奇安信谈《关基保护要求》：实战效果与安全运营已成为关基单位的关注焦点

随着国际战略格局的演变，围绕关键信息基础设施的网络攻防已成为网络空间高烈度对抗的主战场。关键信息基础设施的安全问题已经成为了各国网络安全的重中之重。

2021年9月1日《关键信息基础设施安全保护条例》（以下简称《关保条例》）正式施行，《条例》明确了关键信息基础设施的范围、职责分工以及保障关键信息基础设施安全的技术和管理要求，推动了我国关键信息基础设施安全保障体系的建设。

时隔一年后，2022年10月12日，国家市场监督管理总局批准发布GB/T 39204-2022《信息安全技术 关键信息基础设施安全保护要求》（以下简称《关基保护要求》），于2023年5月1日正式实施。

作为《关基保护条例》施行以来发布的第一个关键信息基础设施安全保护相关的国家标准，标志着对关键信息基础设施的安全防护工作进入新的阶段。以《关基保护要求》正式实施作为契机，安全419特别邀请到了奇安信军团CBG北京总体部负责人顾鑫分享奇安信的观察和见解。

顾鑫表示，《关保条例》是2017组织起草，历时4年，到2021年9月正式发布，宗旨是落实《中华人民共和国网络安全法》中关键信息基础设施相关法律要求；而5月1日正式实施的《关基保护要求》作为关基的核心标准，是为了落实《关保条例》当中的要求，在操作层面为各行业部门提供更好的、更具体的指引，特别是《关基保护要求》围绕具体网络安全工作的具体执行逻辑，从分析识别、安全防护、检测评估、监测预警、主动防御、事件处置六大方面，围绕主要活动和内容给出的要求都很具体，相较于《关保条例》可以指导关基要求的进一步落地。具体来看主要体现在以下三点：

● 首先是责任落实与安全管理相关的变化。《关保条例》中在明确责任主体时，明确了运营单位主要负责人是本单位关基安全保护工作第一责任人，但在具体落实责任的行动上，只是说明了负责建立健全网络安全责任制并组织落实。

而《关基保护要求》在条例的基础上，分别在安全管理制度、安全管理机构、安全管理人员方面做了更具象的要求。例如在安全管理机构上，不但明确了成立网络安全工作委员会或领导小组，还首次在国标里引入了首席网络安全官的概念，明确了领导班子成员作为首席网络安全官，专职管理或分管关基安全保护工作，这类概念也是极少在国标里出现；

同时，《关基保护要求》还提到了应设置专门的网络安全管理机构、应为每个关键信息基础设施明确一名安全管理责任人、安全管理机构人员纳入本组织信息化决策体系等一系列更明确的要求。这些都有助于关基单位可以更具体、更有效的落实工作；这种具体的落实要求还有很多，例如具体到关基从业人员每人年接受网络安全教育培训的时长也做了要求，要求不少于30小时；

● 其次是在资产管理方面提出了新要求。所有信息化运行单位都知道资产管理的重要性，围绕资产展开的风险管理是安全管控中特别重要的维度，但实际上，因为云、虚拟化、物联网等新技术、新领域的不断应用，资产管理已经成为了大多数企业的难题，因为不能实时、持续、动态管控资产，网络中存在无法掌控的影子、僵尸、无主、幽灵、沉默等资产，而这些资产由于保护不到位极易引发安全事件，尤其是这些资产与关键信息基础设施相关时，就更加致命。

顾鑫谈到，“我们在学习《关基保护要求》中，欣喜的看到国家标准与时俱进，贴合业务发展，对资产管理提出了动态识别资产变化，利用自动化工具做好资产的配置、漏洞、补丁管理，收敛资产暴露面等要求，这在以前的文件里是没有提及的。对关基保护从业者会有非常明确的帮助。”

● 第三点是建设实战化的关基安全防护体系。《关基保护要求》在监测预警活动中，要建立事态模型，提前或及时发出安全警示，提高主动发现攻击能力。主动防御活动要主动进行攻击捕获、分析、溯源等，同时开展攻防演习等。上述要求充分表明关基需要建设面向实战的安全防护体系。

顾鑫表示，基本原则是关基保护要求所依据的基本准则，《关基保护要求》的三项基本原则，表现出了相较于其他类似的标准（如《等保基本要求》），具有更先进的理念。具体来看：

顾鑫谈到，随着网信办、公安部等主管部门陆续发文对关基保护进行规范，各保护工作部门也迅速行动，发布关基认定办法或标准，组织关基认定，形成行业关基名录，一些走在前面的行业都开始了关基保护的试点工作。

他表示，近两年在于关基用户的交流过程中经常会听用户谈到两个词：

关基保护的核心是主动防御，是对抗，是在实战中证明自己，所以实战这个词会被反复提到。很多关基用户都很关心，目前保护关基的安全体系是不是真的可以抵御中高级别攻击，还有什么风险目前没有关注到，希望通过实战攻防演习等方式进行安全性测试，让问题提前暴露出来。

在攻防演习的过程中也发现了大量隐患、问题，有的是老问题，例如资产不清导致管控漏洞、老旧系统导致业务漏洞，但也有很多随着业务发展产生的新问题，比如系统陆续上云后，云下的安全措施无法移植到云上，同时还有一些以前很少被关注的问题，比较典型的例子的应用安全领域的API接口安全，API接口是应用之间互通的必要组件，如果存在风险例如可被任意调用，会是巨大的安全隐患。

