標準助力

 

　　關鍵信息基礎設施安全保障體系建設

 

　　中國電子技術標準化研究院 楊建軍

 

　　關鍵信息基礎設施安全直接關系到國家安全、國計民生和公共利益，關鍵信息基礎設施的安全保護成為維護國家網(wǎng)絡安全的重中之重。黨的十八大以來，以習近平同志為核心的黨中央高度重視網(wǎng)絡安全工作，習近平總書記在“4·19”講話中強調要加快構建關鍵信息基礎設施安全保障體系。關鍵信息基礎設施安全也是網(wǎng)絡安全法的重要內容，網(wǎng)絡安全法專門有一章節(jié)描述“關鍵信息基礎設施的運行安全”總體要求，其中明確了關鍵信息基礎設施的范圍以及保障關鍵信息基礎設施安全的技術和管理要求，是關鍵信息基礎設施安全保障體系的法律基礎。為進一步推動關鍵信息基礎設施安全保障體系建設，2021年7月30日，《關鍵信息基礎設施安全保護條例》（以下簡稱《條例》)正式出臺。

 

　　網(wǎng)絡安全標準化工作是國家網(wǎng)絡安全保障體系建設的重要內容，也是支撐網(wǎng)絡安全法、《條例》等法律法規(guī)落地實施的重要抓手。網(wǎng)絡安全法對關鍵信息基礎設施的建設、運行或者服務以及關鍵信息基礎設施運營者采購網(wǎng)絡產(chǎn)品和服務等活動的標準化提出了明確要求。《條例》也明確要求，國家制定和完善關鍵信息基礎設施安全標準，指導、規(guī)范關鍵信息基礎設施安全保護工作。

 

　　網(wǎng)絡安全標準是保障國家關鍵信息基礎設施的重要技術要素。從關鍵信息基礎設施的識別認定、安全防護、檢查評估、監(jiān)測預警、應急處置等各個方面，都離不開標準的規(guī)范和引領。關鍵信息基礎設施相關標準為各行業(yè)各領域關鍵信息基礎設施識別提供指導，為提高運營者自身安全防護能力和水平提供技術支撐，為規(guī)范開展安全檢查與評估提供標準依據(jù)，為統(tǒng)籌協(xié)調相關領域信息共享、監(jiān)測預警、應急處置、考核評價等提供方法指引，為保障關鍵信息基礎設施全生命周期安全提供標準化支撐。網(wǎng)絡安全標準化工作為筑牢關鍵信息基礎設施安全屏障，維護國家網(wǎng)絡安全發(fā)揮越來越重要的作用。

 

　　一、美歐等率先啟動關鍵信息基礎設施安全標準研制

 

　　隨著網(wǎng)絡和信息化的快速發(fā)展，關鍵信息基礎設施已成為各國的重要戰(zhàn)略資源，對關鍵信息基礎設施發(fā)動網(wǎng)絡攻擊成為敵對勢力蓄意破壞國家安全和社會穩(wěn)定的重要途徑。為保障國家安全和社會穩(wěn)定，美國、歐盟等積極制定出臺關鍵信息基礎設施安全法律法規(guī)，早在2014年就啟動了包含關鍵信息基礎設施的識別、安全保護框架、要求和評估規(guī)范等內容的標準化文件。

 

　　2014年美國發(fā)布了《改善關鍵基礎設施網(wǎng)絡安全的框架》。該框架定義了一套應用于關鍵基礎設施安全的風險管控流程。為支撐該框架的落地執(zhí)行，美國能源部和國土安全部針對關鍵信息基礎設施開發(fā)了網(wǎng)絡安全能力成熟度模型（簡稱“C2M2模型”），用于指導運營者對其信息系統(tǒng)、工控系統(tǒng)等信息資產(chǎn)進行安全評估，并通過劃分安全域的方式，分別從內部網(wǎng)絡安全實踐的實現(xiàn)情況（方法層面）和安全實踐的制度化程度（管理層面）對組織安全能力進行評估。

 

　　歐洲網(wǎng)絡與信息安全局（ENISA）于2014年發(fā)布《識別關鍵信息基礎設施服務和資產(chǎn)的方法論》，給出了識別關鍵信息基礎設施中服務和資產(chǎn)的方法。隨后，又先后發(fā)布了《保護關鍵信息基礎設施的考量、分析和建議》《數(shù)字服務提供商實施最低安全控制措施技術指南》等技術指導文件，就關鍵信息基礎設施領域開展公私合作、安全事件演練、風險評估、信息共享和建立控制措施等提出標準化建議。此外，ENISA還在互聯(lián)網(wǎng)基礎設施、工控系統(tǒng)、智能電網(wǎng)、金融、健康醫(yī)療、船舶等領域發(fā)布了相關安全規(guī)定。

 

　　二、我國加快布局關鍵信息基礎設施安全標準體系

 

　　全國信息安全標準化技術委員會（以下簡稱“全國信安標委”）作為網(wǎng)絡安全國家標準的統(tǒng)一技術歸口組織，積極落實網(wǎng)絡安全法、《條例》等法律法規(guī)要求，緊密圍繞關鍵信息基礎設施安全保障體系建設，推動了9項相關標準的研制工作，實現(xiàn)了標準“從無到有”的突破。

