YDN 126-2005
基本信息
标准号： YDN 126-2005
中文名称：增值电信业务网络信息安全保障基本要求
标准类别：通信行业标准(YD)
标准状态：现行
出版语种：简体中文
下载格式：.zip .pdf
下载大小：707158
标准分类号
关联标准
出版信息
相关单位信息
标准简介
YDN 126-2005.Baseline requirements for network and information security of value-added telecommunication services.
1范围
YDN 126规定了增值电信业务网络信息安全保障措施基本要求,包括信息资源安全要求、硬件设备和环境安全要求、网络安全要求、平台系统软件安全要求、业务应用系统安全要求等内容。
YDN 126适用于我国增值电信业务网络信息安全保障体系的建设,是增值电信业务提供商建立自身网络信息安全保障框架、增值电信业务监管机构检查经营者安全保障措施实施情况的重要依据。本标准中的网络信息安全保障措施是基本要求,各企业可能需要根据本企业业务特点制定不包括在本标准内的其它安全保障措施。
YDN 126中的安全技术保障措施要求是指各种设备、系统所要具备的安全功能，应通过设备和系统的功能说明书体现。
2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件,其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准,然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件,其最新版本适用于本标准。
YD/T 1132-2001防火墙设备技术要求
YD/T 1311-2004防范互联网垃圾电子邮件技术要求
3定义和缩略语
3.1 定义
本标准采用下列定义。
●增值电信业务(Added-Value Telecommunication Service )
凭借公用电信网的资源和其它通信设备而开发的附加通信业务，其实现的价值使原有网络的经济效益或功能价值增高。
●增值电信业务提供商(Added-Value Telecommunication Service Provider)
提供增值电信业务内容或应用平台的企业，包括增值电信业务内容提供商和增值电信业务平台提供商。
1范围
YDN 126规定了增值电信业务网络信息安全保障措施基本要求,包括信息资源安全要求、硬件设备和环境安全要求、网络安全要求、平台系统软件安全要求、业务应用系统安全要求等内容。
YDN 126适用于我国增值电信业务网络信息安全保障体系的建设,是增值电信业务提供商建立自身网络信息安全保障框架、增值电信业务监管机构检查经营者安全保障措施实施情况的重要依据。本标准中的网络信息安全保障措施是基本要求,各企业可能需要根据本企业业务特点制定不包括在本标准内的其它安全保障措施。
YDN 126中的安全技术保障措施要求是指各种设备、系统所要具备的安全功能，应通过设备和系统的功能说明书体现。
2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件,其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准,然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件,其最新版本适用于本标准。
YD/T 1132-2001防火墙设备技术要求
YD/T 1311-2004防范互联网垃圾电子邮件技术要求
3定义和缩略语
3.1 定义
本标准采用下列定义。
●增值电信业务(Added-Value Telecommunication Service )
凭借公用电信网的资源和其它通信设备而开发的附加通信业务，其实现的价值使原有网络的经济效益或功能价值增高。
●增值电信业务提供商(Added-Value Telecommunication Service Provider)
提供增值电信业务内容或应用平台的企业，包括增值电信业务内容提供商和增值电信业务平台提供商。
标准图片预览
标准内容
通信技术规定
YDN 126-2005
增值电信业务
网络信息安全保障基本要求
Baseline reguirements for network and infomation security oivalue-addedtelecommunicationservices2005-04-28发布
中华人民共和国信息业部
2005-10-01实施
2规范性引用文件..
3定义和缩略语..
3.1亲义
3.2缔略语.
4增信电信务
5地值电信业务网络所面临的安全风险.5.1综
5.2增值电信业务网络安全保护对象..目
5.3增值电信业务网络所面临的安个威助6安全保障措旅要求
综述，
信息资源安全保障措施
硬件设备利环境安全保障措施
网络安全保障措施、
G.5平台系统软性安全保障措施，6.6业务成用系统安全保障错施，次
附录A（规范性附录）因特网接人服务（1ST）业务安全保障要求附录B（规范性附录》信息服务业务安全保障要求附录亡（规范性附录】国内多方通信股务安全保障要求：附录D（规范性附录）在线数据处理与交易处理业务安全保障要求附录（规范性附录）存储软发类业务安全保障要求附录F（规范性附录）亚C业务安全保障要求附录G（规范性附录）国内因特网速拟专用网业务安全保障要求，附录H（规范性附采）叫中心业务案全保障要求附求I（资料性采）增值电信业旁分类ftKN KAea-
YDN126-2005
YDN126-2005
