JT-T-904-2014交通運(yùn)輸行業(yè)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南

中華人民共和國交通運(yùn)輸行業(yè)標(biāo)準(zhǔn)交通運(yùn)輸行業(yè)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南2014-04-15發(fā)布中華人民共和國交通運(yùn)輸部發(fā)布I前言 Ⅱ1范圍 12規(guī)范性引用文件 13術(shù)語和定義 14定級(jí)原理 24.1信息系統(tǒng)安全保護(hù)等級(jí) 24.2信息系統(tǒng)安全保護(hù)等級(jí)的定級(jí)要素 2 35.1定級(jí)的基本流程 35.2確定定級(jí)對(duì)象 45.3確定一級(jí)要素 55.4確定二級(jí)要素 75.5確定業(yè)務(wù)信息安全保護(hù)等級(jí) 85.6確定系統(tǒng)服務(wù)安全保護(hù)等級(jí) 95.7確定信息系統(tǒng)安全保護(hù)等級(jí) 6等級(jí)變更 附錄A(資料性附錄)某省級(jí)辦公自動(dòng)化(OA)系統(tǒng)安全等級(jí)保護(hù)定級(jí)示例 Ⅱ本標(biāo)準(zhǔn)按照GB/T1.1—2009給出的規(guī)則起草。本標(biāo)準(zhǔn)由交通運(yùn)輸部信息通信及導(dǎo)航標(biāo)準(zhǔn)化技術(shù)委員會(huì)歸口。1交通運(yùn)輸行業(yè)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南[GB/T22240—2008,定義3.2}2信息系統(tǒng)承載信息和功能服務(wù)的主體用戶或主體用戶群的分布狀況。交通運(yùn)輸行業(yè)信息系統(tǒng)安全保護(hù)等級(jí)分為以下五級(jí)：4.2信息系統(tǒng)安全保護(hù)等級(jí)的定級(jí)要素用來直接判定信息系統(tǒng)安全保護(hù)等級(jí)的因素，包括信息系統(tǒng)被破壞時(shí)所侵害的客體及對(duì)相應(yīng)客體侵害的程度。等級(jí)保護(hù)對(duì)象受到破壞時(shí)所侵害的客體包括以下三個(gè)方面：3對(duì)客體的侵害程度由客觀方面的不同外在表現(xiàn)綜合決定。由于對(duì)客體的侵害是通過對(duì)等級(jí)保護(hù)對(duì)等級(jí)保護(hù)對(duì)象受到破壞后對(duì)客體造成侵害的程度歸結(jié)為以下三種：一級(jí)要素與信息系統(tǒng)安全保護(hù)等級(jí)的關(guān)系如表1所示。受侵害的客體對(duì)客體的侵害程度一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他組織的合法權(quán)益第一級(jí)第二級(jí)第二級(jí)社會(huì)秩序、公共利益第二級(jí)第三級(jí)第四級(jí)國家安全第三級(jí)第四級(jí)第五級(jí)5定級(jí)方法5.1定級(jí)的基本流程信息系統(tǒng)安全包括業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全，與之相關(guān)的受侵害客體和對(duì)客體的侵害程度可從業(yè)務(wù)信息安全角度反映的信息系統(tǒng)安全保護(hù)等級(jí)稱為業(yè)務(wù)信息安全保護(hù)等級(jí)。從系統(tǒng)服務(wù)安全角度反映的信息系統(tǒng)安全保護(hù)等級(jí)稱為系統(tǒng)服務(wù)安全保護(hù)等級(jí)。時(shí)對(duì)客體的侵害程度等因素確定。