客户信息安全保护的标准化进展及解决方案

刘佳, 杜雪涛, 冀文, 张琳（中国移动通信集团设计院有限公司，北京 100080）

客户信息安全保护的标准化进展及解决方案

刘佳, 杜雪涛, 冀文, 张琳
（中国移动通信集团设计院有限公司，北京 100080）

摘 要本文跟踪了信息安全及客户信息安全相关标准的进展，并重点对客户信息安全保护的相关标准进行了全面解读，提出需要技术管理相结合的方式对运营商企业的客户信息进行全面保护的方案。

关键词信息安全；客户信息；技管结合

1　引言

近年来，个人信息被泄露的情况时有发生，国家以及整个行业都对客户信息泄露问题十分重视。国家对客户信息保护有一些明确的要求，2009年《中华人民共和国刑法修正案》明确规定将本单位在履行职责和提供服务过程中获得公民个人信息，出售或者非法提供给他人，这样的行为都要受到刑法的处罚。

工信部在《基础电信企业信息安全责任管理办法》中也规定，电信企业应该依法保护客户信息安全，企业及其工作人员不得擅自向他人提供用户使用电信网络所传输的信息内容，有关资料应该依法保护。所以保护客户信息安全是电信运营商应该承担的社会责任，也是高度关注的敏感话题。

2　信息安全及客户信息安全标准化进展

随着人们对信息安全风险管理的日益重视，世界各国、国际组织纷纷推出相应的标准，以指导信息安全风险管理实践。客户信息安全作为特殊的一部分，也有相应的行业标准相继提出。本文将就信息安全及客户信息安全标准的制定进展进行梳理。

2.1信息安全标准化进展

2.1.1 国际标准化组织

国际标准化组织（ISO）制定了ISO/IEC15408、ISO/IEC13335、ISO/IEC17799、ISO/IEC27001等信息安全领域的若干标准。其中，ISO/IEC 15408对应的是由美国的NSA、NIST的代表会同加拿大、英国、荷兰、法国、德国共同起草的通用标准CC（Common Criteria），它吸收了《可信计算机系统评估准则TCSEC》、《加拿大可信计算机产品评估准则CTCPEC》以及《信息技术安全评估准则ITSEC》等内容，是通用的信息技术产品和系统安全性的评估准则；ISO/IEC 13335标准则主要对信息安全的概念与模型、安全管理与策划、安全管理技术、防护措施的选择、网络安全管理等多方面内容进行了较为详细的阐述；ISO/IEC

17799、ISO/IEC 27001，分别对应BS 7799-1与BS 7799-2，建立了信息安全管理系统的一套需求规范，其中详细说明了建立、实施和维护信息安全管理体系的要求。

2.1.2 英国

英国标准协会（BSI）制定了BS7799-1、BS7799-2，后来分别被国际标准化组织接受，成为ISO/IEC 17799、ISO/IEC27001。目前，BS7799认证已成为衡量信息安全管理水平的通用标准。由于BS7799本身不具有很强的可实施性，BSI组织提供了一组有针对性指导文件。另外，英国政府的中央计算机和通信机构（CCTA）提出了著名的IT基础架构库（ITIL），在欧洲、北美乃至全世界都非常盛行，得到了世界的广泛认可，很多IT著名厂商都根据ITIL制定了自己的服务管理模型。

2.1.3 美国

美国国家标准技术局（NIST）制定了一系列标准，如SP 800-18《IT系统安全计划开发指南》、SP 800-26《IT系统安全自评估指南》、SP 800-30《IT系统风险管理指南》、SP 800-30《IT系统风险管理指南》等。2.1.4 中国

我国制定的有关信息安全管理的标准主要有《计算机信息系统安全保护等级划分准则》；GB/T 18336-2001《信息技术 安全技术 信息技术安全性评估准则》；GB/T 19716-2005《信息技术 信息安全管理实用规则》；GB/T 20269-2006《信息安全技术 信息系统安全管理要求》；GB/T 20274.1-2006《信息安全技术信息系统安全保障评估框架》等标准。