当这些问题可能造成的后果通过攻防演习的方式暴露在主管领导或是《关基保护要求》提到的首席网络安全官面前时，会极大的触动主管单位的神经，问题相对聚焦、明确的，就开展的针对性整改，但大多数企业需要采用另一种模式开展工作，就是发起网络安全规划项目，会以零事故为目标，结合业务发展，通过安全规划系统性梳理安全风险、安全需求，形成适合关基保护的实战化安全体系框架，并形成具体工程任务，通过具体工程任务的解决方案分阶段落实安全工作，最终形成可真实对抗攻击的实战化安全防御体系。

“因为在前期，网络安全运行工作还是更多集中在运维，以设备巡检、日常运维为主，安全事件的处置更多是出了事之后，在找人应急。近些年，尤其是网络安全法及关基条例出台后，在结合国内外网络安全形势及本单位面临网络安全现状，大家都意识到网络安全从来都是不宣而战，随时可能被攻击，并且有时候数据丢了自己都不知道，网络安全基础建设较好的关基单位就迅速的从安全运维向安全运营转变了，会制定安全责任矩阵来落实各部门、各岗位的网络安全责任，并建设合理的组织结构，以安全运营平台或态势感知平台为基础，开展面向事件的安全运营工作，实时监测告警、发现攻击，持续提升安全系统、平台、及人员的实战化安全运营能力。”

从上述顾鑫谈及的部分我们能够感受到，《关保条例》施行以来，对行业的促进作用已经显现，也推动了关键信息基础设施相关安全建设水平的提升，但同时，我们也应看到这期间所仍然存在的一些问题。

针对这一话题，顾鑫表示，从目前看，虽然各关键信息基础设施运营者开始行动起来了，但是在关基保护上还存在不少问题，主要有以下几点：

针对这些现实问题，《关基保护要求》标准从分析识别、安全防护、检测评估、监测预警、主动防御、事件处理六个方面按工作推进逻辑系统的覆盖了与按去工作相关的六个领域，提出了明确的安全控制措施，来指导关基单位针对性的提升安全能力。

但顾鑫也指出，在标准落地上，不能简单粗暴的拿来主义、逐条落实，需要采用系统化的思维进行安全体系的审视和设计，与关基业务相结合，形成科学、完整、有效的安全保障体系，并持续通过安全运营保障安全体系的有效运转。才能切实解决安全问题、有效落实《关基保护要求》。

在采访最后，针对关基运营者来说，应该从哪些方面加强安全能力建设，更进一步提升自身安全防护水平的话题，顾鑫给出了5个方面的建议：

《关基保护要求》已经非常明确的给出了主导责任，主导责任要落实，并在主导责任的基础上，全面落实各领域、岗位的安全责任，建立责任矩阵，因为“安全”不是独立存在的，是一个附属属性，所以，需要各相关部门、相关人员，都要承担起本岗位应该有的安全职责，实现责任到岗、责任到人。

关基保护不能遵循以前的合规思路，对照《关基保护要求》，逐条查找能力差距的方式是做不好关基保护的。因为木桶原理大家都知道，关基保护得好不好不是由能力强项决定的，反而是由弱项决定的。需要先以业务为核心梳理系统范围，通过风险评估对关基做个全面的诊断，然后制定关基保护规划，合理规划建设顺序、并逐步落实。

通过风险管控，将多源、动态、零散的需求映射到统一标准的安全能力体系中，形成体系化作战模式，整体视角解决问题；在能力构建上，将安全能力组件化，分布融入数字化业务各方面，实现信息化系统及基础设施本质安全，避免“两张皮”；并通过内生安全的方法指引新安全体系建设，内生安全系统工程，就是把安全能力内置到业务系统中，感知、响应对业务系统和数据的任何破坏行为，真正做到“事前防控”。达到1+1>2的“涌现”效果。

构建关基全方位无死角的监测预警与处置能力。重点强调一下这里说的是能力，而不是措施，是由制度、流程、SOP、技术措施加上各个岗位合适的人员而体现出来的实战化运营能力。为什么强调全方位，因为于关基保护来说，我们防护的对象是基于业务梳理的架构，需要采用纵深防御的思路研究边界的定义与各业务单元的定义，并在此基础上，结合安全风险，设置安全防护控制点与安全监测点，避免出现攻击看不见、事件不能及时处置的情况。

实现国家网络空间防御能力是一个复杂的系统工程，需要在统一的框架下，在充分考虑国家级网络空间防御能力与企业级的网络空间防御能力的同时，还需要充分考虑之间的相互关联。要用系统工程的方法进行设计，并通过体系化的工程建设来实现国家网络空间安全防御能力。

顾鑫表示，奇安信作为新一代网络安全领军者，在国家关键信息基础设施保护的大背景下，奇安信会关注全球网络安全态势变化，紧跟国家网络安全策略，结合奇安信多年的网络安全实战经验与冬奥的零事故积累，为各关基单位的网络安全建设与运营提供全方位的规划设计、解决方案、产品体现于运营服务。通过安全咨询规划，为关基单位提供体系化的安全规划；通过纵深防御方案、零信任方案、数据安全方案、云安全方案、应用安全方案、端点安全方案、安全运营方案等各类专项解决方案，提供标本兼治的专项治理办法，系统化落实局部难题；通过奇安信完整的网络安全产品体系与技术能力，为用户提供全面、有效的技术支撑；并通过强大的实战攻防能力，在攻防演习、风险评估、安全运营和应急响应中提供专业的服务保障。