YDB 109-2012.Implementation Specification of Classified Security Protection and Testing for V alue-added Telecommunication ServiceSystem Information Community Service System.
1范围
YDB 109规定了信息社区服务系统开展网络安全防护有关系统定级、分等级防护和安全评测等方面的规范性要求。
YDB 109适用于作为增值电信企业的信息社区服务业务系统。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
YD 5098-2005通信局(站)防雷与接地工程设计规范
YD 5002-2005邮电建筑防火设计标准
YD/T 5026-2005电信机房铁架安装设计标准
3术语、 定义和缩略语
3.1术语和定义
下列术语和定义适用于本标准。
3.1.1
信息社区服务系统安全等级secur ity class ificat ion of informat ion community service system
信息社区服务系统网络重要程度的表征。重要程度从搜索系统受到破坏后,对国家安全、社会秩序、经济运行、公共利益造成的损害来衡量。
3.1.2
信息社区服务系统安全等级保护classified security protection of informat ion community service system
对信自社区服各系统分竺级宜施安仝保护，

中国通信标准化协会标准
YDB109—2012
增值电信业务系统安全防护定级和评测实施规范信息社区服务系统
Implementation Specification of Classified Security Protection andTesting for Value-added Telecommunication ServiceSystemInformationCommunityServiceSystem2012-11-13印发
中国通信标准化协会
1范围
2规范性引用文件
3术语、定义和缩略语
3.1术语和定义
3.2缩略语，
4概述，
安全防护范围
安全风险分析
4.3安全防护内容
5定级实施规范
安全等级划分
定级方法
安全等级的计算方法
6安全防护要求.
第1级要求
第2级要求
第3.1级要求
第3.2级要求
第4级要求
第5级要求
安全防护评测实施指南
第1级要求
第2级要求
第3.1级要求
第3.2级要求
第4级要求
第5级要求
YDB109—2012
YDB109—2012
本标准是“增值电信业务系统安全防护定级和评测实施规范”系列实施规范之一，该系列实施规范包含如下实施规范：
一增值电信业务系统安全防护定级和评测实施规范门户综合网站系统：一一增值电信业务系统安全防护定级和评测实施规范即时通信系统：一增值电信业务系统安全防护定级和评测实施规范网络交易系统：一增值电信业务系统安全防护定级和评测实施规范信息社区服务系统一增值电信业务系统安全防护定级和评测实施规范邮件系统：一一增值电信业务系统安全防护定级和评测实施规范搜索系统：一增值电信业务系统安全防护定级和评测实施规范互联网接入服务系统。本标准按照GB/T1.1-2009给出的规则起草。为适应信息通信业发展对通信标准文件的需要，由中国通信标准化协会组织制定“中国通信标准化协会标准”：推荐有关方面参考采用。有关对本标准的建议和意见，向中国通信标准化协会反映，本标准由中国通信标准化协会提出并归口。本标准起草单位：工业和信息化部电信研究院。本标准主要起草人：许子先、黄晨、鲁冬雪、魏薇、封莎。I
iiiKAoNiKAca
1范围
YDB109—2012
增值电信业务系统安全防护定级和评测实施规范信息社区服务系统
本标准规定了信息社区服务系统开展网络安全防护有关系统定级、分等级防护和安全评测等方面的规范性要求。
本标准适用于作为增值电信企业的信息社区服务业务系统2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。YD5098-2005
YD5002-2005
YD/T5026-2005
3术语、定义和缩略语
3.1术语和定义
通信局（站）防雷与接地工程设计规范邮电建筑防火设计标准
电信机房铁架安装设计标准
下列术语和定义适用于本标准。3.1.1
信息社区服务系统安全等级securityclassificationofinformationcommunityservicesystem信息社区服务系统网络重要程度的表征。重要程度从搜索系统受到破坏后，对国家安全、社会秩序、经济运行、公共利益造成的损害来衡量。3.1.2
