中国电信德阳分公司市场部 信息安全竞赛题库信息安全竞赛题库 1 中国电信四川公司重大网络与信息安全事件管理办法 中的网络与信息安全管理对应的各类业务和平台包括 自营和合作类业务 直接接入网站 ISP 商接入网站 各类支撑系统 业务平台 通信系统 自营或合作类网站 2 重大网络与信息安全事件发生后 责任单位是第一责任人 3 重大网络与信息安全事件管控 核心和重点在于风险的预防和管控 4 对造成网络与信息安全重大事件的相关责任单位 及其领导班子 主要责任人予以考核问责 主要依据事件的 情节轻重和造成的影响 5 对造成网络与信息安全重大事件的相关责任单位 及其领导班子 主要责任人的考核处置方式包括绩效扣分 通报批评 取消评优评先资格 直至问责 6 网络信息安全管理管理体系分为决策层 管理层和执行层 7 安全策略体系的建设工作是以动态管理和闭环管理为方法 并是一个持续完善的过程 8 互联网安全角色设置中主要角色包括安全管理角色 安全预警 统计分析角色 安全事件处理角色 日常安全维 护角色 9 各安全域维护单位必须明确服务安排 服务定义和服务管理的各方面内容 并对第三方服务过程进行监督和评 审 确保网络安全事件和问题得到恰当的处理 10 访问控制是指基于业务的安全需求对系统和数据的访问进行控制 11 访问控制包括限制访问权限与能力 限制进入物理区域 限制使用网络与信息处理系统及存储数据 具体包括 账号口令管理 网络访问控制 操作系统和应用系统的访问控制 远程访问控制 12 网络与系统风险评估要求各安全域维护单位应建立风险评估管理办法 定期对所辖定级网络与系统进行风险评 估 形成风险评估报告 13 安全事件与应急响应要求各安全域维护单位必须遵循并贯彻 积极预防 及时发现 快速响应 确保恢复 的 方针 建立安全事件报告机制及应急响应机制 14 安全审计管理明确安全审计的范围应该包括各类网络与系统 业务平台与信息资产 组织与人员 业务流程等 15 安全审计应作为安全日常工作的一部分定期开展 16 安全事件就来源不同可分为外部发现和内部发现两类 17 网络信息安全指通过采取必要的措施 防范对网络攻击 入侵 干扰 破坏和非法使用以及意外事故 使网络 处于稳定可靠运行的状态 以及保障网络存储 传输 处理信息的完整性 保密性 可用性的能力 18 信息安全指在中国电信范围内 采取有效使网络数据与网络信息不受偶然或恶意的威胁 保障网络数据与网络 信息的完整性 保密性 可用性以及合法合规性的能力 在发生信息安全事件时 能够最大程度降低信息安全事件 所造成的影响 19 信息安全基础管理原则包括一把手责任制和分级管理 20 信息安全管理办法按照 谁主管谁负责 谁运营谁负责 谁使用谁负责 原则 对责任单位划分为统筹管理部 门 归口管理部门 业务运营管理部门 支撑管理部门四类 21 网络数据和信息保存 提取 使用中 明确了必须遵守 合法 正当 必要 的原则 22 责任单位必须对访问 提取使用 传递 消除等操作定期进行审计 履行信息安全管理责任 23 合作方可以访问或使用的中国电信内部网络数据与网络信息 由责任单位承担管理和安全防护责任 24 信息安全事件按照影响程度分为特大 重大 一般信息安全事件 25 发生信息安全事件时 要按照要求立即进行上报并组织开展处置 其中特大和重大事件 10 分钟内上报省公司 处置情况 20 分钟内简要报送 24 小时内简要书面报告 4 个工作日内专题报告 26 未实现电子化管理的用户信息资料必须落实到具体的使用人员 以权限最小化的原则进行查阅 使用和销毁 27 所有涉及用户信息保护的人员签订保密协议 涉及用户信息查阅的支撑账号按季度定期审计 28 互联网新技术 新业务信息安全评估指运用科学的方法和手段 系统地识别互联网业务经营过程中存在的信息 