关键信息基础设施保护培训

20XX/XX/XX关键信息基础设施保护培训汇报人:XXXCONTENTS目录01

培训开篇概述02

关键信息基础设施保护范围03

关键信息基础设施合规要求04

当前面临的主要安全风险05

关键信息基础设施风险防范06

实操落地核心要点培训开篇概述01培训背景与目标

国家法律法规的合规要求《关键信息基础设施安全保护条例》正式实施后，运营者需完成对应人员安全培训满足合规要求。

近年频发安全事件的警示需求2024年我国多家能源、交通领域关键信息基础设施遭网络攻击，带来重大经济损失。

提升相关人员防护能力的需求明确培训要帮助从业人员掌握基础防护要求，具备识别、处置常见安全风险的能力。法律法规政策要求梳理明确《关键信息基础设施安全保护条例》的核心要求，划定运营者需落实的安全责任。典型攻击案例复盘分析对近年来国内外发生的能源、交通领域关基攻击事件拆解，剖析攻击路径与危害。安全防护实操技能讲解讲解关基漏洞排查、异常流量监测等实用防护方法，提升参训人员实操能力。应急处置流程演练指导指导开展关基安全事件应急演练，规范入侵处置、业务恢复的全流程步骤。培训内容整体框架关键信息基础设施保护范围02保护对象判定标准

重要性影响程度一旦遭到破坏，若会危害国家安全、国计民生与公共利益，就符合判定要求。

业务领域属性面向公共提供基础服务，属于能源、交通、金融等核心行业范畴，满足核心属性要求。

网络规模覆盖范围服务覆盖千万级以上用户，系统连接规模达到区域乃至国家级水平，符合规模判定要求。重点行业覆盖范围

能源行业设施电力的电网调度系统、油气的开采输送管控平台，都属于我国关键信息基础设施保护范畴。

交通行业设施铁路的列车调度指挥系统、大型港口的集装箱自动化调度系统，均纳入保护范围。

金融行业设施沪深证券交易所的交易结算系统、国有大型银行的核心业务系统，属于重点保护对象。

政务服务设施各级政府的政务服务平台、民生保障信息管理系统，都在关键信息基础设施保护范围内。政企机构典型场景

政务服务系统各级政府的网上办事大厅、电子政务平台，承载政务服务，属于关键信息基础设施保护范畴。

金融交易结算系统国内各大证券交易所交易系统、银行核心结算系统，是需重点保护的关键金融信息基础设施。

能源调度管控系统国家电网电力调度系统、中石油成品油输配管控系统，关乎能源安全，属于保护范围。面向公众开放的小型便民服务设施社区门口的小型自助快递柜、单个社区健身器材，不属于关键信息基础设施保护范畴。企业内部自用非核心小型办公系统企业内部仅用于统计部门考勤的小型打卡系统，不属于关键信息基础设施保护范围。个人自建自用的小型家用网络设施个人家庭搭建的小型家用监控系统、私人局域网，不属于关键信息基础设施保护范围。不属于保护范围的情形关键信息基础设施合规要求03国家层面法规要求01《网络安全法》核心要求我国《网络安全法》明确了运营者的安全保护义务，设定了关键信息基础设施保护的基本框架。02《关键信息基础设施安全保护条例》要求该条例细化了保护部门、运营者的职责，规范了认定流程与安全保障、监测处置等具体要求。03《数据安全法》配套合规要求该法规要求对关键设施运营中处理的重要数据进行分级保护，明确数据安全全流程管理规范。行业主管部门规定

