信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評價指引-全國信息安全

1、國家標(biāo)準(zhǔn)信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評估指南編制說明一、工作簡況1.1 任務(wù)來源 根據(jù)中華人民共和國網(wǎng)絡(luò)安全法要求，關(guān)鍵信息基礎(chǔ)設(shè)施要求在網(wǎng)絡(luò) 安全等級保護(hù)制度的基礎(chǔ)上， 實行重點保護(hù)， 具體范圍和安全保護(hù)辦法由國務(wù)院 制定。網(wǎng)絡(luò)安全法中明確要求關(guān)鍵信息基礎(chǔ)設(shè)施的運營者應(yīng)當(dāng)自行或者委托網(wǎng)絡(luò) 安全服務(wù)機(jī)構(gòu)對其網(wǎng)絡(luò)的安全性和可能存在的風(fēng)險每年至少進(jìn)行一次檢測評估， 此外規(guī)定了國家網(wǎng)信部門應(yīng)當(dāng)統(tǒng)籌協(xié)調(diào)有關(guān)部門對關(guān)鍵信息基礎(chǔ)設(shè)施的安全風(fēng) 險進(jìn)行抽查檢測， 提出改進(jìn)措施， 必要時可以委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對網(wǎng)絡(luò)存在 的安全風(fēng)險進(jìn)行檢測評估。為了落實網(wǎng)絡(luò)安全法要求，規(guī)范關(guān)鍵信息基礎(chǔ)設(shè)施檢測評估相關(guān)

2、方法、流 程，全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會于 2016 年立項信息安全技術(shù) 關(guān)鍵信息基 礎(chǔ)設(shè)施安全檢查評估指南國家標(biāo)準(zhǔn)， 2016 年 7 月，中央網(wǎng)信辦網(wǎng)絡(luò)安全協(xié)調(diào) 局下達(dá) 信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評估指南 國家標(biāo)準(zhǔn)制定 委托任務(wù)書， 委托中國互聯(lián)網(wǎng)絡(luò)信息中心開展該標(biāo)準(zhǔn)的研制工作， 并將本項目標(biāo) 識為 WG7 組重點標(biāo)準(zhǔn)。信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評估指南 由中國互聯(lián)網(wǎng)絡(luò)信 息中心牽頭， 國家計算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心， 國家信息技術(shù)安全研究中 心、中國信息安全測評中心， 工業(yè)和信息化部電子科學(xué)技術(shù)情報研究所 （更名為 國家工業(yè)信息安全發(fā)展研究中心）等單位共同參

3、與起草。1.2 主要工作過程2017年 1月至 3月，信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評估指南 由中國互聯(lián)網(wǎng)絡(luò)信息中心牽頭， 國家計算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心， 國家信 息技術(shù)安全研究中心、 中國信息安全測評中心， 工業(yè)和信息化部電子科學(xué)技術(shù)情 報研究所等單位共同參與討論， 討論研究指南的編制， 并形成標(biāo)準(zhǔn)討論稿， 向中 央網(wǎng)信辦領(lǐng)導(dǎo)匯報標(biāo)準(zhǔn)編制進(jìn)展， 并向全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會提交項目 申請。2017年 4月，標(biāo)準(zhǔn)通過全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會 WG7 組會議討論。2017年 4月，本標(biāo)準(zhǔn)獲得由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會立項。2017年 4月，向中央網(wǎng)信辦領(lǐng)導(dǎo)匯報標(biāo)準(zhǔn)進(jìn)展工

4、作，擬作為中央網(wǎng)信辦布 置關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查工作的參考標(biāo)準(zhǔn)。2016年 5月，正式成立標(biāo)準(zhǔn)編制組，標(biāo)準(zhǔn)編制組由五家主要參與單位共同 組成，集中討論集中辦公，討論標(biāo)準(zhǔn)的框架、方法論、具體的內(nèi)容等。2016年5月25日，召開第一次專家會， 地點在中央網(wǎng)信辦， 由項目組向中 央網(wǎng)信辦網(wǎng)絡(luò)安全協(xié)調(diào)局楊春艷副局長、各相關(guān)處室負(fù)責(zé)同志及 WG7 專家進(jìn)行 了匯報，5位WG7專家對標(biāo)準(zhǔn)提出了修改意見。2016 年 6-7 月，標(biāo)準(zhǔn)編制組繼續(xù)集中辦公，集中討論，并根據(jù)第一次專家 會意見逐一進(jìn)行修訂， 此外與其他安全廠商、 科研單位進(jìn)行交流， 就本標(biāo)準(zhǔn)指標(biāo) 方法聽取意見，并最終形成標(biāo)準(zhǔn)第二稿。2016年7

