资源描述
在此处键入ICS 0 1.0 4 0.3 5CCS L 0 95301昆 明 市 地 方 标 准D B 5 3 0 1/T 7 5 2 0 2 2城 市 轨 道 交 通 信 息 系 统 安 全 管 理 规 范2 0 2 2-0 5-1 5 发 布 2 0 2 2-0 6-1 5 实 施昆 明 市 市 场 监 督 管 理 局 发 布D B 5 3 0 1/T 7 5 2 0 2 2I目 次前 言.I I I1 范 围.12 规 范 性 引 用 文 件.13 术 语 和 定 义.14 缩 略 语.15 总 体 要 求.25.1 基 本 原 则.25.2 定 级 与 保 护.25.3 密 码 应 用.26 重 要 信 息 基 础 设 施.26.1 识 别 认 定.26.2 保 护 要 求.37 管 理 要 求.37.1 措 施.37.2 制 度.37.3 机 构 和 人 员.47.4 资 产 管 理.47.5 评 审.48 安 全 要 求.48.1 安 全 建 设.48.3 安 全 运 维.58.4 风 险 评 估.58.5 安 全 测 评.58.6 数 据 保 护.58.7 个 人 信 息 保 护.58.8 信 息 发 布.59 网 络 与 信 息 安 全 事 件.69.1 分 类.69.2 分 级.69.3 应 急 管 理.69.4 监 测 与 预 警.69.5 应 急 响 应.69.6 处 置 与 恢 复.69.7 应 急 演 练.6附 录 A（资 料 性）主 要 生 产 系 统 安 全 保 护 要 求.7D B 5 3 0 1/T 7 5 2 0 2 2I I参 考 文 献.8D B 5 3 0 1/T 7 5 2 0 2 2I I I前 言本 文 件 按 照 G B/T 1.1 2 0 2 0 标 准 化 工 作 导 则 第 1 部 分：标 准 化 文 件 的 结 构 和 起 草 规 则 的 规 定 起草。请 注 意 本 文 件 的 某 些 内 容 可 能 涉 及 专 利。本 文 件 的 发 布 机 构 不 承 担 识 别 专 利 的 责 任。本 文 件 由 昆 明 市 交 通 运 输 局 提 出 并 归 口。本 文 件 起 草 单 位：昆 明 地 铁 运 营 有 限 公 司、云 南 京 建 轨 道 交 通 投 资 建 设 有 限 公 司、北 京 天 融 信 网 络安 全 技 术 有 限 公 司。本 文 件 主 要 起 草 人：孟 帅、赵 磊、刘 春 宏、赵 佳 佳、丁 琴、李 韬、王 磊、陆 阳、李 俊、胡 凤 玲。D B 5 3 0 1/T 7 5 2 0 2 21城 市 轨 道 交 通 信 息 系 统 安 全 管 理 规 范1 范 围本 文 件 对 城 市 轨 道 交 通 运 营 企 业（以 下 简 称“运 营 企 业”）信 息 系 统 的 网 络 与 信 息 安 全 的 总 体 要 求、重 要 信 息 基 础 设 施、管 理 要 求、安 全 要 求、网 络 与 信 息 安 全 事 件 等 做 出 了 规 定。本 文 件 适 用 于 运 营 企 业 信 息 系 统 的 网 络 与 信 息 安 全 保 护，也 可 作 为 组 织 开 展 信 息 系 统 网 络 与 信 息 安全 建 设 时 的 依 据。2 规 范 性 引 用 文 件下 列 文 件 中 的 内 容 通 过 文 中 的 规 范 性 引 用 而 构 成 本 文 件 必 不 可 少 的 条 款。其 中，注 日 期 的 引 用 文 件，仅 该 日 期 对 应 的 版 本 适 用 于 本 文 件；不 注 日 期 的 引 用 文 件，其 最 新 版 本（包 括 所 有 的 修 改 单）适 用 于 本文 件。