“一设施一策略” 保护工作部门应对关键信息基础设施研判重点保护对象

关键信息基础设施是经济社会运行的神经中枢，是网络安全的关键所在。《条例》第八条规定“重要行业和领域的主管部门、监督管理部门是负责关键信息基础设施安全保护工作的部门(以下简称保护工作部门)”。从目前工作现状来看，为有效落实《条例》，保护工作部门应从以下几个方面着手？对此，自然资源部信息中心研究员、国家关键信息基础设施安全保护专家组专家、国家信息安全等级保护安全建设专家委员会委员顾炳中接受了人民网记者的相关采访。

人民网记者：保护工作部门应如何落实《条例》相关职责？

顾炳中：各行业应全面梳理相关工作体系，按照《条例》的规定落实相关职责。首先，要落实职责实际承担单位。其次，要尽快制定关键信息基础设施安全规划、建立健全关键信息基础设施网络安全监测预警制度、健全网络安全事件应急预案、制订应急演练计划、开展安全检查检测、建立协调联动机制等工作。然后，督促部门已经认定关键信息基础设施的运营者落实《条例》要求——强化和落实关键信息基础设施运营者(以下简称运营者)主体责任，督促运营者设置专门安全机构，落实重要管理岗位。

人民网记者：保护工作部门在工作中需厘清《条例》与我国哪些法律法规之间的关系？

顾炳中：我认为主要有以下四点，一是《条例》与网络安全法之间的关系。网络安全法是网络空间安全的基础法律，是《条例》的上位法，为等级保护制度、关键信息基础设施安全保护制度提供了法律依据，而关键信息基础设施安全保护制度又是在等级保护制度基础上的进一步强化。

二是《条例》与国家保密法之间的关系。关键信息基础设施若含涉密信息系统部分，则涉密部分的建设与管理首先要符合涉密信息系统分级保护的要求，同时要根据关键信息基础设施强化保护要求进行保护。

三是《条例》与国家密码法之间的关系。密码技术是网络安全的技术基础之一，相对于“等级保护2.0”要求，关键信息基础设施更强化对数据安全与个人信息保护方面的密码应用，以应对国家级敌对势力对数据安全的威胁。

四是《条例》与数据安全法之间的关系。数据安全法是国家数据安全领域的基础性法律，在关键信息基础设施安全保护中，在涉及重要数据处理与安全保护时，应满足数据安全法的要求，同样在涉及个人信息保护方面，也应满足个人信息保护法的要求。

人民网记者：关键信息基础设施安全保护与网络安全等级保护之间有怎样的区别？

顾炳中：依据网络安全法，网络安全等级保护相关要求是关键信息基础设施安全保护的基本要求，两者有以下几点重要区别：一是保护对象不同。等级保护涉及数以万计的国家重要信息系统，而关键信息基础设施安全保护，是重点保护数以百计的“严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统”；二是防攻击对象之间的差异。关键信息基础设施要“采取措施，监测、防御、处置来源于中华人民共和国境内外的网络安全风险和威胁，保护关键信息基础设施免受攻击、侵入、干扰和破坏”，更注重处置复杂国际环境下来源于境外敌对势力的恶意攻击，在特殊情况下，要保障关键信息基础设施的应急运行；三是管理行为上的差异。等级保护要落实到重要信息系统的日常工作中，从规划到建设、运维，实行常态化管理，是网络日常安全工作的一部分，而关键信息基础设施的保护要有专门的制度、专职机构与确定岗位，管理要求更高；四是基于保护对象与防范对象的不同，所采用的技术路线各有侧重。关键信息基础设施在抗高强度攻击与应急运行等方面，要有更强化的技术方法与手段。

