GB/T 39204-2022标准规范下载简介

GB_T 39204-2022 信息安全技术 关键信息基础设施安全保护要求

ICS35.030 CSS L. 80

GB/T392042022

SN/T 5439.6-2022 出口食品中食源性致病菌快速检测方法 PCR-试纸条法 第6部分：空肠弯曲菌Informationsecuritytechnology ersecurity requirements for critical information infrastructure protection

Information securitytechnology

11.1 制度 11.2 应急预案和演练 11.3 响应和处置 11.4 重新识别 考文献

本文件接照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件全国信息安全标准化技术委员会（SAC/TC260）提出并归口。 本文件起草单位：中央网信办网络安全协调局、公安部网络安全保卫局、中国电子技术标准化研究 院、中国信息安全测评中心、国家信息技术安全研究中心、国家计算机网络应急技术处理协调中心、公安 部第三研究所、公安部第一研究所、北京赛西科技发展有限责任公司、中国信息安全研究院有限公司、 国家工业信息安全发展研究中心、中国网络安全审查技术与认证中心、中国互联网络信息中心。 本文件主要起草人：杨建军、郭启全、郭涛、姚相振、王惠莅、祝国邦、范春玲、陈亮、宋璟、孙晓丽、 周亚超、孙军、任卫红、李秋香、江典盛、袁静、宫月、任泽君、张新跃、上官晓丽、杨晨、王凤娇、程娜、马力 刘志磊、于东升、陈翠云、刘志宇、任望、魏军、黄元飞、王博、王姣、王秉政。

GB/T39204—2022

信息安全技术 关键信息基础设施安全保护要求

信息安全技术 关键信息基础设施安全保护要求

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文 件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于 本文件。 GB/T20984信息安全技术信息安全风险评估方法 GB/T25069信息安全技术术语

GB/T25069界定的以及下列术语和定义适用于本文件。 3.1 关键信息基础设施criticalinformationinfrastructure 公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领 域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重 要网络设施、信息系统等。 3.2 供应链supplychain 将多个资源和过程联系在一起，并根据服务协议或其他采购协议建立连续供应关系的组织系列。 注：其中每一组织充当需方、供方或双重角色。 3.3 关键业务链criticalbusinesschain 组织的一个或多个相互关联的业务构成的关键业务流程。

关键信息基础设施安全保护应在网络安全等级保护制度基础上，实行重点保护，应遵循以下基本 原则。 以关键业务为核心的整体防控。关键信息基础设施安全保护以保护关键业务为目标，对业务 所涉及的一个或多个网络和信息系统进行体系化安全设计，构建整体安全防控体系。

关键信息基础设施安全保护应在网络安全等级保护制度基础上，实行重点保护，应遵循以下基本 原则。 以关键业务为核心的整体防控。关键信息基础设施安全保护以保护关键业务为目标，对业务 所涉及的一个或多个网络和信息系统进行体系化安全设计，构建整体安全防控体系。

GB/T 39204—2022

以风险管理为导向的动态防护。根据关键信息基础设施所面临的安全威胁态势进行持续监测 和安全控制措施的动态调整，形成动态的安全防护机制，及时有效地防范应对安全风险。 以信息共享为基础的协同联防。积极构建相关方广泛参与的信息共享、协同联动的共同防护 机制DL/T 2035-2019 集中式空调能效在线监测系统技术要求，提升关键信息基础设施应对大规模网络攻击能力。

业务识别要求包括： a）应识别本组织的关键业务和与其相关联的外部业务； b）应分析本组织关键业务对外部业务的依赖性； c）应分析本组织关键业务对外部业务的重要性； d）应梳理关键业务链，明确支撑关键业务的关键信息基础设施分布和运营情况。

资产识别要求包括： a 应识别关键业务链所依赖的资产，建立关键业务链相关的网络、系统、数据、服务和其他类资产 的资产清单； b） 应基于资产类别、资产重要性和支撑业务的重要性，确定资产防护的优先级； c）应采用资产探测技术识别资产，并根据关键业务链所依赖资产的实际情况动态更新。

应识别关键业务链所依赖的资产，建立关键业务链相关的网络、系统、数据、服务和其他类资 的资产清单； b）应基于资产类别、资产重要性和支撑业务的重要性，确定资产防护的优先级； C）应采用资产探测技术识别资产，并根据关键业务链所依赖资产的实际情况动态更新。

应按照GB/T20984等风险评估标准，对关键业务链开展安全风险分析，识别关键业务链各环节的 威胁、脆弱性，确认已有安全控制措施，分析主要安全风险点，确定风险处置的优先级，形成安全风险 报告。

在关键信息基础设施发生改建、扩建、所有人变更等较大变化时FZ/T 64074-2019 砂带基布，应重新开展识别工作，可能影响认 定结果的，应及时将相关情况报告保护工作部门，并更新资产清单。 注：保护工作部门指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业 和领域的主管部门、监督管理部门.也是负责关键信息基础设施安全保护工作的部门