本文來自微信公眾號“安全牛”，作者/六方云。
隨著國家層面對于關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)的法律法規(guī)政策體系和標(biāo)準(zhǔn)體系的不斷健全和完善，關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)措施的落實(shí)工作也將隨著GB/T 39204-2022《信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求》的施行而正式拉開帷幕。關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)是一個(gè)系統(tǒng)工程，落實(shí)工作也需要重點(diǎn)突出，步調(diào)明晰，同時(shí)其安全理念、本質(zhì)內(nèi)涵、建設(shè)實(shí)施等，均需要不斷深入研究與設(shè)計(jì)實(shí)踐。
六方云公司在多年的網(wǎng)絡(luò)安全工作實(shí)踐中，不斷總結(jié)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)措施的落地經(jīng)驗(yàn)和方法，為此，提煉出了一套關(guān)基安全建設(shè)思路和20項(xiàng)重點(diǎn)措施，可為關(guān)基運(yùn)營者逐步開展相關(guān)工作提供參考。
▲關(guān)鍵信息基礎(chǔ)設(shè)施安全建設(shè)思路
關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)主要從四大方面落實(shí)具體的措施，包括頂層設(shè)計(jì)與規(guī)劃、基礎(chǔ)性安全保護(hù)措施的落實(shí)、加強(qiáng)型和特殊型安全保護(hù)措施的落實(shí)、網(wǎng)絡(luò)安全綜合能力建設(shè)與提升。
01.
頂層設(shè)計(jì)與規(guī)劃
措施1：建立關(guān)基組織體系和工作體系
設(shè)立網(wǎng)絡(luò)安全工作委員會(huì)或領(lǐng)導(dǎo)小組，由組織主要負(fù)責(zé)人擔(dān)任其領(lǐng)導(dǎo)職務(wù)，明確一名領(lǐng)導(dǎo)班子成員作為首席網(wǎng)絡(luò)安全官，專職管理或分管關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作；設(shè)置專門的網(wǎng)絡(luò)安全管理機(jī)構(gòu)，明確機(jī)構(gòu)負(fù)責(zé)人及崗位；為每個(gè)關(guān)鍵信息基礎(chǔ)設(shè)施明確一名安全管理責(zé)任人；安全管理人員應(yīng)參與網(wǎng)絡(luò)安全和信息化決策；統(tǒng)籌開展網(wǎng)絡(luò)安全等級保護(hù)、關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)、數(shù)據(jù)安全保護(hù)、個(gè)人信息保護(hù)等各項(xiàng)工作，為每個(gè)第三級以上網(wǎng)絡(luò)系統(tǒng)明確網(wǎng)絡(luò)安全責(zé)任人。
措施2：制定關(guān)基安全規(guī)劃和計(jì)劃
關(guān)基運(yùn)營者應(yīng)根據(jù)本行業(yè)或本領(lǐng)域制定的關(guān)鍵信息基礎(chǔ)設(shè)施安全規(guī)劃和行業(yè)標(biāo)準(zhǔn)規(guī)范，制定適合本組織的網(wǎng)絡(luò)安全保護(hù)計(jì)劃，明確關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作的目標(biāo)，從管理體系、技術(shù)體系、運(yùn)營體系、保障體系等方面進(jìn)行規(guī)劃，加強(qiáng)機(jī)構(gòu)、人員、經(jīng)費(fèi)、裝備等資源保障，支撐關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作。
