YD/T 1740-2008.Security Protection Requirements for Value Added Service Network(Intelligent Network).
1范围
YD/T 1740规定了智能网在安全等级保护、风险评估、灾难备份及恢复等方面的安全防护要求。
YD/T 1740适用于公用电信增值业务网一智能网。
2引用标准
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注8期的引用文件，其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准文件。然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。
YD/T 1729- -2008电信网和互联网安全等级保护实施指南
YD/T 1730- -2008电信网和互联网安全风险评估实施指南
YD/T 1731- -2008电信网和互联网灾难备份及恢复实施指南
YD/T 1754- -2008电信网和互联网物理环境安全等级保护要求
YD/T 1756- -2008电信网和互联网管理安全等级保护要求
YDN 048- -1997中国智能网设备业务控制点(SCP)技术规范
YDN 047- -1997中国智能网设备业务交换点(SSP)技术规范
YDN 098- -1999中国智能网设备智能外设(IP)技术规范
YDN 049- -1997中国智能网设备业务管理点(SMP)技术规范
YD/T 1234- -2002 900/1800MHz TDMA数字蜂窝移动通信网业务控制点(SCP)设备技术要求(CAMEL2)
YD/T 1425- -2005 900/1800MHz TDMA数字蜂窝移动通信网业务控制点(SCP)设备技术要求(CAMEL3)

中华人民共和国通信行业标准
YD/T1740-2008
增值业务网
智能网安全防护要求
Security Protection Reguirements forValue Added Service Network(intelligent Network)2008-01-14 发布
2008-01-14 实施
中华人民共和国信息产业部发布前
■范围·
2引用标准-
3术语和定义
4缩略语
5智能网系统安全防护概述·
5.1智能网安全防护范围
5.2智能网安全防护内穿、
6智能网级对象和安全等级确定，7智能网资产，跪弱性，威胁风险分析7.1资产分析-
7.2脆弱性分析-
了.3感胁分析
8智能网网安全等级保护要求
8.1第1级
8.2第2级
8.3第3.1级·
8.4第3.2级
8.5第4级
8.6第5级Www.bzxZ.net
9智能网灾难备份及恢复要求-
9.1灾难备份及恢复等级
9.2第1级
9.3第2级
9.4第3.1级·
9.5第3.2级·
9.6第4级
9.7第5级
YD/T1740-2008
YD/T1740-200B
本标准是“中信网和五联网安全防护体系”系列标准之一。该系列标准的结构及名称如下；1．YD/T1728-2008电信网利I互联网安全防护管理指南：2、YD/T1729-2008电信网和互联网安全等级保护实施指南；3，YD/T1730-2008电信网和互联网安全风险评估实施南；4.YD/T1731-2008电信网和互联网灾难备份及恢复实施指南：5.YD/T1732-2008固定通信网安全防护要求；6.YD/T1733-2008固定通信网安全防护检测要求：7.YD/T1734-2008移动通信网安全防护要求；8.YD/T1735-2008移动通信网安全防护检测要求：9.YD/T1736-2008互联网安全防护要求：10YD/T1737-2008互联网安全防护检测要求；11.YD/T1738-2008增值业务网——消息网安全防护要求：12。