本标准是依据《电信运营业再大事故报告规定（或行）》、《电信服务标准》、中华人民共和国电信条例》附则《增值电信业资分类3、互联网信息服务督理办法多划定的，是为保证增值电信业务网络信息安全而制定的蕉本要求。
本标准的附录A、附录B、附录C、附录D、附录E、附录F、附录G、附录H为规范性附录。牛标准的时录1为资料性附录，
本标由中国通信标准化协会提出并归训。本标准起草单位：信息产业部电信研究院本标准主要起草人：谢帮傅广孙明憨哗Ⅱ
YDN126-2005
本标准的技术内容包括一部分：第4章增值电信业务定义和分类描述：第5章增值电信业齐安全风险分析，第6草交全保障措施要求。
本标准第5、6章内容是对增值电信业务提供商的具体安全要求，其中，第5章要求增值电信业务提供商在确定白身业务网终安全保护的对象，并朗确比所面临的安全成胁的基础上，制定安全保障策略利消跑；问第6章则详细规定了安全保障措施要求的具体内容。标准的附录A判附录H是对第6章中业务层安全技术要求不同种类增值业务的细化。HTYKANKca-
1范固
增值电信业务网络信点安全保障基本要求YDN126-2005
本标准划定了增值电信业务网筛信息安全保障措施基本要求，包括信息资源安全要求、硬件设备和坏境安全要求、网络安全要求、平台系统软件安全要求、业务应用系统安余要求等内容。本标注适用于我回增值电信业务网络信息安全保摩体系的建设，是培值电信业务提供商建立白身网络信息安全保障据架，增值电信业务监管机构检查经营者安全保障措额实施携况的重要依据。本标准中的网给信息安全保障指施是范本要求，各企业可能需要根据本企业业务特点制定不包据在本标准内的其它案全保障措施：
本标准中的安全技术保障范要求是指各种设备系统所要具备的安全功能，应通过设备和策统的功能说助书体现。
2规范性引用文件
下列文件中的条款道过本你准的引用而成为术标准的条款。凡是注日期的引用文件，其后所有的能改单（不包括勘识的内容）成修订版均不适用卡木标准，然而，鼓励根据本标雅达成协议的各方硼究是否可使用这些义件的新版本。凡是不日期的用文件，其最新版本适用于本标准，YT/T 1132-2001
YD/T [311. 2004
3定必和缩略语
3.1定义bzxZ.net
本标准采用下列定义。
防火墙设备技术要求
防范丘联网垃披电子邮件技术要求+增直电信业务（Added-ValueTelecomnunicationScrvicc）：凭借公用电信网的资源和其它通信设备而开发的附加通信业务，其实现的外值原有网络的经济效益或功能价值增商。
增值电信业务摄供商（Added-ValucTelecommuniwutiunServiceProvider）：提供增值电信业每内等或喷用平台的企业，包括堆值电信业务内容提供商和增值电信业务平台提供商。
+增值电信业务内容钱供商（ContcntProviderufAlled-ValuieTelecommunicationService）：提供增值电信业务内等的企业。增值电信业务平台供商（PlatfomPraviderfAdded-ValueTzlccommunicaionService）：提供增值电信业务应用平合的电信企业。+基研电信业务运营商（BasclincTelecunnwunicationServicePravider）：为增值电信业务提供基础网络传输账务的电信企业。*半台系统软件（PlatfnrmSystemSatrware）：为业务应用程序揽供单台服务的软件，如换作系统、中间件等，业务应用系统（ServiceApplication System）：YDN126 2005
指建立文在平台系统之上，进行业务缴据处理和提供业务务的教件系统。3.2蹦略语
本标准采月下列缩略语：
4增值电信业务
Authentication,Aurhorizadion and AccauntingBosiness to Customer
Cuntent Frowider
Digital Data Network
[ntermet Contcnt Provickr
Interner Dala Cenier
Intruiun Detection Syskern
Intemet F'rotocol
IP Virtual Private NetworkWdIPSecurity
Internet Service Prvider
Publie Key Infnairucture
Transmission Control Frotcco]Video On Demand
认证，授权和计费
商业规均对道费者的电子商务
内容提供商
数字数聘网
因特网内容提供商
因特网数据中心业务
人检测系统
因特网协设
因特网虚按专用
IP安全
因特网接人服务
公钥基础设施
传摘控制办议
现频点播
增值电信业务是凭借公市电信网的资确和其它评信设备而开发的阻加通信业务，其实现的价值使原有网略的经济效益或动能价值增高。增值电信业务处为大类，共8小类：第一类增值电信业务
、在线数据处理与交显处理业务；国内多行通信服务业务：
，国内因特网报专用网（IP-VPN）业务：·四特网数据中心（ⅡX）业务。第二类增值电信业务
存储转发类业务（含语育信箱、X.400电广部件业务、传真存储转发业务、语音邮件和增值传真存储转发业务等）
，睡叫中心亚等；
+固特网接人服务（ISP）业务：，信息服务业务[含电话信息服务（声讯服务）、因特网信息服务、通信虚消息服务、和电子邮件]：，各类业务的详细说明参见本标推附学1。N
ft KNn KAca-
5增值电信业务网络所面临的安全风险6.1综述
YDN126-2005
不间的增值屯信业务需进行安全保护的对象以及面临的具休安全成脑会·有所不同，增值电信业务提供商应当能够根据已的承获网络和业务类型，具体证行分析。52增电信业等两缩安全保护对率增值旦信业务网络小需要进行安全保护的对象至少包括：·物理设备；
+通信网络；
