GAT 2376-2025 信息安全技术 关键信息基础设施安全测评过程指南标准立项发展报告

信息安全技术关键信息基础设施安全测评过程指南StandardizationDevelopmentReport:InformationSecurityTechnology—SecurityAssessmentProcessGuideforCriticalInformationInfrastructure摘要关键信息基础设施是经济社会运行的神经中枢，其安全防护能力直接关系国家安全、公共利益和公民权益。随着《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》等法律法规相继颁布施行，我国关键信息基础设施安全保护制度框架已基本确立，对安全测评工作的规范性、系统性和可操作性提出了更高要求。在此背景下，公共安全行业标准GA/T2376—2025《信息安全技术关键信息基础设施安全测评过程指南》正式发布，将于2026年5月1日起实施。本标准在全面继承现有网络安全等级保护测评体系的基础上，融合《信息安全技术关键信息基础设施安全保护要求》（GB/T39204—2020）、《信息安全技术关键信息基础设施安全检测评估要求》（GB/T43333—2023）等国家标准的最新成果，系统规定了关键信息基础设施安全测评的通用要求、测评准备、风险分析、测评方案编制、现场测评实施、分析与报告编制等全过程活动及管理要求。标准内容涵盖测评组织管理、测评人员能力、测评工具选用、测评文档管理等多个维度，并结合关键信息基础设施的“关键业务链”特征，创新性地引入业务连续性评估、供应链安全评估等专项测评要求。本标准的发布实施将有效规范测评机构行为，统一测评工作流程，提升测评结果的一致性、可比性和公信力，为关键信息基础设施运营者开展安全自查和接受监督评估提供明确的技术指引和操作依据，对构建我国关键信息基础设施安全保护技术标准体系具有重要的支撑作用。关键词：关键信息基础设施；安全测评；风险评估；网络安全；等级保护；测评过程；标准规范AbstractCriticalInformationInfrastructure(CII)servesastheneuralhubofeconomicandsocialoperations,anditssecurityprotectioncapabilitiesdirectlyconcernnationalsecurity,publicinterests,andcitizens'rights.WiththesuccessivepromulgationoftheCybersecurityLawofthePeople'sRepublicofChinaandtheRegulationsontheSecurityProtectionofCriticalInformationInfrastructure,theinstitutionalframeworkforCIIsecurityprotectioninChinahasbeenprogressivelyestablished,imposinghigherrequirementsonthestandardization,systematization,andoperabilityofsecurityassessmentwork.Againstthisbackground,thepublicsecurityindustrystandardGA/T2376-2025,"InformationSecurityTechnology—SecurityAssessmentProcessGuideforCriticalInformationInfrastructure,"hasbeenofficiallyreleasedandwillcomeintoeffectonMay1,2026.Thisstandardsystematicallyspecifiesthegeneralrequirements,assessmentpreparation,riskanalysis,assessmentschemedevelopment,on-siteassessmentimplementation,analysisandreportcompilation,aswellasthemanagementrequirementsfortheentireCIIsecurityassessmentprocess.Theissuanceandimplementationofthisstandardwilleffectivelyregulatethebehaviorofassessmentinstitutions,unifyassessmentworkflow,enhancetheconsistency,comparability,andcredibilityofassessmentresults,andprovidecleartechnicalguidanceandoperationalreferencesforCIIoperatorstoconductself-inspectionsandacceptsupervisoryevaluations.Keywords:CriticalInformationInfrastructure;SecurityAssessment;RiskAssessment;Cybersecurity;ClassifiedProtection;AssessmentProcess;StandardSpecification1引言1.1研究背景自2017年6月1日《中华人民共和国网络安全法》正式实施以来，我国网络安全法治建设进入快车道。该法第三十一条明确规定：“国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。”2021年9月1日，国务院颁布的《关键信息基础设施安全保护条例》正式施行，标志着我国关键信息基础设施安全保护工作进入制度化、规范化发展的新阶段。该条例第二十一条明确指出：“运营者应当自行或者委托网络安全服务机构对关键信息基础设施每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关保护工作部门。”2024年5月，国家市场监督管理总局、国家标准化管理委员会正式发布了强制性国家标准《网络安全技术关键信息基础设施安全保护要求》（GB/T39204—2020修订版）和《网络安全技术关键信息基础设施安全检测评估要求》（GB/T43333—2023），为关键信息基础设施的安全保护和检测评估工作提供了更为系统和权威的技术依据。在行业标准层面，GA/T2376—2025《信息安全技术关键信息基础设施安全测评过程指南》作为公共安全行业标准，针对测评过程的规范化管理作出了专门规定。1.2标准定位与意义GA/T2376—2025是在网络安全等级保护测评体系基础上，专门面向关键信息基础设施安全测评工作制定的过程性、操作性标准。该标准定位于承上启下的桥梁角色：对上落实《网络安全法》《关键信息基础设施安全保护条例》等相关法律法规的法定要求，对下衔接GB/T39204—2020和GB/T43333—2023等国家标准的技术规范，同时结合公共安全行业网络安全工作的实践经验和特殊需求，为测评机构和运营者提供了一套完整、清晰、可操作的工作流程和方法指引。本标准的发布填补了公共安全行业领域关键信息基础设施安全测评过程标准化专门规范的空白，对于提升测评工作的规范性、一致性和有效性，促进测评行业良性发展，保障关键信息基础设施安全稳定运行具有重要的现实意义。2标准编制背景与依据2.1法律法规依据本标准的编制严格遵循以下法律法规的要求：-《中华人民共和国网络安全法》（2017年施行）-《中华人民共和国数据安全法》（2021年施行）-《中华人民共和国个人信息保护法》（2021年施行）-《关键信息基础设施安全保护条例》（国务院令第745号）-《网络安全审查办法》（2022年施行）-《网络安全等级保护条例》（及相关管理办法）2.2政策文件依据-中央网络安全和信息化委员会《关于加强关键信息基础设施安全保护工作的指导意见》-公安部《关于贯彻落实〈关键信息基础设施安全保护条例〉的通知》-《网络安全等级保护制度2.0标准体系》相关文件2.3技术标准依据本标准的编制充分参考和引用了以下技术标准：-GB/T22239—2019《信息安全技术网络安全等级保护基本要求》-GB/T28448—2019《信息安全技术网络安全等级保护测评要求》-GB/T39204—2020《信息安全技术关键信息基础设施安全保护要求》-GB/T43333—2023《信息安全技术关键信息基础设施安全检测评估要求》-GB/T20984—2022《信息安全技术信息安全风险评估方法》-GB/T25069—2022《信息安全技术术语》-ISO/IEC27001:2022《信息安全、网络安全和隐私保护—信息安全管理体系—要求》-NISTSP800-53A《安全和隐私控制评估指南》-NISTSP800-82《工业控制系统安全指南》（Rev.3）3标准主要技术内容GA/T2376—2025在充分考虑关键信息基础设施安全保护特殊需求的基础上，结合公共安全行业的技术特点和管理要求，构建了一套系统完备的安全测评过程标准框架。