城市軌道交通信息系統安全管理規范目 次前言 III范圍 1規范性引用文件 1術語和定義 1縮略語 1總體要求 2基本原則 2定級與保護 2密碼應用 2重要信息基礎設施 2識別認定 2保護要求 3管理要求 3措施 3制度 3機構和人員 4資產管理 4評審 4安全要求 4安全建設 4安全運維 5風險評估 5安全測評 5數據保護 5個人信息保護 5信息發布 5網絡與信息安全事件 6分類 6分級 6應急管理 6監測與預警 6應急響應 6處置與恢復 6應急演練 6附錄A（資料性）主要生產系統安全保護要求 7I城市軌道交通信息系統安全管理規范范圍（信息系統的網絡與信息安全的總體要求、重要信息基礎設施、管理要求、安全要求、網絡與信息安全事件等做出了規定。規范性引用文件（包括所有的修改單適用于本文件。GB/T20984信息安全技術信息安全風險評估規范GB/Z20986信息安全技術信息安全事件分類分級指南GB/T22080信息技術安全技術信息安全管理體系要求GB/T22239信息安全技術網絡安全等級保護基本要求GB/T22240信息安全技術網絡安全等級保護定級指南GB/T25058信息安全技術網絡安全等級保護實施指南GB/T25069信息安全技術術語GB/T25070信息安全技術網絡安全等級保護安全設計技術要求GB/T36626信息安全技術信息系統安全運維管理指南GB/T39786信息安全技術信息系統密碼應用基本要求DB5301/T40城市軌道交通運營企業安全管理規范術語和定義GB/T25069中界定的以及下列術語和定義適用于本文件。3.1安全生產網用于承載運營企業安全生產及管控、運輸指揮、應急指揮調度業務相關系統數據通信及數據共享的計算機網絡。部署如自動化過程控制執行系統、協調調度類業務系統與行車相關的業務系統。3.2內部管理網縮略語1下列縮略語適用于本文件ACC：自動售檢票系統的清分中心（AFCClearingCenter）AFC：自動售檢票系統（AutomaticFareCollection）ATS：列車自動監控(AutomaticTrainSupervision)CBI：計算機連鎖(ComputerBasedInterlock)DCS：數據通信系統(DataCommunicationSystem)PSCADA：電力監控系統（PowerSCADA）總體要求基本原則GB/T22080GB/T22239、GB/T22240、GB/T25058、GB/T25070定級與保護定級運營企業應按照GB/T22240要求，確定信息系統的安全保護等級。保護運營企業應按照GB/T22239、GB/T25058的要求對已確定安全保護等級的信息系統進行等級保護。密碼應用運營企業信息系統密碼應用應符合GB/T39786的要求。重要信息基礎設施識別認定（745的要求識別出的關鍵信息基礎設施，均必須認定為運營企業重要信息基礎設施。運營企業應在重要信息基礎設施認定過程中，同時對企業非關鍵信息基礎設施進行梳理，識別和認定。12表1重要信息基礎設施的識別順序識別順序內容關鍵業務客運服務、票務服務核心信息流行車控制信息、電力控制信息、票務交易信息最大邊界信號、供電、自動售檢票相關系統確定邊界PSCADA、ATS、CBI、DCS、ACC重要信息基礎設施認定順序如下：梳理運營組織、乘客服務等環節的關鍵業務；根據關鍵業務，識別如行車控制、電力控制、票務清分等核心信息流；認定核心信息流涉及的信息系統；確定核心信息流涉及到的重要信息基礎設施的邊界。保護要求運營企業認定為重要信息基礎設施的信息系統，應納入網絡安全等級保護以及重要信息基礎設施保護范圍。GB/T22240A。管理要求運營企業重要信息基礎設施還應采取相應措施對機構、人員、資產等方面進行安全管理。制度建立要求GB/T22239GB/T25058基本內容——安全目標；——安全組織架構；——安全建設策略；——安全運維策略；——安全技術策略；——風險評估策略；——密碼應用策略。3運營企業宜針對各業務系統，根據系統對應保護等級，在網絡與信息安全管理體系文件的框架下編制管理制度，內容包括但不限于：——二級安全目標；——二級安全組織；——安全建設策略實施方案；——安全運維策略實施方案；——安全技術策略實施方案；——風險評估策略實施方案；——密碼應用策略實施方案。