信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評價(jià)指引全國信息安全

1、國家標(biāo)準(zhǔn)信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評估指南編制說明一、 工作簡況1.1 任務(wù)來源根據(jù)中華人民共和國網(wǎng)絡(luò)安全法要求，關(guān)鍵信息基礎(chǔ)設(shè)施要求在網(wǎng)絡(luò)安全等級保護(hù)制度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)，具體范圍和安全保護(hù)辦法由國務(wù)院制定。網(wǎng)絡(luò)安全法中明確要求關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者應(yīng)當(dāng)自行或者委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對其網(wǎng)絡(luò)的安全性和可能存在的風(fēng)險(xiǎn)每年至少進(jìn)行一次檢測評估，此外規(guī)定了國家網(wǎng)信部門應(yīng)當(dāng)統(tǒng)籌協(xié)調(diào)有關(guān)部門對關(guān)鍵信息基礎(chǔ)設(shè)施的安全風(fēng)險(xiǎn)進(jìn)行抽查檢測，提出改進(jìn)措施，必要時(shí)可以委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對網(wǎng)絡(luò)存在的安全風(fēng)險(xiǎn)進(jìn)行檢測評估。為了落實(shí)網(wǎng)絡(luò)安全法要求，規(guī)范關(guān)鍵信息基礎(chǔ)設(shè)施檢測評估相關(guān)方法、流程，全國信息

2、安全標(biāo)準(zhǔn)化技術(shù)委員會于2016年立項(xiàng)信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評估指南國家標(biāo)準(zhǔn)，2016年7月，中央網(wǎng)信辦網(wǎng)絡(luò)安全協(xié)調(diào)局下達(dá)<信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評估指南>國家標(biāo)準(zhǔn)制定委托任務(wù)書，委托中國互聯(lián)網(wǎng)絡(luò)信息中心開展該標(biāo)準(zhǔn)的研制工作，并將本項(xiàng)目標(biāo)識為WG7 組重點(diǎn)標(biāo)準(zhǔn)。信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評估指南由中國互聯(lián)網(wǎng)絡(luò)信息中心牽頭，國家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心，國家信息技術(shù)安全研究中心、中國信息安全測評中心，工業(yè)和信息化部電子科學(xué)技術(shù)情報(bào)研究所（更名為國家工業(yè)信息安全發(fā)展研究中心）等單位共同參與起草。1.2 主要工作過程2017年1月至3月，信

3、息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評估指南由中國互聯(lián)網(wǎng)絡(luò)信息中心牽頭，國家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心，國家信息技術(shù)安全研究中心、中國信息安全測評中心，工業(yè)和信息化部電子科學(xué)技術(shù)情報(bào)研究所等單位共同參與討論，討論研究指南的編制，并形成標(biāo)準(zhǔn)討論稿，向中央網(wǎng)信辦領(lǐng)導(dǎo)匯報(bào)標(biāo)準(zhǔn)編制進(jìn)展，并向全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會提交項(xiàng)目申請。2017年4月，標(biāo)準(zhǔn)通過全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會WG7組會議討論。2017年4月，本標(biāo)準(zhǔn)獲得由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會立項(xiàng)。2017年4月，向中央網(wǎng)信辦領(lǐng)導(dǎo)匯報(bào)標(biāo)準(zhǔn)進(jìn)展工作，擬作為中央網(wǎng)信辦布置關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查工作的參考標(biāo)準(zhǔn)。2016年5月，正式成立標(biāo)準(zhǔn)

4、編制組，標(biāo)準(zhǔn)編制組由五家主要參與單位共同組成，集中討論集中辦公，討論標(biāo)準(zhǔn)的框架、方法論、具體的內(nèi)容等。2016年5月25日，召開第一次專家會，地點(diǎn)在中央網(wǎng)信辦，由項(xiàng)目組向中央網(wǎng)信辦網(wǎng)絡(luò)安全協(xié)調(diào)局楊春艷副局長、各相關(guān)處室負(fù)責(zé)同志及WG7專家進(jìn)行了匯報(bào)，5位WG7專家對標(biāo)準(zhǔn)提出了修改意見。2016年6-7月，標(biāo)準(zhǔn)編制組繼續(xù)集中辦公，集中討論，并根據(jù)第一次專家會意見逐一進(jìn)行修訂，此外與其他安全廠商、科研單位進(jìn)行交流，就本標(biāo)準(zhǔn)指標(biāo)方法聽取意見，并最終形成標(biāo)準(zhǔn)第二稿。2016年7月18日，召開第二次WG7專家會，由項(xiàng)目組向?qū)＜覅R報(bào)了標(biāo)準(zhǔn)項(xiàng)目進(jìn)展，以及根據(jù)第一次專家會議的專家意見修訂情況，5位WG7專家對

