在國家監(jiān)管部門的協(xié)調指導下，匯集我國關鍵信息基礎設施保護工作部門、運營者、服務機構、科研機構及網絡安全產業(yè)，基于平等自愿、資源共享、共同發(fā)展的原則，構建跨行業(yè)、開放式、創(chuàng)新型、實戰(zhàn)化的運營平臺，助力推進我國關基的重點保護。
關鍵信息基礎設施在規(guī)劃設計、開發(fā)建設、運行維護、退役廢棄等階段應加強安全保護。關鍵信息基礎設施運營者應按照《關鍵信息基礎設施安全保護要求》等國家標準的要求，在落實網絡安全等級保護制度要求和國家標準的基礎上，從關鍵信息基礎設施分析識別、安全防護、檢測評估、監(jiān)測預警、技術對抗、事件處置六個方面，增強關鍵信息基礎設施安全保護措施，確保關鍵信息基礎設施運行安全和重要數據安全。
關鍵信息基礎設施安全保護應堅持以下八個原則：
一、立足應對大規(guī)模網絡攻擊威脅。
加強安全保衛(wèi)、保護和保障，按照實戰(zhàn)化、體系化、常態(tài)化要求，落實動態(tài)防御、主動防御、縱深防御、精準防護、整體防控、聯(lián)防聯(lián)控措施，采用可信計算、人工智能、大數據分析、密碼等新技術，加強技術保護和管理措施，建立網絡安全綜合防御體系。
二、采取加強型保護措施。
在落實網絡安全等級保護制度和國家標準要求的基礎上，采取更高保護強度措施，加強保護。關鍵信息基礎設施安全保護應首先符合網絡安全等級保護制度相關要求，按照《網絡安全等級保護基本要求》《網絡安全等級保護安全設計技術要求》等國家標準，落實基本保護措施。在滿足“合規(guī)性”保護要求的基礎上，采取進一步的加強型保護措施和實戰(zhàn)化、體系化、常態(tài)化的保護措施，大力提升關鍵信息基礎設施關鍵業(yè)務的風險識別能力、抗攻擊能力、可恢復能力，確保關鍵信息基礎設施業(yè)務穩(wěn)定、持續(xù)運行及重要數據安全。
三、以保護關鍵業(yè)務和運行安全為重點，變單點防護為整體防控。
關鍵信息基礎設施安全保護應以保護關鍵業(yè)務和運行安全為重點，對業(yè)務涉及的一個或多個網絡和信息系統(tǒng)進行體系化安全設計，構建關鍵信息基礎設施整體安全防控體系。
四、以風險管理為導向，變靜態(tài)防護為動態(tài)防護。
根據關鍵信息基礎設施所面臨的安全威脅態(tài)勢變化，進行持續(xù)監(jiān)測和安全控制措施的動態(tài)調整，形成動態(tài)的安全防護機制，增強保護彈性，及時有效地防范應對安全風險威脅。
五、以信息共享為基礎，變單一防護為聯(lián)防聯(lián)控。
建立與國家網絡安全監(jiān)管部門、保護工作部門、其他利益相關方的信息共享、協(xié)調配合、共同防護機制，提升關鍵信息基礎設施應對大規(guī)模網絡攻擊威脅的能力。
六、以可信計算等核心技術為支撐，變被動防護為主動防御。
基于可信計算、人工智能、大數據分析等核心技術，構建可信安全管理中心支持下的安全防護框架，結合威脅情報、態(tài)勢感知，及時發(fā)現和處置未知威脅，提高內生安全及主動免疫能力、主動防御能力。
七、以域間隔離為手段，變單層防護為縱深防御。
網絡實行分區(qū)分域管理，區(qū)域間進行安全隔離和認證;實行事前監(jiān)測，事中遏制及阻斷，事后跟蹤及恢復，對網絡攻擊實現層層阻擊、縱深防御。
八、以核心資產數據為重點，變粗放防護為精準防護。
基于資產的自動化管理，協(xié)同威脅情報，檢測未知威脅、異常行為等，實現對核心資產的精準防護，確保大數據、“神經中樞”類系統(tǒng)安全。
原創(chuàng) 郭啟全
來源：關鍵信息基礎設施安全保護聯(lián)盟籌
