YD/T 1736-2009.Security protection requirements for internet.
1范围
YD/T 1736规定了互联网业务及应用系统在安全等级保护、安全风险评估、灾难备份及恢复等方面的安全防护要求。
YD/T 1736适用于互联网业务及应用系统。
2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准。然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。
YD/T 1728- -2008电信网和互联网安全防护管理指南
YD/T 1729- -2008电信网和互联网安全等级保护实施指南
YD/T 1730- -2008电信网和互联网安全风险评估实施指南
YD/T 1731- -2008电信网和互联网灾难备份及恢复实施指南
YD/T 1742- -2008接入网安全防护要求
YD/T 1744- -2007传送网安全防护要求
YD/T 1746- -2008 IP承载网安全防护要求
YD/T 1754- -2008电信网和互联网物理环境安全防护要求
YD/T 1756- -2008电信网和互联网管理安全防护要求
YD/T 2052- -2009域名系统安全防护要求
YD/T 1658- -2007宽带网络接入服务器安全技术要求
YD/T 1045- -2000网络接入服务器技术规范
YD/T 1392- -2005无线应用协议(WAP)网关设备技术要求
YD/T 1311- -2004防范互联网垃圾电子邮件技术要求
YDN 126- -2009增值电信业务网络信息安全保障基本要求

ICS35.110
中华人民共和国通信行业标准
YD/T1736-2009
代替YD/T 1736-2008
互联网安全防护要求
Security protection reguirements for internet2009-12-11发布
2010-01-01实施
中华人民共和国工业和信息化部发布前
1范围
2规范性引用文件
3 术语和定义·
4缩略语
5五联网安全防护概述
5.1互联网安全防护范围
5.2互联网安全防护内容：
6互联网定级对象和安全等级确定·7互联网资产、脆弱性、威胁分析…7.1
资产分析·
7.2跪弱性分析·
7.3威胁分析
8互联网安全等级保护要求
第1级要求
第2级要求-
第3.1级要求
第3.2级要求
第 4 级要求·
8.6第5级要求
互联网灾难备份及恢复要求
互联网灾难备份及恢复等级要求·9.2
第1级要求
第2级要求
第3.1级要求
第3.2级要求-
第4级要求·
第 5 级要求·
参考文献
TKAoNTKAca
YD/T 1736-2009
YD/T 1736-2009
本标准是“中信网和互联网安全防护体系”系列标准之一。该系列标准预计结构及名称如下：《电信网和互联网安全防护管理指南》1
《电信网和互联网安全等级保护实施指南》《信网和互联网安全风险评估实施指南》《电信网和互联网灾难备份及恢复实施指南》《固定通信网安金防护要求》
《移动通信网安全防护要求》
《互联网安全防护要求》（本标准）《增值业务网一消息网安全防护要求》《增值业务网一智能网安全防护要求》《接入网安企防护要求》
《传送网安全防护要求》
《P承载网安全防护要求》
《信令网安全防护要求》
《同步网安金防护要求》
《支撑网安全防护要求》
《非核心生产单光安企防护要求》《中信网和互联网物理环境安全等级保护要求》18.