◆平台系统软件：
◆业务应用系统
下而避一加以描述、
—物理设备：包括：
，网络通信设备。培值出信业务络通常承载在基础电信网络运营商供的传输网络1，对于这部分两络资源的安全保护不同于本标准范压，因此这里的备仅指增值电信业务网络白身所需要维护的设备，例刘本胞交换机、防火壤、路百器、各种应用服务器、数据库服务器等。，用户整端备：包挡用户使用增值电信业务的终端主机等，对干这部分网终资源的安全保护不届十木标准书用
、其他硬件段备，比如操作维护潜、打印机、存储备、电源等，-通信网络：包括：
，通信网络举作信息，保证网络正带工作的数据，例如适信网配宜数据，路出选挥表、用户数据表等。
，无形的网络资源，比如作宽和速率，一平台系统软件：包括：
，于系统操作信息，保证了系统正带工作的数据，创如操作系统配信息，数据床系统配置危息等。
，操作系统软件和数据床系筑软作，一·业务应用系统：包括：
，业务应用系统软件。
，业务运营信息（如业务运营日志，H费信息等），向用户提供的各种信息（例如发布的新闻信息等），用户个人注肝后息。
，用户壶拟存情空间中信息，例如电子邮箱中电子邮件等。5.3增值电信业务网络所面临的安全威助恨据以上确定的安全保护对象，增慎电信业务网络可能面临的安全威励分为以下几类：1，物理设备安全哦协；指增值电信业多网等物理设备可能查到的物理损害，例如自然灾害、由丁中力系统问题而造成的彻理设备失效等。2.通信网结安全感胶：指增值电信业争网络实体可能面临的攻击，包括需案对网络设备的政击、对网结资源（比如带宽、存储空间等）的非法占用、以及对维持网络正带运行的数据信息的攻击（包括非法访问、样改、删除等）。YDN 126-2005
3.半台系统软件安全威：指针对染作系统和系统数据库的攻击，例细利用操作系统本身满润对其进行的DOS攻击，专门感染操作系统的病毒皮悬声代码，对丁系统数据库数据的恶意识问和非操作等等。
4.业务应用安全威融，包括：
，黑齐的攻击：实际上照客的改击于段种类素多，比如和用系统后门对提供业务的主机进行坏！造战业务中断，或者对业务网势或服务器进行拒绝服许攻击：消耗业务究源，使无运正常向用户提供信息股务。目前通带采最设直防火培的方法阳止黑客的效击。，病毒及累彰代码的干扰，随病毒软件可以在一定任度上防止或减轻病毒和恶意代剪造成的摄，
，业务运营商内部的工的非法行为（比如非法进人机密数据库，册除修改数括，泄满重要安全信息等以及操作员在运学维护中出现的错谋或失误，送些行实标上教品可必通过充普的安全苍率删度尽量避免。在发牛间题时，成能通过及时的成急措施利业务恢豆指施尽年减少问题的膨响。
，对业务两络中传输和存储的数据信息（包措我人信息，保信息，收感的金融信息等等）的府行为，对于数据盗的防护措施士要是加密技未、严格的访问控制机制、操作的可审计性等。·非法信息传播：导教这种感胁出现的手段视惑，例如黑客馨改网页导效出现非法信息传播、利用增值业务应用系统中的BBS平台进行非法信息传播等等。6安全保措施要求
6.1综述
增位电信业劳提供断应从以下几个方面制定并实施自身业务网络的安全保摩措施：、危息资源安全保障措施；
■硬作设备和环境安全保障措施：·网络安全保障措施：
、平台系统款件安全保障措施
、业务应用系统安全保障措施。下面竞节将分别加以论。
6.2、倍惠资读安全保质措施
6.2.1信息类资产安全
信息类资产是指效据文件、系统文件、操作或执行程序、用信息、业等信息等非实物资产。保证信息资产安全应做到：
1、为重要借感类资产建立资产清革。所有资产清单成其有统一格式，如文件所有者、卷系列号、义件名及其播述，作业或项目编号、建立其期及保荐期限、安全保护等级等等、2．对所石信息类资产根据不同屏性进行约类，并采取有效的措媒，比划建文常引，方便查找，3，损据信息的保册性和要性阐定安全等级。对于不同安全等级的信息资产应制定不同的管理规范和管理制度。各企业应握据自身的具体情说界定信息的安全级别。增值电信业等提供商可以将本业务网络内的信息分为两人类：一般信息（不会对业务径行产生重要影响的信息，例如Wcb照务群上供用广浏览的信息、用户间传送的信息等）、重要信息（影响业务逻行的信息，例如系统4
TT KANnY KAca-
YDN 126-2005
配置信息，业务网络配贷信食、用户业务口志、用广账广信息等等）。其中重要信息可以再细分级别：非涉密级信息，秘密级信息。其体的划分原则各企业应振据实际情况而定“6.2.2信息布安全
信息发布是指将业务信息通过网铅提供给用户梳案或测览，例如提供Web页面，发送订阅短信息等。保证信息发布安全应做到：
1.增值电信业务内容提供商的数据输出控制应有专人负查，明确负责人的取声。输出义件在发到用户之前，应由数据处理部门进行审核。2对于用户利用增值电信业务提供商的网络资源发布的信，消值电信业务热供商成能够建立相应有效的方害信息核查机利和投诉受理制度：3．增值电信业务内容提供商对外发布的公共信息（指文字信息）应使用专门的程序对关键字进行过滤。通过过滤的信息成有之人进行二改过滤，经过满别除的信息也应右专人进行短查，防止识判。4.提供通信短消息服务的培值电信业务内容提供商（包指CP、ISP)和增值电信业务平台提供商（这里指移动短消息平台提供商），应设立专门人员和网落资源接受折及付处理用户对于垃级短信的投诉。
5，对于向公众发布的声讯信息，多媒体信息，增值电信业务内容提供商应采用人工厅式进行有害信息的检查。
B.2.3倍息交换安全
信息交换包括企业内部部门、人贝之间的信息交换和企业与外部之间的信息、交换，例如电子邮件、用户注册、发送订单，信息采编过程中的文件传逆等。信息交换安全指防止在信息交换过程中信息丢失、被修收或者盗用。保证信息交换安全应做到：1，对于信安换过程讲行监管，可以采取人工进行事前争后的检查和友查，或自动技术手段进行监督。
