2020年区域安全管理规范_030319_v3_fd精品

《2020年区域安全管理规范_030319_v3_fd精品》由会员分享，可在线阅读，更多相关《2020年区域安全管理规范_030319_v3_fd精品（31页珍藏版）》请在金锄头文库上搜索。

1、中国石油信息安全标准 编号 中国石油天然气股份有限公司 区域安全管理规范 审阅稿 版本号 V3 审阅人 王巍 中国石油天然股份有限公司 区域安全管理规范I 前 言 随着中国石油天然气股份有限公司 以下简称 中国石油 信息化建设的稳步推进 信息安全日 益受到中国石油的广泛关注 加强信息安全的管理和制度无疑成为信息化建设得以顺利实施的重要保 障 中国石油需要建立统一的信息安全管理政策和标准 并在集团内统一推广 实施 本规范是依据中国石油信息安全的现状 参照国际 国内和行业相关技术标准及规范 结合中国 石油自身的应用特点 制定的适合于中国石油信息安全的标准与规范 目标在于通过在中国石油范围 内建立信

2、息安全相关标准与规范 提高中国石油信息安全的技术和管理能力 信息技术安全总体框架如下 区区 域域 安安 全全 管管 理理 规规 范范 机机 房房 安安 全全 管管 理理 规规 范范 硬硬 件件 设设 备备 管管 理理 规规 范范 网网络络安安全全 管管理理规规范范 通通用用安安全全管管 理理标标准准 数数 据据 和和 文文 档档 安安 全全 管管 理理 规规 范范 应应 用用 系系 统统 使使 用用 安安 全全 管管 理理 标标 准准 通通 则则 应应 用用 系系 统统 开开 发发 安安 全全 管管 理理 标标 准准 通通 则则 商商 业业 软软 件件 购购 买买 管管 理理 标标 准准 电电

3、 子子 邮邮 件件 安安 全全 管管 理理 规规 范范 W We eb b系系 统统 安安 全全 管管 理理 规规 范范 电电 子子 商商 务务 安安 全全 规规 范范 防防 御御 恶恶 意意 代代 码码 和和 计计 算算 机机 犯犯 罪罪 管管 理理 规规 范范 信信息息安安全全技技术术标标准准 物理环境 安全管理 硬件设备 安全管理 操作系统 安全管理 数据和文档 安全管理 应用系统安 全管理 网 络 安 全 管 理 概 述 通 用 网 络 安 全 管 理 规 范 内 部 网 络 安 全 管 理 规 范 外 部 网 络 安 全 管 理 规 范 认 证 管 理 通 用 标 准 通 用 安 全

4、 管 理 标 准 概 述 授 权 管 理 通 用 标 准 加 固 管 理 通 用 标 准 加 密 管 理 通 用 标 准 日 志 管 理 通 用 标 准 系 统 登 陆 管 理 通 用 标 准 操操 作作 系系 统统 安安 全全 管管 理理 规规 范范 1 整体信息技术安全架构从逻辑上共分为 7 个部分 分别为 物理环境 硬件设备 网络 操 作系统 数据和文档 应用系统和通用安全管理标准 图中带阴影的方框中带书名号的为单 独成册的部分 共有 13 本 规范 和 1 本 通用标准 2 对于 13 个 规范 中具有一定共性的内容我们整理出了 6 个 标准 横向贯穿整个架构 这 6 个 标准 的组合

5、也依据了信息安全生命周期的理论模型 每个 标准 都会对所有的 规范 中相关涉及到的内容产生指导作用 但每个 标准 应用在不同的 规范 中又会 有相应不同的具体的内容 我们在行文上将这六个标准组合成一本 通用安全管理标准 单 独成册 3 全文以信息安全生命周期的方法论作为基本指导 规范 和 标准 的内容基本都根据认证 授权 内容安全 日志管理的理论基础行文 信息系统所在区域的物理环境安全是保护区域内计算机相关设备以及其它媒体免遭地震 水灾 火灾等环境事故以及周围环境的因素影响 它是对系统所在环境的安全保护 同时 还需要防止对区 II 域的未经授权的访问 这种区域在信息安全中被称为 安全区域 整个

