北京地区互联网数据中心和互联网接入服务信息安全管理系统技术

《北京地区互联网数据中心和互联网接入服务信息安全管理系统技术》由会员分享，可在线阅读，更多相关《北京地区互联网数据中心和互联网接入服务信息安全管理系统技术（19页珍藏版）》请在装配图网上搜索。

1、北京地区互联网数据中心和互联网接入服务信息安全管理系统技术要求（暂行）北京市通信管理局2014年8月目录前 言11范围12规范性引用文件13术语和定义13.1 安全监管系统 secur ity monitor managemen t sys tem 13.2 信息安全管理系统 information security management system 13.3 互联网数据中心 internet data center 13.4 互联网接入服务 internet service provider 13.5 互联网信息服务 internet content provider 13.6 IDC 业

2、务机房 the room of IDC service 13.7 ISP 业务节点 the node of ISP service 23.8 业务客户 customer 23.9 访问用户 access user 23.10 源 IP、源端口 source IP、source port 23.11 目的 IP、目的端口 destination IP、destination port 24缩略语25系统概述36系统功能36.1基础数据管理36.1.1 基础数据的分类 36.1.2 基础数据本地管理 46.1.3 基础数据上报与核验 46.1.4基础数据监测和处置56.2访问日志管理56.2.1

3、访问日志记录功能 56.2.2 日志记录查询方式 56.2.3 日志记录查询结果 66.2.4 日志留存时间 66.3信息安全管理66.3.1活跃资源监测管理66.3.2违法违规网站管理66.3.3违法信息监测和处置76.4 系统功能管理 76.4.1权限管理76.4.2 运行维护 87通信接口 88性能要求88.1处理能力88.2扩展能力98.3可靠性99安全性要求99.1系统和数据安全99.2时钟同步99.3运行环境10附录A （资料性附录）ISMS的实现方式示例11A.1系统结构11A.2系统功能11A.3控制单元功能11A.3.1数据通信11A.3.2基础数据管理11A.3.3监管功能

4、11A.3.4权限管理 12A.3.5运行维护 12A.4执行单元功能12A.4.1数据通信 12A.4.2基础数据采集及管理12A.4.3监管功能 12A.4.4权限管理12A. 4.5运行维护 12附录B （规范性附录）数据代码表13B. 1机房性质13B.2单位属性13B.3证件类型13B.4接入方式14B.5服务内容14B.6违法违规情况 15B.7代理类型15本文档基于工业和信息化部互联网数据中心和互联网接入服务信息安全管理系统技术要求互 联网数据中心和互联网接入服务信息安全管理系统接规范起草。依据北京市通信管理局关于北京市IDC/ISP业务经营单位企业侧管理系统相关功能要求的通知

5、（京信保障发2014117号）的有关要求，北京地区开展IDC/ISP业务经营单位所建设的企业侧信息安 全管理系统应符合本文档要求。北京地区互联网数据中心和互联网接入服务信息安全管理系统技术要求（暂行）1范围本文档规定了互联网数据中心和互联网接入服务类业务相关信息安全管理技术手段的基本要求。本文档适用于提供包括但不限于业务机房及配套设施租赁、服务器托管和租用、虚拟主机等服务的 IDC业务经营者及为互联网信息服务提供者提供互联网接入服务的ISP业务经营者所建设的业务信息安 全管理系统。2规范性引用文件下列文件对于本文档的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文 档。凡是不

6、注日期的引用文件，其最新版本（包括所有的修改单）适用于本文档。中华人民共和国电信条例附录电信业务分类目录YD/T 1728-2008电信网和互联网安全防护管理指南YD/T 2405互联网数据中心和互联网接入服务信息安全管理系统接规范3术语和定义电信业务分类目录界定的术语和定义及下列术语和定义适用于本文档。3.1 安全监管系统 secur ity monitor managemen t sys tem电信管理部门依照国家法律法规授权建设的信息安全监管系统。3.2 信息安全管理系统 informa tion secu rity managemen t sys tem业务经营者建设的符合本文档所规定

