2022年10月12日,市場(chǎng)監管總局(標準委)發(fā)布公告,批準國家標準——GB/T 39204 2022《信息安全技術(shù) 關(guān)鍵信息基礎設施安全保護要求》(以下簡(jiǎn)稱(chēng)《要求》)正式發(fā)布,并將于2023年5月1日實(shí)施?！兑蟆返恼桨l(fā)布,也標志著(zhù)綢繆8年的關(guān)鍵信息基礎設施安全保護(簡(jiǎn)稱(chēng)關(guān)保)工作正式拉開(kāi)帷幕。
長(cháng)揚科技依托于自身沉淀多年的行業(yè)標準解讀和實(shí)踐落地經(jīng)驗,從關(guān)鍵信息基礎設施運營(yíng)者的角度,對本次《要求》發(fā)布的內容做出以下深度解讀。
1《要求》保護框架總體分析
《要求》共計11章節,111條的內容,明確了關(guān)鍵信息基礎設施安全保護工作的六個(gè)主要內容及活動(dòng),具體包括分析識別、安全防護、檢測評估、監測預警、主動(dòng)防御和事件處置,從而指導運營(yíng)者對關(guān)鍵信息基礎設施進(jìn)行全生命周期的安全保護工作。其框架如下圖所示:
圖 1 關(guān)鍵信息基礎設施網(wǎng)絡(luò )安全保護要求框架
根據近年對《要求》的關(guān)注、探索和分析,長(cháng)揚科技發(fā)現,“關(guān)鍵信息基礎設施網(wǎng)絡(luò )安全保護工作指導框架”經(jīng)歷了三個(gè)階段的調整,最終明確形成了六個(gè)主要活動(dòng)。六個(gè)主要活動(dòng)覆蓋了關(guān)鍵信息基礎設施安全保護的全生命周期,幫助運營(yíng)者從關(guān)基的識別認定、強化安全防護,到對運營(yíng)可能存在的網(wǎng)絡(luò )安全風(fēng)險進(jìn)行檢測評估、并實(shí)行常態(tài)化監測預警,同時(shí)以監測發(fā)現的攻擊行為為基礎,進(jìn)行攻防演練,提升主動(dòng)防御能力和事件閉環(huán)處置能力,確保了關(guān)鍵信息基礎設施關(guān)鍵業(yè)務(wù)穩定和持續運行。
近年關(guān)鍵信息基礎設施網(wǎng)絡(luò )安全保護各環(huán)節版本變化情況如下圖所示:
圖 2 近年關(guān)鍵信息基礎設施網(wǎng)絡(luò )安全保護各環(huán)節版本變化情況
2《要求》三大保護原則分析
“三大保護原則”標志著(zhù)我國網(wǎng)絡(luò )安全工作正式邁進(jìn)體系化建設新階段。我國的關(guān)鍵信息基礎設施安全保護工作以“關(guān)鍵業(yè)務(wù)為核心的整體防控、風(fēng)險管理為導向的動(dòng)態(tài)防護、信息共享為基礎的協(xié)同聯(lián)防”作為三大基本原則。在等級保護制度的基礎上,施行重點(diǎn)保護,構建關(guān)鍵信息基礎設施安全防護體系。重點(diǎn)保護主要體現在兩方面,第一是明確重點(diǎn)行業(yè)和領(lǐng)域(8大行業(yè):公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)、國防科技工業(yè));第二是明確重點(diǎn)保護對象(增加了關(guān)鍵業(yè)務(wù)、關(guān)鍵業(yè)務(wù)鏈、數據安全、供應鏈安全等對象)。
以下是對三大保護原則的解讀:
整體防控:將六大活動(dòng)實(shí)現統一的整合和閉環(huán)管理,形成整體安全防控體系,加強關(guān)鍵業(yè)務(wù)運行所涉及的各類(lèi)信息的整體安全態(tài)勢分析,包括業(yè)務(wù)所涉及系統的相關(guān)聯(lián)的資產(chǎn)、脆弱性、威脅等內容,形成整體防控能力。
動(dòng)態(tài)防護:根據關(guān)鍵信息基礎設施所面臨的安全威脅態(tài)勢進(jìn)行持續監測 和安全控制措施的動(dòng)態(tài)調整,形成動(dòng)態(tài)的安全防護機制,及時(shí)有效地防范應對安全風(fēng)險。通過(guò)引入自動(dòng)化技術(shù)和工具,實(shí)現實(shí)時(shí)監測、通報預警、事件處置、指揮調度,形成立體化網(wǎng)絡(luò )安全動(dòng)態(tài)監測能力。