6、 物理环境安全管理规范 由 区域安全管理规范 和 机房安全管理规范 两个部分组成 本文即为信息安全总体框架中以深色标注的部分 区域安全管理规范 本规范主要规定了不同的包 含有信息设备或信息资产的区域对物理环境的安全要求 这种区域的概念时相对而言的 各种包含有 信息设备或信息资产的区域都可以称之为安全区域 而由于机房是一个十分特殊且重要的安全区域 包含了一些特有的安全管理规范 同时在整个信息安全架构中又具有举足轻重的地位 因此将机房这 个独特的安全区域作为 区域安全管理规范 的一个具体的案例单独进行阐述 本规范由中国石油天然气股份有限公司提出 本规范由中国石油天然气股份有限公司科技与信息管理部归

7、口管理解释 起草单位 中国石油制定信息安全政策与标准项目组 区域安全管理规范III 说 明 在中国石油信息安全标准中涉及以下概念 组织机构 中国石油 PetroChina 指中国石油天然气股份有限公司有时也称 股份公司 集团公司 CNPC 指中国石油天然气集团公司有时也称 存续公司 为区分中国石油的地区 公司和集团公司下属单位 担提及 存续部分 时指集团公司下属的单位 如 辽河油田分公司存续 部分指集团公司下属的辽河石油管理局 计算机网络 中国石油信息网 PetroChinaNet 指中国石油范围内的计算机网络系统 中国石油信息网是 在中国石油天然气集团公司网络的基础上 进行扩充与提高所形成的

8、连接中国石油所属各个单位计算 机局域网和园区网 集团公司网络 CNPCNet 指集团公司所属范围内的网络 中国石油的一些地区公司是和集团 公司下属的单位共用一个计算机网络 当提及 存续公司网络 时 指存续公司使用的网络部分 主干网 是从中国石油总部连接到各个下属各地区公司的网络部分 包括中国石油总部局域网 各个二级局域网 或园区网 和连接这些网络的专线远程信道 有些单位通过拨号线路连接到中国石 油总部 不是利用专线 这样的单位和所使用的远程信道不属于中国石油专用网主干网组成部分 地区网 地区公司网络和所属单位网络的总和 这些局域网或园区网互相连接所使用的远程信道 可以是专线 也可以是拨号线路

9、局域网与园区网 局域网通常指 在一座建筑中利用局域网技术和设备建设的高速网络 园区网 是在一个园区 例如大学校园 管理局基地等 内多座建筑内的多个局域网 利用高速信道互相连接 起来所构成的网络 园区网所利用的设备 运行的网络协议 网络传输速度基本相同于局域网 局域 网和园区网通常都是用户自己建设的 局域网和园区网与广域网不同 广域网不仅覆盖范围广 所利 用的设备 运行的协议 传送速率都与局域网和园区网不同 传输信息的信道通常都是电信部门建设 的 二级单位网络 指地区公司下属单位的网络的总和 可能是局域网 也可能是园区网 IV区域安全管理规范 专线与拨号线路 从连通性划分的两大类网络远程信道 专

10、线 指数字电路 帧中继 DDN 和 ATM 等经常保持连通状态的信道 拨号线路 指只在传送信息时才建立连接的信道 如电话拨号线路 或 ISDN 拨号线路 这些远程信道可能用来连接不同地区的局域网或园区网 也可能用于连接单台计 算机 石油专网与公网 石油专业电信网和公共电信网的简称 最后一公里问题 建设广域网时 用户局域网或园区网连接附近电信部门信道的最后一段距离的 连接问题 这段距离通常小于一公里 但也有大于一公里的情况 为简便 同称为最后一公里问题 涉及计算机网络的术语和定义请参见 中国石油局域网标准 区域安全管理规范V 目目 录录 1概述 6 2目标 6 3适用范围 7 4引用的文件或标准

11、 8 5术语和定义 10 6区域安全分级标准 12 7区域物理环境安全 13 7 1环境控制 13 7 2电气技术安全 14 7 3给水排水相关规范 15 7 4消防与其他安全规范 16 7 5自然灾害防御 17 8人员出入安全区域相关的管理规范 19 8 1人员身份识别管理规范 19 8 2安全区域出入授权管理规范 23 8 3安全区域相关日志和权限的审计管理 审计跟踪 26 附录 1参考文献 28 附录 2本规范用词说明 29 6区域安全管理规范 1概述 信息系统所在区域的物理环境安全是保护区域内计算机相关设备以及其它媒体免遭地震 水灾 火灾等环境事故以及周围环境的因素影响 它是对系统所在