5、月18日，召開第二次 WG7專家會，由項目組向?qū)＜覅R報了標(biāo)準(zhǔn) 項目進(jìn)展，以及根據(jù)第一次專家會議的專家意見修訂情況， 5 位 WG7 專家對標(biāo) 準(zhǔn)提出了更進(jìn)一步的修改意見， 隨后項目組召開標(biāo)準(zhǔn)討論封閉會議， 根據(jù)此次專 家會意見對草案作了進(jìn)一步修訂，形成了第三稿。2017 年 7 月 21 日，參加 WG7 組會議，匯報了項目進(jìn)展和標(biāo)準(zhǔn)修訂情況， 會議決議最終該標(biāo)準(zhǔn)可以進(jìn)入征求意見階段， 并根據(jù)標(biāo)準(zhǔn)周答辯專家意見對標(biāo)準(zhǔn) 草案進(jìn)行部分修訂，完善草案內(nèi)容。二、編制原則和主要內(nèi)容2.1 編制原則 根據(jù)中華人民共和國網(wǎng)絡(luò)安全法要求，關(guān)鍵信息基礎(chǔ)設(shè)施要求在網(wǎng)絡(luò) 安全等級保護(hù)制度的基礎(chǔ)上， 實行重點保護(hù)，

6、具體范圍和安全保護(hù)辦法由國務(wù)院 制定。網(wǎng)絡(luò)安全法中明確要求關(guān)鍵信息基礎(chǔ)設(shè)施的運營者應(yīng)當(dāng)自行或者委托網(wǎng)絡(luò) 安全服務(wù)機(jī)構(gòu)對其網(wǎng)絡(luò)的安全性和可能存在的風(fēng)險每年至少進(jìn)行一次檢測評估， 此外規(guī)定了國家網(wǎng)信部門應(yīng)當(dāng)統(tǒng)籌協(xié)調(diào)有關(guān)部門對關(guān)鍵信息基礎(chǔ)設(shè)施的安全風(fēng) 險進(jìn)行抽查檢測， 提出改進(jìn)措施， 必要時可以委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對網(wǎng)絡(luò)存在 的安全風(fēng)險進(jìn)行檢測評估。關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評估指南是落實網(wǎng)絡(luò)安全法要求，規(guī)范關(guān)鍵信息基礎(chǔ)設(shè)施檢測評估相關(guān)方法、 流程，定義了檢測評估的主要內(nèi)容， 從而提升關(guān)鍵信息基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全防護(hù)能力。本標(biāo)準(zhǔn)提供了關(guān)鍵信息基礎(chǔ)設(shè)施檢查評估工作的方法、流程和內(nèi)容，定義 了關(guān)鍵信息基礎(chǔ)設(shè)

7、施檢查評估所采用的方法， 規(guī)定了關(guān)鍵信息基礎(chǔ)設(shè)施檢查評估 工作準(zhǔn)備、實施、總結(jié)各環(huán)節(jié)的流程要求，以及在檢查評估具體要求和內(nèi)容。本標(biāo)準(zhǔn)適用于指導(dǎo)關(guān)鍵信息基礎(chǔ)設(shè)施運營者、網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)相關(guān)的人 員開展關(guān)鍵信息基礎(chǔ)設(shè)施檢查評估相關(guān)工作。本標(biāo)準(zhǔn)可用于：1）關(guān)鍵信息基礎(chǔ)設(shè)施運營單位自行開展安全檢測評估工作參考。2）網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對關(guān)鍵信息基礎(chǔ)設(shè)施實施檢測評估工作參考。3）網(wǎng)絡(luò)安全檢測產(chǎn)品研發(fā)機(jī)構(gòu)研發(fā)檢查工具，創(chuàng)新安全應(yīng)用參考。 本標(biāo)準(zhǔn)適用對象是關(guān)鍵息基礎(chǔ)設(shè)施運營單位負(fù)責(zé)信息安全工作的實施者和 其他實施安全檢測評估工作的相關(guān)人員。2.2 主要內(nèi)容 關(guān)鍵信息基礎(chǔ)設(shè)施檢查評估工作是依據(jù)國家有關(guān)法律與法規(guī)要

8、求， 參考國家 和行業(yè)安全標(biāo)準(zhǔn)， 針對關(guān)鍵信息基礎(chǔ)設(shè)施安全要求， 通過一定的方法和流程， 對 信息系統(tǒng)安全狀況進(jìn)行評估，最后給出檢查評估對象的整體安全狀況的報告。檢查評估工作由合規(guī)檢查、 技術(shù)檢測和分析評估三個主要方法組成， 每個方 法包含若干內(nèi)容和項目。合規(guī)檢查合規(guī)檢查是通過一定的手段驗證檢查評估對象是否遵從國家相關(guān)法律法規(guī)、 政策標(biāo)準(zhǔn)、 行業(yè)標(biāo)準(zhǔn)規(guī)定的強(qiáng)制要求， 輸出是否合規(guī)的結(jié)論， 對不合規(guī)的具體項 目進(jìn)行說明，采取的方法包括現(xiàn)場資料核實、人員訪談、配置核查等形式。技術(shù)檢測 技術(shù)檢測分為主動方式和被動方式， 主動方式是采用專業(yè)安全工具， 配合專業(yè)安全人員，選取合適的技術(shù)檢測接入點，通過漏