2对于交换的信息文件要采取一定的手段保证其保密性和完整性例如通过数据网结进行交换的信息应采用必要的技术安全措施等），防止在交换的过程中信息丢头，被更改等情况的山现。6.3硬件设备和环境安全保障措
6.3.1设据作变全
设备操作安全是规范设备操作流程，避免人为误操作或者末经按权的操作所导政的安全间题，并使设操作行为具有可审计性。
一设备利系统有专门的人员进行操作。增值电信业务提供商应制定完备的案统维护制度：1.对系统逆行维护时，应采取数据保扩措施，如数解转储、卸下避盘磁带等。2．对系统进行预防继修或故障维修时，应记录故降原因、维繁对象、维修内容和维整前后状况等信息。
3，应建立完整的维护记录挡案，(i）DC业劳的信息分类原则待定。5
YDN126-2005
一增值电信业务提供商应制定系统考行记录编写制度，系统运行记死化括系统名称、姓名、规作时间、处现业务名称、故障记录及处理情况等。重要的口志应由安全负责人签名，规定保存期限。存放重要信息的计算机（参见6.2.1节）日志应记录如下内容：1、每改成功的快用：记录节点名、用户名、终端名、上下机时间、操作的数据或程序名、操作的类型、修改前后的效据值。
2．户每次越权存取的尝试：记录节点名、用户名、整端名，时间、欲超权存取的数据及操作类型、存取失败的原因。
3、每次个成动的用户身份：记求节点名、用户名、终端名、时间。增值电信业务提供商的托管放备应与托音方签订相关的操作安全方面的协议，6.3.2物理设备和环境安全
本节的要求暂不包括增值电信业务提其商的设备故托管的携况，托管设备和环境的安会待定。保证系筑平台的硬件设备和环境安全应做到以下几点：1、为物埋设备建立资产清单，并根据其互要性划分安全等级，例如，一般设备（一般的操作终券，打印机等，其故障不会对整个业务网络产生重大影响的龄备）、更婴设备（比如计费累务器、存故蛋要信息的数据库、础网络设施等等）c2为重要的设备选择一个安金的位置，土要包括：a）在放置该设备的闻的人口等处，应使用监控装置（如烘像头或照相机）；b）进人该地点应有一定的检查机制：）对于荣些非带重要的业务网络设施（例如接线柜等）：除经过授权的必须访问以外，成严格禁止对其的访问，
3、保证设备的电力供应，任何电力供应系统均不应超载，同时应设受备用电源以保证断电时的电力供应。
4、应充分考虑在白然灾害发生时，投备的亢余设计能够股大限度保证业务续性。6.4网络安全保障措施
增值电信业务网络的传输安全应当由提供网络承载的基础电信业务运营商来负资，因此这方面的安全要求超出了本标准的范围，本节仅规定增值电信业务网络白身管结的网络安全（例如本地局城网络安全）。1.增值电信业务网络中应采用有效手段（如欧火墙或者其他类型防网络攻击的软／硬件、人促检测系统（DS）“、举罐技术\等）来保过本地网络安全，抵解来白公共网络的人慌。防火墙或者其他类型防网攻击的软／硬件以及人侵检测系统（IDS）的功能要求争见YD/T1[32.2001防火瑞没备技术要求
2.业务网络应做到对外（本其是指外部网络，甚至包括内部局域网中的某些其它设备或续端）屏蔽重要设备（例如计费服务器、存放重要信息的数据库、基础网结设施等）的地址。3．服务群应关闭与本身服务不相美的端口。人检滤作为种积极丰动的安全防护转术，概供了对内部攻山、外部攻和误操作的实时保护，在网结系统受到危告之前拦弗和响应人快。它可以弥补防火墙的不足，为网格安全提供实时的人使检测及采取相痴的随护手段，如记录证括用于鼎踪，恢复、断严网络连速等，）一种在网络计中，引诱政击对其进行攻击，从而收集攻击者信息的类似陷讲的安全技术，6
T1 KANY KAca-
YDN126-2005
4.企业内部存储重要信息（参见6.2.1节）的网络／计算机应该与公共网络隔离（可以采用程有地址），
6.5平台票统软件安全保障措施
出于大多数增值电信业务应用系筑都是坠于计算执操作系利缴据库系统之上开发的：固此本节对平会系统层面软件的安全保障措施的要求适用于所行种类的增值电信业务，其中如有对丁某种业务的特殊要求，特有明疏标注。
增值电信业务网络平台系统较件的安全根据篇要保护的对象可以分为以下两类：操作系统安全：
·系统数据库安全。
下面分别淄述且体的措随要求。8.5.1操作系统安全
增值电信业务半台系统的牌作系统软件应具备的安全保护功能包括：系统应能够提供各种安全防护能力，例如文性访间控制、用户伤间权限级别控制、TP地址控制、端口安全智理等：
、系统应具备壳善的操作日志记录功能：，系统应提供重要数据（参见6.21节）备份功能，比如提供自动备份软件等：系统和软件在任务正常或非正常结束以后，应该清除分配翰该任务的全部临时工作区域。除了以上操作系统的安全功能外，为保证平台系统的安全，增值电信业务退供商还应能够做到；，有专人负责进行较件升级，背右最斯的系统安全公告，皮时为系统打扑」（系统补」公布之，成在4周之内完成涉皮安全间题的补丁的测试以及测试通过后的系统升级上作，在补丁进行测试和升缴工作行期问，必采必要的应急安全防护措施，避免相应的安全间题发生。）等工作，，应定期（至1个月）进行一次系统漏洞且描。，如果系统采用口令识别技术，则系统的口令不得少于6位，口令应其有定的安架性，定期（至少每3个月）变更1次，核心系统的口令不得少于8位，至少每个月应变更1次。鼓励采用其他安全性更强的识别拉术，如数字证书等。，系统成安装防病毒教件硬件，根批病剂预告应随时下载安装最新的病毒库，应设专人负贡查吞最新的病雄公告。出现破坏力强的病亦要及时向公司相关部门通告。，使用下裁的外部文件前成进行病毒等恶意代码及被坏性程序的检查，确认无问题后才能使用。应垒少每【个月1次对平育系统的起盘后显进行备阶6.5.2数据库系统安全
对增值电信业务两络数据库系统的安全保护措施包括：，数据库术身应具备严格的存取访问控制机刷，成能够采取层次、分区、表格等各种授权方式，控制用对据库的存取权限
