【行业标准】 分权模式(金库模式)客户信息安全保护技术要求

ICS35.240
中华人民共和国通信行业标准
YD/T2671-2013
分权模式（金库模式）
客户信息安全保护技术要求
Privilege-divided model (JinKu-model)customer informationsecurityprotectiontechnicalspecification2013-10-17发布
2014-01-01实施
中华人民共和国工业和信息化部发布前言
1范围
2规范性引用文件
3术语和定义
4缩略语
5分权模式管控原则
5.1基本原则
5.2管控对象·
6分权模式实现方式
实现架构·
6.2触发方式
6.3授权方式·
7分权模式实现流程
远程授权·
现场投权·
自动授权
8关键系统分权模式管控要求·
8.1管控范围
8.2通信网及网管支撑关键系统管理规则8.3业务支撑关键系统管理规则
8.4业务平台关键系统管理规则.·9分权模式实施要求…
实施要求·
审计要求
其他要求
YD/T2671-2013
rKacadiaiKAca
本标准按照GB/T1.1-2009给出的规则起草。本标准由中国通信标准化协会提出并归口。本标准起草单位：中国移动通信集团公司、中国移动通信集团设计院有限公司。YD/T2671-2013
本标准主要起草人：李跃、张滨、赵刚、冯运波、刘利军、秦邱川、陈云超、张琳、杜雪涛、任兰芳、柏洪涛。
iiKacaQiaiKAca
1范围
YD/T2671-2013
分权模式（金库模式）客户信息安全保护技术要求本标准定义了利用分权模式（金库模式》进行客户信息安全保护的实施要求。本标准适用于通信网及网管支撑系统中MSC/VLR/MGW、HLR、WAP网关、网管客户支撑系统、信令监测系统等关键系统，业务支撑系统中BOSS、经分、CRM等关键系统，以及业务系统中定位业务平台等涉及敏感客户信息的关键系统。2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。中华人民共和国国务院令第291号中华人民共和国信息产业部令第36号中华人民共和国信息产业部令第7号3术语和定义
下列术语和定义适用于本文件。3.1
分权模式（金库模式）
《中华人民共和国电信条例》
《电信服务规范》
《电信用户申诉处理暂行办法》对于涉及到客户敏感信息的高风险操作，强制要求必须由两人或以上有相应权限的员工共同协作完成操作，防止部分拥有高权限账号的操作人员溢用权限违规获取、算改相关信息，通过相互监督、利益制约确保商风险操作和高价值信息的安全性，也称为“双人操作”或“多人操作”模式。4缩略语
下列缩略语适用于本文件。
BSS/OsS
BusinessSupportSystem/OperationsSupportSystem业务支撑系统/运营支撑系统Customer Relationship ManagementElectricOperationMaintenanceSystemHome Location Register
MediaGateWay
Mobile Switching Center
VisitorLocation Register
Wireless ApplicationProtocol客户关系管理
电子运维系统
用户归属位置寄存器
媒体网关
移动交换中心
访间用户位置寄存器
无线应用协议
YD/T2671-2013
5分权模式管控原则
5.1基本原则
对涉及客户资料、订购关系、位置信息、客户通话详单等高价值信息的关键系统的高风险操作，进行分权模式管控，用以保护客户信息安全。分权模式的实施应避循如下基本原则：1）聚焦关键系统、聚焦高风险操作、聚焦高价值信息；2）敏感操作，多人完成，分权制衡；3）授权不操作，操作不授权。
5.2管控对象
分权模式的管控对象为关键系统的高风险操作：a）关键系统：存储客户资料、订购关系、位置信息、客户通话详单等高价值信息的系统，如BSS/OSS/经分/网管系统等：
b）高风险操作：可能对高价值信息产生安全隐患的操作，如批量查询、导出、变更和删除等。6分权模式实现方式
6.1实现架构
