YD/T 1752-2020 标准解读

一、标准适用场景与实施阶段

• 本标准适用于电信支撑网中计费系统、营业系统、网管系统、客户关系管理系统、资源管理系统等核心业务系统的安全防护建设与验收。
• 实施阶段涵盖系统新建、重大升级、安全改造及等保三级以上系统复测四个关键环节。
• 验收阶段限定于系统上线前最终验收（UAT验收后）、年度安全评估、重大漏洞修复后复验三个节点。

二、现场实操合规规范

• 身份认证须采用双因子机制，口令复杂度要求长度≥12位，含大小写字母、数字、特殊符号，登录失败锁定阈值≤5次，会话超时≤15分钟。
• 数据库访问权限实施最小化原则，仅开放必要端口（如Oracle 1521、MySQL 3306），禁止使用默认账户，数据库审计日志保留周期≥180天。
• 防火墙策略需按区域隔离部署，管理区与业务区之间必须部署双向ACL，禁止ICMP通透，端口开放清单须经安全审计确认并存档。
• 日志采集系统需部署于独立安全域，日志传输采用TLS 1.2以上加密，采集频率≤5分钟，日志完整性校验采用SHA-256哈希值比对。
• 系统补丁更新须在非业务高峰时段执行，验证周期≥72小时，补丁回滚方案须提前通过测试并备案。
• 物理机房出入实行双人双卡准入，门禁日志留存≥365天，服务器机柜加装温湿度传感器，温度阈值控制在18℃–27℃，湿度控制在40%–60%。

三、成果验收核验标准

1. 分项核验：由第三方检测机构按上述表格逐项执行，每项独立评分，单项不合格即终止整体验收。
2. 整体验收：所有分项合格后，由建设单位、运维单位、安全监管单位三方签署《支撑网安全防护验收确认书》，验收报告需加盖公章并归档。

四、实操常见问题与质控方案

• 问题1：双因子认证未覆盖运维跳板机，存在单因子登录风险。质控方案：部署统一身份认证平台（IAM），强制所有跳板机接入LDAP+动态令牌，配置策略自动阻断非认证登录请求。
• 问题2：数据库审计日志缺失操作人IP信息。质控方案：启用数据库审计引擎的完整会话追踪功能，确保每条日志包含用户ID、源IP、操作时间、SQL语句四要素，缺失字段视为无效日志。
• 问题3：防火墙策略存在冗余开放端口。质控方案：采用端口扫描工具（如Nmap）每月自动扫描，比对策略清单，差异项自动触发工单，72小时内完成闭环整改。
• 问题4：日志传输未启用完整性校验。质控方案：部署日志完整性监控代理，每小时生成哈希摘要并推送至独立校验服务器，异常告警阈值设为0.1%偏差率。
• 问题5：补丁更新未执行预演测试。质控方案：建立补丁沙箱环境，所有补丁须在与生产环境同构的测试平台验证≥3轮，测试报告经安全委员会签字后方可上线。
• 问题6：物理机房门禁日志缺失操作人身份绑定。质控方案：门禁卡与员工工号绑定，系统自动关联视频监控帧，异常出入行为触发实时告警并留存视频证据。

所有整改项须在验收前15日完成闭环，整改记录需提供原始日志、截图、系统配置导出文件作为佐证材料，缺一不可。