段的风险评估 ............................................................... 22 6.3 设计阶段的风险评估 ............................................................... 22 6.4 实施阶段的风险评估 ............................................................... 23 6.5 运维阶段的风险评估 ............................................................... 23 6.6 废弃阶段的风险评估 ............................................................... 24 附 录 A （规范性附录） 资产价值的计算方法 ........................................... 25 A.1 对数法 ........................................................................... 25 A.2 矩阵法 ........................................................................... 25

数据安全相关标准清单序号类型标准名称标准号1国标证券期货业数据安全风险防控 数据分类分级指引GB/T 42775-20232国标信息安全技术 电信领域数据安全指南GB/T 42447-20233国标信息安全技术 人脸识别数据安全要求GB/T 41819-20224国标信息安全技术 基因识别数据安全要求GB/T 41806-20225国标信息安全技术 步态识别数据安全要求GB/T 41773-20226国标信息安全技术 声纹识别数据安全要求GB/T 41807-20227国标信息安全技术 网上购物服务数据安全要求GB/T 42014-20228国标信息安全技术 即时通信服务数据安全要求GB/T 42012-20229国标信息安全技术 网络支付服务数据安全要求GB/T 42015-2022 10国标信息安全技术 网络预约汽车服务数据安全要求GB/T 42017-2022 11国标信息安全技术 网络音视频服务数据安全要求GB/T 42016-2022 12国标信息安全技术 快递物流服务数据安全要求GB/T 42013-2022 13国标信息安全技术 健康医疗数据安全指南GB/T 39725-2020 14国标信息安全技术 政务信息共享 数据安全技术要求GB/T 39477-2020 15国标信息安全技术 大数据安全管理指南GB/T 37973-2019 16国标信息安全技术 数据安全能力成熟度模型GB/T 37988-2019 17国标智能交通 数据安全服务GB/T 37373-2019 18地方标准政务大数据安全技术框架DB11/T 2049-2022 19地方标准政务数据安全分类分级指南DB3212/T 1116-2022 20地方标准政务数据安全风险评估规范DB3212/T 1117-2022 21地方标准公共数据安全可信保障指南DB3310/T 90-2022 22地方标准公共数据安全要求DB4403/T 271-2022 23行业标准金融数据安全 数据生命周期安全规范JR/T 0223-202124行业标准金融数据安全 数据安全分级指南JR/T 0197-202025行业标准农业大数据安全管理指南NY/T 4261-202226行业标准工业互联网数据安全保护要求YD/T 3865-202127团体标准数据科学 数据安全分类质量评价指标T/CIIA 025-2022 28团体标准大数据安全管理规范T/GZBD 9-202229企业标准电力物联网数据安全分级保护要求（国家电网）Q⁄GDW 12111-2021。

其他有信息系统定级需求的单位和行业
等保建设的意义
满足国家相关法律 和制度的要求
降低信息安全风险， 提高定级对象的安
全防护能力
合理地规避或降低 风险
履行和落实网络信 息安全责任义务
等保2.0保护对象等级划分
第一级
等级保护对象受到破 坏后，会对公民、法 人和其他组织的合法 权益造成损害，但不 损害国家安全、社会 秩序和公共利益；
本地数据备份与恢复、异地数据备份、重要数据系统热备 敏感信息清除
防泄密系统、个人信息保护系统
身份认证鉴别
•面向业务多元身份聚合，一次登陆一 网全通
恶意代码防范
•深度融合反病毒+主动防御、未知文 件动态分析
数据完整保密
•建立安全的数据传输通道，对传输的 数据完整性和保密性进行安全保护
数据备份恢复
•基于持续数据保护技术、备份集技术， 满足不同业务系统的RTO/RPO目标
终端安全
业务系统2
漏洞风险评估 数据备份
业务系统3
数据库审计
业务系统4
入侵检测
动态防御系统
安全计算环境
安全通信网络设计
等保要求
安全通信网络
控制点
网络架构 通信传输 可信验证
对应产品和方案
路由器、交换机、网络规划与配置优化、核心设备/主干链路冗余部署 VPN
可信计算机机制
电信
移动
联通
主干网络链路及设备均采用冗余部署
数据中心
安全管理区
终端接入区
基于业务管理和安全需求划分出明 确边界的网络区域
采用VPN或HTTPS等加密手段保护 业务通信
安全区域边界设计
等保要求
安全区域边界
控制点

信息安全技术重要数据识别指南中英文版【实用版】目录一、信息安全技术重要数据识别指南概述二、重要数据的识别原则三、重要数据的识别考虑因素四、重要数据的描述格式五、电信领域数据安全指南六、总结正文一、信息安全技术重要数据识别指南概述随着信息化的快速发展，数据已经成为国家战略资源和核心竞争力之一。

为了有效地保护重要数据，全国信安标委发布了《信息安全技术重要数据识别指南（征求意见稿）》，旨在为数据安全保护提供参考和指导。

二、重要数据的识别原则识别重要数据应遵循以下六项原则：1.聚焦安全影响：重要数据应是那些在泄露、篡改、损毁等情况下，可能对国家安全、公共利益、个人权益等产生严重负面影响的数据。

