民航旅客服務(wù)系統(tǒng)安全事件應(yīng)急處理指南

1民航旅客服務(wù)系統(tǒng)安全事件應(yīng)急處理指南本指南提出了民航旅客服務(wù)系統(tǒng)的組織機(jī)構(gòu)與職責(zé)、安全事件分類分級(jí)、安全事件應(yīng)急處理準(zhǔn)備與培訓(xùn)演練、安全事件應(yīng)急處理流程的建議。本指南適用于航空公司、機(jī)場(chǎng)及其系統(tǒng)運(yùn)營(yíng)商應(yīng)急處理民航旅客服務(wù)系統(tǒng)安全事件。2規(guī)范性引用文件下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T20985.2信息安全技術(shù)信息安全事件管理第2部分：事件響應(yīng)規(guī)劃和準(zhǔn)備指南GB/T20986信息安全技術(shù)網(wǎng)絡(luò)安全事件分類分級(jí)指南GB/T28827.3信息服務(wù)技術(shù)運(yùn)行維護(hù)第3部分：應(yīng)急響應(yīng)規(guī)范GB/T38645信息安全技術(shù)網(wǎng)絡(luò)安全事件應(yīng)急演練指南GB/T39204信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求MH/T0069民用航空網(wǎng)絡(luò)信息安全等級(jí)保護(hù)定級(jí)指南3術(shù)語(yǔ)和定義下列術(shù)語(yǔ)和定義適用于本文件。3.1民航旅客服務(wù)系統(tǒng)passengerservicesystem以面向旅客服務(wù)為核心的民航業(yè)務(wù)信息系統(tǒng)。注：包括航班管理系統(tǒng)、訂票銷售系統(tǒng)、乘客信息管理系統(tǒng)、登機(jī)系統(tǒng)、值機(jī)系統(tǒng)、行李處理系統(tǒng)、客戶關(guān)系管理系統(tǒng)等。4應(yīng)急處理機(jī)制4.1系統(tǒng)用戶和運(yùn)維單位宜成立系統(tǒng)安全事件應(yīng)急處理領(lǐng)導(dǎo)小組和工作組。4.2應(yīng)急處理領(lǐng)導(dǎo)小組負(fù)責(zé)系統(tǒng)安全事件的應(yīng)急管理工作。4.3應(yīng)急處理工作組宜建立值班制度，具體負(fù)責(zé)本單位安全事件的應(yīng)急處置工作。4.4宜建立職責(zé)范圍和操作權(quán)限明確的應(yīng)急隊(duì)伍。應(yīng)急隊(duì)伍宜具有可靠的通信渠道，包括值班電話、短信群組、加密通訊軟件等。宜定期對(duì)應(yīng)急隊(duì)伍成員進(jìn)行專業(yè)培訓(xùn)，組織實(shí)戰(zhàn)演練，模擬真實(shí)場(chǎng)景，檢驗(yàn)應(yīng)急預(yù)案的可行性和人員的熟練程度。5分類與分級(jí)5.1分類參照GB/T20986，宜將民航旅客服務(wù)系統(tǒng)安全事件分為“運(yùn)營(yíng)故障安全事件”、“信息安全事件”和“數(shù)據(jù)安全事件”。5.2分級(jí)2參照GB/T20986，宜將民航旅客服務(wù)系統(tǒng)安全事件級(jí)別劃分為“特別重大安全事件”、“重大安全事件”、“較大安全事件”、“一般安全事件”和“輕微安全事件”。5.3分類分級(jí)構(gòu)成民航旅客服務(wù)系統(tǒng)安全事件分類分級(jí)構(gòu)成見表1。