G B/T 2 0 9 8 4 信 息 安 全 技 术 信 息 安 全 风 险 评 估 规 范G B/Z 2 0 9 8 6 信 息 安 全 技 术 信 息 安 全 事 件 分 类 分 级 指 南G B/T 2 2 0 8 0 信 息 技 术 安 全 技 术 信 息 安 全 管 理 体 系 要 求G B/T 2 2 2 3 9 信 息 安 全 技 术 网 络 安 全 等 级 保 护 基 本 要 求G B/T 2 2 2 4 0 信 息 安 全 技 术 网 络 安 全 等 级 保 护 定 级 指 南G B/T 2 5 0 5 8 信 息 安 全 技 术 网 络 安 全 等 级 保 护 实 施 指 南G B/T 2 5 0 6 9 信 息 安 全 技 术 术 语G B/T 2 5 0 7 0 信 息 安 全 技 术 网 络 安 全 等 级 保 护 安 全 设 计 技 术 要 求G B/T 3 6 6 2 6 信 息 安 全 技 术 信 息 系 统 安 全 运 维 管 理 指 南G B/T 3 9 7 8 6 信 息 安 全 技 术 信 息 系 统 密 码 应 用 基 本 要 求D B 5 3 0 1/T 4 0 城 市 轨 道 交 通 运 营 企 业 安 全 管 理 规 范3 术 语 和 定 义G B/T 2 5 0 6 9 中 界 定 的 以 及 下 列 术 语 和 定 义 适 用 于 本 文 件。3.1安 全 生 产 网用 于 承 载 运 营 企 业 安 全 生 产 及 管 控、运 输 指 挥、应 急 指 挥 调 度 业 务 相 关 系 统 数 据 通 信 及 数 据 共 享 的计 算 机 网 络。部 署 如 自 动 化 过 程 控 制 执 行 系 统、协 调 调 度 类 业 务 系 统 与 行 车 相 关 的 业 务 系 统。3.2内 部 管 理 网用 于 承 载 运 营 企 业 管 理、运 营 管 理、建 设 管 理、资 源 管 理 以 及 日 常 办 公 等 企 业 信 息 化 相 关 业 务 系 统数 据 通 信 及 数 据 共 享 的 计 算 机 网 络。部 署 如 人 力 资 源 管 理、资 产 管 理、财 务 管 理、协 同 办 公 等 企 业 管 理信 息 系 统 以 及 建 设 管 理、安 全 管 理、施 工 管 理、保 护 区 管 理 等 生 产 管 理 信 息 系 统。4 缩 略 语D B 5 3 0 1/T 7 5 2 0 2 22下 列 缩 略 语 适 用 于 本 文 件A C C：自 动 售 检 票 系 统 的 清 分 中 心（A F C C l e a r i n g C e n t e r）A F C：自 动 售 检 票 系 统（A u t o m a t i c F a r e C o l l e c t i o n）A T S：列 车 自 动 监 控(A u t o m a t i c T r a i n S u p e r v i s i o n)C B I：计 算 机 连 锁(C o m p u t e r B a s e d I n t e r l o c k)D C S：数 据 通 信 系 统(D a t a C o m m u n i c a t i o n S y s t e m)P S C A D A：电 力 监 控 系 统（P o w e r S C A D A）5 总 体 要 求5.1 基 本 原 则5.1.1 运 营 企 业 应 根 据 G B/T 2 2 0 8 0 的 要 求 建 立 信 息 安 全 管 理 体 系，并 宜 取 得 法 定 机 构 的 认 证。5.1.2 运 营 企 业 应 遵 照 G B/T 2 2 2 3 9、G B/T 2 2 2 4 0、G B/T 2 5 0 5 8、G B/T 2 5 0 7 0 等 相 关 标 准 规 范 的 要 求，对 企 业 的 信 息 系 统 及 重 要 信 息 基 础 设 施 的 安 全 进 行 识 别 并 实 施 保 护。5.1.3 运 营 企 业 的 信 息 安 全 工 作 应 与 线 路 同 步 规 划、同 步 设 计、同 步 建 设，并 在 移 交 运 营 前,完 成 网 络安 全 等 级 保 护 测 评 及 密 码 应 用 安 全 评 估 工 作。