協(xié)同聯(lián)防:以信息共享為基礎,積極構建相關(guān)方廣泛參與的信息共享、協(xié)同聯(lián)動(dòng)的共同防護機制,提升關(guān)鍵信息基礎設施應對大規模網(wǎng)絡(luò )攻擊能力。與國家有關(guān)平臺對接,實(shí)現協(xié)同聯(lián)動(dòng)和數據共享,能夠做到統一指揮、快速調度,實(shí)現關(guān)基安全保護跨部門(mén)、跨行業(yè)、跨地域的整體防控和聯(lián)防聯(lián)控。
3《要求》六個(gè)活動(dòng)詳細解讀
3.1 分析識別
《要求》中對分析識別的定義如下:分析識別活動(dòng)指圍繞關(guān)鍵信息基礎設施(CII)承載的關(guān)鍵業(yè)務(wù),開(kāi)展業(yè)務(wù)依賴(lài)性識別、關(guān)鍵資產(chǎn)識別、風(fēng)險識別等活動(dòng)。本活動(dòng)是開(kāi)展安全防護、檢測評估、監測預警、主動(dòng)防御、事件處置等活動(dòng)的基礎。同時(shí),在對本方面的業(yè)務(wù)識別、資產(chǎn)識別、風(fēng)險識別和重大變更的具體安全要求中可以發(fā)現,識別關(guān)鍵業(yè)務(wù)和關(guān)鍵業(yè)務(wù)鏈是開(kāi)展關(guān)基保護工作的前提。針對于本項內容,長(cháng)揚的理解為以下四點(diǎn):
3.1.1 關(guān)鍵信息基礎設施和關(guān)鍵業(yè)務(wù)鏈
關(guān)鍵信息基礎設施(簡(jiǎn)稱(chēng)CII):是指公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)、國防科技工業(yè)籌重要行業(yè)和領(lǐng)域,以及其他一旦遭到破壞、喪失功能或者數據泄露,可能?chē)乐匚：野踩珖嬅裆?、公共利益的重要網(wǎng)絡(luò )設施、信息系統等。
關(guān)鍵業(yè)務(wù)鏈(Critical Business Chain簡(jiǎn)稱(chēng)CBC):組織的一個(gè)或多個(gè)相互關(guān)聯(lián)的業(yè)務(wù)構成的關(guān)鍵業(yè)務(wù)流程。
3.1.2 關(guān)于分析識別中CII要素識別梳理的要點(diǎn)
關(guān)鍵信息基礎設施(CII)要素識別是指將關(guān)鍵業(yè)務(wù)持續、穩定運行不可或缺的資產(chǎn)(一般由軟硬件設備、組件、信息資源等組成的,能夠按照一定規則獨立處理信息的功能單元)從CII運營(yíng)者的所有資產(chǎn)中識別出來(lái),以便重點(diǎn)保護。(CII)要素識別包括四個(gè)部分:(1)關(guān)鍵業(yè)務(wù)基礎情況梳理,(2)關(guān)鍵業(yè)務(wù)信息化情況梳理,(3)關(guān)鍵業(yè)務(wù)信息(CBI)梳理,(4)CII要素確定。
(1)關(guān)鍵業(yè)務(wù)基礎情況梳理包括基本架構梳理、管理模式梳理、運行框架梳理、業(yè)務(wù)特征梳理、基礎情況描述。
(2)關(guān)鍵業(yè)務(wù)信息化情況梳理包括業(yè)務(wù)模塊信息化梳理、功能模塊信息化梳理、基礎運行環(huán)境信息化梳理、信息化范圍描述。
(3)關(guān)鍵業(yè)務(wù)信息梳理包括類(lèi)別梳理、功能梳理、生存周期梳理、關(guān)鍵業(yè)務(wù)信息描述。
(4)關(guān)鍵信息基礎設施要素確定包括要素梳理、要素歸集、要素重要性評估、要素清單、業(yè)務(wù)關(guān)系確定、網(wǎng)絡(luò )位置確定、物理位置確定、管理關(guān)系確定、信息記錄?；玖鞒虉D如下所示:
圖 3 CII要素識別流程圖