2.突出保护重点：在众多数据中，要识别出那些对组织运营、业务连续性具有关键作用的重要数据，对其实施更有效的保护。

3.衔接既有规定：在识别重要数据时，要与现有法律法规、政策、标准等规定相衔接，避免重复劳动。

4.综合考虑风险：识别重要数据不仅要关注数据本身的价值，还要充分考虑数据处理、存储、传输等环节可能面临的风险。

5.定量定性结合：在评估数据重要性时，既要考虑定量指标，如数据量、使用频率等，也要关注定性因素，如数据对业务的关键程度等。

6.动态识别复评：重要数据可能会随着业务发展、环境变化等因素发生变化，需要定期进行识别和评估。

三、重要数据的识别考虑因素在识别重要数据时，需要综合考虑以下因素：1.数据价值：包括数据对业务运营、决策制定等方面的价值。

2.数据敏感程度：数据在泄露、篡改等情况下可能对国家安全、公共利益、个人权益等产生的影响程度。

3.数据关联性：数据与其他数据、业务、系统的关联程度。

4.数据稀有性：数据在行业、领域内的稀缺程度。

5.数据复制性：数据被复制、备份的难易程度。

四、重要数据的描述格式重要数据描述格式应包括以下内容：1.数据名称：简洁明了地描述数据的内容。

2.数据类型：数据所处的分类，如个人身份信息、金融数据等。

通信行业网络安全与隐私保护指导书第1章网络安全与隐私保护概述 (3)1.1 网络安全背景与挑战 (3)1.1.1 网络安全背景 (4)1.1.2 网络安全挑战 (4)1.2 隐私保护的意义与目标 (4)1.2.1 隐私保护的意义 (4)1.2.2 隐私保护的目标 (5)第2章网络安全法律法规体系 (5)2.1 我国网络安全法律法规框架 (5)2.1.1 法律层面 (5)2.1.2 行政法规和部门规章层面 (6)2.1.3 规范性文件和技术标准层面 (6)2.2 国际网络安全法规与标准 (6)2.2.1 国际网络安全法规 (6)2.2.2 国际网络安全标准 (6)第3章通信网络安全技术 (6)3.1 网络安全技术概述 (6)3.2 加密技术 (7)3.2.1 对称加密 (7)3.2.2 非对称加密 (7)3.2.3 混合加密 (7)3.3 认证与授权技术 (7)3.3.1 身份认证 (7)3.3.2 访问控制 (7)3.3.3 数字签名 (7)第4章通信网络架构安全 (8)4.1 网络架构安全风险与应对 (8)4.1.1 风险概述 (8)4.1.2 应对措施 (8)4.2 核心网安全 (8)4.2.1 核心网安全风险 (8)4.2.2 核心网安全措施 (8)4.3 接入网安全 (8)4.3.1 接入网安全风险 (8)4.3.2 接入网安全措施 (9)第5章数据安全与隐私保护 (9)5.1 数据安全概述 (9)5.1.1 数据安全内涵 (9)5.1.2 数据安全重要性 (9)5.1.3 数据安全威胁 (9)5.1.4 数据安全应对措施 (9)5.2 数据加密与脱敏 (10)5.2.1 数据加密 (10)5.2.2 数据脱敏 (10)5.2.3 应用实例 (10)5.3 数据生命周期安全管理 (10)5.3.1 数据产生阶段 (10)5.3.2 数据存储阶段 (10)5.3.3 数据使用阶段 (11)5.3.4 数据传输阶段 (11)5.3.5 数据销毁阶段 (11)第6章用户身份认证与隐私保护 (11)6.1 用户身份认证技术 (11)6.1.1 密码认证 (11)6.1.2 证书认证 (11)6.1.3 动态口令认证 (12)6.2 生物识别技术 (12)6.2.1 指纹识别 (12)6.2.2 人脸识别 (12)6.2.3 声纹识别 (12)6.3 隐私保护认证方案 (12)6.3.1 匿名认证 (12)6.3.2 同态加密 (12)6.3.3 安全多方计算 (12)6.3.4 联邦学习 (13)第7章应用层安全与隐私保护 (13)7.1 应用层安全风险与应对 (13)7.1.1 风险概述 (13)7.1.2 应对措施 (13)7.2 移动应用安全 (13)7.2.1 风险概述 (13)7.2.2 应对措施 (13)7.3 云计算与大数据安全 (13)7.3.1 风险概述 (13)7.3.2 应对措施 (14)第8章网络安全监测与应急响应 (14)8.1 安全监测技术 (14)8.1.1 网络流量监测 (14)8.1.2 主机与终端监测 (14)8.2 入侵检测与防御 (14)8.2.1 入侵检测系统（IDS） (14)8.2.2 入侵防御系统（IPS） (15)8.3 应急响应与处置 (15)8.3.1 应急响应流程 (15)8.3.2 应急响应技术 (15)第9章隐私保护合规与审计 (15)9.1 隐私保护合规要求 (15)9.1.1 法律法规遵循 (15)9.1.2 内部管理制度 (15)9.1.3 用户隐私告知与同意 (16)9.1.4 最小化数据收集 (16)9.1.5 数据安全保护 (16)9.1.6 用户权利保障 (16)9.2 隐私保护审计与评估 (16)9.2.1 审计制度 (16)9.2.2 审计内容 (16)9.2.3 评估方法 (16)9.2.4 评估结果 (16)9.3 隐私保护合规管理 (16)9.3.1 合规责任 (16)9.3.2 合规培训 (17)9.3.3 合规监测 (17)9.3.4 合规报告 (17)9.3.5 合规改进 (17)第10章网络安全与隐私保护未来趋势 (17)10.1 5G网络安全的挑战与机遇 (17)10.1.1 挑战 (17)10.1.2 机遇 (17)10.2 人工智能在网络安全中的应用 (18)10.2.1 智能防御 (18)10.2.2 主动防御 (18)10.2.3 安全运维 (18)10.2.4 数据分析 (18)10.3 隐私保护技术的发展趋势 (18)10.3.1 差分隐私 (18)10.3.2 零知识证明 (18)10.3.3 同态加密 (18)10.3.4 联邦学习 (18)10.3.5 可信执行环境 (18)第1章网络安全与隐私保护概述1.1 网络安全背景与挑战信息技术的飞速发展，通信行业在我国经济社会发展中的地位日益重要。