首页 新闻资讯内容详情

包含信息安全,信息安全技术,安全技术,关键信息基础设施,基础设施要求,国家标准发布的词条

2022-11-25 4 adminn8
包含信息安全,信息安全技术,安全技术,关键信息基础设施,基础设施要求,国家标准发布的词条

站点名称:包含信息安全,信息安全技术,安全技术,关键信息基础设施,基础设施要求,国家标准发布的词条

所属分类:新闻资讯

相关标签: # 信息安全 # 信息安全技术 # 安全技术 # 关键信息基础设施 # 基础设施要求 # 国家标准发布

官方网址:

SEO查询: 爱站网 站长网 5118

进入网站

站点介绍

今天给各位分享信息安全,信息安全技术,安全技术,关键信息基础设施,基础设施要求,国家标准发布的知识,其中也会对进行解释,如果能碰巧解决你现在面临的问题,别忘了关注本站,现在开始吧!

本文目录一览:

《网络安全法》解读系列之四——关键信息基础设施安全要求

【第三十一条】

国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域,以及其他一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的关键信息基础设施,在网络安全等级保护制度的基础上,实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。

国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。

解读

本条款定义了关键信息基础设施的范围,强调了必须落实网络安全等级保护制度,并进行重点保护。国务院将制定相应的关键信息基础设施安全保护办法。

【第三十二条】

按照国务院规定的职责分工,负责关键信息基础设施安全保护工作的部门分别编制并组织实施本行业、本领域的关键信息基础设施安全规划,指导和监督关键信息基础设施运行安全保护工作。

解读

本条款说明了要制定关键信息基础设施安全规划,和谁来负责制定规划。

信息与安全

随着信息技术应用的飞速发展,互联网应用的不断普及,基于网络的业务活动的发展以及全球经济一体化进程的加快,人们在享受信息所带来的巨大利益的同时,也面临着信息安全的严峻考验。根据中国互联网络信息中心和国家互联网应急中心联合发布的《2009年中国网民网络信息安全状况调查报告》显示:2009年,71.9%的网民发现浏览器配置被修改,50.1%的网民发现网络系统无法使用,45.0%的网民发现数据文件被损坏,41.5%的网民发现操作系统崩溃,而发现QQ、MSN密码、邮箱账号曾经被盗的网民占32.3%。2009年,网民处理安全事件所支出的服务费用共计153亿元人民币;在实际产生费用的人群中,人均费用约588.90元。

因此,如何有效地保护信息的安全是一个重要的研究课题,是国家现在与未来安全保障的迫切需求。随着人们对信息安全意识的提升,信息系统的安全问题越来越受到关注,因此如何构筑信息和网络安全体系已成为信息化建设所要解决的一个迫切问题。计算机网络化、规模化成为趋势,然而计算机信息系统却面临更多新的问题和挑战。

信息系统由网络系统、主机系统和应用系统等要素组成,其中每个要素都存在着各种可被攻击的漏洞、网络线路有被窃听的危险;网络连接设备、操作系统和应用系统所依赖的各种软件在系统设计、协议设计、系统实现以及配置等各个环节都存在着安全弱点和漏洞,有被利用和攻击的危险。面对一个日益复杂的信息安全环境,我们需要动态地、发展地认识信息安全并采取相应的保障措施。

7.1.1 信息与信息安全

“安全”在《高级汉语大词典》中的意思是“不受威胁,没有危险、危害、损失”。安全的定义是:远离危险的状态或特性,为防范间谍活动或蓄意破坏、犯罪、攻击或逃跑而采取的措施。在涉及“安全”词汇时,通常会与网络、计算机、信息和数据相联系,而且具有不同的侧重和含义。其基本含义为“远离危险的状态或特性”或“主观上不存在威胁,主观上不存在恐惧”。在各个领域都存在安全问题,安全是一个普遍存在的问题。信息和数据安全的范围要比网络安全和计算机安全更为广泛。它包括了信息系统中从信息的产生直至信息的应用这一全部过程。我们日常生活中接触的数据比比皆是,考试的分数、银行的存款、人员的年龄、商品的库存量等,按照某种需要或一定的规则进行收集,经过不同的分类、运算和加工整理,形成对管理决策有指导价值和倾向性说明的信息。

