關(guān)鍵信息基礎(chǔ)設(shè)施關(guān)乎國(guó)計(jì)民生
關(guān)鍵信息基礎(chǔ)設(shè)施是經(jīng)濟(jì)社會(huì)運(yùn)行的核心樞紐，承載核心系統(tǒng)，提供核心服務(wù)。當(dāng)前，關(guān)鍵信息基礎(chǔ)設(shè)施正是網(wǎng)絡(luò)黑客、APT組織、勒索病毒的重點(diǎn)攻擊目標(biāo)。所以保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施，就是保衛(wèi)國(guó)計(jì)民生，就是捍衛(wèi)網(wǎng)絡(luò)國(guó)防。
關(guān)基挑戰(zhàn)：場(chǎng)景復(fù)雜性與網(wǎng)絡(luò)威脅持續(xù)存在
站在需求的角度，關(guān)基運(yùn)營(yíng)者從技術(shù)方面，主要面臨三方面挑戰(zhàn)：
一、場(chǎng)景更加復(fù)雜。在全面數(shù)字化轉(zhuǎn)型的背景下，新技術(shù)領(lǐng)域和關(guān)鍵信息基礎(chǔ)設(shè)施正在融合耦合，網(wǎng)絡(luò)資產(chǎn)、工作場(chǎng)景大量增加，安全風(fēng)險(xiǎn)與日俱增。
二、威脅持續(xù)演進(jìn)。網(wǎng)絡(luò)攻擊愈演愈烈，造成的影響越來(lái)越大。2015年烏克蘭斷電事件和2019年委內(nèi)瑞拉斷電事件攻擊者仍未溯源。2021年5月，美國(guó)東海岸科洛尼爾管道運(yùn)輸公司遭受勒索軟件攻擊，嚴(yán)重影響17個(gè)州和首都華盛頓特區(qū)的燃油供應(yīng)。
三、安全需求日益提高。在保證數(shù)據(jù)安全的同時(shí)，還需要增加業(yè)務(wù)系統(tǒng)的彈性韌性，實(shí)現(xiàn)關(guān)鍵信息基礎(chǔ)設(shè)施高可用、抗毀傷，在受到攻擊時(shí)依然能夠提供基本的服務(wù)。
另外，關(guān)基運(yùn)營(yíng)者也面臨更嚴(yán)格的法規(guī)遵從。從2017年的《網(wǎng)絡(luò)安全法》，到2021年的《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》都是必須遵從的法律法規(guī)要求。這是安全防護(hù)的基線，也是底線。
應(yīng)對(duì)方式：一大核心、四大支撐和六大能力
為應(yīng)對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的各種挑戰(zhàn)，中國(guó)信息安全領(lǐng)軍企業(yè)北信源將“三化六防”實(shí)戰(zhàn)理念融入關(guān)保建設(shè)當(dāng)中來(lái)，以風(fēng)險(xiǎn)為核心構(gòu)建“關(guān)保”風(fēng)險(xiǎn)治理體系。通過(guò)平臺(tái)大數(shù)據(jù)技術(shù)服務(wù)及四大體系來(lái)全面賦能業(yè)務(wù)安全，從而支撐各行業(yè)部門(mén)關(guān)鍵信息基礎(chǔ)設(shè)施的分析識(shí)別、安全防護(hù)、檢測(cè)評(píng)估、監(jiān)測(cè)預(yù)警、技術(shù)對(duì)抗及事件處置的全環(huán)節(jié)建設(shè)，最終形成六大完全能力。
一大核心：以“風(fēng)險(xiǎn)”為核心
北信源認(rèn)為，關(guān)鍵信息基礎(chǔ)設(shè)施的防護(hù)要以“風(fēng)險(xiǎn)”為核心，這是指所有的安全舉措（風(fēng)險(xiǎn)評(píng)估和治理等）都要圍繞“風(fēng)險(xiǎn)”這個(gè)核心定量指標(biāo)進(jìn)行。“風(fēng)險(xiǎn)”通過(guò)分解成為“責(zé)任-資產(chǎn)-脆弱性-威脅”四個(gè)步驟，將相關(guān)的人、物和事串聯(lián)在一起，將安全措施貫徹在完整的體系中，再通過(guò)風(fēng)險(xiǎn)值的改變反映出來(lái)。風(fēng)險(xiǎn)的評(píng)估和治理以“風(fēng)險(xiǎn)治理平臺(tái)”為依托。