信息社区服务系统安全等级保护classified securityprotectionofinformationcommunityservice system
对信息社区服务系统分等级实施安全保护。3.1.3
信息社区服务系统安全风险securityrisk of information community service system人为或自然的威胁可能利用信息社区服务系统中存在的脆弱性导致安全事件的发生及造成的影响，3.1.4
信息社区服务系统资产assetofinformationcommunityservicesystem1
HiiKAoNiKAca
YDB109—2012
信息社区服务系统中具有价值的资源，是安全防护体系保护的对象。信息社区服务系统中的资产可能以多种形式存在，无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线路、数据、软件、文档、规程、业务、人员、管理等各种类型的资源，如数据检索、展现等相关服务器。3.1.5
信息社区服务系统网络威胁threatof informationcommunity servicesystem可能导致对信息社区服务系统网络产生危害的不希望事故潜在起因，它可能是人为的，也可能是非人为的；可能是无意失误，也可能是恶意攻击。3.1.6
信息社区服务系统网络脆弱性vulnerabilityof information communityservice system搜索系统网络的资产中存在的弱点，缺陷与不足，不直接对信息社区服务系统网络资产造成危害，但可能被信息社区服务系统网络威胁所利用从而危害信息社区服务系统网络资产的安全。3.1.7
信息社区服务系统网络灾难disasterof information communityservicesystem由于各种原因，造成信息社区服务系统网络故障或瘫痪，使信息社区服务系统数据检索、展现等业务功能停顿或服务水平不可接受、达到特定的时间的突发性事件。3.1.8
信息社区服务系统网络灾难备份backup for disaster recovery of information communityservice system
为了信息社区服务系统网络灾难恢复而对相关网络要素进行备份的过程。3.1.9
信息社区服务系统网络灾难恢复disaster recovery of information community service system为了将信息社区服务系统网络从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态、并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。3.1.10
信息社区服务系统安全评测 security testing of information community service system对信息社区服务系统的安全保护能力是否达到相应安全等级的安全防护要求进行衡量。3.2缩略语
下列缩略语适用于本标准。
Common Vulnerabilities & ExposuresChina National Vulnerability DatabaseDistributed Denial of ServiceDenial of Service
Identity
Internet Protocol
Transmission Control ProtocolUserDatagramProtocol
通用漏洞披露
国家信息安全漏洞库
分布式拒绝服务
拒绝服务
身份标识
互联网协议
传输控制协议
用户数据报协议
iiKANiKAca
4概述
Universal ResourceLocator
4.1安全防护范围
网页地址
YDB109—2012
信息社区服务系统是指在公共通信网络（含互联网）上建立具有社会化特征的网络活动平台，可供注册或群聚用户同步或异步进行在线文字、链接、话音、图片、多媒体（含流媒体）交流的信息交互平台。信息社区服务系统包括但不限于社交网站、博客、播客、微博、虚拟社区、聊天室、网络在线游戏。信息社区服务系统主要包括用户管理模块、业务处理模块、业务安全管理模块、系统安全管理、对外能力开放模块等。系统功能架构图如图1所示。PC用户
用户管理模块
业务安全管理模块
恶意代码监控
通信网备
智前能终端用户
业务处理模块
数据管理
系统安全管理模块
运行状态监控
对外能力开放模块
第三方合作系统
等模块
