民用运输航空公司网络与信息系统风险评价规范.pdf

ICS 35.020 L 07 MH 中 华 人 民 共 和 国 民 用 航 空 行 业 标 准 MH/T 0040—2012 民用运输航空公司网络与信息系统风险评 估规范 Specification for airlines network and information system security risk assessment 2012-11-29 发布 2013-03-01 实施 中国民用航空局 发 布 MH/T 0040—2012 目 次 前言 II 1 范围 1 2 规范性引用文件 1 3 术语和定义 1 4 总则 1 5 风险评估的实施 2 附录 A（资料性附录） 调查表 6 附录 B（资料性附录） 安全技术脆弱性核查表 13 附录 C（资料性附录） 安全管理脆弱性核查表 24 附录 D（资料性附录） 风险评估与处理表 32 MH I MH/T 0040—2012 前 言 本标准按照GB/T 1.1给出的规则起草。 本标准由中国民用航空局人事科教司提出。 本标准由中国民用航空局航空器适航审定司批准立项。 本标准由中国民航科学技术研究院归口。 本标准起草单位：中国民用航空华东地区管理局、上海吉祥航空股份有限公司。 本标准主要起草人：关英儒、朱青蓝、程伟光、李华。 II MH/T 0040—2012 民用运输航空公司网络与信息系统风险评估规范 1 范围 本标准规定了民用运输航空公司网络和信息系统风险评估实施的过程和方法。 本标准适用于民用运输航空公司网络与信息系统风险评估的组织、实施、验收等工作。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文 件。凡是不注日期的引用文件，其必威体育精装版版本（包括所有的修改单）适用于本文件。 GB/T 20984 信息安全技术 信息安全风险评估规范 3 术语和定义 GB/T 20984中确立的术语和定义适用于本标准。 4 总则 4.1 民用运输航空公司信息系统（以下简称信息系统）是民用运输航空公司使用的由计算机、软件及 其相关设备、设施(含网络)构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、 检索等处理的人机系统。主要包括： ——计算机网络系统； ——航务类信息系统，即以航班生产保障为核心的航班运行控制系统、飞行员网上准备系统、乘务 员网上准备系统、飞行员排班系统、乘务员排班系统、航班信息显示系统、地面保障系统等； MH ——机务类信息系统，即以飞机维修管理的自动化、规范化、信息化和数字化化为核心的机务维修 管理系统； ——商务类信息系统，即以营销为核心的订座系统、离港系统、电子商务网站、常旅客系统、收益 分析系统、货运系统等； ——通用管理类信息系统，即以办公自动化为核心的电子政务系统、合同管理系统、财务系统、资