MH／T 0076-2020标准规范下载简介

MH／T 0076-2020 民用航空网络安全等级保护基本要求.pdf

可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可 言验证，并在应用程序的所有执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警， 并将验证结果形成审计记录送至安全管理中心，并进行动态关联感知。

8.1.4安全计算环境

8. 1. 4. 1身份鉴别

MH/T 00762020

a 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并 定期更换，对于口令的具体要求如下： 1）长度不小于8位； 2） 由大小写字母、数字和特殊字符组成； 3） 不得与账户名相同； 4）不得明文存储； 5）至少每季度更换一次； b 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动 退出等相关措施装配式混凝土建筑结构设计及施工图审查要点解析 2018年，非法登录次数最多为5次，登录失败后锁定时间不少于10分钟，登录连接 超时不得超过10分钟； C) 当进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听； d 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且 其中一种鉴别技术至少应使用密码技术来实现。

8. 1. 4. 2 访问控制

8.1.4.3安全审计

8. 1. 4. 5 恶意代码防范

a）应采用主动免疫可信计算检验机制及时识别人侵和病毒行为，并将其有效阻断。 b）应支持防恶意代码的统一管理，

MH/T 00762020

8. 1. 4. 6 可信验证

可基于可信根对计算设备的系统引导程序、 系统程序、重要配置参数和应用程序等进行可 并在应用程序的所有执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警， 结果形成审计记录送至安全管理中心，并进行动态关联感知

8. 1. 4. 7数据完整性

包拍： a）应采用密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据 重要审计数据、重要配置数据、重要视频数据和重要个人信息等： b） 应采用密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据， 重要审计数据、重要配置数据、重要视频数据和重要个人信息等； C 在可能涉及法律责任认定的应用中，应采用密码技术提供数据原发证据和数据接收证据，实 现数据原发行为的抗抵赖和数据接收行为的抗抵赖

3. 1. 4. 8 数据保密性

应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数 和重要个人信息等； 应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数 和重要个人信息等。

8.1.4.9数据备份恢复

包括： a）应提供重要数据的本地数据备份与恢复功能； b 应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地； C 应提供重要数据处理系统的热亢余，保证系统的高可用性； d）应建立异地灾难备份中心，提供业务应用的实时切换，

8.1.4.10剩余信息保护

8.1.4.11个人信息保护

包括： a）应仅采集和保存开展民航相关业务必需的旅客等用户的个人信息； b）应禁止未授权访问、非法使用和非法转移旅客等用户的个人信息。 1.5安全管理中心

8. 1. 5 安全管理中心

B. 1. 5. 1系统管理

包括： a 应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对 这些操作进行审计； b） 应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配置 系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等。

8. 1. 5. 2 审计管理

包括： a）应对安全审计员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对 这些操作进行审计：

MH/T 00762020

b）应通过安全审计员对审计记录应进行分析，并根据分析结果进行处理，包括根据安全审计策略 对审计记录进行存储、管理和查询等； c）应保证审计记录的留存时间符合法律法规要求，满足业务需要。

B. 1. 5. 3 安全管理

应对安全管理员进行身份鉴别，只充许其通过特定的命令或操作界面进行安全管理操作 这些操作进行审计； b 应通过安全管理员对系统中的安全策略进行配置，包括安全参数的设置，主体、客体进行 安全标记，对主体进行授权，配置可信验证策略等。

8. 1. 5. 4 集中管控

8.1.6安全管理制度

8.1.6.2管理制度

8. 1. 6. 3 制定和发布

a）应指定或授权专门的部门或人员负责安全管理制度的制定； b）安全管理制度应通过正式、有效的方式发布，并进行版本控制。

8. 1. 6. 4 评审和修订

8.1.7安全管理机构

8. 1.7 安全管理机构

8.1.7.1岗位设置

MH/T 00762020

b）应设立网络安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定 义各负责人的职责； C）应设立系统管理员、审计管理员、安全管理员等岗位，并定义部门及各个工作岗位的职责，

8. 1. 7. 2 人员配备

包括： a）应配备一定数量的系统管理员、审计管理员、安全管理员等； b） 应配备专职安全管理员，不可兼任； c）关键事务岗位应配备多人共同管理。

8. 1. 7. 3 经费保障

8. 1. 7.4 授权和审批

包括： a）应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等； 应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，按照审批程序执行审 批过程，对重要活动建立逐级审批制度； 应定期审查审批事项，及时更新需授权和审批的项目、审批部门和审批人等信息。

8. 1. 7. 5 沟通和合作

8.1.7.6审核和检查

a）应定期进行常规安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况； 应定期进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的 一致性、安全管理制度的执行情况等； 应制定安全检查表格实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结 果进行通报

8.1.8安全管理人员

8.1.8. 1人员录用

包括： 应指定或授权专门的部门或人员负责人员录用： b 应对被录用人员的身份、背景、专业资格和资质等进行审查，对其所具有的技术技能进行考核； C 应与被录用人员签署保密协议，与系统管理员、审计管理员、安全管理员等关键岗位的人员签 署岗位责任协议； 应从内部人员中选拔从事系统管理员、审计管理员、安全管理员等关键岗位的人员。

