信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保障指標(biāo)體系-全國信息安全

1、國家標(biāo)準(zhǔn)信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全保障評價(jià)指標(biāo)體系編制說明.工作簡況任務(wù)來源根據(jù)國家標(biāo)準(zhǔn)化管理委員會(huì) 2017年下達(dá)的國家標(biāo)準(zhǔn)制修訂計(jì)劃，國家標(biāo)準(zhǔn)信息安全 技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保障評價(jià)指標(biāo)體系由大唐電信科技產(chǎn)業(yè)集團(tuán)（電信科學(xué)技術(shù) 研究院）主辦。關(guān)鍵信息基礎(chǔ)設(shè)正常運(yùn)轉(zhuǎn)，關(guān)系國家安全、經(jīng)濟(jì)發(fā)展、社會(huì)穩(wěn)定，隨著關(guān)鍵信息基礎(chǔ)設(shè)施逐漸向網(wǎng)絡(luò)化、泛在化、智能化發(fā)展，網(wǎng)絡(luò)安全成為關(guān)鍵信息基礎(chǔ)設(shè)施的重要目標(biāo)。世界主要國家和地區(qū)高度重視，陸續(xù)出臺(tái)了相關(guān)戰(zhàn)略、規(guī)劃、立法以及實(shí)施方案等，加大對關(guān)鍵信息基礎(chǔ)設(shè)施的保護(hù)力度。近年來，隨著我國網(wǎng)絡(luò)強(qiáng)國戰(zhàn)略的深化和實(shí)施，國家關(guān)鍵信息基礎(chǔ)設(shè)施在國民經(jīng)濟(jì)和社會(huì)發(fā)展中

2、的基礎(chǔ)性、重要性、保障性、戰(zhàn)略性地位日益突出，構(gòu)建國家關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系已迫在眉睫，是當(dāng)前一項(xiàng)全局性、戰(zhàn)略性任務(wù)。2016年4月19日，習(xí)近平總書記在網(wǎng)絡(luò)安全和信息化工作座談會(huì)上指出，“金融、能源、電力、通信、交通等領(lǐng)域的關(guān)鍵信息基礎(chǔ)設(shè)施是經(jīng)濟(jì)社會(huì)運(yùn)行的神經(jīng)中樞，是網(wǎng)絡(luò)安全 的重中之重，也是可能遭到重點(diǎn)攻擊的目標(biāo)。我們必須深入研究， 采取有效措施，切實(shí)做好國家關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)?！?2016年8月12日，中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組辦 公室、國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局、國家標(biāo)準(zhǔn)化管理委員會(huì)聯(lián)合印發(fā)關(guān)于加強(qiáng)國家網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化工作的若干意見（中網(wǎng)辦發(fā)文20165號），要求“按照深化標(biāo)

3、準(zhǔn)化工作改革方 案要求，整合精簡強(qiáng)制性標(biāo)準(zhǔn)， 在國家關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)、涉密網(wǎng)絡(luò)等領(lǐng)域制定強(qiáng)制性國家標(biāo)準(zhǔn)。” 2016年11月7日，全國人民代表大會(huì)常務(wù)委員會(huì)發(fā)布中華人民共和國網(wǎng)絡(luò) 安全法，明確指出“保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施免受攻擊、侵入、干擾和破壞，依法懲治網(wǎng)絡(luò) 違法犯罪活動(dòng)，維護(hù)網(wǎng)絡(luò)空間安全和秩序”。2016年12月15日，國務(wù)院印發(fā)“十三五”國家信息化規(guī)劃（國發(fā)201673號），明確提出要構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系。 2016年12月27日，國家互聯(lián)網(wǎng)信息辦公室發(fā)布國家網(wǎng)絡(luò)空間安全戰(zhàn)略，要求“建立實(shí)施關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)制度，從管理、技術(shù)、人才、資金等方面加大投入， 依法綜合施策，切

