路径: 主页 > MISC > 第182页 > JT/T 1275-2019 | 标准编号 | JT/T 1275-2019 (JT/T1275-2019) | | 中文名称 | 交通运输信息系统安全风险评估指南 | | 英文名称 | Security risk assessment guidance for transportation information system | | 行业 | 交通行业标准 (推荐) | | 中标分类 | L80 | | 国际标准分类 | 35.040 | | 字数估计 | 16,156 | | 发布日期 | 2019 | | 实施日期 | 2019-10-01 | | 发布机构 | 交通运输部 | | 范围 | 本标准规定了交通运输信息系统安全风险评估的总体要求及实施要求。本标准适用于交通运输信息系统安全风险的评估和管理。 | JT/T 1275-2019: 交通运输信息系统安全风险评估指南
JT/T 1275-2019 英文名称: Security risk assessment guidance for transportation information system
１ 范围
本标准规定了交通运输信息系统安全风险评估的总体要求及实施要求。
本标准适用于交通运输信息系统安全风险的评估和管理。
２ 规范性引用文件
下列文件对于本文件的应用是必不可少的。 凡是注日期的引用文件，仅注日期的版本适用于本文
件。 凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/Ｔ ２０９８４-２００７ 信息安全技术 信息安全风险评估规范
３ 术语和定义
GB/Ｔ ２０９８４ 界定的以及下列术语和定义适用于本文件。 为便于使用，以下重复列出了 GB/Ｔ
２０９８４ 中的部分术语和定义。
４． １ 工作组织
交通运输信息系统安全风险评估工作应以自评估为主，自评估和检查评估相互结合、互为补充的方
式开展。
自评估工作由信息系统主管部门、运营单位或使用单位发起，结合系统特定的安全要求，对本单位
信息系统开展风险评估。
检查评估工作由信息系统上级管理部门组织或国家有关职能部门依法开展。
４． ２ 实施要求
交通运输信息系统安全风险评估工作应由信息系统主管部门及运营单位、使用单位定期开展。 在
信息系统或运行环境发生重大变更（包括发现新的重大威胁和漏洞）时，或在出现其他可能影响系统安
全状态的条件时，应重新开展。 信息系统试运行期间开展的风险评估工作，应作为项目验收的重要
内容。
信息系统安全风险评估结果应记录在风险评估报告中，有针对性地提出安全整改建议，并将风险评
估情况和改进措施报送相关网络安全监管职能部门。
４． ３ 实施原则
交通运输信息系统安全风险评估实施遵循以下原则：
ａ） 最小影响原则。 应保障信息系统的稳定运行，对可能造成影响的评估测试项，应选择在非业
务高峰期或模拟仿真环境中进行测试。
ｂ） 可控性原则。 所有参与评估的安全服务机构人员应签署保密协议，对工作过程数据和结果数
据严格管理，未经授权不得泄露给任何单位和个人；所使用的评估工具应获得被评估方的
许可。
ｃ） 客观公正原则。 安全服务机构应在风险评估中充分收集证据，对信息系统安全风险做出客观
公正的判断。
４． ４ 实施形式
交通运输信息系统安全风险评估工作可以自行评估或安全服务机构第三方评估的形式开展，
自行评估和第三方评估互相结合、互相补充。 第三方评估应委托具有相应资质的安全服务机构
开展。
４． ５ 实施方法
交通运输信息系统安全风险评估工作应采取以下实施方法：
ａ） 文档查阅。 查阅信息系统的规划设计方案、安全防护方案、管理制度和应急预案等文档，对其
进行评估。
ｂ） 现场访谈。 根据风险评估需要，对信息系统的相关人员进行交流，了解信息系统的开发、集
成、供应、使用和管理等过程，了解其存在的风险。
ｃ） 现场检测。 对信息系统进行生产环境下的资产状态和配置情况检查测试，并在被评估方同意
情况下进行漏洞扫描和渗透测试工作。
ｄ） 远程测试。 根据评估工作需要，对信息系统进行远程的漏洞扫描和渗透测试。
４． ６ 信息系统生命周期各阶段的风险评估
信息系统生命周期各阶段的风险评估应遵循 GB/Ｔ ２０９８４-２００７ 第 ６ 章的要求。
５ 风险评估实施
５． １ 评估原理
信息系统的业务实现依赖于系统资产，系统资产具有脆弱性。 系统内部或外部威胁，利用资产脆弱
性危害资产，从而产生安全风险，甚至演变为安全事件，并对信息系统业务产生影响。 系统采取的安全
措施可弥补资产脆弱性，从而抵御威胁、降低风险。
信息系统安全风险评估，是在识别信息系统的资产、脆弱性和威胁三要素基础上，根据安全事件发
生的可能性及其对所作用资产价值造成的损失，计算对系统业务产生的影响，即风险值。