四大支撐：人員服務(wù)體系、技術(shù)產(chǎn)品體系、安全運(yùn)維體系、應(yīng)急響應(yīng)體系
人員服務(wù)體系，指關(guān)保涉及的所有的“人”的集合。人員服務(wù)體系不僅包括所有的安全技術(shù)人員和業(yè)務(wù)的責(zé)任人的信息，還包括人員組織形式、規(guī)章制度，所有人員的培訓(xùn)、演練和工作記錄等。
技術(shù)產(chǎn)品體系，指關(guān)保涉及的所有“物”的集合。技術(shù)產(chǎn)品體系不僅包括等保2.0要求的“一個(gè)中心，三重防護(hù)”所涉及的安全產(chǎn)品，還涉及所有業(yè)務(wù)相關(guān)“信息資產(chǎn)”的供應(yīng)鏈安全評(píng)估和管理工具等。
安全運(yùn)維體系，指關(guān)保脆弱性驅(qū)動(dòng)的所有“事”的集合。安全運(yùn)維體系包括安全體系建設(shè)、運(yùn)行維護(hù)相關(guān)的支撐手段。
應(yīng)急響應(yīng)體系，指關(guān)保威脅驅(qū)動(dòng)的所有的“事”的集合。應(yīng)急響應(yīng)體系包括應(yīng)急響應(yīng)指揮、處置、對(duì)抗、溝通協(xié)調(diào)和演練相關(guān)的支撐手段。
六大能力：圍繞風(fēng)險(xiǎn)治理形成的六大安全能力
六大能力，是由以風(fēng)險(xiǎn)治理為目標(biāo)，在長(zhǎng)期的安全建設(shè)、運(yùn)維和應(yīng)急響應(yīng)過(guò)程中，由人和物形成的綜合針對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的安全能力。包括：分析識(shí)別能力、檢測(cè)評(píng)估能力、技術(shù)防護(hù)能力、監(jiān)測(cè)預(yù)警能力、應(yīng)急處置能力和技術(shù)對(duì)抗能力。
北信源“關(guān)保”風(fēng)險(xiǎn)治理體系滿(mǎn)足新時(shí)代需求
北信源風(fēng)險(xiǎn)治理體系能夠全面覆蓋網(wǎng)絡(luò)空間安全的各個(gè)層面，以定量數(shù)值方式評(píng)估風(fēng)險(xiǎn)和改進(jìn)程度，并通過(guò)有效性評(píng)估形成閉環(huán)管理，承擔(dān)網(wǎng)絡(luò)空間安全全面持續(xù)性改進(jìn)。該體系也充分滿(mǎn)足了新時(shí)代、新形勢(shì)下風(fēng)險(xiǎn)治理的需求，由以下幾點(diǎn)特性就可窺見(jiàn)一斑：
【規(guī)范性】體系建設(shè)依據(jù)是經(jīng)過(guò)科學(xué)論證和實(shí)踐檢驗(yàn)的國(guó)家的信息安全標(biāo)準(zhǔn)和規(guī)范，具有科學(xué)性和權(quán)威性。
【目的性】體系建設(shè)有明確的目標(biāo)導(dǎo)向。在當(dāng)前發(fā)展階段，以數(shù)據(jù)安全作為重要的網(wǎng)絡(luò)空間安全目標(biāo)。隨著安全技術(shù)和形式的發(fā)展，能夠調(diào)整目標(biāo)以適應(yīng)環(huán)境。
【開(kāi)放性】體系建設(shè)具有開(kāi)放性特點(diǎn)，不僅不限定指定的技術(shù)、設(shè)備和廠商，而且鼓勵(lì)兼容多種技術(shù)、設(shè)備和廠商形成良性競(jìng)爭(zhēng)，促進(jìn)體系進(jìn)步。
【客觀性】體系的量化評(píng)分依據(jù)以技術(shù)指標(biāo)為主，具有客觀性，減低了主觀打分的影響，這樣才具備不同主體和同一主體改進(jìn)前后的數(shù)量對(duì)比的基礎(chǔ)。