4、實(shí)加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)。” 2017年7月10日，國家互聯(lián)網(wǎng)信息辦公室就關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例（征求意見稿）公開征集意見。目前國外主要國家對關(guān)鍵信息基礎(chǔ)設(shè)施的保護(hù)起步較早，已出臺(tái)關(guān)鍵信息基礎(chǔ)設(shè)施的相關(guān)戰(zhàn)略、規(guī)劃、法律、標(biāo)準(zhǔn)、技術(shù)、監(jiān)管等等一系列舉措，大力加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施安全 建設(shè)，不斷提升網(wǎng)絡(luò)安全保障能力。對于我國而言，一方面，我國在引進(jìn)外國先進(jìn)技術(shù)、加 快產(chǎn)業(yè)更新?lián)Q代的同時(shí)， 部分關(guān)鍵核心技術(shù)和設(shè)備受制于他國，存在系統(tǒng)受控、信息泄露發(fā)現(xiàn)滯后等隱患，也給關(guān)鍵信息基礎(chǔ)設(shè)施各領(lǐng)域帶來許多安全隱患問題。另一方面，我國關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)工作起步較晚、發(fā)展較慢，缺乏針對性、指導(dǎo)性的標(biāo)

5、準(zhǔn)體系，無法適應(yīng)新形勢下的國際網(wǎng)絡(luò)安全環(huán)境。本標(biāo)準(zhǔn)的制定主要為關(guān)鍵信息基礎(chǔ)設(shè)施的政府管理部門提供態(tài)勢判斷和決策支持，為關(guān)鍵信息基礎(chǔ)設(shè)施的管理部門及運(yùn)營單位的信息安全管理工作提供支 持和方法參考。編制目的本標(biāo)準(zhǔn)主要解決關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全的評價(jià)問題。本標(biāo)準(zhǔn)主要用于：評價(jià)我國關(guān)鍵信息基礎(chǔ)設(shè)施安全保障的現(xiàn)狀，包括建設(shè)情況、運(yùn)行情況以及所面臨的威脅等；為政府管理層的關(guān)鍵信息基礎(chǔ)設(shè)施態(tài)勢判斷和宏觀決策提供支持；為各關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營單位及管理部門的信息安全保障工作提供參考。主要工作過程1、2014年，項(xiàng)目組完成網(wǎng)絡(luò)安全保障評價(jià)指標(biāo)體系階段性研究報(bào)告。主要針對以下三 個(gè)問題進(jìn)行了深入研究：研究國外特

6、別是美國、歐盟、聯(lián)合國等國家、地區(qū)和國際組織在網(wǎng)絡(luò)安全保障評價(jià)指標(biāo)研究方面的資料，總結(jié)網(wǎng)絡(luò)安全保障評價(jià)的相關(guān)方法、指標(biāo)、規(guī)定和標(biāo)準(zhǔn)；研究新形勢、新技術(shù)條件下我國網(wǎng)絡(luò)安全保障工作面臨的挑戰(zhàn)，分析我國網(wǎng)絡(luò)安全保障工作的新需求，對我國與網(wǎng)絡(luò)安全保障評價(jià)有關(guān)的法規(guī)、制度、標(biāo)準(zhǔn)進(jìn)行梳理和總結(jié)；在理論研究和實(shí)踐調(diào)研的基礎(chǔ)上，研究提出我國網(wǎng)絡(luò)安全保障評價(jià)指標(biāo)體系和評價(jià)方法。2、2014年12月-2015年6月，項(xiàng)目組趕赴電力、 民航、電信、中國銀行等相關(guān)行業(yè) （企 業(yè)）進(jìn)行調(diào)研。3、2015年1月-2015年7月，項(xiàng)目組根據(jù)項(xiàng)目要求開展了研討會(huì)，針對調(diào)研結(jié)果中各 行業(yè)在網(wǎng)絡(luò)安全評價(jià)中的成功經(jīng)驗(yàn)和出現(xiàn)的問題進(jìn)

7、行總結(jié)。4、2015年1月-2015年9月，項(xiàng)目組與關(guān)鍵信息設(shè)施保護(hù)等進(jìn)行工作對接。5、2015年1月-2015年7月，項(xiàng)目組進(jìn)行了廣泛研討，并咨詢了專家意見：2015年1月，對研究提出的網(wǎng)絡(luò)安全保障評價(jià)指標(biāo)體系的初步框架，召開專家咨詢會(huì)，聽取了崔書昆、李守鵬等專家的意見；2015年6月，召開專家會(huì)，聽取了中國電信基于大數(shù)據(jù)的網(wǎng)絡(luò)安全 態(tài)勢評價(jià)工作的介紹；2015年7月，召開專家會(huì)聽取了關(guān)于民航、電信、互聯(lián)網(wǎng)領(lǐng)域安全 指標(biāo)體系的研究現(xiàn)狀，與會(huì)專家對網(wǎng)絡(luò)安全保障評價(jià)指標(biāo)體系課題提出意見建議。6、2015年8月-2015年9月，與2015年網(wǎng)絡(luò)安全檢查工作、關(guān)鍵信息基礎(chǔ)保護(hù)工作進(jìn) 行對接。7、20