5、標(biāo)準(zhǔn)提出了更進(jìn)一步的修改意見，隨后項(xiàng)目組召開標(biāo)準(zhǔn)討論封閉會議，根據(jù)此次專家會意見對草案作了進(jìn)一步修訂，形成了第三稿。2017年7月21日，參加WG7組會議，匯報(bào)了項(xiàng)目進(jìn)展和標(biāo)準(zhǔn)修訂情況，會議決議最終該標(biāo)準(zhǔn)可以進(jìn)入征求意見階段，并根據(jù)標(biāo)準(zhǔn)周答辯專家意見對標(biāo)準(zhǔn)草案進(jìn)行部分修訂，完善草案內(nèi)容。二、 編制原則和主要內(nèi)容2.1 編制原則根據(jù)中華人民共和國網(wǎng)絡(luò)安全法要求，關(guān)鍵信息基礎(chǔ)設(shè)施要求在網(wǎng)絡(luò)安全等級保護(hù)制度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)，具體范圍和安全保護(hù)辦法由國務(wù)院制定。網(wǎng)絡(luò)安全法中明確要求關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者應(yīng)當(dāng)自行或者委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對其網(wǎng)絡(luò)的安全性和可能存在的風(fēng)險(xiǎn)每年至少進(jìn)行一次檢測評估，此

6、外規(guī)定了國家網(wǎng)信部門應(yīng)當(dāng)統(tǒng)籌協(xié)調(diào)有關(guān)部門對關(guān)鍵信息基礎(chǔ)設(shè)施的安全風(fēng)險(xiǎn)進(jìn)行抽查檢測，提出改進(jìn)措施，必要時(shí)可以委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對網(wǎng)絡(luò)存在的安全風(fēng)險(xiǎn)進(jìn)行檢測評估。關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評估指南是落實(shí)網(wǎng)絡(luò)安全法要求，規(guī)范關(guān)鍵信息基礎(chǔ)設(shè)施檢測評估相關(guān)方法、流程，定義了檢測評估的主要內(nèi)容，從而提升關(guān)鍵信息基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全防護(hù)能力。本標(biāo)準(zhǔn)提供了關(guān)鍵信息基礎(chǔ)設(shè)施檢查評估工作的方法、流程和內(nèi)容，定義了關(guān)鍵信息基礎(chǔ)設(shè)施檢查評估所采用的方法，規(guī)定了關(guān)鍵信息基礎(chǔ)設(shè)施檢查評估工作準(zhǔn)備、實(shí)施、總結(jié)各環(huán)節(jié)的流程要求，以及在檢查評估具體要求和內(nèi)容。本標(biāo)準(zhǔn)適用于指導(dǎo)關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者、網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)相關(guān)的人員開展

7、關(guān)鍵信息基礎(chǔ)設(shè)施檢查評估相關(guān)工作。本標(biāo)準(zhǔn)可用于：1）關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營單位自行開展安全檢測評估工作參考。2）網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對關(guān)鍵信息基礎(chǔ)設(shè)施實(shí)施檢測評估工作參考。3）網(wǎng)絡(luò)安全檢測產(chǎn)品研發(fā)機(jī)構(gòu)研發(fā)檢查工具，創(chuàng)新安全應(yīng)用參考。 本標(biāo)準(zhǔn)適用對象是關(guān)鍵息基礎(chǔ)設(shè)施運(yùn)營單位負(fù)責(zé)信息安全工作的實(shí)施者和其他實(shí)施安全檢測評估工作的相關(guān)人員。2.2 主要內(nèi)容關(guān)鍵信息基礎(chǔ)設(shè)施檢查評估工作是依據(jù)國家有關(guān)法律與法規(guī)要求，參考國家和行業(yè)安全標(biāo)準(zhǔn)，針對關(guān)鍵信息基礎(chǔ)設(shè)施安全要求，通過一定的方法和流程，對信息系統(tǒng)安全狀況進(jìn)行評估，最后給出檢查評估對象的整體安全狀況的報(bào)告。檢查評估工作由合規(guī)檢查、技術(shù)檢測和分析評估三個主要方