《电信网和互联网管理安全等级保护要求》《固定通信网安全防护检测要求》《移动通信网安全防护检测要求》《互联网安会防扩检测要求》
《增值业务网一消息网安金防护检测要求》《增值业务网一智能网安全防护检测要求》《接入网安全防护检测要求》
《传送网安全防扩检测要求》
《IP承载网安全防护检测要求》《信令网安个防护检测要求》
《同步网安全防护检测要求》
《支撑网安企防护检测要求》
《非核心生产单元安全防护检测要求》《电信网和互联网物理环境安全等级保护检测要求》《电信网和互联网管理安企等级保护检测要求》《域名系统安金防护要求》
YD/T 1736-2009
34.《域名系统安企防扩检测要求》35.《网上营业厅安全防护要求》36.《网上营业厅安全防护检测要求》本标准与YD/T1737-2009《互联网安全防护检测要求》（修订YD/T1737-2008《互联网安全防护检测要求》）配套使用。
本标准是YD/T1736-2008《互联网安全防护要求》的修订版本。本标准与YD/T1736-2008的主要差异在：
1．本标准的第2章“规范性引用文件”中补充和更新了标准正文叶引用的规范文件。2、本标雅的第4章“绡略语”中补充和吏新了踪准正文中适用的缩语。3.本标准的第5章“互联网安全防护概述”中增期了“互联网安全等级保护”相关“业务及应用系统安金”要求的内容和说明。
4．本标准的第7章“互联网资产、跪弱性、威胁分析中增加了“环境和设施”类资产及其工要资产说朗。
5.本标雅的第8章“联网安全级保护要求”修改利补充了安全等级保护相关婆求利内容，主沙及8.2节、8.3节。其中，“业务及应川安要求”部分增加了“互联网虚拟专用网服务”相关内穿，主要涉及8.2.1.6节、8.3.1.6节：增加了“业务及应用系统安全要求”相关内容，主要涉及8.2.2节、8.3.2节修改了“设备安全要求”相关内穿，主要涉及8.2.3.2节、8.3.3.2节；增加了“物埋环境安全要求”的和关内容，主要涉及8.2.4节、8.3.4节：删除了\移动互联网信息服务安企要求”和关内容，主要涉及原8.2.1.7节、原8.3.1.7节。
随着电信网和互联网的发展，将不断补充和完善电信网和互联网安全防护体系的相关标准本标准由中国通信标推化协会提出并归。本标准起草单位：工业和信息化部电信研究院、中国电信集函公司、中国移动通信集团公司、中国联合网络避信渠团有限公司。
本标淮王要起草人：杨剑锋、杨洋、田慧蓉、赵、阳、刘楠、李金玉、杜之亭、张云勇。本标准工2008年1月首次发布，本次为第一次修订，iKANiKAca
1范围
互联网安全防护要求
YD/T 1736-2009
本标准规定了互联网业务及应用系统在安全等级保护，安全风险评估、灾难备份及恢复等方面的安全防护要求。
本标准适用于互联网业务及应用系统。2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款，凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准。然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注口期的引用文件，其最新版本适用于本标准。YD/T1728-2008电信网和互联网安全防护管理指南YD/T1729-2008电信网和1.联网安企等级保护实施指南YD/T1730-2008电信网和互联网安全风险评估实施指南YD/T 1731-2008
电信网和互联网灾难备份及恢复实施指南YD/T1742-2008接入网安全防护要求YD/T1744-2007
传送网安全防护要求
YD/T1746-2008IP承裁网安全防护要求YD/T1754-2008电信网和.万.联网物理环境安企防护要求电信网和互联网管理安全防护要求YD/T 1756-2008
YD/T2052-2009域名系统安全防护要求YD/T1658-2007
宽部网络接入服务器安全技术要求YD/T1045-2000网络接入服务器技术规范YD/T1392-2005无线应H办议(WAP)网关设备技术要求YDT1311-2004防范万联网垃圾电子邮件技术要求YDN 126-2009
3术语和定义
增值电信业务网络信息安企保障基本要求下列术语和1定义适H于本标准。3.1.1
互联网相关系统systems of internet组成互联网的相关系统，包括接入网、传送网和IP承载网等。其中，接入网包括各种有线、无线和卫星接入网等，传送网包括光缆、波分、SDH和卫星等。3.1.2