7、信息安全管理系统要求的所有软、硬件系统的集合。3.3 互联网数据中心internet data center增值电信业务，定义详见电信业务分类目录。3.4 互联网接入服务 internet service provider增值电信业务，定义详见电信业务分类目录。本文档中所有未指明的ISP均特指互联网接入服 务。3.5 互联网信息服务 int ernet con tent provider增值电信业务，定义详见电信业务分类目录。3.6 IDC 业务机房 the room of IDC serviceIDC业务经营者利用既有的互联网通信线路、带宽资源及辅助设施（如，温湿度控制、除尘、消防、 供配电

8、、安防等），建立具有标准化电信级业务的环境和放置业务相关设备的场所。3.7 ISP 业务节点 the node of ISP serviceISP业务经营者利用接入服务器和相应的软硬件资源建立的、为客户提供接入互联网服务的业务节 点。3.8 业务客户customerIDC/ISP业务的客户，包括在IDC进行托管主机、租赁主机、租用虚拟空间、专线接入等的客户或 从ISP获得互联网接入服务的客户。3.9 访问用户 access user访问通过IDC/ISP接入互联网的业务客户有关应用和服务的外部用户。3.10 源 IP、源端口 source IP、source port访问用户所使用的IP地址和

9、端口。11 目的 IP、目的端口 destination IP、destination portIDC/ISP业务客户所使用的IP地址和端口。缩略语卜列缩略语适用于本文档。FTP文件传输协议File Transfer ProtocolHTTP超文本传输协议Hypertext transfer protocolICP互联网信息服务Internet Content ProviderIDC互联网数据中心Internet Data CenterISP互联网服务提供商Internet Service ProviderIP互联网协议Internet ProtocolISMI信息安全管理接口Informat

10、ion Security Management InterfaceISMS信息安全管理系统Information Security Management SystemNA T网络地址转换Network Address TranslationPOP3邮政协议篡3版Post Office Protocol-version 3SMMS安全监管系统Security Monitor Management SystemSMTP简单邮件传输协议Simple Mail Transfer ProtocolTCP传输控制协议Transmission Control ProtocolUDP用户数据报协议User D

11、atagram ProtocolURL统一资源定位符Uniform Resource LocatorXLS可扩展电子表格格式eXtensible Language StylesheetXML可扩展标记语言eXtensible Markup Language5系统概述IDC/ISP信息安全管理系统（ISMS ）是IDC/ISP业务经营者建设的具有基础数据管理、访问日志管 理、信息安全管理等功能的信息安全管理系统，以满足IDC/ISP业务经营者和电信管理部门的信息安全 管理需求。每个IDC/ISP经营者应建设一个统一的ISMS，并与电信管理部门建设的安全监管系统（SMMS ） 通过信息安全管理接口

12、（ISMI ）进行通信，实现本文档规定的有关功能。ISMS与SMMS之间的关系如图1所示：IDC/ISP经营者电信管理部门信息安全 管理系统 （ISMS ）.信息.安全管 理接-“（ISMI）安全监管系统(SMMS )图1 ISMS与SMMS关系示意图本文档仅规定了 ISMS功能和性能要求。ISMS与SMMS之间的数据交换格式及通信方法，见互 联网数据中心和互联网接入服务信息安全管理系统接规范附录A给出了 ISMS的一种实现方式，IDC/ISP经营者也可采取其它技术实现方式。6系统功能6.1基础数据管理6.1.1基础数据的分类ISMS管理的IDC/ISP业务相关基础数据包括主体信息、资源信息两

13、类。1）对于主体信息，分为IDC/ISP业务经营单位信息、IDC/ISP业务客户信息。a）经营单位信息，包括：IDC/ISP许可证号、单位名称（应与许可证上登记信息一致）、单位地址 及邮编、企业法人、网络信息安全责任人、应急联系人信息、IDC业务机房/ISP业务节点的数量、以及 各个IDC业务机房/ISP业务节点相关信息，其中：IDC业务机房/ISP业务节点相关信息包括各个IDC业务机房/ISP业务节点的名称、编号、IDC 业务机房/ISP业务节点所处机房的性质（见附录B.1）、机房所在地、机房地址及邮编、机房驻地网络信息安全责任人信息。b）客户信息，包括：客户编号、客户属性（分为提供应用服务