措施3：落實(shí)關(guān)基網(wǎng)絡(luò)安全責(zé)任
制定責(zé)任制管理辦法，明確網(wǎng)絡(luò)安全管理部門、網(wǎng)絡(luò)運(yùn)營者的主體責(zé)任；明確專門安全管理機(jī)構(gòu)具體職責(zé)任務(wù)，承擔(dān)安全管理、應(yīng)急演練、事件處置、教育培訓(xùn)和評價(jià)考核等日常工作，設(shè)置具體崗位，將責(zé)任落實(shí)到人；加強(qiáng)核心崗位人員管理，建立健全人員管理制度；積極配合公安機(jī)關(guān)開展網(wǎng)絡(luò)安全保衛(wèi)、防范打擊違法犯罪活動(dòng)和監(jiān)督檢查，對不配合的，公安機(jī)關(guān)依法進(jìn)行處罰。
措施4：關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定
保護(hù)工作部門按照關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定指南，制定完善認(rèn)定規(guī)則，并組織本行業(yè)或本領(lǐng)域關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定工作，運(yùn)營者在此基礎(chǔ)上開展摸底調(diào)查，梳理排查關(guān)鍵信息基礎(chǔ)設(shè)施建設(shè)、運(yùn)行、管理情況及安全保護(hù)狀況，全面掌握網(wǎng)絡(luò)基礎(chǔ)設(shè)施、重要業(yè)務(wù)系統(tǒng)、重要數(shù)據(jù)等資源底數(shù)和網(wǎng)絡(luò)資產(chǎn)，建立檔案并動(dòng)態(tài)更新，當(dāng)關(guān)鍵信息基礎(chǔ)設(shè)施發(fā)生較大變化時(shí)，運(yùn)營者要及時(shí)報(bào)告保護(hù)工作部門，保護(hù)工作部門應(yīng)當(dāng)在收到報(bào)告后3個(gè)月內(nèi)完成重新認(rèn)定。
02.
落實(shí)基礎(chǔ)性安全保護(hù)措施
措施5：落實(shí)網(wǎng)絡(luò)安全等級保護(hù)制度
運(yùn)營者應(yīng)當(dāng)依法開展網(wǎng)絡(luò)定級備案、安全建設(shè)整改、等級測評和自查等工作，采取管理和技術(shù)措施，保障網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全、網(wǎng)絡(luò)運(yùn)行安全、數(shù)據(jù)安全和信息安全，有效應(yīng)對網(wǎng)絡(luò)安全事件，防范網(wǎng)絡(luò)違法犯罪活動(dòng)。
措施6：構(gòu)建安全可控的物理環(huán)境與通信網(wǎng)絡(luò)
落實(shí)物理機(jī)房環(huán)境保障措施，保護(hù)數(shù)據(jù)機(jī)房、云計(jì)算機(jī)房、重要通信機(jī)房等物理設(shè)施安全；通信線路采用“一主雙備”的多電信運(yùn)營商多路由保護(hù)措施，對網(wǎng)絡(luò)關(guān)鍵節(jié)點(diǎn)和重要設(shè)施實(shí)施“雙節(jié)點(diǎn)”冗余備份；科學(xué)設(shè)計(jì)網(wǎng)絡(luò)架構(gòu)規(guī)劃，合理劃分安全網(wǎng)絡(luò)區(qū)域，避免核心業(yè)務(wù)區(qū)域部署在網(wǎng)絡(luò)邊界；不同網(wǎng)絡(luò)安全等級保護(hù)系統(tǒng)之間、不同業(yè)務(wù)系統(tǒng)之間、不同區(qū)域的系統(tǒng)之間、不同運(yùn)營者運(yùn)營的系統(tǒng)之間的互操作、數(shù)據(jù)交換和信息流向進(jìn)行嚴(yán)格控制。
措施7：構(gòu)建縱深防御的區(qū)域邊界
