关保笔记(二):识别认定 – 作者:宇宸de研究室

识别认定作为关保标准要求的第一个环节,要求对组织业务、资产、风险等进行识别和梳理。类似风险评估(资产、威胁、脆弱性)识别阶段,在这里《要求》也建议参考GB/T 20984的分析方法。 有关风险评估的流程和方法,论坛中有详细的解读文章,这里不再重述。

关保笔记系列

初识《关键信息基础设施网络安全保护基本要求》:基于等保,高于等保

关保笔记(二):识别认定

关保笔记(三):安全防护

业务识别要求

a)识别本组织的关键业务和关键业务所依赖的外部业务,识别外部业务对本组织关键业务的重要性。

b)当关键业务为外部业务提供服务时,识别本组织关键业务对外部业务的重要性。

c)梳理关键业务链,明确支撑本组织关键业务的关键信息基础设施分布和运营情况。

关保不再是只关心组织的某个关键业务系统,而是要考虑与业务相关的各类外部业务,考虑这些外部因素对关键业务的影响,类似BIA.

img

图1 组织关键业务、外部业务、CII影响关系

资产识别要求

a)识别关键业务链所依赖的资产,建立关键业务链相关的网络、系统、服务和其他资产清单。

b)基于资产类别、资产重要性和支撑业务的重要性,对资产进行优先排序,确定资产防护的优先级。

c)实现对关键信息基础设施相关资产的自动化管理,根据关键业务链所依赖资产的实际情况实时动态更新。

关保重视CII所依赖的资产梳理,并进行分级分类管理,并要求能够对资产的自动化管理,包括识别、监控、预警、更新等。介于CII的资产规模,工具+人工的50/50方式已经很难管理,这种比例要依靠自动化管理平台向99/1的比例移动,即99自动化管理配合1的人工监督。

img

图2 CII依赖资产自动化梳理和管理

风险识别要求

运营者应根据关键业务链开展安全风险及其影响分析,识别关键业务链各环节的威胁、脆弱性、已有安全控制措施及主要安全风险点,确定风险处置的优先级,形成安全风险报告。

关于风险识别的部分,大家应该比较熟悉了,基本还是风险评估的那套方法。只不过这次的范围界定会很大。除了CII自身业务链外,包括外部业务涉及的系统、网络、设备、人员、供应链、数据安全等方面,是整条业务链而非传统的自有单一业务。当然,也包括这条链所涉及的各组织的已有控制措施和控制效果。可以想象这巨大的工作量。《要求》中在此备注了可参照GB/T 20984.

重大变更要求

运营者应在关键信息基础设施发生改建、扩建、所有人变更等重大变化有可能影响认定结果时,例如网络拓扑改变、业务链改变等,重新开展识别工作,并更新资产清单,及时将相关情况报告保护工作部门,按规定进行重新认定。

这部分和等保标准要求基本一致,只是要考虑的因素多了业务链改变,重大变更后应重新识别、重新认定。有关识别认定部分要求内容不是很多,但是涉及的范围较广,不过方法论上依旧是风险评估的模式。

*本文原创作者:宇宸,本文属FreeBuf原创奖励计划,未经许可禁止转载

来源:freebuf.com 2020-03-12 09:30:12 by: 宇宸de研究室

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论