信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評(píng)價(jià)指引-全國(guó)信息安全

1、國(guó)家標(biāo)準(zhǔn)信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評(píng)估指南編制說(shuō)明一、工作簡(jiǎn)況1.1 任務(wù)來(lái)源 根據(jù)中華人民共和國(guó)網(wǎng)絡(luò)安全法要求，關(guān)鍵信息基礎(chǔ)設(shè)施要求在網(wǎng)絡(luò) 安全等級(jí)保護(hù)制度的基礎(chǔ)上， 實(shí)行重點(diǎn)保護(hù)， 具體范圍和安全保護(hù)辦法由國(guó)務(wù)院 制定。網(wǎng)絡(luò)安全法中明確要求關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者應(yīng)當(dāng)自行或者委托網(wǎng)絡(luò) 安全服務(wù)機(jī)構(gòu)對(duì)其網(wǎng)絡(luò)的安全性和可能存在的風(fēng)險(xiǎn)每年至少進(jìn)行一次檢測(cè)評(píng)估， 此外規(guī)定了國(guó)家網(wǎng)信部門應(yīng)當(dāng)統(tǒng)籌協(xié)調(diào)有關(guān)部門對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的安全風(fēng) 險(xiǎn)進(jìn)行抽查檢測(cè)， 提出改進(jìn)措施， 必要時(shí)可以委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對(duì)網(wǎng)絡(luò)存在 的安全風(fēng)險(xiǎn)進(jìn)行檢測(cè)評(píng)估。為了落實(shí)網(wǎng)絡(luò)安全法要求，規(guī)范關(guān)鍵信息基礎(chǔ)設(shè)施檢測(cè)評(píng)估相關(guān)

2、方法、流 程，全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)于 2016 年立項(xiàng)信息安全技術(shù) 關(guān)鍵信息基 礎(chǔ)設(shè)施安全檢查評(píng)估指南國(guó)家標(biāo)準(zhǔn)， 2016 年 7 月，中央網(wǎng)信辦網(wǎng)絡(luò)安全協(xié)調(diào) 局下達(dá) 信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評(píng)估指南 國(guó)家標(biāo)準(zhǔn)制定 委托任務(wù)書， 委托中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心開展該標(biāo)準(zhǔn)的研制工作， 并將本項(xiàng)目標(biāo) 識(shí)為 WG7 組重點(diǎn)標(biāo)準(zhǔn)。信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評(píng)估指南 由中國(guó)互聯(lián)網(wǎng)絡(luò)信 息中心牽頭， 國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心， 國(guó)家信息技術(shù)安全研究中 心、中國(guó)信息安全測(cè)評(píng)中心， 工業(yè)和信息化部電子科學(xué)技術(shù)情報(bào)研究所 （更名為 國(guó)家工業(yè)信息安全發(fā)展研究中心）等單位共同參

3、與起草。1.2 主要工作過(guò)程2017年 1月至 3月，信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評(píng)估指南 由中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心牽頭， 國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心， 國(guó)家信 息技術(shù)安全研究中心、 中國(guó)信息安全測(cè)評(píng)中心， 工業(yè)和信息化部電子科學(xué)技術(shù)情 報(bào)研究所等單位共同參與討論， 討論研究指南的編制， 并形成標(biāo)準(zhǔn)討論稿， 向中 央網(wǎng)信辦領(lǐng)導(dǎo)匯報(bào)標(biāo)準(zhǔn)編制進(jìn)展， 并向全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提交項(xiàng)目 申請(qǐng)。2017年 4月，標(biāo)準(zhǔn)通過(guò)全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì) WG7 組會(huì)議討論。2017年 4月，本標(biāo)準(zhǔn)獲得由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)立項(xiàng)。2017年 4月，向中央網(wǎng)信辦領(lǐng)導(dǎo)匯報(bào)標(biāo)準(zhǔn)進(jìn)展工

