关键信息基础设施运营者 ISMS 建设与合规指南（等保 + 关保双标准适配）

关键信息基础设施运营者ISMS建设与合规指南（等保+关保双标准适配）一、总则1.1编制背景关键信息基础设施（以下简称CII）是支撑国家安全、国计民生、经济社会稳定运行的核心命脉，覆盖公共通信、能源、交通、水利、金融、公共服务、电子政务、工业制造等重点行业领域。相较于普通网络运营单位，CII运营者承担重点保护、重点监管、从严追责的法定责任，安全防护要求远高于常规等级保护标准。当前国内网络安全合规体系已形成等级保护为基础、关基保护为拔高的双轨监管架构：等保2.0是全网通用基础安全底线，关保制度是CII专属强化合规红线，叠加ISO/IEC27001信息安全管理体系（ISMS）标准化治理要求，构成CII运营者三位一体的合规建设体系。目前大量CII运营单位普遍存在“等保整改达标、关保建设缺失、ISMS体系空转、双标准融合不足、重技术轻治理、重整改轻长效”的共性问题，极易触发专项督查、行政处罚、责任追责、业务停运等合规风险。为彻底解决等保与关保建设割裂、技术防护与管理体系脱节、合规建设与监管要求不匹配等行业痛点，构建基础合规达标、重点防护强化、体系闭环落地、风险主动防御的一体化治理能力，规范CII全生命周期安全管理与ISMS体系落地，特编制本资深实操型合规指南。1.2编制依据本指南严格对标国家法律法规、双标准监管体系及国际ISMS认证规范，核心依据全覆盖、无遗漏，适配最新监管督查口径：1.法律法规：《中华人民共和国网络安全法》《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》《网络安全等级保护条例》；2.双标准核心规范：GB/T22239-2019《网络安全等级保护基本要求》、GB/T28448-2019《网络安全等级保护测评要求》、《关键信息基础设施安全保护要求》、公安部等四部门《关于贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见》；3.体系认证标准：ISO/IEC27001:2022信息安全管理体系要求、ISO/IEC27002:2022信息安全控制措施；4.专项监管要求：CII认定规范、关基安全评估细则、网络安全事件上报与处置规范、重点行业CII专项治理方案。1.3适用范围本指南适用于所有已认定、拟申报关键信息基础设施的运营单位，覆盖能源、电力、通信、交通、水利、金融、政务、工业互联网、公共服务等全行业CII主体；适用于CII资产梳理、边界界定、双标准合规建设、ISMS体系搭建、风险评估、自查整改、等级测评、关保专项评估、监管迎检、体系内审与持续迭代全流程工作。覆盖CII全域场景：核心业务系统、支撑系统、工控系统、云平台、数据中心、运维网络、办公网络、外联接口、第三方接入链路；覆盖安全治理、技术防护、数据安全、运维管理、人员管理、应急灾备、供应链安全、持续改进全维度模块，实现等保基础合规、关保重点强化、ISMS体系固化的统一落地。1.4核心建设逻辑与原则1.基础保底、重点拔高原则：以等保2.0完成基础安全合规，以关保标准实现重点防护、主动防御、持续管控，杜绝“只做等保、不做关保”的合规短板。2.双标融合、一套体系原则：打通等保技术要求、关保治理要求、ISMS管理体系，实现一套组织、一套制度、一套台账、一套风控流程，避免重复建设、体系割裂。3.风险驱动、实战落地原则：摒弃模板化合规建设，聚焦CII高风险场景、核心资产安全、重大风险隐患，构建实战化防护与管控体系。4.三同步建设原则：严格落实CII安全措施与基础设施同步规划、同步建设、同步使用，从源头杜绝先天安全缺陷。5.全程可审、可溯可追责原则：所有安全操作、风险处置、整改优化、运维管理全程留痕，满足监管穿透式核查与ISMS内审要求。6.