图1信息社区服务系统功能架构图信息社区服务系统各模块功能如下：用户管理模块主要包括用户注册、认证、权限等子模块，主要是实现用户的注册、登陆认证以a）
及用户权限鉴别及管理；
业务处理模块主要包括数据的发布、浏览、数据管理、检索等子模块，主要实现用户数据的发b)
布，权限范围内数据的浏览、管理及检索功能：c
业务安全管理模块主要包括恶意代码监控和过滤模块，主要实现对用户上传数据中的恶意代码进行扫描，及时有效的发现恶意代码并能对其进行过滤，确保上传数据安全；d)
系统安全管理模块主要包括设备配置管理和设备运行状态监控，主要实现对系统中网络、安全、主机设备的安全配置管理及日常运行状态监控，及时有效的发现系统运行异常，确保系统运行稳定：
对外能力开放模块主要包括用户认证授权及数据转发模块，主要实现与第三方合作系统的用户e)
认证授权及用户上传数据（文字、链接、话音、图片、多媒体等）的同步或异步在线转发。4.2安全风险分析
信息社区服务系统中的重要资产至少应包括：3
HiiKAoNiKAca
YDB109—2012
信息社区服务关键业务系统及操作维护终端：如用户管理模块、业务处理模块、业务安全管理模块、对外能力开放模块等涉及的服务器、数据库和操作维护终端：b
信息社区服务系统关键数据：如用户身份认证及个人隐私信息、业务系统管理认证信息、各服务器的管理认证信息，各网络设备及安全设备配置及管理认证信息等。信息社区服务系统相关代表性资产的类别划分如表1所示。表1资产类别
设备及链路
数据和信息
文档和资料www.bzxz.net
环境和设施
主要资产
用户管理模块、业务处理模块、业务安全管理模块、对外能力开放模块等涉及的操作维护终端、服务器和数据库，系统内部网络设备（如，系统内部组网路由器、交换机等设备）、系统内部链路。
相关业务或应用软件、数据库软件、业务控制和运维管理软件等。保证信息社区服务系统正常提供业务的数据和信息（如，业务数据、系统配置数据、管理员操作维护记录、用户信息等）：信息社区服务系统比较重要的数据包括：用户身份认证及个人隐私信息、业务系统管理认证信息、各服务器的管理认证信息、各网络设备及安全设备配置及管理认证信息等。纸质以及保存在存储介质中的各种文件资料（如，设计文档、技术要求、管理规定、工作计划、技术报告、用户手册等）。相关管理、维护、开发、数据备份人员等。业务系统和设备所处的物理环境，机房、电力、防火、防水、防静电、温湿度控制等相关设施。
信息社区服务系统在用户管理、业务处理、业务安全管理、对外能力开放等模块的功能实现、部署、配置、管理等环节上均可能引入安全脆弱点。信息社区服务系统面临来自公众互联网和内部网络的各种安全威胁，包括黑客发起DDoS攻击服务器或者篡改、重定向网站内容，上传、传播恶意代码，不法分子窃取信息（如系统配置信息，用户敏感信息等），内部人员操作失误等。信息社区服务系统可能存在的安全脆弱性被利用后会产生很大的安全风险，例如：用户管理模块控制不严格，可产生认证绕过、越权操作等安全隐患：业务处理模块安全措施不到位，可产生敏感数据泄漏、恶意代码上传及传播等安全隐患；业务安全管理模块安全功能不到位，可产生用户请求被劫持或重定向等安全风险；系统安全管理模块安全功能不到位，攻击者可能从外网渗透进内网系统，配置审计、保护措施不到位，信息可能被窃取或者被篡改；对外开放能力模块安全措施不到位，可产生认证绕过、传播恶意代码等安全隐患。这些安全隐患会对信息社区服务系统的业务运行、用户利益构成严重安全威胁。
信息社区服务系统的脆弱性可以从技术脆弱性和管理脆弱性两个方面考虑。脆弱性识别对象应以资产为核心。信息社区服务系统的脆弱性分析应包括但不限于表2所列范围。表2脆弱性类别
技术脆弱性
业务及应用
主要脆弱性
相关服务器未进行合理备份，重要数据未及时进行备份：相关业务存在漏洞，相关服务器的应用代码存在漏洞、后门：相关服务器存在过多不必要的开放端口：相关服务器配置不合理，访问控制策略设置不合理：相关服务器的日志功能没有启用或不够详细；系统规划、设备部署、链路部署，资源配置、业务保护和恢复能力、安全技术措施和策略等方面的缺陷
iiiKAoNiKAca
技术脆弱性
管理脆弱性
物理环境
表2（续）
主要脆弱性
相关设备存在硬件隐患或质量问题：相关设备的操作系统存在安全隐患：相关口令设置不合理、复杂度不够、或没有经常更新；设备重要部件未进行合理备份：相关设备超过使用年限或核心部件老化：相关设备发生故障后未及时告警。机房场地选择不合理：
YDB109—2012