5.2 定 级 与 保 护5.2.1 定 级运 营 企 业 应 按 照 G B/T 2 2 2 4 0 要 求，确 定 信 息 系 统 的 安 全 保 护 等 级。5.2.2 保 护运 营 企 业 应 按 照 G B/T 2 2 2 3 9、G B/T 2 5 0 5 8 的 要 求 对 已 确 定 安 全 保 护 等 级 的 信 息 系 统 进 行 等 级 保 护。5.3 密 码 应 用运 营 企 业 信 息 系 统 密 码 应 用 应 符 合 G B/T 3 9 7 8 6 的 要 求。6 重 要 信 息 基 础 设 施6.1 识 别 认 定6.1.1 运 营 企 业 应 根 据 关 键 信 息 基 础 设 施 安 全 保 护 条 例（中 华 人 民 共 和 国 国 务 院 令 第 7 4 5 号）的要 求 识 别 出 的 关 键 信 息 基 础 设 施，均 必 须 认 定 为 运 营 企 业 重 要 信 息 基 础 设 施。6.1.2 运 营 企 业 应 在 重 要 信 息 基 础 设 施 认 定 过 程 中，同 时 对 企 业 非 关 键 信 息 基 础 设 施 进 行 梳 理，识 别和 认 定。6.1.3 重 要 信 息 基 础 设 施 的 识 别 顺 序 应 符 合 表 1 的 规 定。D B 5 3 0 1/T 7 5 2 0 2 23表 1 重 要 信 息 基 础 设 施 的 识 别 顺 序识别 顺序 内容关键业务 客运服务、票务服务核心信息流 行车控制信息、电力控制信息、票务交易信息最大边界 信号、供电、自动售检票相关系统确定边界 P S C A D A、A T S、C B I、D C S、A C C6.1.4 重 要 信 息 基 础 设 施 认 定 顺 序 如 下：a)梳 理 运 营 组 织、乘 客 服 务 等 环 节 的 关 键 业 务；b)根 据 关 键 业 务，识 别 如 行 车 控 制、电 力 控 制、票 务 清 分 等 核 心 信 息 流；c)认 定 核 心 信 息 流 涉 及 的 信 息 系 统；d)确 定 核 心 信 息 流 涉 及 到 的 重 要 信 息 基 础 设 施 的 边 界。6.2 保 护 要 求6.2.1 运 营 企 业 认 定 为 重 要 信 息 基 础 设 施 的 信 息 系 统，应 纳 入 网 络 安 全 等 级 保 护 以 及 重 要 信 息 基 础 设施 保 护 范 围。6.2.2 运 营 企 业 信 息 系 统 安 全 等 级 划 分 执 行 G B/T 2 2 2 4 0 的 规 定，重 要 信 息 基 础 设 施 的 安 全 等 级 保 护 级别 不 应 低 于 第 三 级。6.2.3 要 生 产 系 统 信 息 安 全 保 护 要 求 见 附 录 A。7 管 理 要 求7.1 措 施7.1.1 运 营 企 业 应 在 规 划、建 设、运 行 全 过 程 中 采 用 适 宜 的 安 全 技 术 措 施，对 信 息 系 统 实 施 等 级 保 护。7.1.2 运 营 企 业 重 要 信 息 基 础 设 施 还 应 采 取 相 应 措 施 对 机 构、人 员、资 产 等 方 面 进 行 安 全 管 理。7.2 制 度7.2.1 建 立 要 求运 营 企 业 应 按 照 G B/T 2 2 2 3 9 以 及 G B/T 2 5 0 5 8 的 要 求，建 立 并 实 施 网 络 与 信 息 安 全 管 理 制 度 体 系，网 络 与 信 息 安 全 管 理 制 度 体 系 宜 分 级 编 制。7.2.2 基 本 内 容7.2.2.1 由 运 营 企 业 网 络 与 信 息 安 全 管 理 机 构 编 制 网 络 与 信 息 安 全 管 理 体 系 文 件，内 容 包 括 但 不 限 于：安 全 目 标；安 全 组 织 架 构；安 全 建 设 策 略；安 全 运 维 策 略；安 全 技 术 策 略；风 险 评 估 策 略；密 码 应 用 策 略。