BA+白皮书_数字十字准线之内——揭秘对关键基础设施的网络威胁_9页_2mb

数字十字准线之内：关键基础设施的网络威胁与应对策略

核心内容

关键基础设施是指对国家安全、经济安全、公共卫生或安全具有重大影响的系统和资产，包括能源、运输、水和废水系统、医疗保健、信息技术与电信、金融服务业、食品和农业等领域。随着这些系统日益依赖数字技术，它们也面临日益严重的网络威胁。

主要观点

• 关键基础设施的网络安全至关重要，其安全状况直接影响社会和经济的稳定。
• 供应链攻击已成为关键基础设施面临的主要威胁之一，攻击者可能通过破坏软件更新或利用系统漏洞来影响整个网络环境。
• 信息安全和隐私保护是关键基础设施运营的核心议题，尤其在处理个人可识别信息（PII）时更为重要。
• 各国已出台相关法律法规，如中国的《网络安全法》《数据安全法》《个人信息保护法》，美国的《网络安全和基础设施安全局法案》、《联邦信息安全管理法》及NERC CIP标准，欧盟的《网络和信息系统指令》与《通用数据保护条例》（GDPR），澳大利亚的《关键基础设施安全法》与PSPF，以规范关键基础设施的网络安全管理。
• 信息安全管理体系（ISMS）与隐私信息管理体系（PIMS）是组织应对这些威胁的重要工具，其中ISO/IEC 27701:2025是当前最新且具有战略意义的隐私管理标准。

关键信息

网络威胁类型

• 网络钓鱼：通过伪造邮件诱导用户泄露敏感信息。
• 勒索软件：加密数据并要求赎金以恢复访问。
• 利用漏洞：针对老旧系统中已知的安全漏洞进行攻击。
• DDoS攻击：通过大量流量使系统无法正常访问。
• 内部威胁：组织内部人员可能因不满或受损害而对系统造成威胁。
• 供应链攻击：通过供应链中的薄弱环节影响更大范围的系统。

供应链攻击的后果

• 导致服务中断、财务损失、声誉受损。
• 可能危及国家安全和公共安全。
• 引发个人隐私泄露和法律风险。

缓解供应链风险的措施

• 风险评估：对供应商进行安全评估并定期更新。
• 合同义务：在合同中明确信息安全和隐私保护条款。
• 定期审核：对供应商的安全措施进行定期审查。
• 事件响应计划：制定应对安全事件的计划。
• 信息共享：与其他组织共享威胁情报和最佳实践。
• 安全技术投资：采用区块链、人工智能等技术提高供应链可见性和控制力。

ISO/IEC 27701:2025 标准亮点

为何修订至关重要？

• 处理PII的普遍性：几乎所有组织都在处理PII，且数据量和类型持续增长。
• 协作处理PII：组织间对PII的处理日益频繁，需明确责任边界。
• 法律合规需求：PIPL、GDPR、CCPA等法规对PII保护提出严格要求。

PIMS 的核心益处

• 提供结构化、一致的隐私管理方式。
• 帮助组织履行隐私义务，降低合规复杂性。
• 提升隐私治理与问责能力，增强内外部信任。

2025版五大关键变化

1. 统一的高阶结构（HLS）：采用与ISO 9001、ISO 27001等标准相同的结构，简化多标准管理。
2. 附录重构：将控制者与处理者的控制要求分为A.1、A.2、A.3三部分，共计78项隐私控制措施。
3. 更强的治理与领导力要求：强调隐私治理应融入组织战略，要求管理层参与资源配置与隐私意识培养。
4. PII全生命周期控制：从收集、使用、存储到删除，提供更精简、实操性强的管控方法。
5. 独立的规范性引用文件：以ISO/IEC 29100（隐私框架）为主要引用文件，提升与全球隐私体系的兼容性。

过渡实施与认证价值

• 对已获得ISO/IEC 27701:2019认证的组织，需进行差距评估，更新适用性声明（SoA）和隐私风险矩阵。
• 确保治理文件、流程记录与内部审计计划与新标准保持一致。
• 明确记录控制者与处理者的角色与职责。
• 对员工进行新标准和要求的培训。

认证的市场价值

• ISO/IEC 27701:2025是全球首个聚焦PII隐私管理的国际标准，与GDPR、CCPA等法规高度契合。
• 获得该认证有助于组织在数据驱动时代建立信任，提升市场竞争力。
• 结合ISO/IEC 27001，构建从信息安全到隐私保护的完整闭环。

获得认证建议

Intertek 提供第三方认证服务，帮助组织系统化管理信息安全与隐私风险。其推荐的国际标准包括：

• ISO/IEC 27001：信息安全管理体系标准。
• ISO/IEC 27701:2025：隐私信息管理体系标准。

联系方式

• 电话：021-53397881
• 邮箱：sc.china@intertek.com
• 官网：intertek.com.cn/service/security
• 公众号：Intertek 管理体系服务