表1民航旅客服務(wù)系統(tǒng)安全事件分類分級(jí)構(gòu)成運(yùn)營(yíng)故障安全事件信息安全事件數(shù)據(jù)安全事件安全事件1.系統(tǒng)異常導(dǎo)致07：00-20：00機(jī)場(chǎng)客運(yùn)繁忙時(shí)段，全部機(jī)場(chǎng)離港業(yè)務(wù)不能開展60分鐘以上。2.系統(tǒng)異常導(dǎo)致全部訂座或者分銷業(yè)務(wù)不能開展120分鐘以上。1．受到持續(xù)、大量、有組織的網(wǎng)絡(luò)攻擊，導(dǎo)致特別嚴(yán)重的業(yè)務(wù)損失。2．系統(tǒng)多次病毒發(fā)作或嚴(yán)重發(fā)作，導(dǎo)致特別嚴(yán)重的業(yè)務(wù)損失。3．關(guān)鍵功能出現(xiàn)嚴(yán)重有害信息，對(duì)系統(tǒng)功能造成損害，造成特別重大社會(huì)危害。系統(tǒng)中大量旅客敏感信息或業(yè)務(wù)數(shù)據(jù)泄漏，導(dǎo)致特別嚴(yán)重的業(yè)務(wù)損失或造成特別重大的社會(huì)危害。事件1．系統(tǒng)異常導(dǎo)致07：00-20：00機(jī)場(chǎng)客運(yùn)繁忙時(shí)段全部機(jī)場(chǎng)離港業(yè)務(wù)不能開展20分鐘以上。2．系統(tǒng)異常導(dǎo)致年旅客吞吐量大于5000萬(wàn)的單個(gè)機(jī)場(chǎng)離港業(yè)務(wù)不能開展30分鐘以3．系統(tǒng)異常導(dǎo)致全部訂座或者分銷業(yè)務(wù)不能開展30分鐘以上。1．系統(tǒng)頻繁受到多次網(wǎng)絡(luò)攻擊，導(dǎo)致嚴(yán)重的業(yè)務(wù)損失。2．系統(tǒng)多次病毒發(fā)作或嚴(yán)重發(fā)作，導(dǎo)致嚴(yán)重的業(yè)務(wù)損失。3．系統(tǒng)出現(xiàn)嚴(yán)重有害信息，傳播廣泛，造成重大社會(huì)危害。系統(tǒng)中大量或者少量旅客敏感信息或相關(guān)業(yè)務(wù)數(shù)據(jù)泄漏，導(dǎo)致嚴(yán)重的業(yè)務(wù)損失，造成重大的社會(huì)危害。事件1.系統(tǒng)異常導(dǎo)致07：00-20：00機(jī)場(chǎng)客運(yùn)繁忙時(shí)段，全部機(jī)場(chǎng)離港業(yè)務(wù)不能開展10分鐘以上的情況。2.系統(tǒng)異常導(dǎo)致年旅客吞吐量大于5000萬(wàn)單個(gè)機(jī)場(chǎng)離港業(yè)務(wù)不能開展20分鐘以上。3.系統(tǒng)異常導(dǎo)致年旅客吞吐量大于2000萬(wàn)單個(gè)機(jī)場(chǎng)離港業(yè)務(wù)不能開展30分鐘以上。4.系統(tǒng)異常導(dǎo)致全部訂座或者分銷業(yè)務(wù)不能開展15分鐘以上。1．系統(tǒng)遭受多次網(wǎng)絡(luò)攻擊，導(dǎo)致較大業(yè)務(wù)損失。2．系統(tǒng)大面積病毒發(fā)作，導(dǎo)致較大業(yè)務(wù)損失。3．系統(tǒng)出現(xiàn)較嚴(yán)重的有害信息等，經(jīng)有限傳播造成較大的社會(huì)危害。重要信息系統(tǒng)中少量旅客敏感信息或業(yè)務(wù)數(shù)據(jù)泄漏，導(dǎo)致較大的業(yè)務(wù)損失，造成較大的社會(huì)危害。