国家关键信息基础设施系统安全防护研究综述

信息安全研究 ›› 2020, Vol. 6 ›› Issue (1): 14-24.

国家关键信息基础设施系统安全防护研究综述

高原¹,吕欣²,李阳²,穆琳³,韩晓露⁴,鲍旭华⁵

1. 北京电子科技学院电子与通信工程系
2. 国家信息中心博士后科研工作站
3. 中国信息安全测评中
4. 中国信息通信科技集团有限公司战略与规划部
5. 奇安信科技集团股份有限公司

收稿日期:2020-01-14 出版日期:2020-01-15 发布日期:2020-01-14
通讯作者: 高原
作者简介:高原博士后，主要研究方向为大数据安全、信息安全战略、关键信息基础设施安全、多媒体数字安全. gaoyuan_edu@126.com 吕欣博士，研究员，主要研究方向为网络安全评价体系、网络安全战略、网络空间安全体系结构. lux@cei.gov.cn 李阳博士，高级工程师，主要研究方向为社交网络，信息安全，数据挖掘. liyang_cas@163.com 穆琳博士，助理研究员，主要研究方向为网络空间安全战略. mul@itsec.gov.cn 1(北京电子科技学院电子与通信工程系北京100070) 2(国家信息中心博士后科研工作站北京100045) 3(中国信息安全测评中心北京100085) 4(中国信息通信科技集团有限公司战略与规划部北京100191) 5(奇安信科技集团股份有限公司北京100015) (gaoyuan_edu@126.com) 韩晓露博士研究生，高级工程师，主要研究方向为网络空间安全、关键信息基础设施安全、大数据与大数据安全. hanxl@datanggroup.cn 鲍旭华博士，高级工程师，主要研究方向为大数据安全、态势感知技术和分布式拒绝服务攻击防范. baoxuhua@qianxin.com

A Survey of Research Work on Critical Information Infrastructure System Security Defense

1.
2. The Postdoctoral Scientific Research Workstation of State Information Center

Received:2020-01-14 Online:2020-01-15 Published:2020-01-14

摘要/Abstract

摘要： 国家关键信息基础设施承载着大量国家基础数据、重要政务数据及公民个人信息，其安全防护问题直接影响我国数字经济发展和网络强国建设.从国家顶层战略层面梳理国外信息技术发达国家和组织的政策制度、保障措施、法律法规以及我国目前在关键信息基础设施系统安全防护层面所做的工作及研究现状.并结合当前面临的威胁和挑战，提出国家关键信息基础设施系统安全协同防护顶层设计战略建议，该建议具有重要的理论价值和现实意义，为进一步完善我国关键信息基础设施系统安全防护工作奠定理论研究基础.

关键词: 关键信息基础设施, 系统安全, 安全威胁, 安全保障, 安全防护

Abstract: Critical information infrastructure involves a large amount of national critical basic data, important government data and citizens personal information. As a result, security protection of critical information infrastructure directly affects the development of digital economy and construction of a cyberpower. This paper first studies the policy system, safeguard measurements, laws and regulations of countries and organizations with developed information technology, and then analyzes current research work of our country in the security protection level of critical information infrastructure from the topmost national strategy level. Moreover, to circumvent potential threats and current situation, this paper proposes the topmost strategy proposal of collaborative protection of the critical information infrastructure system security, which not only has important theoretical value and practical significance, but also plays a research foundation for improving the security protection of critical information infrastructure.

Key words: critical information infrastructure, system security, security threat, security assurance, security defense

高原吕欣李阳穆琳韩晓露鲍旭华. 国家关键信息基础设施系统安全防护研究综述[J]. 信息安全研究, 2020, 6(1): 14-24.