14、、其他等类、客户单位名称（或姓 名）、客户单位地址及邮编、客户单位属性（见附录B.2）、证件类型（见附录B.3）、证件号码、网络信 息安全责任人信息、服务开通时间，对于IDC业务客户需记录所属IDC业务机房信息，对于ISP业务 客户需记录所属ISP业务节点信息，对于虚拟主机客户需记录虚拟主机信息，对于提供应用服务的客户 还需要记录应用服务信息列表，其中：所属IDC业务机房信息包括所属机房编号、业务机架机位编号、客户应用相关IP地址（如果 应用服务使用私网地址，则需记录NAT地址映射表）、带宽及分配时间；所属ISP业务节点信息包括所属节点编号、客户应用相关IP地址（如果应用服务使用私网地 址，则

15、需记录NAT地址映射表）、带宽及分配时间；虚拟主机信息包括占用虚拟主机编号、虚拟主机名、虚拟主机网络地址、虚拟主机状态、虚拟 主机类型共享式/专用式/云虚拟）、虚拟主机管理地址等；应用服务信息包括应用服务类型（内部应用、电信业务对外应用服务）、业务许可证号或备案 号、接入方式（见附录B.4）、预登记的服务内容（可多选）（见附录B.5）、域名信息列表对支持域名 指向的应用服务，如：HTTP、FTP、SMTP、POP3等需提供本级域名）。2）对于资源信息，包括业务经营单位所辖全部IDC业务机房/ISP业务节点IP段、机架和链路信 息等。a）IP段信息，即IDC业务机房/ISP业务节点所有IP地址段

16、信息，包括IP段编号、起始IP地址、 终止IP地址、来源、分配单位、分配使用时间、使用单位信息、IP地址使用方式（静态/动态）。b）机架信息，即在机房区域内摆放的所有机架柜信息，主要包括：机架/机位编码、所在机房编号、 分配状态未分配/已分配）、占用状态未占用启占用）、使用类型自用/出租）。c）链路信息，即IDC业务机房/ISP业务节点上联至互联网的业务链路信息，主要包括IDC业务机 房/ISP业务节点出入链路编号、所属IDC业务机房/ISP业务节点编号、网关IP地址、链路带宽、链 路类型、链路接入单位信息。6.1.2基础数据本地管理ISMS应实现基础数据的集中管理，包括基础数据本地存储以及有

17、关数据本地进行增加、删除、修 改等操作的功能。ISMS可支持采用XML或XLS等常见数据格式进行基础数据导入和导出。对于导入的数据，ISMS 应进行本地数据冲突校验，避免因导入数据可能出现的错漏与既有数据产生冲突。6.1.3基础数据上报与核验ISMS应能以 IDC业务机房/ISP业务节点为单位，实现向SMMS上报基础数据的功能。ISMS应具备基础数据信息更新后自动上报的功能，上报方式应为增量上报（即仅将新增或因修改 存在变化的记录内容上报给SMMS ）。ISMS应支持SMMS对上报基础数据信息的校对与核验。对于经SMMS核验有误或存疑的退回记 录，应及时进行补正并重新上报。ISMS应能基于SM

18、MS的基础数据信息查询指令,对本地记录进行检索并上报有关基础数据记录信/息O6.1.4基础数据监测和处置ISMS应能基于通过SMMS核验的基础数据记录，对IDC业务机房/ISP业务节点内的IP地址、域 名等使用方式进行全面的监测，自动实时发现未向SMMS上报的IP地址接入、已向SMMS上报但属 未启用侏分配状态的IP地址接入、已向SMMS上报但应用域名与绑定IP地址不一致的IP地址接入等 异常情况，并形成基础数据监测异常记录。基础数据监测异常记录应包括：发现异常的IP地址、登记使用方式和实际使用方式、异常类型（使 用方式或登记域名异常）、登记域名和实际域名（仅适用于支持域名指向的应用服务）、发

19、现时间/处置 时间、当前状态（已处置或未处置）等监测信息。基础数据监测异常结果应定时向SMMS上报（上报周期为日）对于监测发现的异常情况，如在一 个上报周期内即完成处置（ISMS监测恢复正常），ISMS应基于处置状态的不同生成至少两条独立的记 录并向SMMS上报。如一个上报周期内没有监测到新增的基础数据异常情况,ISMS应按“零报告”要 求上报监测结果（即上报当前监测时段内基础数据异常记录结果为零的报告）ISMS应实现基础数据监测异常记录的本地存储功能，保存时间不少于12个月，并供SMMS查询。6.2访问日志管理6.2.1访问日志记录功能ISMS应基于外部访问用户对IDC/ISP接入互联网业务

