导图社区 信息安全技术-关键信息基础设施安全保护要求
本图从网络安全法、关键信息基础设施安全保护条例和保护要求标准的基础,全面概括出关键信息基础设施保护工作的主要内容,体系,为掌握关键信息基础设施奠定了基础,形成系统性认识。
编辑于2023-06-20 17:32:41 新疆信息安全技术-关键将信息基础设施安全保护要求
引言
法律基础
网络安全法
关键信息基础设施安全保护条例
国务院第745号令,自2021年9月1日实施
为了保障关键信息基础设施安全,维护网络安全,根据《中华人民共和国网络安全》,制定本条例
概念
关键信息基础设施,是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的,以及其他一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等
管理部门
在国家网信部门统筹协调下,国务院公安部门负责指导监督关键信息基础设施安全保护工作
国务院电信主管部门和其他有关部门依照本条例和有关法律、行政法规的规定,在各自职责范围内负责关键信息基础设施安全保护和监督管理工作。
省级人民政府有关部门依据各自职责对关键信息基础设施实施安全保护和监督管理
原则
安全保护措施应当与关键信息基础设施同步规划、同步建设、同步使用。
运营者应当优先采购安全可信的网络产品和服务;采购网络产品和服务可能影响国家安全的,应当按照国家网络安全规定通过安全审查。
关键信息基础设施安全保护坚持综合协调、分工负责、依法保护,强化和落实关键信息基础设施运营者(以下简称运营者)主体责任,充分发挥政府及社会各方面的作用,共同保护关键信息基础设施安全
国家对关键信息基础设施实行重点保护,采取措施,监测、防御、处置来源于中华人民共和国境内外的网络安全风险和威胁,保护关键信息基础设施免受攻击、侵入、干扰和破坏,依法惩治危害关键信息基础设施安全的违法犯罪活动。
任何个人和组织不得实施非法侵入、干扰、破坏关键信息基础设施的活动,不得危害关键信息基础设施安全。
贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见
一、指导思想、基本原则和工作目标
指导思想
以贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度为基础,以保护关键信息基础设施、重要网络和数据安全为重点
基本原则
坚持分等级保护、突出重点
实施分等级保护、分等级监管、重点保障关键信息基础设施和第三级(含第三级)以上网络的安全
坚持积极防御、综合防护
坚持依法保护、形成合力
工作目标
网络安全等级保护制度深入贯彻落实
“实战化、体系化、常态化”和“动态防御”
主动防御、纵深防御、精准防护、整体防控、联防联控
三化六防
关键信息基础设施保护制度建立实施
网络安全监测预警和应急处置能力显著提升
网络安全综合防控体系基本形成
二、深入贯彻实施国家网络安全等级保护制度
深化网络定级备案工作
对二级以上网络依法向公安机关备案,并向行业主管部门备案
《网络安全等级保护定级指南》
定期开展网络安全等级测评
第三级以上网络运营者委托符合国家有关规定的等级测评机构,每年开展一次网络安全等级测评
新建第三级以上网络应在通过等级保护后投入运行
科学开展安全建设整改
一个中心
安全管理中心
三重防护
安全通信网络
安全区域边界
安全计算环境
强化安全责任落实
“谁主管谁负责、谁运营谁负责”
加强供应链安全管理
网络运营者应加强网络关键人员的安全管理
设计
建设
运维
技术服务的机构
人员
加强管理
网络运营者应采购、使用符合国家法律法规和有关标准规范要求的网络产品和服务
第三级以上网络运营者应积极应用安全可信的网络产品和服务
落实密码安全防护要求
网络运营者应贯彻落实《密码法》等有关法律法规规定和密码应用相关标准规范
第三级以上网络应正确、有效采用密码技术进行保护,并使用符 合相关要求的密码产品和服务
第三级以上网络运营者应在网络规划、建设和运行阶段,按照密码应用安全性评估管理办法和相关标准,在网络安全等级测评中同步开展密码应用安全性评估。
三、建立并实施关键信息基础设施安全保护制度
原则
公安机关指导监督关键信息基础设施安全保护工作
在落实网络安全等级保护制度的基础上,突出保护重点
组织认定关键信息基础设施
明确关键信息基础设施安全保护工作职能分工
落实关键信息基础设施重点防护措施
加强重要数据和个人信息保护
强化核心岗位人员和产品服务的安全管理
四、加强网络安保护工作协作配合
加强网络安全立体化监测体系建设