参考文献

[1] 刘琦. 浅谈关键信息系统安全保障体系设计[J]. 科技资讯.17(08): 10-14+16. [2] 安全运营. 关键信息基础设施保护 (CIIP) 及其实践探讨[EB/OL]. (2019-08-23)https://www.secrss.com/articles/11042. [3] 美国司法部. The USA PATRIOT Act: Preserving Life and Liberty [EB/OL]. https://www.justice.gov/archive/ll/highlights.htm. [4] 美国国土安全部. Homeland Security Presidential Directive 7: Critical Infrastructure Identification, Prioritization, and Protection[EB/OL]. https://www.dhs.gov/homeland-security-presidential-directive-7. [5] 美国国土安全部. National Infrastructure Protection Plan[EB/OL]. https://www.dhs.gov/cisa/national-infrastructure-protection-plan. [6] Sedgewick A. Framework for Improving Critical Infrastructure Cybersecurity, Version 1.0[EB/OL]. https://www.nist.gov/publications/framework-improving-critical-infrastructure-cybersecurity-version-10. [7] Barrett M P. Framework for Improving Critical Infrastructure Cybersecurity Version 1.1[EB/OL]. https://www.nist.gov/publications/framework-improving-critical-infrastructure-cybersecurity-version-11. [8] 欧盟委员会. Communication from the Commission to the Council and the European Parliament - Critical Infrastructure Protection in the fight against terrorism[EB/OL]. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:52004DC0702#document1. [9] 欧盟委员会. European Programme for Critical Infrastructure Protection [EB/OL]. https://ec.europa.eu/home-affairs/e-library/glossary/european-programme-critical_en. [10] 欧盟委员会. Council Directive 2008/114/EC of 8 December 2008 on the identification and designation of European critical infrastructures and the assessment of the need to improve their protection[EB/OL]. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32008L0114. [11] 欧盟委员会. Protecting Europe from large scale cyber-attacks and disruptions: enhancing preparedness, security and resilience[EB/OL].https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:2009:0149:FIN:EN:PDF. [12] 欧盟委员会. European Parliament resolution of 12 June 2012 on critical information infrastructure protection – achievements and next steps: towards global cyber-security[EB/OL]. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A52012IP0237. [13] 欧盟委员会. EU Cyber Security strategy[EB/OL]. https://ec.europa.eu/digital-single-market/en/news/eu-cybersecurity-plan-protect-open-internet-and-online-freedom-and-opportunity-cyber-security. [14] Common Criteria for Information Technology Security Evaluation[S]. [15] Information Technology Security Evaluation Criteria[S]. [16] 欧洲网络与信息安全局. EU Network and Information Security directive[EB/OL]. https://www.enisa.europa.eu/topics/nis-directive. [17] E安全. 