信息安全技术关键信息基础设施安全检查评价指引-全国信息安全

1、国家标准?信息平安技术 关键信息根底设施平安检查评估指南?编制说明一、工作简况1.1 任务来源 根据?中华人民共和国网络平安法?要求，关键信息根底设施要求在网络 平安等级保护制度的根底上， 实行重点保护， 具体范围和平安保护方法由国务院 制定。网络平安法中明确要求关键信息根底设施的运营者应当自行或者委托网络 平安效劳机构对其网络的平安性和可能存在的风险每年至少进行一次检测评估， 此外规定了国家网信部门应当统筹协调有关部门对关键信息根底设施的平安风 险进行抽查检测， 提出改良措施， 必要时可以委托网络平安效劳机构对网络存在 的平安风险进行检测评估。为了落实网络平安法要求，标准关键信息根底设施检测

2、评估相关方法、流 程，全国信息平安标准化技术委员会于 2021 年立项?信息平安技术 关键信息基 础设施平安检查评估指南?国家标准， 2021 年 7 月，中央网信办网络平安协调 局下达? 信息平安技术 关键信息根底设施平安检查评估指南 国家标准制定? 委托任务书， 委托中国互联网络信息中心开展该标准的研制工作， 并将本工程标 识为 WG7 组重点标准。?信息平安技术 关键信息根底设施平安检查评估指南? 由中国互联网络信 息中心牵头， 国家计算机网络应急技术处理协调中心， 国家信息技术平安研究中 心、中国信息平安测评中心， 工业和信息化部电子科学技术情报研究所 更名为 国家工业信息平安开展研究

3、中心等单位共同参与起草。1.2 主要工作过程2021年1月至 3月，?信息平安技术 关键信息根底设施平安检查评估指南? 由中国互联网络信息中心牵头， 国家计算机网络应急技术处理协调中心， 国家信 息技术平安研究中心、 中国信息平安测评中心， 工业和信息化部电子科学技术情 报研究所等单位共同参与讨论， 讨论研究指南的编制， 并形成标准讨论稿， 向中 央网信办领导汇报标准编制进展， 并向全国信息平安标准化技术委员会提交工程 申请。2021年 4月，标准通过全国信息平安标准化技术委员会 WG7 组会议讨论。2021年 4月，本标准获得由全国信息平安标准化技术委员会立项。2021年 4月，向中央网信办

4、领导汇报标准进展工作，拟作为中央网信办布 置关键信息根底设施平安检查工作的参考标准。2021年 5月，正式成立标准编制组，标准编制组由五家主要参与单位共同 组成，集中讨论集中办公，讨论标准的框架、方法论、具体的内容等。2021年5月25日，召开第一次专家会， 地点在中央网信办， 由工程组向中 央网信办网络平安协调局杨春艳副局长、各相关处室负责同志及 WG7 专家进行 了汇报，5位WG7专家对标准提出了修改意见。2016 年 6-7 月，标准编制组继续集中办公，集中讨论，并根据第一次专家 会意见逐一进行修订， 此外与其他平安厂商、 科研单位进行交流， 就本标准指标 方法听取意见，并最终形成标准第

5、二稿。2021年7月18日，召开第二次 WG7专家会，由工程组向专家汇报了标准 工程进展，以及根据第一次专家会议的专家意见修订情况， 5 位 WG7 专家对标 准提出了更进一步的修改意见， 随后工程组召开标准讨论封闭会议， 根据此次专 家会意见对草案作了进一步修订，形成了第三稿。2017 年 7 月 21 日，参加 WG7 组会议，汇报了工程进展和标准修订情况， 会议决议最终该标准可以进入征求意见阶段， 并根据标准周辩论专家意见对标准 草案进行局部修订，完善草案内容。二、编制原那么和主要内容2.1 编制原那么 根据?中华人民共和国网络平安法?要求，关键信息根底设施要求在网络 平安等级保护制度的

6、根底上， 实行重点保护， 具体范围和平安保护方法由国务院 制定。网络平安法中明确要求关键信息根底设施的运营者应当自行或者委托网络 平安效劳机构对其网络的平安性和可能存在的风险每年至少进行一次检测评估， 此外规定了国家网信部门应当统筹协调有关部门对关键信息根底设施的平安风 险进行抽查检测， 提出改良措施， 必要时可以委托网络平安效劳机构对网络存在 的平安风险进行检测评估。关键信息根底设施平安检查评估指南是落实网络平安法要求，标准关键信息根底设施检测评估相关方法、 流程，定义了检测评估的主要内容， 从而提升关键信息根底设施的网络平安防护能力。本标准提供了关键信息根底设施检查评估工作的方法、流程和内

