《信息安全技术 关键信息基础设施安全保护要求》（GB/T 39204-2022）作为关键信息基础设施安全保护标准体系的构建基础，该标准为运营者开展关键信息基础设施（以下简称“CII”或“关基”）保护工作需求提供了强有力的标准保障。
监管依据的落地及亮点变化
《关基安全保护要求》是基于《网络安全法》和《关键信息基础设施安全保护条例》（以下简称“《关保条例》”），在网络安全等级保护制度基础上，结合我国现有网络安全保障体系成果提出的可落地的安全保护要求。《网络安全法》《关保条例》以及我国关基方面其他监管依据中明确提出的且适合在标准中规范的，均在标准中有相应的要求落地，例如：
向下滑动查看
新规亮点变化：
相比之前的监管要求，《关基安全保护要求》在安全管理机构方面，新增了成立网络安全工作委员会或领导小组，并明确提出了将领导班子成员作为首席网络安全官的要求；
在应急演练方面，此前的监管要求没有同时明确开展应急演练的时间和频次，例如《网络安全法》《关保条例》只规定了定期开展应急演练，《国家网络安全检查操作指南》只规定对应急预案每年至少评估一次，以及只规定每年应开展应急演练却无具体的频次要求。而《关基安全保护要求》在此方面进行了细化完善，进一步明确了每年至少组织开展1次本组织的应急演练；
《关基安全保护要求》在产品服务采购方面也进行了补充和扩展，为运营者提供了更多具体可执行的操作要求，大大增强了采购环节的安全性。例如，建立和维护合格供应方目录；强化采购渠道管理，保持采购的网络产品和服务来源的稳定或多样性；获得提供者对网络产品和服务的10年以上知识产权授权；自行或委托第三方对定制开发的软件进行源代码安全检测。
关于安全计算环境方面，在此前的监管依据中，例如《国家网络安全检查操作指南》2.5.4.3c)关于补丁、漏洞、账户管理等的检查方法包括使用终端检查工具或采用人工方式，而此次《关基安全保护要求》明确提出了应使用自动化工具来支持系统账户、配置、漏洞、补丁、病毒库等的管理。
《关基安全保护要求》主要内容
该标准提出了以关键业务为核心的整体防控、以风险管理为导向的动态防护、以信息共享为基础的协同联防的关键信息基础设施安全保护3项基本原则。从分析识别、安全防护、检测评估、监测预警、主动防御、事件处置等6个方面提出了111条安全要求，为运营者开展关键信息基础设施保护工作需求提供了强有力的标准保障。
1．三项安全保护基本原则
《关基安全保护要求》提出了以关键业务为核心的整体防控、以风险管理为导向的动态防护、以信息共享为基础的协同联防的关键信息基础设施安全保护3项基本原则。
2．六方面主要内容及活动
关键信息基础设施安全保护包括分析识别、安全防护、检测评估、监测预警、主动防御、事件处置等6个方面提出了111条安全要求。
分析识别
关键信息设施运营者相关部门，围绕关键信息基础设施承载的关键业务，开展业务识别、资产识别、风险识别、重大变更等活动，是六方面活动的基础。
安全防护
关键信息设施运营者根据已识别的关键业务、资产、安全风险，在安全管理制度、安全管理机构、安全管理人员、安全通信网络、安全计算环境、安全建设管理、安全运维管理等方面实施安全管理和技术保护措施，确保关键信息基础设施的运行安全。本活动在识别关键信息基础设施安全风险的基础上制定相应的安全防护措施。
检测评估
采用自行、委托网络安全服务机构、抽查监测等方式检验安全防护措施的有效性，发现网络安全风险隐患，运营者应制定对应的检测评估制度，确定检测评估的流程及内容等，开展安全检测与风险隐患评估与商用密码应用安全性评估，分析潜在安全风险可能引发的安全事件。
监测预警
运营者需要制定并实施网络安全监测预警和信息通报制度，监测关键业务所涉及的系统，并针对发生的网络安全事件或发现的网络安全威胁，提前或及时发出安全警示。建立威胁情报和信息共享机制，落实相关措施，提高关键信息基础设施发现攻击并预警的能力。
主动防御
关键信息基础设施运营者以监测到的攻击行为为基础，主动采取收敛暴露面、诱捕、溯源、干扰和阻断等措施，开展攻防演习和威胁情报工作，提升关键信息基础设施对网络威胁与攻击行为的识别、分析和主动防御能力。
事件处置
运营者对网络安全事件进行报告和处置，并根据检测评估、监测预警等发现的不足采取适当的应对措施，恢复由于网络安全事件而受损的功能或服务，并在必要时重新开启分析识别活动。
关键信息基础设施安全
面临更加严格监管
无论是《网络安全法》《关基条例》，还是更为具体的《关基安全保护要求》，均要求对关基设施在等保的基础之上作重点保护。面临严峻的网络安全和合规监管要求形势，对关基单位提出了更高的要求。
安全合规要求在等保基础上更高
等级保护2.0重点是围绕“一个中心，三重防护”为核心,从技术和管理的角度来指导各单位如何开展安全保护工作，关基保护是在等保基础上实行重点保护，明确运营单位应作为信息系统第一责任主体，并设置专门的安全管理机构，实现了从技术到能力、从制度到责任的跨越。
对数据安全防护有更高的要求
《关基安全保护要求》的发布是继《数据安全法》发布后，再一次把数据安全作为纲领性要求进行了独立阐述，也诠释了数据作为关键信息基础设施安全保护的重要性，对于关键信息基础设施的安全保护提出了更高要求。
安全防护技术要求更高，投入更高
由于关基安全自身的特性，关基保护与传统的网络安全防护有巨大的差异。关基防护目标从“保障系统安全”转向“保障业务连续性”，从“事件影响消除”转向“风险防范和化解”。由此，关基保护需要要求更高，投入更高的安全防护技术。
实施意义
《关键信息基础设施安全保护要求》落实了关键信息基础设施安全保护以网络安全等级保护制度为基础这一要求，与我国的网络安全整体形势以及关键信息基础设施安全需求相适应。该标准的发布和实施，将有助于规范关键信息基础设施的安全保护要求，提高信息安全保障能力，促进关键信息基础设施的安全可靠运行，推动我国网络强国战略实施、数字经济稳健发展！
部分内容节选自 史蕾、毕静静. 新规提示《信息安全技术 关键信息基础设施安全保护要求》发布
@所有人 你有一个来自“商密圈”的好友申请
2023-04-27
数字安全@数字中国，您的西湖论剑门票请查收～
2023-04-26
太原市与浙江企业家考察团工作座谈会举行 韦韬主持并讲话
2023-04-25