建立組織

構建大數據安全保障組

一、大數據安全保障工作組職責

1、負責制定大數據信息安全策略，明確信息安全目標。

2、組織相關平臺負責人定期召開信息安全會議。

3、負責客戶數據安全突發事件應急方案實施和大數據信息系統日常安全運行管理的組織協調及決策工作。

4、研究決定客戶數據安全工作的重大事項。

二、大數據安全保障工作組責任

1、承擔信息安全管理領導小組的具體工作，協助在大數據安全事務上的決策。

2、負責大數據安全管理體系的建立、實施和日常運行，起草信息安全政策，確定信息安全管理標準，督促各信息安全執行單位對于信息安全政策、措施的實施。

3、負責定期召開信息安全管理工作會議，定期總結運行情況以及安全事件記錄，并向信息安全管理小組領導匯報。

4、負責制定大數據安全政策行為標準，并對違反信息安全政策的人員和事件進行確認和處罰。

5、負責調查大數據安全事件，并維護、總結安全事件記錄報告。

建立總則

1、明確規范所保護的數據

針對最重要的政企客戶信息和個人客戶信息。

2、明確規范的目的

為了加強客戶信息安全管理，規范客戶信息訪問的流程和用戶訪問權限以及規范承載客戶信息的環境，降低客戶信息被違法使用和傳播的風險，特制定本規范。

3、明確規范所要解決的風險

客戶信息安全面臨的風險和威脅主要包括：因為權限管理與控制不當，導致客戶信息被隨意處置；因為流程設計與管理不當，導致客戶信息被不當獲取；因為安全管控措施落實不到位，導致客戶信息被竊取等。

4、規范管理的對象

適用于客戶信息的使用人員、運維人員、開發測試人員、管理人員和安全審計人員。

梳理職責

1、涉及客戶信息的業務管理部職責

負責規范本部門訪問客戶信息的業務人員崗位角色及其職責；

負責主管的業務系統的客戶敏感信息安全保護，建立落實管理制度和實施細則；

負責業務層面客戶信息安全的日常管理和審計工作；

負責受理客戶信息泄密事件的投訴、上報；

制訂對業務合作伙伴的信息泄露的懲罰措施及具體實施；

協助完成客戶信息泄密現象的市場調查；

協助進行客戶信息泄密事件的查處。

2、人力資源部職責

組織有關員工簽訂保密承諾書；

及時發布人員崗位變動、離職的信息給帳號管理部門；

參與對客戶信息泄密人員的查處。

數據分類分級

全面摸底，進行數據資產梳理、敏感數據發現及梳理、數據資產分級、用戶及敏感資產權限梳理。

數據分級分類的原因：只有對數據進行有效分類，才能夠避免一刀切的控制方式，在數據的安全管理上采用更加精細的措施，使數據在共享使用和安全使用之間獲得平衡。

數據分級分類的原則：

分類：依據數據的來源、內容和用途對數據進行分類；

分級：按照數據的價值、內容的敏感程度、影響和分發范圍不同對數據進行敏感級別劃分。

數據分級分類內容：

定義崗位角色與權限

角色1：運營系統支撐

1)崗位包含舉例：業務系統管理、系統運營支撐等細項崗位；

2)崗位說明：該類崗位角色主要指各省業務部門負責系統管理及支撐的崗位。

3)權限要求：該角色人員負責部門系統帳號、口令的管理，配合業支部門進行相應系統的開發、運營和維護，可以查看相應權限所涉及的客戶敏感信息；僅具有查詢權限，不應授予增加、刪除、修改、批量導入與導出、批量開通與取消、批量下載等針對客戶敏感信息的操作權限。

角色2：開發測試

1)崗位包含舉例：架構管理、系統設計、應用開發、應用測試、項目建設管理等；

2)崗位說明：該類崗位主要包括各省公司負責涉及客戶敏感信息的系統的設計、研發、測試以及項目建設管理人員。

3)權限要求：開發測試人員原則上不能接觸生產系統數據；開發測試人員僅具有測試系統的操作權限，開發測試系統需要涉及到客戶敏感數據信息的內容，原則上使用過期數據或是模糊化處理之后的數據。

建立賬號與授權管理機制

1、業務賬號管理

2、運維賬號管理

1)系統運維支撐部門應指定專人(系統帳號管理員)負責運維帳號和權限的管理工作，制定崗位角色和權限的匹配規范，提供崗位角色和權限對應的矩陣列表,確保職責不相容。

2)運維人員應向上一級主管提出帳號權限申請，系統帳號管理員應按照權限最小化原則分配運維人員的帳號權限。

3)系統帳號管理人員要定期對系統帳號使用情況、權限、口令等進行檢查稽核，確認帳號、權限的有效性，并對存在的問題進行整改。

3、第三方賬號管理

建立客戶敏感信息操作規范

1、業務人員對客戶敏感信息操作的管理

1)涉及客戶敏感信息的批量操作(批量查詢、批量導入導出、批量為客戶開通、取消或變更業務等)，必須遵循相應的審批流程，通過業務管理部門審核；

2)業務人員因業務受理、投訴處理等情況下需要查詢或獲取客戶信息時，應遵循如下要求：

a.涉及客戶普通資料的查詢，服務營銷人員要獲得客戶的同意，并且按照正常的鑒權流程通過身份認證。鑒權一般采取有效證件或服務密碼驗證，并保留業務受理單據。

b.涉及客戶通話詳單、政企客戶詳細資料等客戶敏感信息的查詢，客戶接觸人員只能在響應客戶請求時，并且客戶自身按照正常流程通過身份鑒權的情況下，協助客戶查詢；禁止客戶接觸人員擅自進行查詢；查詢需保留業務受理單據。

c.除客戶接觸外的業務人員，因投訴處理、營銷策劃、經營分析等工作需要查詢和提取客戶敏感信息的，業務管理部門應建立明確的操作審批流程，定期進行嚴密的事后稽核與審查。

d.對敏感數據的批量操作，需要在指定地點、指定設備上進行操作，相關設備必須進行嚴格管控，對于該設備的打印、拷貝、郵件、文檔共享、通訊工具等均需進行嚴格管控，防止數據泄露。

