铁路信息系统网络安全风险评估指标体系研究

魏长水，姚洪磊

（1.中国国家铁路集团有限公司 科技和信息化部，北京 100844；2.中国铁道科学研究院集团有限公司 电子计算技术研究所，北京 100081）

随着云计算、物联网、人工智能等信息新技术在铁路工程建设、运输生产、经营管理和客户服务等领域的广泛应用，铁路业务对信息化的依赖程度越来越高，面临的网络安全风险日趋凸显。铁路重要信息系统承载着大量的铁路业务数据、公民个人信息等，是铁路网络安全防护工作的关键所在。一旦遭到破坏并影响正常使用，将对国家安全、经济稳定和公众安全产生一定程度的影响。鉴于上述情况，需根据我国铁路信息系统网络安全防护现状，开展网络安全风险评估技术和评估方法研究，及时发现网络安全风险，为保障铁路重要信息系统稳定运行，提供有力支撑和重要保障。

目前，我国电网、电信和烟草等行业均已针对本行业重要信息系统开展了风险评估方法的研究[1-7]。当前，对信息系统网络安全风险评估研究主要以特定评估模型对网络安全风险进行定量评估，如郭秀峰等人[8]提出了基于评判矩阵的网络信息安全风险评估，王庭钧等人[9]提出了基于模糊层次分析的电力通信系统网络安全评估指标体系，张新跃等人[10]提出基于二维矩阵的关键信息基础设施风险评估方法。上述研究在网络安全风险评估领域较为深入地探索了信息系统网络安全风险评估技术的具体应用，但缺乏对信息系统运营者整体网络安全风险管理水平的评估，需要在具体行业做进一步的研究和探索。

本文结合铁路行业网络安全和信息化治理体系相关要求，以及铁路行业网络安全工作实际，提出以安全管理保障、安全技术保障和安全运维保障为框架的三级风险评估指标体系，如图1所示。

图1 风险评估指标体系框架

1 风险评估指标体系

1.1 安全管理保障

安全管理保障是铁路信息系统网络安全风险评估体系的重要内容之一，安全管理保障可划分为组织体系建设、规章制度落实、资金保障和人员安全管理4项。

（1）组织体系建设包含第一责任人确立、网络安全责任落实、机构及岗位设置、网络安全人员配备；

（2）规章制度包含网络安全策略、规章制度体系完整性、运维流程制定和规章制度发布；

（3）资金保障包括经费预算、建设经费投入、运维经费投入；

（4）人员安全管理包括安全培训与考核、保密协议签订、人员背景审查、岗位调整管控。

安全管理保障体系风险评估项、评估内容、权重和量化判定指标，如表1所示。

表1 安全管理保障风险评估项及量化判定指标

1.2 安全技术保障

在参考国家网络安全等级保护2.0标准基础上，结合铁路网络安全相关标准及技术规范，将安全技术保障划分为安全分区防御体系、网络和通信安全、主机和设备安全、应用系统和数据安全、物理环境安全和业务连续性保护6个层面。

（1）安全分区防御体系包括物理隔离、逻辑隔离、国密认证、安全接入区设置和敏感信息隔离；

（2）网络和通信安全包括网络安全防护情况、互联网出口安全管理情况、无线网络安全和移动设备接入安全；

（3）主机和设备安全防护包括补丁更新情况、恶意代码防护、系统安全整改加固、移动存储介质管理、办公终端管理和主机设备身份鉴别；

（4）应用系统和数据安全包括应用系统安全配置、监控及防御情况、应用系统身份鉴别和重要数据安全保护；

（5）物理环境安全为信息系统机房等级保护标准符合性情况；

（6）业务连续性保护包括链路及设备冗余、数据备份和异地灾备。

安全技术保障体系风险评估项、评估内容、权重和量化判定指标，如表2所示。

表2 安全技术保障风险评估项及量化判定指标

1.3 安全运维保障

在参考国家网络安全等级保护2.0相关标准基础上，结合铁路网络安全运维工作实际，将安全运维保障划分为服务外包管控、资产管控、运行管理、产品采购管理、日常维护管理和应急管理6个层面。

（1）服务外包管控包括外包服务协议、外部人员访问管理、远程服务管理和开发管理；

（2）资产管控包括资产管理和资产销控；

（3）运行管理包括网络安全方案审核、上线前安全测评、等级保护建设、等级保护测评和风险评估；

（4）产品采购管理包括核心业务产品采购、安全防护产品采购、密码产品采购；

（5）日常维护管理包括日常维护、安全审计、补丁管理和安全监测；

（6）应急管理包括信息通报、应急防护、应急预案、应急演练、应急资源配置和网络安全事件调查。

安全运维保障体系风险评估项、评估内容、权重和量化判定指标，如表3所示。

2 风险评估应用

2.1 风险分析

根据某铁路企业信息系统网络安全工作实际，对每一检查项进行赋权，权值系数赋值情况根据该检查项对信息系统重要程度而定，为检查项赋权重Qij，根据检查结果进行定量判定，判定值记为Lij，见表1～表3，风险评估值为：

2.2 应用示例

选择某铁路企业作为示例，依照本文提出的风险评估指标体系进行现场测评，测评结果统计，如表5所示。

表3 安全运维保障风险评估项及量化判定指标

依据式（1）计算，可得某铁路企业信息系统网络安全风险评估值R=58.8，根据表4风险分析定性判定结果，该铁路企业信息系统网络安全风险为中。根据该结果得出结论为网络安全技术防护和安全管理存在一定不足，存在一定网络安全风险隐患。

表4 风险分析定性判定结果

表5 某铁路企业网络安全风险评估结果

3 结束语

本文对铁路信息系统网络安全风险评估指标开展了深入研究，从网络安全管理、网络安全技术防护和网络安全运维3个层面建立了铁路信息系统网络安全风险评估指标体系。该体系能够对铁路重要信息系统网络安全风险评估和安全检查等提供可实施的量化指标，使信息系统网络安全风险评估从单个系统扩展到对铁路企业网络安全风险进行整体评估，对开展信息系统检查评估工作，具有一定理论参考和技术参考价值。