禁作员对数据库访问应设置口令保护，口令长度不得小于6位，日令应具有一定的复杂性，至少每2个应变更一次，应能够对含令表进行加密，以保护数据安全。，数据库对输人数据成能够进行逐辑检验，以保证数谢库更新数据的准确性，，对于存改重要信息的数据库（垒见6.21节），应采用数据加缩技术以及数据序加密技术来保护数据库的变全。
数据库数辑应定期（至少每1个月1次）进行备份。中数据库软件应具备操作日志记录功能。，数据库软件盘具备从各种人为故障、软件故障和硬件故障中进行恢痘的能力。7
YDN126-2005
，数据库的所有操作均应有操作记录，以备安全计使用。B.6业务应用系统安全保障措施
6.6.1通用性要求
」．对特定的业务终端设备，如可对重要数据（参见6.2.1节）进行存取的。有控制台功能的终端等，成限定操作人员。限定操作人员的方法有：口令、识别码等资格认是或设胃终端设备的钥匙等。2．业务成用系统应能够对操作员的访问权限进行分缴，并且对操作员的访问进行认证&授权，每个操作员总设置口令，口今长度不得小于6位，至少每2个月应变更1次：3业务应用系统成能够对操作员的所有操作部进行详细的日志记录，4.业务应用系统成能够在探作以进行非法操作时白动发出台警，告警应根据行为的严重程度进行分级。告等方式成根据级别不高而不间5，应至少1个月1次对重要业务数据进行备份。重要数据【参见6.2.1节）的备份成至少保留3个月。
6，重要的业务系统在建立时就应考投备备份。如主桃备份、系统备份等。7。备份系统就定期（至少1年【次）进行实际运行，以检验新份系统的可靠性，6.6.2不阿业务类型区别要求
业务应用层面的安全保率措施还应根增值电信业务种类，包括承载裁网路性质（电路交换／分组交换网）和业务属性（告通业务／对安全券感的业务）的不同有各自的区别要求。对应于每种类型增值电信业务业务应用层面的特殊性安全保障措随奖求，参见本标附录A到附录H.TT KANnY KAca-
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。
YDN 126-2005
增值电信业务
网络信息安全保障基本要求
Baseline reguirements for network and infomation security oivalue-addedtelecommunicationservices2005-04-28发布
中华人民共和国信息业部
2005-10-01实施
2规范性引用文件..
3定义和缩略语..
3.1亲义
3.2缔略语.
4增信电信务
5地值电信业务网络所面临的安全风险.5.1综
5.2增值电信业务网络安全保护对象..目
5.3增值电信业务网络所面临的安个威助6安全保障措旅要求
综述，
信息资源安全保障措施
硬件设备利环境安全保障措施
网络安全保障措施、
G.5平台系统软性安全保障措施，6.6业务成用系统安全保障错施，次
附录A（规范性附录）因特网接人服务（1ST）业务安全保障要求附录B（规范性附录》信息服务业务安全保障要求附录亡（规范性附录】国内多方通信股务安全保障要求：附录D（规范性附录）在线数据处理与交易处理业务安全保障要求附录（规范性附录）存储软发类业务安全保障要求附录F（规范性附录）亚C业务安全保障要求附录G（规范性附录）国内因特网速拟专用网业务安全保障要求，附录H（规范性附采）叫中心业务案全保障要求附求I（资料性采）增值电信业旁分类ftKN KAea-
YDN126-2005
YDN126-2005
本标准是依据《电信运营业再大事故报告规定（或行）》、《电信服务标准》、中华人民共和国电信条例》附则《增值电信业资分类3、互联网信息服务督理办法多划定的，是为保证增值电信业务网络信息安全而制定的蕉本要求。
本标准的附录A、附录B、附录C、附录D、附录E、附录F、附录G、附录H为规范性附录。牛标准的时录1为资料性附录，
本标由中国通信标准化协会提出并归训。本标准起草单位：信息产业部电信研究院本标准主要起草人：谢帮傅广孙明憨哗Ⅱ
YDN126-2005
本标准的技术内容包括一部分：第4章增值电信业务定义和分类描述：第5章增值电信业齐安全风险分析，第6草交全保障措施要求。
本标准第5、6章内容是对增值电信业务提供商的具体安全要求，其中，第5章要求增值电信业务提供商在确定白身业务网终安全保护的对象，并朗确比所面临的安全成胁的基础上，制定安全保障策略利消跑；问第6章则详细规定了安全保障措施要求的具体内容。标准的附录A判附录H是对第6章中业务层安全技术要求不同种类增值业务的细化。HTYKANKca-
1范固
增值电信业务网络信点安全保障基本要求YDN126-2005
本标准划定了增值电信业务网筛信息安全保障措施基本要求，包括信息资源安全要求、硬件设备和坏境安全要求、网络安全要求、平台系统软件安全要求、业务应用系统安余要求等内容。本标注适用于我回增值电信业务网络信息安全保摩体系的建设，是培值电信业务提供商建立白身网络信息安全保障据架，增值电信业务监管机构检查经营者安全保障措额实施携况的重要依据。本标准中的网给信息安全保障指施是范本要求，各企业可能需要根据本企业业务特点制定不包据在本标准内的其它案全保障措施：
本标准中的安全技术保障范要求是指各种设备系统所要具备的安全功能，应通过设备和策统的功能说助书体现。
2规范性引用文件
下列文件中的条款道过本你准的引用而成为术标准的条款。凡是注日期的引用文件，其后所有的能改单（不包括勘识的内容）成修订版均不适用卡木标准，然而，鼓励根据本标雅达成协议的各方硼究是否可使用这些义件的新版本。凡是不日期的用文件，其最新版本适用于本标准，YT/T 1132-2001
YD/T [311. 2004
3定必和缩略语
3.1定义bzxZ.net
