深度解读《关键信息基础设施安全检测评估能力要求》《关键信息基础设施安全监测预警能力要求》

9月24日下午，关键信息基础设施安全保护系列团体标准宣贯解读活动第三场在北京举行。本场聚焦《关键信息基础设施安全检测评估能力要求》（T/CIIPA 00007—2024）与《关键信息基础设施安全监测预警能力要求》（T/CIIPA 00005—2024）两项标准进行深度解读，分别由中国电子科技集团公司第十五研究所测评中心副主任刘健、国家广播电视总局监管中心信息安全处高级工程师李炎主讲。

关键信息基础设施是经济社会运行的神经中枢，是网络安全保护的重中之重。8月27日，中关村华安关键信息基础设施安全保护联盟（以下简称"关保联盟"）在北京成功召开关键信息基础设施安全保护系列团体标准发布大会，正式对外发布十项T/CIIPA系列团体标准，填补了国内关基保护领域团体标准的空白。

9月10日、9月17日，系列宣贯解读活动第一场（启动场）、第二场相继举办，围绕安全服务能力、安全分析识别、安全防护能力三项标准展开解读，行业参与度持续走高，整体反响十分热烈。

如果说安全防护是"把门守好"，那么检测评估就是定期"体检"，监测预警就是全天候"站岗"。本场解读的两项标准，恰好构成关基保护闭环中"看得见问题"与"防得住风险"的两端——前者回答"防护措施到底有没有效、风险隐患在哪里"，后者回答"威胁何时来、来了能不能第一时间发现"。一个管"查"，一个管"看"，共同支撑关基保护从静态合规走向动态对抗、从被动响应走向主动防御。

刘健在解读中首先回答了"这份标准解决什么问题、与等级保护是什么关系"。

标准给出的依据链条十分清晰：《网络安全法》第三十三条明确，关键信息基础设施在网络安全等级保护制度的基础上实行重点保护；《网络安全法》《关键信息基础设施安全保护条例》则规定了运营者开展检测和风险评估的责任义务。在技术标准体系中，检测评估是《信息安全技术 关键信息基础设施安全保护要求》（GB/T 39204—2022）提出的安全保护六个环节之一，其定位是以合规测评为基础，进一步开展网络安全风险和能力判定。

关于与等级测评的关系，标准给出了明确的时序安排：关基通常由一个或多个等级保护对象构成，其安全检测评估应在所有等级保护对象完成等级测评之后进行，以便复用等级测评结果。换句话说，等级测评解决"合规基线"问题，安全检测评估在此基础上进一步判断"能力"与"风险"——两者是递进而非替代的关系。

标准同时规定了四种检测评估方式：

在检测评估内容上，标准划出"一条主线＋十个维度"：主线上围绕分析识别、安全防护、检测评估、监测预警、主动防御、事件处置六个方面活动展开，具体指标要求参见GB/T 39204—2022；维度上综合考虑安全制度执行、安全组织构建、人员与资金投入、教育培训实施、等级保护制度落实、技术防护完备性、数据安全保护、供应链安全、风险评估全面性、应急与攻防演练实效性十个方面。其中特别强调对数据在关基中跨系统、跨区域流通及其资产安全保护的关注。

本场解读的重点之一，是标准为两类主体开出的"能力清单"和评价准则。标准明确，关基安全检测评估能力同时面向运营者和网络安全检测评估机构两类主体，并分别给出指标：

▍运营者：5个能力层面、39项合规指标（含13项必要项）

合规检测评估与风险检测评估合计占一半权重，是运营者角色特点的重点考核内容；风险检测评估一项就有16个合规项，是所有层面中要求最细、最多的部分。

▍检测评估机构：8个能力层面、42项合规指标（含15项必要项）

测评实施能力权重最高，基本条件的必要项最多（6项），风险控制的2项合规项全部是必要项——权重分配本身就是"指挥棒"。

值得注意的是，两类主体的评价力度并不相同：运营者的合规指标虽标注了权重和必要项，但仅供优化提升借鉴使用，原则上不出具评价结论；检测评估机构的合规指标则必须有明确的评价结论。这意味着，这套指标对运营者更像一份"自查体检表"，对检测评估机构则是实打实的"准入与评级尺"。

