2024安全與韌性社區(qū)韌性組織間信息交互指南

安全與韌性區(qū)韌性組織間信息交互指南目 次前言 II引言 III范圍 5規(guī)范性引用文件 5術(shù)語(yǔ)和定義 5基本原則 5概述 5指導(dǎo)原則 5框架 6概述 6領(lǐng)導(dǎo)力與承諾 6環(huán)境分析 7設(shè)計(jì)與建立框架 7實(shí)施 7監(jiān)督與審查 7持續(xù)改進(jìn) 7流程 7概述 8確立需求 8組織準(zhǔn)備 8定義信息交互結(jié)構(gòu) 9運(yùn)行和維護(hù)信息交互 10監(jiān)督與審查 11附錄A（資料性）交通燈協(xié)議（TLP） 12附錄B（資料性）示例 13能源領(lǐng)域跨界信息共享示例 錯(cuò)誤！未定義書(shū)簽。社區(qū)韌性項(xiàng)目的信息共享示例 錯(cuò)誤！未定義書(shū)簽。IPAGE\*ROMANPAGE\*ROMANIII引 言對(duì)于社會(huì)中的所有行動(dòng)者而言，風(fēng)險(xiǎn)的格局已經(jīng)發(fā)生了變化，包括私營(yíng)企業(yè)、政府機(jī)構(gòu)和非政府組織。組織之間的相互聯(lián)系和相互依存更加緊密，從而導(dǎo)致了跨界和疊加風(fēng)險(xiǎn)。關(guān)鍵社會(huì)基礎(chǔ)設(shè)施和服務(wù)的所有權(quán)模式的變化意味著私人企業(yè)必須參與制訂提高應(yīng)對(duì)能力、增加經(jīng)驗(yàn)和增進(jìn)知識(shí)交流的機(jī)制。關(guān)鍵基礎(chǔ)設(shè)施或服務(wù)越來(lái)越多地由私人管理或擁有，這對(duì)以能力建設(shè)為目的的組織間合作和信息交換提出了新的要求。雖然具有最終管轄權(quán)的當(dāng)局有對(duì)其公民提供服務(wù)和保護(hù)的最終責(zé)任，并且提高關(guān)鍵社會(huì)職能的安全性的預(yù)防措施傳統(tǒng)上被視為政府和公共部門(mén)的核心領(lǐng)域，但解決方案往往來(lái)自私營(yíng)部門(mén)。為了強(qiáng)化和支持預(yù)防性保護(hù)措施，來(lái)自私營(yíng)企業(yè)和公共部門(mén)的各個(gè)行動(dòng)者應(yīng)當(dāng)可以有效和安全地交換信息，以提高社會(huì)安全并提升韌性。一般來(lái)說(shuō)，協(xié)作的目的旨在識(shí)別并且發(fā)起各種行動(dòng)，以提高安全性并且降低脆弱性。通過(guò)針對(duì)可能的責(zé)任、風(fēng)險(xiǎn)以及脆弱性開(kāi)展信息交換，可以提高組織的效力和效率。從信息共享方面，確定組織間確切的邊界是具有挑戰(zhàn)性的，但也是必要的。對(duì)于這些私營(yíng)企業(yè)也需要保證其敏感商業(yè)信息不會(huì)被泄露，從而被用于妨礙競(jìng)爭(zhēng)或者損害其商業(yè)和商標(biāo)。因此，安全的信息交換是公共機(jī)構(gòu)和私營(yíng)機(jī)構(gòu)成功、有效信息交換的必要條件。參與信息交換的組織可以增加對(duì)事件和風(fēng)險(xiǎn)的了解和理解，以強(qiáng)化韌性。有效的信息交換布置可以為此類(lèi)參與組織帶來(lái)其它效益，其中包括：——為通常可能無(wú)法獲得訪(fǎng)問(wèn)權(quán)限的組織提供指導(dǎo)；——通過(guò)其它方式開(kāi)放限制信息來(lái)強(qiáng)化能力；——?jiǎng)?chuàng)建集中式信息交換以支持共享；——提高信息分發(fā)能力；——通過(guò)關(guān)懷和共享的建立社群責(zé)任感。