《信息安全技术 网络弹性评价指南》（征求意见稿）编制说明

1一、工作简况（一）任务来源本标准2023年由齐安信科技集团股份有限公司向中国基本建设优化研究会（简称：中基会）提出立项，中基会于2023年5月31日正式下达立项计划，计划编号为：P2023-05。本标准由中国基本建设优化研究会提出并归口。本标准由奇安信科技集团股份有限公司为牵头单位的起草小组组织起草。（二）标准制订的目的和意义网络弹性是指包含网络资源的系统预测、承受、恢复、适应对抗条件、压力、攻击或者破坏的能力，关注网络信息系统的关键组成部分在受到打击的极端状态下的业务能否持续开展的能力。该概念自从2010年在美国提出后，在网络空间国际形势愈发复杂，网络空间军事化程度不断升级的大背景下，已经成为全球各国网络安全机关机构、大型关键信息基础设施广泛关注的重要课题。2022年2月开始的俄乌冲突是全球范围内首次公开的、大规模的网络战，双方的政府网站、国有银行、国防、航空和能源电力机构均遭到不同程度的打击并导致业务中断，给社会运行造成严重破坏，并对各国网络安全保障能力的建设思路产生了深远影响。美国早在本世纪初便提出了针对信息网络的“网络弹性”概念，旨在说明在信息系统遭受重大网络攻击时，其基本业务功能恢复到正常或者接近正常水平的能力，保证业务的连续性。美国MITRE公司针对网络弹性发布了一系列的报告，包括网络弹性工程、网络弹性评估准则和网络弹性指标库等内容。此外，美国国家标准与技术研究所在2019年发布了《开发网络弹性系统—一种系统安全工程方法》（SP-800160V2）标准草案，对网络弹性定义、目标、结构和工程化组件进行了明确，提供了一套网络弹性建设的工程方法，对网络弹性进行了系统性梳理。我国在中国软件行业协会在2021年发布了《系统安全工程网络弹性构建指南》的三个标准，包括“概述”、“网络弹性工程框架”、“网络弹性构建过程”，对美国SP-800160V2进行了有益的吸收。但是，我国在国家标准层面尚未提出网络弹性的概念以及网络复原力的说法，在标准层面仍然是空白。本标准拟定提出科学的、可实践的网络弹性评价指标体系，帮助网络运营者在设计、建设网络信息系统的过程中考虑抗打击能力和网络复原力，预防和缓解网络安全风险。本标准的制定和应用主要有以下几个方面的作用：（1）为网信主管部门提供技术支撑，用于摸清被监管对象在极端状态下的网络复原力；（2）为包括关键信息基础设施在内的广大网络运营者提供指导，帮助其在设计网络信息系统过程中，预防和缓解网络安全风险。（三）主要工作过程2（1）项目预研项目前期，主编单位、中国基本建设优化研究会、北京蓝象标准咨询服务有限公司对信息安全技术进行了系统的研究，针对网络弹性产品的市场情况、需求情况等进行了资料查证和企业走访调研，并结合专家意见形成了立项建议书和标准草案框架。2023年5月29日召开了立项评估会，经专家论证，同意该标准立项。中国基本建设优化研究会于2023年5月31日下达了标准制定计划。（2）项目立项2023年5月31日上午，中国基本建设优化研究会下达了《信息安全技术网络弹性评价指南》等7项“信息安全技术”系列团体标准立项通知，要求标准主要起草单位抓紧落实和实施计划，在标准起草过程中加强与有关方面的协调，广泛听取意见，保证标准质量和水平，按时完成团体标准制订任务。（3）项目启动及首次研讨会2023年6月27日，由中国基本建设优化研究会主办、北京蓝象标准咨询服务有限公司承办的《信息安全技术网络弹性评价指南》等7项“信息安全技术”系列团体标准启动会在北京召开。中国基本建设优化研究会党委书记（会长）孙晓洲、中国标准化委员会委员（博士生导师）强毅出席会议并致辞，中国基本建设优化研究会秘书长宫然、中国基本建设优化研究会标准化技术委员会主任委员段小莉出席会议并总结发言，公安部科技信息化局原局长厉剑、中国科学院计算机网络信息中心大数据部副主任（国家基础学科公共科学数据中心主任）胡良霖、中国标准化研究院高新技术与信息标准化研究所副所长王志强、国家信息技术安全研究中心原副总工程师宫亚峰等领导和专家出席会议。会议由中国基本建设优化研究会标准化技术委员会副主任委员（北京蓝象标准咨询服务有限公司首席技术官）张德保主持。