4b)確定一級(jí)要素，根據(jù)交通運(yùn)輸行業(yè)行政管理及公共服務(wù)職能，信息系統(tǒng)受到破壞時(shí)所侵害的客體具體表現(xiàn)及對(duì)客體的侵害行為的外在表現(xiàn)，確定受到破壞時(shí)所受侵害的客體和對(duì)客體的c)確定二級(jí)要素，在無法確定定級(jí)對(duì)象一級(jí)要素時(shí)，可先根據(jù)信息系統(tǒng)自身固有的特征確定二d)確定業(yè)務(wù)信息安全保護(hù)等級(jí)，從信息系統(tǒng)業(yè)務(wù)信息安全受到破壞時(shí)所受侵害的客體和對(duì)客體e)確定系統(tǒng)服務(wù)安全保護(hù)等級(jí)，從信息系統(tǒng)系統(tǒng)服務(wù)安全受到破壞時(shí)所受侵害的客體和對(duì)客體f)將業(yè)務(wù)信息安全保護(hù)等級(jí)和系統(tǒng)服務(wù)安全保護(hù)等級(jí)的較高者確定為定級(jí)對(duì)象的安全保護(hù)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)基本流程如圖1所示。級(jí)要素以所侵害的客體侵害程度保護(hù)等級(jí)通過二級(jí)要素輔助確定一級(jí)要素判定等級(jí)所侵害的客體5a)具有唯一確定的安全責(zé)任單位。作為定級(jí)對(duì)象的信息系統(tǒng)應(yīng)能夠唯一地確定其安全責(zé)任1)如果一個(gè)單位的某個(gè)下級(jí)單位負(fù)責(zé)信息系統(tǒng)安全建設(shè)、運(yùn)行維護(hù)等過程的全部安全責(zé)2)如果一個(gè)單位中的不同下級(jí)單位分別承擔(dān)信息系統(tǒng)不同方面的安全責(zé)任，則該信息系統(tǒng)的安全責(zé)任單位應(yīng)是這些下級(jí)單位共同所屬的單位；3)如果一個(gè)跨不同地域運(yùn)行的分布式信息系統(tǒng)，存在不同的安全責(zé)任單位，則根據(jù)不同地b)具有信息系統(tǒng)的基本要素。作為定級(jí)對(duì)象的信息系統(tǒng)應(yīng)該是由相關(guān)的和配套的設(shè)備、設(shè)施按照一定的應(yīng)用目標(biāo)和規(guī)則組合而成的有形實(shí)體。應(yīng)避免將某個(gè)單一的系統(tǒng)組件，如服務(wù)器、c)承載單一或相對(duì)獨(dú)立的業(yè)務(wù)應(yīng)用。業(yè)務(wù)應(yīng)用有少量的數(shù)據(jù)交換，定級(jí)對(duì)象可能會(huì)與其他信息系統(tǒng)共享一些設(shè)備，尤其是網(wǎng)絡(luò)傳輸設(shè)備。5.3.1.1侵害國家安全的事項(xiàng)判斷行業(yè)信息系統(tǒng)受到損害后是否侵害到國家安全，主要基于信息系統(tǒng)及其承載信息是否涉及重a)影響國家政權(quán)穩(wěn)固和國防實(shí)力；d)影響國家重要的安全保衛(wèi)工作；e)影響國家經(jīng)濟(jì)競爭力和科技實(shí)力；f)其他影響國家安全的事項(xiàng)。b)影響各種類型的經(jīng)濟(jì)活動(dòng)秩序；6e)影響社會(huì)成員獲取公開信息資源；f)影響社會(huì)成員接受公共服務(wù)；g)影響行業(yè)企事業(yè)單位或社會(huì)公眾合法權(quán)益的獲得；h)影響公眾在法律約束和道德規(guī)范下的正常生活秩序等；5.3.2確定對(duì)客體的侵害程度a)如果受侵害客體是社會(huì)秩序、公共利益或國家安全，則應(yīng)以整個(gè)行業(yè)或國家的總體利益作為壞和對(duì)信息系統(tǒng)服務(wù)的破壞，其中業(yè)務(wù)信息安全是指確保信息系統(tǒng)內(nèi)信息的保密性、完整性和可用性h)對(duì)其他組織和個(gè)人造成損害；交通運(yùn)輸行業(yè)信息系統(tǒng)被破壞時(shí)所侵害的客體及對(duì)相應(yīng)客體侵害的程度關(guān)系如表2所示。