本文件分為三大部分：基本原則、框架以及流程?；驹瓌t為本文檔的核心內(nèi)容?？蚣艽_定了發(fā)展信息交換框架的必要要素。流程描述了發(fā)布和維護(hù)該機(jī)制（協(xié)議）的信息交換程序。圖1 原則、框架和流程間的關(guān)系PAGEPAGE15安全與韌性社區(qū)韌性組織間信息交互指南范圍本文件適用于需要建立支持信息交換條件相關(guān)指導(dǎo)的私人和公共組織，主要側(cè)重于方法論。本文件不適用于技術(shù)層面。規(guī)范性引用文件（包括所有的修改單適用于本文件。ISO22300安全與韌性－術(shù)語(yǔ)（Securityandresilience－Vocabulary）術(shù)語(yǔ)和定義ISO22300界定的以及下列術(shù)語(yǔ)和定義適用于本文件。3.1敏感信息sensitiveinformation對(duì)個(gè)人、組織、國(guó)家安全或公共安全可能產(chǎn)生不利影響而不公開(kāi)披露的信息。[來(lái)源：ISO22300：2018，3.244，有修改]基本原則信息交換的總體目標(biāo)是作為信息決策制定的一部分在可信賴(lài)組織間共享信息，以提高安全性和韌性（參見(jiàn)附錄B）。然而每次的信息交換因參與組織的特定需求和資源而具有獨(dú)特性，因此應(yīng)制定共同的原則來(lái)指導(dǎo)信息交換機(jī)制，以及信息交換的評(píng)估和持續(xù)改進(jìn)。指導(dǎo)原則為有效開(kāi)展信息交互，組織宜：信任與意愿基于信息交互（包括敏感信息）的信任和意愿。創(chuàng)造價(jià)值基于互利的基礎(chǔ)上，創(chuàng)造和保護(hù)組織的價(jià)值。信息保護(hù)信息交互需要對(duì)每個(gè)參與組織指定的敏感信息達(dá)成相互理解。結(jié)構(gòu)化與系統(tǒng)化流程各組織在信息政策、流程和慣例、相關(guān)立法以及隱私原則的范圍內(nèi)分享信息，并且在具備時(shí)效性、系統(tǒng)化及結(jié)構(gòu)化的框架中執(zhí)行。共享承諾宜建立在給予和接收信息的共同承諾之上，以確保組織間互利的關(guān)系。決策支持交互的信息被用于幫助組織作出決策并指導(dǎo)日常運(yùn)營(yíng)。安全與完整性可靠且有效的安全與完整性控制措施可實(shí)現(xiàn)高效的信息交互。持續(xù)改進(jìn)參與組織開(kāi)展定期評(píng)估，以實(shí)現(xiàn)信息交互的持續(xù)改進(jìn)?？蚣芨攀隹蚣転閰⑴c組織確保有效的信息交互提供動(dòng)態(tài)感知、理解和決策制定依據(jù)。圖2給出了確立和維護(hù)信息交互框架的各組成部分。圖2框架組成示意圖領(lǐng)導(dǎo)力與承諾同時(shí)對(duì)該機(jī)制的組成部分進(jìn)行適應(yīng)性調(diào)整，并為確保其有效執(zhí)行提供必要的支持。最高領(lǐng)導(dǎo)層應(yīng)當(dāng)：確定價(jià)值創(chuàng)造過(guò)程中信息交換的目標(biāo)；定義和認(rèn)可同一信息交換框架；確保組織的承諾和貢獻(xiàn)；分配參與者的職責(zé)及責(zé)任；確保分配必要的資源用于信息交換；說(shuō)明在約定范圍內(nèi)共享信息帶來(lái)的收益；確定符合參與組織利益和背景的信息交換業(yè)績(jī)標(biāo)準(zhǔn)；確保遵循其組織的各項(xiàng)政策；制定一份包含這些承諾的政策文件。