▍运营者侧，五个层面各有抓手

管理机构要求成立网络安全工作委员会或领导小组，由单位第一负责人担任领导职务，并明确一名领导班子成员作为首席网络安全官，专职管理或分管关基安全保护工作；设置专门的网络安全管理机构，明确职责与岗位编制；建立网络安全考核及监督问责机制；为每个关键信息基础设施明确一名安全管理责任人；将安全管理机构人员纳入关基相关决策体系。

专业人员覆盖上岗、培训、背景、权限、保密五个环节：关键岗位人员须通过安全技能考核方可上岗，关键岗位宜从内部选拔并配备两人以上共同管理；建立教育培训制度，关基从业人员每人每年教育培训时长不应少于40个学时；对安全管理机构负责人和关键岗位人员开展背景调查，身份、安全背景发生变化（如取得非中国国籍）时须重新审查；人员岗位调动或离岗时，须重新评估并调整访问权限、及时终止离岗人员权限、收回身份鉴别软硬件设备；与从业人员签订安全保密协议，明确奖惩机制与离岗后脱密期限。

检测评估装备要求配置安全基线核查工具、漏洞扫描系统、入侵检测系统、安全事件信息管理系统、监测预警系统、渗透测试工具等；装备应通过具备资质的检测机构测试或认证；并特别要求具备两项自动化能力——自动化识别互联网及内网暴露面并开展风险评估，以及对拒绝服务攻击、高级可持续威胁（APT）等行为进行有效分析的自动化工具或平台。

合规检测评估与风险检测评估则强调"制度—主体—内容—闭环"的完整链条：先建制度流程，再落实专业团队或委托第三方，内容覆盖法律法规、标准规范、运营者内部管理制度三个层面，最后对发现的问题跟踪整改、形成问题整改清单。风险检测评估部分还要求对风险进行分类分级、采用定量与定性相结合的方法评估、建立风险数据库与风险预警机制，并明确定期组织攻防演练（不适合实网演练的场景可采取仿真环境或沙盘推演）、定期开展数据安全风险评估、对数据全生命周期各阶段数据处理活动进行全面检测。

▍机构侧，八个层面筑起"门槛"

基本条件是准入门槛，8项中6项为必要项，包含几组硬指标：在中华人民共和国境内注册成立，由中国公民、法人投资或国家投资；注册资金500万元以上；具有从事网络安全相关工作2年以上经验；技术和管理人员不少于15人，专职渗透测试人员不少于2人；法人、主要负责人、检测评估人员仅限中国境内中国公民且无犯罪记录。尤为关键的是公正性隔离要求——机构不得从事网络安全产品开发、销售或信息系统安全集成等可能影响检测评估结果公正性的业务（自用除外），避免"既当运动员又当裁判员"。

组织管理能力要求专业人员中大学本科（含）以上学历所占比例不低于70%，明确技术员、项目负责人、技术主管、质量主管、保密安全员、设备管理员、档案管理员等岗位设置，并建立安全保密、项目管理（依据GB/T 39204制定）、设备管理、文档管理、人员管理、培训教育、申诉投诉及争议处理七项规章制度。

测评实施能力是权重最高的一环：人员方面要求检测评估人员分层级取得初级、中级、高级关键信息基础设施安全测评人员资格，人数不少于15人，每年培训时长累计不少于40学时，并指定一名技术主管全面负责技术工作；流程方面明确准备、方案编制、现场检测、报告编制四个阶段，其中方案须通过技术评审并留档、指导书须做版本有效性维护，现场环节强调严格执行方案、规范准确完整填写记录、过程予以监督并记录，报告环节要求客观描述已采取的有效措施与主要安全问题、指出与保护要求的差距、分析差距可能导致的风险并给出明确结论。