7侵害程度工作業(yè)務(wù)法律財(cái)產(chǎn)社會(huì)其他組織和個(gè)人使交通運(yùn)輸行業(yè)管理、影響交通通行能力及服務(wù)能力，交通運(yùn)輸企業(yè)正常經(jīng)營能力有所降低但不影響主要業(yè)務(wù)執(zhí)行出現(xiàn)較輕的法律問題造成較低的財(cái)產(chǎn)損失造成有限的社會(huì)不良影響對(duì)其他組織和個(gè)人造成較低損害一般損害使交通運(yùn)輸行業(yè)管理、影響交通通行能力及服務(wù)能力，交通運(yùn)輸企業(yè)正常經(jīng)營能力顯著下降且嚴(yán)重影響主要業(yè)務(wù)執(zhí)行出現(xiàn)較嚴(yán)重的法律問題造成較高的財(cái)產(chǎn)損失造成較大范圍的社會(huì)不良影響對(duì)其他組織和個(gè)人造成較嚴(yán)重?fù)p害嚴(yán)重?fù)p害使交通運(yùn)輸行業(yè)管理、交通通行能力及服務(wù)能力，交通運(yùn)輸企業(yè)正常經(jīng)營能力等嚴(yán)重下降且主要業(yè)務(wù)無法執(zhí)行出現(xiàn)極其嚴(yán)重的法律問題造成極高的財(cái)產(chǎn)損失造成大范圍的社會(huì)不良影響對(duì)其他組織和個(gè)人造成非常嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害5.4確定二級(jí)要素5.4.1信息系統(tǒng)類別——行政辦公類信息系統(tǒng)主要指支撐各級(jí)交通運(yùn)輸管理部門和企事業(yè)單位為了維持自身組織活動(dòng) 綜合平臺(tái)類信息系統(tǒng)主要指在交通運(yùn)輸各主要信息系統(tǒng)之上建立的具備可支撐多業(yè)務(wù)協(xié)同或——基礎(chǔ)支撐類信息系統(tǒng)主要指能夠支撐多個(gè)信息系統(tǒng)實(shí)現(xiàn)計(jì)算、操作或通信等功能所依賴的系5.4.3系統(tǒng)服務(wù)范圍業(yè)務(wù)依賴程度主要分為三類：人工可替代、人工可部分替代、人工不可替代。85.5.1根據(jù)業(yè)務(wù)信息安全被破壞時(shí)所侵害的客體以及對(duì)相應(yīng)客體的侵害程度確定業(yè)務(wù)信息安全保護(hù)業(yè)務(wù)信息安全被破壞時(shí)所侵害的客體對(duì)相應(yīng)客體的侵害程度一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他組織的合法權(quán)益第一級(jí)第二級(jí)第二級(jí)社會(huì)秩序、公共利益第二級(jí)第三級(jí)第四級(jí)國家安全第三級(jí)第四級(jí)第五級(jí)5.5.2如不能準(zhǔn)確判定業(yè)務(wù)信息安全一級(jí)要素，可依據(jù)二級(jí)要素輔助判定。業(yè)務(wù)信息安全二級(jí)要素與一級(jí)要素映射關(guān)系如表4所示。表4業(yè)務(wù)信息安全二級(jí)要素與一級(jí)要素映射關(guān)系序號(hào)信息系統(tǒng)類別系統(tǒng)服務(wù)范圍承載信息類別侵害的客體侵害程度1業(yè)務(wù)管理類全國涉及國家安全的信息國家安全嚴(yán)重?fù)p害重要信息社會(huì)秩序、公共利益嚴(yán)重?fù)p害或特別嚴(yán)重?fù)p害一般信息社會(huì)秩序、公共利益一般損害區(qū)域涉及國家安全的信息國家安全嚴(yán)重?fù)p害重要信息社會(huì)秩序、公共利益嚴(yán)重?fù)p害或特別嚴(yán)重?fù)p害一般信息社會(huì)秩序、公共利益一般損害省域涉及國家安全的信息國家安全一般損害重要信息社會(huì)秩序、公共利益嚴(yán)重?fù)p害一般信息社會(huì)秩序、公共利益一般損害機(jī)構(gòu)內(nèi)涉及國家安全的信息國家安全一般損害重要信息社會(huì)秩序、公共利益一般損害一般信息公民、法人、其他組織一般損害2行政辦公類全國涉及國家安全的信息國家安全嚴(yán)重?fù)p害重要信息社會(huì)秩序、公共利益嚴(yán)重?fù)p害或特別嚴(yán)重?fù)p害一般信息社會(huì)秩序、公共利益一般損害區(qū)域涉及國家安全的信息國家安全一般損害重要信息社會(huì)秩序、公共利益嚴(yán)重?fù)p害或特別嚴(yán)重?fù)p害一般信息社會(huì)秩序、公共利益一般損害省域涉及國家安全的信息國家安全一般損害重要信息社會(huì)秩序、公共利益嚴(yán)重?fù)p害一般信息社會(huì)秩序、公共利益一般損害9表4(續(xù))序號(hào)信息系統(tǒng)類別系統(tǒng)服務(wù)范圍承載信息類別侵害的客體侵害程