20、客户有关应用和服务的访问行为，完整记录 和统计访问信息，形成访问日志。对于可通过传输层协议或应用层协议头信息区分会话特征的数据流量，ISMS应以会话为单位 记录访问日志，记录信息至少应包括源IP、目的IP、源端、目的端、访问时间（起始时间，精确 到秒），属于浏览类协议的访问需留存URL ;对于采用加密方式的会话，记录的访问日志应至少包括源IP、目的IP、源端、目的端口、 访问时间（起始时间，精确到秒）；对于无法通过传输层协议或应用层协议报文头内容区分会话特征的数据流量，ISMS应以数据 流（源IP、目的IP、源端、目的端均相同，速率大于1帧/秒且持续时间大于10秒的数据流量） 为单位记录访问日

21、志，记录信息至少应包括源IP、目的IP、源端、目的端、访问时间（起始时间, 精确到秒）、持续时长（精确到秒）6.2.2日志记录查询方式ISMS应支持SMMS对访问日志记录有关字段内容的精确查询、检索功能。ISMS应支持的访问日志查询方式见下表。其中，属性“M ”为必须支持，“0”为可选支持，“C” 为有条件支持。表1日志留存查询方式注日志留存查询方式 （查询条件）属性日志查询输出要求 （查询结果）单个源I哋址、单个源端、查询时间M6.2.节a）款单个源I哋址、查询时间O6.2.节b）款单个目的I哋址、单个目的端、查询时间M6.2.节c）款单个用户访问URL、查询时间C6.2.节d）款注：查询时

22、间指明确起止时间点的查询时段（单次查询的时间跨度以不大于2小时为宜）；用户访 问URL仅适用于浏览类协议的访问日志；ISMS可选支持其他组合查询条件的查询方式。6.2.3日志记录查询结果a）源IP地址+源端+查询时间依据源IP地址、源端及查询时间，ISMS应至少上报：目的IP地址、目的端、用户访问URL （仅浏览类协议的访问日志）、访问时间。b）源IP地址+查询时间依据源IP地址及查询时间，ISMS应至少上报：目的IP地址、目的端、用户访问URL （仅浏览 类协议的访问日志）、访问时间。c）目的IP地址+目的端+查询时间依据目的IP地址、目的端及查询时间，ISMS应至少上报：源IP地址、源端、

23、用户访问URL （仅浏览类协议的访问日志）、访问时间。d）用户访问URL+查询时间依据用户访问URL （仅浏览类协议的访问日志）及查询时间，ISMS应至少上报：源IP地址、源 端、目的IP地址、目的端、访问时间。6.2.4日志留存时间ISMS所记录访问日志的保存时间应满足国家和行业主管部门所规定的要求。6.3信息安全管理6.3.1活跃资源监测管理ISMS应对IDC业务机房/ISP业务节点有关业务链路上传送的公共信息数据进行全量监测，对通过 IDC/ISP接入的活跃域名、活跃IP、活跃应用等信息进行统计，形成活跃资源监测记录。对于活跃域名监测记录应包括发现的活跃域名、关联IP、首次访问时间、最后

24、访问时间、24小时 累计访问量；对于活跃IP及应用端监测记录应包括发现的活跃IP、应用端、传输层协议类型 （TCP/UDP ）、首次访问时间、最后访问时间、24小时累计访问量。活跃资源监测记录应按日向SMMS上报,ISMS至少应缓存有关监测记录直至完成向SMMS上报。6.3.2违法违规网站管理ISMS应具备通过与IDC/ISP经营单位本地的网站备案记录、违法网站记录等数据进行比对的方式, 自动实现对未备案网站和违法违规网站的监测、处置等功能。ISMS应支持违法网站列表本地管理功能, 并能接收SMMS下发的违法网站、免过滤网站列表（域名、IP形式）。违法违规网站监测记录应包括：违法违规网站的域名

