MH／T 0076-2020标准规范下载简介

MH／T 0076-2020 民用航空网络安全等级保护基本要求.pdf简介：

"MH/T 0076-2020 民用航空网络安全等级保护基本要求.pdf" 是中国民用航空局（民航局）发布的一份关于民用航空网络安全的规范性文件。这份文件主要针对民用航空行业，明确了网络安全等级保护的基本要求。等级保护是一种信息安全管理体系，通过划分不同的安全等级，对信息系统的安全进行分层次、分阶段的管理，以防止未经授权的访问、使用、披露、破坏、修改或者丢失数据。

该标准旨在保障民用航空系统的网络安全，包括空中交通管理系统（ATM）、航空通信、航班信息系统等，确保航空运营的正常进行，避免因网络安全事件导致的航空事故、数据泄露等风险。它规定了网络安全策略、安全管理制度、安全技术防护措施、安全监控与审计等方面的要求，以提升整个行业的网络安全防护能力。

总结来说，这份文档是民用航空网络安全管理的重要指南，对于航空公司、机场、空管系统等涉及航空网络安全的组织具有指导和强制执行的意义。

MH／T 0076-2020 民用航空网络安全等级保护基本要求.pdf部分内容预览：

6. 1. 5. 1系统管理

MH/T 00762020

应通过系统管理员对系统的资源和运行进行配置、控制和管理DB29-223-2014 建筑地基氡浓度／氡析出率检测技术规程，包括用户身份、系统资源配 置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等。

6. 1. 5. 2 审计管理

a 应对审计管理员进行身份鉴别，只充许其通过特定的命令或操作界面进行安全审计操作，并 对这些操作进行审计； b 应通过审计管理员对审计记录进行分析，并根据分析结果进行处理，包括根据安全审计策略 对审计记录进行存储、管理和查询等； C 应保证审计记录的留存时间符合法律法规要求，满足业务需要。

6. 1.6 安全管理制度

6. 1. 6. 1安全策略

应制定网络安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安 等。

6. 1. 6. 2 管理制度

包： a）应对安全管理活动中的主要管理内容建立安全管理制度，覆盖物理环境、通信网络、计算环 境、数据、建设和运维等方面； b）应对要求管理人员或操作人员执行的日常管理操作建立操作规程。

6. 1. 6. 3制定和发布

a）应指定或授权专门的部门或人员负责安全管理制度的制定； b）安全管理制度应通过正式、有效的方式发布，并进行版本控制。

6.1.6.4评审和修订

应定期对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的安 度进行修订。发生重大变更时，应及时对制度进行修订。

6. 1.7 安全管理机构

6. 1. 7. 1岗位设置

a）应设立网络安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并 定义各负责人的职责； b）应设立系统管理员、审计管理员、安全管理员等岗位，并定义部门及各个工作岗位的职责。

6. 1. 7. 2 人员配备

备一定数量的系统管理员、审计管理员、安全管

6.1.7.3经费保障

6. 1. 7. 4 授权和审抵

a）应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等： b）应针对系统变更、重要操作、物理访问和系统接入等事项执行审批过程。

6.1.7.5沟通和合作

6.1.7.5沟通和合作

MH/T 00762020

6.1.7.6审核和检查

应定期进行常规安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况。

6. 1.8 安全管理人员

6. 1. 8. 1人员录用

包括： ? 应指定或授权专门的部门或人员负责人员录用： b) 应对被录用人员的身份、安全背景、专业资格或资质等进行审查； c) 应与系统管理员、审计管理员、安全管理员等关键岗位的人员签署岗位责任协议。 6.1.8.2人员离岗 应及时终止离岗员工的所有访问权限，收回各种身份 证件、钥匙、徽章等以及机构提供的软硬件设 备。 6.1.8.3安全意识只教育和培训 包括： a）应对各类人员进行安 和惩戒措施： b） 应针对不同岗位制定不同的培训计划，对网络安全基础知识、岗位操作规程等 等进行培训，在 职人员年度人均接受培训时间不少于4 网络安全关建岗位人员年度大均接受培训时 间不少于8个学时。 6.1.8.4 外部人员访问管理 包括： a 应在外部人员物理访问受控区域前先提出书面申请，批准后由专人全程陪同，并登记备案； b) 应在外部人员接入受控网络访问系统前先提出书面申请，批准后由专人开设账户、分配权限 并登记备案； C 外部人员 离场后应及时清除其所有的访问权限。

6.1.9安全建设管理

6.1.9.1定级和备案

包括： 应依据MH/T0069，以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由 b) 应组织相关部门和有关安全技术专家对定级结果的合理性和正确性进行论证和审定； C 应保证定级结果经过相关部门的批准； d 应将备案材料报相应公安机关备案，并将备案结果报所在地民航行政管理机构

6.1.9.2安全方案设计

应根据安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施； b）应根据保护对象的安全保护等级进行安全方案设计；