人民网记者：关键信息基础设施重点保护工作从技术实践上应怎样开展？

顾炳中：网络安全等级保护是基础性、合规性、通用性要求，而关键信息基础设施安全保护是针对每一个不同的关键信息基础设施，面向问题的特别保护，“一设施一策略”应是关键信息基础设施安全保护的基本原则之一。应针对每一个关键信息基础设施，分析重点保什么。研判重点是“保数据”还是“保运行”，又或是“既保数据又要保运行”，对于像自然资源部等行政管理类的部委，大部分关键信息基础设施重点是保数据，如国家产权信息基础设施，确保数据安全是重中之重，其业务特点决定在特殊场景下，可以有条件地断网运行或暂时中断运行，而对于基础通信网络类基础服务设施，其运行不可中断。

人民网记者：行业重要数据类关键信息基础设施的保护措施有哪些？

顾炳中：一是充分采用密码技术实施数据安全保护。对于大数据类关键信息基础设施，确保国家重要数据安全是重中之重。采用信源加密、数据密传、密存、密算等方法后，可进一步强化可信计算环境与其他防攻击手段，防止系统中植入木马并长期驻留主机，对应用服务器内存中的明文数据进行不间断监听。因此，应加快同态加密技术的研发，以降低对加密数窃取的风险。

二是实现数据及应用分网分区保护。数据全集只存于涉密网络中，相关应用系统参照涉密信息系统要求进行建设，并在涉密内网部署，确保业务专网被攻击后，不影响到涉密网全局数据的安全，规避数据大规模泄露风险。在业务专网上只保存在线办理的生产数据，实现数据包加密流转且业务网上不进行数据解密动作，业务网与涉密网实现基于光闸的隔离交换。在互联网区只部署针对特定应用的数据，且全部采用密码技术进行保护。

三是确保数据共享服务中的数据安全。数据共享是数据泄露的重大风险点，也是外部攻击最薄弱的环节之一。为规避风险，首先，应将共享服务数据与生产系统进行物理隔离，按需将有限共享主题信息隔离交换到政务外网共享服务加密存储区，并根据不同服务对象进行主题隔离。其次，共享服务只针对共享对象的实际需求，提供“必须”的数据服务，以最低限度保障共享方业务流程正常进行为目标，不提供任何多余、冗余数据；对于部分场景，只提供数据的逻辑结果，若确因业务需求，需要共享有限数据时，按最小化、必不可少的原则共享。在共享服务提供时，要求双方实现系统对接，排除人为操作与查询，规避共享接收方非规范流程行为，防止内部工作人员利用共享交换接口留存信息。

四是终端应用运行环境安全隔离。对于可控边界外的访问终端，应采用应用隔离措施，防止数据跨网攻击，安全设计应基于接入管控、非法外联监控等防范措施，在“不信任”或“不依赖”这类措施的前提下，强化应用访问安全，特别对于非可控区域多业务、多网络访问终端，采取有效措施，确保特定应用只在安全“沙箱”或安全隔离区内运行，阻止外部程序访问“沙箱”资源，同时可以采用密码网关技术隔离网络通道，防范跨网攻击。

五是态势感知与攻防演练，强化网络对抗能力。保护工作部门、运营者要坚决贯彻公安部门相关要求，针对网络攻防对抗中暴露的“互联网接入分散、非法外联、漏洞多、弱口令、分网分区分域隔离差、重要数据‘裸’存、访问控制措施不健全、零日漏洞防范不力、供应链安全突出”等问题，以“三化六防”为核心，构建针对敌对国家、敌对地区、敌对势力、黑客组织的攻防体系，全面提升关键信息基础设施的安全保护能力。

六是强化对应用服务器的监控与防护。在“等级保护2.0”常规安全防护、态势感知平台、攻防演练等常规安全防护措施之外，应针对处理与存储特别重要数据的关键信息基础设施个案，设计专门的核心数据服务器与应用服务器的专用监控系统，安全设计时，重点针对非授权网络访问行为、非授权线程访问数据区行为，合法线程的异常行为。对偶发性、规律性和突发性的异常行为进行分析监测、跟踪、陷阱诱导与捕捉，并制定针对性的应急处置流程，确保核心数据万无一失。