縮減、歸并網(wǎng)絡(luò)出口，加強(qiáng)邊界管理，在網(wǎng)絡(luò)邊界處部署訪問控制設(shè)備，對進(jìn)出流量數(shù)據(jù)進(jìn)行過濾與監(jiān)測，第三級以上網(wǎng)絡(luò)系統(tǒng)限制非法外聯(lián)，落實(shí)準(zhǔn)入控制措施；制定訪問控制策略、優(yōu)化訪問控制規(guī)則，落實(shí)邊界隔離、跨界訪問控制，第三級以上網(wǎng)絡(luò)系統(tǒng)邊界應(yīng)采取基于應(yīng)用協(xié)議和內(nèi)容的訪問控制措施；提升主動(dòng)防護(hù)能力，第三級以上網(wǎng)絡(luò)系統(tǒng)通過技術(shù)措施準(zhǔn)確識(shí)別來自系統(tǒng)內(nèi)外的攻擊行為，查殺惡意代碼，清除垃圾郵件，提升應(yīng)對新型網(wǎng)絡(luò)攻擊能力；全面收集安全審計(jì)日志，構(gòu)建網(wǎng)絡(luò)安全分析平臺(tái)，溯源網(wǎng)絡(luò)攻擊路徑，預(yù)警和處置網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。
措施8：構(gòu)建高度可信的計(jì)算環(huán)境
建立完善賬戶保護(hù)機(jī)制，結(jié)合實(shí)際應(yīng)用范圍對賬戶最小授權(quán)，對賬戶口令合理配置，審計(jì)用戶的登錄和操作行為，對授予較高權(quán)限的賬戶實(shí)施嚴(yán)格的審計(jì)措施。第三級以上網(wǎng)絡(luò)系統(tǒng)的用戶采用雙因素方式登錄；最小化安裝系統(tǒng)組件和應(yīng)用程序，關(guān)閉多余端口和服務(wù)；重要數(shù)據(jù)傳輸和存儲(chǔ)需建立完整性和保密性保護(hù)措施，對重要數(shù)據(jù)實(shí)施本地和異地備份以及恢復(fù)措施，并定期開展恢復(fù)測試演練。
措施9：建立一體化的安全管理中心
在網(wǎng)絡(luò)中部署運(yùn)維審計(jì)系統(tǒng)、集中管理平臺(tái)等措施，實(shí)現(xiàn)對各類管理員的集中認(rèn)證、授權(quán)及操作審計(jì)；在網(wǎng)絡(luò)中規(guī)劃特定區(qū)域用于集中部署安全管控措施，對分布在網(wǎng)絡(luò)中的安全設(shè)備或安全組件進(jìn)行管控；實(shí)現(xiàn)集中審計(jì)，部署綜合審計(jì)系統(tǒng)實(shí)現(xiàn)對各類審計(jì)信息的集中審計(jì)分析，并確保日志存儲(chǔ)周期超過6個(gè)月；集中部署各類管控系統(tǒng)，實(shí)現(xiàn)對安全策略、惡意代碼、補(bǔ)丁升級等安全相關(guān)事項(xiàng)集中管理。
措施10：定期開展網(wǎng)絡(luò)安全檢測與風(fēng)險(xiǎn)評估
自行或者委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對關(guān)鍵信息基礎(chǔ)設(shè)施安全性和可能存在的風(fēng)險(xiǎn)，每年至少進(jìn)行一次檢測評估，并及時(shí)整改發(fā)現(xiàn)的問題；針對特定的業(yè)務(wù)系統(tǒng)或系統(tǒng)資產(chǎn)，經(jīng)有關(guān)部門批準(zhǔn)或授權(quán)，采取模擬網(wǎng)絡(luò)攻擊方式，檢測關(guān)鍵信息基礎(chǔ)設(shè)施在面對實(shí)際網(wǎng)絡(luò)攻擊時(shí)的防護(hù)和響應(yīng)能力；在安全風(fēng)險(xiǎn)抽查檢測工作中，應(yīng)配合提供網(wǎng)絡(luò)安全管理制度、網(wǎng)絡(luò)拓?fù)鋱D、重要資產(chǎn)清單、關(guān)鍵業(yè)務(wù)鏈、網(wǎng)絡(luò)日志等必要的資料和技術(shù)支持，針對抽查檢測工作中發(fā)現(xiàn)的安全隱患和風(fēng)險(xiǎn)建立清單，制定整改方案，并及時(shí)整改。
03.