8、法組成，每個方法包含若干內(nèi)容和項(xiàng)目。合規(guī)檢查合規(guī)檢查是通過一定的手段驗(yàn)證檢查評估對象是否遵從國家相關(guān)法律法規(guī)、政策標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)規(guī)定的強(qiáng)制要求，輸出是否合規(guī)的結(jié)論，對不合規(guī)的具體項(xiàng)目進(jìn)行說明，采取的方法包括現(xiàn)場資料核實(shí)、人員訪談、配置核查等形式。技術(shù)檢測技術(shù)檢測分為主動方式和被動方式，主動方式是采用專業(yè)安全工具，配合專業(yè)安全人員，選取合適的技術(shù)檢測接入點(diǎn)，通過漏洞掃描、滲透測試、社會工程學(xué)等常用的安全測試手段，采取遠(yuǎn)程檢測和現(xiàn)場檢測相結(jié)合的方式，發(fā)現(xiàn)其安全性和可能存在的風(fēng)險(xiǎn)隱患，也可參考其他安全檢測資料和報(bào)告，對技術(shù)檢測結(jié)果進(jìn)行驗(yàn)證。被動方式是輔助監(jiān)測分析手段，通過選取合適的監(jiān)測接入點(diǎn)，部署相

9、應(yīng)的監(jiān)測工具，實(shí)時(shí)監(jiān)測并分析檢查評估對象的安全狀況，發(fā)現(xiàn)其存在的安全漏洞、安全隱患。兩種技術(shù)檢測方式最終輸出技術(shù)檢測結(jié)果。分析評估分析評估是圍繞關(guān)鍵信息基礎(chǔ)設(shè)施承載業(yè)務(wù)特點(diǎn)，對關(guān)鍵信息基礎(chǔ)設(shè)施的關(guān)鍵屬性進(jìn)行識別和分析，依據(jù)技術(shù)檢測發(fā)現(xiàn)的安全隱患和問題，參考風(fēng)險(xiǎn)評估方法，對關(guān)鍵屬性面臨的風(fēng)險(xiǎn)進(jìn)行風(fēng)險(xiǎn)分析，進(jìn)而對關(guān)鍵信息基礎(chǔ)設(shè)施的整體安全狀況的評估。標(biāo)準(zhǔn)充分考慮了當(dāng)前已有的等級保護(hù)相關(guān)標(biāo)準(zhǔn)、風(fēng)險(xiǎn)評估標(biāo)準(zhǔn)、及其他行業(yè)安全標(biāo)準(zhǔn)，與正在制定的其他WG7系列標(biāo)準(zhǔn)一起，共同形成了支撐關(guān)鍵信息基礎(chǔ)設(shè)施安全保障的標(biāo)準(zhǔn)體系。本標(biāo)準(zhǔn)與其他國內(nèi)標(biāo)準(zhǔn)的關(guān)聯(lián)性分析： GB/T 22081-2016信息安全技術(shù)信息系統(tǒng)等級

10、保護(hù)基本要求 是本標(biāo)準(zhǔn)引用的標(biāo)準(zhǔn)之一，本標(biāo)準(zhǔn)在編制之初就深刻理解網(wǎng)絡(luò)安全法中“關(guān)鍵信息基礎(chǔ)設(shè)施要求在網(wǎng)絡(luò)安全等級保護(hù)制度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)，”的要求，在合規(guī)檢查的內(nèi)容中重點(diǎn)強(qiáng)調(diào)了對等級保護(hù)制度落實(shí)情況的檢查。GB/T 20984-2007 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評估規(guī)范也是本標(biāo)準(zhǔn)引用的標(biāo)準(zhǔn)之一，本標(biāo)準(zhǔn)在第9節(jié)引入了風(fēng)險(xiǎn)評估的方法論，通過對關(guān)鍵信息基礎(chǔ)設(shè)施的關(guān)鍵性分析，并根據(jù)合規(guī)檢查和技術(shù)檢測發(fā)現(xiàn)的問題進(jìn)一步進(jìn)行風(fēng)險(xiǎn)分析，最后根據(jù)風(fēng)險(xiǎn)分析的結(jié)果定性分析出整體安全狀況的評價(jià)。此外，正在制訂的標(biāo)準(zhǔn)草案信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)要求定義了關(guān)鍵信息基礎(chǔ)設(shè)施，并對關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)提出了具體的要求，而本標(biāo)準(zhǔn)中有專門的項(xiàng)是對改要求的驗(yàn)證，強(qiáng)調(diào)的是評估流程的標(biāo)準(zhǔn)化、評估內(nèi)容標(biāo)準(zhǔn)化，以及評估結(jié)果的標(biāo)準(zhǔn)化。此外，正在制定的標(biāo)準(zhǔn)草案信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保障指標(biāo)體系與該標(biāo)準(zhǔn)關(guān)聯(lián)，該標(biāo)準(zhǔn)的輸出評估結(jié)果可以用于標(biāo)準(zhǔn)的量化計(jì)算。 三、 采用國際標(biāo)準(zhǔn)和國外先進(jìn)標(biāo)準(zhǔn)的程度，以及與國際、國外同類標(biāo)準(zhǔn)水平的對比情況，或與測試的國外樣品、樣機(jī)的有關(guān)數(shù)據(jù)對比情況編制組在標(biāo)準(zhǔn)編