環(huán)境分析設(shè)計(jì)和實(shí)施信息交換框架之前，參與組織應(yīng)當(dāng)評(píng)估和了解影響設(shè)計(jì)的內(nèi)外部環(huán)境。參與組織的外部環(huán)境評(píng)估可包括：—運(yùn)行環(huán)境；—影響環(huán)境的關(guān)鍵驅(qū)動(dòng)因素和趨勢(shì)；—與其利益相關(guān)方的關(guān)系。參與組織的內(nèi)部環(huán)境評(píng)估可包括：—確定組織的哪些部分將參與；—確定屬于流程組成部分的對(duì)應(yīng)組織代表。設(shè)計(jì)與建立框架設(shè)計(jì)信息交換框架時(shí)，參與組織的最高管理層應(yīng)當(dāng)考慮：信息傳播的管理模式、組織結(jié)構(gòu)、角色、職責(zé)以及原則；必要的資源、能力（如資金、時(shí)間、人員、專(zhuān)業(yè)技能）；正式以及非正式?jīng)Q策流程；內(nèi)部利益相關(guān)方的認(rèn)知與價(jià)值觀，以及與其的關(guān)系；組織文化。實(shí)施實(shí)施框架的時(shí)候，參與組織應(yīng)當(dāng)：與利益相關(guān)方溝通和協(xié)商，以確保框架仍然適當(dāng)；確保信息決策制定（包括目標(biāo)的制定與設(shè)立）與信息交換的產(chǎn)出保持一致。監(jiān)督與審查為確保信息交換的有效性并持續(xù)促進(jìn)組織機(jī)能，參與組織宜：評(píng)估信息交換既定目標(biāo)的績(jī)效和進(jìn)展情況；審查信息交換過(guò)程的文件（比如風(fēng)險(xiǎn)管理計(jì)劃）；審查框架；審查各個(gè)參與組織貢獻(xiàn)的均衡性。參與組織應(yīng)當(dāng)在監(jiān)督和審核流程中為其他參與組織提供支持。持續(xù)改進(jìn)參與組織應(yīng)當(dāng)利用監(jiān)督和審查進(jìn)程的產(chǎn)出，持續(xù)改善信息交換框架。記錄所吸取的經(jīng)驗(yàn)教訓(xùn)，并在各參與組織之間分享。流程概述信息交換流程概要圖（圖3）。圖3信息交互流程的概要參與組織應(yīng)當(dāng)：建立并運(yùn)行信息交換機(jī)制，允許每個(gè)組織學(xué)習(xí)其他組織的建議、成功經(jīng)驗(yàn)、錯(cuò)誤教訓(xùn)；將信息交換機(jī)制嵌入到每個(gè)組織的常規(guī)運(yùn)行流程之中；根據(jù)每個(gè)機(jī)構(gòu)的當(dāng)?shù)匾蠛铜h(huán)境定制并優(yōu)化信息交換機(jī)制；確保交換的信息接受信息安全程序的約束。確立需求參與組織應(yīng)當(dāng)：設(shè)定信息交換的結(jié)構(gòu)；闡明信息交換的目標(biāo)和參數(shù)；確定表達(dá)意見(jiàn)和影響信息交換進(jìn)程的時(shí)機(jī)；審查信息交換流程，以確認(rèn)每個(gè)組織都能與框架的范圍和職能相對(duì)應(yīng)；通過(guò)采用適當(dāng)方法及技術(shù)，確保參與組織之間建立信任。意向確立機(jī)構(gòu)應(yīng)當(dāng)通過(guò)意向書(shū)或者其他承諾的方式來(lái)表明自身參與信息交換的意愿。