加强网络安全信息共享和通报预警
加强网络安全应急处置机制建设
加强网络安全事件处置和案件侦办
加强网络安全问题隐患整改督办
五、加强网络安全工作各项保障
加强组织领导
加强经费政策保障
加强考核评价
加强技术攻关
加强人才培养
提出安全防护要求
保护设施连续运行
重要数据不受破坏
切实加强设施安全防护
以等级保护的基础上,提出了更好的要求
要求内容
范围
进行基础设施全生命安全保护
规范性引用文件
术语和定义
关键信息基础设施
公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域,以及一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。
供应链
将多个资源和过程联系在一起,并根据服务协议或者其他采购协议建立连续供应关系的组织系列
关键业务链
组织的一个或者多个相互关联的业务构成的关键业务流程
安全保护基本原则
在网络安全等级保护制度的基础上,重点保护
以关键业务为核心的整体防控,构建安全防空体系
以风险管理为导向的动态防护
以信息共享为基础的协防联控
主要内容及活动
分析识别
是保护要求基础
内容
围绕承载的关键业务
业务依赖性识别
关键资产识别
风险识别
安全防护
根据分析识别的安全风险,在安全管理制度、安全管理机构、安全管理人员、安全管理通信、安全计算环境、安全建设管理、安全运维管理等方面实施安全管理和技术保护措施,确保设施的运行安全
检测评估
为检验安全保护措施的有效性,发现网络安全风险隐患,应建立相应的监测评估制度,确定检测评估的流程及内容等,开展安全检测与风险隐患评估,分析潜在的安全风险可能引发的安全事件
监测预警
建立并实施网络安全监测预警和信息通报制度,针对发生的网络安全事件或发现的网络安全威胁,提前或及时发出安全警示。监理威胁情报和信息共享机制,落实相关措施,提高主动发现攻击能力。
主动防御
以应对攻击行为的监测发现为基础,主动采取收敛暴露面、捕获、溯源、干扰和阻断等措施,开展攻防演习和威胁情报工作,提升对网络威胁与攻击行为的识别、分析和主动防御能力
事件处置
运营者对网络安全事件进行
分析识别
业务识别
关键业务和关键业务链识别分析
资产识别
采用资产探测技术识别资产
风险识别
对关键业务链开展安全风险分析
重大变更
发生较大变化时重新识别
安全防护
网络安全等级保护
安全管理制度
网络安全管理计划
安全管理机构
首席网络安全官、专门网络安全管理机构
安全管理 人员
安全管理责任人
背景审查
安全技能考核与教育培训
安全保密协议
安全通信网络
通信线路“一主两备”
不同系统级运营者之间安全技术防护
采用网络审计措施
安全计算环境
鉴别与授权
入侵防范
自动化工具
安全建设管理
安全技术措施与主体工程三同步
同步规划、同步建设、同步使用的“三同步要求”
安全运维管理
境内运维
运维工具管理
供应链安全保护
网络产品和服务清单
网络安全审查
合格供应方目录
来源的稳定或多样性
知识产权
源代码安全检测
网络产品和服务风险隐患处理
数据安全防护
数据安全保护计划
数据分类分级
境内存储
重要数据和个人信息保护
容灾备份
数据安全风险评估
数据处理活动全流程保护
检测评估
方式
自行、委托网络安全服务机构、抽查检测
内容
网络安全等级保护制度落实情况
商用密码应用安全性评估情况
供应链安全保护情况
数据安全防护情况等
时间
每年至少进行一次安全检测评估
定期组织或参加运营者的安全检测评估
监测预警
监测
监测关键业务所涉及的系统
部署攻击监测设备
构建正向和逆向模型
关联分析
网络安全信息共享
预警
自动化监测并报警
安全预警信息持续获取和及时通报
主动防御
收敛暴露面
减少暴露面,压缩互联网出口数量
攻击发现和阻断
分析网络攻击意图、技术与过程
进行关联分析与还原
攻防演练
实网攻击演练或沙盘推演
威胁情报
建立内外部网络威胁情报共享机制
事件处置
应急预案和演练
在国家网络安全事件应急预案框架下制定应急预案
应急预案同内外部相关计划协调
非常规时期、遭受大规模攻击时的处置流程
每年至少组织开展一次本组织的应急演练
响应和处置
向供应链涉及的相关内外部组织通报
恢复关键业务和信息系统
取证分析
评估恢复情况
通报安全事件及其处置情况
重新识别
必要时重新开展业务、资产和风险识别工作
实施意义
可为保护工作部门、关键信息基础设施运营者、网络安全服务机构等开展安全保护工作提供指引和依据
有助于进一步提升国家关键信息基础设施安全保障能力和水平
推动我国网络强国战略实施数字经济的健康良性发展