D B 5 3 0 1/T 7 5 2 0 2 247.2.2.2 运 营 企 业 宜 针 对 各 业 务 系 统，根 据 系 统 对 应 保 护 等 级，在 网 络 与 信 息 安 全 管 理 体 系 文 件 的 框架 下 编 制 管 理 制 度，内 容 包 括 但 不 限 于：二 级 安 全 目 标；二 级 安 全 组 织；安 全 建 设 策 略 实 施 方 案；安 全 运 维 策 略 实 施 方 案；安 全 技 术 策 略 实 施 方 案；风 险 评 估 策 略 实 施 方 案；密 码 应 用 策 略 实 施 方 案。7.3 机 构 和 人 员7.3.1 机 构运 营 企 业 应 按 照 G B/T 2 2 2 3 9 要 求，设 置 网 络 与 信 息 安 全 管 理 机 构：应 成 立 网 络 与 信 息 安 全 工 作 的 委 员 会 或 领 导 小 组，协 调 相 关 资 源，全 面 规 划 与 决 策 信 息 安 全相 关 工 作。应 设 立 网 络 与 信 息 安 全 工 作 小 组，在 网 络 与 信 息 安 全 工 作 的 委 员 会 或 领 导 小 组 指 导 下，负 责日 常 网 络 与 信 息 安 全 管 理 工 作。7.3.2 人 员运 营 企 业 相 关 人 员 应 符 合 下 列 要 求：运 营 企 业 从 业 人 员 经 过 安 全 背 景 审 查；运 营 企 业 从 业 人 员 应 具 有 网 络 安 全、密 码 应 用 知 识 教 育 的 经 历；网 络 与 信 息 安 全 管 理 人 员：宜 具 备 国 家 网 络 安 全 管 理 及 技 术 的 相 关 资 质；应 定 期 接 受 网 络 安 全、密 码 应 用 及 保 密 方 面 的 管 理 及 技 能 培 训；上 岗 前 应 当 经 过 保 密 教 育 培 训，掌 握 保 密 知 识 技 能；签 订 保 密 承 诺 书，严 格 遵 守 企 业 保 密 规 章 制 度。关 键 岗 位 人 员 离 岗 或 退 出 时，应 签 署 离 岗 或 退 出 承 诺 书，明 确 其 应 承 担 的 责 任 和 义 务。7.4 资 产 管 理运 营 企 业 应 对 信 息 系 统 相 关 业 务 链 进 行 梳 理，建 立 业 务 链 相 关 的 资 产 清 单，并 归 档 保 存。在 系 统 发生 改 建、扩 建 等 重 大 变 化 时，运 营 企 业 应 及 时 更 新 资 产 清 单，并 对 归 档 文 件 进 行 维 护。7.5 评 审运 营 企 业 每 年 至 少 开 展 一 次 对 网 络 与 信 息 安 全 管 理 的 评 审 工 作，包 括 但 不 限 于 制 度 的 执 行、修 订 和完 善 情 况。8 安 全 要 求8.1 安 全 建 设D B 5 3 0 1/T 7 5 2 0 2 25运 营 企 业 安 全 建 设 按 照 G B/T 2 2 2 3 9、G B/T 2 5 0 7 0、G B/T 2 5 0 5 8 的 规 定 和 要 求 进 行，建 设 完 成 后 应 在上 线 前 进 行 安 全 检 测，安 全 检 测 结 果 应 符 合 国 家 网 络 安 全 的 相 关 要 求。8.2 安 全 防 护8.2.1 运 营 企 业 应 根 据 G B/T 2 2 2 3 9、G B/T 2 5 0 5 8 要 求，采 取 适 宜 的 措 施 对 信 息 系 统 进 行 技 术 防 护。信息 系 统 划 分 为 安 全 生 产 网、内 部 管 理 网 两 个 区 域。安 全 域 间 应 做 到 物 理 隔 离，边 界 防 护 设 备 的 数 据 交 换 方 式 宜 采 用 双 向 隔 离 网 闸，不 宜 进 行 信息 实 时 交 互；边 界 防 护 设 备 应 具 备 访 问 控 制、流 量 清 洗、入 侵 防 护 检 测、安 全 审 计 等 功 能。8.2.2 运 营 企 业 安 全 生 产 网 中 非 重 要 信 息 基 础 设 施 的 信 息 系 统 宜 参 照 G B T 2 2 2 3 9 第 二 级 安 全 要 求 进行 防 护；内 部 管 理 网 信 息 系 统 宜 参 考 G B T 2 2 2 3 9 第 二 级 安 全 要 求 进 行 防 护。