标准正文部分共分为九个章节。3.1范围与规范性引用文件标准第一章“范围”界定了本文件的适用范围，即适用于公共安全行业关键信息基础设施运营者自行组织的安全测评活动，以及委托网络安全服务机构开展的安全测评服务活动的管理和实施。标准第二章“规范性引用文件”列出了执行本标准时所依据和参考的相关标准文件清单。3.2术语和定义标准第三章统一界定了关键信息基础设施安全测评相关术语和定义，包括但不限于：关键信息基础设施、安全测评、测评机构、测评对象、风险分析、渗透测试、合规性检查、持续监测等核心概念。统一的术语体系为标准的正确理解和有效实施奠定了语言基础。3.3测评通用要求标准第四章规定了对测评机构及测评人员的基本要求，主要包括以下内容：测评机构能力要求：明确测评机构应当具备独立法人资格，具备与测评业务相适应的技术实力和管理体系，建立完善的质量管理体系、保密管理体系、项目管理体系和人员管理制度。测评人员要求：测评人员应经过专业培训并具备相应资格，掌握关键信息基础设施安全保护相关法律法规、技术标准和测评方法，具备开展测评所需的专业技能和实践经验，同时应严格遵守职业道德和保密义务。测评工具要求：测评使用的工具应当满足功能、性能和安全性要求，工具使用前应经过验证确认其有效性和可靠性，确保工具本身不会对被测系统造成不可接受的额外风险。测评文档管理：对测评过程中产生的各类文档的编制要求、格式规范、管理程序以及保密和归档要求进行了明确规定。3.4测评准备标准第五章“测评准备”规定了测评正式启动前的各项准备工作流程，包括：-项目启动与合同签订阶段的具体工作内容；-调查研究阶段，基于调查结果和已有资料，识别关键业务、关键业务链及其依赖关系；-确定测评对象和测评范围；-测评方案初步编制和评审确认。3.5风险分析标准第六章“风险分析”规定了测评实施前应开展的系统性风险分析方法与流程，包括资产识别与赋值、威胁识别、脆弱性识别、已有安全措施确认和综合风险分析等步骤，特别针对关键信息基础设施的“关键业务链”特征，提出了业务连续性风险评估和方法论要求。通过风险分析，合理确定测评工作的优先级和重点方向。3.6测评方案编制标准第七章对测评方案的结构、内容、编写流程和审批程序提出了明确要求，包括测评依据、测评范围、测评内容、测评方法（访谈、检查、测试、审计等）、资源配置与进度安排、风险控制与应急预案、保密管理等方面。3.7现场测评实施标准第八章“现场测评实施”规定了测评人员进入现场后开展具体测评活动的操作规范和质量控制要求，涵盖测评前准备确认、测评计划执行、测评数据记录与留存、测评过程控制和沟通协调等环节。3.8分析与报告编制标准第九章规定了测评结果汇总分析的方法论框架和测评报告编制的结构与内容要求，包括单项测评结论判定、单元测评结果分析、整体测评综合研判、风险评价和测评结论形成，以及整改建议和后续跟踪要求。测评报告内容应客观、准确、完整地反映测评过程和结果。4标准关键特性分析4.1与等级保护测评体系的衔接本标准与现行网络安全等级保护测评体系形成了有效的衔接和互补。等级保护测评侧重于信息系统安全保护状况的合规性评价，而本标准充分考虑了关键信息基础设施的保护特殊性，在等级保护“合规性”基础上进一步叠加了“能力导向”和“业务导向”的测评视角，将关键业务链保护能力、协同防护能力、应急响应能力等纳入测评重点。4.2突出“关键业务链”测评理念关键信息基础设施与普通信息系统的显著差异在于其承载关键业务、构成关键业务链的特性。本标准在测评对象确定、风险分析、测评内容选择等环节中始终围绕“关键业务链”这一核心要素展开，要求测评工作必须从业务视角出发，识别关键业务链的各个环节和依赖关系，针对业务链各节点的安全防护能力及其协同联动有效性进行综合评估。4.3强化供应链安全测评针对近年来全球范围内频发的供应链攻击事件，本标准将供应链安全纳入测评的关键内容，要求测评工作关注关键信息基础设施在软硬件采购、服务外包、运维管理等环节面临的供应链安全风险，对供应链安全管理制度的完善性和执行有效性进行专项核查，测评内容包括但不限于：供应商安全审查、开源软件安全评估、运维人员安全管理等。4.4纳入持续监测与动态评估理念考虑到关键信息基础设施面临的安全威胁具有动态演进特征，传统的“一次性”测评模式已无法满足安全保障需要。本标准在测评过程设计中纳入了持续监测和动态评估的理念，引导测评活动从静态合规检查向动态能力评估转变。5标准涉及的主要企事业单位本标准在起草编制过程中，公安部相关部门牵头组织，并广泛吸收