組織準(zhǔn)備參與組織應(yīng)當(dāng)制訂信息共享的政策及實(shí)施規(guī)程，其中考慮：可交換的信息類(lèi)型；有獲取價(jià)值的信息類(lèi)型；對(duì)其他參與組織有價(jià)值的信息。外部參與組織應(yīng)制定處理已共享信息的程序和協(xié)議，以便確定：信息敏感性；信息交換價(jià)值；對(duì)方如何對(duì)此信息給予有價(jià)值的信息回應(yīng)。定義信息交互結(jié)構(gòu)概述目的參與組織應(yīng)澄清信息交流的目的，解釋每個(gè)組織與信息交流機(jī)制的關(guān)系，并具體說(shuō)明：在信息交換安排中提供信息的一般流程；信息交換的各項(xiàng)實(shí)際問(wèn)題；所需的信息類(lèi)型；就所交流的信息提供投入或想法的方式。成員指導(dǎo)方針參加組織應(yīng)制定參與信息交流安排的準(zhǔn)則，例如：概述宗旨與目標(biāo)；如何解決保密問(wèn)題；管理事項(xiàng)；特定目的的說(shuō)明和澄清；會(huì)議頻率及類(lèi)型；財(cái)務(wù)承諾規(guī)范；法律承諾規(guī)范；參與組織的權(quán)利；如何管理參與組織的成員資格；如何任命信息交換主理人；信息傳播準(zhǔn)則。信息分類(lèi)體系信息分類(lèi)是擁有信息的（私營(yíng)或者公共）機(jī)構(gòu)的專(zhuān)有決策，而且根據(jù)運(yùn)營(yíng)情況及信息的敏感性來(lái)決定。以下為信息分類(lèi)體系示例?！畔踩芾硐到y(tǒng)（詳情參見(jiàn)ISO/IEC27000系列標(biāo)準(zhǔn)）：框架通過(guò)管理風(fēng)險(xiǎn)，為有關(guān)各方建立信任來(lái)確保其信息的機(jī)密性及其正確性和可用性。（TLP，Thetrafficlightprotocol）：TLPTLP（詳A）運(yùn)行和維護(hù)信息交互概述參與組織應(yīng)當(dāng)鼓勵(lì)召開(kāi)面對(duì)面會(huì)議，并且商定建立共享信息平臺(tái)，以使信息交流切實(shí)有效。會(huì)議參與組織在創(chuàng)建功能性信息交換的時(shí)候，應(yīng)當(dāng)考慮以下幾點(diǎn)：會(huì)議的頻率；會(huì)議類(lèi)型；出席要求；個(gè)人參與的義務(wù)（比如不允許代理）；對(duì)與會(huì)者個(gè)人信任的期望；非公開(kāi)會(huì)議時(shí)的信息共享；達(dá)成一致的會(huì)議條件；私營(yíng)及公共機(jī)構(gòu)的聯(lián)合主席；各工作組的實(shí)踐活動(dòng)；參與會(huì)議的規(guī)則。信息共享平臺(tái)參與組織應(yīng)考慮如何在面對(duì)面會(huì)議之外利用共享平臺(tái)進(jìn)行信息交流。技術(shù)方面參與組織應(yīng)當(dāng)選擇適當(dāng)?shù)募夹g(shù)平臺(tái)，并針對(duì)信息交換的各種技術(shù)事宜做出決定，從會(huì)議室安全到不參加會(huì)議時(shí)可用于信息交流的安全通信?？尚诺男畔⒐蚕砀叨纫蕾?lài)于適當(dāng)?shù)某绦?，因此敏感信息為匿名，并只能以適當(dāng)?shù)母袷椒职l(fā)。信息交換的技術(shù)情況應(yīng)處于持續(xù)發(fā)展?fàn)顟B(tài)，而且應(yīng)包括可提高安全水平的最佳實(shí)踐。