防火、供配电、防静电、接地与防雷、电磁防护、温湿度控制不符合规范：通信线路、相关服务器、主机等设备的保护不符合规范。安全管理机构方面：岗位设置不合理（如人员配置过少、职责不清）、授权和审批程序简化、沟通和合作未执行、审核和检查未执行等：安全管理制度方面：管理制度不完善、制度评审和修订不及时等：人员安全管理方面：人员录用不符合程序、人员离岗未办理安全手续、人员未进行安全培训、对于第三方人员未进行限制访问等：建设管理方面：安全方案不完善、软件开发不符合程序、工程实施未进行安全验收或验收不严格等：
运维管理方面：物理环境管理措施简单、存储介质使用不受限、设备没有定期维护、厂家支持力度不够、关键性能指标没有定期监控、无恶意代码防范措施、无数据备份和恢复策略、访问控制不严格、操作管理不规范等，应急保障措施不到位，灾难恢复预案不完善。信息社区服务系统的威胁根据来源可分为技术威胁、环境威胁和人为威胁。环境威胁包括自然界不可抗的威胁和其它物理威胁。根据威胁的动机，人为威胁又可分为恶意和非恶意两种。信息社区服务系统的威胁分析应包括但不限于表3所列范围。表3威胁类别
环境威胁
物理环境
自然灾害
恶意人员
人为威胁
主要威肋
断电、静电、灰尘、潮湿、温湿度异常、电磁干扰等；意外事故或通讯线路方面的故障。鼠蚁虫害、洪灾、火灾、泥石流、山体滑坡、地震、台风、雷击。不满的或有预谋的内部人员滥用权限进行恶意破坏；攻击者利用非法手段进入机房内部盗窃、破坏，算改源站内容，攻击者非法物理访问相关设备，存储介质等：
攻击者利用网络协议、操作系统、应用系统漏洞，越权访问相关设备的文件、数据或其他资源：
攻击者利用各种工具获取相关设备身份鉴别数据，并对鉴别数据进行分析和解部获得鉴别信息，未授权访问应用系统，或非法使用相关文件和数据攻击者利用应用系统扩散病毒、蠕虫，利用相关攻击工具恶意消耗应用系统资源（如发动DNS攻击、DDoS），导致系统能力下降或瘫痪、无法正常提供应用服务：攻击者截获数据，进行篡改、插入，并重发，造成数据的完整性、真实性丧失。5
HiiKAoNiKAca
YDB1092012
人为威胁
非恶意人员
4.3安全防护内容
4.3.1业务及应用安全
表3（续）
主要威胁
内部人员由于缺乏责任心或者无作为，应该执行而没有执行相应的操作、或无意地执行了错误或危险的操作导致安全事件：内部人员没有遵循规章制度和操作流程而导致故障或信息损坏；内部人员由于缺乏培训、专业技能不足、不具备岗位技能要求而导致故障或攻击：安全管理制度不完善、落实不到位造成安全管理不规范或者管理混乱导致安全事件：
内部人员由于安全检查不及时不到位导致信息社区服务系统主机和服务器、及系统网络设备使用时间过长或质量问题等导致硬件故障，系统链路发生故障，相关设备的操作系统软件、应用软件运行故障，相关设备数据丢失或系统运行中断，存储介质老化或质量问题等导致不可用，信息社区服务系统不能正常运行。业务及应用安全包括向用户提供的相关业务及应用在实现技术、逻辑、管理和控制等方面的安全要求，主要包括业务逻辑安全、web安全、对外能力开放接口安全、客户端安全、用户信息安全防护等。4.3.2网络安全
网络安全包括网络结构安全、入侵防范、安全审计等方面的安全要求，4.3.3设备及软件系统安全
设备及软件系统安全包括网络及安全设备、操作系统、数据库、中间件在身份鉴别、访问控制、安全审计、入侵防范、资源控制等方面的安全要求。4.3.4物理环境安全
物理安全包括信息社区服务系统所处的物理环境在机房位置、电力供应、防火一、防水、防静电、温湿度控制等方面的安全要求。4.3.5管理安全
管理安全包括管理制度、人员和技术支持能力、运行维护管理能力、灾难恢复预案等方面的安全要求。
5定级实施规范
5.1安全等级划分
信息社区服务系统进行安全等级划分的总体原则是：依据定级对象受到破坏后对国家安全、社会秩序、经济运行、公共利益以及业务运营企业的合法权益的损害程度，对增值电信业务系统进行安全等级划分，共分为5个等级。
5.1.1第1级
HiiKAoNiKAca
YDB109—2012
定级对象受到破坏后，会对其业务运营企业的合法权益造成轻微损害，但不损害国家安全、社会秩序、经济运行和公共利益。
本级由业务运营企业依据国家和通信行业有关标准进行保护。5.1.2第2级
定级对象受到破坏后，会对业务运营企业的合法权益产生严重损害，或者对社会秩序、经济运行和公共利益造成轻微损害，但不损害国家安全。本级由业务运营企业依据国家和通信行业有关标准进行保护，主管部门对其安全等级保护工作进行指导。
5.1.3第3级
5.1.3.1第3.1级
定级对象受到破坏后，会对业务运营企业的合法权益产生很严重损害，或者对社会秩序、经济运行和公共利益造成较大损害，或者对国家安全造成轻微损害。本级由业务运营企业依据国家和通信行业有关标准进行保护，主管部门对其安全等级保护工作进行监督、检查。
5.1.3.2第3.2级