4、作，擬作為中央網(wǎng)信辦布 置關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查工作的參考標(biāo)準(zhǔn)。2016年 5月，正式成立標(biāo)準(zhǔn)編制組，標(biāo)準(zhǔn)編制組由五家主要參與單位共同 組成，集中討論集中辦公，討論標(biāo)準(zhǔn)的框架、方法論、具體的內(nèi)容等。2016年5月25日，召開第一次專家會(huì)， 地點(diǎn)在中央網(wǎng)信辦， 由項(xiàng)目組向中 央網(wǎng)信辦網(wǎng)絡(luò)安全協(xié)調(diào)局楊春艷副局長(zhǎng)、各相關(guān)處室負(fù)責(zé)同志及 WG7 專家進(jìn)行 了匯報(bào)，5位WG7專家對(duì)標(biāo)準(zhǔn)提出了修改意見。2016 年 6-7 月，標(biāo)準(zhǔn)編制組繼續(xù)集中辦公，集中討論，并根據(jù)第一次專家 會(huì)意見逐一進(jìn)行修訂， 此外與其他安全廠商、 科研單位進(jìn)行交流， 就本標(biāo)準(zhǔn)指標(biāo) 方法聽取意見，并最終形成標(biāo)準(zhǔn)第二稿。2016年7

5、月18日，召開第二次 WG7專家會(huì)，由項(xiàng)目組向?qū)＜覅R報(bào)了標(biāo)準(zhǔn) 項(xiàng)目進(jìn)展，以及根據(jù)第一次專家會(huì)議的專家意見修訂情況， 5 位 WG7 專家對(duì)標(biāo) 準(zhǔn)提出了更進(jìn)一步的修改意見， 隨后項(xiàng)目組召開標(biāo)準(zhǔn)討論封閉會(huì)議， 根據(jù)此次專 家會(huì)意見對(duì)草案作了進(jìn)一步修訂，形成了第三稿。2017 年 7 月 21 日，參加 WG7 組會(huì)議，匯報(bào)了項(xiàng)目進(jìn)展和標(biāo)準(zhǔn)修訂情況， 會(huì)議決議最終該標(biāo)準(zhǔn)可以進(jìn)入征求意見階段， 并根據(jù)標(biāo)準(zhǔn)周答辯專家意見對(duì)標(biāo)準(zhǔn) 草案進(jìn)行部分修訂，完善草案內(nèi)容。二、編制原則和主要內(nèi)容2.1 編制原則 根據(jù)中華人民共和國(guó)網(wǎng)絡(luò)安全法要求，關(guān)鍵信息基礎(chǔ)設(shè)施要求在網(wǎng)絡(luò) 安全等級(jí)保護(hù)制度的基礎(chǔ)上， 實(shí)行重點(diǎn)保護(hù)，

6、具體范圍和安全保護(hù)辦法由國(guó)務(wù)院 制定。網(wǎng)絡(luò)安全法中明確要求關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者應(yīng)當(dāng)自行或者委托網(wǎng)絡(luò) 安全服務(wù)機(jī)構(gòu)對(duì)其網(wǎng)絡(luò)的安全性和可能存在的風(fēng)險(xiǎn)每年至少進(jìn)行一次檢測(cè)評(píng)估， 此外規(guī)定了國(guó)家網(wǎng)信部門應(yīng)當(dāng)統(tǒng)籌協(xié)調(diào)有關(guān)部門對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的安全風(fēng) 險(xiǎn)進(jìn)行抽查檢測(cè)， 提出改進(jìn)措施， 必要時(shí)可以委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對(duì)網(wǎng)絡(luò)存在 的安全風(fēng)險(xiǎn)進(jìn)行檢測(cè)評(píng)估。關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評(píng)估指南是落實(shí)網(wǎng)絡(luò)安全法要求，規(guī)范關(guān)鍵信息基礎(chǔ)設(shè)施檢測(cè)評(píng)估相關(guān)方法、 流程，定義了檢測(cè)評(píng)估的主要內(nèi)容， 從而提升關(guān)鍵信息基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全防護(hù)能力。本標(biāo)準(zhǔn)提供了關(guān)鍵信息基礎(chǔ)設(shè)施檢查評(píng)估工作的方法、流程和內(nèi)容，定義 了關(guān)鍵信息基礎(chǔ)設(shè)

