深度解读《关键信息基础设施安全防护能力要求与评价》

9月17日下午，关键信息基础设施安全保护系列团体标准宣贯解读活动第二场以线上直播形式举行。本场聚焦《关键信息基础设施安全防护能力要求与评价》（T/CIIPA 00004—2024）开展深度解读，由该标准主要起草单位中广核数字科技有限公司主任工程师黄启清主讲。

关键信息基础设施是经济社会运行的神经中枢，是网络安全保护的重中之重。8月27日，中关村华安关键信息基础设施安全保护联盟（以下简称"关保联盟"）在北京成功召开关键信息基础设施安全保护系列团体标准发布大会，正式对外发布十项T/CIIPA系列团体标准，填补了国内关基保护领域团体标准的空白。

9月10日，系列宣贯解读活动的首场（启动场）成功举办，围绕安全服务能力、安全分析识别两项标准展开解读，线上参与规模可观，行业反馈普遍认为"对标准条文、合规实践有了更具体的理解"。正是看到行业旺盛的学习与实践需求，关保联盟接续组织第二场解读，把标准内容讲透、把落地路径讲明。

如果说完备的标准体系是"设计图"，那么"安全防护能力"就是把设计图变成实景的那道主力工程。本场聚焦的 T/CIIPA 00004—2024《关键信息基础设施安全防护能力要求与评价》，正是十项团体标准中统领全局的"总纲"标准——它确立的是关键信息基础设施安全防护的总体要求、总体框架、能力要求与评价模型。

本场主讲嘉宾为中广核数字科技有限公司主任工程师黄启清老师，长期深耕关键信息基础设施安全防护，具备丰富的工程实践与关基保护经验。

黄启清在解读中首先回答了"这份标准解决什么问题、与等保是什么关系"——这也是现场听众最关心的问题。

标准给出的定位很明确：在落实网络安全等级保护制度的基础上，强化关基特有的管理、技术、运营与保障能力。换句话说，构成关基的网络和信息系统，首先要完整落实等保制度，完成定级、备案、等级测评、建设整改四个规定动作，建立合规基线；在此基础上，再叠加关基特有的加强型、特殊型保护。等保是底线要求，这本标准是"加强型"，二者递进衔接，而不是相互替代——同样也不替代数据安全、密码应用等既有合规要求。

比定位更关键的，是标准带来的理念转向。黄启清指出，当前网络结构和业务系统复杂多变、相互依赖不断加深，攻击呈现政治化、军事化、致命化、精准化趋势，高级攻击可能实施入侵控制、窃密乃至摧毁，传统单点防护难以应对；而单纯依赖安全功能叠加的碎片化、同质化建设，又会造成防护孤岛、重复投资、运维割裂——"把安全产品堆起来"并不等于"能力协同起来"。

因此标准的核心导向，是把关基保护从"堆产品"转向"建能力"，从单点防御转向体系化闭环，从静态合规转向动态对抗，从碎片叠加转向协同联动，以"识别—防护—检测—监测—对抗—处置—恢复"的持续闭环，将产品能力内化为组织可持续运营的综合防御体系。

在总体理念上，标准提出以"人工智能技术 + 大数据 + 专业力量/专业能力 + 新型运行机制"四位一体、四轮驱动，构建网络安全新质战斗力。核心不在单点采购，而是把理论、技术、专业、装备、实战和机制联动起来，推动安全业务和能力提档升级。

标准搭建的能力框架，可以概括为"四大体系定权重、八大主线看环节、扩展项按场景加码"。

各体系也都给出了可抓可落的具体要求。管理能力体系以安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全策略管理、安全运营管理、安全监督管理七要素为核心，目标是让保护工作"有领导、有计划、有制度、有岗位、有过程、有考核、有监督"；标准特别强调关键岗位"双人共同管理"和"三同步"（安全措施与主体工程同步规划、同步建设、同步使用），杜绝"先上线、后补安全"。

技术能力体系沿安全通信网络、安全区域边界、安全计算环境三条主线构筑纵深防御：通信网络强调"一主双备"、多电信运营商多路由保护，远程通信采用商用密码/量子加密鉴别，安全审计集中收集、日志留存不少于6个月，并利用大数据与人工智能识别异常行为；区域边界严格物理/逻辑隔离，实施多因素动态身份鉴别、最小权限与强制访问控制；计算环境以HIPS、EDR、可信计算、沙箱等主动防护技术对抗APT，并以行为监测、勒索诱捕、蜜罐、零信任等构建体系化防勒索能力，同时落实异地备份与定期恢复验证。

保障能力体系覆盖组织及制度、人才队伍、经费、跨组织协同四个维度：人才方面要求年度教育培训每人不少于30学时；跨组织协同要求建立联系清单与协作小组，信息共享平均时间不超过24小时，重大事件即时通报。

值得关注的是标准的场景化扩展项设计。针对云平台、移动互联、物联网、工业控制、5G、区块链、IPv6、大数据与人工智能九类新技术新应用场景，标准在通用评价项基础上另行增加扩展能力项（合计47 项，其中人工智能 8 项、云平台 9 项、工业控制 7 项），要求逐场景落实租户隔离、终端准入、专用单向隔离、地址白名单、模型与训练数据保护等专项要求——新技术用到哪里，评价项就跟到哪里。

本场解读的另一个重点，是标准给出的能力水平评价方法。黄启清强调，这套模型的评价顺序不可颠倒：

黄启清提醒，涉及云平台、移动互联、物联网、工业控制、5G、区块链、IPv6、大数据、人工智能等新技术新应用时，应在通用评价项基础上增加相应扩展评价项，再按同一评价模型计算合规率与结论；扩展评价项同样适用高风险判定逻辑。这套"先排查高风险、再计合规分"的设计，等于把最要命的短板放在了评价的第一顺位。

标准讲了要求、给了尺子，最终要落到运营者的年度建设与运营动作上。黄启清给出的落地路线分为四个阶段：

黄启清用一句话概括了这套路线的意义：标准的本质不是增加一套孤立检查，而是推动保护范式升级——把关基保护从"合规项管理"推进到"能力体系建设"。现场还分享了一份"一页纸"检查清单，涵盖责任人与双人关键岗位、关键业务链与年度风险报告、等保与密码与数据与供应链评估、7×24监测预警与威胁情报共享、年度检测评估与攻防演练、异地备份与恢复验证、24小时内跨组织信息共享、高风险快速处置与复盘机制等八项，便于各单位对照自查、转化为年度建设与运维动作。

第三场宣贯解读活动将于9月24日（周四）举办，聚焦《关键信息基础设施安全检测评估能力要求》（T/CIIPA 00007—2024）和《关键信息基础设施安全监测预警能力要求》（T/CIIPA 00005—2024）两项标准，由中国电子科技集团公司第十五研究所测评中心副主任刘健、国家广播电视总局监管中心信息安全处高级工程师李炎联袂解读。"检测评估"是检验防护成效的"体检关"，"监测预警"是发现风险的"千里眼"，欢迎行业同仁提前预约、持续关注。