本标准采用下列定义。
防火墙设备技术要求
防范丘联网垃披电子邮件技术要求+增直电信业务（Added-ValueTelecomnunicationScrvicc）：凭借公用电信网的资源和其它通信设备而开发的附加通信业务，其实现的外值原有网络的经济效益或功能价值增商。
增值电信业务摄供商（Added-ValucTelecommuniwutiunServiceProvider）：提供增值电信业每内等或喷用平台的企业，包括堆值电信业务内容提供商和增值电信业务平台提供商。
+增值电信业务内容钱供商（ContcntProviderufAlled-ValuieTelecommunicationService）：提供增值电信业务内等的企业。增值电信业务平台供商（PlatfomPraviderfAdded-ValueTzlccommunicaionService）：提供增值电信业务应用平合的电信企业。+基研电信业务运营商（BasclincTelecunnwunicationServicePravider）：为增值电信业务提供基础网络传输账务的电信企业。*半台系统软件（PlatfnrmSystemSatrware）：为业务应用程序揽供单台服务的软件，如换作系统、中间件等，业务应用系统（ServiceApplication System）：YDN126 2005
指建立文在平台系统之上，进行业务缴据处理和提供业务务的教件系统。3.2蹦略语
本标准采月下列缩略语：
4增值电信业务
Authentication,Aurhorizadion and AccauntingBosiness to Customer
Cuntent Frowider
Digital Data Network
[ntermet Contcnt Provickr
Interner Dala Cenier
Intruiun Detection Syskern
Intemet F'rotocol
IP Virtual Private NetworkWdIPSecurity
Internet Service Prvider
Publie Key Infnairucture
Transmission Control Frotcco]Video On Demand
认证，授权和计费
商业规均对道费者的电子商务
内容提供商
数字数聘网
因特网内容提供商
因特网数据中心业务
人检测系统
因特网协设
因特网虚按专用
IP安全
因特网接人服务
公钥基础设施
传摘控制办议
现频点播
增值电信业务是凭借公市电信网的资确和其它评信设备而开发的阻加通信业务，其实现的价值使原有网略的经济效益或动能价值增高。增值电信业务处为大类，共8小类：第一类增值电信业务
、在线数据处理与交显处理业务；国内多行通信服务业务：
，国内因特网报专用网（IP-VPN）业务：·四特网数据中心（ⅡX）业务。第二类增值电信业务
存储转发类业务（含语育信箱、X.400电广部件业务、传真存储转发业务、语音邮件和增值传真存储转发业务等）
，睡叫中心亚等；
+固特网接人服务（ISP）业务：，信息服务业务[含电话信息服务（声讯服务）、因特网信息服务、通信虚消息服务、和电子邮件]：，各类业务的详细说明参见本标推附学1。N
ft KNn KAca-
5增值电信业务网络所面临的安全风险6.1综述
YDN126-2005
不间的增值屯信业务需进行安全保护的对象以及面临的具休安全成脑会·有所不同，增值电信业务提供商应当能够根据已的承获网络和业务类型，具体证行分析。52增电信业等两缩安全保护对率增值旦信业务网络小需要进行安全保护的对象至少包括：·物理设备；
+通信网络；
◆平台系统软件：
◆业务应用系统
下而避一加以描述、
—物理设备：包括：
，网络通信设备。培值出信业务络通常承载在基础电信网络运营商供的传输网络1，对于这部分两络资源的安全保护不同于本标准范压，因此这里的备仅指增值电信业务网络白身所需要维护的设备，例刘本胞交换机、防火壤、路百器、各种应用服务器、数据库服务器等。，用户整端备：包挡用户使用增值电信业务的终端主机等，对干这部分网终资源的安全保护不届十木标准书用
、其他硬件段备，比如操作维护潜、打印机、存储备、电源等，-通信网络：包括：
，通信网络举作信息，保证网络正带工作的数据，例如适信网配宜数据，路出选挥表、用户数据表等。
，无形的网络资源，比如作宽和速率，一平台系统软件：包括：
，于系统操作信息，保证了系统正带工作的数据，创如操作系统配信息，数据床系统配置危息等。
，操作系统软件和数据床系筑软作，一·业务应用系统：包括：
，业务应用系统软件。
，业务运营信息（如业务运营日志，H费信息等），向用户提供的各种信息（例如发布的新闻信息等），用户个人注肝后息。
，用户壶拟存情空间中信息，例如电子邮箱中电子邮件等。5.3增值电信业务网络所面临的安全威助恨据以上确定的安全保护对象，增慎电信业务网络可能面临的安全威励分为以下几类：1，物理设备安全哦协；指增值电信业多网等物理设备可能查到的物理损害，例如自然灾害、由丁中力系统问题而造成的彻理设备失效等。2.通信网结安全感胶：指增值电信业争网络实体可能面临的攻击，包括需案对网络设备的政击、对网结资源（比如带宽、存储空间等）的非法占用、以及对维持网络正带运行的数据信息的攻击（包括非法访问、样改、删除等）。YDN 126-2005
3.半台系统软件安全威：指针对染作系统和系统数据库的攻击，例细利用操作系统本身满润对其进行的DOS攻击，专门感染操作系统的病毒皮悬声代码，对丁系统数据库数据的恶意识问和非操作等等。
4.业务应用安全威融，包括：
，黑齐的攻击：实际上照客的改击于段种类素多，比如和用系统后门对提供业务的主机进行坏！造战业务中断，或者对业务网势或服务器进行拒绝服许攻击：消耗业务究源，使无运正常向用户提供信息股务。目前通带采最设直防火培的方法阳止黑客的效击。，病毒及累彰代码的干扰，随病毒软件可以在一定任度上防止或减轻病毒和恶意代剪造成的摄，