3表1民航旅客服務(wù)系統(tǒng)安全事件分類分級(jí)構(gòu)成（續(xù)）運(yùn)營(yíng)故障安全事件信息安全事件數(shù)據(jù)安全事件事件5.系統(tǒng)異常導(dǎo)致07：00-20：00機(jī)場(chǎng)客運(yùn)繁忙時(shí)段，全部機(jī)場(chǎng)離港業(yè)務(wù)不能開展10分鐘以上的情況。6.系統(tǒng)異常導(dǎo)致年旅客吞吐量大于5000萬(wàn)單個(gè)機(jī)場(chǎng)離港業(yè)務(wù)不能開展20分鐘以上。7.系統(tǒng)異常導(dǎo)致年旅客吞吐量大于2000萬(wàn)單個(gè)機(jī)場(chǎng)離港業(yè)務(wù)不能開展30分鐘以上。8.系統(tǒng)異常導(dǎo)致全部訂座或者分銷業(yè)務(wù)不能開展15分鐘以上。4．系統(tǒng)遭受多次網(wǎng)絡(luò)攻擊，導(dǎo)致較大業(yè)務(wù)損失。5．系統(tǒng)大面積病毒發(fā)作，導(dǎo)致較大業(yè)務(wù)損失。6．系統(tǒng)出現(xiàn)較嚴(yán)重的有害信息等，經(jīng)有限傳播造成較大的社會(huì)危害。重要信息系統(tǒng)中少量旅客敏感信息或業(yè)務(wù)數(shù)據(jù)泄漏，導(dǎo)致較大的業(yè)務(wù)損失，造成較大的社會(huì)危害。事件1.系統(tǒng)異常導(dǎo)致07：00-20：00機(jī)場(chǎng)客運(yùn)繁忙時(shí)段，全部機(jī)場(chǎng)離港業(yè)務(wù)不能開展5分鐘以上的情況。2.系統(tǒng)異常導(dǎo)致年旅客吞吐量大于5000萬(wàn)的單個(gè)機(jī)場(chǎng)離港業(yè)務(wù)不能開展10分鐘以3.系統(tǒng)異常導(dǎo)致年旅客吞吐量大于2000萬(wàn)單個(gè)機(jī)場(chǎng)離港業(yè)務(wù)不能開展20分鐘以上。4.系統(tǒng)異常導(dǎo)致全部訂座或者分銷業(yè)務(wù)不能開展10分鐘以上。5.系統(tǒng)異常導(dǎo)致部分重要業(yè)務(wù)不能正常開展30分鐘以上的情況。1．系統(tǒng)受到一次網(wǎng)絡(luò)攻擊事件，導(dǎo)致較小的業(yè)務(wù)損失。2．系統(tǒng)小范圍病毒發(fā)作，導(dǎo)致較小的業(yè)務(wù)損失。3．系統(tǒng)出現(xiàn)有害信息，及時(shí)發(fā)現(xiàn)并刪除，導(dǎo)致較小的業(yè)務(wù)損失。經(jīng)確認(rèn)的少量旅客敏感信息或業(yè)務(wù)數(shù)據(jù)泄漏，及時(shí)發(fā)現(xiàn)并控制，導(dǎo)致較小的業(yè)務(wù)損失。事件1.系統(tǒng)異常導(dǎo)致年旅客吞吐量大于5000萬(wàn)的單個(gè)機(jī)場(chǎng)離港業(yè)務(wù)不能開展5分鐘以2.系統(tǒng)異常導(dǎo)致年旅客吞吐量大于2000萬(wàn)的單個(gè)機(jī)場(chǎng)離港業(yè)務(wù)不能正常開展10分鐘以上。1．系統(tǒng)受到一次嘗試失敗的網(wǎng)絡(luò)攻擊、沒(méi)有導(dǎo)致業(yè)務(wù)損失。2．系統(tǒng)無(wú)影響的病毒發(fā)作，沒(méi)有導(dǎo)致業(yè)務(wù)損失。3.系統(tǒng)出現(xiàn)輕微有害信息等，及時(shí)發(fā)現(xiàn)并刪除，沒(méi)有導(dǎo)致業(yè)務(wù)損可能的少量旅客敏感信息或業(yè)務(wù)數(shù)據(jù)泄漏，沒(méi)有導(dǎo)致業(yè)務(wù)損失。