YD/1739-2008增值业务网——消息网安全防护检测要求：13，YD/T1740-2008增值业务网—智能网安全防护要求14.YD/T1741-2008增值业务网——智能网安全防护检测要求；15.YD/T1742-2008接入网安全防护要求：16.YD/T1743-2008接入网安全防护检测要求：17，YD/T1744-2008传送网安全防护要求：18.YD/T1745-2008传送网安全防护检测要求：19.YDT1746-2008IP承载网安全防护要求：20.YD/T1747-2008IP承载网安全防护检测要求：21.YD/T1748-2008信令网安全防护要求：22。YD/T1749-2008信令网安全防护检测要求；23.YDT1750-2008同步网安全防护要求；24.YD/T1751-2008同步网安全防护检测要求：25.YD/T1752-2008支摔网安全防护要求；26.YD/T1753-2008支撑网安金防护检测要求27.YDTT1754-2008电信网和互联网物理环境安全等级保护要求：28.YD/T1755-2008电信网和互联网物理环境安全等级保护检测要求29.YD/T1756-2008电信网和互联网管理安全等级保护要求：30.YD/T1757-2008电信网和互联网臂理安全等级保护检测要求；31．YD/T1758-2008非核心生产单元安全防护要求：32，YD/T1759-2008非核心生产单元安全防护检测翌求。本标准与YD/T1741-2008《增值业务网——智能网安全防护检测要求》配套使用。YD/T1740-2008
随着电信网和互联网的发展，将不断补充和完善电信网和互联网安全防护体系的相关标推。本标准出中国通信标准化协会提出并归口。本标准起草单位：信息产业部电信研究院、中国中信集团公司、中国移动通信集团公司、中国网络通信集团公司、中国联合通信有限公司本标准主要起草人、张大坤、张园、李友国、王宇、严斌峰1范围
增值业务网一智能网安全防护要求YD/T1740-2008
本标推规定了智能网在安全等级保护、风险评估、灾难备份及恢复等方面的安全防护要求。本标适用于公用电信增值业务网一智能网。2
引用标准
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于木标准文件。然而，鼓励根据本标达成协议的客方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。YD/T 1729-2008
YD/T 1730-2008
YD/T 1731-2008
YD/T 1754-2008
YD/T 1736-2008
YDN 048-1997
YDN 047-1997
YDN 098-1999
YDN 049-1997
YD/T 1234-2002
YD/T 1425-2005
YD/T 1209-2002
YD/T 1424.1-2005
YD/T 1424.2-2005
YD/T 1427-2005
YD/T 1426-2005
YD/T 1232-2002
电信网和互联网安全等级保护实施指南电信网和互联网安全风评估实施指南电信网和互联网灾难备份及恢复实施指南电信网和互联网刻理环境安全等级保护要求电宿内和可联网管理安全等毂保护要求中国智能网设备业务控制点(SCP)技术规范中国智能网设备业务交换点(SSP)技术规范中国智能网设备智能外设(IP)技术规范中国智能网设备业务管理点(SMP)技术规范90O/180OMHzTDMA数字蜂窝移动通信网业务控制点（SCP）设备技术要求(CAMEL2)
900/1800MHzTDMA数字蜂窝移动通信网业务控制点（SCP）设备技术要求(CAMEL3)
900/1800MHzTDMA数字蜂窝移动通信网业务交换点（SSP）设备技术求(CAMEL2)
900V1800MHzTDMA数字蜂窝移动通信网业务交换点（SSP）设备技术要求（CAMEL3）第1部分：电路域（CS）900/1800MHzTDMA数学蜂窝移动通信网业务换点（SSP）设备技术要求（CAMEL3）第2部分：分组域（PS）900/1800MHzTDMA数字蜂窝移动通信网智能外设（IP）设备技术要求(CAMEL3)
