長揚科技深度解讀 《關(guān)鍵信息基礎(chǔ)設施安全保護要求》：關(guān)基運營者視角下的安全保障能力建設

協(xié)同聯(lián)防:以信息共享為基礎(chǔ),積極構(gòu)建相關(guān)方廣泛參與的信息共享、協(xié)同聯(lián)動的共同防護機制,提升關(guān)鍵信息基礎(chǔ)設施應對大規(guī)模網(wǎng)絡攻擊能力。與國家有關(guān)平臺對接,實現(xiàn)協(xié)同聯(lián)動和數(shù)據(jù)共享,能夠做到統(tǒng)一指揮、快速調(diào)度,實現(xiàn)關(guān)基安全保護跨部門、跨行業(yè)、跨地域的整體防控和聯(lián)防聯(lián)控。

3《要求》六個活動詳細解讀

3.1 分析識別

《要求》中對分析識別的定義如下:分析識別活動指圍繞關(guān)鍵信息基礎(chǔ)設施(CII)承載的關(guān)鍵業(yè)務,開展業(yè)務依賴性識別、關(guān)鍵資產(chǎn)識別、風險識別等活動。本活動是開展安全防護、檢測評估、監(jiān)測預警、主動防御、事件處置等活動的基礎(chǔ)。同時,在對本方面的業(yè)務識別、資產(chǎn)識別、風險識別和重大變更的具體安全要求中可以發(fā)現(xiàn),識別關(guān)鍵業(yè)務和關(guān)鍵業(yè)務鏈是開展關(guān)基保護工作的前提。針對于本項內(nèi)容,長揚的理解為以下四點:

3.1.1 關(guān)鍵信息基礎(chǔ)設施和關(guān)鍵業(yè)務鏈

關(guān)鍵信息基礎(chǔ)設施(簡稱CII):是指公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務、國防科技工業(yè)籌重要行業(yè)和領(lǐng)域,以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露,可能嚴重危害國家安全國計民生、公共利益的重要網(wǎng)絡設施、信息系統(tǒng)等。

關(guān)鍵業(yè)務鏈(Critical Business Chain簡稱CBC):組織的一個或多個相互關(guān)聯(lián)的業(yè)務構(gòu)成的關(guān)鍵業(yè)務流程。

3.1.2 關(guān)于分析識別中CII要素識別梳理的要點

關(guān)鍵信息基礎(chǔ)設施(CII)要素識別是指將關(guān)鍵業(yè)務持續(xù)、穩(wěn)定運行不可或缺的資產(chǎn)(一般由軟硬件設備、組件、信息資源等組成的,能夠按照一定規(guī)則獨立處理信息的功能單元)從CII運營者的所有資產(chǎn)中識別出來,以便重點保護。(CII)要素識別包括四個部分:(1)關(guān)鍵業(yè)務基礎(chǔ)情況梳理,(2)關(guān)鍵業(yè)務信息化情況梳理,(3)關(guān)鍵業(yè)務信息(CBI)梳理,(4)CII要素確定。

(1)關(guān)鍵業(yè)務基礎(chǔ)情況梳理包括基本架構(gòu)梳理、管理模式梳理、運行框架梳理、業(yè)務特征梳理、基礎(chǔ)情況描述。

(2)關(guān)鍵業(yè)務信息化情況梳理包括業(yè)務模塊信息化梳理、功能模塊信息化梳理、基礎(chǔ)運行環(huán)境信息化梳理、信息化范圍描述。

(3)關(guān)鍵業(yè)務信息梳理包括類別梳理、功能梳理、生存周期梳理、關(guān)鍵業(yè)務信息描述。

(4)關(guān)鍵信息基礎(chǔ)設施要素確定包括要素梳理、要素歸集、要素重要性評估、要素清單、業(yè)務關(guān)系確定、網(wǎng)絡位置確定、物理位置確定、管理關(guān)系確定、信息記錄。基本流程圖如下所示:

圖 3 CII要素識別流程圖

3.1.3 關(guān)于分析識別中進行風險評估和風險識別的要點

《要求》中提出風險識別應參照GB/T 20984等標準,對關(guān)鍵業(yè)務鏈開展安全風險分析,識別關(guān)鍵環(huán)節(jié)的威脅、脆弱性,并形成安全風險報告。GB/T 20984,即2022年4月15日新發(fā)布的《信息安全技術(shù) 信息安全風險評估方法》GB/T 20984-2022,并替代原《信息安全技術(shù) 信息安全風險評估規(guī)范》GB/T 20984-2007成為新的信息安全風險評估工作實施指導標準。