纵览各国关键信息基础设施配套网络安全法规建设[EB/OL]. https://www.easyaq.com/news/696013161.shtml. [18] 澳大利亚内务部. Australia's Cyber Security Strategy[EB/OL]. https://cybersecuritystrategy.homeaffairs.gov.au/. [19] 澳大利亚内务部. Security of Critical Infrastructure Act 2018[EB/OL]. https://www.homeaffairs.gov.au/about-us/our-portfolios/national-security/security-coordination/security-of-critical-infrastructure-act-2018. [20] 何先刚，敖永春. 国外信息产业政策的比较及其对我国的启示[J]. 重庆工商大学学报: 社会科学版, 2008, 25(3): 65-68. [21] 黄道丽，方婷. 日本关键信息基础设施保护制度及对我国的启示[J]. 中国信息安全, 2016(7): 75-79. [22] 黄翠，胡兵. 樱花之都扬帆起航——日本信息安全战略浅析[J]. 中国信息安全, 2012(7): 64-67. [23] 卢英佳，吕欣. 《日本网络安全战略》简析[J]. 中国信息安全, 2014(4): 110-111. [24] 毕婷，陈雪鸿，杨帅锋. 关键信息基础设施保护工作思考[J]. 中国信息安全, 2019(6): 92-94. [25] 曲洁，朱建平. 等级保护与关键基础设施防护的融合研究[J]. 信息网络安全, 2011, 11(12) : 84-88. [26] GB/T 20984-2007 信息安全技术信息安全风险评估规范[S].中华人民共和国国家质量监督检验检疫总局，中国国家标准化管理委员会. 北京. [27] GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求[S].中华人民共和国国家质量监督检验检疫总局，中国国家标准化管理委员会. 北京. [28] GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南[S].中华人民共和国国家质量监督检验检疫总局，中国国家标准化管理委员会. 北京. [29] 全国信息安全标准化技术委员会. 关于国家标准《信息安全技术关键信息基础设施安全检查评估指南》征求意见稿征求意见的通知[EB/OL]. https://www.tc260.org.cn/front/bzzqyjDetail.html?id=20170830214650&norm_id=20170321155516&recode_id=23885. [30] 全国信息安全标准化技术委员会. 国家标准《信息安全技术关键信息基础设施安全检查评估指南》试点工作启动[EB/OL]. https://www.tc260.org.cn/front/postDetail.html?id=20181109160222. [31] 郭启全. 国家关键信息基础设施安全保护面临的形势和任务[J]. 保密科学技术, 2016(7):4-6. [32] 云晓春. 新形势下关键信息基础设施的安全保护[J]. 信息安全与通信保密,2018(11):27-32. [33] 吕欣，韩晓露. 健全大数据安全保障体系研究[J]. 信息安全研究, 2015, 1(3):211-216. [34] 韩晓露, 吕欣. 应急资源大数据云安全管理模式研究[J]. 信息安全研究, 2016, 2(2):159-165. [35] 吕欣，韩晓露. 大数据安全和隐私保护技术架构研究[J]. 信息安全研究, 2016, 2(3):244-250. [36] 吕欣, 韩晓露, 毕钰, et al. 大数据安全保障框架与评价体系研究[J]. 信息安全研究, 2016, 2(10):913-919. [37] Han Xiaolu, Liu Yun , Zhang Zhenjiang , et al. Research on model and methodology of big data security situation assessment based on fuzzy set[J]. Journal of Computers (Taiwan), 2018, 29(3):156-164. [38] 吕欣, 韩晓露, 李阳等. 智慧城市网络安全保障评价体系研究[J]. 信息安全研究, 2016, 2(5):827-833. [39] 吕欣, 韩晓露, 李阳，毕钰等. 智慧城市网络安全体系框架研究[J]. 信息安全研究, 2016, 2(9):827-833. [40] 韩晓露, 刘云, 张振江，吕欣，李阳. 基于直觉模糊集的网络安全态势评估方法[J]. 吉林大学学报(工学版), 2019, 49(1):266-272. [41] 韩晓露, 刘云, 张振江，吕欣，李阳. 基于IFS-NARX模型的网络安全态势预测[J]. 吉林大学学报(工学版), 2019, 49(2):273-279. [42] 唐旺, 宁华, 陈星, et al. 关键信息基础设施概念研究[J]. 信息技术与标准化, 2016(4):26-29. [43] 陈越峰. 关键信息基础设施保护的合作治理[J]. 法学研究, 2018, 40(6):177-195. [44] 刘金瑞. 我国网络关键基础设施立法的基本思路和制度建构[J]. 环球法律评论,2016,38(5):116-133. [45] 刘金瑞. 