8.3 安 全 运 维运 营 企 业 可 遵 循 G B/T 3 6 6 2 6 以 及 G B/T 2 2 2 3 9 相 关 要 求 开 展 运 维 工 作。应 制 定 相 应 的 规 范 对 运 维 相 关事 宜 进 行 管 理，运 维 外 包 的 也 应 要 求 并 监 督 外 包 方 执 行 安 全 运 维 管 理 要 求，包 括 但 不 限 于：资 产 管 理；介 质 管 理；设 备 维 护 管 理；漏 洞 和 风 险 管 理；网 络 和 系 统 安 全 管 理；恶 意 代 码 防 护 管 理；配 置 管 理；变 更 管 理；备 份 与 恢 复 管 理；文 档 资 料 管 理。8.4 风 险 评 估运 营 企 业 宜 参 照 G B/T 2 0 9 8 4 自 行 或 委 托 网 络 安 全 服 务 机 构 对 信 息 系 统 开 展 风 险 评 估，并 按 照D B 5 3 0 1/T 4 0 的 风 险 预 防 和 隐 患 管 理 要 求 进 行 管 理。8.5 安 全 测 评运 营 企 业 应 按 照 G B/T 2 2 2 3 9 以 及 G B/T 3 9 7 8 6 要 求 对 信 息 系 统 开 展 安 全 测 评。8.6 数 据 保 护运 营 企 业 应 采 取 数 据 安 全 保 护 措 施，对 信 息 系 统 数 据 的 全 生 命 周 期 进 行 安 全 防 护。8.7 个 人 信 息 保 护运 营 企 业 收 集、使 用 个 人 信 息，应 遵 循 合 法、正 当、必 要 和 诚 信 的 原 则，明 确 使 用 的 目 的、方 式 和范 围，并 采 取 相 应 措 施 对 收 集 到 的 个 人 信 息 进 行 安 全 保 护，不 应 泄 露、篡 改 和 利 用 个 人 信 息。8.8 信 息 发 布运 营 企 业 应 对 信 息 系 统 信 息 发 布 进 行 审 核，发 布 内 容 应 符 国 家、行 业、企 业 信 息 安 全 及 保 密 要 求。D B 5 3 0 1/T 7 5 2 0 2 269 网 络 与 信 息 安 全 事 件9.1 分 类网 络 安 全 事 件 宜 按 照 G B/Z 2 0 9 8 6 要 求 进 行 分 类。网 络 安 全 事 件 可 分 为 网 络 攻 击 事 件、有 害 程 序 事 件、信 息 泄 密 事 件 和 信 息 内 容 安 全 事 件。9.2 分 级网 络 安 全 事 件 宜 按 照 G B/Z 2 0 9 8 6 要 求 进 行 分 级。根 据 事 件 发 生 后 的 影 响 和 破 坏 性，分 为 以 下 四 个级 别：特 别 重 大 事 件（级）；重 大 事 件（级）；较 大 事 件（级）；一 般 事 件（级）。9.3 应 急 管 理运 营 企 业 应 结 合 信 息 系 统 实 际 情 况，将 网 络 与 信 息 安 全 应 急 处 置 方 面 的 制 度 纳 入 企 业 应 急 管 理 体 系，在 管 理 制 度 中 按 照 网 络 安 全 事 件 的 不 同 类 别 和 级 别 进 行 细 化 管 理 并 编 制 相 应 的 网 络 与 信 息 安 全 事 件 应急 预 案。9.4 监 测 与 预 警运 营 企 业 应 按 照“谁 主 管 谁 负 责、谁 运 行 谁 负 责”的 原 则 对 信 息 系 统 开 展 监 测 工 作，由 网 络 与 信 息安 全 工 作 的 委 员 会 或 领 导 小 组 组 织 研 判 后 发 布 网 络 与 信 息 安 全 事 件 预 警。9.5 应 急 响 应运 营 企 业 应 根 据 预 警 等 级 启 动 应 急 预 案 和 应 急 响 应 工 作，应 根 据 事 件 级 别 成 立 相 应 的 应 急 指 挥 与 处置 队 伍，应 急 处 置 队 伍 可 根 据 实 际 情 况 进 行 确 定，不 限 于 网 络 与 信 息 安 全 工 作 小 组、各 部 门 人 员、系 统或 设 备 厂 商、聘 请 的 网 络 与 信 息 安 全 服 务 机 构 的 相 关 人 员 等。