2024信息安全技术关键信息基础设施边界确定方法

网络安全技术关键信息基础设施边界确定方法目 次前言 II1范围 1规范性引用文件 1术语和定义 14概述 2关键信息基础设施类型 2边界确定原理 2极限情况下要素识别原则 3边界确定流程 3基本信息梳理 4关键信息基础设施功能识别 4关键业务链与关键业务信息识别 5关键业务链识别 5关键业务信息识别 5关键业务信息流识别和资产识别 5一般识别步骤 5提供信息化共性服务的基础通信网络的识别步骤 6关键信息基础设施要素识别 6资产归集 6要素归集 6关键信息基础设施边界确定 7附录A（资料性）关键信息基础设施边界记录模板 8参考文献 12I网络安全技术关键信息基础设施边界确定方法范围安全保护的其他相关方使用。规范性引用文件（包括所有的修改单适用于本文件。GB/T25069—2022信息安全技术术语GB/T39204—2022信息安全技术关键信息基础设施安全保护要求术语和定义GB/T25069—2022、GB/T39204—2022界定的以及下列术语和定义适用于本文件。3.1关键信息基础设施criticalinformationinfrastructure公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业益的重要网络设施、信息系统等。[来源：GB/T39204-2022，3.1]3.2关键信息基础设施要素criticalinformationinfrastructureelement支撑关键业务的网络设施和信息系统的软硬件资产及其描述信息。简称，要素。注：描述信息包括但不限于该类网络设施和信息系统软硬件资产的功能、部署信息、业务关系等。3.3关键信息基础设施边界criticalinformationinfrastructureboundary所有关键信息基础设施要素的集合。3.4关键业务信息criticalbusinessinformation关键业务安全稳定运行不可或缺的电子信息。13.5关键业务信息流 criticalbusinessinformationflow关键业务信息从产生到终止，在网络设施、信息系统中的流动轨迹。注：轨迹是指信息流通过节点和流动方向等。3.6极限情况 extremeconditions遭遇到大规模、有组织、持续的网络攻击或严重自然灾害等，对网络运行环境、网络运行秩序产生系统造成影响的情况。3.7组件 component根据结构或功能划分的系统组成部分，仍然能实现独立的子功能。[来源：ISO20890-1:2020，3.14]3.8关键业务流程 criticalbusinessprocess为了实现关键业务所完成的一系列活动。3.9关键业务链 criticalbusinesschain组织的一个或多个相互关联的业务构成的关键业务流程。[来源：GB/T39204-2022，3.3]概述关键信息基础设施类型等。的集合，如网络安全等级保护第三级（含以上）的网络设施、信息系统。边界确定原理（以下简称“边界确定（小设备或服务单元）、网络功能及其依赖的资源池识别软硬件资产。2注不可或缺”业务功能、性能的影响进行判断。注“灾备系统素；关键业务信息流未流经的“灾备系统”，则不纳入关键信息基础设施要素。极限情况下要素识别原则作部门要求，按照极限情况下保障最小化的原则划定边界，最小化要素识别原则如下：最小化运行原则：保证关键业务持续运行提供基本服务所需要的功能、性能。安全性。最小化资产原则：保证关键业务持续运行的软硬件资产集合的最小化。边界确定流程边界确定流程主要包括准备阶段、要素识别和边界确定三个环节。准备阶段，包括：根据关键业务确定业务范围；（人员、开发人员等）；信息收集和分析；（控制、资料准备等）。要素识别阶段，包括：基本信息梳理；关键信息基础设施功能识别；关键业务链及其关键业务信息识别；关键业务信息流识别和资产识别；关键信息基础设施要素识别。边界确定，此环节在关键信息基础设施要素基础上确定边界。1所示。3准备阶段基本信息梳理关键信息基础设施功能识别准备阶段基本信息梳理关键信息基础设施功能识别关键业务链与关键业务信息识别关键业务信息流识别和资产识别关键信息基础设施要素识别系统功能架构图网络拓扑图关键业务信息清单、关键业务信息流图过程文档梳理、沟通和分析边界确定图1关键信息基础设施边界确定实施流程梳理、沟通和分析边界确定边界确定工作是持续、动态的，当关键信息基础设施所属的网络设施和信息系统发生改建、扩建、所有人变更等较大变化时或关键信息基础设施发生重大调整时，需按要求重新开展识别工作，确保关键信息基础设施边界的时效性。基本信息梳理（以下简称“运营者梳理基本信息：（关键业务稳定可靠运行情况信息（极限情况下关键业务持续运行情况信息单位名称、单位地址等；数据资产信息梳理。包括数据类型、数据规模、安全性需求、重要程度、所属关键业务等；提供租用网络设施的运营者单位名称、单位地址等。关键信息基础设施功能识别识别步骤如下：4系统以及网络设施、信息系统的功能；关键信息基础设施功能，包括常态化运行和极限情况运行的功能组成。