 

　　《條例》從深入推進關鍵信息基礎設施安全保護統(tǒng)籌協(xié)調機制、識別認定范圍、加強安全防護指導與監(jiān)督、保障安全防護重要環(huán)節(jié)、提升運營者安全能力等方面描述了關鍵信息基礎設施安全保障體系的藍圖。全國信安標委在充分考慮我國關鍵信息基礎設施安全特性的基礎上，圍繞安全保障體系建設各維度，從邊界識別、保護要求、控制措施、保障指標、應急體系、檢查評估以及供應鏈安全、數(shù)據(jù)安全、信息共享、監(jiān)測預警等方面系統(tǒng)開展標準研制與標準試點工作，用標準筑牢關鍵信息基礎設施安全保障體系建設的基礎。

 

　　其中，《信息安全技術 關鍵信息基礎設施安全保護要求》站在運營者的角度，對開展安全保護工作提出了安全基本要求，為運營者落實安全主體責任提供依據(jù)；《信息安全技術 關鍵信息基礎設施安全檢查評估指南》提出了對關鍵信息基礎設施安全檢查評估的流程和指標；《信息安全技術 關鍵信息基礎設施安全控制措施》《信息安全技術 關鍵信息基礎設施安全防護能力評價方法》《信息安全技術 關鍵信息基礎設施信息技術產(chǎn)品供應鏈安全要求》等標準提出了運營者加強安全保護的措施手段，為有效開展自身安全能力建設、提高安全防護水平提供了全方位、系統(tǒng)化、層次化的標準化指導。此外，《信息安全技術 網(wǎng)絡安全事件應急演練指南》《信息安全技術 網(wǎng)絡安全信息共享指南》《信息安全技術 網(wǎng)絡安全態(tài)勢感知通用技術要求》等關鍵信息基礎設施支撐標準為建立各行業(yè)間信息共享和應急演練協(xié)同機制提供了重要技術基礎。

 

　　同時，全國信安標委積極發(fā)揮標準化價值，積極探索關鍵信息基礎設施安全保護工作實踐新模式，選取金融、能源、交通、電信、衛(wèi)生健康等行業(yè)20余家關鍵信息基礎設施運營者聯(lián)合開展標準試點，對標準技術條款的可行性、合理性、完備性和科學性進行綜合驗證，有效提高了標準質量，初步摸清了相關行業(yè)的安全防護底數(shù)。

 

　　三、開創(chuàng)新形勢下關鍵信息基礎設施安全標準化新成果

 

　　當今世界正經(jīng)歷百年未有之大變局，不穩(wěn)定不確定因素日益增多、國際格局復雜多變，網(wǎng)絡安全標準化工作應堅持以總體國家安全觀為指引，立足新發(fā)展階段，不斷適應新興技術發(fā)展趨勢，以支撐國家關鍵信息基礎設施安全保護等網(wǎng)絡安全工作為重點，持續(xù)創(chuàng)新一批標準化工作新成果，為全面構建關鍵信息基礎設施安全保障體系提供標準化支撐。

 

　　一是持續(xù)增強標準化頂層設計。關鍵信息基礎設施安全標準化工作應充分結合行業(yè)和領域需求，重點圍繞網(wǎng)絡安全法、數(shù)據(jù)安全法、關鍵信息基礎設施安全保護條例等法律法規(guī)要求的落地實施，以整體提高關鍵信息基礎設施運營者安全保護能力為主要目標，充分借鑒國際先進標準研制成果，加快推動監(jiān)測預警、態(tài)勢感知、信息共享等重點領域標準研制。

 

　　二是筑牢新型基礎設施標準根基。“新基建”是數(shù)字產(chǎn)業(yè)化、產(chǎn)業(yè)數(shù)字化深度融合的產(chǎn)物，相關重要行業(yè)的“新基建”作為關鍵信息基礎設施重要組成，應嚴格落實網(wǎng)絡安全“三同步”原則。網(wǎng)絡安全標準化工作既要充分考慮“新基建”新型安全風險，又要與已有網(wǎng)絡安全標準做好配套銜接。以事件管理、信息共享、應急響應、供應鏈安全標準等為支撐，以安全管理、安全技術、安全測評標準等為補充，重點針對“新基建”中新技術新應用提出標準化要求，奠定新型基礎設施建設標準基石，共同支撐各行業(yè)各領域關鍵信息基礎設施安全保障工作。

 

　　三是營造標準化工作良性生態(tài)。關鍵信息基礎設施安全保障體系的構建需要壓實運營者的主體責任，還需要與產(chǎn)、學、研單位的通力協(xié)作。新形勢下網(wǎng)絡安全標準化工作要鼓勵更多的網(wǎng)絡安全企業(yè)、高校、科研院所等參與到關鍵信息基礎設施安全標準化工作中，打通技術、產(chǎn)業(yè)、學術等環(huán)節(jié)形成標準化合力，深入推動金融、能源、電信、交通、水利、衛(wèi)生健康、國防科技工業(yè)等重要行業(yè)和領域關鍵信息基礎設施的標準試點工作，促進標準研制與行業(yè)實施緊密互動，全鏈條提升標準應用價值與實施效果，營造共筑網(wǎng)絡安全防線的良性生態(tài)。