５． ２ 实施流程
根据风险评估实施流程中的各项工作内容，风险评估实施应划分为风险评估准备、风险要素识别、
风险分析和风险处理四个阶段。 各阶段主要工作为：
ａ） 风险评估准备。 作为评估实施有效性的保证，是评估工作的开始。
ｂ） 风险要素识别。 对评估活动中的资产、威胁、脆弱性和安全措施各类关键要素进行识别与赋值。
ｃ） 风险分析。 对识别阶段中获得的各类信息进行关联分析，并计算风险值。
ｄ） 风险处理。 针对评估出的风险，提出相应的处置建议，并按照处置建议实施安全加固后进行
参与风险处理等内容。
５． ３ 评估准备
风险评估准备阶段的各项工作应符合 GB/Ｔ ２０９８４-２００７ 的要求，其中组建团队工作参见附录 Ａ。
５． ４ 资产识别
５． ４． １ 资产分类
交通运输信息系统资产主要分为以下三类：
ａ） 生产服务类系统。 支撑各交通运输服务部门提供对货物、旅客等运输服务活动的信息服务、
生产保障类系统，如轨道交通信号系统、道路交通监控系统、智能闸口系统、各组织机构的门
户网站、公路水路出行服务系统和国家交通运输物流公共信息平台等。
ｂ） 行政管理类系统。 支撑各级交通运输管理部门和运输服务单位为了维持自身组织活动或者
进行交通运输行业行政管理事务而建设的信息系统，如各组织机构的办公系统、船舶产品检
验管理系统及网约车监管信息交互平台等。
ｃ） 基础支撑类系统。 支撑交通运输行业各类系统在计算、操作或通信等方面的运行环境，如各
组织机构的数据中心、云计算平台、高速公路光纤网和地理信息平台等。
交通运输信息系统风险评估工作应首先确定信息系统的类别，然后按照 GB/Ｔ ２０９８４-２００７ 中表 １
的规定，对信息系统所包含的资产进行识别和分类。
５． ４． ２ 资产赋值
５． ４． ２． １ 信息系统价值基准
交通运输信息系统的价值基准是基于业务管理和服务保障重要性水平，对信息系统机密性、完整性
和可用性三种安全属性的最小要求程度。
５． ４． ２． ２ 资产赋值方法
交通运输信息系统的资产在机密性、完整性和可用性三种安全属性上的价值赋值参见 GB/Ｔ
２０９８４-２００７ 中的表 ２、表 ３ 和表 ４。
信息系统所包含的重要资产价值不应小于此信息系统的价值基准。
５． ４． ２． ３ 资产重要性等级
交通运输信息系统资产重要性等级应由资产的机密性、完整性和可用性三个安全属性的价值综合
判定。 资产重要性等级描述参见 GB/Ｔ ２０９８４-２００７ 中的表 ５。
５． ５． ２ 威胁赋值
交通运输信息系统的威胁赋值参照 GB/Ｔ ２０９８４-２００７ 中表 ８ 的规定方法，应主要考虑表 ４ 中的
威胁类型。
５． ６． １ 脆弱性分类
交通运输信息系统的脆弱性识别内容参照 GB/Ｔ ２０９８４-２００７ 中表 ９ 规定的方法，应主要考虑表 ５
中的脆弱性内容。
５． ６． ２ 脆弱性赋值
交通运输信息系统的脆弱性赋值应符合 GB/Ｔ ２０９８４-２００７ 中表 １０ 的规定。
５． ７ 风险分析
５． ７． １ 资产风险计算
交通运输信息系统安全风险评估应通过具体的计算方法实现风险值的计算。
交通运输信息系统资产风险评估的计算方法参见 GB/Ｔ ２０９８４-２００７ 的附录 Ａ 中风险的计算
方法。
５． ７． ２ 信息系统安全风险结果评价
交通运输信息系统资产安全风险判定结果应参照 GB/Ｔ ２０９８４-２００７ 中表 １１，划分为很高、高、中
等、低和很低五个风险级别。 交通运输信息系统安全风险评估结果应根据资产风险等级划分为高风险、
中风险及低风险三个级别：
ａ） 高风险：很高等级风险的资产占全部资产的百分比大于等于 １０％ ，或者高等级风险的资产占
全部资产的百分比大于等于 ２５％ ；或者很高等级风险的资产和高等级风险的资产之和占全部
资产的百分比大于等于 ２５％ 。
ｂ） 中风险：中等级风险的资产占全部资产的百分比大于等于 ３５％ ，或者很高等级风险的资产、高
等级风险的资产、中等级风险的资产之和占全部资产的百分比大于等于 ３５％ 。
ｃ） 低风险：除上述情况之外的其他情况。
交通运输信息系统安全风险等级评价工作通过对信息系统所含资产风险等级进行统计分析，依据
各等级风险的资产所占全部资产的百分比确定信息系统风险等级。 表 ６ 给出确定信息系统安全风险等
级的方法，即信息系统各等级风险的资产所占全部资产的百分比满足表 ６ 中确定的某一条件，信息系统
安全风险等级是此条件对应的风险评估结果。
５． ８ 风险处理计划
依据信息安全风险评估结果，把信息系统安全风险等级划分为可接受和不可接受两种，对不可接受
的风险应根据导致该风险的脆弱性制定风险处理计划。
风险处理计划中应明确采取的弥补脆弱性的安全措施、预期效果、实施条件、进度安排和责任部门
等。 风险处理计划中安全措施的选择与实施应依据风险评估的结果，参......
|