动态迭代、主动防御原则：适配新型网络威胁、监管新规、业务迭代、资产变更，实现安全体系动态优化、风险动态清零。二、等保与关保双标准体系差异与融合建设逻辑2.1双标准定位与核心差异等保与关保并非并行独立体系，而是基础防护与重点强化的递进关系，是CII运营者必须同时满足的双层合规底线，核心差异如下：1.等级保护2.0（基础底线）面向全网所有网络运营者，是通用性、标准化、底线型安全要求，重点覆盖安全物理环境、通信网络、区域边界、计算环境、管理中心五大技术维度，以及安全管理制度、机构人员、建设运维、应急处置四大管理维度，以合规测评、漏洞整改、达标验收为核心目标，解决“基本安全可控”问题。2.关键信息基础设施保护（强化高线）仅针对CII运营者实施重点保护，是差异化、高强度、责任型监管要求，核心聚焦资产识别、重点防护、主动防御、持续监测、风险研判、事件闭环、供应链管控、人员背景审查、业务连续性保障等高阶能力，强调主动防控、动态防护、全域治理、终身追责，解决“重大风险可控、重大事故杜绝”问题。2.2ISMS与双标准融合核心价值ISO27001ISMS体系是双标准落地的最佳载体，可将等保的技术合规要求、关保的治理管控要求，转化为制度化、流程化、常态化、可迭代的企业内部管理能力，彻底解决行业普遍痛点：一是解决等保测评“一次性整改、事后反弹”问题，通过体系机制固化合规成果；二是解决关保“重要求、无流程、无台账”问题，通过风控闭环落实重点保护责任；三是实现合规建设标准化、文档体系规范化、运维流程制度化，同时满足监管督查与体系认证双重需求。2.3双标+ISMS三位一体建设架构构建ISMS管理体系为顶层框架、等保2.0为技术底座、关保制度为治理拔高的三位一体架构：以ISMS的组织、制度、风险、内审、管评实现长效治理；以等保2.0完成物理、网络、主机、应用、数据、运维基础防护达标；以关保专项要求强化资产管控、主动防御、持续监测、人员管控、供应链安全、业务连续性等高阶能力，实现三层体系无缝融合、互不冲突、相互赋能。三、CII专属组织责任体系建设（关保强制要求）3.1四级责任架构（法定追责体系）严格依据《关键信息基础设施安全保护条例》要求，搭建法定层级责任体系，落实主要负责人负总责、专门机构专职管控、全员分级履职的监管要求，同时适配ISMS治理架构：1.决策层（主要负责人）：承担CII安全第一责任人职责，审批安全战略、年度安全工作计划、重大风险处置方案、重大系统变更、安全资源投入，牵头处置重大网络安全事件，对整体安全合规负总责。2.管理层（专门安全管理机构）：设立独立专职安全管理部门，区别于普通运维部门，专职负责双标准合规建设、ISMS体系落地、资产梳理、风险评估、自查整改、监管对接、人员管控、供应链审核，统筹全域安全治理工作。核心岗位负责人、关键技术岗位必须完成安全背景审查，留存审查台账。3.执行层（技术运维/业务岗位）：负责日常安全运维、设备防护、漏洞整改、权限管理、日志留存、数据防护、设备巡检，落地各项制度与技术防护要求。4.监督层（内审合规岗）：负责ISMS内部审核、年度管理评审、双标准合规自查、问题督办、绩效考核，实现体系运行全程监督、闭环整改。3.2岗位与人员专项管控（关保专属）针对CII高安全等级要求，落实人员专项管控机制：关键岗位实行双人双岗、权限分立、相互制衡；所有核心岗位人员定期开展安全背景复审、常态化安全培训、保密教育；建立人员离岗、调岗权限清零机制，离岗人员立即注销系统权限、收回涉密资料、终止运维权限，杜绝人员流失引发安全风险。四、双标准融合制度与台账体系建设4.1三层制度体系（无短板合规覆盖）摒弃通用模板化制度，搭建适配CII场景的ISMS通用制度+等保技术制度+关保专项制度三层制度体系，实现所有监管条款、体系标准100%覆盖：第一层：ISO27001ISMS基础制度：信息安全管理手册、信息安全风险评估与处置管理制度、文件与记录管理制度、内审与管理评审制度、安全培训与意识教育制度、应急管理与业务连续性制度。