落實(shí)加強(qiáng)型和特殊型安全保護(hù)措施
措施11：建立健全完善的安全管理體系
完善安全管理制度，規(guī)范安全管理活動(dòng)中各項(xiàng)管理制度和操作規(guī)程，涉及層面包括但不限于機(jī)構(gòu)人員、物理環(huán)境、網(wǎng)絡(luò)通信、數(shù)據(jù)管理、安全建設(shè)和安全運(yùn)維；加強(qiáng)人員安全管理，規(guī)范內(nèi)部人員錄用、離崗和外部人員訪問，認(rèn)定關(guān)鍵崗位，明確安全責(zé)任和懲戒措施，并有計(jì)劃地開展人員培訓(xùn)和技能考核；強(qiáng)化安全運(yùn)維管理，加強(qiáng)對環(huán)境、資產(chǎn)、介質(zhì)、設(shè)備維護(hù)、配置等方面的管理，嚴(yán)格落實(shí)變更審批程序，制定應(yīng)急預(yù)案并定期開展應(yīng)急演練，提高安全防護(hù)意識(shí)和應(yīng)急處理能力。
措施12：建立和完善數(shù)據(jù)安全保護(hù)措施
按照《數(shù)據(jù)安全法》要求，在落實(shí)網(wǎng)絡(luò)安全等級保護(hù)制度基礎(chǔ)上，建立數(shù)據(jù)安全保護(hù)制度，強(qiáng)化重要數(shù)據(jù)保護(hù)；開展數(shù)據(jù)資產(chǎn)排查，對業(yè)務(wù)系統(tǒng)所承載和處理的數(shù)據(jù)進(jìn)行深入梳理排查，確認(rèn)數(shù)據(jù)類型和資產(chǎn)，明確數(shù)據(jù)權(quán)屬關(guān)系；對數(shù)據(jù)采集、存儲(chǔ)、處理、應(yīng)用、提供和銷毀等各環(huán)節(jié)，全面進(jìn)行風(fēng)險(xiǎn)排查和隱患分析，對數(shù)據(jù)全生命周期進(jìn)行保護(hù)。
措施13：加強(qiáng)供應(yīng)鏈安全保護(hù)措施
加強(qiáng)供應(yīng)鏈安全管理，從機(jī)構(gòu)人員、資金保障、產(chǎn)品服務(wù)、風(fēng)險(xiǎn)管理、安全建設(shè)和安全維護(hù)等多方面予以規(guī)范，并采取相應(yīng)措施確保制度落實(shí)；采購網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品目錄中的設(shè)備產(chǎn)品時(shí)，應(yīng)采購?fù)ㄟ^國家檢測認(rèn)證的設(shè)備和產(chǎn)品；加強(qiáng)供應(yīng)鏈提供方安全準(zhǔn)入管理，對服務(wù)方人員進(jìn)行安全管理，簽訂安全保密協(xié)議，明確安全責(zé)任和義務(wù)；建立供應(yīng)方目錄，定期梳理和更新供應(yīng)鏈企業(yè)、產(chǎn)品、人員清單；針對產(chǎn)品或服務(wù)采購，要求供應(yīng)方同時(shí)提供相關(guān)技術(shù)文檔，并明確產(chǎn)品或服務(wù)的知識(shí)產(chǎn)權(quán)。
措施14：采取多種方式檢驗(yàn)保護(hù)措施的有效性
在公安機(jī)關(guān)指導(dǎo)和支持下，開展網(wǎng)絡(luò)安全演練，集中檢驗(yàn)發(fā)現(xiàn)是否存在重大安全問題隱患，檢驗(yàn)各環(huán)節(jié)安全保護(hù)措施是否有效；開展沙盤推演，科學(xué)設(shè)計(jì)典型業(yè)務(wù)場景，深入分析網(wǎng)絡(luò)安全威脅風(fēng)險(xiǎn)和薄弱環(huán)節(jié)，在沙盤上演繹技術(shù)對抗過程，評價(jià)防護(hù)策略、技術(shù)和措施的有效性，提升應(yīng)對大規(guī)模網(wǎng)絡(luò)攻擊能力；聘請專門的安全檢測機(jī)構(gòu)，遠(yuǎn)程滲透測試與現(xiàn)場檢測相結(jié)合，對第三級以上網(wǎng)絡(luò)系統(tǒng)進(jìn)行全流程、全方位檢測評估，及時(shí)排查和消除重大風(fēng)險(xiǎn)隱患。
04.
