天融信：七大策略助力《铁路关键信息基础设施安全保护管理办法》规范化落地

近日，交通运输部公布了《铁路关键信息基础设施安全保护管理办法》（交通运输部令2023年第20号，下称《办法》）。《办法》共6章30条，自2024年2月1日起施行。《办法》从总体上明确了铁路关键信息基础设施（下称关基设施）管理体制，压实了运营者主体责任，加强了铁路关基设施的监督管理和保障。

第一章 总则 

第二章 铁路关基设施认定

明确关基设施的认定机制，国家铁路局作为关基设施认定的主体，负责制定认定规则、组织认定工作，并规定了具体认定程序。

第三章 运营者责任和义务

明确运营者主体责任，规定关基设施的网络安全等级保护不低于第三级，在等保基础上实行重点保护，采取措施，保障关基设施安全稳定运行。落实“三同步”，并对安全保护措施予以验证。建立健全网络安全保护制度和责任制，保障人力、财力、物力投入。设置专门安全管理机构，明确职责。加强供应链安全管理，保障网络产品和服务采购安全。加强个人信息和数据安全保护。每年至少一次网络安全检测和风险评估，发现问题、及时整改，报送相关情况。按规定使用商用密码保护关基设施，每年至少开展一次密评。制定本单位监测预警和信息通报制度，及时通报预警和处置。发生重大网络安全事件或者发现重大网络安全威胁时，及时报告并启动应急预案。

第四章 保障和监督

明确保障和监督的职责和义务，明确国家铁路局的保障和监督职责，包括：制定铁路关基安全规划、建立铁路关基网络安全监测预警制度、建立健全铁路关基网络安全事件应急预案体系、组织开展铁路关基网络安全检查检测等。

第五章 法律责任

明确有关违法行为及处罚规定。

第六章 附则

明示《办法》正式施行时间。

《办法》中要求，应当建立健全网络安全保护制度和责任制，保障人力、财力、物力投入。并设置专门安全管理机构，履行相关职责。

天融信建议落实网络安全保护制度和责任制，确保人力、财力、物力得到有效保障。从管理制度、管理机构、管理人员等方面构建关基设施安全管理体系，确保安全技术和安全运营措施得以顺利落地。

《办法》中指出，应当加强铁路关基设施供应链安全保护。

天融信建议通过供应链安全现状摸底，制定专门的供应链安全管理策略和制度，以规范供应链安全管理，尤其在网络产品和服务采购方面，需充分考虑当前安全形势，确保网络产品和服务的安全可靠。同时建议通过供应链安全教育培训，提升相关人员在供应链安全层面的意识和技能。

《办法》中要求，应加强数据安全保护，明确重要数据和个人信息的保护措施。

天融信建议开展数据安全治理咨询，梳理数据资产情况，明确个人信息处理规则等，在评估现状并分析安全风险的基础上，提供针对性的个人信息安全保护和体系化数据安全保护。

《办法》中提出，铁路关基设施在国家网络安全等级保护制度的基础上，落实防护措施，并使用商用密码进行保护。

如《办法》所要求，关基设施需在网络安全等级保护的基础上实行重点保护，并按照要求使用商用密码进行保护，因而符合等保和密评要求是关保的前提。建议遵照等级保护及密码应用相关要求落实等保和密评工作，为保护关基设施打下良好基础。

《办法》中要求，铁路关基设施每年至少进行一次网络安全检测和风险评估。

天融信建议利用专业安全服务，每年至少进行一次网络安全检测和风险评估，参考相关标准规范，全方位检测和评估当前存在的不足，积极发现问题，及时整改以规避安全隐患，并按要求报送相关情况。

《办法》中指出，应制定本单位的监测预警和信息通报制度。

天融信建议建设本单位的网络安全监测系统，广泛收集各类安全数据，利用多种分析手段深度挖掘安全问题，配备值班值守人员，全方位、全天候感知安全态势，并及时收集、汇总、分析各方网络安全信息，经综合分析研判，对发现的问题进行及时通报预警和处置。

《办法》中要求，应建立健全铁路关基设施网络安全事件应急预案体系，定期组织应急演练。

天融信建议制定网络安全应急预案，明确事件应急处置机制，并确保每年至少开展一次应急演练，针对演练中发现的突出问题和漏洞隐患进行及时整改加固，从而不断完善保护措施。