7、施檢查評(píng)估所采用的方法， 規(guī)定了關(guān)鍵信息基礎(chǔ)設(shè)施檢查評(píng)估 工作準(zhǔn)備、實(shí)施、總結(jié)各環(huán)節(jié)的流程要求，以及在檢查評(píng)估具體要求和內(nèi)容。本標(biāo)準(zhǔn)適用于指導(dǎo)關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者、網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)相關(guān)的人 員開展關(guān)鍵信息基礎(chǔ)設(shè)施檢查評(píng)估相關(guān)工作。本標(biāo)準(zhǔn)可用于：1）關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)單位自行開展安全檢測(cè)評(píng)估工作參考。2）網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施實(shí)施檢測(cè)評(píng)估工作參考。3）網(wǎng)絡(luò)安全檢測(cè)產(chǎn)品研發(fā)機(jī)構(gòu)研發(fā)檢查工具，創(chuàng)新安全應(yīng)用參考。 本標(biāo)準(zhǔn)適用對(duì)象是關(guān)鍵息基礎(chǔ)設(shè)施運(yùn)營(yíng)單位負(fù)責(zé)信息安全工作的實(shí)施者和 其他實(shí)施安全檢測(cè)評(píng)估工作的相關(guān)人員。2.2 主要內(nèi)容 關(guān)鍵信息基礎(chǔ)設(shè)施檢查評(píng)估工作是依據(jù)國(guó)家有關(guān)法律與法規(guī)要

8、求， 參考國(guó)家 和行業(yè)安全標(biāo)準(zhǔn)， 針對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施安全要求， 通過(guò)一定的方法和流程， 對(duì) 信息系統(tǒng)安全狀況進(jìn)行評(píng)估，最后給出檢查評(píng)估對(duì)象的整體安全狀況的報(bào)告。檢查評(píng)估工作由合規(guī)檢查、 技術(shù)檢測(cè)和分析評(píng)估三個(gè)主要方法組成， 每個(gè)方 法包含若干內(nèi)容和項(xiàng)目。合規(guī)檢查合規(guī)檢查是通過(guò)一定的手段驗(yàn)證檢查評(píng)估對(duì)象是否遵從國(guó)家相關(guān)法律法規(guī)、 政策標(biāo)準(zhǔn)、 行業(yè)標(biāo)準(zhǔn)規(guī)定的強(qiáng)制要求， 輸出是否合規(guī)的結(jié)論， 對(duì)不合規(guī)的具體項(xiàng) 目進(jìn)行說(shuō)明，采取的方法包括現(xiàn)場(chǎng)資料核實(shí)、人員訪談、配置核查等形式。技術(shù)檢測(cè) 技術(shù)檢測(cè)分為主動(dòng)方式和被動(dòng)方式， 主動(dòng)方式是采用專業(yè)安全工具， 配合專業(yè)安全人員，選取合適的技術(shù)檢測(cè)接入點(diǎn)，通過(guò)漏

9、洞掃描、滲透測(cè)試、社會(huì)工程 學(xué)等常用的安全測(cè)試手段， 采取遠(yuǎn)程檢測(cè)和現(xiàn)場(chǎng)檢測(cè)相結(jié)合的方式， 發(fā)現(xiàn)其安全 性和可能存在的風(fēng)險(xiǎn)隱患， 也可參考其他安全檢測(cè)資料和報(bào)告， 對(duì)技術(shù)檢測(cè)結(jié)果 進(jìn)行驗(yàn)證。被動(dòng)方式是輔助監(jiān)測(cè)分析手段， 通過(guò)選取合適的監(jiān)測(cè)接入點(diǎn)， 部署相應(yīng)的監(jiān) 測(cè)工具，實(shí)時(shí)監(jiān)測(cè)并分析檢查評(píng)估對(duì)象的安全狀況， 發(fā)現(xiàn)其存在的安全漏洞、 安 全隱患。兩種技術(shù)檢測(cè)方式最終輸出技術(shù)檢測(cè)結(jié)果。分析評(píng)估分析評(píng)估是圍繞關(guān)鍵信息基礎(chǔ)設(shè)施承載業(yè)務(wù)特點(diǎn)， 對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的關(guān) 鍵屬性進(jìn)行識(shí)別和分析， 依據(jù)技術(shù)檢測(cè)發(fā)現(xiàn)的安全隱患和問(wèn)題， 參考風(fēng)險(xiǎn)評(píng)估方 法，對(duì)關(guān)鍵屬性面臨的風(fēng)險(xiǎn)進(jìn)行風(fēng)險(xiǎn)分析， 進(jìn)而對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施