3.1.3 關(guān)于分析識別中進(jìn)行風(fēng)險評估和風(fēng)險識別的要點(diǎn)
《要求》中提出風(fēng)險識別應參照GB/T 20984等標準,對關(guān)鍵業(yè)務(wù)鏈開(kāi)展安全風(fēng)險分析,識別關(guān)鍵環(huán)節的威脅、脆弱性,并形成安全風(fēng)險報告。GB/T 20984,即2022年4月15日新發(fā)布的《信息安全技術(shù) 信息安全風(fēng)險評估方法》GB/T 20984-2022,并替代原《信息安全技術(shù) 信息安全風(fēng)險評估規范》GB/T 20984-2007成為新的信息安全風(fēng)險評估工作實(shí)施指導標準。
新標準中,風(fēng)險評估的要素包括資產(chǎn)、脆弱性、威脅和安全措施四大要素,各要素關(guān)系如下圖4所示。實(shí)施流程包括評估準備、風(fēng)險識別、風(fēng)險分析、風(fēng)險評價(jià)、溝通與協(xié)調和風(fēng)險評估文檔記錄六個(gè)方面。GB/T 20984風(fēng)險評估實(shí)施流程圖如下圖5所示:
圖 4 風(fēng)險要素及其關(guān)系
圖 5 GB/T 20984風(fēng)險評估實(shí)施流程圖
3.2 安全防護
《要求》中對安全防護的定義為:根據已識別的關(guān)鍵業(yè)務(wù)、資產(chǎn)、安全風(fēng)險,在安全管理制度、安全管理機構、安全管理人員、安全通信網(wǎng)絡(luò )、安全計算環(huán)境、安全建設管理、安全運維管理等方面實(shí)施安全管理和技術(shù)保護措施,確保關(guān)鍵信息基礎設施的運行安全。
值得注意的是,《關(guān)鍵信息基礎設施安全保護條例》第六條提出:在網(wǎng)絡(luò )安全等級保護的基礎上,采取技術(shù)保護措施和其他必要措施,應對網(wǎng)絡(luò )安全事件。因此關(guān)鍵信息基礎設施的業(yè)務(wù)是要先落實(shí)國家網(wǎng)絡(luò )安全等級保護制度相關(guān)要求,開(kāi)展網(wǎng)絡(luò )和信息系統的定級、備案、安全建設整改和等級測評等工作。
3.2.1 關(guān)保和等保關(guān)于安全防護的內容變化分析
從總體區別上來(lái)看,等級保護2.0重點(diǎn)是圍繞“一個(gè)中心,三重防護”為核心,從技術(shù)+管理的角度來(lái)指導各單位如何開(kāi)展安全保護工作;關(guān)保則是在等保的基礎之上,從運營(yíng)者關(guān)鍵業(yè)務(wù)及其相關(guān)關(guān)鍵信息基礎設施的全生命周期角度描述如何開(kāi)展安全保護工作。
3.2.2 關(guān)保和等保關(guān)于安全防護的要求重點(diǎn)分析
圖 6 關(guān)保和等保關(guān)于安全防護要求區別分析
3.2.3 新增供應鏈安全保護
2022年2月15日施行的《網(wǎng)絡(luò )安全審查辦法》中第一條寫(xiě)到:為了確保關(guān)鍵信息基礎設施供應鏈安全,保障網(wǎng)絡(luò )安全和數據安全,維護國家安全等,制定本辦法。關(guān)基和《網(wǎng)絡(luò )安全審查辦法》一一對應,《網(wǎng)絡(luò )安全審查辦法》主要講的就是基于對關(guān)鍵信息基礎設施的供應鏈安全進(jìn)行安全防護。
《要求》中對于供應鏈安全保護,主要是對供應鏈安全管理的策略和制度、采購國家檢測認證的設備和產(chǎn)品、同時(shí)在相關(guān)責任和義務(wù)方面明確相關(guān)承諾和要求。以下是部分內容摘錄:
采購網(wǎng)絡(luò )關(guān)鍵設備和網(wǎng)絡(luò )安全專(zhuān)用產(chǎn)品目錄中的設備產(chǎn)品時(shí),應采購通過(guò)國家檢測認證的設備和產(chǎn)品。
要求提供者聲明不非法獲取用戶(hù)數據、控制和操縱用戶(hù)系統和設備,或利用用戶(hù)對產(chǎn)品的依賴(lài)性謀取不正當利益或者迫使用戶(hù)更新?lián)Q代。