8、16年1月-2016年2月，與網(wǎng)絡(luò)安全檢查工作進(jìn)行對接，采用指標(biāo)體系對相關(guān)檢 查結(jié)果進(jìn)行了統(tǒng)計(jì)測算，并撰寫評價(jià)報(bào)告。8、2016年4月-2016年8月，針對指標(biāo)體系在網(wǎng)絡(luò)安全檢查工作中的成功經(jīng)驗(yàn)和出現(xiàn) 的問題進(jìn)行總結(jié)，進(jìn)一步更新了指標(biāo)體系。9、2016年9月-2017年2月，與關(guān)鍵信息設(shè)施檢查辦進(jìn)行對接，對指標(biāo)體系的實(shí)際應(yīng)用進(jìn)行了深入討論。10、2017年3月，項(xiàng)目組在草案初稿的基礎(chǔ)上，召開行業(yè)專家會(huì)，形成草案修正稿。11、2017年4月，在全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)2017年第一次工作組會(huì)議周上，項(xiàng)目組申請國家標(biāo)準(zhǔn)制定項(xiàng)目立項(xiàng)。12、2017年6月，“信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全保障

9、指標(biāo)體系”標(biāo)準(zhǔn)制定項(xiàng) 目正式立項(xiàng)。13、2017年7月，項(xiàng)目組召開專家咨詢會(huì)，聽取了李守鵬、魏軍、閔京華、韓正平、 張立武等專家的意見。14、2017年7月，在全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)WG7第二次全體會(huì)議上， 項(xiàng)目組廣泛聽取專家意見，形成征求意見稿。承擔(dān)單位起草單位：大唐電信科技產(chǎn)業(yè)集團(tuán)（電信科學(xué)技術(shù)研究院）協(xié)作單位：國家信息中心、北京奇安信科技有限公司、北京國舜科技股份有限公司、北京匡恩網(wǎng)絡(luò)科技有限責(zé)任公司、北京天融信科技有限公司等。本部分主要起草人：韓曉露呂欣李陽畢鋅郭曉蕭等。.編制原則和主要內(nèi)容編制原則為保證所建立的“關(guān)鍵信息基礎(chǔ)設(shè)施安全保障評價(jià)指標(biāo)體系”有一個(gè)客觀、統(tǒng)一的基礎(chǔ)，在評

10、價(jià)指標(biāo)體系的設(shè)計(jì)及指標(biāo)的選取過程中，主要遵循以下原則：性原則關(guān)鍵信息基礎(chǔ)設(shè)施安全保障評價(jià)指標(biāo)體系建設(shè)是通過從整體和全局上把握我國關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系的建設(shè)效果、運(yùn)行狀況和整體態(tài)勢，形成多維的、動(dòng)態(tài)的、綜合的關(guān)鍵信息基礎(chǔ)設(shè)施安全保障評價(jià)指標(biāo)體系。因此，標(biāo)準(zhǔn)設(shè)計(jì)的首要原則是綜合性。2、科學(xué)適用性原則關(guān)鍵信息基礎(chǔ)設(shè)施安全保障評價(jià)指標(biāo)體系必須是在符合我國國情、充分認(rèn)識(shí)關(guān)鍵信息基礎(chǔ)設(shè)施安全保障評價(jià)指標(biāo)體系的科學(xué)基礎(chǔ)之上建立的。按照國家信息安全保障體系總目標(biāo)的設(shè)計(jì)原則，把關(guān)鍵信息基礎(chǔ)實(shí)施安全各構(gòu)成要素作為一個(gè)有機(jī)整體來考慮。指標(biāo)體系必須符合理論上的完備性、科學(xué)性和正確性，即指標(biāo)概念必須具有明確完整