900/1800MHzTDMA数字蜂移动通值网业务管理点（SMP）设备技术要求(CAMEL3)
8UOMHzCDMA数字蜂窝移动通信网无线智能网（WTN）阶段1：业务控制点（SCP）设备技术要求
YD/T1740-2008
YD/T 13332004
YD/T 1223-2002
YD/T1334-2004
YD/T 1332-2004
3术语和定义
80OMHzCDMA数字蜂窝移动通信网无线智能网（WIN）阶段2：业务控制点(SCP）设备技术要求
800MHzCDMA数字蜂窝移动通信网无线智能网（WIN）阶段1：业务交换点(SSP）设备技术要求
80OMHzCDMA数字蜂宽移动通信网无线智能网（WIN）阶段：智能外设（P）设备技术要求
800MHzCDMA数字蜂窝移动通倍网无线智能网（WIN）阶段2：业务管理点（SMP）设备技术要求
下列术语和定义适用于本标雅。3.1
智能网安全等级SecurityClassificationofTransportNetwork智能网安全重要程度的表征。重要程度可从智能网要到破坏后，对国家安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。3.2
智能网安全等级保护 Classified Security Protection of Intelligent Network对智能网分等级实施安全保护。3.3
组织 Organization
组织是由不同作用的个体为实施共同的业务目标而建立的结构，组织的特性在于为完成目标而分工合作。一个单位是一个组织，某个业务部门追可以是个组织。3.4
留能网安全风险 Security Risk of Inteligent Network人为或自然的戚胁可能利用暂能网中存在的弱性导致安全事件的发生及其对组织造成的响。3.5
智能网安全风险评估SecurityRiskAssessmentoflntelligentNetwork指运用科学的方法和手段，系统地分析智能网所面临的威胁及其存在的脑弱性，评估安全事件一旦发生可能造成的危害，进一步提出有针对性的防护对策和安全措施，防范和化解智能网安全风险，将风险控制在可接受的水平，为最大限度地保障智能网的安全提供科学依据。3.6
智能网资产 Asset of Intelligent Network智能网中具有价值的资源，是安全防护保护的对象。智能网中的资产可能是以多种形式存在，无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线略、数据、较件，文档、规程、业务、人员、管理等各种类型的资源。如基于某个智能网系统的预付费业务，SCP设备，智能网机房管理规定等。3.7
智能网资产价值 Asset Value of Intelligent Network智能网中资产的重要程度或缴感程度。资产价值是资产的性，也是进行资产识别的主要内容，2
智能网威胁Threat of Inteligent NetworkYD/T1740-2008
可能导致对智能网产生危害的不希望事件的潜在起因。它可能是人为的，也可能是非人为的：可能是无意失误，也可能是恶意攻击。带见的有设备节点失效、火灾、水灾等。3.9
智能网脆弱性VulnerabilityofIntelligentNetwork脆弱性是智能网中存在的弱点、缺陷与不足，不直接对资产造成危害，但可能被威助所利用从而危及资产的安全。
智能网灾难Disaster of ntelligent Netwark由于名种原因，造成智能网故障或摊痪，使智能网支持的业务功能停顿战服务水平不可接受，达到特定的时间的究发性事件。
智能网灾难备份BackupforDisasterRecoveryof IntelligentNetwork为了智能网灾难恢复而对相关网络要素进行备份的过程。3.12
智能网灾难恢复DisasterRecovery ofIniteligentNetwork为了将智能网从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。4缩略语