12、环境的安全保护 同 时 还需要防止对区域的未经授权的访问 物理环境安全管理规范主要规定了不同的区域对物理环境的安全要求和相应的保护措施 和规章制度 安全区域是指需要被组织保护的商务场所和包含被保护信息处理设施的物理区域 因此 我们所指的区域的概念可以是一栋办公大楼 也可以是一个数据中心机房或是不同的大 楼楼层的配线间 区域的概念相当的宽泛 而一些和信息不相关的区域如车间 转井平 台等不属于本规范讨论的范围 在我们的规范中主要将各个各样不同的区域分为三个等 级 关键级 重要级和普通级 针对这样的三种不同级别的区域我们制定了三种不同的 规范加以约束 2目标 本规范的目标为 保护各种不同的安全区域的

13、安全性 由于安全区域本身并不包含有信息资产 但安全区 域内会存在各种信息设备或信息资产 因此安全区域的安全性主要从区域本身的特点出 发 目的是保护区域内部的信息设备或信息资产免受外界的干扰 窃取或破坏 外界对 于信息设备或信息资产的影响主要来自于两个方面 一是物理环境的因素 二是人为的 因素 因此本规范的目标也可以分为两个分目标 保护区域物理环境的安全 使得区域内的信息设备或信息资产免受物理环境 如温 度湿度等 的影响 保护区域的进出授权管理 使得区域内的信息设备或信息资产免受非法或未经授权 的访问 窃取或破坏 区域安全管理规范7 3适用范围 本套规范适用的范围包括了各种使用信息设备的安全区域

14、 只要该区域内有正在使用的 信息设备或有信息资产 则该区域属于本规范讨论的范围 例如各种使用计算机系统进 行办公的办公室 仓库 车间等 如果该区域内没有信息设备或信息资产 则不属于本 规范讨论的范围之内 但机房这一个相对独特的安全区域由于其重要性相对突出 因此机房这一个相对独特的安全区域由于其重要性相对突出 因此 不包含在本规范讨论的范围内不包含在本规范讨论的范围内 该规范针对各个不同安全区域 例如各种使用计算机系统进行日常办公的部门 用于确 保安全区域的各种安全条件符合安全使用信息设备的要求 8区域安全管理规范 4引用的文件或标准 下列文件或标准中的条款通过本规范的引用而成为本规范的条款 本

15、标准出版时 所示版均 为有效 所有标准都会被修订 使用本标准的各方应探讨使用下列标准最新版本的可能 性 1 GAT390 2002 计算机信息系统安全等级保护通用技术要求 2 GB50174 93 电子计算机机房设计规范 3 SJ T30003 93 电子计算机机房施工及验收规范 4 GB9361 88 计算站场地安全要求 5 GB2887 2000 电子计算机场地通用规范 6 GB6650 86 计算机机房用活动地板技术条件 7 GB50052 供配电系统设计规范 8 GB50057 94 建筑物防雷设计规范 9 GB173 1998 计算机信息系统防雷安全规范 10 GB50045 95

16、高层民用建筑设计防火规范 11 GBJ16 87 建筑设计防火规范 12 NIST 信息安全系列 美国国家标准技术院 13 英国国家信息安全标准 BS7799 14 信息安全基础保护 IT Baseline Protection Manual Germany 15 BearingPoint Consulting 内部信息安全标准 区域安全管理规范9 16 RU Secure 安全技术标准 17 信息系统安全专家丛书 Certificate Information Systems Security Professional 10区域安全管理规范 5术语和定义 安全区域安全区域 指区域内有需要受保护的信息资产或信息设备的物理区域 该物理区域之所 以需要受到保护是因为在该区域所在的物理区域范围内有需要受到保护的信息系统相关 的资产 该种信息系统相关的资产可能是物理上存在的各种电子设备 也可能是无形的 电子信息数据 而一些和信息系统无关的物理区域如机械车间 转井平台等不属于本规 范安全区域的范畴 关键级区域关键级区域 放置了大量的核心 IT 相关设备 如服务器和骨干网络设备 的区域 该区 域一