信息安全技術(shù)關鍵信息基礎設施安全檢查評價指引-全國信息安全

1、1國家標準國家標準《信息安全技術(shù)信息安全技術(shù)關鍵信息基礎設施安全檢關鍵信息基礎設施安全檢查評估指南查評估指南》編制說明編制說明一、工作簡況1.1任務來源根據(jù)《中華人民共和國網(wǎng)絡安全法》要求，關鍵信息基礎設施要求在網(wǎng)絡安全等級保護制度的基礎上，實行重點保護，具體范圍和安全保護辦法由國務院制定。網(wǎng)絡安全法中明確要求關鍵信息基礎設施的運營者應當自行或者委托網(wǎng)絡安全服務機構(gòu)對其網(wǎng)絡的安全性和可能存在的風險每年至少進行一次檢測評估，此外規(guī)定了國家

2、網(wǎng)信部門應當統(tǒng)籌協(xié)調(diào)有關部門對關鍵信息基礎設施的安全風險進行抽查檢測，提出改進措施，必要時可以委托網(wǎng)絡安全服務機構(gòu)對網(wǎng)絡存在的安全風險進行檢測評估。為了落實網(wǎng)絡安全法要求，規(guī)范關鍵信息基礎設施檢測評估相關方法、流程，全國信息安全標準化技術(shù)委員會于2016年立項《信息安全技術(shù)關鍵信息基礎設施安全檢查評估指南》國家標準，2016年7月，中央網(wǎng)信辦網(wǎng)絡安全協(xié)調(diào)局下達《國家標準制定》委托任務書，委托中國互聯(lián)網(wǎng)絡信息中心開展該標準的研制工作，并將

3、本項目標識為WG7組重點標準?！缎畔踩夹g(shù)關鍵信息基礎設施安全檢查評估指南》由中國互聯(lián)網(wǎng)絡信息中心牽頭，國家計算機網(wǎng)絡應急技術(shù)處理協(xié)調(diào)中心，國家信息技術(shù)安全研究中心、中國信息安全測評中心，工業(yè)和信息化部電子科學技術(shù)情報研究所（更名為國家工業(yè)信息安全發(fā)展研究中心）等單位共同參與起草。1.2主要工作過程2017年1月至3月，《信息安全技術(shù)關鍵信息基礎設施安全檢查評估指南》由中國互聯(lián)網(wǎng)絡信息中心牽頭，國家計算機網(wǎng)絡應急技術(shù)處理協(xié)調(diào)中心，國家

4、信息技術(shù)安全研究中心、中國信息安全測評中心，工業(yè)和信息化部電子科學技術(shù)情報研究所等單位共同參與討論，討論研究指南的編制，并形成標準討論稿，向中央網(wǎng)信辦領導匯報標準編制進展，并向全國信息安全標準化技術(shù)委員會提交項目申請。2017年4月，標準通過全國信息安全標準化技術(shù)委員會WG7組會議討論。3息基礎設施檢測評估相關方法、流程，定義了檢測評估的主要內(nèi)容，從而提升關鍵信息基礎設施的網(wǎng)絡安全防護能力。本標準提供了關鍵信息基礎設施檢查評估工作的方法

5、、流程和內(nèi)容，定義了關鍵信息基礎設施檢查評估所采用的方法，規(guī)定了關鍵信息基礎設施檢查評估工作準備、實施、總結(jié)各環(huán)節(jié)的流程要求，以及在檢查評估具體要求和內(nèi)容。本標準適用于指導關鍵信息基礎設施運營者、網(wǎng)絡安全服務機構(gòu)相關的人員開展關鍵信息基礎設施檢查評估相關工作。本標準可用于：1）關鍵信息基礎設施運營單位自行開展安全檢測評估工作參考。2）網(wǎng)絡安全服務機構(gòu)對關鍵信息基礎設施實施檢測評估工作參考。3）網(wǎng)絡安全檢測產(chǎn)品研發(fā)機構(gòu)研發(fā)檢查工具，創(chuàng)新安

6、全應用參考。本標準適用對象是關鍵息基礎設施運營單位負責信息安全工作的實施者和其他實施安全檢測評估工作的相關人員。2.2主要內(nèi)容關鍵信息基礎設施檢查評估工作是依據(jù)國家有關法律與法規(guī)要求，參考國家和行業(yè)安全標準，針對關鍵信息基礎設施安全要求，通過一定的方法和流程，對信息系統(tǒng)安全狀況進行評估，最后給出檢查評估對象的整體安全狀況的報告。檢查評估工作由合規(guī)檢查、技術(shù)檢測和分析評估三個主要方法組成，每個方法包含若干內(nèi)容和項目。合規(guī)檢查合規(guī)檢查是通過