25、、IP、服务内容、违法违规情况（见附表B.6）、 24小时累计访问量、记录时间（最后访问时间）、当前状态（已处置或未处置）、处置人账号。其中， 处置人账号为实施处置操作的用户登录名，如根据SMMS 指令自动处置则记录为“ISMS”，如未处置 则记录为空。违法违规网站监测记录应定时上报给SMMS（上报周期为日）。对于监测发现的违法违规网站，如在 个上报周期内处置状态发生变化，ISMS应基于处置状态生成至少两条独立的记录并向SMMS上报。 如一个上报周期内没有监测到新增的违法违规网站，ISMS应按“零报告”要求上报监测结果（即上报 当前监测时段内违法违规网站监测记录结果为零的报告）。ISMS应实现

26、监测记录的本地存储功能，保存时间不少于12个月，并供SMMS查询。6.3.3违法信息监测和处置ISMS应支持SMMS通过下发违法信息监测/过滤指令的方式，至少实现基于IP地址（使用特定源 /目的IP的数据包或会话）、源启的端（使用特定源启的端的数据包或会话）、传输层协议类型 （TCP/UDP ）、域名（使用特定域名的应用）、URL （使用特定URL所指向的资源）、关键词（页面标 题和正文中含有特定明文关键词的页面）规则的违法信息管理功能。ISMS应能对所有符合违法信息监测规则的TCP和UDP协议流量（包括但不限于流媒体、TFTP、 DNS、Socket代理、即时通信、P2P等类应用）进行监测，

27、应能对所有符合违法信息过滤规则的TCP 和UDP协议流量（包括但不限于流媒体、TFTP、DNS、Socke玳理、即时通信、P2P等类应用）进行 过滤处置。ISMS应确保在信息安全指令管理功能的实现过程中，按照SMMS下发指令的优先级高于ISMS本 地指令、过滤指令的优先级高于监测指令的原则，根据相关指令的优先级实现规则冲突校验和提醒功能。 对于同类指令中规则内容有包含关系的按优先级执行（如域名过滤与该域名下URL过滤指令同时下发 时，优先执行域名过滤指令）。违法信息监测/过滤记录至少包括源/目的IP,源/目的端口、违法信息、采集时间以及触发的指令标 识，对浏览类应用还需记录URL o对于页面标

28、题或正文含有违法信息监测/过滤规则指定关键词的页面，ISMS应在当日的首次监测/ 过滤记录保存相应页面的纯文本页面快照（页面缓存）。ISMS可选支持基于违法信息监测、过滤规则的代理发现功能，并记录代理类型和代理IP。其中， 代理类型宜按照附录B.7的规定进行分类。对于生效的违法信息监测、过滤指令，ISMS至少应缓存有关监测、过滤记录直至完成向SMMS 上报。6.4系统功能管理6.4.1权限管理ISMS应实现对系统管理人员、操作人员、维护人员的身份认证和权限管理，根据不同的角色授予 相应的权限，未经授权的用户不得使用ISMS的相应功能。ISMS应严格限制默认帐号的权限，各帐号应依据最小授权原则授

29、予为完成各自承担任务所需的权 限。ISMS应记录系统登录和操作日志，记录至少应包括：登录操作账号、时间、登录用户IP及操作 内容等。ISMS应对SMMS下发指令及其执行状态进行有效保护，防止受到未授权的干扰与影响，且ISMS 应能根据SMMS下发指令中的可读标记来实现ISMS侧全部用户对特定指令及其执行结果的权限控制。6.4.2运行维护ISMS应实现各子系统、组件程序的集中配置管理，对各系统、服务程序的运行状态进行实时监控， 为系统的正常运行提供保障。ISMS应能对分布于全部IDC业务机房/ISP业务节点的系统设备状态进行 持续监测，并按IDC业务机房/ISP业务节点为单位，向SMMS定期上报

30、系统运行状态监测结果（上报 周期10分钟）。ISMS向SMMS传送有关数据信息所用代码见附录B。ISMS应支持SMMS通过代码表发布指令的方式来实现在用数据代码的更新。7通信接口ISMS应支持ISMI数据通信接，接受SMMS下发的指令，完成基础数据与管理信息上报，并实 现接规范的管理功能。8性能要求&1处理能力ISMS处理能力应不低于所辖IDC业务机房出总带宽/ISP业务节点接入总带宽。ISMS应能对所覆盖的IDC/ISP全部业务链路传送数据报文的关联和线速处理，避免对各类数据报 文造成丢失或较大延迟等影响，并确保与业务链路的增、删、改、扩工程同步。ISMS应能对运行在不同链路上同用户的同应用

