背景

2017年是我國關鍵信息基礎設施（Critical Information Infrastructure，CII）保護工作取得顯著進展的一年。《網絡安全法》、《國家網絡空間安全戰略》等提出建立關鍵信息基礎設施安全保護制度；中央網信辦發布《關鍵信息基礎設施安全保護條例（征求意見稿）》，明確了關鍵信息基礎設施的具體范圍，并提出進一步的安全保護要求。

2017年以來，我國關鍵信息基礎設施安全保護標準體系開始布局。為確保標準體系建設的合理性、科學性，全國信安標委組織多次專家研討會，厘清了關鍵信息基礎設施安全各標準之間的關系與定位，已立項的標準包括：

1.《關鍵信息基礎設施網絡安全框架》。該標準規定關鍵信息基礎設施網絡安全框架，說明構成框架的基本要素及其關系，定義基本、通用的術語。

2.《關鍵信息基礎設施網絡安全保護基本要求》。該標準規定關鍵信息基礎設施網絡安全保護在識別認定、安全防護、檢測評估、監測預警、應急處置等環節的基本要求。

3.《關鍵信息基礎設施安全控制措施》。該標準作為《信息安全技術關鍵信息基礎設施網絡安全保護基本要求》的配套標準，根據要求提出相應控制措施，運營者開展網絡安全保護工作時可在該標準中選取適用的控制措施。

4.《關鍵信息基礎設施安全檢查評估指南》。該標準主要依據《關鍵信息基礎設施網絡安全保護基本要求》的相關要求，明確關鍵信息基礎設施檢查評估的目的、流程、內容和結果。

5.《關鍵信息基礎設施安全保障指標體系》。該標準規范了用于評價關鍵信息基礎設施安全保障水平的指標，并給出釋義，基于檢查評估結果、日常安全監測等情況給出評價結果。

2019年12月初，全國信息安全標準化技術委員會秘書處在北京組織召開了國家標準《信息安全技術關鍵信息基礎設施網絡安全保護基本要求》（報批稿）（以下簡稱《要求》）試點工作啟動會。

預計《要求》將在2020年內正式實施。（在此之前，《要求》經歷了征求意見稿，當前是報批稿）

范圍

我們先來看看《要求》正文內容。首先是范圍，主要是有關CII的識別認定、安全防護、檢測評估、監測預警和事件處置等幾個環節。也就是說，涉及：

關保認定（包括等級保護工作在內）相關工作

基于等保2.0，高于等保的安全防護能力

年度測評和國家安全檢查工作

安全事件的監測預警工作

應急響應工作（應急團隊、技術工具、演練和護網等）

這些工作將貫穿整個CII的聲明周期：規劃設計、開發建設、運行維護、退役廢棄等階段。

從標準中所應用的文件來看，主要還是基于《GB/T 20984 信息安全技術 信息安全風險評估規范》和《GB/T22239-2019 信息安全技術 網絡安全等級保護基本要求》，也就是說基于等保但高于等保的要求。說直白寫，等保三級的要求是基準，必須做到，但不代表你就合格了，此外還要符合關保中的部分額外要求，這樣才算合格合規。

《要求》中對CII的定義如下：公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域，以及其他一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的信息設施。

可見，基本涵蓋所有重要行業和有關民生的系統。

原則

還記得等保中提出的“三同步”么？即同步規劃、同步建設、同步運行。我們來看下，關保所要求的保護原則是什么？

重點保護是指關鍵信息基礎設施網絡安全保護應首先符合網絡安全等級保護政策及 GB/T 22239-2019等標準相關要求，在此基礎上加強關鍵信息基礎設施關鍵業務的安全保護。

整體防護是指基于關鍵信息基礎設施承載的業務，對業務所涉及的多個網絡和信息系統（含工業控制系統）等進行全面防護。

動態風控是指以風險管理為指導思想，根據關鍵信息基礎設施所面臨的安全風險對其安全控制措施進行調整，以及時有效的防范應對安全風險。

協同參與是指關鍵信息基礎設施安全保護所涉及的利益相關方，共同參與關鍵信息基礎設施的安全保護工作。

怎么來看呢，從個人的理解來說是這樣的，重點防護主要還是基于業務的，而且離不開等保2.0，這是網絡安全工作的基線。

關保不同于等保，對象是CII，而非信息系統。這就可能存在著一個CII上承載著多個信息系統，安全防護的方位就要覆蓋每一個系統，可能會優先保障關鍵業務系統，但同時也要做好其他系統的防護工作，尤其是安全隔離。尤其是各系統之間可以互相訪問的情況，那就要像對于關鍵業務系統一樣，對其他系統一視同仁，采用同樣的防護等級。