應建立和維護合格供應方目錄。應選擇有保障的供應方,防范出現因政治、外交、貿易等非技術(shù)因素導致產(chǎn)品和服務(wù)供應中斷的風(fēng)險。
應自行或委托第三方網(wǎng)絡(luò )安全服務(wù)機構對定制開(kāi)發(fā)的軟件進(jìn)行源代碼安全檢測,或由供應方 提供第三方網(wǎng)絡(luò )安全服務(wù)機構出具的代碼安全檢測報告。
長(cháng)揚科技解讀
由于我國關(guān)鍵基礎設施行業(yè)例如電力、石油化工、燃氣水務(wù)等行業(yè),其核心工業(yè)控制系統大部分被國外壟斷,在國內外日益嚴峻的大背景下,為了避免出現因為“卡脖子”而影響關(guān)基企業(yè)運行安全的事件,供應鏈安全的重要性日益凸顯。本次《要求》新增供應鏈安全,對于國家關(guān)鍵信息基礎設施運營(yíng)者在未來(lái)的采購、建設、運行、升級、管理等方面,都提供了有力的要求。
3.2.4 新增數據安全防護
2021年9月1日施行的《中華人民共和國數據安全法》中,第三十一條提到:對關(guān)鍵信息基礎設施的運營(yíng)者在中國境內運營(yíng)中收集和產(chǎn)生的重要數據進(jìn)行管理。
《要求》中對于數據安全防護,應建立數據安全管理責任和評價(jià)考核制度,包括數據安全保護計劃、數據安全風(fēng)險評估、數據安全事件應急預案,組織數字安全教育等。同時(shí)對數據分類(lèi)分級、保護個(gè)人數據的重要性、數據備份等方面做出要求。另外還首次對廢棄數據處理作出要求,要求按照數據安全保護策略對儲存的數據進(jìn)行處理。
長(cháng)揚科技解讀
中央在2020年提出數據已經(jīng)成為除土地、勞動(dòng)力、資本、技術(shù)之外的第五個(gè)要素?！兑蟆返陌l(fā)布是繼《數據安全法》發(fā)布后,再一次把數據安全作為綱領(lǐng)性要求進(jìn)行了獨立闡述,也詮釋了數據作為關(guān)鍵信息基礎設施安全保護的重要性。運營(yíng)者應加強對數據分類(lèi)分級管理,以及對數據的使用、加工、傳輸、提供和公開(kāi)等環(huán)節進(jìn)行全生命周期保護。
3.3 檢測評估
《要求》中對檢測評估的定義為:為檢驗安全防護措施的有效性,發(fā)現網(wǎng)絡(luò )安全風(fēng)險隱患,應建立相應的檢測評估制度,確定檢測評估流程及內容等,開(kāi)展安全檢測與風(fēng)險隱患評估,分析潛在安全風(fēng)險可能引發(fā)的安全事件。
長(cháng)揚科技解讀
對比等保2.0要求可以發(fā)現,“商用密碼應用安全性評估情況、數據安全防護情況、供應鏈安全保護情況、攻防演練”等內容,首次作為檢測評估項被明確提出,由此可見(jiàn),在未來(lái)的關(guān)保檢查工作當中,運營(yíng)者需要重點(diǎn)關(guān)注在以上方面自身的能力建設,彌補相關(guān)短板。
3.3.1 檢測評估工作流程
檢測評估工作開(kāi)展前,應明確關(guān)鍵信息基礎設施檢查評估活動(dòng)的背景、目標、原則、依據,充分調研檢測評估對象所屬行業(yè)的相關(guān)標準及政策文件的要求,確定檢測評估工作任務(wù)。具體工作流程如下圖所示:
圖7 關(guān)基檢測評估工作流程圖
3.3.2 檢測評估主要內容
(1)與等保相比,關(guān)保對開(kāi)展檢測評估間隔時(shí)間做出了明確規定,相較等保更為嚴格。等保僅要求三級(含)以上網(wǎng)絡(luò )應當每年至少進(jìn)行一次等級測評。關(guān)基則要求關(guān)鍵信息基礎設施運營(yíng)者每年至少一次自行或委托網(wǎng)絡(luò )安全服務(wù)機構開(kāi)展安全性和風(fēng)險性的檢測評估工作,并及時(shí)整改。
(2)關(guān)保涉及多運營(yíng)者情況。區別于等保,關(guān)保涉及多運營(yíng)者的情況時(shí),需定期組織或參加跨運營(yíng)者的安全檢測評估,并及時(shí)整改發(fā)現的問(wèn)題。
