我国关键信息基础设施保护建设白皮书_27页_1mb

我国关键信息基础设施安全保护白皮书总结

一、关键信息基础设施概述

（一）定义

关键信息基础设施（CII）是指涉及公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，一旦遭到破坏、丧失功能或数据泄露，可能严重危害国家安全、国计民生和公共利益的设施。其范围涵盖信息和电信部门，以及支撑其运行的网络、设备等基础设施。

（二）范围界定

我国对CII的范围界定包括以下几类单位：

1. 政府机关及能源、金融、交通、水利、卫生医疗、教育、社保、环保、公用事业等行业领域的单位；
2. 电信网、广播电视网、互联网等信息网络及其服务提供者；
3. 国防科工、大型装备、化工、食品药品等行业领域的科研生产单位；
4. 新闻单位，如电台、电视台、通讯社等；
5. 其他重点单位。

（三）重要性

1. 国家安全和社会稳定：CII是国家安全的重要组成部分，其安全直接关系到国家稳定和社会秩序。
2. 社会持续运转保障：CII支撑各行业核心业务，保障其安全是社会持续运行的基础。
3. 顺应国际形势：各国已建立CII安全保护制度，我国也需加快相关法律和制度建设。
4. 保障公民福祉：CII承载大量公民敏感信息，保障其安全是保护公民利益的重要手段。

二、重点国家和地区关键信息基础设施安全保护做法与启示

（一）重点国家保护措施

1. 美国

   • 以风险管理为核心，构建了覆盖识别、保护、检测、响应、恢复的五维安全体系。
   • 建立国家关键信息基础设施协调中心（NCC）、信息共享和分析中心（ISAC）等组织，促进信息共享和协同防护。
   • 强调安全措施的可衡量性，要求各部门定期报告工作进展。

2. 欧盟

   • 从准备预防、监测响应、减灾恢复、国际合作、标准制定五个方面推进CII保护。
   • 鼓励信息共享机制，建立欧洲信息共享和预警机制，强化跨部门协作。

3. 俄罗斯

   • 通过立法明确对关键网络基础设施的保护，如交通、政府等。
   • 强调内容层面的管控，重视互联网对社会价值观的影响。
   • 建立了供应链风险管理机制和威胁情报共享中心。

4. 日本

   • 建立了以政策法律为基础、组织机构为支撑、技术资金为保障的CII保护体系。
   • 实施信息共享机制、跨部门演习、风险管理、标准认证等措施。
   • 强调公众宣传和国际合作，推动CII保护工作的社会参与和全球协作。

（二）国际启示

1. 科学界定范围：各国均根据自身国情明确了CII的分类和保护范围，我国应进一步细化认定规则。
2. 明晰保护目标：美国强调安全性和弹性，欧盟关注抵御大规模攻击，日本侧重持续稳定运行，我国应以业务连续性和安全可控性为目标。
3. 明确措施方法：各国采用基于风险的动态安全保护周期，我国也应完善CII安全保护的五个基本环节。
4. 建立组织管理体系：美国、欧盟等通过建立信息共享、协调机制和多部门协作体系，我国可借鉴，建立行业保护组织。

三、我国关键信息基础设施安全保护现状

（一）法律法规建设加速推进

我国已发布多项与CII安全保护相关的法律法规，如《网络安全法》、《国家网络安全事件应急预案》、《关键信息基础设施安全保护条例（征求意见稿）》等。法律体系逐步完善，为CII安全保护提供了制度保障。

（二）标准体系逐步完善

1. 标准化组织建设：全国信息安全标准化技术委员会（信安标委）负责CII安全标准的制定与实施。
2. 等级保护标准演进：从等保1.0到等保2.0，标准体系不断扩展，涵盖信息系统、基础信息网络、云计算平台、大数据平台、物联网系统、工业控制系统等。
3. 标准实施试点：信安标委已启动多项试点，如《关键信息基础设施安全检查评估指南》，以验证标准的可操作性和科学性。

（三）相关研究不断深入

1. 框架体系研究：研究大数据安全框架及其管理模式，建立适用于智慧城市等场景的安全模型。
2. 边界识别研究：提出统一的CII边界识别方案，借鉴国际经验，明确关键设施的保护范围。
3. 风险评估与测量：基于等级保护制度，研究CII的风险评估方法，推动安全评估与测量工作的开展。

四、我国关键信息基础设施安全保护面临的问题

1. 法律保护范围模糊：《网络安全法》虽明确了CII保护范围，但缺乏具体判定标准和实施细则。
2. 自主可控能力不足：关键设备和技术依赖进口，存在被境外势力控制或破坏的风险。
3. 缺乏完善评估机制与恢复计划：多数CII运营者未建立统一的脆弱性评估标准，也缺乏详尽的事后恢复机制。
4. 监测与预警机制薄弱：全国性监测体系尚未建立，缺乏统一的预警标准和信息共享机制，存在协调不畅、效率低下等问题。

五、提升我国关键信息基础设施安全保护水平的对策建议

1. 加强基础性研究，制定科学保护框架

   • 研究CII的定义、分类、结构及等级保护框架。
   • 明确定级对象的识别方法和安全等级划分标准。

2. 增强自主创新能力，推动国产技术研发

   • 制定激励政策，加快国产核心产品的研发和应用。
   • 加强人才培养和资金支持，提升技术自主可控水平。

3. 完善检测预警机制，制定应急响应制度与事后恢复计划

   • 建立统一的监测与预警机制，推动信息共享与应急响应体系。
   • 制定详尽的事后恢复计划，提升应急处置能力。

4. 完善安全风险评估认证机制，设立专项防治体系

   • 引入风险评估与绩效评价机制，建立动态防护模式。
   • 实施专项安全防治体系，提升对潜在威胁的识别和应对能力。

5. 相关企业应构建安全管理体系

   • 企业需严格遵循《网络安全法》及相关法规，加强内部能力建设。
   • 构建涵盖识别、保护、监测、预警、响应、处置等环节的安全管理体系。
   • 建设一体化终端安全管理系统，实现统一策略、统一资产、统一数据展示。