ICS 35.020 L 07 MH 中华人民共和国民用航空行业标准 MH/T 0040—2012 民用运输航空公司网络与信息系统风险评 估规范 Specification for airlines network and inform ation system security risk assessment 2012-11-29 发布 2013-03-01 实施 中国民用航空局 发布 MH/T 0040— 2012 I 目 次 前言 ................................................................................ II 1 范围 .............................................................................. 1 2 规范性引用文件 ...................................................... .............. 1 3 术语和定义 ........................................................ ................ 1 4 总则 .............................................................................. 1 5 风险评估的实施 ...................................................... .............. 2 附录 A（资料 性附录） 调查表................................................. ......... 6 附录 B（资料 性附录） 安全技术脆弱性核查表 .......................................... .1 3 附录 C（资料 性附录） 安全管理脆弱性核查表 .......................................... .2 4 附录 D（资料 性附录） 风险评估与处理表 ............................................... 32 MHMH/T 0040 —2012 II 前 言 本标准按照GB/T 1.1给出的规则起草。 本标准由中国民用航空局人事科教司提出。 本标准由中国民用航空局航空器适航审定司批准立项。 本标准由中国民航科学技术研究院归口。 本标准起草单位：中国民用航空华东地区管理局、上海吉祥航空股份有限公司。 本标准主要起草人：关英儒、朱青蓝、程伟光、李华。 MH/T 0040— 2012 1 民用运输航空公司网络与信息系统风险评估规范 1 范围 本标准规定了民用运输航空公司网络和信息系统风险评估实施的过程和方法。 本标准适用于民用运输航空公司网络与信息系统风险评估的组织、实施、验收等工作。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 20984 信息安全技术 信息安全风险评估规范 3 术语和定义 GB/T 20984中确立的术语和定义适用于本标准。 4 总则 4.1 民用运输航空公司信息系统（以下简称信息系统）是民用运输航空公司使用的由计算机、软件及 其相关设备、设施(含网络)构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、 检索等处理的人机系统。主要包括： ——计算机网络系统； ——航务类信息系统，即以航班生产保障为核心的航班运行控制系统、飞行员网上准备系统、乘务 员网上准备系统、飞行员排班系统、乘务员排班系统、航班信息显示系统、地面保障系统等； ——机务类信息系统，即以飞机维修管理的自动化、规范化、信息化和数字化化为核心的机务维修 管理系统； ——商务类信息系统，即以营销为核心的订座系统、离港系统、电子商务网站、常旅客系统、收益 分析系统、货运系统等； ——通用管理类信息系统，即以办公自动化为核心的电子政务系统、合同管理系统、财务系统、资 产管理系统等。 4.2 应按照 GB/T 20984 中规定的评估流程进行评估。 4.3 应以民用运输航空公司信息系统和支撑航空公司关键业务的基础网络和业务网络作为风险评估的 重点。 4.4 应确保风险评估过程中民用运输航空公司信息系统和相关数据的保密性。 4.5 风险评估过程应包括： ——评估准备； ——风险要素识别； ——风险分析； MHMH/T 0040 —2012 2 ——风险处置。 4.6 风险评估形式应采用自评估方式和检查评估方式。自评估应由民用运输航空公司自主实施，检查 评估应由国家或行业授权的相关机构实施。 5 风险评估的实施 5.1 准备阶段 5.1.1 确定评估范围，包括： ——信息系统的业务逻辑边界； ——网络及设备载体边界； ——物理环境边界； ——信息系统组织管理权限和边界。 5.1.2 组建评估团队，包括： ——评估机构成员； ——民用运输航空公司信息部门人员； ——民用运输航空公司业务部门人员。 5.1.3 进行系统调研，包括： ——信息系统的安全保护等级； ——信息系统的业务功能和要求； ——信息系统的网络结构与网络环境； ——信息系统的物理环境边界； ——信息系统的组织管理权限边界； ——信息系统的主要的硬件、软件、数据； ——信息系统的信息、系统和数据的敏感性； ——信息系统的技术支持人员和用户； ——信息系统的信息安全管理组织建设和人员配备情况； ——信息系统的信息安全管理制度； ——信息系统的服务合同。 5.1.4 确定评估依据，包括： ——国家及行业信息安全规章和制度； ——国家及行业标准； ——民用运输航空公司的信息安全制度； ——信息系统的性能指标。 5.1.5 确定评估工具，评估工具应为通过国家信息安全认证的产品。 5.1.6 制定评估方案，包括： ——风险评估工作框架； ——评估团队组织； ——评估计划； ——风险规避方案； ——进度安排； ——验收方式。 5.1.7 评估方案应通过批准。 MH/T 0040— 2012 3 5.2 识别阶段 5.2.1 资产识别，包括： a) 资产分类。包括： 1) 硬件； 2) 软件； 3) 数据； 4) 服务； 5) 人员； 6) 其他； b) 资产调查。确定被评估民用运输航空公司的信息资产和信息系统，信息系统的业务类型，具体 业务功能和业务处理流程，安全产品和人员情况，如实填写信息系统调查表、网络调查表、主机调查表、资产调查表、人员调查表、安全产品调查表，参见附录 A； c) 资产赋值，即参考资产所承载的信息系统的重要性、安全等级，资产对信息安全和系统运行的重要程度，保密性、完整性、可用性等安全属性对信息系统和业务的重要程度确定资产价值； d) 资产赋值报告编写，包括： 1) 关键资产的资产名称、类别和说明； 2) 关键资产的保密性赋值、完整性赋值、可用性赋值； 3) 关键资产的价值； 4) 所承载的信息系统名称； 5) 资产价值的计算方法。 5.2.2 威胁识别，包括： a) 威胁分类，应按照 GB/T 20984 的威胁分类方法进行分类； b) 威胁调查并填写威胁调查表，参见附录 A。包括： 1) 威胁源动机及其能力； 2) 威胁途径； 3) 威胁可能性及其影响； c) 威胁分析，包括： 1) 威胁发生的可能性识别； 2) 威胁影响识别； 3) 威胁值的计算方法； 4) 威胁值严重程度计算； d) 威胁分析报告编写，包括： 1) 威胁名称； 2) 威胁类型； 3) 威胁源攻击能力； 4) 攻击动机； 5) 威胁发生概率； 6) 影响程度； 7) 威胁的严重程度； 8) 威胁严重程度的计算方法； 9) 威胁说明。 5.2.3 脆弱性识别，包括： MHMH/T 0040 —2012 4 a) 安全技术脆弱性核查，包括： 1) 核查物理环境安全并填写物理安全核查表，参见附录 B； 2) 核查网络安全并填写网络安全核查表，网络安全核查表参见附录 B； 3) 核查主机系统安全并填写主机系统安全核查表，参见附录 B； 4) 核查应用系统安全并填写应用系统安全核查表，参见附录 B； 5) 核查数据安全并填写数据安全核查表，参见附录 B； b) 核查安全管理脆弱性。包括： 1) 核查安全管理机构填写安全管理机构核查表，参见附录 C； 2) 核查安全管理策略并填写安全管理策略核查表，参见附录 C； 3) 核查安全管理制度并填写安全管理制度核查表，参见附录 C； 4) 核查人员安全管理情况并填写人员安全管理核查表，参见附录 C； 5) 核查系统运维管理情况并填写系统运维管理核查表，参见附录 C； c) 脆弱性分析报告编写，包括： 1) 资产的脆弱性； 2) 脆弱性的特征及其赋值； 3) 脆弱性严重程度的计算方法； 4) 已有控制措施的确认； 5) 脆弱性说明； d) 扫描评估，包括： 1) 采用网络扫