下列缩略语适用于本标准。
CodeDivision MultipleAccess
Global System for Mobile CommuricationIntelligent Peripheral
Service Control Point
Service Data Point
Service Management Point
Service Switch Point
VoucherCenter
Virtual Private Network
5智能网系统安全防护概述
5.1智能网安全防护范围
码分多址
全球移动通信系统
智能外设
业务控制点
业务数据点
业务管理点
业务交换点
充值中心
虚拟专用网
智能网是指在原有电信交换网络基础上，为快速提供新的电信业务而叠加的网络。智能网包括业务控制点（SCP）设备、业务交换点（SSP）设备、业务管理点（SMP）设备，智能外设（IP）设备业务数据点（SDP）设备和充值中心（VC），其中SCP实现业务的集中控制，SSP实现业务触发，SMP实现业务管理，IP实现白动语音播放与采集，SDP实现暂能业务数据集中放置，VC是智能业务的充值中心。3
YD/T1740-2008
本标准中的“智能网系统”指基于以上设备及设备之间的网络组成的智能网系统，根据所依附的网络可以分为固定智能网、GSM智能网和CDMA智能网，根据覆盖范围可以分为本地智能网、全省智能网和全国智能树。
5.2智能网安全防护内容
根据电信网和互联网安全防护体系的要求，将智能网安全防护内容分为安全等级保护、安全风险评估、灾难备份及恢复3个部分。
智能网安全等级保护主要包括定级对象和安全等级确定，业务安全、网络安全、设备安全，物理环境安全、管理安全等：
安全风险评估主要包括资产识别、瞻弱性识别、威胁识别、已有安全措施的确认，安全风险分析、安全风险评估文件处理等，本标准仪对智能网进行资产分析、弱性分析和威胁分析，在智能网安全风险评估过程中确定各个资、跪鸦性、威胁的具体值。资产、脆弱性、威胁的赋值方法及资产价值、风险值的计-算方法参见YD/T1730-2008《电信网和互联网安全风险评估实施指南”：智能网灾难备份及恢复土要包括灾难备份及恢复等级确定、针对灾难备份及恢复各资源要素的具体实施等。
智能网定级对象和安全等级确定根据暂能网业务对公众利益的影响程度、所提供服务的重要性及服务用户数的多少几个关键固素，我国智能网可以分为全国智能网、省内智能网和本地智能网，网络和业务运营商应根据YD/T1729-2008电信网和互联网安全等级保护实施指南》中确定网络安全等级的方法，根据网络的具体情况，对整个智能网系统进行定级，权重α、B、7可根据具体网络情况进行调节。7
智能网资产、脆弱性、威胁风险分析7.1资产分析
智能网安全风险评估的资产至少应包括设备硬件、设备软件、重要数据、提供的服务、文档、人员等，见表1。
表 1 资产列表
设备硬件
设备软件
名能网包括SCP、SDP、SSP、SMIP、IP、VC等设备：物理环境设备：包括机房、电力供应系统、电磁防护系统、防火、防水和防潮系统、防静电系统、防雷击系统、温湿度控制系统等：
网络：设备之间的信令链路等
系统软件：操作系统、各种数据库软件等：协议软件和控制软件
保存在设备上的各种革要数据，包括用户数据，计费数据、网终配置数据、管理员操作维护记录等重要数据
智能网提供的务种业务：预付费、VPN、被叫付费电话等服务业务
纸质以及保存在存储介质中的各种文件，如设计文档、技术要求、管理规定（机构设置、管理制度、人员管理办法）、工作计划、技术或财务报告。用户于明等掌握重要技术的人员，如网络维护人员、设备维护人员、测络或业务的研发人员等网络拓扑设计等
7.2脆弱性分析
YD/T1740-2008
智能网的脆竭性可以从技术腕弱性和管理脆弱性两个方面考虑，脆弱性识别对象应以资产为核心，部分脆弱性识别内穿见表2。
表 2 脆弱性分析
技术瞻弱性
业务应用
设备（含操作系
统和数据库）
物理环境
管理施弱性
存在的跪弱性
系统本身设计谢陷或软件B唱：
