北信源關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)（以下簡稱“關(guān)?！保╋L(fēng)險治理框架的核心思想是所有的網(wǎng)絡(luò)安全工作圍繞1個核心即“風(fēng)險”的發(fā)現(xiàn)和治理展開。因為“風(fēng)險=業(yè)務(wù)責(zé)任 ∑ {資產(chǎn)x脆弱性x威脅}”，所以所謂風(fēng)險治理問題，就成為如何識別關(guān)鍵業(yè)務(wù)相關(guān)的所有的資產(chǎn)并對所有的資產(chǎn)存在的脆弱性和面臨的威脅進(jìn)行動態(tài)的評估，以及在“事前、事中和事后”如何最大限度的降低風(fēng)險指標(biāo)。北信源認(rèn)為，圍繞風(fēng)險治理這1個核心指標(biāo)，根據(jù)關(guān)保相關(guān)要求，需要提供4大支撐體系，最終形成6大安全能力。
一、建設(shè)背景
習(xí)近平總書記4·19重要講話精神
2016年4月19日，習(xí)近平在京主持召開網(wǎng)絡(luò)安全和信息化工作座談會并發(fā)表重要講話并強(qiáng)調(diào)：我們要加強(qiáng)信息基礎(chǔ)設(shè)施建設(shè)，強(qiáng)化信息資源深度整合，打通經(jīng)濟(jì)社會發(fā)展的信息“大動脈”，“金融、能源、電力、通信、交通等領(lǐng)域的關(guān)鍵信息基礎(chǔ)設(shè)施是經(jīng)濟(jì)社會運(yùn)行的神經(jīng)中樞，是網(wǎng)絡(luò)安全的重中之重，也是可能遭到重點(diǎn)攻擊的目標(biāo)?！睆氖澜绶秶鷣砜矗鱾€國家網(wǎng)絡(luò)安全立法的核心就是保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施。加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)，既是我國網(wǎng)絡(luò)安全嚴(yán)峻形勢的迫切需要，也是切實(shí)貫徹國家安全的必然要求。
全球關(guān)鍵信息基礎(chǔ)設(shè)施安全形勢日趨嚴(yán)峻
近年來，針對關(guān)鍵信息基礎(chǔ)設(shè)施的攻擊事件屢有發(fā)生，從2015年烏克蘭電網(wǎng)癱瘓到2016年美國互聯(lián)網(wǎng)癱瘓、2017年永恒之藍(lán)勒索病毒全球爆發(fā)以及最近一次今年在美國最大燃油管道運(yùn)營商遭受網(wǎng)絡(luò)攻擊，數(shù)據(jù)網(wǎng)絡(luò)被加密，黑客勒索贖金等等，針對關(guān)基攻擊強(qiáng)度和范圍仍在不斷擴(kuò)大，這將是全世界各國需要共同面對的安全挑戰(zhàn)。因此，美國、英國、俄羅斯等大國都相繼出臺關(guān)保相關(guān)政策法規(guī)，將關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)視為國家網(wǎng)絡(luò)安全的重要工作。
我國不斷完善的政策法規(guī)與標(biāo)準(zhǔn)體系
在網(wǎng)絡(luò)安全威脅無處不在的大環(huán)境下，我國不斷完善網(wǎng)絡(luò)安全相關(guān)政策法規(guī)和標(biāo)準(zhǔn)體系，包括但不僅限于《保密法》（2014年3月1日起施行）、《國家安全法》（2015年7月1日起施行）、國家網(wǎng)絡(luò)空間安全戰(zhàn)略（2016年12月27日發(fā)布）、《網(wǎng)絡(luò)安全法》（2017年6月1日起施行）、網(wǎng)絡(luò)安全等級保護(hù)2.0國標(biāo)（2019年12月1日實(shí)施）、《密碼法》（2020年1月1日起施行）、網(wǎng)絡(luò)安全審查辦法（2020年6月1日起實(shí)施）、《數(shù)據(jù)安全法》（2021年9月1日起施行）、網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定(2021年9月1日起施行）、《個人信息保護(hù)法》（2021年11月1日起施行）以及近日出臺的《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》（2021年9月1日起施行）等。