定级对象受到破坏后，会对业务运营企业的合法权益产生特别严重损害，或者对社会秩序、经济运行和公共利益造成严重损害，或者对国家安全造成较大损害本级由业务运营企业依据国家和通信行业有关标准进行保护，主管部门对其安全等级保护工作进行重点监督、检查。
5.1.4第4级
定级对象受到破坏后，会对社会秩序、经济运行和公共利益造成特别严重损害，或者对国家安全造成严重损害。
本级由业务运营企业依据国家和通信行业有关标准以及业务的特殊安全要求进行保护，主管部门对其安全等级保护工作进行强制监督、检查。5.1.5第5级
定级对象受到破坏后，会对国家安全造成特别严重损害。本级由业务运营企业依据国家和通信行业有关标准以及业务的特殊安全需求进行保护，主管部门对其安全等级保护工作进行专门监督、检查。5.2定级方法
确定定级对象的安全等级应根据如下三个相互独立的定级要素：社会影响力、规模和服务范围和所提供服务的重要性。
5.2.1社会影响力-1
定级对象的社会影响力表示其受到破坏后对国家安全、社会秩序、经济运行和公共利益的损害程度，对此定级要素进行赋值时，应先确定对国家安全的损害程度，再确定对社会秩序、经济运行和公共利益7
YDB109—2012
的损害程度。定级对象的社会影响力赋值应是对国家安全，社会秩序，经济运行和公共利益的损害程度最严重者。
信息社区服务系统的服务对象范围广泛，数量众多，且其上承载了多种业务功能，受到破坏后会对社会秩序、社会舆论、经济运行和公共利益造成较为严重的损害，建议社会影响力赋值为3。5.2.2规模和服务范围-R
信息社区服务系统的定级对象的规模和服务范围R可根据如下指标确定：规模由注册帐户数（指信息社区服务系统累计注册的帐户总数，用R1来表示）和活跃帐户数（指一个时段内，通常是一个月，至少使用一次信息社区服务系统的帐户总数，用R2来表示）来表示。R取R1和R2的较大值。定级对象的规模R1赋值如表4所示，R2赋值如表5所示。表4规模R1赋值表
规模指标
注册帐户数在500万及以下
注册帐户数在500万以上，1亿及以下注册帐户数在1亿以上，3亿及以下注册帐户数在3亿以上，6亿及以下注册帐户数在6亿以上
表5规模R2赋值表
规模指标（每月）
活跃帐户数在200万及以下
活跃帐户数在200万以上，400万及以下活跃帐户数在400万以上，1亿及以下活跃帐户数在1亿以上，3亿及以下活跃帐户数在3亿以上
5.2.3所提供服务的重要性-V
定级对象所提供服务的重要性表示其提供的服务被破坏后对业务运营企业的合法权益的影响程度，此定级要素可通过定级对象所提供的服务本身的重要性来衡量，如业务的经济价值，业务重要性，对企业自身形象的影响等方面。
信息社区服务系统所提供服务的重要性较高，被破坏后会对社会秩序、业务运营企业的合法权益造成较大损害，建议提供服务的重要性赋值为3。在确定某一个定级要素的赋值时，无需考虑其他两个定级要素。5.3安全等级的计算方法
在完成定级对象的社会影响力I、规模和服务范围R、所提供服务重要性V三个定级要素的赋值后，需采用以下公式来计算定级对象的安全等级值：k=Round1(Log2([αx2'+βx2\+yx2']))(1)
其中，K代表安全等级值，I代表社会影响力赋值、R代表规模和服务范围赋值、V代表所提供服务的重要性赋值，Round10表示四舍五入处理，保留1位小数，Log2［表示取以2为底的对数，α、β、分别8
YDB109—2012
表示定级对象的社会影响力、规模和服务范围、所提供服务的重要性赋值所占的权重，α0，0，0，且α+β+y=1。应根据实际情况确定权重值α、β、建议分别取：0.4、0.4、0.2，或者1/3、1/3、1/3。计算所得定级对象的安全等级值与安全等级的映射关系如表6所示，表6安全等级值与安全等级的映射关系安全等级值k
1≤k<1.5
1.5≤k<2.5
2.5≤k<3.3
3.3≤k≤4
4.5≤k≤5
6安全防护要求
6.1第1级要求
6.1.1业务及应用安全
不作要求。
6.1.2网络安全
不作要求。
6.1.3设备及软件系统安全
不作要求。
物理环境安全
不作要求。
管理安全
不作要求。
6.2第2级要求
6.2.1业务及应用安全
6.2.1.1业务逻辑安全
6.2.1.1.1身份鉴别
安全等级
第1级
第2级
第3.1级
第3.2级
第4级
第5级
应提供并启用用户鉴别信息复杂度检查功能，保证身份鉴别信息不易被冒用。应采用加密方式存储业务用户的帐号和口令信息。6.2.1.1.2访问控制
应严格限制各用户的访问权限，按安全策略要求控制用户对业务、数据、网络资源等的访问。9
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。