互联网安全等级securityclassification af Internet互联网及相关系统重要程度的表征。重要程度从互联网及相关系统受到破坏后：对国家安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。1
YD/T 1736-2009
互联网安全等级保护classifiedsecurityprotectionofInternet对互联网及相关系统分等级实施安全保护。3.1.4
组织organization
由互联网及相关系统中不同作用的个体为实施共同的业务月标而建定的结构，组织的特性在于为完成目标而分工、合作；一个单位是一个组织，某个业务部门也可以是一个组织。3.1.5
互联网安全风险 security risk ot Internet人为或白然的威胁可能利用互联网及相关系统中存在的脆弱性导致安全事件的发生及其对组织造成的影响。
互联网安全风险评估securityriskassassmentofInternet运用科学的方法和手段，系统地分析互联网及相关系统所面临的威胁及其存在的脆弱性，评估安全事件一且发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施，防范和化解互联网及相关系统安全风险，将风险控制在可接受的水平，为最大限度地保障互联网及相关系统的安全提供科学依据。
互联网资产assetofIntemet
互联网及相关系统中具有价值的资源，是安全防护体系保护的对象。互联网及相关系统中的资产可能以多种形式存在，如无形的和有形的或硬件和软件，包括物理布局、通信设备、物理线路、数据、软件、文档、规程、业务、人员和管理等各种类型的资源，如P承载网中的路由器、传送网的网络布局。3.1.8
互联网资产价值assetvalueofnternet互联网及相关系统中资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产识别的主：要内容。
互联网威胁threat of Intemet
可能导致对写联网及根关系统产牛危害的不希望事甜潜在起因，它可能是人为的，也可能是非人关的；可能是无意失误，也可能是恶意攻击。3.1.10
互联网脆弱性vulnerabilityofInternet互联网及相关系统资产中存在的弱点，缺陷与不足，不直接对互联网资产造成危害，但可能被互联网威胁所利用从而危害互联网资产的安全。3.1.11
互联网灾难disasterofIntemet
iKAoNiKAca
YD/T 1736-2009
由汀各种原因，造成互联网及相关系统故障或瘫痪，互联网及相关系统支持的业务功能停顿或服务水平不可接受、达到特定的时问的突发性事件。3.1.12
互联网灾难备份backupfordisasterrecoveryofInternet为了互联网及相关系统灾难恢复而对相关网络要素进行备份的过程。3.1.13
互联网灾难恢复disasterrecovery of Internet为了将互联网及相关系统从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。4缩略语
下列缩略语适用于本标准。
Application Service ProviderContent Delivery Network
Distributed Denial of ServiceDenial of Service
Domain Name System
File Transfer Protecol
Hyper Text Transfer Protocol Internet Content Provide?
Internet Data Center
Internet Protocol
Post Office Protocol v3
Session Initiation Protocol
Simple Mail Transfer ProtocolVirtual Private Network
Wireless Application Protocol5互联网安全防护概述
5.1互联网安全防护范围
应用服务提供商
内容分发网络
分布式拒绝服务
拒绝服务
域名系统
文件传输协议
超文本传输协议
互联网内容提供商
互联网数据中心
网际协议
邮政代理协议第3版
会话初始化协议
简单邮件传输协议
虚拟专用网
无线应用协议