度2行政辦公類機(jī)構(gòu)內(nèi)涉及國家安全的信息國家安全一般損害重要信息社會(huì)秩序、公共利益一般損害一般信息公民、法人、其他組織一般損害3綜合平臺(tái)類全國涉及國家安全的信息國家安全嚴(yán)重?fù)p害重要信息社會(huì)秩序、公共利益嚴(yán)重?fù)p害或特別嚴(yán)重?fù)p害一般信息社會(huì)秩序、公共利益一般損害區(qū)域涉及國家安全的信息國家安全嚴(yán)重?fù)p害重要信息社會(huì)秩序、公共利益嚴(yán)重?fù)p害或特別嚴(yán)重?fù)p害一般信息社會(huì)秩序、公共利益一般損害省域涉及國家安全的信息國家安全一般損害重要信息社會(huì)秩序、公共利益嚴(yán)重?fù)p害一般信息社會(huì)秩序、公共利益一般損害4基礎(chǔ)支撐類全國涉及國家安全的信息國家安全嚴(yán)重?fù)p害重要信息社會(huì)秩序、公共利益嚴(yán)重?fù)p害或特別嚴(yán)重?fù)p害一般信息社會(huì)秩序、公共利益一般損害區(qū)域涉及國家安全的信息國家安全嚴(yán)重?fù)p害重要信息社會(huì)秩序、公共利益嚴(yán)重?fù)p害或特別嚴(yán)重?fù)p害一般信息社會(huì)秩序、公共利益一般損害省域涉及國家安全的信息國家安全一般損害重要信息社會(huì)秩序、公共利益嚴(yán)重?fù)p害一般信息社會(huì)秩序、公共利益一般損害機(jī)構(gòu)內(nèi)涉及國家安全的信息國家安全一般損害重要信息社會(huì)秩序、公共利益一般損害一般信息公民、法人、其他組織一般損害5.5.3二級(jí)要素輔助判定業(yè)務(wù)信息安全相關(guān)的一級(jí)要素后，依據(jù)表3業(yè)務(wù)信息安全與安全保護(hù)等級(jí)5.6確定系統(tǒng)服務(wù)安全保護(hù)等級(jí)5.6.1根據(jù)系統(tǒng)服務(wù)安全被破壞時(shí)所侵害的客體以及對(duì)相應(yīng)客體的侵害程度確定系統(tǒng)服務(wù)安全保護(hù)等級(jí)，系統(tǒng)服務(wù)安全與安全保護(hù)等級(jí)的關(guān)系如表5所示。5.6.2如不能準(zhǔn)確判定系統(tǒng)服務(wù)安全一級(jí)要素，可依據(jù)二級(jí)要素輔助判定一級(jí)要素。系統(tǒng)服務(wù)安全二級(jí)要素與一級(jí)要素映射關(guān)系如表6所示。表5系統(tǒng)服務(wù)安全與安全保護(hù)等級(jí)的關(guān)系系統(tǒng)服務(wù)安全被破壞時(shí)所侵害的客體對(duì)相應(yīng)客體的侵害程度一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他組織的合法權(quán)益第一級(jí)第二級(jí)第二級(jí)社會(huì)秩序、公共利益第二級(jí)第三級(jí)第四級(jí)國家安全第三級(jí)第四級(jí)第五級(jí)序號(hào)信息系統(tǒng)類別系統(tǒng)服務(wù)范圍業(yè)務(wù)依賴程度侵害的客體侵害程度1業(yè)務(wù)管理類全國人工可替代社會(huì)秩序、公共利益一般損害人工可部分替代社會(huì)秩序、公共利益一般損害人工不可替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害或特別嚴(yán)重?fù)p害區(qū)域人工可替代社會(huì)秩序、公共利益一般損害人工可部分替代社會(huì)秩序、公共利益一般損害人工不可替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害省域人工可替代社會(huì)秩序、公共利益一般損害人工可部分替代社會(huì)秩序、公共利益一般損害人工不可替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害機(jī)構(gòu)內(nèi)人工可替代公民、法人、其他組織一般損害人工可部分替代公民、法人、其他組織嚴(yán)重?fù)p害人工不可替代公民、法人、其他組織特別嚴(yán)重?fù)p害2行政辦公類全國人工可替代社會(huì)秩序、公共利益一般損