注：本文件未規(guī)定技術(shù)要求，而是確定了信息交換中采用技術(shù)支持的基本原則。監(jiān)督與審查概述（特定或周期性檢查或監(jiān)督的計(jì)劃進(jìn)程的一部分。應(yīng)明確界定監(jiān)督和審查的責(zé)任。監(jiān)督和審查過(guò)程應(yīng)涵蓋風(fēng)險(xiǎn)管理過(guò)程的所有方面，以便：確?？刂拼胧┰谠O(shè)計(jì)以及運(yùn)行上的有效性和高效性；獲取進(jìn)一步信息以改進(jìn)信息交換；從活動(dòng)（包括未遂事件）、變化、趨勢(shì)、成功以及失敗中吸取經(jīng)驗(yàn)教訓(xùn)；檢測(cè)外部和內(nèi)部環(huán)境的變化；識(shí)別影響效率的新風(fēng)險(xiǎn)。持續(xù)改進(jìn)參與組織應(yīng)持續(xù)改進(jìn)信息交換效率，認(rèn)識(shí)到持續(xù)改進(jìn)：應(yīng)在計(jì)劃-執(zhí)行-檢查-行動(dòng)（PDCA）模式下運(yùn)作；應(yīng)由評(píng)估、監(jiān)測(cè)和分析監(jiān)測(cè)事件、糾正措施和管理評(píng)審驅(qū)動(dòng)；需要一個(gè)能正確識(shí)別問(wèn)題以及非合規(guī)項(xiàng)并對(duì)其進(jìn)行糾正的流程。持續(xù)改進(jìn)流程應(yīng)當(dāng)：考慮問(wèn)題的性質(zhì)以及問(wèn)題存在的環(huán)境；包括改變環(huán)境，確保不重復(fù)出現(xiàn)問(wèn)題；包括在前一步驟的基礎(chǔ)上建立和改進(jìn)，以確保改進(jìn)涵蓋更多事項(xiàng)而不僅是最初發(fā)現(xiàn)的問(wèn)題，并對(duì)組織產(chǎn)生更寬泛、更可持續(xù)的影響；遵循與用于糾正措施相同的基本流程，包括下列各項(xiàng)：識(shí)別需要解決問(wèn)題及當(dāng)前狀況（非合規(guī)項(xiàng)）；識(shí)別當(dāng)前的流程及控制措施（根本原因）；判定需要實(shí)施的具體變更（糾正措施）。附錄 A（資料性）交通燈協(xié)議（TLP）交通燈協(xié)議（TLP）是一套命名法，用于確保與正確的受眾共享敏感信息。它采用四種顏色來(lái)注明不同的敏感程度，以及接收方采納的相應(yīng)的共享注意事項(xiàng)，具體解釋見(jiàn)表A.1。表A.1交通燈方案顏色含義TLP：紅色信息嚴(yán)格僅限于指定的接收方。接收方不得與任何第三方共享信息。示例：一對(duì)一，在會(huì)上或者通過(guò)直接電子郵件通知人員。TLP：黃色分發(fā)被限定為接收方的組織，采取按需知悉的原則。信息來(lái)源方允許（而且預(yù)期）進(jìn)一步指定接收方必須遵循的發(fā)放限制。示例：一對(duì)多，專(zhuān)門(mén)提供給需要采取行動(dòng)的組織。TLP：綠色分發(fā)被限定為特定社群。但是，接收方不得向社群之外發(fā)布或通過(guò)公開(kāi)可訪(fǎng)問(wèn)的渠道共享信息。示例：一對(duì)眾多，告知社群或者一組組織。TLP：白色信息的分發(fā)不受限制，不過(guò)需要接受標(biāo)準(zhǔn)版權(quán)規(guī)則的制約。示例：一對(duì)任意，公開(kāi)共享的信息。[來(lái)源：參考文獻(xiàn)9，有修改。]附錄 B（資料性）示例能源領(lǐng)域跨界信息共享示例建立信息交換