铁路网络安全等级保护高风险问题评价机制研究

贺晓聪，朱广劼，周泽岩

（中国铁道科学研究院集团有限公司 电子计算技术研究所，北京 100081）

网络安全等级保护（简称：等级保护）是指对信息系统实施分等级保护、分等级监管，按照信息系统的信息安全和服务安全被破坏后对国家安全、社会秩序、公共利益，以及公民、法人和其他组织合法权益受侵害的程度划分，共分为5 个等级。自2019 年以来，国家网络安全相关法律法规陆续出台，等级保护2.0 等相关标准体系建设逐步完善。《中华人民共和国网络安全法》第三十一条规定，国家对公共通信和信息服务、能源、交通、水利、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在等级保护制度的基础上，实行重点保护。其中，铁路作为交通行业的重要组成部分，其包括关键信息基础设施在内的等级保护三级以上系统，是国家网络安全保护的重点对象。等级保护测评成为推动和贯彻铁路等级保护工作的重要环节。

为保障铁路各系统的基础合规安全，提高系统面对敌对势力网络安全攻击风险时的防御能力，近几年，中国国家铁路集团有限公司（简称：国铁集团）发布了《铁路网络安全等级保护基本要求 安全通用要求》等企业技术标准，制定了《中国铁路总公司网络安全管理办法》等适用于中国国家铁路集团有限公司（简称：国铁集团）的网络安全管理制度。有关文件规定，国铁集团所属系统实行等级保护制度，等级保护三级及以上系统每年进行等级保护测评，等级保护二级系统每2 年进行1 次等级保护测评，并将每年的测评结果上报相关管理部门。稳步提升测评通过率，夯实全国铁路（简称：全路）网络安全基线，成为全路网络安全工作的重点[1]。

本文调研和分析铁路行业场景下的高风险问题判定模型及依据，提出铁路网络安全高风险问题判定依据、高风险预警及常态化管理机制的研究思路，实现对铁路网络安全高风险问题的发现、响应和处置结果的闭环管理。

1 铁路等级保护现状分析

1.1 测评机构高风险问题判定现状

在等级保护测评中，全国测评机构使用的《网络安全等级保护测评高风险判定指引》团体标准在铁路实际场景的高风险判定中，缺乏铁路各特殊场景下的判例及国铁集团已发布的网络安全规定中明令禁止的高风险；同时，存在释义不具象，以及部分判定名词缺乏释义的问题，导致测评单位在对铁路系统的高风险问题进行判断时缺乏指导性依据。

1.2 网络安全责任单位建设整改现状

等级保护测评成为推动和贯彻国家和国铁集团等级保护工作的重要环节。自2019 年国铁集团各单位测评全面落实实施以来，等级保护测评评价机制中的信息系统高风险问题一票否决评价规则（即如果在等级保护测评中，发现系统存在任一高风险问题，则整个系统无法通过测评），导致了等保测评通过率不理想等问题。对铁路系统高风险问题整改的把握和控制（简称：把控），成为困扰各级网络安全责任单位的难题。

1.3 网络安全主管单位监管督促现状

目前，国铁集团尚未出具针对性管理制度，无法对各系统高风险问题的整改情况及进度进行把控和闭环管理，在各级网络安全主管单位对高风险问题整改的监管督促、夯实铁路信息化建设网络安全基线推进整改等方面存在难点。

2 高风险问题评价机制研究

针对以上问题，本文提出铁路网络安全高风险问题评价机制，具体思路为：（1）研究铁路网络安全高风险分布，确定高风险问题的实际状况；（2）研究铁路网络安全高风险判定的依据，确立高风险问题的判定原则；（3）建立铁路网络安全高风险预警及常态化管理机制，完成高风险问题的整改消控。

2.1 铁路网络安全高风险分布

2.1.1 铁路高风险问题归集分析

通过定量分析和行动研究法，对历年全路各单位的系统进行高风险问题数据挖掘，统计制约各铁路单位测评不通过的高风险问题，以及所有未通过测评的系统各自面临的高风险问题。通过对各铁路单位已出现的高风险问题的类别、问题项、问题描述、涉及系统名称、整改单位、整改建议、补偿措施及判定依据进行数据归集和分析，对各层面高风险问题的类别、问题项、问题描述、判定依据、各单位发生该高风险问题的频率指数和整改中涉及单位的波及范围指数等字段进行汇总，便于后续分类研判[2]。

2.1.2 铁路高风险问题风险值评价

抽取各单位的风险频率指标（各单位已发现某类影响系统的高风险问题数量）及波及范围指标（该类问题在整改中涉及到的单位/部门的数量），通过上述指标计算各高风险问题风险值，判断已识别高危问题在该铁路单位的数量。

通过对各铁路单位数千项高风险问题进行风险值计算，可横向对比各类高风险问题对各铁路单位系统通过率的影响程度，统计全路高风险问题情况，展示各铁路单位间高风险问题的数量差距。同时，将各类高风险问题进行数据分析，统计全路网络安全高风险项分布。通过对高风险问题的风险值排序，得到制约全路各单位网络安全等级保护测评通过率的主要问题排序[3]，如表1 所示。

表1 铁路网络安全等保测评主要高风险问题

2.1.3 铁路高风险系统风险值评价

选取全路70 余个统一建设（简称：统建）系统，对出现高风险问题的系统的铁路局集团公司频率指数（同一统建系统未通过测评的铁路单位数）及系统频率指数（单个未通过测评的系统出现高风险问题的资产数）进行计算，得出各系统的风险值。统计高风险问题对各统建系统的影响程度。计算各统建系统面临的系统风险值，值越高，系统越不安全。