建設(shè)提升網(wǎng)絡(luò)安全綜合能力
措施15：落實(shí)實(shí)時(shí)監(jiān)測措施，提升發(fā)現(xiàn)攻擊能力
建設(shè)并應(yīng)用網(wǎng)絡(luò)安全監(jiān)測系統(tǒng)，利用多種手段、多種渠道，采取多種方式，組織內(nèi)部力量和外部支持力量，開展7X24全方位全鏈條實(shí)時(shí)監(jiān)測，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)攻擊、病毒木馬傳播、漏洞隱患等風(fēng)險(xiǎn)威脅，為安全防護(hù)、應(yīng)急處置提供支撐；在互聯(lián)網(wǎng)出口、內(nèi)外網(wǎng)連接處、內(nèi)網(wǎng)重點(diǎn)節(jié)點(diǎn)等，設(shè)置監(jiān)測設(shè)備，對全網(wǎng)、重要系統(tǒng)、關(guān)鍵部位進(jìn)行實(shí)時(shí)監(jiān)測，對跨不同網(wǎng)絡(luò)、不同業(yè)務(wù)、不同區(qū)域間的數(shù)據(jù)流動(dòng)進(jìn)行監(jiān)測，對跨不同網(wǎng)絡(luò)、不同業(yè)務(wù)、不同區(qū)域間的數(shù)據(jù)流動(dòng)進(jìn)行監(jiān)測；分析網(wǎng)絡(luò)通信流量或事態(tài)模型，建立網(wǎng)絡(luò)通信流量或事態(tài)模型，實(shí)踐檢驗(yàn)事態(tài)模型的準(zhǔn)確性和有效性，逐步增強(qiáng)模型的科學(xué)性，并以此調(diào)整監(jiān)測設(shè)備；利用自動(dòng)化手段，建立自動(dòng)化分析機(jī)制，對所有監(jiān)測信息進(jìn)行匯總整合，關(guān)聯(lián)分析來自多方渠道的信息和線索，并進(jìn)行綜合研判，形成有價(jià)值的威脅情報(bào)，支撐網(wǎng)絡(luò)安全保護(hù)和事件處置等工作。
措施16：落實(shí)信息通報(bào)預(yù)警措施，提升通報(bào)預(yù)警能力
依托本單位網(wǎng)絡(luò)與信息安全通報(bào)預(yù)警機(jī)制，及時(shí)接收來自國家、地方、行業(yè)和社會(huì)的網(wǎng)絡(luò)安全情況信息；在網(wǎng)絡(luò)與信息安全通報(bào)機(jī)構(gòu)支持下，對各渠道獲得的信息進(jìn)行匯總、分析、研判，及時(shí)通報(bào)內(nèi)部單位；采用自動(dòng)化報(bào)警方式，建立重點(diǎn)發(fā)現(xiàn)可能危害關(guān)鍵業(yè)務(wù)的監(jiān)測機(jī)制和手段，并能自動(dòng)采取應(yīng)對措施；建設(shè)或依托保護(hù)工作部門信息通報(bào)預(yù)警平臺(tái)，暢通通報(bào)預(yù)警和接收信息渠道。
措施17：落實(shí)重大事件處置措施，提升應(yīng)對突發(fā)事件能力