9、洞掃描、滲透測試、社會工程 學(xué)等常用的安全測試手段， 采取遠(yuǎn)程檢測和現(xiàn)場檢測相結(jié)合的方式， 發(fā)現(xiàn)其安全 性和可能存在的風(fēng)險隱患， 也可參考其他安全檢測資料和報告， 對技術(shù)檢測結(jié)果 進(jìn)行驗證。被動方式是輔助監(jiān)測分析手段， 通過選取合適的監(jiān)測接入點， 部署相應(yīng)的監(jiān) 測工具，實時監(jiān)測并分析檢查評估對象的安全狀況， 發(fā)現(xiàn)其存在的安全漏洞、 安 全隱患。兩種技術(shù)檢測方式最終輸出技術(shù)檢測結(jié)果。分析評估分析評估是圍繞關(guān)鍵信息基礎(chǔ)設(shè)施承載業(yè)務(wù)特點， 對關(guān)鍵信息基礎(chǔ)設(shè)施的關(guān) 鍵屬性進(jìn)行識別和分析， 依據(jù)技術(shù)檢測發(fā)現(xiàn)的安全隱患和問題， 參考風(fēng)險評估方 法，對關(guān)鍵屬性面臨的風(fēng)險進(jìn)行風(fēng)險分析， 進(jìn)而對關(guān)鍵信息基礎(chǔ)設(shè)施

10、的整體安全 狀況的評估。標(biāo)準(zhǔn)充分考慮了當(dāng)前已有的等級保護(hù)相關(guān)標(biāo)準(zhǔn)、風(fēng)險評估標(biāo)準(zhǔn)、及其他行 業(yè)安全標(biāo)準(zhǔn)，與正在制定的其他 WG7 系列標(biāo)準(zhǔn)一起，共同形成了支撐關(guān)鍵信息 基礎(chǔ)設(shè)施安全保障的標(biāo)準(zhǔn)體系。本標(biāo)準(zhǔn)與其他國內(nèi)標(biāo)準(zhǔn)的關(guān)聯(lián)性分析：GB/T 22081-2016信息安全技術(shù)信息系統(tǒng)等級保護(hù)基本要求 是本標(biāo)準(zhǔn) 引用的標(biāo)準(zhǔn)之一， 本標(biāo)準(zhǔn)在編制之初就深刻理解網(wǎng)絡(luò)安全法中 “關(guān)鍵信息基礎(chǔ)設(shè) 施要求在網(wǎng)絡(luò)安全等級保護(hù)制度的基礎(chǔ)上，實行重點保護(hù)， ”的要求，在合規(guī)檢 查的內(nèi)容中重點強(qiáng)調(diào)了對等級保護(hù)制度落實情況的檢查。GB/T 20984-2007 信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范也是本標(biāo)準(zhǔn)引用的 標(biāo)準(zhǔn)之一，

11、本標(biāo)準(zhǔn)在第 9 節(jié)引入了風(fēng)險評估的方法論， 通過對關(guān)鍵信息基礎(chǔ)設(shè)施 的關(guān)鍵性分析， 并根據(jù)合規(guī)檢查和技術(shù)檢測發(fā)現(xiàn)的問題進(jìn)一步進(jìn)行風(fēng)險分析， 最 后根據(jù)風(fēng)險分析的結(jié)果定性分析出整體安全狀況的評價。此外，正在制訂的標(biāo)準(zhǔn)草案信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保 護(hù)要求定義了關(guān)鍵信息基礎(chǔ)設(shè)施， 并對關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)提出了具體的要 求，而本標(biāo)準(zhǔn)中有專門的項是對改要求的驗證， 強(qiáng)調(diào)的是評估流程的標(biāo)準(zhǔn)化、 評 估內(nèi)容標(biāo)準(zhǔn)化，以及評估結(jié)果的標(biāo)準(zhǔn)化 。此外，正在制定的標(biāo)準(zhǔn)草案信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保障指標(biāo)體系與該標(biāo)準(zhǔn)關(guān)聯(lián)，該標(biāo)準(zhǔn)的輸出評估結(jié)果可以用于標(biāo)準(zhǔn)的量化計算。 。三、采用國際標(biāo)準(zhǔn)和國外先進(jìn)標(biāo)準(zhǔn)的程度，以及與國際、國外同類標(biāo)準(zhǔn)水平的對比情況，或與測試的國外樣品、樣機(jī)的有關(guān)數(shù)據(jù)對比情況 編