(3)檢測評估具體包括如下內容。網(wǎng)絡(luò )安全制度(國家和行業(yè)的法律法規及自定的制度)落實(shí)情況、組織機構建設情況、人員和經(jīng)費投入情況、教育培訓情況、網(wǎng)絡(luò )安全等級保護制度落實(shí)情況、商用密碼應用安全性評估情況、技術(shù)防護情況、數據安全防護情況、供應鏈安全保護情況、云計算服務(wù)安全評估情況(適用時(shí))、風(fēng)險評估情況、應急演練情況、攻防演練情況等,尤其關(guān)注關(guān)基跨系統、跨區域間的信息流動(dòng),及其資產(chǎn)的安全防護情況。
3.4. 監測預警
《要求》中對監測預警的定義為:建立并實(shí)施網(wǎng)絡(luò )安全監測預警和信息通報制度,針對發(fā)生的網(wǎng)絡(luò )安全事件或發(fā)現的網(wǎng)絡(luò )安全威脅,提前或及時(shí)發(fā)出安全警示。建立威脅情報和信息共享機制,落實(shí)相關(guān)措施,提高主動(dòng)發(fā)現攻擊的能力。
3.4.1 相比等保在制度方面的加強
關(guān)保要求關(guān)注國內外及行業(yè)關(guān)鍵信息基礎設施安全事件、安全漏洞、解決方法和發(fā)展趨勢,并進(jìn)行研判分析,必要時(shí)發(fā)出預警;明確不同級別預警報告和響應處置;建立通報預警及寫(xiě)作處置機制;建立與外部組織之間、運營(yíng)者內部人員的溝通合作機制,共同研判、處置網(wǎng)絡(luò )安全問(wèn)題;建立網(wǎng)絡(luò )安全信息共享機制,建立與相關(guān)方的溝通合作機制。共享漏洞信息、威脅信息、最佳實(shí)踐、前沿技術(shù)等內容。
3.4.2 相比等保在監測方面的加強
關(guān)保要求對關(guān)鍵業(yè)務(wù)所涉及的系統進(jìn)行監測;分析系統通信流量或事態(tài)的模式、建立相關(guān)模型,使用模型調整監測工具參數,減少誤報和漏報;全面收集網(wǎng)絡(luò )安全日志,構建違規操作模型,強化監測預警能力;采用自動(dòng)化機制,對監測信息進(jìn)行整合分析,分析關(guān)基的網(wǎng)絡(luò )安全態(tài)勢,對關(guān)鍵信息基礎設施跨組織、跨領(lǐng)域建設、構建統一指揮、多面監測、多級聯(lián)動(dòng)的動(dòng)態(tài)感知和分析能力。
3.4.3 相比等保在預警方面的加強
關(guān)保要求監測工具設置自動(dòng)模式,發(fā)現危害關(guān)鍵業(yè)務(wù)時(shí)自動(dòng)報警,自動(dòng)采取措施;網(wǎng)絡(luò )安全共享信息和監測報警等信息綜合分析,生成內部預警信息;對預警信息進(jìn)行分析、研判損害程度,采取應對措施;采取措施對預警進(jìn)行響應;隱患得以控制或消除,執行預警流程。
長(cháng)揚科技解讀
根據對《要求》監測預警章節理解,將監測預警立體化示意圖梳理如下圖所示:
圖8 監測預警立體化示意圖
3.5 主動(dòng)防御
《要求》中對主動(dòng)防御的定義為:以應對攻擊行為的監測發(fā)現為基礎,主動(dòng)采取收斂暴露面、誘捕、溯源、干擾和阻斷等措施,開(kāi)展攻防演習和威脅情報工作,提升對網(wǎng)絡(luò )威脅與攻擊行為的識別、分析和主動(dòng)防御能力。
長(cháng)揚通過(guò)對《要求》和征求意見(jiàn)稿對比發(fā)現,該部分在征求意見(jiàn)稿中是“技術(shù)對抗”,最終發(fā)布為“主動(dòng)防御”。而從技術(shù)對抗到主動(dòng)防御的演變,要求運營(yíng)者構建精準、全面、彈性的主動(dòng)防御體系。重點(diǎn)包括以下三個(gè)方面:
1.應識別和收斂暴露面,減少在互聯(lián)網(wǎng)側暴露的IP、端口、應用服務(wù)、組織架構、郵箱賬號、通信錄、技術(shù)文檔(拓撲圖、源代碼、IP規劃、賬號密碼等)等相關(guān)信息。