31、进行同源同宿处理。ISMS应提供各类记录的快速查询手段，应能在接收SMMS各类查询指令后10min内返回查询结果。ISMS应在基础数据更新后10min内将更新记录上报至SMMS。ISMS基础数据监测异常记录错漏比例应不高于1%。ISMS应及时记录访问日志，应能在访问行为发生后2h内有效查询到相应的访问日志记录，且查 询响应时间不大于10min。访问日志记录错漏比例应不高于1%，访问时间记录误差不大于10sISMS活跃资源监测记录访问量错漏比例应不高于1%。ISMS应及时上报违法信息监测/过滤记录，并在触发指令的访问行为发生10min内上报至SMMS。ISMS支持的违法信息监测/过滤规则总数目至

32、少应达到5万条。ISMS在所覆盖业务链路的峰值流量压力下，按5万条生效的违法信息监测规则（特定域名、特定 URL、特定关键词的规则至少各1万条）对违法信息实施监测的准确率不低于95%、漏判及误判总量 不高于5% ;按5万条生效的违法信息过滤规则（条件同前）对违法信息实施过滤的成功比例不低于95%。ISMS应在各类记录上报lOmin内向SMMS查询数据接收及处理结果,及时解决数据处理过程中产 生的错误和异常，并重新进行数据上报。&2扩展能力ISMS应具备可扩展能力，可根据IDC业务机房/ISP业务节点及有关业务链路的变化及时进行平滑 扩展。&3可靠性ISMS系统可靠性应达到99.9欽以上，即IS

33、MS系统及相关设备年宕机时间累计应不超过0.88小 时。ISMS系统及相关设备运行或发生故障时，均应不影响IDC业务机房/ISP业务节点有关的正常业务 和应用。9安全性要求9.1系统和数据安全ISMS相关操作、管理应提供并启用身份鉴别、标识唯一性检查、鉴别信息复杂度检查、及登录失 败处理功能，保证系统中不存在重复用户身份标识，身份鉴别信息不易被冒用，并根据安全策略对登录 失败可采取结束会话、限制非法登录次数和自动退出等措施。ISMS系统应提供覆盖到每个帐号的安全审计功能，应保证无法删除、修改或覆盖审计记录。ISMS系统及相关设备应采取必要的管理和技术措施确保ISMS本身以及有关数据的安全，防止

34、被 非法访问和使用。ISMS系统的各类数据和日志信息应进行加密存储、传输，并采用消息认证等技术对系统传输数据 进行处理，避免数据在传输过程中被非法截取。ISMS与SMMS通信的双方应利用双向认证等技术，确 保通信双方的正确身份和不可抵赖性。ISMS系统应对用户信息、业务数据等提供严格的本地访问控制机制，确保有关数据的授权访问。 IDC/ISP业务经营者对用户信息、日志信息等负有保密义务，不得违法使用ISMS记录的用户及日志信 /息OISMS系统应对与外部交互数据的格式和内容进行合法性检测和过滤，防范可能利用系统接功能 缺陷的跨站和注入等攻击、入侵。ISMS系统及有关设备应遵循最小服务原则，仅开

35、放必要的主机端，应根据系统安全域防护策略 启用访问控制功能，应在系统管理域边界处对可能的端扫描、强力攻击、木马后门攻击、拒绝服务攻 击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等攻击和入侵事件提供有效的抵御和防范能力。ISMS应提供可靠的系统数据备份与恢复功能。ISMS应参照YD/T 1728-2008及有关标准所确定的3.1级（或以上）安全防护要求进行系统安全设 防。9.2时钟同步ISMS应保持所有服务器的时钟与国家标准时间同步，同步精度为秒，以保证系统时间、数据记录时间的准确性。9.3运行环境ISMS系统及相关设备应部署在安全可靠的运行环境中。附录A(资料性附录)ISMS的实现方式示例A

36、.1系统结构ISMS系统可采用多种方式实现本文档有关功能，图A.1为其中一种可能的实现方式。图A.1所示的实现方式中，ISMS包括控制单元和执行单元两个部分。控制单元负责与SMMS系统 进行通信，接收来自SMMS的管理指令，并根据要求向SMMS上报数据，同时还要实现对本单位各执 行点的执行单元进行集中管理，完成管理指令的调度、转发和执行及数据的汇总、分析和预警。控制单元执行单元(EU)执行单元(EU)信息安全管理接口 (ISMI).(cu)安全监管中心(SMMSIDC/ISP信息安全管理系统(ISMS图A.1系统结构A.2系统功能ISMS的主要功能是接收并执行来自SMMS的指令，并根据指令要求