2.2客户信息安全标准化进展

客户信息安全在国内运营商企业内，一直作为安全重点问题备受重视。因此也在中国通信标准化协会CCSA上相继提出了若干标准，目前已经发布的有YD/T 2670-2013《基础电信运营企业移动网络客户信息安全管理框架》和YD/T 2671-2013《分权模式（金库模式）客户信息安全保护技术要求》两个行业标准，其中YD/T 2670-2013《基础电信运营企业移动网络客户信息安全管理框架》在制定过程中参照和ISO 27001系列并做了严格对标，重点从客户信息的管理手段、技术保护手段等方面进行规范；YD/T 2671-2013《分权模式（金库模式）客户信息安全保护技术要求》是针对客户信息安全保护提出了一种“多人操作”共同协作完成客户信息操作的实现方法，标准中详细讲解了分权模式的授权、触发模式以及实现流程，是客户信息安全保护的一种具体实现方式。

3　客户信息安全保护方案解读

本节将重点针对《基础电信运营企业移动网络客户信息安全管理框架》进行解读，并把《分权模式（金库模式）客户信息安全保护技术要求》作为客户信息安全保护的一种特殊技术与《基础电信运营企业移动网络客户信息安全管理框架》相结合，阐述技管结合的客户信息完整保护方案。

3.1客户信息操作的管理方案

3.1.1 人员对客户信息的操作管理

业务人员、运维支撑人员、开发人员在进行业务操作时，会接触大量的客户信息，存在客户信息泄露的风险。因此，人员对客户信息的操作必须遵循相应的授权审批流程。

（1）根据业务人员接触到客户信息的重要程度，一般采取的授权审批流程略有不同。业务人员在进行涉及普通客户信息的操作时要获得客户的同意，并且按照正常的鉴权流程通过身份认证，鉴权一般采取有效证件或服务密码验证，并保留业务受理单据；如果是涉及客户通话详单、集团客户详细资料等客户信息的查询，业务人员只能在响应客户请求时，并且客户自身按照正常流程通过身份鉴权的情况下，协助客户查询，禁止服务营销人员擅自进行查询，查询需保留业务受理单据；如果是其他人员因投诉处理、营销策划、经营分析等工作需要查询和提取客户信息的，业务管理部门应建立明确的

操作审批流程，定期进行严密的事后审核。

（2） 针对运维支撑人员，需制定并维护业务系统的层角色权限矩阵，明确各岗位角色对客户信息的访问权限，明确未经授权的运维支撑人员不允许有客户信息的访问权限。除此之外，运维支撑人员对业务系统的应用层的访问权限必须具有明确的工单并经过审批，在开发测试环境下导出的客户信息必须进行模糊化。

（3）开发人员在系统开发、测试、上线等环节中，会接触到各类客户信息。因此，除了签署严格的安全协议，开发人员的工作区域应与生产、内部办公、维护区域分离，并应采用严格的访问控制策略和管控手段；使用的测试数据不应当反映用户的真实信息，必须是经过模糊化处理的数据。

3.1.2 客户信息安全审核

安全审核主要分为操作日志审核、合规性审核和日常例行安全审核与风险评估。

（1）日志审核是对操作日志与工单等原始凭证进行比对，分析查找违规行为。日志审核是发现客户信息泄露的主要途径之一。安全员的设置要遵循“职责不相容”原则，即安全员应与系统管理员、业务操作人员分开，由专人担任，安全员应定期开展安全审核。

（2）合规性审核是根据法律法规、安全策略和标准、技术标准等要求，对客户信息的安全防护工作的符合性进行检查。客户信息安全防护包括事前预防、事中控制、事后审核。合规性审核的总体范围涵盖客户信息安全防护的各个方面。

（3）日常例行安全审核是指运维支撑部门对所负责维护的系统进行的常规性安全审核，包括日常日志审核、漏洞扫描、基线审核等。日常例行安全审核属于日常维护审核的范畴，应制定每日、周、月、季度日常检查报表，并按相应频次进行检查；风险评估是对系统面临的威胁、存在的弱点、造成的影响，以及三者综合作用带来风险的可能性进行评估。客户信息系统的风险评估频次原则上为每半年一次。但在重大活动或敏感时期，应根据要求开展专项风险评估。