8. 1. 8. 2 人员离岗

MH/T 00762020

a）应及时终止离岗员工的所有访问权限，收回各种身份证件、钥匙、徽章等以及机构提供的软硬 件设备。 b）应办理严格的调离手续，并承诺调离后的保密义务后方可离开，

8.1.8.3安全意识教育和培训

a 应对各类人员进行安全意识教育和岗位技能培训，并告知人员相关的安全责任和惩戒措施； b 应针对不同岗位制定不同的培训计划，对网络安全基础知识、岗位操作规程等进行培训，在职 人员年度人均接受培训时间不少于4个学时，网络安全关键岗位人员年度人均接受培训时间不 少于8个学时，关键信息基础设施运营者的网络安全关键岗位人员年度人均接受培训时间不少 于24个学时， 应定期对不同岗位的人员进行技能考核； d 网络安全专业技术岗位人员中，获得网络安全专业资质人员占比达到60%或虽未达到60%但 逐年提高。

8.1.8.4外部人员访问管理

8.1.9安全建设管理

8.1.9安全建设管理

应根据安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施； 应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案 设计，设计内容应包含密码相关内容，并形成配套文件； 应组织相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论证和 审定，经过批准后才能正式实施；涉及关键信息基础设施的，应报民航网络安全管理部门进行 网络安全专项审查。

8.1.9.3产品采购和使用

应确保网络安全产品采购和使用符合国家的有关规定； b） 应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求； C 应预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单； d 应对重要部位的产品委托专业测评单位进行专项测试，根据测试结果选用产品。

8. 1. 9. 4自行软件开发

MH/I 00762020

包括： 应将开发环境与实际运行环境物理分开，测试数据和测试结果受到控制； D 应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则； C 应制定代码编写安全规范，要求开发人员参照规范编写代码； 应具备软件设计的相关文档和使用指南，并对文档使用进行控制； e 应保证在软件开发过程中对安全性进行测试，在软件安装前对可能存在的恶意代码进行检测 应对程序资源库的修改、更新、发布进行授权和批准，并严格进行版本控制； 应保证开发人员为专职人员，开发人员的开发活动受到控制、监视和审查。

8.1.9.5外包软件开发

a）应在软件交付前检测其中可能存在的恶意代码； b）应保证开发单位提供软件设计文档和使用指南： 应保证开发单位提供软件源代码，并审查软件中可能存在的后门和隐蔽信道

8. 1. 9. 6 工程实施

包括： a）应指定或授权专门的部门或人员负责工程实施过程的管理； b）应制定工程实施方案控制安全工程实施过程： c）应通过第三方工程监理控制项目的实施过程。

8.1.9.7测试验收

巴： a）应制订测试验收方案，并依据测试验收方案实施测试验收，形成测试验收报告； b）应委托专业安全机构进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密 码应用安全性测试相关内容； C）应确保系统通过安全性测试后才能接入互联网

8.1.9.8系统交付

a）应制定交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点； b）应对负责运行维护的技术人员进行相应的技能培训； C）应提供建设过程文档和运行维护文档。

8. 1.9.9 等级测评

包括： a）应定期进行等级测评，发现不符合相应等级保护标准要求的及时整改； b）应在发生重大变更或级别发生变化时进行等级测评； C）应确保测评机构的选择符合国家有关规定。

8.1.9.10服务供应商选择

包括： 应确保服务供应商的选择符合国家和行业的有关规定； 应与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的网络安全相关义务 应定期监视、评审和审核服务供应商提供的服务，并对其变更服务内容加以控制。

8.1.10安全运维管理

8.1.10.1环境管理

MH/T 00762020

应指定专门的部门或人员负责机房安全，对机房出入进行管理，定期对机房供配电、空调、温 湿度控制、消防等设施进行维护管理，对机房设施定期巡检： b 应建立机房安全管理制度，对有关物理访问、物品带进出和环境安全等方面的管理作出规定； C 应严格控制手机、便携式电脑等电子产品带入机房； d 应不在重要区域接待来访人员，不随意放置含有敏感信息的纸档文件和移动介质等； e) 应对出入人员进行相应级别的授权，对进入重要安全区域的人员和活动实时监视等，

8.1.10.2资产管理

包括： a）应编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容 b）应根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施； 应对信息分类与标识方法作出规定，并对信息的使用、传输和存储等进行规范化管理

8.1.10.3介质管理

8.1.10.6网络和系统安全管理

a 应划分不同的管理员角色进行网络和系统的运维管理，明确各个角色的责任和权限； 应指定专门的部门或人员进行账户管理，对申请账户、建立账户、删除账户等进行控制； 应建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管理、日常操作 升级与打补丁、口令更新周期等方面作出规定： d 应制定重要设备的配置和操作手册，依据手册对设备进行安全配置和优化配置等； 应详细记录运维操作日志，包括日常巡检工作、运行维护记录、参数的设置和修改等内容； 应指定专门的部门或人员对日志、监测和报警数据等进行分析、统计，及时发现可疑行为； g 应严格控制变更性运维，经过审批后才可改变连接、安装系统组件或调整配置参数，操作过程 中应保留不可更改的审计日志，操作结束后应同步更新配置信息库：