关键业务链与关键业务信息识别关键业务链识别识别步骤如下：（出业务流程；程及其执行顺序；评估关键信息基础设施功能或组成部分之间的业务流程对其后序关键信息基础设施功能的影响，造成后序关键信息基础设施功能丧失或性能下降的，该流程纳入关键业务流程；识别组成关键信息基础设施的关键业务链；一步完善；形成关键业务链流程图、系统功能架构图；针对提供信息化共性服务的基础通信网络，在设计阶段完成业务流程识别。关键业务信息识别识别步骤如下：（部分的输入、输出信息；根据输入、输出信息对关键业务的影响确定关键业务信息；息、输出信息、不可或缺性判断结果。关键业务信息流识别和资产识别一般识别步骤络设施和信息系统的软硬件资产。识别步骤如下：示；确定必需的节点；（含容器/虚拟机清单，输出节点硬件资产上部署的软件资产信息，确定关键信息基础设施软硬件资产；5形成关键业务信息流图以及关键信息基础设施软硬件资产清单。提供信息化共性服务的基础通信网络的识别步骤识别步骤如下：所依赖的资源池识别对应的软硬件资产；8.1c)-e)的内容进行识别。关键信息基础设施要素识别资产归集运营者依据业务功能对支撑关键业务的网络设施和信息系统的软硬件资产进行归集，对同一设备、系统、组件归集。要素归集息基础设施要素清单（概表），可参见附录A表2。资产信息、软件相关信息等，可参见附录A表3、表4。资产信息关键信息基础设施要素的资产信息，主要包括：类型情况，包括但不限于网络设备、安全设备、存储设备、服务器、工控设备、终端设备等；资产的名称、品牌及型号、版本号、形态、用途；资产安全属性；（应用软件应明确开发语言；资产开放的端口及其端口上运行的服务情况（公网开放端口及服务）；IP（IP）信息及域名信息（包括公网域名）；对应的硬件资产信息（虚拟设备对应的硬件资产，云平台的硬件设备明确到资源池级别）。部署信息网络拓扑中的逻辑位置和物理位置信息。关系信息关键信息基础设施要素与关键业务链、网络设施和信息系统的关系信息，主要包括：支撑的关键业务链；所属的网络设施、信息系统；前序关系、后序关系；与其他系统关联情况。6其他信息相关扩展信息。关键信息基础设施边界确定附录A表1。包括下列主要内容：基本信息络设施信息等。要素信息键业务信息、关键业务信息流、要素清单等信息。识别时间7附 录 A（资料性）关键信息基础设施边界记录模板表A.1给出了关键信息基础设施边界记录模板,表A.2给出来了关键信息基础设施要素清单（概表）参考模板，表A.3关键信息基础设施要素信息-硬件资产信息（详表）参考模板，表A.4关键信息基础设施要素信息-软件资产信息（详表）参考模板。表A.1关键信息基础设施边界（参考模板）识别时间：XXXX年XX月XX日关键信息基础设施名称网络设施和信息系统的名称基本信息运营者信息单位名称单位地址单位性质□政府机关□事业单位□国有企业□互联网企业□其他单位负责人姓名职务国籍办公电话首席网络安全官姓名职务国籍办公电话手机专门网络安全管理机构机构名称机构负责人姓名办公电话国籍手机机构联系人姓名办公电话国籍手机关键信息基础设施信息所属行业领域所属网络设施、信息系统所属网络设施、信息系统网络设施、信息系统类型云计算 ☐移动互联 ☐物联网工业控制系统☐大数据 ☐区块链容器责任关系：责任部门联系方式相关人员8表A.1关键信息基础设施边界（参考模板）（续）与关键业务的关系关键业务保护工作部门确定的关键业务业务运行信息常态化运行信息覆盖地域、用户规模、业务数据信息、资产规模、产量产值、业务规模等；本单位关键业务依赖的上下游业务信息；关键业务为其他行业提供服务的情况；极限情况运行信息覆盖地域、用户规模、业务数据信息、资产规模、产量产值、业务规模等本单位关键业务依赖的上下游业务信息；本单位关键业务为其他行业提供服务的情况；涉及的其他运营单位单位名称、单位地址数据资产信息数据资产数据类型、数据规模、安全性需求、重要程度、所属关键业务租用网络设施信息提供租用网络设施的运营者单位名称提供租用网络设施的运营者单位地址关键信息基础设施要素信息要素总计要素类型：硬件资产要素数量：XX台（套）要素类型：软件资产要素数量：XX台（套）对应关系关键业务以及极限情况下的关键业务与网络设施、信息系统功能对应关系关键业务链关键业务链流程图系统功能架构系统功能架构图网络拓扑网络拓扑图及其介绍关键业务信息关键业务信息清单关键业务信息流关键业务信息流图要素清单要素清单（概表）9表A.2关键信息基础设施要素清单（概表）（参考模板）硬件类型设备类型所属网络设施、信息系统设备数量软件类型操作系统数据库中间件应用软件......网络设备路由器交换机…安全设备防火墙产品…存储设备硬盘设备…服务器应用服务器务器…工控设备PLCIPC…终端设备PC机移动终端……………10A.3（详表）（参考模板）XXX要素1资产信息资产类型资产名称具体资产名称品牌及型号形态（是否虚拟化设备）是/否用途安全属性保密性、完整性、可用性软件信息开放端口及其对应服务公网开放端口及服务IP信息及域名信息资产的IP（包括对外IP）信息及域名信息（包括公网域名）根据参与关键业务处理时起相同功能、可相互替代的资产（节点）进行分类填写。对应的硬件资产虚拟设备对应的硬