第二层：等保2.0合规制度：网络安全防护管理制度、主机与终端安全管理规范、应用系统安全运维细则、数据安全防护制度、权限与账号管理制度、日志审计留存制度、漏洞整改管理制度。第三层：关保专项强化制度：关键信息基础设施资产识别与动态管理制度、重点防护对象专项保护规范、网络安全主动防御管理办法、安全监测预警与态势感知制度、第三方供应链安全管理制度、重大安全事件处置与上报制度、人员背景审查管理制度、业务连续性与灾备强化管理制度。4.2全覆盖合规台账体系台账是CII监管迎检、双标测评、ISMS认证的核心佐证，需建立动态更新、全程可溯的专属台账：CII资产清单与分级台账、风险评估与整改闭环台账、漏洞扫描与修复台账、权限变更审计台账、第三方服务商管控台账、安全培训与考核台账、应急演练与事件处置台账、内审管评台账、监测预警处置台账、设备三同步建设台账。五、资产识别与分级管控（关保核心前置工作）5.1全域资产梳理严格落实关保“资产底数清、风险底数清”要求，开展全域资产摸排，覆盖物理设备、网络设备、服务器、存储、应用系统、数据库、工控设备、云资源、数据资产、接口资源、运维账号等全部资产，杜绝隐形资产、僵尸资产、无人管资产，建立动态资产台账，实现资产新增、变更、下线全流程审批与登记。5.2重点防护对象分级依据资产重要程度、业务影响范围、安全风险等级，划分核心关键资产、重要资产、一般资产三级防护体系：核心资产一旦遭受攻击、篡改、中断，将直接影响公共利益、社会秩序乃至国家安全，纳入最高等级重点防护，实行7×24小时监测、专项防护、月度风险复盘；重要资产实行常态化防护、季度排查；一般资产实行常规合规管控。六、等保+关保双标准技术防护体系落地6.1物理与环境安全（双标统一达标）按照等保三级及以上标准建设机房物理安全，落实门禁、监控、防盗、防火、防水、防静电、温湿度管控、备用电力、访问权限管控；结合关保强化要求，增加机房重点区域专人值守、出入全程登记、外来人员审批陪同、设备进出台账管理，杜绝物理入侵、设备失窃、非法接入风险，保障CII基础设施物理安全稳定。6.2网络与边界纵深防护（等保保底+关保强化）基础合规（等保要求）：实现网络分区、域隔离、边界防护，部署防火墙、IPS、WAF、流量审计、DDoS防护设备，清理无效端口、冗余策略、违规路由，落实最小互通原则，防范网络攻击与越权访问。重点强化（关保要求）：搭建全域网络安全态势感知体系，实现全网流量、异常行为、攻击特征、越权访问、批量数据外传实时监测；建立主动防御机制，对已知攻击、异常扫描、恶意渗透自动告警、自动阻断；严控外联接口、第三方对接链路，所有外联实行白名单管控、加密传输、全程审计，杜绝非法外联与横向渗透。6.3主机、终端与计算环境安全全面落实等保主机基线要求：关闭高危端口、修复系统漏洞、禁用弱口令、开启安全日志、部署杀毒与主机防护软件、定期补丁更新；针对关保高阶要求，强化核心服务器、关键工控主机、业务核心设备的专项防护，实行主机基线固化、变更审批、异常行为监测，杜绝私自篡改配置、非法登录、恶意程序植入，保障计算环境持续可信可控。6.4应用与接口安全业务系统、后台管理平台、对外服务接口严格落实等保安全开发与运维规范，开展代码审计、渗透测试、漏洞扫描，修复注入、越权、跨站、重放等常见漏洞；关保层面强化接口全生命周期管控，所有对外接口登记备案、加密校验、权限绑定、流量监测，禁止私自新增接口、开放匿名访问，严防接口被利用开展批量攻击、数据窃取。6.5数据安全全生命周期防护（双标核心重点）等保基础要求：完成数据分级分类，落实数据采集、传输、存储、备份、销毁基础防护，敏感数据加密存储、传输加密，定期数据备份与恢复测试。