《关键信息基础设施安全保护要求》 标准解读

       安全保护标准提出，关键信息基础设施的安全保护应该在网络安全等级保护制度的基础上进行重点保护。保护工作应遵循三个基本原则：以关键业务为核心的整体防控、以风险管理为导向的动态防护、以信息共享为基础的协同联防。

     关键信息基础设施安全保护以保护关键业务为目标，对业务所涉及的一个或多个网络和信息系统进行体系化安全设计，构建整体安全防控体系。

  （二）动态防护

    根据关键信息基础设施所面临的安全威胁态势，进行持续监测和安全控制措施的动态调整，形成动态的安全防护机制，及时有效地防范应对安全风险。

   （三）协同联防

     积极构建相关方广泛参与的信息共享、协同联动的共同防护机制，提升关键信息基础设施应对大规模网络攻击能力。

    在等级保护的基础上，《关保要求》重点从分析识别、安全防护、检测评估、监测预警、主动防御、事件处置六个方面，对关键信息基础设施安全保护提出了更高、更具体的要求。

   （一）分析识别

        提升分析识别能力，强化提升安全风险管控能力。关键信息基础设施的运营者应当配合保护工作部门，按照规定开展关键信息基础设施的识别和认定工作，并围绕关键信息基础设施承载的关键业务，开展资产识别、风险识别等活动。本活动是开展安全防护、检测评估、监测预警、主动防御、事件处置等活动的基础。

        其中对风险的分析识别是重中之重，而源代码是信息基础设施的重要组成部分，因此对于源代码中的风险识别尤为重要。这一部分可以借助对应的源代码扫描工具如 SAST、SCA 等工具对源代码中的安全漏洞及许可证风险进行检测、识别和分析，从而提升代码质量，保障关键信息基础设施的安全性。

（二）安全防护

        根据已识别的关键业务、资产、安全风险，在安全管理制度、安全管理机构、安全管理人员、安全通信网络、安全计算环境、安全建设管理、安全运维管理等方面实施安全管理和技术保护措施，确保关键信息基础设施的运行安全。

       《关保要求》除了在等级关保要求的基础上进一步细化，还重点突出了数据安全和供应链安全的要求，进一步规范化了数字化发展和可信可控背景下的安全能力保障。其中软件供应链安全越来越受到国家及各行业的重视，尤其是在各种软件供应链安全攻击事件频发的背景下，《网络安全审查办法》、《信息安全技术软件供应链安全要求》、《关保条例》等法规中都强调了要保障软件供应链安全。

 （三）检测评估

       为检验安全防护措施的有效性，发现网络安全风险隐患，运营者制定相应的检测评估制度、确定检测评估的流程及内容等要素，并分析潜在安全风险可能引起的安全事件。

        为了更好地提高关键信息基础设施的安全保护水平，针对检测评估工作，明确了其范围、内容、周期等要求，特别是在检测评估内容方面，将等级保护和密评等强合规要求满足情况作为重要的评估依据。

（四）监测预警

       运营者制定并实施网络安全监测预警和通报制度，针对即将发生或正在发生的网络安全事件或威胁，提前或及时发出安全警示。建立威胁情报和信息共享机制，落实相关措施，提高关键信息基础设施主动防御的能力。

       管理方面，明确开展监测预警工作的管理和要求，制定监测策略，明确监测对象、监测流程、监测内容，主动掌握威胁态势；技术措施方面，提升监测预警技术措施，实现相关技术措施的有效聚合和一体化管理。

  （五）主动防御

      以应对攻击行为的监测发现为基础，主动采取收敛暴露面、捕获、溯源、干扰和阻断等措施，开展攻防演习和威胁情报工作，提升对网络威胁与攻击行为的识别、分析和主动防御能力。

   （六）事件处置

   对网络安全事件进行报告和处置，并根据检测评估、监测预警环节发现的问题、运营者制定并实施适当的应对措施，恢复由于网络安全事件而受损的功能或服务。

三、安全建设方向