建立網(wǎng)絡(luò)安全事件管理制度，按照國家有關(guān)網(wǎng)絡(luò)安全事件分類分級規(guī)范和指南，確定不同類別和級別事件處置的指揮流程、處置要求等；按照國家網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案要求，制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案；每年至少組織開展1次應(yīng)急演練，并根據(jù)演練情況對應(yīng)急預(yù)案進(jìn)行評估和改進(jìn)；當(dāng)發(fā)生有可能危害關(guān)鍵業(yè)務(wù)的安全事件時(shí)，應(yīng)及時(shí)向安全管理機(jī)構(gòu)報(bào)告，并組織研判，形成事件報(bào)告。
措施18：落實(shí)獲取網(wǎng)絡(luò)安全威脅信息措施，提升主動(dòng)防御能力
建立威脅信息搜集分析隊(duì)伍，豐富技術(shù)手段，發(fā)揮技術(shù)支撐力量資源優(yōu)勢，對攻擊者進(jìn)行畫像，技術(shù)發(fā)現(xiàn)網(wǎng)絡(luò)攻擊、侵入、竊密、破壞等活動(dòng)；密切跟蹤行業(yè)領(lǐng)域網(wǎng)絡(luò)安全威脅動(dòng)向，全面搜集高危漏洞隱患等高價(jià)值信息，深入開展威脅信息分析研判，挖掘行動(dòng)性、預(yù)警性、綜合性威脅線索；以威脅信息為引領(lǐng)，及時(shí)預(yù)警攻擊活動(dòng)，查找防護(hù)薄弱點(diǎn)，組織實(shí)施安全整改加固，確保有效防御大規(guī)模網(wǎng)絡(luò)攻擊活動(dòng)。
措施19：落實(shí)技術(shù)應(yīng)對措施，提升技術(shù)對抗能力
識(shí)別和減少互聯(lián)網(wǎng)和內(nèi)網(wǎng)資產(chǎn)的互聯(lián)網(wǎng)協(xié)議地址、端口、應(yīng)用服務(wù)等暴露面，壓縮互聯(lián)網(wǎng)出口數(shù)量；減少對外暴露組織架構(gòu)、郵箱賬號、組織通信錄等內(nèi)部信息，防范社會(huì)工程學(xué)攻擊；部署探針和蜜罐等設(shè)備，模擬真實(shí)業(yè)務(wù)場景，捕獲攻擊，分析攻擊路線、攻擊目標(biāo)，設(shè)置多道防線，采取捕獲、干擾、阻斷、封控、加固等多種技術(shù)手段，切斷攻擊路徑，快速處置網(wǎng)絡(luò)攻擊。
措施20：落實(shí)協(xié)調(diào)聯(lián)動(dòng)措施，提升聯(lián)合應(yīng)對能力
在機(jī)構(gòu)的業(yè)務(wù)應(yīng)用、系統(tǒng)建設(shè)、技術(shù)實(shí)施、運(yùn)營運(yùn)維、綜合管理等部門間建立內(nèi)部機(jī)制；與保護(hù)工作部門、行業(yè)內(nèi)上下級單位、直屬機(jī)構(gòu)建立縱向機(jī)制；與公安機(jī)關(guān)、橫向合作單位、技術(shù)支撐機(jī)構(gòu)建立橫向機(jī)制；將內(nèi)部、縱向、橫向三方面機(jī)制有機(jī)結(jié)合，建立一體化機(jī)制，統(tǒng)籌制定機(jī)制運(yùn)轉(zhuǎn)規(guī)范；在國家網(wǎng)絡(luò)安全職能部門、保護(hù)工作部門的支持和指導(dǎo)下，聯(lián)合科研院所、網(wǎng)絡(luò)安全企業(yè)等多方資源力量，開展集中攻關(guān)、技術(shù)監(jiān)測、數(shù)據(jù)治理和應(yīng)急演練等活動(dòng)，提升監(jiān)測發(fā)現(xiàn)、分析研判、應(yīng)急響應(yīng)、追蹤溯源等核心能力。