关保强化要求：针对CII重要数据、核心涉密数据、关键业务数据实施最高等级防护，严格管控数据共享、对外提供、导出、跨境传输行为，所有数据对外交互必须脱敏脱密、审批备案；建立数据异常监测机制，对批量查询、批量导出、异地外传、越权访问实时告警阻断；落实重要数据境内存储、异地容灾备份，高等级业务实现实时备份与快速切换，杜绝大规模数据泄露、篡改、丢失风险。6.6运维安全管控（双标融合落地）统一运维管控体系，所有运维操作通过堡垒机执行，实现全程录像、日志留存、操作审计、行为追溯；账号实行专人专岗、一人一号、权限最小化、定期清零；设备变更、系统升级、策略调整实行审批、测试、灰度上线、事后复盘流程；第三方运维严格落实准入审核、权限限时开放、全程审计、离场清零机制，杜绝运维失控、第三方引入安全风险。七、风险评估、监测预警与主动防御（关保核心能力）7.1双标准融合风险评估机制融合ISO27001风险评估方法、等保测评风险判定标准、关保重大风险定级规则，建立常态化风险评估体系：每年开展全域安全风险评估，每季度开展核心资产专项风险排查，重大业务变更、系统升级、架构调整后开展专项评估；重点识别重大安全隐患、系统性风险、供应链风险、持续性风险，划分风险等级，制定专项处置方案，重大风险挂牌督办、限时清零，形成风险台账动态更新、闭环整改。7.27×24小时监测预警体系落实关保“持续监测、动态预警”强制要求，搭建全域安全监测预警平台，覆盖网络流量、主机行为、应用访问、数据流转、运维操作、接口交互、第三方接入全维度；实时捕获恶意扫描、渗透攻击、越权操作、数据异常外传、系统异常访问、病毒木马攻击等风险行为，实现秒级告警、快速研判、及时处置，从被动整改转向主动防御。7.3常态化自查整改机制建立日监测、周排查、月复盘、季度专项自查的常态化机制：每日监测全网安全态势；每周排查漏洞、权限、策略、异常行为；每月复盘风险隐患与处置短板；每季度对照等保测评指标、关保评估要点开展全覆盖自查，逐项对标整改，确保双标准合规无短板、无死角。八、应急处置、事件上报与业务连续性8.1分级应急预案体系针对CII重大安全风险，搭建分级分类应急预案体系，覆盖网络攻击、系统瘫痪、数据泄露、数据篡改、设备故障、勒索病毒、供应链中断、基础设施异常等核心场景；明确预警分级、组织架构、处置流程、隔离措施、恢复方案、上报时限，严格落实关保事件上报要求，杜绝迟报、漏报、瞒报、谎报。8.2实战化应急演练摒弃纸面演练、形式化演练，坚持实战化演练原则，每半年开展一次专项应急演练，每年开展全域综合应急演练；重点演练重大攻击处置、系统快速恢复、数据应急保全、故障隔离、事件上报等核心能力，演练后深度复盘、优化预案与防护策略，提升团队实战处置能力。8.3业务连续性与灾备强化依据关保业务连续性强制要求，结合等保灾备标准，分级建设数据灾备与业务灾备：核心关键系统实现异地备份、高可用架构，超高等级业务实现异地实时切换、业务不中断；定期开展备份恢复测试、灾备切换演练，确保灾备资源真实可用、故障可快速恢复，杜绝单点故障引发全域业务中断。九、供应链与第三方安全管控（关保重点督查项）CII供应链安全是近年监管重点督查、高频处罚领域，需建立全生命周期第三方管控体系：所有软硬件供应商、运维服务商、技术合作方、外包人员必须纳入合规准入，开展资质审核、安全评估、背景核查；签订专项安全保密协议与安全责任书，明确数据使用边界、操作权限、禁止行为、追责机制；建立供应商动态考核、季度审计、年度评级机制，对存在违规操作、安全隐患、风险失控的服务商限期整改、暂停合作、纳入黑名单，彻底防范供应链安全风险。十、ISMS内审、管理评审与双标持续迭代10.1场景化内部审核围绕等保测评指标、关保评估要点、ISO27001体系条款开展穿透式内审，覆盖治理架构、制度执行、技术防护、风险管控、应急运维、第三方管理、数据安全全模块；区分严重不符合、一般不符合、观察项，形成内审报告与闭环整改计划，实现所有问题100%清零，确保体系运行有效、合规落地到位。10.2年度管理评审由最高管理者牵头开展年度管理评审，输入包含内审结果、年度风险评估报告、等保