1  范围

 本标准规定了智能网在安全等级保护、风险评估、灾难备份及恢复等方面的安全防护要求。

 本标准适用于公用电信增值业务网——智能网。

2  引用标准

    下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准文件。然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。

YD/T 1729-2008   电信网和互联网安全等级保护实施指南

YD/T 1730-2008   电信网和互联网安全风险评估实施指南

YD/T 1731-2008   电信网和互联网灾难备份及恢复实施指南

YD/T 1754-2008   电信网和互联网物理环境安全等级保护要求

YD/T 1756-2008   电信网和互联网管理安全等级保护要求

YDN 048-1997     中国智能网设备业务控制点(SCP)技术规范

YDN 047-1997     中国智能网设备业务交换点(SSP)黔技术规范

YDN 098-1999     中国智能网设备智能外设(IP)技术规范

YDN 049-1 997    中国智能网设备业务管理点（SMP）技术规范

YD/T 1234-2002   900/1800MHz TDMA数字蜂窝移动通信网业务控制点(SCP)设备技术要求（CAMEL2）

YD/T 1425-2005   900/1800MHz TDMA数字蜂窝移动通信网业务控制点(SCP)设备技术要求(CAMEL3)

YD/T 1209-2002   900/1800MHz TDMA数字蜂窝移动通信阚业务交换点(SSP)设备技术要求(CAMEL2)

YD/T 1424.1-2005 900/1800MHz TDMA数字蜂窝移动通信网业务交换点(SSP)设备技术要求(CAMEL3)第1部分：电路域(CS)

YD/T 1424.2-2005 900/1800MHz TDMA数字蜂窝移动通信网业务换点(SSP)设备技术要求(CAMEL3)第2部分}分组域(PS)

YD/T 1427-2005   900/1800MHz TDMA数字蜂窝移动通信网智能外设(IP)设备技术要求(CAMEL3)

YD/T 1426-2005   900/1800MHz TDMA数字蜂窝移动通信网业务管理点(SMP)设备技术要求(CAMEL3)

YD/T 1232-2002   800MHz CDMA数字蜂窝移动通信网无线智能网(WIN)阶段1：业务控制点(SCP)设备技术要求

YD/T 1333-2004   800MHz CDMA数字蜂窝移动通信网无线智能网(WIN)阶段2：业务控制点(SCP)设备技术要求

YD/T 1223-2002  800MHz CDMA数字蜂窝移动通信网无线智能网(WIN)阶段1：业务控制点(SSP)设备技术要求

YD/T 1334-2004  800MHz CDMA数字蜂窝移动通信网无线智能网(WIN)阶段2：智能外设(IP)设备技术要求

YD/T 1332-2004 800MHz CDMA数字蜂窝移动通信网无线智能网(WIN)阶段2:业务管理点(SMP)设备技术要求

3  术语和定义

 下列术语和定义适用于本标准。

3.1

    智能网安全等级Security Classification of Transport Network

    智能网安全重要程度的表征。重要程度可从智能网受到破坏后，对国家安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。

3.2 

    智能网安全等级保护Classified Security Protection of Intelligent Network

    对智能网分等级实施安全保护。

3.3

 组织Organization

 组织是由不同作用的个体为实施共同的业务目标而建立的结构，组织的特性在于为完成目标而分工、合作。一个单位是一个组织，某个业务部门也可以是一个组织。

3.4

    智能网安全风险Security Risk of Intelligent Network

    人为或自然的威胁可能利用智能网中存在的脆弱性导致安全事件的发生及其对组织造成的影响。

3.5

    智能网安全风险评估Security Risk Assessment of Intelligent Network

    指运用科学的方法和手段，系统地分析智能网所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害，进一步提出有针对性的防护对策和安全措施，防范和化解智能网安全风险，将风险控制在可接受的水平，为最大限度地保障智能网的安全提供科学依据。

3.6

    智能网资产Asset of Intelligent Network

    智能网中具有价值的资源，是安全防护保护的对象。智能网中的资产可能是以多种形式存在，无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线路、数据、软件、文档、规程、业务、人员、管理等各种类型的资源，如基于某个智能网系统的预付费业务。SCP设备，智能冈机房管理规定等。

