ICS35-020 L80 团体标准 T/GDNS002-2022 关键信息基础设施安全保障指标体系细则 Detailedregulationsforindicatorsystemofcriticalinformationinfrastructure securityassurance 2022-03-28发布 2022-04-28实施 广东省计算机信息网络安全协会发布 全国团体标准信息平台 I目次 前言...............................................................................II 引言..............................................................................III 1范围.................................................................................1 2规范性引用文件.......................................................................1 3术语和定义.........................................................................1 4指标体系...........................................................................1 4.1指标层次.........................................................................1 4.2指标体系框架.....................................................................1 4.3指标体系框架描述.................................................................1 4.4指标体系细则.....................................................................1 5指标细则释义.........................................................................4 5.1建设情况指标.....................................................................4 5.2运行能力指标.....................................................................6 5.3安全态势指标....................................................................10 附录A.............................................................................15 参考文献........................................................................26 全国团体标准信息平台 II前言 本文件依据GB/T1.1－2020给出的规则起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本文件由广东省计算机信息网络安全协会提出并归口管理。 本细则起草单位：华南理工大学、广东省计算机信息网络安全协会、广州绿盟网络安全技术有限公 司、广东省清朗网络安全应急服务中心、广州中医药大学、广东省关键信息基础设施保护中心、广州大 学。 本细则主要起草人：陆以勤、沈雄、陈嘉睿、缪婧、黄振毅、赖智全、潘伟锵、覃健诚、程喆、黄 其森、罗杏娥、阮懿宗、王海瀚、毛中书、韩颖铮、肖岩军、温祥彬、谢婉娟、袁毅鸣、余骏华、梁倩、 邓国强、唐玮俊、刘卫红、艾飞、刘葵、郑媛、林茵、陈卓星、张洋、王猛、梁湘燕、黄建波、丁扬、 钟培俊、黎志生、唐文军、刘梅、潘周双、齐虹、陈晓容、钟智勇。 全国团体标准信息平台 III引言 当今互联网快速发展和广泛应用，极大促进了社会的繁荣进步，但网络空间安全形势也日益严峻。 关键信息基础设施是国家政治、经济、文化、社会等重要领域网络空间安全的基础支撑，也是网络防御 的核心，关系到国家安全和国计民生。为进一步科学构建教育、医疗、电力、能源等行业的关键信息基 础设施安全综合评价体系，全面提高关键信息基础设施保护能力和水平，更好的贯彻实施《信息安全技 术关键信息基础设施安全保障评价指标体系》，以《信息安全技术关键信息基础设施安全保障评价 指标体系》为基础，依据《关键信息基础设施网络安全保护基本要求》和《信息安全技术关键信息基 础设施安全检查评估指南》要求，制订关键信息基础设施范畴和安全保障实施四级指标（关键信息基础 设施安全保障评价指标体系细则），提高关键信息基础设施安全监控和评价的有效性和科学性，实现指 标体系和安全保护的协同联动。 全国团体标准信息平台 1关键信息基础设施安全保障指标体系细则 1范围 本细则是对《信息安全技术关键信息基础设施安全保障评价指标体系》的进一步说明，规定了用 于开展实施关键信息基础设施安全保障指标体系实施细则及其释义。 本细则适用于关键信息基础设施安全保障评价工作，为管理部门的信息安全态势判断和宏观决策提 供支持，为关键信息基础设施的管理部门及运营单位的信息安全管理工作提供支持。 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T20988—2007信息安全技术信息系统灾难恢复规范 GB/T25069—2010信息安全技术术语 GB/T31495.1—2015信息安全技术信息安全保障指标体系及评价方法第1部分：概念和模型 GB/T31495.2—2015信息安全技术信息安全保障指标体系及评价方法第2部分：指标体系 GB/T31495.3—2015信息安全技术信息安全保障指标体系及评价方法第3部分：实施指南 GB/TXXXXX—XXXX信息安全技术关键信息基础设施网络安全框架 GB/TXXXXX—XXXX信息安全技术关键信息基础设施网络安全保护基本要求 GB/TXXXXX—XXXX信息安全技术关键信息基础设施安全检查评估指南 GB/TXXXXX—XXXX信息安全技术关键信息基础设施安全保障评价指标体系 3术语和定义 GB/T25069—2010、GB/T31495.1—2015、GB/T31495.2—2015、GB/T31495.3—2015和《GB/TXXXXX —XXXX信息安全技术关键信息基础设施安全保障评价指标体系》中界定的以及下列术语和定义适用 于本文件。 4指标体系 4.1指标层次 GB/T31495.2—2015中的4.1“指标层级”适用。 4.2指标体系框架 《GB/TXXXXX—XXXX信息安全技术关键信息基础设施安全保障评价指标体系》中的4.2“指标 体系框架”适用。 4.3指标体系框架描述 《GB/TXXXXX—XXXX信息安全技术关键信息基础设施安全保障评价指标体系》中的4.2“指标 体系框架描述”适用。 4.4指标体系细则 在4.2和4.3给出的指标体系框架的约束下，表1给出了关键信息基础设施安全保障指标体系的建设 情况指标细则，其中规划指标细则包括安全规划制定指标、规划实施指标、规划优化指标3个细则；制 度指标细则包括安全管理制度制定指标、制度实施指标、制度优化指标3个细则；标准指标细则包括标 准符合度指标、标准先进性指标2个细则；组织机构建设与责任制指标细则包括组织机构指标、人员岗 全国团体标准信息平台 2位指标、责任指标3个细则；专业人才队伍指标细则包括规模指标、人才质量指标、安全培训指标3个细 则；资金投入指标细则包括投入方向指标、投入金额指标2个细则。 在4.2和4.3给出的指标体系框架的约束下，表2给出了关键信息基础设施安全保障指标体系中运 行能力指标细则，其中系统级安全测评指标细则包括测评结果指标、测评调整指标2个细则；网络信任 体系指标细则包括身份验证指标、授权管理指标、责任认定3个细则；信息共享与通报指标细则包括信 息系统监控指标、预警指标、信息共享指标3个细则；风险评估指标细则包括风险评估结果指标、风险 处理指标2个细则；隐患监测指标细则包括监测范围指标、隐患处置指标2个细则；应急预案指标细则 包括应急筹备指标、培训演练指标、预案调整指标3个细则；灾难备份指标细则包括灾难准备指标、恢 复能力指标2个细则；安全处置指标细则包括事件管理指标、处置能力指标2个细则；防御能力指标细 则包括检测能力指标、防护能力指标、响应能力指标3个细则。 在4.2和4.3给出的指标体系框架的约束下，表3给出了关键信息基础设施安全保障指标体系的安 全态势指标细则，其中安全威胁指标细则包括身份欺骗、资源位置欺骗、动作欺骗、利用竞争条件、API 操纵、洪水攻击、过度分配、功能滥用、协议处理、旁路功能、暴力破解、利用可信凭据、利用客户信 任、绕过身份验