【實(shí)時(shí)性】體系的量化評(píng)分能實(shí)時(shí)反映當(dāng)前安全狀態(tài)。當(dāng)前網(wǎng)絡(luò)安全事件突發(fā)性很強(qiáng)，體系必須具備實(shí)時(shí)性，即發(fā)現(xiàn)問(wèn)題后立即改進(jìn)問(wèn)題的能力。
【主動(dòng)性】體系的量化評(píng)分能夠驅(qū)動(dòng)責(zé)任主體單位主動(dòng)、持續(xù)進(jìn)行安全防護(hù)能力的提升并且對(duì)責(zé)任主體的改進(jìn)進(jìn)行定量評(píng)估
北信源“關(guān)保”風(fēng)險(xiǎn)治理體系相較于態(tài)勢(shì)感知平臺(tái)的區(qū)別(優(yōu)勢(shì))：
一、將關(guān)鍵業(yè)務(wù)責(zé)任作為“根”
北信源以具體問(wèn)題具體分析的方式，運(yùn)用關(guān)基思維分析，抓住關(guān)鍵信息基礎(chǔ)設(shè)施的特點(diǎn)，認(rèn)清關(guān)基安全本質(zhì)，把業(yè)務(wù)作為安全風(fēng)險(xiǎn)的“根”，以保護(hù)關(guān)鍵業(yè)務(wù)為目的，對(duì)業(yè)務(wù)涉及的一個(gè)或多個(gè)網(wǎng)絡(luò)和信息系統(tǒng)進(jìn)行體系化安全設(shè)計(jì)，從而解決了關(guān)基安全的根本問(wèn)題，在此基礎(chǔ)上構(gòu)建整體安全保障體系。
二、“被動(dòng)”轉(zhuǎn)“主動(dòng)”，化解“常態(tài)化”問(wèn)題
在北信源“關(guān)保”風(fēng)險(xiǎn)治理體系下，首先樹(shù)立核心業(yè)務(wù)和業(yè)務(wù)負(fù)責(zé)人，再將相關(guān)資產(chǎn)歸攏在核心業(yè)務(wù)下面。這樣責(zé)任跟隨資產(chǎn)，自然的歸屬在業(yè)務(wù)負(fù)責(zé)人和團(tuán)隊(duì)，也能夠解決業(yè)務(wù)和安全的沖突問(wèn)題；而所有的改進(jìn)都把降低風(fēng)險(xiǎn)量為改進(jìn)的方向和尺度，這樣也解決了非安全技術(shù)人員無(wú)法對(duì)安全改進(jìn)定量掌控的問(wèn)題。
以風(fēng)險(xiǎn)管理為導(dǎo)向的動(dòng)態(tài)防護(hù)
根據(jù)關(guān)基面臨的威脅態(tài)勢(shì)進(jìn)行持續(xù)監(jiān)測(cè)和安全控制措施的動(dòng)態(tài)調(diào)整，形成動(dòng)態(tài)的安全防護(hù)機(jī)制，及時(shí)有效的防范應(yīng)對(duì)安全風(fēng)險(xiǎn)。
關(guān)鍵信息基礎(chǔ)設(shè)施是國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略的核心，作為國(guó)家規(guī)劃布局內(nèi)的重點(diǎn)軟件企業(yè)、國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)核心承擔(dān)單位之一，北信源受邀入駐國(guó)家等級(jí)保護(hù)2.0與可信計(jì)算3.0攻關(guān)示范基地。未來(lái)，北信源將持續(xù)面向重要信息系統(tǒng)運(yùn)營(yíng)者提供更加優(yōu)質(zhì)的安全服務(wù)，全面落實(shí)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作，實(shí)現(xiàn)網(wǎng)絡(luò)安全各類(lèi)事件和風(fēng)險(xiǎn)的多層級(jí)、多維度處理，不斷探索、持續(xù)創(chuàng)新，為加強(qiáng)國(guó)家網(wǎng)絡(luò)安全保障體系和能力建設(shè)作出更大貢獻(xiàn)。
免責(zé)聲明：市場(chǎng)有風(fēng)險(xiǎn)，選擇需謹(jǐn)慎！此文僅供參考，不作買(mǎi)賣(mài)依據(jù)。