3.7

    智能网资产价值Asset Value of Intelligent Network

    智能网中资产的重要程度成敏感程度，资产价值是资产的属性，也是进行资产识别的主要内容。

3.8

    智能网威胁Threat of Intelligent Network

    可能导致对智能网产生危害的不希望事件的潜在起因。它可能是人为的，也可能是非人为的；可能是无意失误，也可能是恶意攻击。常见的有设备节点失效、火灾、水灾等。

3.9

    智能网脆弱性Vulnerability of Intelligent Network

    脆弱性是智能网中存在的弱点、缺陷与不足，不直接对资产造成危害，但可能被威胁所利用从而危及资产的安全。

3.10

    智能网灾难Disaster of Intelligent Network

    由于各种原因，造成智能网故障或瘫痪，使智能网支持的业务功能停顿或服务水平不可接受，达到特定的时间的突发性事件。

3.11

    智能网灾难备份Backup for Disaster Recovery of Intelligent Network

    为了智能网灾难恢复而对相关网络要素进行备份的过程。

3.12

    智能网灾难恢复Disaster Recovery of Intelligent Network

    为了将智能网从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。

4  缩略语

    下列缩略语适用于本标准。

    CDMA    Code Division Multiple Access        码分多址

    GSM      Global System for Mobile Communication 全球移动通信系统

    IP      Intelligent。Peripheral              智能外设

    SCP     Service Control Point                 业务控制点

    SDP     Service Data Point                    业务数据点

    SNIP    Service Management Point              业务管理点

    SSP     Service Switch Point                  业务交换点

    VC      Voucher Center                       充值中心

    VPN     Virtual Private Network               虚拟专用网

5  智能网系统安全防护概述

5.1智能网安全防护范围

    智能网是指在原有电信交换网络基础上，为快速提供新的电信业务而叠加的网络。智能网包括业务控制点(SCP)设备、业务交换点(SSP)设备、业务管理点(SMP)设备、智能外设(IP)设备、业务数据点(SDP)设备和充值中心(VC)，其中SCP实现业务的集中控制。SSP实现业务触发，SMP实现业务管理，IP实现自动语音播放与采集，SDP实现智能业务数据集中放置。VC是智能业务的充值中心。

    本标准中的“智能网系统”指基于以上设备及设备之间的网络组成的智能网系统，根据所依附的网络可以分为固定智能网、GSM智能网和CDMA智能网，根据覆盖范围可以分为本地智能网、全省智能网和全国智能网。

5.2  智能网安全防护内容

    根据电信网和互联网安全防护体系的要求，将智能网安全防护内容分为安全等级保护、安全风险评估、灾难备份及恢复3个部分。

    智能网安全等级保护主要包括定级对象和安全等级确定、业务安全、网络安全、设备安全、物理环境安全、管理安全等；

安全风险评估主要包括资产识别、脆弱性识别、威胁识别、已有安全措施的确认、安全风险分析、安全风险评估文件处理等。本标准仅对智能网进行资产分析、脆弱性分析和威胁分析，在智能网安全风险评估过程中确定各个资产、脆弱性、威胁的具体值。资产、脆弱性、威胁的赋值方法及资产价值、风险值的计算方法参见YD/T 1730-2008《电信网和互联网安全风险评估实施指南》；

智能网灾难备份及恢复主要包括灾难备份及恢复等级确定、针对灾难备份及恢复各资源要素的具体实施等。

6  智能网定级对象和安全等级确定

 根据智能网业务对公众利益的影响程度、所提供服务的重要性及服务用户数的多少几个关键因素，我国智能网可以分为全国智能网、省内智能网和本地智能网，网络和业务运营商应根据YD/T 1729-2008《电信网和互联网安全等级保护实施指南》中确定网络安全等级的方法，根据网络的具体情况，对整个智能网系统进行定级，权重α、β、γ可根据具体网络情况进行调节。

7  智能网资产、脆弱性、威胁风险分析

7.1  资产分析

智能网安全风险评估的资产至少应包括设备硬件、设备软件、重要数据、提供的服务、文档、人员等，见表1。

表1 资产列表

 

7.2  脆弱性分析

    智能网的脆弱性可以从技术脆弱性和管理脆弱性两个方面考虑，脆弱性识别对象应以资产为核心，

部分脆弱性识别内容见表2。