10、的整體安全 狀況的評(píng)估。標(biāo)準(zhǔn)充分考慮了當(dāng)前已有的等級(jí)保護(hù)相關(guān)標(biāo)準(zhǔn)、風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)、及其他行 業(yè)安全標(biāo)準(zhǔn)，與正在制定的其他 WG7 系列標(biāo)準(zhǔn)一起，共同形成了支撐關(guān)鍵信息 基礎(chǔ)設(shè)施安全保障的標(biāo)準(zhǔn)體系。本標(biāo)準(zhǔn)與其他國(guó)內(nèi)標(biāo)準(zhǔn)的關(guān)聯(lián)性分析：GB/T 22081-2016信息安全技術(shù)信息系統(tǒng)等級(jí)保護(hù)基本要求 是本標(biāo)準(zhǔn) 引用的標(biāo)準(zhǔn)之一， 本標(biāo)準(zhǔn)在編制之初就深刻理解網(wǎng)絡(luò)安全法中 “關(guān)鍵信息基礎(chǔ)設(shè) 施要求在網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)， ”的要求，在合規(guī)檢 查的內(nèi)容中重點(diǎn)強(qiáng)調(diào)了對(duì)等級(jí)保護(hù)制度落實(shí)情況的檢查。GB/T 20984-2007 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范也是本標(biāo)準(zhǔn)引用的 標(biāo)準(zhǔn)之一，

11、本標(biāo)準(zhǔn)在第 9 節(jié)引入了風(fēng)險(xiǎn)評(píng)估的方法論， 通過(guò)對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施 的關(guān)鍵性分析， 并根據(jù)合規(guī)檢查和技術(shù)檢測(cè)發(fā)現(xiàn)的問(wèn)題進(jìn)一步進(jìn)行風(fēng)險(xiǎn)分析， 最 后根據(jù)風(fēng)險(xiǎn)分析的結(jié)果定性分析出整體安全狀況的評(píng)價(jià)。此外，正在制訂的標(biāo)準(zhǔn)草案信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保 護(hù)要求定義了關(guān)鍵信息基礎(chǔ)設(shè)施， 并對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)提出了具體的要 求，而本標(biāo)準(zhǔn)中有專門的項(xiàng)是對(duì)改要求的驗(yàn)證， 強(qiáng)調(diào)的是評(píng)估流程的標(biāo)準(zhǔn)化、 評(píng) 估內(nèi)容標(biāo)準(zhǔn)化，以及評(píng)估結(jié)果的標(biāo)準(zhǔn)化 。此外，正在制定的標(biāo)準(zhǔn)草案信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保障指標(biāo)體系與該標(biāo)準(zhǔn)關(guān)聯(lián)，該標(biāo)準(zhǔn)的輸出評(píng)估結(jié)果可以用于標(biāo)準(zhǔn)的量化計(jì)算。 。三、采用國(guó)際標(biāo)準(zhǔn)和國(guó)外先進(jìn)標(biāo)準(zhǔn)的程度，以及與國(guó)際、國(guó)外同類標(biāo)準(zhǔn)水平的對(duì)比情況，或與測(cè)試的國(guó)外樣品、樣機(jī)的有關(guān)數(shù)據(jù)對(duì)比情況 編