MH/T 00762020

h 应严格控制运维工具的使用，经过审批后才可接入进行操作，操作过程中应保留不可更改的审 计日志，操作结束后应删除工具中的敏感数据； i 应严格控制远程运维的开通，经过审批后才可开通远程运维接口或通道，操作过程中应保留不 可更改的审计日志，操作结束后立即关闭接口或通道； 应保证所有与外部的连接均得到授权和批准，应定期检查违反规定无线上网及其他违反网络安 全策略的行为。

8.1.10.7恶意代码防范管理

应提高所有用户的防恶意代码意识，告知对外来计算机或存储设备接入系统前进行恶意代码检 查等； b 应对恶意代码防范要求做出规定，包括防恶意代码软件的授权使用、恶意代码库升级、恶意代 码的定期查杀等； C 应定期检查恶意代码库的升级情况，对截获的恶意代码进行及时分析处理。 d 应定期验证防范恶意代码攻击的技术措施的有效性。

8. 1. 10. 8 配置管理

包括： a 应记录和保存基本配置信息，包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本 和补丁信息、各个设备或软件组件的配置参数等； D 应将基本配置信息改变纳入变更范畴，实施对配置信息改变的控制，并及时更新基本配置信息 库。

8. 1. 10. 9 密码管理

包括： a）应遵循密码相关国家标准和行业标准； b) 应使用国家密码管理主管部门认证核准的密码技术和产品； C 应采用硬件密码模块实现密码运算和密钥管理。

8.1.10.10变更管理

包括： 应明确变更需求，变更前根据变更需求制定变更方案，变更方案经过评审、审批后方可实施： 应建立变更的申报和审批控制程序，依据程序控制所有的变更，记录变更实施过程； 应建立中止变更并从失败变更中恢复的程序，明确过程控制方法和人员职责，必要时对恢复过 程进行演练。

8. 1.10. 11备份与恢复管理

巴 a）应识别需要定期备份的重要业务信息、系统数据及软件系统等； b 应规定备份信息的备份方式、备份频度、存储介质、保存期等； C 应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略、备份程序和 恢复程序等

MH/T 00762020

JGJ／T 396-2018 咬合式排桩技术标准1. 10. 13应急预案管理

8.1.10.14外包运维管理

MH/T 00762020

MH/T 00762020表A.2（续）技术/管理分类安全控制点属性标识安全管理制度评审和修订G岗位设置G人员配备G经费保障G安全管理机构授权和审批G沟通和合作G审核和检查G人员录用G人员离岗G安全管理人员安教育和培音训G员访问管理G定级和备案G安全方案设计GG安全管理要求自行软件开发G外包软件开发G安全建设管理工程实施G测试验收G系统交付G等级测评G服务供应商管理G环境管理G资产管理G介质管理G安全运维管理设备维护管理G漏洞和风险管理G网络与系统安全管理G恶意代码防范管理G3

MH/T 00762020

对于确定了级别的等级保护对象，应依据表A.1的定级结果，结合表A.2使用安全要求，应按照以下 过程进行安全要求的选择： a 根据等级保护对象的级别选择安全要求。方法是根据本标准，第一级选择第一级安全要求，第 二级选择第二级安全要求，第三级选择第三级安全要求，第四级选择第四级安全要求，以此作 为出发点。 b 根据定级结果，基于表A.1和表A.2对安全要求进行调整。根据系统服务保证性等级选择相应 级别的系统服务保证类（A类）安全要求；根据业务信息安全性等级选择相应级别的业务信息 安全类（S类）安全要求；根据系统安全等级选择相应级别的安全通用要求（G类）和安全扩 展要求（G类）。 C 根据等级保护对象采用新技术和新应用的情况，选用相应级别的安全扩展要求作为补充。采用 云计算技术的选用云计算安全扩展要求，采用移动互联技术的选用移动互联安全扩展要求，物 联网选用物联网安全扩展要求，工业控制系统选用工业控制系统安全扩展要求。 d 针对不同对象的特点，分析可能在某些方面的特殊安全保护能力要求，选择较高级别的安全要 求或其他标准的补充安全要求。对于本标准中提出的安全要求无法实现或有更加有效的安全措 施可以替代的，可以对安全要求进行调整，调整的原则是保证不降低整体安全保护能力。 总之，保证不同安全保护等级的对象具有相应级别的安全保护能力，是安全等级保护的核心。选用 本标准中提供的安全技术要求和安全管理要求是保证等级保护对象具备一定安全保护能力的一种途径 和出发点，在此出发点的基础上，可以参考等级保护的其它相关标准和安全方面的其它相关标准，调整 和补充安全要求，从而实现等级 水星 文具有自身特点的保护

MH/T00762020

（规范性附录） 关于等级保护对象整体安全保护能力的要求

2018【DL】-造价案例-《一本通》MH/T 00762020