互联网泛指包括广域网、局域网及终端（如个人计算机终端、移动手机终端）等在内的，通过数据网络设备（如交换机、路由器）、接入设备（如宽带网络接入服务器、WAP网关）等基于一定的通讯协议连接形成的，功能和逻辑上的大型网络。目前我国（国内）互联网业务土要包括互联网域名服务、互联网数据中心、互联网接入服务、互联网信息服务（如互联网信息浏览服务、互联网信息发布服务、互联网电子邮件服务、互联网用户通信服务等）、互联网虑拟专用网服务、在线数据处理与交易处理等，互联网安全防护范围包括互联网各类业务和应用系统、以及与各类业务和应用接入，承载、传输等相关的互联网相关系统。互联网相关系统组成如图1所示。3
YD/T 1736-2009
1状焊天系纽
图1互联网相关系统
本标准主要对互联网业务及应用系统提出安全防护要求，随着五联网业务及应用的发展，本标准将不断补充完善。互联网相关系统中接入网安全防护的具体要求见YD/T1742-2008：传送网安企防护拍具体要求见YD/T1744-2009，P承载网安全防护的具体要求见YD/T1746-20085.2互联网安全防护内容
根据YD/T17282008电信网和互联网安全防护体系的要求，本标准的互联网安全防护内容分为安全等级保护、安全风险评估和灾难备份及恢复等3个部分：互联网安全等级保护
主要包括定级对象和安全等级确定、业务及应用安全、业务及应用系统安全、设备安全、物理环境安全和管理安全等。
业务及应用安金指互联网相关业务及应用实现、业务管理和控制等方面的安全要求；业务及应用系统安企指由特定的业务及应用生机，服务器及附属设备和链路等构成的互联网业务及应用系统在结构（如1系统平台架构、系统内部拓扑）、功能（如系统管理功能、攻击防范能力）等方面的安全要求：设备安全特指各类互联网业务及应用相关主机、服务器和系统数据库及业务相关接入设备的安全要求。互联网业务及应用涉及的各相关系统（如接入网，承载网、传送网）网络安全、设备安全等方面要求参见各相关系统安全防护要求的行业标准：物理环境安全指互联网相关业务及应用系统所处机房环境、辅助设施等方面的安全要求；管理安全指互联网相关业务及应用相关管理制度、机构、人员等方面的安全要求。互联网安全风险评估
主要包括互联网业务及应用相关资产识别、脆弱性识别、崴胁识别、已有安全措施确认，安全风险分析、安全风险评估文件处理等，本标准仅对互联网业务及应用系统逊行资产分析、脆弱性分析、威胁分析，在互联网业务及应用系统安全风险评估过程中对资产、脆弱性、威胁的赋值方法及资产价值、风险值的计算方法见YD/T1730-2008。互联网灾难备份及恢复
主要包括互联网业务及应用相关灾难备份及恢复等级确定，针对灾难备份及恢复各资源要素的具体实施等。
6互联网定级对象和安全等级确定我国具有管辖权的互联网业务及应用系统的定级对象为各个互联网业务及应用系统。网络和业务运营商应根据YDT1729-2008附录A叶确定网络安金等级的方法对客互联网业务及应用系统定级。针对各业务及应用系统，可根据相应的社会影响力、所提供服务的重要性、服务用户数的大小进行定级，权重α、β、可根据具体业务及应用的情况进行调节。4
iKANTKAcaWww.bzxZ.net
7互联网资产、脆弱性、威胁分析7.1资产分析
YD/T 1736-2009
互联网业务及应用系统的资产至少应包括设备硬件、设备软件，重要数据、提供的应用、文档和人员等，见表1。
表1资产列表
设备及链路
疆立软件
数据和信息
业务及应用
文档和资料
环境和设施
主要资产
各类业务及应用涉及的土机、服务器和数据库（如DNS股务器，Web服务器、心子邮件服务器等），务类业务及应用关辅助设备（如安全过滤入授检测和防护设务），系统内部网络设备（如系统内部组网路山器、交换机等设备）、系统内部链路有必要独立识别的款件（如，根关应用软件、数据库软件、业务挖制和运维管理软件等）保证互联网和关业务和应用正常提供的数据和信息（如业务数据、系统配置数据、管理员操作维护记录、用户信息等）
互联网及有关业务系统可提供的各类业务及应用《如域名服务、接入服务、信息测览和发布服务、电子邮件服务、多方通信服务、在线数措处理与交易处理等）纸质以及保存在存储介质中的各种文件资料（如设计文档、技术要求、管理规定、工.作计划、技术或财务报告，用户手顺等）
根关管理、维护、升发、数格备份人员等业务设应用系统和改备所处的物理环境，机房、电力、防火、防水、防静电、褪湿度控制等相关设施7.2脆弱性分析