安全风险 评估风险导致的信息安全事件一旦发生可能造成危害程度 进而提出综合性和可操作性的预防信息安全 事件发生的管理对策和安全措施 29 双新业务评估的对象包括基础电信企业及增值电信企业运营的互联网业务 以及可能被不法分子利用实施通讯 信息诈骗的电信业务 30 重点存量业务未经安全评估 业务部门必须立即停止发展 中国电信德阳分公司市场部 31 双新业务评估工作要求必须梳理两张清单 不得漏报 包括市州公司的全量业务清单和当年需要开展安全评估 的业务清单 32 已上线业务每6个月将由安全评估牵头管理部门组织对业务是否符合评估启动条件进行核查 并留存核查记录 33 互联网接入服务是指通过IDC 专线等方式接入电信网络资源 为用户提供的互联网接入服务 34 互联网接入服务信息安全管理同时须根据 谁接入谁负责 谁主管谁负责 谁运营谁负责 的信息安全管理总 体原则 35 网站接入单位对用户开办的经营性网站 应该严格审核其增值电信业务经营许可证 36 网站备案管理应该严格遵循 先备案后接入 原则 37 备案系统信息同客户实际接入情况须完全相符 如有变动须调整同步 38 垃圾短信的治理原则包括 综合风险防范 果断严厉处置 归口牵头 协同合作 各施其职 瞻前顾后 风 险比对 39 短信端口必须报备报批 建立内容审核 先审后发 机制和短信发送审批机制 行业短信必须在合同中明确垃 圾短信治理责任 40 严禁使用自有端口向客户发送非电信服务和业务短信 41 对垃圾短信实施按日监控 按周统计 按月分析 并对投诉突增情况核查原因 及时发布预警信息 42 大数据对外合作业务是指 对非四川电信机构开发和销售的大数据产品或服务 43 与他人开展大数据分析技术合作时 未经用户同意 原始数据不得离开本单位所有或运营的系统平台 44 大数据产品不经过企业信息化部和网络安全管理部的安全评估不得上线上市 45 中国电信四川公司 IDC ISP 信息安全管理系统维护管理工作采取业务与应用统领 省市两级管理和维护的组织架 构 46 行业卡按照 谁发卡谁负责 原则 严禁出现二次销售和违规使用 47 要加强渠道管理 渠道需签订实名制责任承诺书 对出现不登记 虚假登记 批量开卡 养卡 等 立即取消 代理资格 纳入渠道黑名单并从严追究责任 48 可能产生通讯信息诈骗的风险业务包括语音专线 400 一号通 商务总机等 49 对于外呼类业务必须报省公司审批 合同明确外呼号码或号段以及外呼用途 相应号码必须是属于我公司实际 开通 属我公司分配的号码或号段 50 按照舆情的影响范围和程度 一般将舆情分为高危舆情 重大舆情和一般舆情 51 用户名的长度应该大于等于4 个字符 密码的长度应该大于等于8 个字符 52 密码应至少包含下面四类字符中的三类 大写英文字母 小写英文字母 0 9 基本数字 键盘上的特殊字符 53 不应用与本人相关的姓名 生日 电话 门牌号等信息作为密码 不应选取常见的英文单词或汉语拼音作为密 码 54 密码必须至少每三个月更换一次 且新口令不能与前四次设置的口令重复 55 工作中的账号密码不要与本人其他账号密码相同 尽量做到不同用途使用不同密码 56 公共场合连接 wifi 时请仔细确认 WiFi 名称 没有密码的公共wifi 请慎用 57 在使用支付 APP 时请使用运营商 4G 网络 不要使用公共wifi 58 办公网架构无线路由器是需要公司批准并进行安全检查的 59 Wifi 认证方式使用安全的WPA2算法 Wifi 密码符合中国电信密码要求 60 建议不要使用 wifi 万能钥匙 APP 61 实现弱口令的源头治理需要完善网络安全组织架构 落实责任 加强人员安全意识教育 62 账号密码的保存必须启用账号密码管理工具加密保存个人账号密码 63 条件支持的情况下建设4A 