2.分析攻擊方法、路線(xiàn)、技術(shù)手段、目標等,采用相關(guān)技術(shù)措施快速處置網(wǎng)絡(luò )攻擊,并針對網(wǎng)絡(luò )安全事件進(jìn)行開(kāi)展溯源,完善防護策略和措施。
3.開(kāi)展攻防演練及建立威脅情報共享機制,增強主動(dòng)防御能力。
3.6 事件處置
《要求》對事件處置的定義為:為運營(yíng)者對網(wǎng)絡(luò )安全事件進(jìn)行報告和處置,并采取適當的應對措施,恢復由于網(wǎng)絡(luò )安全事件而受損的功能或服務(wù)。
結合《要求》中的具體要求,可總結為以下四點(diǎn):
3.6.1 制度方面
應建立網(wǎng)絡(luò )安全事件管理制度,明確不同網(wǎng)絡(luò )安全事件的分類(lèi)分級、不同類(lèi)別和級別事件處置的流程等,制定應急預案等網(wǎng)絡(luò )安全事件管理文檔。
3.6.2 應急預案和演練方面
根據相關(guān)要求制定預案,應急預案中包括相關(guān)事件發(fā)生、恢復的時(shí)間點(diǎn),包括多個(gè)運營(yíng)者的應急事件的處理,內外部的相關(guān)計劃,非常規時(shí)期、遭受大規模攻擊的流程;每年至少開(kāi)展一次本組織的應急演練,定期修訂預案。
3.6.3 響應和處置方面
根據已發(fā)生的安全事件及時(shí)報告,研判后形成事件報告,及時(shí)向相關(guān)方通報安全事件;按照遲滯流程、進(jìn)行事件處理,對事件進(jìn)行取證分析,形成事件報告;業(yè)務(wù)恢復后的再評估,采取措施免受再次破壞;將事件納入規程培訓、考試等,并進(jìn)行相應變更;按照相關(guān)要求將事件及時(shí)上報給相關(guān)方。
長(cháng)揚科技解讀
下圖是根據長(cháng)揚科技在某關(guān)基行業(yè)總結的網(wǎng)絡(luò )安全事件處置流程圖:
圖 9 某關(guān)基運營(yíng)者網(wǎng)絡(luò )安全事件處置流程圖
3.6.4 重新識別方面
對發(fā)現的安全隱患和安全事件再次開(kāi)展評估工作,根據需要重新識別認定、風(fēng)險評估,并更新安全策略。
該環(huán)節引入了PDCA戴明環(huán)持續改進(jìn)的管理思想,實(shí)現了六個(gè)活動(dòng)持續優(yōu)化的閉環(huán)銜接,通過(guò)檢測評估推動(dòng)整體安全保護工作不斷深化。
長(cháng)揚科技解讀
事件處置相關(guān)管理制度的建立包括制度總體文件設計、流程角色梳理、崗位職責設定、事件分類(lèi)、事件分級、事件處理時(shí)限(SLA)設計、事件管理工具/平臺建設、常見(jiàn)網(wǎng)絡(luò )安全事件應急預案庫設計、針對典型事件的應急演練和人員培訓、事件沉淀知識庫、事件分析溯源、事件結果通報、與監管單位的協(xié)同上報聯(lián)動(dòng)等具體工作內容。
4 總結
《要求》的發(fā)布,為國家各行業(yè)關(guān)鍵基礎設施運營(yíng)者對自身關(guān)鍵信息基礎設施的全生存周期安全保護提供了明確要求,也可供關(guān)鍵信息基礎設施安全保護的其他相關(guān)方參考使用。從保護工作部門(mén)(即相關(guān)監管部門(mén))角度來(lái)看:可以更方便快捷地了解到下屬、分管的單位的關(guān)鍵信息基礎設施的情況,從而進(jìn)行全面把控和有力的監管;從關(guān)基運營(yíng)者角度來(lái)看:對照保護要求可以明確知曉本單位自身在關(guān)基安全保護方面的短板和不足,在技術(shù)、管理、運營(yíng)、人員等方面做出自評和差距分析,形成后續的建設整改計劃,從而進(jìn)一步保證本單位關(guān)鍵信息基礎設施的安全穩定運行;從安全服務(wù)機構角度來(lái)看:嚴格按照《要求》,不斷加強企業(yè)產(chǎn)品技術(shù)研發(fā)和服務(wù)能力創(chuàng )新,提供符合要求的產(chǎn)品和服務(wù),為國家關(guān)鍵信息基礎設施的安全保駕護航。