按字面意思,可以将信息安全理解为“信息安全就是使得信息不受威胁、损失”。但要全面完整地定义信息安全,则不是一件很容易的事。

国际标准化组织(ISO)定义的信息安全是“在技术上和管理上为数据处理系统建立的安全保护,保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和泄露”。此概念偏重采取的措施。

欧盟在1991年《信息安全评估标准(Version 1.2)》中将信息安全定义为:“在既定的密级条件下,网络与信息系统抵御意外事件,对危及所存储或传输的数据以及经由这些网络和系统所提供的服务的可用性、真实性、完整性和机密性的行为进行防御的能力。”

我国信息安全专家沈昌祥院士将信息安全定义为:保护信息和信息系统不被未经授权的访问、使用、泄露、修改和破坏,为信息和信息系统提供保密性、完整性、可用性、可控性和不可否认性。

信息安全是指信息网络的硬件、软件及其系统中的数据受到保护,不受偶然的或者恶意的原因而遭到破坏、更改、泄露,系统连续可靠正常地运行,信息服务不中断。信息安全的实质就是要保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏,即保证信息的安全性。但信息安全是相对的。可见安全界对信息安全的概念并未达成一致,对于信息安全的理解也随着信息技术及其应用的扩展而加深。1996年美国国防部在国防部对信息保障(IA)做了如下定义:保护和防御信息及信息系统,确保其可用性、完整性、保密性、可认证性、不可否认性等特性。这包括在信息系统中融入保护、检测、反应功能,并提供信息系统的恢复功能。

该定义将信息安全的定义拓展到了信息保障,突出了信息安全保障系统的多种安全能力及其对组织业务职能的支撑作用。用“保障”一词代替安全的主要目的有两个:一是使用这一质量领域的用词反映高度信息化社会的安全内涵,即把可靠性、服务品质等概念纳入其中;二是从管理需要出发,将安全防范的内容从防外部扩大到内外兼防,表明其看待信息安全问题的视角已经不再局限于单个维度,而是将信息安全问题抽象为一个由信息系统、信息内容、信息系统的所有者和运营者、信息安全规则等多个因素构成的一个多维问题空间。这些变化均反映了人们对信息安全的意义、内容、实现方法等一直在不断地思索和实践。

世界著名黑客米特尼克(Kevin Mitnick)在接受美国参议院一个安全专家组的咨询时曾说过:只要一个人有时间、金钱和动机,他就可以进入世界任何一台电脑。米特尼克的话并非危言耸听。15岁的他就入侵了北美空中防护指挥系统,并先后入侵了美国五角大楼、美国联邦调查局(FBI),以及几乎全美国所有计算机公司的电脑系统。

米特尼克的话反映了这样一个事实:网络世界没有绝对的安全。从屡屡传出的美国五角大楼遭受黑客入侵的消息中,我们也可以得到这一结论:戒备森严的五角大楼都难免被黑客攻入,其他的计算机系统又如何确保安全?事实上,无论是在理论上还是技术上,要想提供100%的安全保证都是不现实的。

因此,信息安全是一个动态变化的概念,要完整地理解信息安全,需要从信息安全的属性和内容两方面入手。

在美国国家信息基础设施(NII)的相关文献中,给出了安全的五个属性:机密性(Confidentiality)、可用性(Availability)、完整性(Integrity)、可控性(Controllability)和不可否认性(Non repudiation)。其中可用性、机密性、完整性是人们在不断实践和探索过程中,总结了信息安全的三个基本属性。随着信息技术的发展与应用,可控性和不可否认性作为信息安全的属性也得到了大多数学者的认可。