機構和人員機構運營企業應按照GB/T22239要求，設置網絡與信息安全管理機構：——應成立網絡與信息安全工作的委員會或領導小組，協調相關資源，全面規劃與決策信息安全相關工作。——應設立網絡與信息安全工作小組，在網絡與信息安全工作的委員會或領導小組指導下，負責日常網絡與信息安全管理工作。人員運營企業相關人員應符合下列要求：——運營企業從業人員經過安全背景審查；——運營企業從業人員應具有網絡安全、密碼應用知識教育的經歷；——網絡與信息安全管理人員：宜具備國家網絡安全管理及技術的相關資質；應定期接受網絡安全、密碼應用及保密方面的管理及技能培訓；上崗前應當經過保密教育培訓，掌握保密知識技能；簽訂保密承諾書，嚴格遵守企業保密規章制度。——關鍵崗位人員離崗或退出時，應簽署離崗或退出承諾書，明確其應承擔的責任和義務。資產管理評審安全要求安全建設4運營企業安全建設按照GB/T22239、GB/T25070、GB/T25058的規定和要求進行，建設完成后應在上線前進行安全檢測，安全檢測結果應符合國家網絡安全的相關要求。安全防護GB/T22239、GB/T25058——安全域間應做到物理隔離，邊界防護設備的數據交換方式宜采用雙向隔離網閘，不宜進行信息實時交互；——邊界防護設備應具備訪問控制、流量清洗、入侵防護檢測、安全審計等功能。GB／T22239GB／T22239安全運維運營企業可遵循GB/T36626以及GB/T22239相關要求開展運維工作。應制定相應的規范對運維相關事宜進行管理，運維外包的也應要求并監督外包方執行安全運維管理要求，包括但不限于：——資產管理；——介質管理；——設備維護管理；——漏洞和風險管理；——網絡和系統安全管理；——惡意代碼防護管理；——配置管理；——變更管理；——備份與恢復管理；——文檔資料管理。風險評估運營企業宜參照GB/T20984自行或委托網絡安全服務機構對信息系統開展風險評估，并按照DB5301/T40的風險預防和隱患管理要求進行管理。安全測評運營企業應按照GB/T22239以及GB/T39786要求對信息系統開展安全測評。數據保護運營企業應采取數據安全保護措施，對信息系統數據的全生命周期進行安全防護。個人信息保護信息發布運營企業應對信息系統信息發布進行審核，發布內容應符國家、行業、企業信息安全及保密要求。5網絡與信息安全事件分類網絡安全事件宜按照GB/Z20986分級GB/Z20986——特別重大事件（Ⅰ級）；——重大事件（Ⅱ級）；——較大事件（Ⅲ級）；——一般事件（Ⅳ級）。應急管理在管理制度中按照網絡安全事件的不同類別和級別進行細化管理并編制相應的網絡與信息安全事件應急預案。監測與預警應急響應處置與恢復事件處置與恢復工作內容包括但不限于：——應根據應急預案進行處置；——應對事件進行取證分析；——應對業務和信息系統進行恢復測試，并采取措施防止事件再次發生；——應對事件進行記錄、總結、存檔、上報。應急演練運營企業應根據信息系統實際情況定期開展應急演練工作。6附錄 A（資料性）主要生產系統安全保護要求A.1A.1。表A.1主要生產系統安全保護要求系統名稱等級保護級別安全保護要求信號系統等級保護3級及以上信號系統宜識別為重要信息基礎設施進行保護，應滿足信息安全等級保護三級要求。應保證車地無線網具備抗干擾能力，并能識別、報告其物理環境中未經授權的無線設備試圖接入和干擾行為。綜合監控系統等級保護3級及以上綜合監控系統整體宜滿足信息安全等級保護三級要求。綜合監控系統中使用的安全設備，如工業防火墻等，應針對MODBUS自動售檢票系統等級保護3級及以上自動售檢票系統宜識別為重要信息基礎設施進行保護，宜滿足信息安全等級保護三級要求。自動售檢票系統應具有交易安全及審計機制,跟蹤所有交易據安全、票卡與交易終端的數據交互安全、系統交易傳輸安全。并應使用符合國家密碼管理相關規定的密碼技術。門禁系統等級保護3級及以上a) 門禁系統宜滿足信息安全等級保護三級要求。乘客信息系統等級保護2級及以上乘客信息系統應滿足信息安全等級保護二級要求。通過人為編輯、上傳的對外發布的信息，應經過審批，并且對發布的信息進行留存。在發生重要的操作前（如發布信息等）應對用戶的權限進行校驗。專用電話系統等級保護3級及以上專用電話系統整體宜滿足信息安全等級保護三級要求。（E1口特性，在系統側或外部設備側制定相應的網絡安全措施。無線通信