11、的科學(xué)內(nèi)涵。適用性原則，就是指標(biāo)體系應(yīng)該能夠在時(shí)空上覆蓋我國關(guān)鍵信息基礎(chǔ)設(shè)施安全保障評價(jià)的各個(gè)層面，滿足系統(tǒng)在完整性和全面性方面的客觀要求。尤其是必須考慮由于經(jīng)濟(jì)、地區(qū)等原因造成的各機(jī)構(gòu)間發(fā)展?fàn)顩r的差異， 盡量做到不對基礎(chǔ)數(shù)據(jù)的收集工作造成困擾。 這一 原則的關(guān)鍵在于，最精簡的指標(biāo)體系全面反映關(guān)鍵信息基礎(chǔ)設(shè)施安全保障的整體水平。3、導(dǎo)向性原則更重要的是引導(dǎo)和鼓勵(lì)被評價(jià)對象向正確評價(jià)的目的不是單純評出名次及優(yōu)劣的程度, 的方向和目標(biāo)發(fā)展，要引導(dǎo)我國關(guān)鍵信息基礎(chǔ)設(shè)施安全的健康發(fā)展。4、可操作性強(qiáng)原則可操作性強(qiáng)直接關(guān)系到指標(biāo)體系的落實(shí)與實(shí)施，包括數(shù)據(jù)的易獲取性（具有一定的現(xiàn)實(shí)統(tǒng)計(jì)基礎(chǔ)，所選的指標(biāo)變量

12、必須在現(xiàn)實(shí)生活中是可以測量得到的或可通過科學(xué)方法聚合生成 的）、可靠性（通過規(guī)范數(shù)據(jù)的來源、標(biāo)準(zhǔn)等保證數(shù)據(jù)的可靠與可信）、易處理性（數(shù)據(jù)便于統(tǒng)計(jì)分析處理）以及結(jié)果的可用性（便于實(shí)際操作，能夠服務(wù)于我國涉密信息系統(tǒng)安全評價(jià) 的）等方面。5、定性定量結(jié)合原則在眾多指標(biāo)中，有些因素是反映最終效果的定性指標(biāo)，有些是能夠通過項(xiàng)目運(yùn)行過程得到實(shí)際數(shù)據(jù)的定量指標(biāo)。對于評價(jià)最終效果而言，指標(biāo)體系中這兩方面的因素都不可或缺。但為了使指標(biāo)體系具有高度的操作性，必須在選取定性指標(biāo)時(shí)，舍棄部分與實(shí)施效果關(guān)系不大的非關(guān)鍵因素，并且盡量將關(guān)鍵的定性指標(biāo)融合到對權(quán)重分配的影響中去。該指標(biāo)設(shè)計(jì)的定性定量結(jié)合原則就是將定性分析

13、反映在權(quán)重上，定量分析反映在指標(biāo)數(shù)據(jù)上。6、可比性原則可比性是衡量關(guān)鍵信息基礎(chǔ)設(shè)施安全保障評價(jià)指標(biāo)體系的實(shí)際效果的客觀標(biāo)準(zhǔn)，是方案權(quán)威性的重要標(biāo)志。關(guān)鍵信息基礎(chǔ)設(shè)施安全保障評價(jià)指標(biāo)應(yīng)該既可以橫向?qū)Ρ炔煌瑱C(jī)構(gòu)信息 安全保障水平的差異、又能夠縱向反映國家及各地區(qū)關(guān)鍵信息基礎(chǔ)設(shè)施安全保障的歷史進(jìn)程 和發(fā)展趨勢。這一原則主要體現(xiàn)在對各級指標(biāo)的定義、量化和加權(quán)等方面。主要內(nèi)容本標(biāo)準(zhǔn)概述了本標(biāo)準(zhǔn)各部分通用的基礎(chǔ)性概念，給出了關(guān)鍵信息基礎(chǔ)設(shè)施安全保障指標(biāo)體系設(shè)計(jì)的指標(biāo)框架和評價(jià)方法。本標(biāo)準(zhǔn)主要用于：評價(jià)我國關(guān)鍵信息基礎(chǔ)設(shè)施安全保障的現(xiàn)狀，包括建設(shè)情況、運(yùn)行情況以及所面臨的威脅等；為政府管理層的關(guān)鍵信息基礎(chǔ)設(shè)