信息的机密性是指确保只有那些被授予特定权限的人才能够访问到信息。它是信息安全一诞生就具有的特性,也是信息安全主要的研究内容之一。更通俗地讲,就是说未授权的用户不能够获取敏感信息。信息的机密性依据信息被允许访问对象的多少而不同,一般可以根据信息的重要程度和保密要求将信息分为不同密级,如所有人员都可以访问的信息为公开信息,需要限制访问的信息为敏感信息或秘密信息,根据信息的重要程度和保密要求将信息分为不同密级。例如,军队内部文件一般分为秘密、机密和绝密三个等级,已授权用户根据所授予的操作权限可以对保密信息进行操作。有的用户只可以读取信息,有的用户既可以进行读操作又可以进行写操作。

信息的完整性是指要保证信息和处理方法的正确性和完整性,即网络中的信息不会被偶然或者蓄意地进行删除、修改、伪造、插入等破坏,保证授权用户得到的信息是真实的。信息的完整性包括两个方面含义:一方面是指在信息的生命周期中,使用、传输、存储信息的过程中不发生篡改信息、丢失信息、错误信息等现象;另一方面是指确保信息处理的方法的正确性,使得处理后的信息是系统所需的、获得正确的、适用的信息,执行不正当的操作,有可能造成重要文件的丢失,甚至整个系统的瘫痪。

信息的可用性是指授权主体在需要信息时能及时得到服务的能力。指确保那些已被授权的用户在他们需要的时候,确实可以访问得到所需要的信息,即信息及相关的信息资产在授权人需要的时候,可以立即获得。例如,通信线路中断故障、网络的拥堵会造成信息在一段时间内不可用,影响正常的业务运营,这是信息可用性的破坏由于服务器负荷过大而使得授权用户的正常操作不能及时得到响应,或者由于网络通讯线路的断开使得信息无法获取等,这些都是属于对信息的可用性的破坏。提供信息的系统必须能适当地承受攻击并在失败时恢复。

信息的可控性是指对信息和信息系统实施安全监控管理,防止非法利用信息和信息系统。对于信息系统中的敏感信息资源的主体,如果任何主体都能访问、对信息进行篡改、窃取以及恶意散播的话,安全系统显然会失去了效用。对访问信息资源的人或主体的使用方式进行有效控制,是信息安全的必然要求,从国家层面看,信息安全的可控性不但涉及信息的可控性,还与安全产品、安全市场、安全厂商、安全研发人员的可控性紧密相关。严格控制和规范获得信息的主体对信息进行修改、更新、删除、拷贝、传输等操作的权限是提高信息可控性的主要途径和方法。

信息的不可否认性也称抗抵赖性、不可抵赖性,是指在网络环境中,信息交换的双方不能否认其在交换过程中发送信息或接收信息的行为。它是传统的不可否认需求在信息社会的延伸。在日常生活中,人们通过纸介质上的印章或签名来解决信息的不可否认性问题。但在电子政务和电子商务应用系统中,传统的印章或签名已不能使用,当前只有依靠数字签名技术来解决信息的不可否认性问题。人类社会的各种商务和政务行为是建立在信任的基础上的,传统的公章、印戳、签名等手段便是实现不可否认性的主要机制,信息的不可否认性与此相同,也是防止实体否认其已经发生的行为。信息的不可否认性分为原发不可否认(也称原发抗抵赖)和接收不可否认(也称接收抗抵赖),前者用于防止发送者否认自己已发送的数据和数据内容;后者防止接收者否认已接收过的数据和数据内容,实现不可否认性的技术手段一般有数字证书和数字签名。

7.1.2 信息安全的主要研究内容

信息安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。其研究内容主要包括以下两个方面:一方面是信息本身的安全,主要是保障个人数据或企业的信息在存储、传输过程中的保密性、完整性、合法性和不可抵赖性,防止信息的泄露和破坏,防止信息资源的非授权访问;另一方面是信息系统或网络系统的安全,主要是保障合法用户正常使用网络资源,避免病毒、拒绝服务、远程控制和非授权访问等安全威胁,及时发现安全漏洞,制止攻击行为等。