网络和设备的处理能力不够而导致在突发适务量高时业务提供不连续，业务数据的保密性不够，重要数据米及时进行本地和异地务份：SSP处理能力不够导致智能网无法正带提供业务：网管、操作维护存在漏润；
业务软件自身存在的安全漏洞：SCP 单点设置
网络拓扑设计不合理，网络节点设备、路由配置不合理，通信安全保护不充分，外部和内部的访问缺少控制等
账号和口令保护不够，监权和访间控制机制不完普，重要部件末配置主备用保护，系统配置不合理，备份和恢复机制不健全，设各超过使用年限或核心部件老化，设备发生故障后未及时告警，软件版本管理不规范机房场地选择不合理，防火、供配电、防静电、接地与防雷、电磁防护、温禄度控制不符合观范，通信线路、机房设备的保护不符合规范全管理机构方面：岗位设置不合理（如人员配置过少、职责不清）、授权和审批程序简化、沟通和合作未执行、审核和愉查未热行等：安全管理制度方面，管理制度不完善、制度评审和修订不及时等人员安全管理方面，人员录用不符合程序、人员离岗未办理安全手续，人员未进行安全培训、对于第三方人负未跳行限制访问等一建设管理方面：安全方案不完善、软件开发不符合程序、工程实施未进行安全验收或验收不严格等：
运维管理方面：物理环境管理措施简单，存储介质使而不受限，段备没有定期维护厂家支持力度不够、关键性能指标没有定期监控、无恶意代码防范措施、无数据备份和恢复策略、访问控制不严格、操作管理不规范等，应急保障措施不到位脆弱性大小由网络和业务运营商白行赋值。7.3威胁分析
智能网的威胁根据来源可分为技术威胁、环境戏胁和人为威胁。环境威胁包括自然界不可抗的威助和其他物理威胁：根据威胁的动机，人为戚胁又可分为恶意和非恶意两种。部分威胁见表3。表 3 威助来源列表
设备成胁
环境威剧
物理环境
自然炎害
设备白身的软件、硬件故障；
节假或其他原因的高话务盘冲击：溢用权限对操作维护数据的改
感胁描述
断电、静电、灰尘，阖避、溢度、强电磁干扰等，态外事故或通信线路方面的故障鼠蚁虫害、洪灾、火灾、泥石流、山休滑坡、地囊、台风、闪也5
YD/T1740-200B
恶章人员
人为威胁
无恶意人员
表3（楼）
感胁描述
不满的或有预试的内部人员谨用权限进行恶意破坏；采用自主外部人员联内外勾结的方式盗窃或幕改机密信息：外部人员利用恶意代码和病毒对网络或系统进行攻击：外部人员进行物理破坏、盗窃等内部人员由于缺乏责任心或者无作为，应该执行而没有执行相应的操作，或无意增执行了错误的操作导致安全事件：内部人员没有遵循规章制度和操作流程而导致故障或信息损坏内部人员由于缺乏培训、专业技能不足、不具备岗位技能要求而导致故障或攻击；安全管理制度不完善、落实不到位造成安全管理不规范或者管理混乱导致安全事件暂能网网安全等级保护要求
8.1第1级
不作要求。
8.2第2级
B.2.1智能网业务安全要求
a）管理员密码等数据应该进行加密处理，而不应在文件或缴据库中明文显示；b）计费信息应正确、不丢失、不重复，计费信息不能被修改，原始话单不能被增加：c）卡号、密码的鉴权采用一定的安全机制，如限制尝试次数。8.2.2智能网网络安全要求
智能网网络中（如SCP和SMP、SMP与账务系统之间）应采用专网方式。8.2.3智能网设备安全要求
8.2.3.1概述
智能网包括业务控制点（SCP）设备，业务交换点（SSP）设备、业务管理点（SMP）设备、智能外设（IP）设备、业务数据点（SDP）设备和充值中心（VC）设备，可以服务于固定网、GSM网和CDMA网络。
设备安全应满足相关设备技术规范、设备安全要求、设备入网管理相关要求。8.2.,3.2固定暂能网
a）SCP设备应满足YDN048-1997的要求：b）SSP设备应满足YDN047-1997的要求：）IP设备应满足YDN098-1999的要求；d）SMP设备应满足YDN049-1997的要求。8.2.3.3GSM智能网
a）SCP设备应满足YD/T1234-2002和YD/T1425-2005的要求，b）SSP设备应满足YD/T 1209-2002、YD/T1424.1-2005和YD/T1424.2-2005的要求:c）P设备应满足YD/T1427-2005的要求；6