在分权模式的实现中，集中的安全管控平台作为网管、业务支撑关键系统的统一运维入口，提供账号管理、认证管理、授权管理和审计管理的功能，如图1所示。在集中的安全管控平台中含有一个分权管理模块，分权管理模块需要与集中安全管控平台的其他模块交换数据来实现分权管理所需的认证、授权等功能。当用户在应用系统进行关键操作时，业务功能触发分权管理模式并向分权管理模块发出请求，分权管理模块进行授权审批之后，用户方可根据审批结果访问或被拒绝访问敏感数据或文件。应用系统
业务功能
敏感数据跟文作
6.2触发方式
6.2.1基于业务操作触发
分权管理模块
图1分权模式实现架构
集中安全
管控乎台
账号管理
认证管理
授权管理
事计理
基于业务操作的触发方式是指当用户对敏感信息进行高风险操作时，触发分权模式，主要有如下两种类型：
a）基于图形界面访间触发
对通过图形界面访间敏感数据的操作，通过进行应用系统改造，增加分权模式控制点，当对应敏感操作的菜单或按钮被点击时，触发分权审批。2
rKacadiaiKAca-
b）基于命令行访间触发
YD/T2671-2013
对通过命令行访问敏感数据的操作，通过在系统中增加分权模式控制点，当敏感指令执行时，触发分权审批。
6.2.2基于账号登录触发
基于账号登录触发方式是指当拥有高风险操作权限的账号通过系统登录时，触发分权审批。6.2.3基于准实时行为审计触发
对于无法做到基于业务操作和账号登录方式触发分权审批的系统，通过基于准实时行为审计进行分权模式管控。
准实时行为审计功能要求日志审计系统在24小时内对高风险操作日志进行筛选和稽核分析，并自动完成高风险操作与工单信息的匹配。对于无工单的高风险操作，触发分权告警。在实施中，应优先采用基于业务操作和基于账号登录的分权模式触发方式，在无法实现上述两种方式的情况下，采用准实时行为审计方式作为补充。6.3授权方式
分权模式授权方式包括人工授权和自动授权两种方式。人工授权方式包含如下两种场景：a）现场授权：分权模式触发后，授权人员通过输入认证凭据（如密码、证书、令牌和指纹等），现场完成授权。
b）远程授权：分权模式触发后，系统向授权人员发送申请短信，短信内容应包含操作员账号、操作类型、操作对象和操作原因等信息。授权人员回复审批结果后，操作员根据审核结果继续或终止本次操作。
自动授权方式是指分权模式触发后，操作员输入本次操作的工单号或要查询的手机号，系统通过与工单系绕的联动，实时对本次操作手机号和工单中授权的手机号进行比对，根据比对结果，继续或终正本次操作。
6.3.1远程授权
集中安全管控平台应支持将操作人员发起的操作请求通过短信方式发送给授权人，授权人转发短信授权码或直接回复短信网关进行二次授权，并由集中安全管控平台提供短信授权码或回复结果的认证鉴权服务：
集中安全管控平台应确保生成的短信密码与操作人员、授权人、当次授权对应关系的唯一性。6.3.2现场授权
应用系统或集中安全管控平台应提供强认证信息输入界面，并应支持主账号密码、短信密码、动态令牌码、硬件证书、指纹中的一种或多种；应用系统或集中安全管控平台应支持将操作人员、授权人的认证信息封装成授权请求发送给集中安全管控平台认证模块；
集中安全管控平台应确保生成的强认证信息与操作人员、授权人，当次授权对应关系的唯一性：授权过程应该充分考虑安全性要求，存放和传输过程都应该加密：授权过程中返回错误提示信息应明确告知是操作人员身份验证错误还是协同操作人授权失败。6.3.3自动授权
YD/T2671-2013
应用系统或集中安全管控平台应提供工单号输入界面，并支持通过接口将请求转发给集中安全管控平台分权管理模块：
集中安全管控平台应支持调用工单系统的查询接口，并根据返回信息解析、存储详细工单信息，包括但不限于操作人信息、访问场景、访问方式、访间时间范围等信息：有条件可以选择实现基于时间和内容的自动匹配；
在申请工单的有效时间内（操作时间段或非关闭状态），集中安全管控平台应支持在有效期内不重复发起工单查询请求；
集中安全管控平台应确保生成的工单信息与操作人员、当次授权对应关系的唯一性；授权过程应该充分考虑安全性要求，存放和传输过程都应该加密：授权过程中返回错误提示信息应明确告知是操作人员身份验证错误还是工单匹配失败。7分权模式实现流程
7.1远程授权