关于信息安全的内容,美国国家电信与信息系统安全委员会(NTISSC)主席、美国C3I负责人、前国防部副部长 Latham认为,信息安全应包括以下六个方面内容:通信安全(COMSEC)、计算机安全(COMPUSEC)、符合瞬时电磁脉冲辐射标准(TEMPEST)、传输安全(TRANSEC)、物理安全(Physical Security)、人员安全(Personnel Security)。在我国,学者们较为公认的信息安全一般包括实体安全、运行安全、数据安全和管理安全四个方面的内容。

现代信息系统中的信息安全其核心问题是密码理论及其应用,其基础是可信信息系统的构作与评估。总的来说,目前在信息安全领域人们所关注的焦点主要有以下几方面:

(1)密码理论与技术。密码理论与技术主要包括两部分,即基于数学的密码理论与技术(包括公钥密码、分组密码、序列密码、认证码、数字签名、Hash函数、身份识别、密钥管理、PKI技术等)和非数学的密码理论与技术(包括信息隐形、量子密码、基于生物特征的识别理论与技术)。密码技术特别是加密技术是信息安全技术中的核心技术,国家关键基础设施中不可能引进或采用别人的加密技术,只能自主开发。目前我国在密码技术的应用水平方面与国外还有一定的差距。

(2)安全协议理论与技术。安全协议的研究主要包括两方面内容,即安全协议的安全性分析方法研究和各种实用安全协议的设计与分析研究。安全协议的安全性分析方法主要有两类:一类是攻击检验方法,一类是形式化分析方法,其中安全协议的形式化分析方法是安全协议研究中最关键的研究问题之一,它的研究始于20世纪80年代初,目前正处于百花齐放、充满活力的阶段。许多一流大学和公司的介入,使这一领域成为研究热点。随着各种有效方法及思想的不断涌现,这一领域在理论上正在走向成熟。在安全协议的研究中,除理论研究外,实用安全协议研究的总趋势是走向标准化。我国学者虽然在理论研究方面和国际上已有协议的分析方面做了一些工作,但在实际应用方面与国际先进水平还有一定的差距。

(3)安全体系结构理论与技术。安全体系结构理论与技术主要包括:安全体系模型的建立及其形式化描述与分析,安全策略和机制的研究,检验和评估系统安全性的科学方法和准则的建立,符合这些模型、策略和准则的系统的研制(比如安全操作系统、安全数据库系统等)。我国在系统安全的研究与应用方面与先进国家和地区存在很大差距。近几年来,我国进行了安全操作系统、安全数据库、多级安全机制的研究,但由于自主安全内核受控于人,难以保证没有漏洞。

(4)信息对抗理论与技术。信息对抗理论与技术主要包括:黑客防范体系,信息伪装理论与技术,信息分析与监控,入侵检测原理与技术,反击方法,应急响应系统,计算机病毒,人工免疫系统在反病毒和抗入侵系统中的应用等。该领域正在发展阶段,理论和技术都很不成熟,也比较零散。但它的确是一个研究热点。目前看到的成果主要是一些产品(比如IDS、防范软件、杀病毒软件等),攻击程序和黑客攻击成功的事件。当前在该领域最引人注目的问题是网络攻击,美国在网络攻击方面处于国际领先地位,有多个官方和民间组织在做攻击方法的研究。

(5)网络安全与安全产品。网络安全是信息安全中的重要研究内容之一,也是当前信息安全领域中的研究热点。研究内容包括:网络安全整体解决方案的设计与分析,网络安全产品的研发等。网络安全包括物理安全和逻辑安全。物理安全指网络系统中各通信、计算机设备及相关设施的物理保护,免于破坏、丢失等。逻辑安全包含信息完整性、保密性、非否认性和可用性。它是一个涉及网络、操作系统、数据库、应用系统、人员管理等方方面面的事情,必须综合考虑。