37、，将指令执行情况及执行过程 中产生的日志记录上报给SMMS。ISMS的控制单元可以同时实现对多个执行单元的管理，并将管理指令分发给执行单元执行；控制 单元还要接收执行单元对指令的执行结果和日志记录，完成所接收数据的汇总和分析。执行单元根据指令要求，实现对IDC/ISP业务的信息安全管理及日志记录等功能，并将结果汇总到 控制单元。A.3控制单元功能A.3.1 数据通信ISMS的控制单元应实现与监管机构SMMS的数据通信功能，接收SMMS下发的指令，并完成向 SMMS的数据上报。A.3.2基础数据管理实现对所有基础数据的集中管理，包括导入、添加、修改、删除和上报基础数据。A.3.3监管功能保存各执

38、行单元上报的监测信息及告警信息，并根据已设置的告警策略向SMMS进行告警。A.3.4权限管理实现对系统管理人员、操作人员、维护人员的身份认证和权限管理，根据不同的角色授予相应的权 限，未经授权的用户不得使用本系统的相应功能。对所有使用本系统的操作进行日志记录。A.3.5运行维护实现各子系统、组件程序的集中配置管理，对各系统、服务程序的运行状态进行实时监控,为系统 的正常运行提供保障。系统应具备可扩展能力，可以自动发现并加载执行单元。A.4执行单元功能A.4.1数据通信接收并执行来自控制单元的管理指令、配置参数及管理策略。监测并上报本执行点的基础数据变更情况。实时将本地的日志数据上报给控制单元进

39、行集中存储和汇总分析，以便控制单元上报给SMMS。A.4.2基础数据采集及管理对本执行点的基础数据进行采集和管理。A.4.3监管功能根据控制单元配置的控制策略，对监测过程中发现的违法信息、违法违规网站进行过滤、告警等操 作，并进行日志记录。维护并保存本地的过滤规则。A.4.4权限管理实现对系统管理人员、操作人员、维护人员的身份认证和权限管理，根据不同的角色授予相应的权 限，未经授权的用户不得使用本系统的相应功能。对所有使用本系统的操作进行日志记录。A.4.5运行维护定时将执行单元的运行状态上报给控制单元，以便控制单元进行设备异常告警和处理。附录B（规范性附录）数据代码表B.1机房性质机房性质见

40、表B.1。表B.1机房性质代码表代码号机房性质1租用2自建999其它B.2单位属性单位属性见表B.2。表B.2单位属性代码表代码单位属性名称1军队2政府机关3事业单位4企业5个人6社会团体999其他B.3证件类型证件类型见表B.3。表B.3证件类型代码表代码证件类型1工商营业执照号码2身份证3组织机构代码证书4事业法人证书5军队代号6社团法人证书7护照8军官证9台胞证999其他B.4接入方式接入方式见表B-4。表B.4接入方式代码表代码接入方式0专线1虚拟主机2主机托管3整机租用999其他B.5服务内容服务内容见表B.5。表B.5服务内容代码表类型序号服务内容名称父类500基础应用/501网络

41、媒体/502电子政务、电子商务/503数字娱乐/504其他/1即时通信5002搜索引擎5003综合门户5004网上邮局5005网络新闻5016博客/个人空间5017网络广告/言息5018单位门户网站5019网络购物50210网上支付50211网上银行50212网上炒股/殳票基金50213网络游戏50314网络音乐50315网络影视50316网络图片50317网络软件/下载50318网上求职50419网上交友/婚介50420网上房产50421网络教育50422网站建设50423WAP50424其他504B.6违法违规情况违法违规情况见表B.6。表B.6违法违规情况表代码违法违规情况备注0正常网站正常网站1未备案经备案查询，相应网站属未备案999其他其他违法违规类型B.7代理类型代理类型见表B.7表B.7代理类型代码表代码号代理类型名称1HTTP代理2FTP代理3Telne代理4SOCKS代理5网页代理6SSL代理7POP3代理8TUNNEL代理9文献代理10SSSO代理11ISA代理12透传代理999其它