关于我国关键信息基础设施保护制度实施的思考建议[J]. 网络信息法学研究, 2017,1. [46] 刘金瑞. 关于落实我国关键信息基础设施保护制度的思考和建议[J]. 中国信息安全, 2017(8):33-36. [47] 王玥. 关键信息基础设施法律保护的国际趋势研判与对策[J]. 保密工作, 2017(5):46-47. [48] 马民虎, 赵光. 等级保护与关键信息基础设施保护的竞合及解决路径[J]. 西安交通大学学报(社会科学版), 2018,38(4):16-22. [49] 冯燕春,胡容铨,谭元翼,秦小伟. 如何识别关键信息基础设施的边界[J]. 中国信息安全,2018(12):99-101. [50] 云南省互联网信息办公室. 关键信息基础设施边界识别. 2019. 6. [51] 唐旺,宁华. 落实国家网络安全法, 识别认定关键信息基础设施[J]. 西安交通大学学报(社会科学版), 2016, (6):153-162. [52] 张新跃、冯燕春、李若愚. 关键信息基础设施风险评估方法研究[J]. 网络空间安全, 2019,10(1):55-60. [53] 唐旺, 朱璇, 宁华, et al. 关键信息基础设施风险管理研究[J]. 信息技术与标准化, 2016(10) :37-41. [54] 洪延青. 以风险管理思想统筹设计关键信息基础设施保护工作[J]. 中国信息安全, 2017(8):29-32. [55] 詹全忠, 蔡阳. 水利关键信息基础设施保护的思考[J]. 水利信息化, 2017(3):16-19. [56] 董伟, 李致成, 冯志. 交通行业工控系统遭病毒入侵给我国关键信息基础设施安全的启示 [J]. 信息技术与网络安全, 2018,37(9):1-3. [57] 胡红升. 初论网络时代电力关键信息基础设施保护[J]. 信息安全研究, 2017, (12):1134-1140. [58] 肖辉, 董升来, 王彦磊, et al. 广电关键信息基础设施网络安全智能防护技术研究 [J]. 广播与电视技术, 2019,46(6):12-15. [59] 宗志锋, 宋亮, 王骁栋. 上海水务行业关键信息基础设施网络安全管理工作思考 [J]. 中国管理信息化, 2019,22(11):145-147. [60] 张滨. 通信行业关键信息基础设施保护实践与思考[J]. 信息安全与通信保密, 2018, 299(11):26-28. [61] 张磊, 孙亮, 陈曲. 医院关键信息基础设施网络安全风险评估的实践[J]. 中国卫生信息管理杂志, 2018(4):390-393. [62] 王锋, 宋云波, 冯峰, et al. 市政公用关键信息基础设施安全认证体系研究[J]. 信息技术与信息化, 2018, No.218(5):203-205. [63] 于洁、栗琳. 基于情报感知的关键信息基础设施安全保护[J]. 情报理论与实践, 2019,42(4):1-5. [64] 邵金满. ISO/IEC27032:2012视角下的关键信息基础设施保护[J]. 科技与法律, 2017(6). [65] 顾伟. 关键信息基础设施保护制度的国际接轨与中国特色——《网络安全法》亮点解读[J]. 信息安全与通信保密, 2016(11)：48-53. [66] 左晓栋. 国外关键信息基础设施安全监管概述[J]. 中国信息安全, 2016(11):52-53. [67] 丁道勤. 国外关键信息基础设施安全法律保护研究[J]. 社会治理法制前沿年刊, 2016(1):259-269. [68] 刘京娟. 美、日、韩关键信息基础设施保护立法研究[J]. 保密科学技术, 2016(7):16-20. [69] 张弛, 崔占华. 美国关键基础设施安全管理综述 [J]. 信息安全研究, 2017,3(08):736-746. [70] 赵爽, 焉域政, 王伟正. 《美国IT部门关键信息基础设施保护计划》研究及启示[J]. 信息安全与通信保密, 2018, No.294(6):55-60. [71] 周亚超, 刘金芳. 美欧关键信息基础设施保护分析与借鉴[J]. 信息安全与技术, 2018,9(11):44-47+52. [72] 王玥. 美国关键基础设施信息安全应急处置制度演进及启示[J]. 保密工作,2016(2):43-45. [73] 王玥, 方婷, 马民虎. 美国关键基础设施信息安全监测预警机制演进与启示[J]. 竞争情报. 2016(5). [74] 唐旺, 宁华, 朱璇, et al. 美国关键基础设施网络安全保护现状[J]. 信息技术与标准化, 2016(5) :31-35. [75] 唐旺, 宁华, 陈星, et al. 美国关键基础设施识别认定研究[J]. 信息技术与标准化, 2016(9) :36-38. [76] 石建兵. 欧洲网络与信息安全局《关键信息基础设施领域的物联网安全基线指南》[J]. 信息安全与通信保密, 2018(1):80-95. [77] 刘山泉. 德国关键信息基础设施保护制度及其对我国《网络安全法》的启示[J]. 信息安全与通信保密, 2015(9):86-90. [78] 北京江南天安科技有限公司. 英国关键信息基础设施保护概述[J]. 信息网络安全, 2009(8):33-35. [79] 何治乐, 孔华锋, 黄道丽. 俄罗斯关键信息基础设施保护立法研究[J]. 计算机应用与软件, 2017,34(8):312-315+333. [80] 北京江南天安科技有限公司. 国外关键信息基础设施保护之俄罗斯篇[J]. 海外视点, 2019(6) :61-64. [81] 周济礼. 澳大利亚加强关键信息基础设施安全的主要举措[J]. 中国信息安全, 2014(2):90-93. [82] 王菲, 王国玉. 网络攻击技术于防范技术研究[J]. 甘肃科技纵横, 2010(3) :18-19.