7、容，定义 了关键信息根底设施检查评估所采用的方法， 规定了关键信息根底设施检查评估 工作准备、实施、总结各环节的流程要求，以及在检查评估具体要求和内容。本标准适用于指导关键信息根底设施运营者、网络平安效劳机构相关的人 员开展关键信息根底设施检查评估相关工作。本标准可用于：1关键信息根底设施运营单位自行开展平安检测评估工作参考。2网络平安效劳机构对关键信息根底设施实施检测评估工作参考。3网络平安检测产品研发机构研发检查工具，创新平安应用参考。 本标准适用对象是关键息根底设施运营单位负责信息平安工作的实施者和 其他实施平安检测评估工作的相关人员。2.2 主要内容 关键信息根底设施检查评估工作是依据

8、国家有关法律与法规要求， 参考国家 和行业平安标准， 针对关键信息根底设施平安要求， 通过一定的方法和流程， 对 信息系统平安状况进行评估，最后给出检查评估对象的整体平安状况的报告。检查评估工作由合规检查、 技术检测和分析评估三个主要方法组成， 每个方 法包含假设干内容和工程。合规检查合规检查是通过一定的手段验证检查评估对象是否遵从国家相关法律法规、 政策标准、 行业标准规定的强制要求， 输出是否合规的结论， 对不合规的具体项 目进行说明，采取的方法包括现场资料核实、人员访谈、配置核查等形式。技术检测 技术检测分为主动方式和被动方式， 主动方式是采用专业平安工具， 配合专业平安人员，选取适宜的

9、技术检测接入点，通过漏洞扫描、渗透测试、社会工程 学等常用的平安测试手段， 采取远程检测和现场检测相结合的方式， 发现其平安 性和可能存在的风险隐患， 也可参考其他平安检测资料和报告， 对技术检测结果 进行验证。被动方式是辅助监测分析手段， 通过选取适宜的监测接入点， 部署相应的监 测工具，实时监测并分析检查评估对象的平安状况， 发现其存在的平安漏洞、 安 全隐患。两种技术检测方式最终输出技术检测结果。分析评估分析评估是围绕关键信息根底设施承载业务特点， 对关键信息根底设施的关 键属性进行识别和分析， 依据技术检测发现的平安隐患和问题， 参考风险评估方 法，对关键属性面临的风险进行风险分析，

10、进而对关键信息根底设施的整体平安 状况的评估。标准充分考虑了当前已有的等级保护相关标准、风险评估标准、及其他行 业平安标准，与正在制定的其他 WG7 系列标准一起，共同形成了支撑关键信息 根底设施平安保障的标准体系。本标准与其他国内标准的关联性分析：GB/T 22081-2021?信息平安技术信息系统等级保护根本要求? 是本标准 引用的标准之一， 本标准在编制之初就深刻理解网络平安法中 “关键信息根底设 施要求在网络平安等级保护制度的根底上，实行重点保护， 的要求，在合规检 查的内容中重点强调了对等级保护制度落实情况的检查。GB/T 20984-2007 信息平安技术 信息平安风险评估标准也是

11、本标准引用的 标准之一，本标准在第 9 节引入了风险评估的方法论， 通过对关键信息根底设施 的关键性分析， 并根据合规检查和技术检测发现的问题进一步进行风险分析， 最 后根据风险分析的结果定性分析出整体平安状况的评价。此外，正在制订的标准草案?信息平安技术关键信息根底设施网络平安保 护要求?定义了关键信息根底设施， 并对关键信息根底设施保护提出了具体的要 求，而本标准中有专门的项是对改要求的验证， 强调的是评估流程的标准化、 评 估内容标准化，以及评估结果的标准化 。此外，正在制定的标准草案?信息平安技术关键信息根底设施平安保障指标体系?与该标准关联，该标准的输出评估结果可以用于标准的量化计算三、采用国际标准和国外先进标准的程度，以及与国际、国外同类标准水平的 比照情况，或与测试的国外样品、样机的有关数据比照情况 编制