，业务运营商内部的工的非法行为（比如非法进人机密数据库，册除修改数括，泄满重要安全信息等以及操作员在运学维护中出现的错谋或失误，送些行实标上教品可必通过充普的安全苍率删度尽量避免。在发牛间题时，成能通过及时的成急措施利业务恢豆指施尽年减少问题的膨响。
，对业务两络中传输和存储的数据信息（包措我人信息，保信息，收感的金融信息等等）的府行为，对于数据盗的防护措施士要是加密技未、严格的访问控制机制、操作的可审计性等。·非法信息传播：导教这种感胁出现的手段视惑，例如黑客馨改网页导效出现非法信息传播、利用增值业务应用系统中的BBS平台进行非法信息传播等等。6安全保措施要求
6.1综述
增位电信业劳提供断应从以下几个方面制定并实施自身业务网络的安全保摩措施：、危息资源安全保障措施；
■硬作设备和环境安全保障措施：·网络安全保障措施：
、平台系统款件安全保障措施
、业务应用系统安全保障措施。下面竞节将分别加以论。
6.2、倍惠资读安全保质措施
6.2.1信息类资产安全
信息类资产是指效据文件、系统文件、操作或执行程序、用信息、业等信息等非实物资产。保证信息资产安全应做到：
1、为重要借感类资产建立资产清革。所有资产清单成其有统一格式，如文件所有者、卷系列号、义件名及其播述，作业或项目编号、建立其期及保荐期限、安全保护等级等等、2．对所石信息类资产根据不同屏性进行约类，并采取有效的措媒，比划建文常引，方便查找，3，损据信息的保册性和要性阐定安全等级。对于不同安全等级的信息资产应制定不同的管理规范和管理制度。各企业应握据自身的具体情说界定信息的安全级别。增值电信业等提供商可以将本业务网络内的信息分为两人类：一般信息（不会对业务径行产生重要影响的信息，例如Wcb照务群上供用广浏览的信息、用户间传送的信息等）、重要信息（影响业务逻行的信息，例如系统4
TT KANnY KAca-
YDN 126-2005
配置信息，业务网络配贷信食、用户业务口志、用广账广信息等等）。其中重要信息可以再细分级别：非涉密级信息，秘密级信息。其体的划分原则各企业应振据实际情况而定“6.2.2信息布安全
信息发布是指将业务信息通过网铅提供给用户梳案或测览，例如提供Web页面，发送订阅短信息等。保证信息发布安全应做到：
1.增值电信业务内容提供商的数据输出控制应有专人负查，明确负责人的取声。输出义件在发到用户之前，应由数据处理部门进行审核。2对于用户利用增值电信业务提供商的网络资源发布的信，消值电信业务热供商成能够建立相应有效的方害信息核查机利和投诉受理制度：3．增值电信业务内容提供商对外发布的公共信息（指文字信息）应使用专门的程序对关键字进行过滤。通过过滤的信息成有之人进行二改过滤，经过满别除的信息也应右专人进行短查，防止识判。4.提供通信短消息服务的培值电信业务内容提供商（包指CP、ISP)和增值电信业务平台提供商（这里指移动短消息平台提供商），应设立专门人员和网落资源接受折及付处理用户对于垃级短信的投诉。
5，对于向公众发布的声讯信息，多媒体信息，增值电信业务内容提供商应采用人工厅式进行有害信息的检查。
B.2.3倍息交换安全
信息交换包括企业内部部门、人贝之间的信息交换和企业与外部之间的信息、交换，例如电子邮件、用户注册、发送订单，信息采编过程中的文件传逆等。信息交换安全指防止在信息交换过程中信息丢失、被修收或者盗用。保证信息交换安全应做到：1，对于信安换过程讲行监管，可以采取人工进行事前争后的检查和友查，或自动技术手段进行监督。
2对于交换的信息文件要采取一定的手段保证其保密性和完整性例如通过数据网结进行交换的信息应采用必要的技术安全措施等），防止在交换的过程中信息丢头，被更改等情况的山现。6.3硬件设备和环境安全保障措
6.3.1设据作变全
设备操作安全是规范设备操作流程，避免人为误操作或者末经按权的操作所导政的安全间题，并使设操作行为具有可审计性。
一设备利系统有专门的人员进行操作。增值电信业务提供商应制定完备的案统维护制度：1.对系统逆行维护时，应采取数据保扩措施，如数解转储、卸下避盘磁带等。2．对系统进行预防继修或故障维修时，应记录故降原因、维繁对象、维修内容和维整前后状况等信息。
3，应建立完整的维护记录挡案，(i）DC业劳的信息分类原则待定。5
YDN126-2005
一增值电信业务提供商应制定系统考行记录编写制度，系统运行记死化括系统名称、姓名、规作时间、处现业务名称、故障记录及处理情况等。重要的口志应由安全负责人签名，规定保存期限。存放重要信息的计算机（参见6.2.1节）日志应记录如下内容：1、每改成功的快用：记录节点名、用户名、终端名、上下机时间、操作的数据或程序名、操作的类型、修改前后的效据值。
2．户每次越权存取的尝试：记录节点名、用户名、整端名，时间、欲超权存取的数据及操作类型、存取失败的原因。
3、每次个成动的用户身份：记求节点名、用户名、终端名、时间。增值电信业务提供商的托管放备应与托音方签订相关的操作安全方面的协议，6.3.2物理设备和环境安全
本节的要求暂不包括增值电信业务提其商的设备故托管的携况，托管设备和环境的安会待定。保证系筑平台的硬件设备和环境安全应做到以下几点：1、为物埋设备建立资产清单，并根据其互要性划分安全等级，例如，一般设备（一般的操作终券，打印机等，其故障不会对整个业务网络产生重大影响的龄备）、更婴设备（比如计费累务器、存故蛋要信息的数据库、础网络设施等等）c2为重要的设备选择一个安金的位置，土要包括：a）在放置该设备的闻的人口等处，应使用监控装置（如烘像头或照相机）；b）进人该地点应有一定的检查机制：）对于荣些非带重要的业务网络设施（例如接线柜等）：除经过授权的必须访问以外，成严格禁止对其的访问，
