協(xié)同聯(lián)防:以信息共享為基礎(chǔ),積極構(gòu)建相關(guān)方廣泛參與的信息共享、協(xié)同聯(lián)動的共同防護(hù)機(jī)制,提升關(guān)鍵信息基礎(chǔ)設(shè)施應(yīng)對大規(guī)模網(wǎng)絡(luò)攻擊能力。與國家有關(guān)平臺對接,實(shí)現(xiàn)協(xié)同聯(lián)動和數(shù)據(jù)共享,能夠做到統(tǒng)一指揮、快速調(diào)度,實(shí)現(xiàn)關(guān)基安全保護(hù)跨部門、跨行業(yè)、跨地域的整體防控和聯(lián)防聯(lián)控。

3《要求》六個(gè)活動詳細(xì)解讀

3.1 分析識別

《要求》中對分析識別的定義如下:分析識別活動指圍繞關(guān)鍵信息基礎(chǔ)設(shè)施(CII)承載的關(guān)鍵業(yè)務(wù),開展業(yè)務(wù)依賴性識別、關(guān)鍵資產(chǎn)識別、風(fēng)險(xiǎn)識別等活動。本活動是開展安全防護(hù)、檢測評估、監(jiān)測預(yù)警、主動防御、事件處置等活動的基礎(chǔ)。同時(shí),在對本方面的業(yè)務(wù)識別、資產(chǎn)識別、風(fēng)險(xiǎn)識別和重大變更的具體安全要求中可以發(fā)現(xiàn),識別關(guān)鍵業(yè)務(wù)和關(guān)鍵業(yè)務(wù)鏈?zhǔn)情_展關(guān)基保護(hù)工作的前提。針對于本項(xiàng)內(nèi)容,長揚(yáng)的理解為以下四點(diǎn):

3.1.1 關(guān)鍵信息基礎(chǔ)設(shè)施和關(guān)鍵業(yè)務(wù)鏈

關(guān)鍵信息基礎(chǔ)設(shè)施(簡稱CII):是指公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)、國防科技工業(yè)籌重要行業(yè)和領(lǐng)域,以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露,可能嚴(yán)重危害國家安全國計(jì)民生、公共利益的重要網(wǎng)絡(luò)設(shè)施、信息系統(tǒng)等。

關(guān)鍵業(yè)務(wù)鏈(Critical Business Chain簡稱CBC):組織的一個(gè)或多個(gè)相互關(guān)聯(lián)的業(yè)務(wù)構(gòu)成的關(guān)鍵業(yè)務(wù)流程。

3.1.2 關(guān)于分析識別中CII要素識別梳理的要點(diǎn)

關(guān)鍵信息基礎(chǔ)設(shè)施(CII)要素識別是指將關(guān)鍵業(yè)務(wù)持續(xù)、穩(wěn)定運(yùn)行不可或缺的資產(chǎn)(一般由軟硬件設(shè)備、組件、信息資源等組成的,能夠按照一定規(guī)則獨(dú)立處理信息的功能單元)從CII運(yùn)營者的所有資產(chǎn)中識別出來,以便重點(diǎn)保護(hù)。(CII)要素識別包括四個(gè)部分:(1)關(guān)鍵業(yè)務(wù)基礎(chǔ)情況梳理,(2)關(guān)鍵業(yè)務(wù)信息化情況梳理,(3)關(guān)鍵業(yè)務(wù)信息(CBI)梳理,(4)CII要素確定。

(1)關(guān)鍵業(yè)務(wù)基礎(chǔ)情況梳理包括基本架構(gòu)梳理、管理模式梳理、運(yùn)行框架梳理、業(yè)務(wù)特征梳理、基礎(chǔ)情況描述。

(2)關(guān)鍵業(yè)務(wù)信息化情況梳理包括業(yè)務(wù)模塊信息化梳理、功能模塊信息化梳理、基礎(chǔ)運(yùn)行環(huán)境信息化梳理、信息化范圍描述。

(3)關(guān)鍵業(yè)務(wù)信息梳理包括類別梳理、功能梳理、生存周期梳理、關(guān)鍵業(yè)務(wù)信息描述。

(4)關(guān)鍵信息基礎(chǔ)設(shè)施要素確定包括要素梳理、要素歸集、要素重要性評估、要素清單、業(yè)務(wù)關(guān)系確定、網(wǎng)絡(luò)位置確定、物理位置確定、管理關(guān)系確定、信息記錄。基本流程圖如下所示:

圖 3 CII要素識別流程圖

3.1.3 關(guān)于分析識別中進(jìn)行風(fēng)險(xiǎn)評估和風(fēng)險(xiǎn)識別的要點(diǎn)

《要求》中提出風(fēng)險(xiǎn)識別應(yīng)參照GB/T 20984等標(biāo)準(zhǔn),對關(guān)鍵業(yè)務(wù)鏈開展安全風(fēng)險(xiǎn)分析,識別關(guān)鍵環(huán)節(jié)的威脅、脆弱性,并形成安全風(fēng)險(xiǎn)報(bào)告。GB/T 20984,即2022年4月15日新發(fā)布的《信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評估方法》GB/T 20984-2022,并替代原《信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評估規(guī)范》GB/T 20984-2007成為新的信息安全風(fēng)險(xiǎn)評估工作實(shí)施指導(dǎo)標(biāo)準(zhǔn)。