MH/T 00762020

C） 应组织相关部门和有关安全专家对安全方案的合理性和正确性进行论证和审定， 才能正式实施；涉及关键信息基础设施的，应报民航网络安全管理部门进行网络 查。 1.9.3产品采购和使用 包括： a）应确保网络安全产品采购和使用符合国家的有关规定： b）应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求。 1.9.4自行软件开发 包括： a）应将开发环境与实际运行环境物理分开，测试数据和测试结果受到控制； b）应在软件开发过程中对安全性进行测试，在软件安装前对可能存在的恶意代码进 1.9.5外包软件开发 包括： a）应在软件交付前检测其中可能存在的恶意代码； b）应保证开发单位提供软件设计文档和使用指南。 1.9.6工程实施 包括： a）应指定或授权专门的部门或人员负责工程实施过程的管理； b）应制定工程实施方案控制安全工程实施过程。 1.9.7测试验收 包括： a）应制订测试验收方案，并依据测试验收方案实施测试验收，形成测试验收报告； b 应委托专业安全机构进行上线前的安全性测试，并出具安全测试报告； C 应确保系统通过安全性测试后才能接入互联网。 1.9.8系统交付 包括： a）应制定交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点； b 应对负责运行维护的技术人员进行相应的技能培训； C 应提供建设过程文档和运行维护文档。 1.9.9等级测评 包括： a 应定期进行等级测评，发现不符合相应等级保护标准要求的及时整改； b 应在发生重大变更或级别发生变化时进行等级测评； c）应确保测评机构的选择符合国家有关规定。 1.9.10服务供应商选择

6. 1.9.3产品采购和1

3.1.9.5外包软件开发

6. 1. 9. 6 工程实施

6. 1. 9.7 测试验收

包括： a）应制订测试验收方案，并依据测试验收方案实施测试验收，形成测试验收报告； b）应委托专业安全机构进行上线前的安全性测试，并出具安全测试报告； C）应确保系统通过安全性测试后才能接入互联网。

6.1.9.8系统交付

包括： a）应制定交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点； b）应对负责运行维护的技术人员进行相应的技能培训； c）应提供建设过程文档和运行维护文档。

6. 1. 9. 9 等级测评

6.1.9.10服务供应商选

包括： a）应确保服务供应商的选择符合国家和行业的有关规定； b）应与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的网络安全相

6.1.10安全运维管理

6.1.10.1环境管理

MH/T 00762020

a）应指定专门的部门或人员负责机房安全，对机房出入进行管理，定期对机房供配电、空调、温 湿度控制、消防等设施进行维护管理； b 应对机房的安全管理做出规定，包括物理访问、物品进出和环境安全等； C 应严格控制手机、便携式电脑等电子产品带入机房： d 应不在重要区域接待来访人员，不随意放置含有敏感信息的纸档文件和移动介质等

6.1.10.2资产管理

6.1.10.3介质管理

包括： a 应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储环境专人管理，并根据 存档介质的目录清单定期盘点； b） 应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制，并对介质的归档和查 询等进行登记记录； c）应对移动存储介质的安全使用作出规定，避免交叉混用，造成信息泄露和恶意代码传播。

6.1.10.4设备维护管理

6. 1.10.7恶意代码防范管理

包括： a） 应提高所有用户的防恶意代码意识，告知对外来计算机或存储设备接入系统前进行恶意代码检 查等； b） 应对恶意代码防范要求做出规定，包括防恶意代码软件的授权使用、恶意代码库升级、恶意代 码的定期查杀等； 应定期检查恶意代码库的升级情况，对截获的恶意代码进行及时分析处理。

6. 1. 10. 8配置管理

MH/T 00762020

应记录和保存基本配置信息，包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和 补丁信息、各个设备或软件组件的配置参数等

6. 1. 10. 9 密码管理

6.1.10.10变更管理

6.1.10.13应急预案管理

6.1.10.14外包运维管理

3.2云计算安全扩展要

应符合GB/T22239—2019中7.5的要求。

7.1.1安全物理环境

MH/T 00762020

包括： a) 机房场地应选择在具有防震、防风和防雨等能力的建筑内； b 机房外墙壁应没有对外的窗户；否则，应采用双层固定窗，并做密封、防水处理； C 机房场地应避免设在建筑物的顶层或地下室，以及用水设备的下层或隔壁，否则应加强防水和 防潮措施。

GB∕T 17794-2021 柔性泡沫橡塑绝热制品7.1.1.2物理访问控制

机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。

7.1.1.3防盗窃和防破坏

7.1. 1.4 防雷击

与机房设备无关的水管不得穿过机房屋顶和活动地板下；机房屋顶和活动地板下铺有水管的， 应采取有效防护措施； b 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透； 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透： d 应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警

7.1. 1. 7防静电

包： a）应采用防静电地板或地面并采用必要的接地防静电措施； b）应采取措施防止静电的产生T∕CAMET 04008.5-2018 城市轨道交通车地综合通信系统（LTE-M）测试规范 第5部分：终端设备测试，例如采用静电消除器、佩戴防静电手环等。

7.1.1.8 温湿度控制