7.1.3 信息安全的产生与发展

在信息社会中,一方面,信息已成为人类的重要资产,对计算机技术的依赖程度越来越深,信息技术几乎渗透到了社会生活的方方面面。另一方面,由于信息具有易传播、易扩散、易毁损的特点,信息资产比传统的实物资产更加脆弱,更容易受到损害,因此随着人们对信息系统依赖程度的增加,信息安全问题也日益突出。

信息安全发展的历史分为三个阶段:通信安全发展阶段、计算机安全发展阶段和信息保障发展阶段。

7.1.3.1 通信安全发展阶段

通信安全发展阶段开始于20世纪40年代,其时代标志是1949年香农发表的《保密系统的信息理论》,该理论首次将密码学的研究纳入到科学的轨道。在这个阶段所面临的主要安全威胁是搭线窃听和密码分析,其主要保护措施是数据加密。

20世纪40年代以前,通信安全也叫通信保密,是战争的需要。40年代还增加了电子安全,实际上就是电子通信安全。50年代欧美国家把通信安全和电子安全合称为信号安全,包括了调制和加密,密码学是这个阶段的重要技术,变成了军方拥有的技术,就像武器一样,被控制起来。在这一阶段,虽然计算机已经出现,但是非常脆弱,加之由于当时计算机速度和性能比较落后,使用范围有限,因此该阶段重点是通过密码技术解决通信保密问题。

7.1.3.2 计算机安全发展阶段

进入到20世纪60年代,计算机的使用日渐普及,计算机安全提到日程上来。此时对计算机安全的威胁主要是非法访问、脆弱的口令、恶意代码(病毒)等,需要解决的问题是确保信息系统中硬件、软件及应用中的保密性、完整性、可用性。在这个时期,密码学也得到了很快发展,最有影响的两个大事件是:一件是Diffiee和Hellman于1976年发表的论文《密码编码学新方向》,该文导致了密码学上的一场革命,他们首次证明了在发送者和接收者之间无密钥传输的保密通信是可能的,从而开创了公钥密码学的新纪元;另一件是美国于1977年制定的数据加密标准 DES。这两个事件标志着现代密码学的诞生,是信息安全中的一个重大事件。1985年美国国防部的可信计算机系统安全评价标准(TCSEC)的公布意味着信息安全问题的研究和应用跨入了一个新的高度。

由于军方的参与和推动,计算机安全在密码算法及其应用、信息系统安全模型及评价两个方面取得了很大的进展,主要开发的密码算法有1977年美国国家标准局采纳的分组加密算法 DES(数据加密标准);双密钥的公开密钥体制 RSA,该体制由 Rivest、Shamir、Adleman根据1976年Diffie与 Hellman在《密码编码学新方向》开创性论文中提出的思想创造的;1985年N.Koblitz和V.Miller提出了椭圆曲线离散对数密码体制(ECC),该体制的优点是可以利用更小规模的软件、硬件实现有限域上同类体制的相同的安全性。

从美国的TCSEC开始,包括英、法、德、荷等四国发布了信息技术的安全评估准则,加拿大在1993年也发布了可信计算机产品评价准则,美国1993年也制定了联邦标准,最后由六国七方,在20世纪90年代中,提出了一个信息技术安全性评估通用准则(Common Criteria)。经过近10年的发展,该准则到现在已经基本成熟。

7.1.3.3 信息保障发展阶段

信息保障(Information Assurance,IA)是“通过保障信息的可用性、完整性、验证、保密以及非拒认来保护信息和信息系统的措施,包括通过保护、检测、响应等功能恢复信息系统。”