实现账号密码的集中管理 64 网络安全需要各单位做到守土有责 守土尽责 65 工作群聊需要谨慎信息传递 做到私密信息私下传 66 敏感资料不要大面积乱发 扩散范围要根据资料信息属性进行确定 67 外部打印要留心端口的安全性 U 盘文件要提前备份 以防中毒 68 共享目录为我们提供了工作便利 但切记不可上传敏感信息 69 开机锁屏必须设置密码 SIM 卡需设置 PIN 码 70 系统应用需要及时进行升级 密码设置应该定时更新强化 中国电信德阳分公司市场部 71 不要扫描无法确定安全性的二维码或点击来路不明的短信链接 72 手机应用应通过官方应用商城进行下载安装 对于应用的后台权限要谨慎选择 73 对手机进行报废丢弃前应该对其进行格式化 74 手机失窃应该立即补卡 同时及时修改银行卡等重要账户的密码信息 75 凡是自称公检法要求汇款的 要高度警惕是否是网络诈骗 76 凡是通知中奖 领取补贴要你先交钱的 要高度警惕是否是网络诈骗 77 凡是在电话中索要个人和银行卡信息的 要高度警惕是否是网络诈骗 78 凡是陌生网站或链接要登记银行卡信息的 要高度警惕是否是网络诈骗 79 计算机病毒是指程序或可执行代码 可通过复制自身来进行传播 会影响电脑的正常运行 80 蠕虫可通过 USB 设备或电子邮件附件等进行传播 会影响邮件收发 81 木马不会自我繁殖 也不会刻意 感染 其他文件 但会使电脑失去防护 易于被黑客控制 82 间谍软件是指未经你的同意而偷偷安装在你的电脑上 不断将你的信息反馈给控制该软件的人 83 垃圾邮件可以被用来发送不同类型的恶意软件 也可能对邮件服务器造成不良影响 84 网络钓鱼通过假冒的电子邮件和伪造的Web站点来进行诈骗活动 受骗者往往会泄露重要私人资料 85 网址嫁接是一种形式更加复杂的网络钓鱼 利用DNS 系统 建立以假乱真的假网站 套取受骗者的信息 86 键盘记录器可以记录用户在键盘上的操作 黑客可以搜寻特定信息 比如账号密码等 87 不准将系统设计文档 网络拓扑等敏感作息存放于服务器上 88 不准允许来路不明的人员远程控制公司内各类设备或执行其告知的各项指令 89 不准将网站或系统源代码上传至互联网上 90 不准未经审批开通内部系统的互联网出口 91 不准设置公司内业务系统为自动登录 92 不准在互联网上的外部网站或应用 如论谈 微博 即时通信软件等 上使用与公司设备 系统上相同的账号 或口令 93 社会工程学攻击手段在英美普通法系中 这一行为一般是被认作侵犯隐私权的 94 在计算机科学中 社会工程学指的是通过与他人的合法地交流 来使其心理受到影响 做出某些动作或者是透 露一些机密信息的方式 95 社会工程学攻击手段不是科学 因为它不是总能重复和成功 而且在信息充分多的情况下 会自动失效 96 所有社会工程学攻击都建立在使人决断产生认知偏差的基础上 有时候这些偏差被称为 人类硬件漏洞 97 假托 pretexting 是一种制造虚假情形 以迫使针对受害人吐露平时不愿泄露的信息的手段 98 尾随通常是指尾随者利用另一合法受权者的识别机制 通过某些检查点 进入一个限制区域 99 在某些情况下 攻击者冒充来自于微软等公司的技术支持团队 回应你的一个解决技术问题的请求 尽管你从 没寻求过这样的帮助 但你会因为自己正在使用微软产品并存在技术问题而尝试点击邮件中的链接享用这样的 免 费服务 100 信息是预防社会工程攻击的最有力的工具 101 电信业务经营者 互联网服务提供者应当依照法律 行政法规规定 落实网络安全 信息内容监督制度和 安全技术防范措施 防止含有恐怖主义 极端主义内容的信息传播 发现含有恐怖主义 极端主义内容的信息的 应当立即 ACD 并向公安机关或者有关部门报告 102 A 停止传输B 删除相关记录C 保存相关记录D 删除相关信息