3、保证设备的电力供应，任何电力供应系统均不应超载，同时应设受备用电源以保证断电时的电力供应。
4、应充分考虑在白然灾害发生时，投备的亢余设计能够股大限度保证业务续性。6.4网络安全保障措施
增值电信业务网络的传输安全应当由提供网络承载的基础电信业务运营商来负资，因此这方面的安全要求超出了本标准的范围，本节仅规定增值电信业务网络白身管结的网络安全（例如本地局城网络安全）。1.增值电信业务网络中应采用有效手段（如欧火墙或者其他类型防网络攻击的软／硬件、人促检测系统（DS）“、举罐技术\等）来保过本地网络安全，抵解来白公共网络的人慌。防火墙或者其他类型防网攻击的软／硬件以及人侵检测系统（IDS）的功能要求争见YD/T1[32.2001防火瑞没备技术要求
2.业务网络应做到对外（本其是指外部网络，甚至包括内部局域网中的某些其它设备或续端）屏蔽重要设备（例如计费服务器、存放重要信息的数据库、基础网结设施等）的地址。3．服务群应关闭与本身服务不相美的端口。人检滤作为种积极丰动的安全防护转术，概供了对内部攻山、外部攻和误操作的实时保护，在网结系统受到危告之前拦弗和响应人快。它可以弥补防火墙的不足，为网格安全提供实时的人使检测及采取相痴的随护手段，如记录证括用于鼎踪，恢复、断严网络连速等，）一种在网络计中，引诱政击对其进行攻击，从而收集攻击者信息的类似陷讲的安全技术，6
T1 KANY KAca-
YDN126-2005
4.企业内部存储重要信息（参见6.2.1节）的网络／计算机应该与公共网络隔离（可以采用程有地址），
6.5平台票统软件安全保障措施
出于大多数增值电信业务应用系筑都是坠于计算执操作系利缴据库系统之上开发的：固此本节对平会系统层面软件的安全保障措施的要求适用于所行种类的增值电信业务，其中如有对丁某种业务的特殊要求，特有明疏标注。
增值电信业务网络平台系统较件的安全根据篇要保护的对象可以分为以下两类：操作系统安全：
·系统数据库安全。
下面分别淄述且体的措随要求。8.5.1操作系统安全
增值电信业务半台系统的牌作系统软件应具备的安全保护功能包括：系统应能够提供各种安全防护能力，例如文性访间控制、用户伤间权限级别控制、TP地址控制、端口安全智理等：
、系统应具备壳善的操作日志记录功能：，系统应提供重要数据（参见6.21节）备份功能，比如提供自动备份软件等：系统和软件在任务正常或非正常结束以后，应该清除分配翰该任务的全部临时工作区域。除了以上操作系统的安全功能外，为保证平台系统的安全，增值电信业务退供商还应能够做到；，有专人负责进行较件升级，背右最斯的系统安全公告，皮时为系统打扑」（系统补」公布之，成在4周之内完成涉皮安全间题的补丁的测试以及测试通过后的系统升级上作，在补丁进行测试和升缴工作行期问，必采必要的应急安全防护措施，避免相应的安全间题发生。）等工作，，应定期（至1个月）进行一次系统漏洞且描。，如果系统采用口令识别技术，则系统的口令不得少于6位，口令应其有定的安架性，定期（至少每3个月）变更1次，核心系统的口令不得少于8位，至少每个月应变更1次。鼓励采用其他安全性更强的识别拉术，如数字证书等。，系统成安装防病毒教件硬件，根批病剂预告应随时下载安装最新的病毒库，应设专人负贡查吞最新的病雄公告。出现破坏力强的病亦要及时向公司相关部门通告。，使用下裁的外部文件前成进行病毒等恶意代码及被坏性程序的检查，确认无问题后才能使用。应垒少每【个月1次对平育系统的起盘后显进行备阶6.5.2数据库系统安全
对增值电信业务两络数据库系统的安全保护措施包括：，数据库术身应具备严格的存取访问控制机刷，成能够采取层次、分区、表格等各种授权方式，控制用对据库的存取权限
禁作员对数据库访问应设置口令保护，口令长度不得小于6位，日令应具有一定的复杂性，至少每2个应变更一次，应能够对含令表进行加密，以保护数据安全。，数据库对输人数据成能够进行逐辑检验，以保证数谢库更新数据的准确性，，对于存改重要信息的数据库（垒见6.21节），应采用数据加缩技术以及数据序加密技术来保护数据库的变全。
数据库数辑应定期（至少每1个月1次）进行备份。中数据库软件应具备操作日志记录功能。，数据库软件盘具备从各种人为故障、软件故障和硬件故障中进行恢痘的能力。7
YDN126-2005
，数据库的所有操作均应有操作记录，以备安全计使用。B.6业务应用系统安全保障措施
6.6.1通用性要求
」．对特定的业务终端设备，如可对重要数据（参见6.2.1节）进行存取的。有控制台功能的终端等，成限定操作人员。限定操作人员的方法有：口令、识别码等资格认是或设胃终端设备的钥匙等。2．业务成用系统应能够对操作员的访问权限进行分缴，并且对操作员的访问进行认证&授权，每个操作员总设置口令，口今长度不得小于6位，至少每2个月应变更1次：3业务应用系统成能够对操作员的所有操作部进行详细的日志记录，4.业务应用系统成能够在探作以进行非法操作时白动发出台警，告警应根据行为的严重程度进行分级。告等方式成根据级别不高而不间5，应至少1个月1次对重要业务数据进行备份。重要数据【参见6.2.1节）的备份成至少保留3个月。
6，重要的业务系统在建立时就应考投备备份。如主桃备份、系统备份等。7。备份系统就定期（至少1年【次）进行实际运行，以检验新份系统的可靠性，6.6.2不阿业务类型区别要求
业务应用层面的安全保率措施还应根增值电信业务种类，包括承载裁网路性质（电路交换／分组交换网）和业务属性（告通业务／对安全券感的业务）的不同有各自的区别要求。对应于每种类型增值电信业务业务应用层面的特殊性安全保障措随奖求，参见本标附录A到附录H.TT KANnY KAca-
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。