14、施態(tài)勢判斷和宏觀決策提供支持；為各關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營單位及管理部門的信息安全保障工 作提供參考。本標(biāo)準(zhǔn)主要框架如下：前言引言1范圍2規(guī)范性引用文件3術(shù)語和定義4指標(biāo)體系5指標(biāo)釋義附錄A （規(guī)范性附錄）指標(biāo)測量過程參考文獻(xiàn)本標(biāo)準(zhǔn)主要貢獻(xiàn)如下：1、明確了標(biāo)準(zhǔn)的目標(biāo)讀者及其可能感興趣的內(nèi)容指出標(biāo)準(zhǔn)主要由三個(gè)相互關(guān)聯(lián)的部分組成：第1部分包括1-3節(jié)，描述了本標(biāo)準(zhǔn)的范圍和所使用的術(shù)語與定義， 對關(guān)鍵信息基礎(chǔ)設(shè)施、 關(guān)鍵信息基礎(chǔ)設(shè)施安全保障、關(guān)鍵信息基礎(chǔ)設(shè)施安全保障評價(jià)等概念進(jìn)行了闡釋；第2部分為第4節(jié)，詳細(xì)描述了關(guān)鍵信息基礎(chǔ)設(shè)施安全保障指標(biāo)體系的體系框架和指標(biāo)；第3部分包括第5節(jié)和附錄A,給出了關(guān)鍵信

15、息基礎(chǔ)設(shè)施安全保障指標(biāo)體系各具體指標(biāo)的衡量標(biāo)準(zhǔn)和量化方法，為體系的可操作性提供了保證。2、給出了關(guān)鍵信息基礎(chǔ)設(shè)施的概念關(guān)鍵信息基礎(chǔ)設(shè)施是指關(guān)系國家安全、國計(jì)民生，一旦數(shù)據(jù)泄露、遭到破壞或者喪失功能可能嚴(yán)重危害國家安全、公共利益的信息設(shè)施。中華人民共和國網(wǎng)絡(luò)安全法 規(guī)定：國家對公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域，以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù) 泄露，可能嚴(yán)重危害國家安全、 國計(jì)民生、公共利益的關(guān)鍵信息基礎(chǔ)設(shè)施，在網(wǎng)絡(luò)安全等級保護(hù)制度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)。關(guān)鍵信息基礎(chǔ)設(shè)施的具體范圍和安全保護(hù)辦法由國務(wù)院 制定。國家網(wǎng)絡(luò)空間安全戰(zhàn)略規(guī)定：國家關(guān)鍵

16、信息基礎(chǔ)設(shè)施是指關(guān)系國家安全、國計(jì)民生，一旦數(shù)據(jù)泄露、遭到破壞或者喪失功能可能嚴(yán)重危害國家安全、公共利益的信息設(shè)施，包括但不限于提供公共通信、廣播電視傳輸?shù)确?wù)的基礎(chǔ)信息網(wǎng)絡(luò)，能源、金融、交通、教育、 科研、水利、工業(yè)制造、醫(yī)療衛(wèi)生、社會(huì)保障、公用事業(yè)等領(lǐng)域和國家機(jī)關(guān)的重要信息系統(tǒng)， 重要互聯(lián)網(wǎng)應(yīng)用系統(tǒng)等。3、指出關(guān)鍵信息基礎(chǔ)設(shè)施安全保障評價(jià)圍繞三個(gè)維度進(jìn)行關(guān)鍵信息基礎(chǔ)設(shè)施安全保障評價(jià)圍繞三個(gè)維度進(jìn)行，即建設(shè)情況、運(yùn)行能力和安全態(tài)勢，并依據(jù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保障對象和內(nèi)容進(jìn)行分析和分解，一級指標(biāo)包括戰(zhàn)略保障指 標(biāo)、管理保障指標(biāo)、安全防護(hù)指標(biāo)、安全監(jiān)測指標(biāo)、應(yīng)急處置指標(biāo)、信息對抗指標(biāo)、威脅指 標(biāo)、隱患指標(biāo)、事件指標(biāo)。4、給出了指標(biāo)測量的一般過程關(guān)鍵信息基礎(chǔ)設(shè)施安全保障指標(biāo)測量的一般過程描述了指標(biāo)如何依據(jù)測量對象的相關(guān) 屬性設(shè)立基本測度，應(yīng)用相應(yīng)的測量方法得出測量值，并通過分析模型將測量值折算成指標(biāo)