害人工可部分替代社會(huì)秩序、公共利益一般損害人工不可替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害區(qū)域人工可替代社會(huì)秩序、公共利益一般損害人工可部分替代社會(huì)秩序、公共利益一般損害人工不可替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害省域人工可替代社會(huì)秩序、公共利益一般損害人工可部分替代社會(huì)秩序、公共利益一般損害人工不可替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害機(jī)構(gòu)內(nèi)人工可替代公民、法人、其他組織一般損害人工可部分替代公民、法人、其他組織嚴(yán)重?fù)p害人工不可替代公民、法人、其他組織特別嚴(yán)重?fù)p害表6(續(xù))序號(hào)信息系統(tǒng)類別系統(tǒng)服務(wù)范圍業(yè)務(wù)依賴程度侵害的客體侵害程度3綜合平臺(tái)類全國人工可替代社會(huì)秩序、公共利益一般損害人工可部分替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害人工不可替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害或特別嚴(yán)重?fù)p害區(qū)域人工可替代社會(huì)秩序、公共利益一般損害人工可部分替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害人工不可替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害省域人工可替代社會(huì)秩序、公共利益一般損害人工可部分替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害人工不可替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害4基礎(chǔ)支撐類全國人工可替代社會(huì)秩序、公共利益一般損害人工可部分替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害人工不可替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害或特別嚴(yán)重?fù)p害區(qū)域人工可替代社會(huì)秩序、公共利益一般損害人工可部分替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害人工不可替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害省域人工可替代社會(huì)秩序、公共利益一般損害人工可部分替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害人工不可替代社會(huì)秩序、公共利益嚴(yán)重?fù)p害機(jī)構(gòu)內(nèi)人工可替代公民、法人、其他組織一般損害人工可部分替代公民、法人、其他組織嚴(yán)重?fù)p害人工不可替代公民、法人、其他組織特別嚴(yán)重?fù)p害5.6.3二級(jí)要素輔助判定系統(tǒng)服務(wù)安全相關(guān)的一級(jí)要素后，依據(jù)表5系統(tǒng)服務(wù)安全與安全保護(hù)等級(jí)作為定級(jí)對(duì)象的信息系統(tǒng)的安全保護(hù)等級(jí)由業(yè)務(wù)信息安全保護(hù)等級(jí)和系統(tǒng)服務(wù)安全保護(hù)等級(jí)的較附錄A給出了某省級(jí)辦公自動(dòng)化(OA)系統(tǒng)安全等級(jí)保護(hù)定級(jí)示例。6等級(jí)變更在交通運(yùn)輸行業(yè)信息系統(tǒng)的運(yùn)行過程中，信息系統(tǒng)安全保護(hù)等級(jí)應(yīng)隨著信息系統(tǒng)所處理的信息和業(yè)務(wù)狀態(tài)的變化進(jìn)行適當(dāng)?shù)淖兏?，尤其是?dāng)業(yè)務(wù)狀態(tài)變化可能