43.系統(tǒng)異常導(dǎo)致部分重要業(yè)務(wù)不能開展15分鐘以上的情況。6應(yīng)急預(yù)案與應(yīng)急演練6.1航空公司、機(jī)場(chǎng)及其系統(tǒng)運(yùn)營(yíng)商宜制定安全事件的應(yīng)急預(yù)案并定期開展應(yīng)急演練。應(yīng)急預(yù)案宜包括預(yù)案啟動(dòng)條件和判斷標(biāo)準(zhǔn)、事件升級(jí)流程、技術(shù)或者業(yè)務(wù)處置過(guò)程等內(nèi)容。6.2航空公司、機(jī)場(chǎng)及其系統(tǒng)運(yùn)營(yíng)商宜對(duì)全體員工進(jìn)行民航旅客服務(wù)系統(tǒng)安全意識(shí)培訓(xùn)，對(duì)技術(shù)和業(yè)務(wù)人員宜開展包括案例學(xué)習(xí)、應(yīng)急處理流程等安全技能培訓(xùn)，對(duì)特別重要崗位宜獲得企業(yè)或行業(yè)安全資質(zhì)認(rèn)證。6.3航空公司、機(jī)場(chǎng)及其系統(tǒng)運(yùn)營(yíng)商建立安全事件知識(shí)庫(kù)，對(duì)民航旅客服務(wù)系統(tǒng)安全事件的處理知識(shí)進(jìn)行管理和共享。7應(yīng)急處理流程7.1監(jiān)控7.1.1系統(tǒng)用戶監(jiān)測(cè)系統(tǒng)用戶在日常工作中宜關(guān)注不正常的系統(tǒng)提示、錯(cuò)誤信息或性能下降等，發(fā)現(xiàn)服務(wù)中斷、數(shù)據(jù)丟失、安全警告等異常現(xiàn)象后，宜盡可能保留與問(wèn)題相關(guān)的截圖、日志信息或其他證據(jù)，并通過(guò)客服熱線、在線反饋系統(tǒng)向系統(tǒng)運(yùn)營(yíng)單位報(bào)告。7.1.2系統(tǒng)運(yùn)營(yíng)單位監(jiān)測(cè)系統(tǒng)運(yùn)營(yíng)單位宜構(gòu)建包括性能監(jiān)控、安全監(jiān)控、日志管理的監(jiān)控工具，實(shí)時(shí)捕獲并響應(yīng)各類應(yīng)急事件，自動(dòng)觸發(fā)報(bào)警，告知運(yùn)維人員。7.2報(bào)告系統(tǒng)運(yùn)營(yíng)單位接到報(bào)警后，確認(rèn)事件對(duì)客戶服務(wù)造成的影響，按照應(yīng)急預(yù)案設(shè)定的流程向應(yīng)急處理工作組或領(lǐng)導(dǎo)小組報(bào)告，內(nèi)容宜包括受影響的用戶、故障發(fā)生時(shí)間等基本情況。應(yīng)急處理工作組或領(lǐng)導(dǎo)小組接到報(bào)告后應(yīng)立即啟動(dòng)應(yīng)急處理流程并密切關(guān)注事件進(jìn)展。7.3應(yīng)急處理7.3.1應(yīng)急處理方式應(yīng)急處理方式參考表2。