分级保护认定要求各行业主管部门明确要求，运营者需完成认定定级与备案，比如金融行业需按银保监会要求完成定级。

定期合规检查要求行业主管部门要求运营者定期开展合规自审，比如电信行业需按工信部要求提交年度合规报告。

应急响应备案要求能源行业要求关键信息基础设施运营者按能源局规定，完成应急处置预案的备案与定期演练。政企内部制度要求

01人员安全管理制度明确关键岗位人员政审、离岗脱密要求，比如电网企业会对核心运维人员开展定期背景核查。

02数据分级分类保护制度对涉及关键业务的数据划分级别，像三甲医院会对患者医疗数据和核心诊疗系统数据分级保护。

03应急响应复盘制度要求每次安全事件处置后完成复盘优化，比如银行在发生系统波动后会修订处置流程补全漏洞。

04定期安全审计制度定期对系统访问、操作日志开展审计，比如大型能源企业每季度会邀请第三方开展合规审计。定期合规评估要求评估周期设定要求我国《关键信息基础设施安全保护条例》明确要求，运营者需按规定周期，定期开展合规自评估。评估报告报送要求完成合规评估后，运营者需按规定将评估报告报送至相关监管部门，接受监管核查。评估机构资质要求委托第三方开展合规评估时，需选经网信部门认定的具备对应资质的专业评估机构。未履行安全保护义务的责任认定运营者未按要求开展安全评估、落实防护措施，即符合该类违规责任的认定条件。数据安全违规的责任认定关键信息基础设施运营者发生核心数据泄露、违规出境，即认定为该类违规。第三方合作违规的责任认定运营者未明确合作方安全责任、未开展安全审查，即可认定为该类违规。违规责任认定标准当前面临的主要安全风险04外部网络攻击风险勒索软件攻击攻击者通过加密关键设施数据索要赎金，2021年美国Colonial输油管道攻击曾导致大面积供油中断。分布式拒绝服务攻击攻击者控制大量僵尸节点发起流量洪水，2023年欧洲多个关键能源网站曾遭此类攻击致服务中断。高级持续性威胁入侵专业攻击组织长期潜伏窃取核心数据，我国多个能源企业曾捕获境外APT组织针对工控系统的渗透行为。供应链投毒攻击攻击者入侵上游软件供应商预埋后门，SolarWinds事件曾导致全球大量关键基础设施用户被入侵。内部人员操作风险违规操作风险部分员工为图工作便利绕过安全规范操作，比如违规使用个人U盘拷贝单位内部敏感数据。权限滥用风险掌握高权限的内部员工越权访问未授权数据，比如运维人员私自窃取客户信息售卖获利。无意识误操作风险普通员工缺乏安全意识，比如点击钓鱼邮件附件导致木马病毒入侵单位核心系统。供应链安全隐患上游元器件后门植入部分境外厂商在出口给我国关键基建的芯片中预留后门，可远程窃取核心运行数据。第三方服务商漏洞泄露某出行平台第三方服务商存在漏洞，导致大量用户出行数据和行程信息被泄露窃取。外包开发代码留暗门部分企业外包开发系统时，外包团队预留恶意暗门，可越权访问企业核心敏感信息。关键信息基础设施风险防范05网络流量异常监测通过专业流量分析工具实时抓取网络数据包，及时识别DDoS攻击、数据外传等异常访问行为。端点设备安全监测对接入关键信息基础设施的服务器、终端设备进行持续监测，及时发现木马、远控病毒等恶意程序。人员操作行为监测对内部运维、管理人员的操作日志进行留存审计，及时识别越权访问、违规删改等异常操作行为。日常安全监测措施访问权限管控方法基于角色的权限分配

按工作人员岗位职能分配对应访问权限，比如银行仅柜面人员可操作核心存取款系统。多因素身份认证要求两种及以上验证方式组合登录，常用密码加指纹验证，大幅提升账号登录安全性。动态权限调整机制

根据人员岗位变动实时调整权限，比如员工离职后立刻回收其所有系统访问权限。数据安全保护方案

数据全生命周期加密对数据从采集、存储到流转、销毁全流程加密，防范电信、金融等领域核心数据泄露风险。

异常访问行为监测通过AI技术实时监测访问行为，可及时识别并阻断外部黑客窃取核心运营数据的行为。

定期数据安全审计每季度开展合规性安全审计，对照《网络安全法》排查漏洞，整改不合规的数据管理问题。事件分级响应针对不同等级的安全事件启动对应响应方案，比如勒索病毒攻击关键政务系统启动最高级响应。跨部门协同处置发生攻击事件时，网信、公安与运营单位协同联动，美国Colonial管道攻击事件就是典型案例。事后恢复与复盘事件处置完成后重建系统并梳理漏洞，我国某银行数据泄露后完成系统修复并完善了防护流程。应急事件处置机制实操落地核心要点06保护对象梳理流程

开展资产全面摸排梳理网络、软硬件、数据等各类资产，登记资产属性与归属责任部门，建立完整资产台账。进行资产分级判定依据业务影响范围与重要程度，将资产划分不同等级，筛选出对核心业务起关键作用的资产。确认保护对象名录对照关键信息基础设施认定标准，最终敲定需要重点保护的对象，形成正式保护名录备案。定期更新梳理结果每半年或一年结合业务、资产变动调整梳理结果，保证保护名录和实际情况保持一致。合规自查清单制作核心资产梳理模块需梳理本单位算力、网络、数据三类核心资产，明确资产权属与开放范围，比如电力系统的核心调度设备。合规条款匹配模块对照《关键信息基础设施安全保护条例》匹配现有防护措施，标注不合规项，明确整改方向。整改跟踪模块设置整改进度跟踪栏，明确整改责任人与完成时限，定期更新状态，保障闭环管理落地。日常防护操作步骤

资产梳理盘点定期排查梳理单位内所有网络设备、业务系统，登记资产信息，明确防护优先级。

权限分级管控依照最小权限原则给不同岗位分配访问权限，定期回收离职调岗人员的操作权限。

日常漏洞扫描每月用专业扫描工具对系统和设备进行漏洞检测，及时修复高危漏洞，避免被利用。

日志留存审计每日留存系统访问、操作日志，定期审计异常访问记录，及时发现潜在入侵行为。应急演练组织方法

演练场景设计结合关键信息基础设施典型攻击案例，围绕数据泄露、系统瘫痪等真实风险设计贴合实际的演练场景。

参演分工协调明确技术防护组、应急处置组、公关沟通组等角色职责，联动运营方、监管方等多主体推进演练。

演练复盘优