2021年4月27日，國務(wù)院第133次常務(wù)會(huì )議通過(guò)了《關(guān)鍵信息基礎設施安全保護條例》（以下簡(jiǎn)稱(chēng)《條例》），并于2021年9月1日起施行。已經(jīng)有很多文章對《條例》做了深入解讀。本文就不再針對條例進(jìn)行解讀，只對用戶(hù)關(guān)心的《條例》發(fā)布后等保工作該如何開(kāi)展進(jìn)行分析。
等保系統中哪些屬于關(guān)鍵信息基礎設施？
《條例》第二條明確對關(guān)鍵信息基礎設施做出了定義：“公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)、國防科技工業(yè)等重要行業(yè)和領(lǐng)域的，以及其他一旦遭到破壞、喪失功能或者數據泄露，可能?chē)乐匚：野踩?、國計民生、公共利益的重要網(wǎng)絡(luò )設施、信息系統等”屬于關(guān)鍵信息基礎設施。
根據《GB/T 22240-2020 信息安全技術(shù) 網(wǎng)絡(luò )安全等級保護定級指南》，網(wǎng)絡(luò )設施、信息系統等一旦遭到破壞，喪失功能或者數據泄露，對國計民生和公共利益造成嚴重危害的系統應定為三級，對國家安全造成嚴重危害的系統應該定為四級。由此可見(jiàn)，關(guān)鍵信息基礎設施一般應定為三級或者四級，或者說(shuō)應該在等保三級或四級系統中識別關(guān)鍵信息基礎設施。
當然，關(guān)鍵信息基礎設施保護監管部門(mén)應結合本行業(yè)、本領(lǐng)域實(shí)際情況，制定關(guān)鍵信息基礎設施的認定規則，報國務(wù)院公安部門(mén)備案，并根據認定規則，組織本行業(yè)、本領(lǐng)域的關(guān)鍵信息基礎設施認定。也就是說(shuō)，各行各業(yè)要根據《條例》要求梳理目前已定級與未定級系統，識別出哪些屬于關(guān)鍵信息基礎設施，并報國務(wù)院公安部門(mén)備案。
《條例》發(fā)布后等保工作是否需要調整？
《條例》規定，關(guān)鍵信息基礎設施應在網(wǎng)絡(luò )安全等級保護制度的基礎上，實(shí)行重點(diǎn)保護。也就是說(shuō)，等保該做的還是正常做（根據等保要求被認定為三級或三級以上的系統至少需要每年進(jìn)行一次等級保護測評工作）?！稐l例》同時(shí)要求，對關(guān)鍵信息基礎設施每年進(jìn)行網(wǎng)絡(luò )安全檢測和風(fēng)險評估。所以，除了進(jìn)行等級保護測評還需要進(jìn)行安全檢測和風(fēng)險評估，這里的安全檢測和風(fēng)險評估應該是同一項工作，我們可以把它統稱(chēng)為安全評估。具體如何進(jìn)行，相關(guān)部門(mén)正在制定評估標準，標準發(fā)布后將依據標準進(jìn)行評估。
同時(shí)，《條例》中還對關(guān)鍵信息基礎設施中的密碼使用和管理提出了要求，應當遵守相關(guān)法律、行政法規的規定。按照《商用密碼應用安全性評估管理辦法（試行）》，涉及國家安全和社會(huì )公共利益的重要領(lǐng)域網(wǎng)絡(luò )和信息系統的建設、使用、管理單位應當健全密碼保障體系，實(shí)施商用密碼應用安全性評估。故今后被認定為關(guān)鍵信息基礎設施，需要同時(shí)開(kāi)展等保測評、密評與關(guān)鍵信息基礎設施安全評估。
中國金融認證中心（CFCA）是一家以綜合網(wǎng)絡(luò )安全服務(wù)為核心的科技企業(yè)，擁有國家認可的“網(wǎng)絡(luò )安全等級保護測評機構推薦證書(shū)”，屬于國家密碼管理局《商用密碼應用安全性評估試點(diǎn)機構目錄》試點(diǎn)企業(yè)，可開(kāi)展等保測評、密評等一系列安全服務(wù)。多年來(lái)，服務(wù)客戶(hù)覆蓋能源、交通、水利、金融等重要基礎設施行業(yè)，助力客戶(hù)滿(mǎn)足國家網(wǎng)絡(luò )安全要求，全面提升網(wǎng)絡(luò )安全防護能力。
編輯：薛姣