表2應(yīng)急處理方式事件分類分級(jí)處理方式1航司系統(tǒng)異常系統(tǒng)故障一般事件調(diào)查和修復(fù)較大事件切換或降級(jí)重大事件及以上災(zāi)備或手工2民航旅客服務(wù)系統(tǒng)異常系統(tǒng)故障一般事件調(diào)查和修復(fù)較大事件切換或降級(jí)重大事件及以上災(zāi)備或手工3航空公司旅客數(shù)據(jù)泄露數(shù)據(jù)泄露一般事件調(diào)查和修復(fù)較大事件24小時(shí)修復(fù)重大事件及以上一鍵關(guān)停表2應(yīng)急處理方式（續(xù)）事件分類分級(jí)處理方式4航司訂票網(wǎng)站頁(yè)面篡改數(shù)據(jù)篡改一般事件調(diào)查和修復(fù)較大事件24小時(shí)修復(fù)重大事件及以上一鍵關(guān)停5機(jī)票價(jià)格異常數(shù)據(jù)錯(cuò)誤一般事件調(diào)查和修復(fù)較大事件功能降級(jí)重大事件及以上熔斷機(jī)制6旅客證件假冒數(shù)據(jù)錯(cuò)誤一般事件調(diào)查和修復(fù)較大事件旅客行程暫停或中止重大事件及以上熔斷機(jī)制7大量旅客退票極端操作一般事件調(diào)查和通報(bào)較大事件聯(lián)合保障重大事件及以上專項(xiàng)小組8突發(fā)事件航班數(shù)據(jù)保護(hù)極端操作一般事件緊急處置較大事件聯(lián)合保障重大事件及以上熔斷機(jī)制9機(jī)場(chǎng)網(wǎng)絡(luò)故障系統(tǒng)故障一般事件切換至冗余設(shè)備辦理較大事件區(qū)域切換或引導(dǎo)至基于公網(wǎng)途徑辦理重大事件及以上切換災(zāi)備或手工模式值機(jī)登機(jī)系統(tǒng)故障系統(tǒng)故障一般事件調(diào)查和修復(fù)較大事件切換或降級(jí)重大事件及以上災(zāi)備或手工6配載系統(tǒng)故障系統(tǒng)故障一般事件調(diào)查和修復(fù)較大事件手工配載重大事件及以上手工配載配載系統(tǒng)無(wú)數(shù)據(jù)系統(tǒng)故障一般事件調(diào)查和修復(fù)較大事件手工錄入數(shù)據(jù)重大事件及以上手工錄入數(shù)據(jù)表2應(yīng)急處理方式（續(xù)）事件分類分級(jí)處理方式安檢數(shù)據(jù)錯(cuò)誤數(shù)據(jù)錯(cuò)誤一般事件調(diào)查和修復(fù)較大事件人工安檢重大事件及以上人工安檢航顯廣播篡改數(shù)據(jù)篡改一般事件調(diào)查和修復(fù)較大事件一鍵關(guān)停重大事件及以上一鍵關(guān)停機(jī)場(chǎng)旅客數(shù)據(jù)泄露數(shù)據(jù)泄露一般事件調(diào)查和修復(fù)較大事件24小時(shí)修復(fù)重大事件及以上歷史數(shù)據(jù)清除接口服務(wù)錯(cuò)誤或者系統(tǒng)故障一般事件調(diào)查和修復(fù)較大事件切換或降級(jí)重大事件及以上備用方案接口流量異常系統(tǒng)故障一般事件調(diào)查和修復(fù)較大事件限流或降級(jí)重大事件及以上備用方案7.3.2常用應(yīng)急處理方式說(shuō)明7.3.2.1系統(tǒng)發(fā)生安全事件后，當(dāng)正常的處理手段無(wú)法快速恢復(fù)系統(tǒng)功能，導(dǎo)致短時(shí)間服務(wù)中斷、功能降級(jí)、效率降低、性能下降等情況，存在整個(gè)系統(tǒng)業(yè)務(wù)中斷的風(fēng)險(xiǎn)時(shí)，宜啟用備份系統(tǒng)，將業(yè)務(wù)轉(zhuǎn)移到備份系統(tǒng)。7.3.2.2在多機(jī)環(huán)境中部署的系統(tǒng)，如果系統(tǒng)業(yè)務(wù)模塊耦合度較低，當(dāng)部分服務(wù)器硬件、網(wǎng)絡(luò)、軟件等出