對于CII提出了動態風控的要求，這里主要強調的是業務風險，這部分不是我們的強項，也就不胡說八道了。但是有關風險評估，要提一下。風評本身就是一個類似PDCA的循環周期，旨在不斷發現問題，修復問題，調整策略。我們開展風評不是為了應付監管或是為了績效走個過場。相關方應根據自家業務和系統的特性，制定自己的風評檢查用例，不要總是拿著等保那一套東西，堅持原則，100年不動搖。這在安全領域是不可行的。雖說等保2.0剛剛頒布不久，就目來看，標準要求還可以，但不代表3年后這些用例仍然適合你的系統，要知道，國家標準不會在短期內進行更新的，等保1.0和等保2.0之間相距了11年。

協同參與，有點類似云平臺的責任共擔原則。對于CII的安全保護，除了運營者（是的，無論如何，最終責任人終歸是運營方）之外，包括安全廠商、供應商、監管機構都有一定連帶責任。以往，企業把這套系統遷移到云上，買了安全服務，那么有關安全的所有問題和責任都有云服務商和安全廠商來承擔，這種做法對于CII并不適用。能夠承建CII的企業，想必應該都是大中型企業，我相信如果想做都是能做好的。

主要環節

關鍵信息基礎設施運營者負責關鍵信息基礎設施的運行、管理，對關鍵信息基礎設施安全負主體責任，履行網絡安全保護義務，接受政府和社會監督，承擔社會責任。

識別認定：運營者配合保護工作部門，按照相關規定開展關鍵信息基礎設施識別和認定活動，圍繞關鍵信息基礎設施承載的關鍵業務，開展業務依賴性識別、風險識別等活動。

本環節是開展安全防護、檢測評估、監測預警、事件處置等環節工作的基礎。

有點類似于等保定級外加風險評估工作。因為涉及到業務、資產、風險等的識別活動。

安全防護：運營者根據已識別的安全風險，實施安全管理制度、安全管理機構、安全管理人員、安全通信網絡、安全計算環境、安全建設管理、安全運維管理等方面的安全控制措施，確保關鍵信息基礎設施的運行安全。本環節在識別關鍵信息基礎設施安全風險的基礎上制定安全防護措施。

這塊就回到了基于等保實施防護工作，由于目前CII相關配套標準和要求不夠完善，外加等保2.0作為國家網絡安全對于企業的基線要求，在未來一段時期內，仍會通過等保標準來開展部分關保工作。

檢測評估：為檢驗安全防護措施的有效性，發現網絡安全風險隱患，運營者制定相應的檢測評估制度，確定檢測評估的流程及內容等要素，并分析潛在安全風險可能引起的安全事件。

企業安全自查和風險評估（包括風控在內）的工作，雖說監管方面要求一年至少一次，但大家還是根據實際情況來決定。比如今年風評做完后，對于不可接受風險進行了修復，沒過多久系統又被黑了，這就需要再次對企業的系統進行更細致的評估。

監測預警：運營者制定并實施網絡安全監測預警和信息通報制度，針對即將發生或正在發生的網絡安全事件或威脅，提前或及時發出安全警示。

安全監控平臺或者SOC一類的平臺，畢竟目前不是每家企業都有阿里那種安全團隊和響應能力的，如今的態勢感知平臺和AI還不夠成熟，所以，還是小心為上，嚴管權限，最小安裝，將暴露面盡可能減小。經常梳理和監控企業IT資產，不需要聯網的就不要聯，沒有業務相關的資產盡量邏輯隔離，做好安全域劃分。時常開展安全意識培訓和技能培訓，有獎有罰。

事件處置：對網絡安全事件進行處置，并根據檢測評估、監測預警環節發現的問題，運營者制定并實施適當的應對措施，恢復由于網絡安全事件而受損的功能或服務。

這里講求的是兩個方面，一是對于事件的發現和上報流程，二是對于事件的處置和恢復生產能力。此外，結合等保2.0要求，除了業務連續性方面的應急預案外，還要準備數據泄露方面的應急預案。