MH_T 0036-2012民用航空网络与信息安全评估规范.pdf

ICS 35. 020L 07MH中华人民共和国民用航空行业标准MH/T 0036--2012民用航空网络与信息安全评估规范Specification for civil aviation network and information security evaluation2012-02-08 发布2012-06-01实施发布中国民用航空局 MH/T 0036-2012前言本标准按照GB/T 1.1-2009给出的规则起草。本标准由中国用航空局人事科教司提出。本标准由中国民航航空局航空器适航审定司批准立项。本标准由中国民航科学技术研究所归口。本标准起草单位：中国民航大学、中国民航科学技术研究院。本标准主要起草人：杨宏宇、杜伟军、付宇、熊育婷。1 MH/T 0036—2012该系统中的数据库管理系统是否具有对重要数据进行备份的功能；是否提供对重要信息进行恢复的48 功能，恢复时间多少？该系统中的业务系统是否具有对重要数据进行备49份的功能；是否提供对重要信息进行恢复的功能，恢复时间多少？操作系统、数据库系统、关键应用系统是否配置有50选择的备份和对重要信息恢复的功能，其配置是否正确？核心服务器和数据库是否实现双机亢余，双机切换51时间是多少？核心服务器上的非必要服务和应用端口是否已全部关闭或采取了有效的防护措施？是否定期查看主要服务器的各项资源指标，如CPU、53内存、进程和磁盘等使用情况？核心服务器运行指标（如CPU、内存、存储空间等）54 是否有阀值，是多少，目前运行平均值是多少，峰值时多少？55本系统的重要接口是否有足够的保护措施？系统运56是否有完备的运维文档，请分别列出？维管理是否定期对系统进行维护工作，如月维护、年维护57等?是否有日常运维工作记录，如工作台帐、值班日志58等?是否指定专人负责维护系统运行日志、监控记录和59分析处理报警信息等安全管理工作？是否有关于系统备份与恢复的相关管理规定，并按60规定执行？61是否有关于系统漏洞和补丁管理相关管理规定？62是否对终端用户进行培训并考核？ MH/T 0036—201263是否有备品备件清单？64备品备件的可用性是否定期检查？65是否与相关服务商签订了奥运期间的保障协议？是否部署防火墙，列出防火墙品牌及型号，简述部66署位置？是否部署防病毒软件，列出防病毒软件品牌，病毒67定义库定期更新间隔?安全产品68是否使用入侵检测设备？69是否使用安全审计远程监控？70是否使用虚拟专用网络设备？71列出该系统所使用的其它安全产品及其部署位置；72是否建立了专门安全管理组织？对资产的操作是否有明确的授权？73是否建立外部信息安全合作制度？74如安全事件协调响应、厂商安全通告、安全服务商的安全通告等安全组是否定期对已有安全控制措施实施进行独立审查75织是否执行了对第三方访问风险进行分析并制定控76制措施是否与第三方的合同中是否包含法律责任、职责利77违反规定的处罚78是否在外包合同中明确安全需求，如代维系统是否制定了系统级应急预案，包括启动预案的应急管79条件、应急处理流程、系统恢复流程、事后教育和理培训，并包含供应商、备品备件和技术方案等内容？系统是否制定了业务级应急预案，包括启动预案的80条件、应急处理流程、系统恢复流程、事后教育和培训，并覆盖到系统的用户和相关业务部门？是否有应急演练计划并定期实施，并提交报告？81应急演练是否有系统用户和相关业务部门参与？8210 MH/T 0036—2012是否组织过当系统完全不可用时的手工操作演练？832007年至今是否发生过信息安全事件，请描述处理84及通报过程并提供相应记录；等级保是否已完成对该系统的等级定级和备案工作？请85护定级提供定级报告。和备案是否已按照等级保护的要求对系统进行相应的安86工作全保护措施？是否已完成对该系统的风险评估工作，若有，请提87交相应的风险评估报告？风险评估报告中是否包含了保护对象分析的内88容?89风险评估报告中是否包含了威胁分析的内容？风险评估报告中是否包含了脆弱性分析的内容？06风险评风险评估报告中是否包含了现有控制措施有效性估工作91分析的内容?风险评估报告中是否包含了风险分析的内容？92风险评估报告中是否包含了风险处置方案的内93容?是否针对风险评估后发现的风险进行整改，并按照94总局和集团要求按时提交风险评估补充报告11 工本费：40.00元 MH/T 0036—2012民用航空网络与信息安全评估规范1范围本标准规定了民航网络与信息安全评估内容、民航网络与信息安全监督评估的流程和指标。本标准适用于民用航空网络与信息安全评估。2术语和定义下列术语和定义适用于本标准。2.1网络与信息安全 network and information security依靠网络进行的信息交互活动中