《信息安全技术网络弹性评价指南》等7项“信息安全技术”系列团体标准首次研讨会由中国基本建设优化研究会标准化技术委员会副主任委员（中国科学院计算机网络信息中心大数据部副主任、国家基础学科公共科学数据中心主任）胡良霖主持，奇安信科技集团股份有限公司代表标准起草组，对《信息安全技术网络弹性评价指南》标准的主笔单位、研制背景、标准主要内容和标准编制情况进行了介绍，并汇报了会议前收到的修改意见预处理情况。随后，参会代表结合意见预处理情况，围绕标准的名称、技术框架、条款的陈述方式等方面展开了热烈的讨论，主编单位代表对各参会代表所提建议和意见进行了详细的记录和解答。会后，标准起草组针对启动会会前和会上，和专家提出的14条建议和意见进行分析和研究，对标准草案进行相应修改与完善，形成新一版的标准文本。（4）第二次研讨会2023年10月20日，由中国基本建设优化研究会主办，北京蓝象标准咨询服务有限公司、中国工业互联网研究院联合承办的《信息安全技术网络弹性评价指南》等7项信息安全技术系列团体标准第二次研讨会在京成功召开。中国基本建设优化研究会标准化技术委员会主任委员、北京蓝象标准咨询服务有限公司总经理段小莉，中国工业互联网研究院主任薛强出席会议并致辞，公安部科技信息化局原党委书记、局长（研究员）厉剑作为特邀专家出席会议并做点评。自59家企事业单位60余名代表参加了会议，会议由中国基本建设优化研究会标准化技术委员会标准化工程师吴建全主持。主编单位齐安信科技集团股份有限3公司代表标准起草组介绍标准讨论稿和意见处理情况，参会领导、专家和企业代表重点围绕标准的范围和定位、技术框架、性能指标、条款内容等方面展开了热烈的讨论，并对标准文本的修改和完善提出了很多宝贵的建议和意见。同时，特邀专家公安部科技信息化局原党委书记、局长（研究员）厉剑从专业技术角度对标准进行了专业点评。主编单位代表对各参编单位代表所提建议和意见进行了详细的记录和解答，会后，标准起草组针对各单位和专家提出的9条修改建议进行了处理，并对相应的标准文本进行修改。（四）主要参加起草单位和工作组成员所做的工作本标准起草工作组由奇安信科技集团股份有限公司为牵头单位组成。起草组承担了标准起草的组织、标准文本的编制、重点企业意见征求、标准编制说明的撰写和内审等工作。二、标准编制原则和确定标准主要内容的依据（一）标准编写原则本标准按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。起草过程，充分考虑现有相关标准的统一和协调；标准的要求充分考虑了国内当前的行业技术水平，对草案内容进行多次征求意见和充分讨论。（二）确定标准主要技术指标的基本原则网络弹性具有三个属性，即可靠性、可用性和生存性。——网络弹性可靠性（ROCR）：与预期行为和结果一致的性质。——网络弹性可用性（AOCR）：可由经授权实体按需访问和使用的性质。——网络弹性生存性（SOCR通过减少系统运行中断的可能性或程度，将有限持续时间的中断对价值交付（即，以成本计算的相关方的利益）的影响降到最低；在中断期间和中断后对价值交付的最低可接受水平的满意度；和/或及时恢复的能力。（三）主要内容本文件定义了网络弹性指标体系，提供了网络弹性评价框架、网络弹性评价流程与方法、网络信息系统安全保护的弹性指标评价、网络信息系统安全运营的弹性指标评价、网络弹性的保障指标评价以及网络弹性总体评价等指导。（1）评价对象：网络弹性评价对象是指网络信息系统的运营者（或称为组织）对其运营对象（网络信息系统）具备网络安全防护的弹性能力、网络安全运营的弹性能力以及网络安全保障的弹性能力。组织所运营的网络信息系统由7个层面组成：——系统业务层：业务战略、业务运行指标、业务运行策略、系统功能性能——应用功能层：业务服务、应用接口、应用软件、用户界面——系统数据层：中间件、数据库、业务数据、系统交换共享数据、运维管理数据——基础设施层：服务器、存储设备、终端设备、云平台、操作系统、虚拟化软件——网络设施层：交换机、路由器、负载均衡设备、虚拟化网络设备4——物理环境层：机房位置、机房设施、机房供电、机房线路——管理层：机构、制度、人员、策略、建设、运维、管理、供应链、测评（2）指标体系在网络弹性指标体系包括网络信息系统安全保护的弹性指标体系、网络信息系统安全运营的评价指标体系和网络弹性的保障评价指标体系，设置了5个层级，包括板块指标、一级指标、二级指标、三级指标以及要求项。其中板块指标为3个，一级指标17个，二级指标64个，三级指标256个，每个三级指标项中还包含了多个要求项。（3）评价要素网络弹性评价要素包括外部风险、网络弹性评价对象、系统内部缺陷、网络弹性指标、网络弹性评价以及网络弹性评价的对照标准等。a)外部风险：包括来自系统以外的破坏、攻击、威胁等。b)内部缺陷：包括系统设计、系统建设、技术措施、管理手段等存在问题与不足。c)评价对象：包括系统业务层、应用功能层、系统数据层、基础设施层、网络设施层、物理环境层、管理层。d)网络弹性指标：包括板块指标、一级指标、二级指标、三级指标，每个三级指标下还包含了多个要求项。e)网络弹性指标评价：包括组织预测安全风险能力、抵受安全风险能力、系统遭到破坏后恢复能力以及适应风险变化的能力。f)网络弹性评价对照标准：包括系统业务功能集、系统业务服务集、系统业务数据集、系统风险评估结果、系统风险变化率等。（四）主要依据本标准在贯彻落实我国网络安全、信息安全相关国家政策基础上，通过研究分析相关国家标准、行业标准提出本项目的研制思路，主要参考以下标准：GB/T21052-2007信息安全技术信息系统物理安全技术要求GB/T25069信息安全技术术语三、与国际、国外同类标准技术内容的对比情况2022年9月，针对当前硬件和软件产品越来越容易受到网络攻击的问题，欧盟公布了《网络安全弹性法案》。美国MITRE公司针对网络弹性发布了一系列的报告，包括网络弹性工程、网络弹性评估准则和网络弹性指标库等内容。此外，美国国家标准与技术研究所在2019年发布了《开发网络弹性系统—一种系统安全工程方法》（SP-800160V2）标准草案，对网络弹性定义、目标、结构和工程化组件进行了明确，提供了一套网络弹性建设的工程方法，对网络弹性进行了系统性梳理。四、与有关法律、行政法规及相关标准关系的说明5我国在中国软件行业协会在2021年发布了《系统安全工程网络弹性构建指南》的三个标准，包括“概述”、“网络弹性工程框架”、“网络弹性构建过程”，对美国SP-800160V2进行了有益的吸收。但是，我国在国家标准层面尚未提出网络弹性的概念以及网络复原力的说法，在标准层面仍然是空白。五、重大分歧意见的处理经过和依据本文件在起草过程中，对标准中的技术内容没有发生重大分歧。六、涉及专利的有关说明本文件不涉及专利。七、数据验证本文件的网络弹性评价指标体系主要借鉴了等级保护、关键信息基础设施保护、网络安全风险评估以及网络安全灾备方面国家标准的要求，同时，积极参考了美国NIST《《开发网络弹性系统—一种系统安全工程方法》以及美国网络安全咨询公司MITRE提出的网络弹性评价矩阵的指标，形成了达到700余项的指标体系库。随后，根据信息系统网络弹性在预备、低受、恢复和适应的主要要求，删减了部分的安全管理和偏基础的内容，初步形成了评价指标体系。指标体系形成后，编制组对于评价指标的科学性和可落地性进行了验证，在大型民航公司、大型能源机构进行了试点调研，对于与实际不符的指标进行了筛选剔除。另外，奇安信集团在北京冬奥会网络安全建设中运用了网络弹性的思想进行信息系统保障，为此，专门邀请冬奥保障团队就评价指标与冬奥网络安全保障实际情况进行对比，完成指标验证。从指标定性上看，编制组借鉴了GB/T20984-2022，将弹性确定了五个等级。从指标赋值上看，我们主要采取了三级指标到一级指标的加权计算方法，最终形成总体评价，就每一级别指标而言，我们采取阶梯的计算方法。从指标内容的选择来看，我们主要借鉴了以下标准和文件：（1）GB/T22239-2018信息安全技术网络安全等级保护基本要求（2）GB/T20261—2020信息安全技术系统安全工程能力成熟度模型（3）GB/T20269—2006信息安全技术信息系统安全管理要求（4）GB/T20271—2006信息安全技术信息系统通用安全技术要求（5）GB/T20984-2022信息安全技术信息安全风险评估方法（6）GB/T20988—2007信息安全技术信息系统灾难恢复规范（7）GB/T20984-