2.2 铁路网络安全高风险判定依据

依据GB/T 22239-2019《信息安全技术网络安全等级保护基本要求》[4]，将铁路系统的高风险问题分为技术类和管理类。其中，技术类分为安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心；管理类分为安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理。本文从4 个方面形成等级保护2.0 体系下铁路高风险判定知识库的基础框架[5]，如图1 所示。

图1 铁路网络安全高风险判定知识库

2.2.1 团体标准普识问题判定

将原判定指引中的各技术和管理层面对铁路信息系统普遍适用性（简称：普适）问题进行保留，纳入铁路网络安全高风险判定知识库。

2.2.2 国家法律法规行业标准高风险问题判定

通过文献分析法，结合等级保护2.0 的相关标准，将国家已发布网络安全相关法律法规、标准规范和行业标准进行梳理，统计其中明确禁止的高风险问题。整理分析并按等级保护基本要求的10 个层面进行分类，纳入铁路网络安全高风险判定知识库。

2.2.3 铁路特殊场景高风险问题判定

将全路各单位统建系统进行案例探究，按照网络架构、业务类型、系统等级、系统形态等因素搭建铁路场景个案模型。结合等级保护2.0 的标准和高风险判定指引的通用场景模型，进行差异分析[6]，整理出符合铁路特殊场景下应判定为高风险的案例，纳入铁路网络安全高风险判定知识库。

2.2.4 铁路管理办法高风险问题判定

梳理铁路历年已发布网络安全管理办法和要求，统计铁路明确禁止的高风险问题；对团体标准中释义不清晰的名称、导致判定不一的内容，结合铁路实际案例进行研讨完善，纳入铁路网络安全高风险判定知识库。

2.3 铁路网络安全高风险预警及常态化管理机制

铁路网络安全高风险问题的预警及常态化管理流程为：建立铁路高风险问题预警库；对高风险问题进行研判及预警分类；通过管理表单的流转督促高风险问题的追踪和整改，实现主管单位对高风险问题闭环管理的要求。

2.3.1 建立高风险问题预警库

基于铁路网络安全高风险判定依据，生成铁路专用场景下等级保护测评高风险判定依据，汇集各类网络安全检测中的漏扫报告、渗透报告、安全评估报告中的高风险问题，以及国铁集团定期发布的网络安全防范通知中的高风险问题，共同纳入铁路网络安全高风险问题预警库。

2.3.2 高风险问题预警分类

依据等级保护2.0 标准的相关依据，将铁路网络安全高风险问题库分为10 个层面，共计69 种常见高风险问题[7]，绘制铁路网络安全高风险问题表。以此为基础，对铁路网络安全高风险问题表的69 个高风险问题进行分类，分类标准为系统的整改难度、涉及范围、响应时间和整改时间。

对铁路网络安全高风险问题进行逐个分析研讨后，将高风险问题预警分为4 类，形成铁路网络安全高风险问题预警分类表，如表2 所示。

表2 铁路网络安全高风险问题预警分类示意

2.3.3 高风险问题管理流程推演

为更好地监督促进各类高风险问题的整改，设计相应的工具表单，用以流转、记录、追踪和管理高风险问题的整改，表单内各字段涉及各铁路系统高风险问题的具体内容及可实现的追踪内容。高风险问题管理流程推演如图2 所示。

图2 铁路网络安全高风险问题管理流程推演

（1）网络安全主管单位依据所管辖范围内存在高风险问题的定级对象，通过高风险问题预警表，向所属网络安全责任单位发布预警信息。

（2）网络安全责任单位参照铁路网络安全高风险问题分类预警表对应相关高风险问题类别，在规定时间内研讨解决方案，响应并填写预警信息报告表，提交给网络安全主管单位。

（3）网络安全主管单位通过预警整改情况监督单对所发现问题的整改情况进行监督；同时，网络安全责任单位按方案、计划组织整改，并在规定时间内对整改结果进行验收。

（4）验收合格后，填写整改验收单交予网络安全主管单位留存，预警解除。若验收不合格，则继续整改，或按相关规程办理。最终实现网络安全主管单位高风险问题的闭环管理。

3 应用情况

本文提出的等级保护高风险问题评价机制已于2022 年应用于试点铁路单位等保测评项目中。将铁路高风险预警库和判定指引、风险值算法纳入到铁路等级保护测评工作中，进行现场测评的指导和风险统计分析；在测评过程中，优化了测评流程和风险判定原则，提高了质量，缩短了项目总时间，提高了用户满意度[8]。

对2 个铁路单位共计150 余个系统进行实际测评，并将铁路高风险整改建议、高风险预警和管理流程应用至高风险问题整改中。在新的判定标准体系下，通过对风险的科学判定，指导和优化整改流程，A 单位等保测评合格率由2021 年的65.4%提升至2022 年的72.4%，B 单位等保测评合格率由2021年的56%的提升至2022 年的67%。

4 结束语

本文基于等级保护2.0，调研和分析铁路行业场景下的网络安全等级保护高风险问题判定现状，研究了风险问题评价机制。研究内容包括评价铁路高风险问题风险值和铁路高风险系统风险值，确定铁路等级保护测评高风险问题分布位置；研究铁路网络安全高风险判定依据，提出铁路等级保护测评高风险判定思路；研究铁路网络安全高风险预警及常态化管理机制，提出铁路网络安全高风险预警可追踪管理流程。

本文提出的等级保护高风险问题评价机制已应用于铁路实际场景，取得良好的应用效果。下一步将继续研究铁路网络安全高风险测评统一标准，对高风险问题的发现、响应和处置结果进行闭环管理。