启航新时代丨《关键信息基础设施安全保护要求》要点解读

近日，国家市场监管总局（国家标准化管理委员会）批准发布两项国家标准，其中的《关键信息基础设施安全保护要求》（ GB/T 39204-2022）（以下简称：《保护要求》）作为《关键信息基础设施安全保护条例》发布一年后首个正式发布的关基标准，为关键信息基础设施保护的实际落地具有重要意义。

自2015年起，全国信息安全标准化技术委员会（TC260）组织研究关键信息基础设施安全标准体系，推动研制《保护要求》等8项重点急需标准。此次率先发布的《保护要求》是为了落实《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》中关于关键信息基础设施运行安全的保护要求，在国家网络安全等级保护制度基础上，借鉴重要行业和领域开展网络安全保护工作的成熟经验而制定。《保护要求》再次明确了关键信息基础设施的适用范围，并将关基保护对象从独立的信息系统、业务系统、网络区域等提升到关键信息基础设施整体进行统一防控，一个关键信息基础设施可能包括多个业务系统、多个网络区域，甚至多个运营者。

关基保护的核心是为了保证核心业务的安全运行，《保护要求》分别从分析识别、安全防护、检测评估、监测预警、主动防御、事件处置等多个环节和维度提出要求，可通过必要的技术措施和管理措施，对关键基础设施所涉及的业务、资产、风险等进行准确识别、全面监测、精准管控、溯源取证等，通过漏洞、情报共享平台实现信息同步，及时调整防护策略并采取响应的应急措施，以保证关键信息基础设施业务连续、稳定运行。

分析识别

《保护要求》要求识别的范围不仅包括关键业务本身，还应覆盖与其关联的外部业务、资产、风险等，根据行业场景不同，像能源、交通、国防科技等涉及连续生产控制的领域，可选择采用被动探测技术进行识别，同时像电网、发电厂、化工厂、交通路网等关键信息基础设施行业，如业务规模、形式、运营者等发生变化时应重新开展识别工作。

安全防护

《保护要求》明确了关基保护需要以等级保护制度为基础进行重点保护，强调了不仅要从管理体系、技术体系入手，还应着手安全运营体系、保证体系的建立，监督落实安全措施应与业务同步规划、同步建设、同步运营，加强业务运行参与人员的网络安全教育培训，确实提升安全意识，降低通过社会工程学对业务系统造成危害的概率。

检测评估

《保护要求》明确了关键信息基础设施开展检测评估的流程、形式、周期等，可自行或委托具备能力的专业机构，每年至少开展一次检测评估活动，在形式方面除了我们以往在等级保护测评中采用的方法外，《保护要求》中明确可采取不正式告知、可控的模拟网络攻击方式进行检测评估，这意味着运营者的安全防护要常态化，要融入到正常的业务中。如关键信息基础设施涉及多个系统、区域、运营者，应定期组织多方参与的检测评估活动。

监测预警、主动防御、事件处置

《保护要求》内容体现出了网络安全信息共享的重要性，需要通过建立企业级、集团级、行业级、地域级、国家级等多级平台，实现关键信息基础设施不同行业、领域、地域之间的信息共享，及时、准确掌握安全现状、潜在风险、态势预测，并能够快速做出响应，定位问题点、追踪风险源、调整暴露面、恢复关键业务。

在监测方面，《保护要求》提出应全面收集网络流量和日志，建立与业务场景匹配的违规操作模型、攻击入侵模型、异常行为模型，以强化各级平台监测预警的能力。

在《保护要求》最后，提出了关键信息基础设施保护不是一个单向控制流程，而应该是一个动态、闭环的控制过程，需要通过检测评估、检测预警、攻防演练的环节，指导应急处置活动，然后重新开展分析识别过程。

保障关键信息基础设施安全是贯彻落实我国《网络安全法》的重点工作，也是《国家安全法》《密码法》《数据安全法》《个人信息保护法》的共同法律要求。《保护要求》作为《关键信息基础设施安全保护条例》的落地保护要求，为关键信息基础设施依法保护提供了标准和依据，无疑将推动我国关键信息基础设施安全保护工作的强有力开展。同时，《保护要求》的发布，标志着我国网络安全产业进入了以关键信息基础设施安全保护为重点的新时代，对于维护国家网络安全、网络空间主权和国家安全、保障经济社会健康发展、维护公共利益和公民合法权益都具有十分重大的意义。