行业标准：MHT 0074-2020 民用航空旅客服务信息系统信息安全保护规范.pdf

《行业标准：MHT 0074-2020 民用航空旅客服务信息系统信息安全保护规范.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、ICS35.020L07MH中华人民共和国民用航空行业标准MH/T0074—2020民用航空旅客服务信息系统信息安全保护规范Informationsecurityprotectspecificationforpassengerserviceinformationsystemofcivilaviation2020-07-20发布2020-10-01实施中国民用航空局发布MH/T0074—2020前言本标准按照GB/T1.1-2009《标准化工作导则第1部分：标准的结构和编写》给出的规则起草。本标准由中国民用航

2、空局人事科教司提出。本标准由中国民航科学技术研究院归口。本标准起草单位：中国民航大学、北京首都国际机场股份有限公司、中国民用航空局空中交通管理局。本标准主要起草人：王静、周景贤、王勇、王双、张礼哲、顾兆军、杨锐、刘春波、唐屹、张立斌、韩燕征、隋翯、刘超、吕宗平、陈宝刚。IMH/T0074—2020民用航空旅客服务信息系统信息安全保护规范1范围本标准规定了民用航空（以下简称民航）旅客服务信息系统需要满足的相关信息安全技术要求和管理要求。本标准适用于民航旅客服务信息系统的规划、设计、开发、运行及维护等各个阶段。

3、2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T22239-2019信息安全技术网络安全等级保护基本要求GB/T35273信息安全技术个人信息安全规范3术语和定义下列术语和定义适用于本标准。3.1民航旅客服务信息系统passengerserviceinformationsystemofcivilaviation在旅客计划行程、预定采购机票、飞行与到达全程各个阶段，需要采集旅客信

4、息，或需要根据旅客信息为其主体提供服务的相关信息系统。系统范围包括中国民航信息网络股份有限公司的民航旅客服务信息系统，各代理人相关售票与客户管理系统，各航空公司旅客服务相关信息系统，各机场值机、离港与行李管理信息系统，以及其他各种与民航旅客行程服务相关的信息系统。3.2旅客信息passengerinformation民航旅客服务相关机构为旅客提供信息服务过程中收集或产生的旅客相关信息，包括：个人身份、地址、联系方式、机票交易、民航增值服务交易等信息。3.3运营者operator运营者负责民航旅客服务信息系统

5、的运行、管理，对本单位旅客服务信息系统安全负有主体责任。4总体安全要求1MH/T0074—2020民航旅客服务信息系统安全保护等级应不低于第二级，网络安全保护应符合GB/T22239-2019相应等级安全要求。民航旅客服务信息系统对旅客信息的保护应符合《中华人民共和国网络安全法》和GB/T35273相关要求。5安全管理5.1运营者应梳理旅客服务信息系统业务链，建立业务链相关的网络、系统、数据和资产清单。5.2旅客服务信息系统发生改建、扩建等重大变化时，运营者应当更新网络、系统和资产清单。5.3运营者新建或改

6、建、扩建旅客服务信息系统时，应充分考虑网络安全因素，实现安全技术措施同步规划、同步建设、同步使用。5.4运营者应建立旅客服务信息系统安全责任制，明确相关安全责任人，各类人员的安全角色和安全职责。5.5运营者应建立适合本单位的旅客服务信息系统网络安全计划，明确旅客服务信息系统安全保护工作的目标、安全策略、组织架构、管理制度、实施细则及资源保障等，形成文档并经审批后发布至相关人员。网络安全计划应定期修订。6安全防护6.1运营者应采取数据交换安全措施控制民航旅客服务信息系统与其他系统之间的数据交换。运营者应根据旅

7、客服务信息系统承载业务的重要性，对旅客服务信息系统实施分区分域管理，部署边界防护措施。6.2运营者应建立计算机病毒和网络入侵防范机制，严格限制未授权的软硬件设备接入和安装。6.3运营者应对远程运维的行为进行严格的控制和审计，相关的系统网络日志留存不少于6个月。日志内容应至少包括：事件的日期和时间、类型、主体、客体、结果等信息。6.4运营者应对旅客服务信息系统和数据库进行备份，制定备份策略，规定备份频率，并定期执行，确保旅客服务信息系统一旦被破坏，可及时进行恢复和补救。6.5运营者采购用于旅客服务信息系统相关

8、的网络产品和服务，尤其是网络关键设备、网络安全专用产品，应符合法律、行政法规的规定和相关国家标准的强制性要求。6.6运营者应提供人员和资金保障，自行或者委托网络安全服务机构对旅客服务信息系统安全性和可能存在的风险定期检测评估，并及时整改发现的问题。检测评估内容包括但不限于网络安全制度落实情况、组织机构建设情况、人员和经费投入情况、教育培训情况、技术防护情况、风险评估情况、应急演练情况、网络安全等级保护工作落实情况