资料来源:美国国防部2002年10月24日发表的《信息保障》国防部令。

20世纪90年代以来,计算机网络迅速发展,对安全的需求不断地向社会各个领域扩展。此时的安全威胁主要表现在网络环境中黑客入侵、病毒破坏、计算机犯罪、情报窃取等。人们需要保护信息在存储、处理、传输、利用过程中不被非法访问或修改,确保合法用户得到服务和拒绝非授权用户服务。但是人们很快就发现,单靠计算机安全或是通信安全无法在存储、处理与系统转换阶段保障信息安全。信息系统安全就此应运而生,并赋予信息保障更广泛的含义。针对这一需求,人们开发了信息保障(IA)技术,用于在复杂或分布式通信网络中保障信息传递、处理和存储安全,使得接收的信息与原来发送的一致。这一阶段,由于对信息系统攻击日趋频繁和电子商务的发展,信息的安全不再局限于信息的保护,人们需要对整个信息和信息系统的保护和防御,包括保护、检测、反应和恢复能力。

关键信息基础设施的安全技术措施部署应遵循

关键信息基础设施需要加强体系化设计、系统化部署,不断完善法律法规、政策规范、技术标准、安全保护、安全保卫、安全保障等6大制度体系。

其中很重要的策略是在关键信息基础设施保护中要立足自力更生,自主创新,防止“卡脖子”。

按照《条例》要求,国家要支持关键信息基础设施安全防护技术创新和产业发展,组织力量实施关键信息基础设施安全技术攻关,在创新中培养人,在实践中锻炼人。

相信在党中央的集中统一领导下,依据国家不断完善的法规政策,网信部门统筹协调,公安机关和各保护部门协同监管和指导,以及社会安全服务机构的大力支持,关键信息基础设施运营者主体责任的落实,国家关键信息基础设施保护能力一定会提升到一个新的高度,达到一个新的水平。

网络安全等级保护2.0国家标准

等级保护2.0标准体系主要标准如下:1.网络安全等级保护条例2.计算机信息系统安全保护等级划分准则3.网络安全等级保护实施指南4.网络安全等级保护定级指南5.网络安全等级保护基本要求6.网络安全等级保护设计技术要求7.网络安全等级保护测评要求8.网络安全等级保护测评过程指南。

第一级(自主保护级),等级保护对象受到破坏后,会对公民、法人和其他组织的合法权益造成损害,但不损害国家安全、社会秩序和公共利益;

第二级(指导保护级),等级保护对象受到破坏后,会对公民、法人和其他组织的合法权益产生严重损害,或者对社会秩序和公共利益造成损害,但不损害国家安全;

第三级(监督保护级),等级保护对象受到破坏后,会对公民、法人和其他组织的合法权益产生特别严重损害,或者对社会秩序和公共利益造成严重损害,或者对国家安全造成损害;

第四级(强制保护级),等级保护对象受到破坏后,会对社会秩序和公共利益造成特别严重损害,或者对国家安全造成严重损害;

第五级(专控保护级),等级保护对象受到破坏后,会对国家安全造成特别严重损害

相较于1.0版本,2.0在内容上到底有哪些变化呢?

1.0定级的对象是信息系统,2.0标准的定级的对象扩展至:基础信息网络、云计算平台、物联网、工业控制系统、使用移动互联技术的网络以及大数据平台等多个系统,覆盖面更广。

再者,在系统遭到破坏后,对公民、法人和其他组织的合法权益造成特别严重损害的由原来的最高定为二级改为现在的最高可以定为三级。

最后,等保2.0标准不再强调自主定级,而是强调合理定级,系统定级必须经过专家评审和主管部门审核,才能到公安机关备案,定级更加严格。

总结通过建立安全技术体系和安全管理体系,构建具备相应等级安全保护能力的网络安全综合防御体系,开展组织管理、机制建设、安全规划、通报预警、应急处置、态势感知、能力建设、监督检查、技术检测、队伍建设、教育培训和经费保障等工作。法律依据:《中华人民共和国网络安全法》

第二十一条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求,履行下列安全保护义务,保障网络免受干扰、破坏或者未经授权的访问,防止网络数据泄露或者被窃取、篡改:

(一)制定内部安全管理制度和操作规程,确定网络安全负责人,落实网络安全保护责任;

(二)采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施;

(三)采取监测、记录网络运行状态、网络安全事件的技术措施,并按照规定留存相关的网络日志不少于六个月;

(四)采取数据分类、重要数据备份和加密等措施;

(五)法律、行政法规规定的其他义务。

第三十一条国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域,以及其他一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的关键信息基础设施,在网络安全等级保护制度的基础上,实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。

国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。

关键信息基础设施安全保护条例

关键信息基础设施安全保护条例,是为了保障关键信息基础设施安全,维护网络安全,根据《中华人民共和国网络安全法》所制定的。本条例所称关键信息基础设施,是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的,以及其他一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。

法律依据

《关键信息基础设施安全保护条例》第一条 为了保障关键信息基础设施安全,维护网络安全,根据《中华人民共和国网络安全法》,制定本条例。

《关键信息基础设施安全保护条例》第二条 本条例所称关键信息基础设施,是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的,以及其他一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。

聚焦关键信息基础设施,网络安全保护迎新政

鉴于此,网络安全保护势在必行且刻不容缓。通过对硬件、软件和数据的保护,让网络系统运行安全,网络服务正常提供,成为我国发展的关键所在。在此背景下,此前我国已经出台了《网络安全漏洞管理规定》、《密码法草案》等多部法规,给予网络安全重视、鼓励和引导,为发展提供法律保障与护航。

而近日,我国也是再度发布《关键信息基础设施安全保护条例》,将网络安全保护推向新阶段。据悉,这是我国首部专门针对关键信息技术设施安全保护工作的行政法规。其主要从范围定义、责任义务归属、实施落地以及追责等方面,对我国网络安全保障的核心要素及关键战略性资源进行了明确规定与部署。

根据条例表示,所谓关键信息基础设施,主要是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防 科技 工业等重要行业和领域的,以及其他一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。

从《条例》看,关键信息基础设施的认定,行业主管部门有重要决定权,是否属于关键信息基础设施,核心在于业务是否重要。关键信息基础设施的范围会随着业务的影响而改变,随着信息化潮流的发展而扩展。因此《条例》明确,要通过一个国家统筹的多级立体化协同综合防控体系来有效保护。

在《条例》中,重点强调了运营商的责任和义务。《条例》明确,运营者应当建立健全网络安全保护制度和责任制,保障人力、财力、物力投入。运营者应当设置专门安全管理机构,并对专门安全管理机构负责人和关键岗位人员进行安全背景审查。此外,运营者应当优先采购安全可信的网络产品和服务。

若运营者有任何违规行为的,有关主管部门可依据职责责令改正,或给予警告;若拒不改正或者导致危害网络安全等后果的,可处10万元以上100万元以下罚款,并对直接负责的主管人员处1万元以上10万元以下罚款。同时,有关部门未能履行关保护监督职责的,也将依法对主管人员给予处分。

而针对实施危害关键信息基础设施安全活动的个人和组织,《条例》也作出相应规范。其特别强调,任何个人和组织不得实施非法侵入、干扰、破坏关键信息基础设施的活动,不得危害关键信息基础设施安全;对基础电信网络实施漏洞探测、渗透性测试等活动,应当事先向国务院电信主管部门报告,否则违法必究。

总的来看,《关键信息基础设施安全保护条例》作为网络安全法的重要配套立法,对国内外网络安全保护的主要问题和发展趋势进行了积极应对,为下一步加强关键信息基础设施安全保护工作提供了重要法治保障。按照计划,《条例》将自2021年9月1日起正式施行,届时我国网络安全保护将迈入全新阶段。

信息安全,信息安全技术,安全技术,关键信息基础设施,基础设施要求,国家标准发布的介绍就聊到这里吧,感谢你花时间阅读本站内容,更多关于、信息安全,信息安全技术,安全技术,关键信息基础设施,基础设施要求,国家标准发布的信息别忘了在本站进行查找喔。