互联网业务及应用系统的脆弱性可以从技术跪弱性和管理跪弱性两个方面考，脆弱性识别对象应以资产为核心。表2给出了主要的胞弱性识别内容。表2脆弱性分析表
技术脆弱性
业务及应用
物理环境
存在的主要脏弱性
相关服务器未进行合理备份，重要数据未及时进行备份；相关业务成用协改存在漏洞，积关服务器的应用代码存在漏洞、后门：相关服务器存在过多不必要的开放端口：相关服务器配置不合理，访问整制策略存在漏洞：相关服务器的日志功能没有启用或不够详细：系统规划、设备部署、链路部署、资源配置、业务保护和快复能力、安全技术措施和策略等办仙的峡陷
相关设备存在硕件隐患或质量间题：相关设备的操作系统荐在安全隐愚：和关口令不够复杂、合继或没有经常更新；设备更要部件未配置主备用保护；相关设备超过使用年限或核心部件老化：相关设备发生效障后未及时告警机房场地选择不合瑾；
防火、供配也、防静电、接地与防雷、也磁防护、温湿度控制不符合规范：通信线路、相关服务器、主机等没备的保护不符合规范5
YD/T1736-2009
管理脆弱性
7.3威胁分析
表２·续）
存在的主要脆弱性
安全管理机构力面：岗位设置不合理（如人员配置过少、职责不清》、授权和市抵程序简化、淘证和合作未执行、审核和检查未执行等：安全管理制度方面：管理制度不完善、制度评审和修订不及时等：人员安全管理方面：人员录用不符合程序、人员离岗未办理安全手续、人员未进行安全培训、对于第三方人员未进行限制访问等；建设管理方面：安全方案不完善、软件开发不符合程序、工程实施未进行安全验收或验收不严格等：
运维管理方面：物理环境管理措施简单、存储介质使用不受限、设备没有定期维护。厂家支持力度不够、关键性能指标没有定期监控、无恶意代码防范措施、无数据备份和恢复策略、访问控制不严格、燥作管理不规范等，应急保障措施不到立，灾难恢复预案不完善
互联网业务及应用系统面临的威胁可分为技术威、环境威胁和人为威胁。环境威胁包括自然界不可抗的威胁和其他物理威胁。根据威胁的动机，人为贼胁又可分为恶意和非恶意两种。表3列举出互联网主要面临的威胁。
表3威胁来源列表
技术威胁
物理环境
环境威胁
自然灾書
恶意人员
人为威胁
无恶意人员
生要威胁描述
相关主机和服务器、及系统网络设备使用时间过长或质量问题等导致硬件故障，系统链路发生故障；
相关设备的操作系统软件，应用软件运行故障：相关设备数据丢失或系统运行中断：存储介质老化或质虽问题等导致不可用断电、静电、灰尘、潮湿、溢湿度异常、电磁干扰等：意外事故或通信绒路方面的政障鼠蚁虫害、洪灾、火灾、泥流、山体滑坡、地震、台风、岳市、闪电不满的或有预谋的内部人员滥用权限进行恶意破坏；攻击者利用非法手段进入机房内部资窃、破坏等，政击者非法物访问相关设备，存储介质等；
攻击者利用网络协议、操作系统、应用系统潮润，越权访问相关设备的文件、数据或其资源：
攻低者利用各种工具获取关设备身份鉴别数据，并对鉴别数据行分析和解剂，获得整别估息，未授权访问应用系统，或非法使用相关文件和数据：攻击者利用应用系统扩散病毒、端虫、木马、垃圾电子邮件，利用相关攻击工具恶意消耗用系统资源：导致系统能力下降或瘫膜、无法正常提供应用服务：攻击者截获数据，进行筹改、插入，并重发，造成数据的完整性、真实性丧失内部人员由于缺乏责任心或者无作为面应该执行而没有执行相应的操作，或无意地执行厂错误或危险的爆作导致安全事件；内部人员没有遵循规帝制度和操作流程而导致故障或信息损坏：内部人员由于缺乏培训、专业技能不足、不具备岗位技能要求商导致故障或攻击：安全管理制度不完善，落实不到位造成安全管理不规范或者管理混乱导致安全事件TKAoNTKAca
8互联网安全等级保护要求
8.1第1级要求
不作要求。
8.2第2级要求
8.2.1业务及应用安全要求
8.2.1.1通用安全要求
YD/T 1736-2009
除物理空问利资源出租类IDC业务（如机房/机柜出租、主机/服务器出租）、设备托管和代维类IDC业务（如上机托管、设备代维），虚拟空问和资源出租类IDC业务（如虚拟主机服务）以外，互联网相关业务及应用应满足：
a）业务提供、控制与管理过程应保扩用户隐私，不泄漏用户相关敏感信息：b）业务控制与管理应提供并启用身份鉴别、标识唯一：性检查、鉴别信息复杂度检查及登录失败处理功能，保证系统中不存在重复用户身份标识，身份鉴别信息不易被冒用，并根据安全策略对登录失败可采取结束会话、限制非法登录次数利白动迟山等措施：c）业务控制与管应严格限制默认账号的权限，各账导应依据最小授权原则授予为完成各自承担任务所需的权限，按安企策略要求控制对文件、数据准表等内容的访问；d）系统访问控制策略应由授权主体配置：e）业务控制与管理应提供覆盖到每个账号的安企审计功能，应保证无法删除、修改或覆审计记录：f）业务相关宙计记录的内容至少应包括事件H期、时问、发起者信息、类型、描述和结果等：g）对业务管理利控制位符合国家、企业的相关规定及要求。8.2.1.2互联网域名服务