2、運維人員對客戶敏感信息操作的管理

1)運維支撐部門需制定并維護業務系統層角色權限矩陣，明確生產運營、運行維護、開發測試等崗位對客戶敏感信息的訪問權限。

2)運維支撐人員因統計取數、批量業務操作對客戶敏感信息查詢、變更操作時必須有業務管理部門的相關公文，并經過部門領導審批。

3)運維支撐人員因應用優化、業務驗證測試需要查詢、修改客戶敏感信息數據，只能利用測試號碼進行各項測試，不得使用客戶號碼。

4)運維支撐人員因系統維護進行客戶敏感信息的數據遷移(數據導入、導出、備份)必須填寫操作申請，并經過部門主管審批。

5)嚴禁運維支撐人員向開發測試環境導出客戶敏感信息，對需導出的信息必須經過申請審批，并進行模糊化處理。

6)對敏感數據的批量操作，需要在指定地點、指定設備上進行操作，相關設備必須進行嚴格管控，對于該設備的打印、拷貝、郵件、文檔共享、通訊工具等均需進行嚴格管控，防止數據泄露。

3、數據抽取管理

1)各省、市公司數據需求部門由指定人員擔任數據分析員，負責該部門的數據提取需求。

2)為確保數據安全，數據管理員不得將取數結果交付給非需求人員。非數據管理員不接收取數申請，也不得將提取數據直接發給相關需求人員。

3)數據分析員應對所提需求所涉及的客戶信息進行審核并對需求內容作詳細描述，數據管理員有責任進行復核并盡量減少客戶敏感信息的提取。

4)數據提取部門不得將數據提取結果直接發給需求人員，數據提取結果必須為受控文檔，并在指定平臺上進行編輯和處理，不得存放在指定平臺外的任何主機上。

5)受控文檔是指采用加密、授權、數字水印、數字簽名等技術手段對文檔進行安全保護后的文檔。

6)數據提取的檢查稽核必須由專人負責，檢查稽核人員應每月對日常數據提取情況進行檢查稽核。

7)公檢法等司法機關為滿足司法取證等需要而查詢客戶信息時，應提交正式介紹信并進行留存，由相關主管領導批準后，方可提交業務支撐部門查詢取數。

落實客戶信息安全日常審查

1)安全檢查主要分為操作稽核、合規性檢查、日志審計、例行安全檢查與風險評估。

2)信息安全管理責任部門針對安全檢查過程中發現的突出問題，牽頭協調各部門提出改進方案，并要求相關部門落實解決，并對改進措施落實情況進行跟蹤檢查。

3)操作稽核是對操作日志與工單等原始憑證進行比對，分析查找違規行為。

4) 合規性檢查重點是依據本管理規范要求進行檢查，檢查相關要求的落地情況。

5)日志審計，對所有日志按關鍵功能、關鍵角色、關鍵帳號、關鍵參數，進行審計檢查。及時發現異常時間登錄、異常IP登錄、異常的帳號增加和權限變更、客戶信息增刪改查、批量操作等敏感操作。

6)例行安全檢查是指運維支撐部門對所負責維護的系統進行的常規性安全檢查，包括漏洞掃描、基線檢查等。

7)風險評估側重通過白客滲透測試技術，發現深層次安全問題，如緩沖區溢出等編程漏洞、業務流程漏洞、通信協議中存在的漏洞和弱口令等等。風險評估以各系統的運維支撐部門自評估為主、信息安全管理責任部門抽查相結合的方式進行。

落實客戶信息系統的技術管控

根據現有體系，構建了大數據安全管控平臺，提升對大數據安全管控技術能力。實現對大數據的安全狀況摸底、數據使用管控，數據治理稽核等三方面管理。

安全狀況摸底：旨在提升大數據平臺自我免疫能力，并對數據進行分級分類管理和權限管理。

數據使用管控：對數據生命周期的分級分類、風險評估、業務訪問、運維訪問、測試開發、數據外發、數據存儲等層面，提供技術資產梳理、風險評估掃描、數據防護、-數據脫敏、數據水印、數據運維管控、數據加密、訪問審計等方面技術融合。

數據治理稽核：通過審計、大數據分析、監測預警等技術，動態監測安全變化、事件變化、權限變化、策略變化，出現問題應急處置，構建大數據安全基線。

通過建立大數據安全管控平臺，開展預防、發現、預警和協調處置等工作，維護電信運營商大數據安全，保障基礎重要信息系統的安全運行。

總結

綜上所述，以上數據安全治理實踐，較為完備的覆蓋了數據安全治理的各個領域，實現了數據的分級分類；制定了對不同組織和角色人員的數據安全職責和管理流程；明確了異常行為特征和重要風險行為的具體化管理要求；突破了傳統防外的思維，實現了基于業務角度出發的業務側、運維側和第三方的綜合管理，具有較高的可操作性。