綜上所述，一系列相關(guān)政策法規(guī)相繼出臺，為關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)提供了法律基礎(chǔ)、具體要求和實(shí)施依據(jù)?！蛾P(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》的發(fā)布，為我國深入開展關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作提供有力法治保障。
關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)框架體系面向“公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)、國防科技工業(yè)”等重要行業(yè)領(lǐng)域的信息安全防護(hù)場景，將“三化六防”實(shí)戰(zhàn)理念融入關(guān)保建設(shè)當(dāng)中來，結(jié)合關(guān)保四大原則，以風(fēng)險為核心構(gòu)建一個緊耦合風(fēng)險治理平臺，包括從責(zé)任主體確認(rèn)到對應(yīng)管轄資產(chǎn)，再到摸清資產(chǎn)脆弱性及針對資產(chǎn)脆弱性和網(wǎng)絡(luò)狀況進(jìn)行專業(yè)威脅評估，形成一個閉環(huán)。通過平臺大數(shù)據(jù)技術(shù)服務(wù)及四大體系來全面賦能業(yè)務(wù)安全，從而支撐各行業(yè)部門關(guān)鍵信息基礎(chǔ)設(shè)施的分析識別、安全防護(hù)、檢測評估、監(jiān)測預(yù)警、技術(shù)對抗及事件處置的全環(huán)節(jié)建設(shè)，最終形成六大安全能力。
通過風(fēng)險治理框架平臺實(shí)施后，可以有效解決“三化”落地問題，助力行業(yè)用戶構(gòu)建先進(jìn)的實(shí)戰(zhàn)化、體系化、常態(tài)化安全運(yùn)營管理模型
（1）關(guān)保實(shí)戰(zhàn)化
關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)風(fēng)險治理體系建設(shè)，一切從實(shí)戰(zhàn)出發(fā)，應(yīng)用攻防思維，最直接的體現(xiàn)就是關(guān)基安全風(fēng)險會直觀數(shù)據(jù)化，與風(fēng)險相關(guān)的責(zé)任主體、資產(chǎn)、脆弱性和威脅等相關(guān)信息機(jī)器變化一目了然，全局化數(shù)據(jù)感知盡收眼底，還可以進(jìn)一步實(shí)現(xiàn)協(xié)調(diào)聯(lián)動、應(yīng)急指揮等。
同時，明確并加強(qiáng)數(shù)據(jù)資產(chǎn)的重要性，加大數(shù)據(jù)資產(chǎn)安全在整個責(zé)任KPI評分權(quán)重。
（2）關(guān)保體系化
關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)風(fēng)險治理框架，相當(dāng)于建立了一個“責(zé)任-資產(chǎn)-脆弱性-威脅”的定量評估體系。通過對于各個環(huán)節(jié)的風(fēng)險最小化獲得整個體系安全水平的提升，將具體的安全措施量化，同時也將安全措施的實(shí)施獲得的收益作體現(xiàn)為風(fēng)險量化評分的降低，因而形成有效性的閉環(huán)評估，連續(xù)性得到保障，可驗證投資投入效果。
（3）關(guān)保常態(tài)化
值得一提的是，“關(guān)保”風(fēng)險治理平臺能夠直接將被動防御轉(zhuǎn)變?yōu)橹鲃臃烙鶢顟B(tài)，將業(yè)務(wù)與安全責(zé)任融為一體，采用安全KPI量化責(zé)任的方法和評比的手段，驅(qū)動責(zé)任主體主動完善和落實(shí)網(wǎng)絡(luò)空間安全工作。安全事件暴露的是現(xiàn)有安全架構(gòu)中對于細(xì)節(jié)（如未知的脆弱性、未知的威脅等）的失控，需要增強(qiáng)改善環(huán)節(jié)而非僅僅改善具體的技術(shù)措施；采購之前需要評估對于風(fēng)險降低的量化指標(biāo)，采購之后小評估對于風(fēng)險降低的實(shí)際效果的量化指標(biāo)；核查在整個體系指導(dǎo)下的安全進(jìn)度。