互联网域名服务安全应满建Y1D/T2052-2009《域名系统安全防护要求》第2级要求。8.2.1.3互联网数据中心安全要求除物理空间和资源出租类DC业务（如机房/机柜出租，生机/服务器出租）、设备托管和代维类IDC业务（如主机托管、设备代维）、虚拟空问和资源出租类DC业务（如虚拟上机服务）以外，互联网数据中心业务应满足8.2.1.1节和本节要求：a）对用户信息、数据应提供严格的本地访问控制机制，保证业务信息、数据授权访问：b）ASP类JDC业务（如应用业务出租、内穿制作和包装服务）应具备为用户（如ICP）提供信息利效据安金保控（如发布倍息检查、内穿过滤和屏蔽）的技术支撑能力：c）附加增值服务类IDC业务（如业务质景和流量监、附加安全增值服务）应提供专门的用广信息保护措施（如加密机制）保护用户相关信息和数据的安企性：d）应记录\·密存业务控制利管理相关的H志信息（如登录和登出时间、用户名称、登录账号、使用的地比和端等）：并H保留一定期限（垒少60犬）：e）网络租业务运营商提供的村关ASP类DC业务（如部件业务平台出租、Web业务平台山租）应符合本标准中有关的业务及应用安全要求：f）业务相关他安全要求见YDN126-2009附录F。8.2.1.4互联网接入服务安全要求互联网接入服务应满足8.2.1.1节利本节要求：7
YD/T 1736-0U9
a）应提供有效可靠的用户接入，认证、授权和计费机制；b）在管辖网络内，应提供业务管理、控制相关信息的溯源能力（如记录用户设备地址和账号相关分配信息、记录用户登录/登出时问、记录用户地址转换相关信息）：c）在管辖网络内，应采取有效技术手段保证用户数据包的真实性：d）应记录用户业务相关口志（如用户接入时间和时长、用户账号、使用的地址和端口、主叫号码等），并且保留一-定期限（室少60天）；e）业务相关其他安全要求见YDN126-2009附录A8.2.1.5互联网信息服务安全要求互联网信息服务应满足8.2.1.1节和本节要求：a）应保护业务相关信息的安全，避免相关数据和页面被篡改和破坏；b）应禁止不必要的内嵌网络服务，应禁让在用户端自动安装恶意软件；c）提供信息服务的平台不应向公众发布有害信息，应采用自动技术手段和人二手段结合的方式对各类文本、图像、音频、视频等信息进行有效的监控、屏蔽和过滤，以有效阻止有害信息通过业务网络同公众传摇：
d）提供电子邮件服务的平台应按照相关规定要求，提供相应的安全措施（如垃圾邮件防范和过滤等）保证用户邮件业务的正常；
e）提供网络存储和转发的平台应对用户上传、下载等操作行为进行监控，防止用户的非授权的读写操作，应能拒绝来自未被允许的地址、用户名、子网域的操作请求，应能够限制单个地址（地址段）、用户名、子网域的连接数量和连接频率；f）提供互联网短消息服务的平台，应能够防范、清除以群发方式发送伪造、隐信息发送者真实标记的短信息：
g）提供用户间通信服务的平台（如即的消息服务、基予互联网的音视频通话服务等），应提供必要的保护措施（如加密机制）保护用户问通信数据的机密性和完整性：h）提供内容推送服务的平台（如CDN服务），应能对各类无效连接/请求进行有效管理，有效保护或隔离核心服务器相关资源；
1）提供内容推送服务的平台，应能对各边缘/缓存服务器流量、响应、负载等运行状况进行实时监测和管理，应能对平台内、外部相关的端到端性能（如丢包率、延时等）进行实时监测，并及时处置各类告警和异常：
j）应建立有害信息检查机制和投诉处理机制：）应记录并留存业务控制和管理相关的日志信息，应记录用户发布信息、浏览信息、评论、邮件收发、文件上传和下载等相关日志信息（如操作内容、操作时间、使用的网络地址或者域名、操作等），并且保留~=定期限（至少60天）：1）业务相关其他安全要求见YDN126-2009附录B。8.2.1.6互联网虚拟专用网服务
互联网虚拟专用网服务应满足8.2.1.1节和本节要求：a）应提供严格的用户信息、数据访问控制机制，保证用户数据的受控访间；8
iKANiKAca
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。