远程授权可以采用短信方式，授权人通过短信完成实时授权，其中操作人与授权人的对应关系需要在分权管理模块上来维护，并由集中安全管控平台提供短信认证鉴权服务，如图2所示。福
操件人员
关键操作请求
输入投权信息
如果授权通过则允许操作，
否则拒绝接入
关链系统
远程授权的实现详细流程如下：触发分权管理模式
返回投权信息
验证授权信息
返回验证结果
分权管理
授权人
生成临时授权
验证码
图2远程授权模式实现流程
发起授权请求
授权审批
a）当应用系统触发分权模式管理流程时，通过接口将操作请求转发给分权管理模块；b）分权管理模块根据操作请求，找到授权人，生成临时授权验证码及操作请求；c）分权管理模块将临时授权验证码及操作请求通过短信方式发送到授权人的手机号码上：4
iiKacaoiaikAca
YD/T2671-2013
d）当授权人审批通过后，可以将短信密码直接转发给当前业务操作人员，业务操作人员在系统的密码输入界面输入收到的短信密码，进行授权码鉴别：或由授权人通过短信网关回复审批通过或拒绝给应用系统，如果采用此方式，不需要操作人员再次输入临时授权验证码：e）业务系统调用分权管理模块的鉴别服务，当验证通过后，允许当前操作人员继续此业务操作，否则阻止此业务操作：
f）本次分权管理模式操作完成后，应用系统需要将操作日志发送给集中安全管控平台审计中心。7.2现场授权
现场授权模式需要授权人在现场，采用主账号密码、硬件证书、动态令牌或指纹等方式进行，授权人通过现场输入主账号密码、插入硬件证书、提供当前动态令牌码或按指纹等完成实时授权，其中操作人与授权人的对应关系需要在分权管理模块上来实现，并由集中安全管控平台提供主账号密码认证鉴权服务或相应其他强认证服务。现场授权模式实现流程如图3所示。妈
操雄人员
关键操作请求
如果授权通过则允许操作，
否剿拒绝接入
关键系统
现场授权的实现详细流程如下：触发分权管理模式
返回授权人信息
验证授权信息
返回验证结果
分权管理
授权人
输入投权信息
图3现场授权模式实现流程此内容来自标准下载网
a）当应用系统触发分权模式管理流程时，通过接口将操作请求转发给分权管理模块：b）分权管理模块根据应用系统发来的请求，找到对应的授权人，并向应用系统返回授权人信息：c）应用系统弹出主账号密码、短信密码或动态令牌码输入窗口，或弹出要求插入硬件证书、指纹的提醒信息：
d）应用系统将对应主账号密码、动态令牌码、证书或指纹等信息通过集中安全管控平台认证接口转发到集中安全管控平台认证中心；5
YD/T2671-2013
e）集中安全管控平台验证通过后，反馈鉴权结果给应用系统，允许当前操作人员继续此业务操作，否则阻止此业务操作：
f）本次分权模式操作完成后，应用系统需要将操作日志发送给集中安全管控平台审计中心。7.3自动授权
自动授权模式需要和工单系统进行联动，一般适用于单条记录或频率比较高业务办理场景。当操作人员发起关键业务办理操作请求时，需要在应用系统上输入审批通过后的工单号，分权管理模块根据工单号访问工单系统进行工单的有效性验证，并带需要确认操作时间在工单的有效期内。自动授权模式实现流程如图4所示。
分权管理
操性人员
关键操作请求、
输入工单号
如果验证通过则允许操作，
否则拒绝接入
关键系统
触发分权管理模式
返回工单匹配验证结果
图4自动授权模式实现流程
自动授权模式的实现详细流程如下：a）操作人员发起敏感数据查询、下载请求并输入本次操作的工单号：查询工单信息
返回工单匹配验证结果
b）触发分权模式管理流程时，通过接口将操作请求转发给分权管理模块：工单系统
c）分权管理模块实时查询工单系统并返回工单有效性的验证结果，有条件可以选择实现基于时间和内容的自动匹配：
d）工单匹配验证通过后，允许当前操作人员继续此系统资源操作，否则阻止此操作：e）本次分权模式操作完成后，集中安全管控平台门户或堡垒系统需要将操作日志发送给集中安全管控平台审计中心；
f）集中安全管控平台审计中心需要针对工单信息以及操作内容进行事后匹配审核，针对工单与操作不匹配的操作行为生成专门的统计报表。6
KacaOiaiKAca-
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。