3.2客户信息系统的技术管控

客户信息系统的技术管控主要包括系统安全防护、用户访问操作安全管控、敏感数据传输安全管控。

3.2.1 系统安全防护

系统安全防护是从系统设计到日常运行维护的各个方面采用技术手段对系统进行安全防护。主要安全技术手段包括：首先，确保包含客户信息的系统位于核心安全域，严格管理和限制涉及客户信息的系统与其他系统的互联互通的能力和范围，安全域边界部署防火墙、IDS等设备进行安全域的隔离，并且这些安全边界的网络设备应定期进行安全评估和审核；其次，需要加强系统自身安全，在系统设计、系统交付和系统上线阶段，根据接口和流程涉及到客户信息的类型和操作类型（查询、修改、增删），来定义安全需求，进行安全评估，基线审查、日常安全运维等安全防护。

3.2.2 统一安全管控系统

用户访问操作安全管控包括统一安全管控系统和远程接入管控系统两方面内容。统一安全管控系统从技术上限制非授权用户接触客户信息。远程接入管控系统对远程登录用户的操作进行管控。

为了从技术上限制非授权用户接触客户信息，涉及客户信息的支撑系统、业务平台、通信系统等应纳入统一安全管理。统一安全管理即指运维人员访问敏感信息系统的唯一入口，运维人员访问敏感信息的权限由统一安全管理系统进行管控，运维人员接触敏感信息，均需在统一安全管理系统进行强认证，同时，完整的操作日志均由统一安全管理系统进行记录以备审核。

远程接入作为一种特殊的接入方式，一般由企业内部员工或者需要进行紧急故障处理的非内部人员才能有此权限，远程登录必须通过统一安全管控系统进行集中认证、授权和审核，应遵循权限最小化原则，开放用户能访问的系统及权限。

YD/T 2671-2013《分权模式（金库模式）客户信息安全保护技术要求》中提到的金库模式实际也是一种统一安全管控技术，即在用户登入各类客户信息系统中

时，触发金库模式，需要多人操作才能进行后续操作，可以理解为是一种增强型的安全管控技术。

3.2.3 客户信息泄密防护系统

从支撑系统、业务平台或通信系统中提取客户信息时，应从技术手段上防止其被泄密。可以采用防泄密技术手段包括文档安全管理、终端安全管理、敏感信息监控等。

（1）文档安全管理

文档安全管理系统能够通过采用加密、授权、数字水印、数字签名等技术手段对文档进行安全保护，能够基于用户角色或主机的进行文档授权，使其成为受控文档，仅有被授权的特定用户或终端才能打开受控文档，未被授权的人或终端无法打开文档。

（2）终端安全管理

对能处理客户信息的终端，需采取统一的接入控制，并定期扫描终端漏洞，统一安装防病毒软件，限制移动存储介质的使用，限制无线网络的使用。

（3）敏感信息监控系统

敏感信息监控系统一般对在业务支撑网和OA网内，可传输的客户信息进行监控；对通过QQ、MSN、飞信、电子邮件、http等网络途径泄密客户信息进行监控；对监控到的批量传输客户信息的行为进行预警。

4　总结

对于运营商而言，客户信息一直是被高度关注的敏感话题，因此客户信息的保护是一项重要又艰巨的任务。本文通过对相关标准的进展和方案进行全面解读，提出了通过技管集合的方案，将客户信息保护工作落实到位，并彻底贯彻到客户信息的整个生命周期，只有这样才能做到客户信息的全方位保护。

参考文献

[1] YD/T 2670-2013. 基础电信运营企业移动网络客户信息安全管理框架[S]. 2013.

[2] YD/T 2671-2013.分权模式（金库模式）客户信息安全保护技术要求[S]. 2013.

[3] 范红. 信息安全风险评估规范国家标准理解与实施[M]. 北京：中国标准出版社， 2008.

Standardization progress and solution of customer information security protection

LIU Jia, DU Xue-tao, JI Wen, ZHANG Lin
(China Mobile Group Design Institute Co., Ltd., Beijing 100080, China)

AbstractThe progress of the relevant standards of the information security and the customer information security is summarized in the paper. The standards of the customer information are interpreted. And it is put forward that the customer information should be protected by technology and management.

Keywordsinformation security； the customer information security； technology and management

收稿日期：2015-07-08

中图分类号TP918

文献标识码A

文章编号1008-5599（2015）11-0050-04