d）SMP设备应满足YD/T1426-2005的要求。8.2.3.4CDMA 智能网
a）SCP设备应满足YD/T1232-2002和YDT1333-2004的要求：b）$SP设备应满足YD/T1223-2002利YDT1331-2004的要求：c）IP设备应满足YD/T1334-2004的要求；d）SMP设备应满足YD/T1332-2004的要求。8.2.4智能网物理环境安全要求
YD/T1740-2008
应满足YD/T1754-2008《电信网利五联网物理环境安全等级保护要求》4第2级的安全要求。8.2.5智能网管理安全要求
应满足YD/T1756-2008电信网和互联网管理安全等级保护要求》中第2级的安全要求。8.3第3.1级
8.3.1智能网业务安全要求
在满足第2级的基础上，还应满足以下要求：包）特定智能网业务的使用和开展要具有一定的安全机制，如用户名/密码的加密传输，卡号生成、传输、管理的安全机制等。
b）应保证在运行的智能网系统上引入新业务、升级业务或系统时不会引起智能网所提供业务的中断或系统瘫痪。
8.3.2智能网网络安全要求
在满足第2级的基础上，还应满足以下要求：日）智能网的网络配置（如节点和链路的处理能力或负荷等）应合理，不应因网络配置不合理而导致网络全部或者局部瘫痪：
b）网路拓扑（如信令链路、话路）设计中，应当充分考虑连接的亢余设置，不应存在因单点故障而影响其他节点间数据传送的节点。B.3.3智能网物理环境安全要求
应满足YDT1754-2008或电信网和互联网物理环境安全等级保护要求》中第3.1级的安全要求。8.3.4智能网管理安全要求
成满足YD/T1756-20084电信两网和互联网管理安全等级保护要求》中第3.1级的安全要求。8.4第3.2级
8.4.1智能网业务安全求
在满足第3.1级的础上，还应满足以下要求：重要业务数据及计费数据应进行备份（包括不同物理位置，不同存储格式、不同存储介质等）：以防止各种原因导致的系统射溃。8.4.2智能网网络安全要求
在满足第3.1级的基础上，还应满足以下要求：重要设备应实现异地备份：互为备份聘设备应在两个不同的机房。8.4.3智能网物理环境安全要求
YD/T1740-2008
应满足YD1754-2008《电信网和互联网物理环境安全等级保护要求》中第3.2级的安全要求。8.4.4智能网管理安全要求
应满足YD/T1756-2008《电信网和互联网管理安全等级保护要求》中第3.2级的安全要求。8.5第4级
同第3,2级要求。
8.6第5级
待补充。
智能网灾难备份及恢复要求
灰难备份及恢复等级
根据YD/T1731-2008电信网和互联网灾难备份及恢复实施指南》5.1节，灾难备份及恢复定级应与安全等级保护确定的安全等级一效。9.2第1级
不作要求，
9.3第2级
9.3.1穴余系统、设备及链路要求a）暂能网应其备一定的抗灾难以及灾难恢复能力，以保证在各个方面出现故障时都有备用系统提供服务，包括：重要设备部件的成对配置，如网卡、信令板卡、业务板卡等，b）智能网网络灾难恢复时间应满足行业管理、网络和业务运营商应急预案相关要求。9.3.2穴余路由要求
a）应有流量负荷分担设计；
b）智能网的业务中断时间应满足行业管理、网络和业务运营商应急预案相关要求。9.3.3人员和技术支持能力要求
应有负责灾难备份及恢复的机房运行管理人员。9.3.4运行维护管理能力要求
）应有针对灾难备份及恢复的机房运行管理制度：b）应有针对灾难备份及恢复的介质存取、验证和转储的管理制度，应确保备份数据的授权访问；9.3.5灾难恢复预案要求
应有完整的灾难恢复预案。
9.4 第 3.1级
9.4.1元余系统、设备及链路要求在满足第2级的基础上，还应满足以下要求。智能网应具备一定的抗灾难以及灾难恢复能力，以保证在各个方面出现故障时都有备用系统提供服务，包括：软件系统的穴余，如业务软件的备份等。9.4.2备份数据要求
在满足第2级的基础上，还应满足以下要求，8
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。