9.6 处 置 与 恢 复事 件 处 置 与 恢 复 工 作 内 容 包 括 但 不 限 于：应 根 据 应 急 预 案 进 行 处 置；应 对 事 件 进 行 取 证 分 析；应 对 业 务 和 信 息 系 统 进 行 恢 复 测 试，并 采 取 措 施 防 止 事 件 再 次 发 生；应 对 事 件 进 行 记 录、总 结、存 档、上 报。9.7 应 急 演 练运 营 企 业 应 根 据 信 息 系 统 实 际 情 况 定 期 开 展 应 急 演 练 工 作。D B 5 3 0 1/T 7 5 2 0 2 27A A附 录 A（资 料 性）主 要 生 产 系 统 安 全 保 护 要 求A.1 主 要 生 产 系 统 包 括:信 号 系 统、自 动 售 检 票 系 统、综 合 监 控 系 统、通 信 系 统 等 系 统，各 系 统 安 全 要求 见 表 A.1。表 A.1 主 要 生 产 系 统 安 全 保 护 要 求系统 名称 等级 保护级别 安全 保护要求信号系统 等级保护 3 级及以上a)信 号 系 统 宜 识 别 为 重 要 信 息 基 础 设 施 进 行 保 护，应 满 足 信 息安全等级保护三级要求。b)应 保 证 车 地 无 线 网 具 备 抗 干 扰 能 力，并 能 识 别、报 告 其 物 理环境中未经授权的无线设备试图接入和干扰行为。综合监控系统 等级保护 3 级及以上a)综合监控系统整体宜满足信息安全等级保护三级要求。b)综 合 监 控 系 统 中 使 用 的 安 全 设 备，如 工 业 防 火 墙 等，应 针 对M O D B U S 等工控协议进行专门防护。自动售检票系统 等级保护 3 级及以上a)自 动 售 检 票 系 统 宜 识 别 为 重 要 信 息 基 础 设 施 进 行 保 护，宜 满足信息安全等级保护三级要求。b)自 动 售 检 票 系 统 应 具 有 交 易 安 全 及 审 计 机 制,跟 踪 所 有 交 易数据,检查和处理异常、遗漏、重复、延迟和伪造数据,保证车票数据安全、票卡与交易终端的数据交互安全、系统交易传输安全。c)并应使用符合国家密码管理相关规定的密码技术。门禁系统 等级保护 3 级及以上 a)门禁系统宜满足信息安全等级保护三级要求。乘客信息系统 等级保护 2 级及以上a)乘客信息系统应满足信息安全等级保护二级要求。b)通 过 人 为 编 辑、上 传 的 对 外 发 布 的 信 息，应 经 过 审 批，并 且对发布的信息进行留存。c)在 发 生 重 要 的 操 作 前（如 发 布 信 息 等）应 对 用 户 的 权 限 进 行校验。专用电话系统 等级保护 3 级及以上a)专用电话系统整体宜满足信息安全等级保护三级要求。b)系统与外部设备存在非网络接口（如 E 1 接口）的，应根据接口特性，在系统侧或外部设备侧制定相应的网络安全措施。无线通信系统 等级保护 3 级及以上a)无线通信系统整体宜满足信息安全等级保护三级要求。b)车 地 通 信 采 用 无 线 网 络 的，应 保 证 车 地 无 线 网 具 备 抗 干 扰 能力，并能识别、报告其物理环境中未经授权的无线设备试图接入和干扰行为。车辆智能运维系统 等级保护 3 级及以上a)车 辆 智 能 运 维 系 统 宜 识 别 为 重 要 信 息 基 础 设 施 进 行 保 护，宜满足信息安全等级保护三级要求。线 网 运 营 指 挥 中 心 系统等级保护 3 级及以上a)线 网 运 营 指 挥 中 心 系 统 宜 识 别 为 重 要 信 息 基 础 设 施 进 行 保护，应满足信息安全等级保护三级要求。D B 5 3 0 1/T 7 5 2 0 2 28参 考 文 献关键信息基础设施安全保护条例（中 华 人 民 共 和 国 国 务 院 令 第 7 4 5 号）
展开阅读全文