设施和设备安全与保障能力把"自主可控"落到字面：使用的技术装备、设施原则上应由中国公民、法人投资或国家投资控股单位研制生产，在中国境内具有独立法人资格，核心技术与关键部件拥有我国自主知识产权，研制生产单位及其主要业务、技术人员无犯罪记录，并声明没有故意留有或设置漏洞、后门、木马等程序和功能；如使用开源软件或三方组件，应论证选用必要性、证明来自官方渠道，并经安全检测机构检测证明未设置漏洞、后门、木马。

此外，质量管理能力要求指定质量主管，且质量主管不应受任何影响工作质量的因素或利益冲突影响，并有权直接与机构最高管理层沟通；规范性保证能力要求检测评估记录清晰规范并获得运营者书面确认、记录保存三年以上，报告由项目负责人作为第一编制人、技术主管（或质量主管）审核、机构管理者或其授权人员签发；风险控制能力要求机构在作业前充分评估自身能力与资源不足、验证活动影响关基正常运行、设备工具接入影响运行、重要信息泄漏等四类风险并加以规避控制；可持续发展能力则着眼战略规划、管理体系评审改进、培训与考核记录留存、技术研究与同行交流。

标准正文之外还配套四个附录：附录A是运营者检测评估能力评价指标（39项合规项、13项必要项），附录B是机构检测评估能力评价指标（42项合规项、15项必要项，并标注权重），附录C规定评估人员能力要求，三者均为规范性附录；附录D为检测评估技术措施，属资料性附录，供实际工作参考。

李炎的解读从监测预警的顶层设计切入。标准提出四项基本原则——全面性与准确性、及时性与联动性：全面性遵循"全方位、深层次、无盲区"，覆盖资产、业务、数据、设备、链路、访问行为、供应链及跨境数据流转等全维度；准确性要求建立告警降噪、多源交叉研判与风险复核机制，实现高危、重大安全风险告警"零漏报、少误报"；及时性要求建立"快速感知、研判、处置"闭环，最大程度压缩风险检测耗时（MTTD）与业务恢复耗时（MTTR）；联动性要求构建内外协同、上下联动、横向互通的机制，形成"监测—预警—处置—复盘"的全流程协同闭环。

平台是技术核心。业务功能上要求做到一体化管理（统筹组织架构、人员配置、管理制度、工作流程，提供态势可视化展示与预警通报全流程闭环管理）、智能化分析（数据智能处理、风险智能研判、辅助决策支撑）、工作闭环管理、威胁感知机制（风险态势预判、未知威胁检测、攻击溯源调查）、7×24小时全天候连续运行（防范监测断点、值守空档与处置盲区），以及信息库管理（业务状态库、日志库、原始流量库、资产库等，并自动生成合规台账与统计报表）。总体技术上明确"两端一路"多源采集、通用接口汇聚、数据归一化治理、关键节点全域覆盖，以及自动化告警与闭环响应——针对高风险处置动作实施前置人工审核，支持操作回退与全流程留痕，保障处置安全可控。

安全监测能力是本标准的主体。监测点位要求全域覆盖与分级适配、业务适配部署，并对监测采集的原始数据和分析结果自身实施全流程安全防护，通过权限管控、操作审计、传输与存储加密、防篡改防删除等手段规避数据泄露风险。监测内容覆盖六大方面：

监测之后如何"看懂"，标准给出了完整分析链条：数据采集与预处理（全域采集、日志专项采集、标准化处理、归并降噪清洗、安全数据富化与关联）→多源数据分析（资产台账搭建、态势关联研判、跨场景技术数据关联比对、全域数据融合研判）→智能化分析（构建基础规则、行为建模、未知威胁挖掘三层检测框架，基于机器学习开展用户实体行为分析，构建"外部入侵、内部违规、异常行为"三类研判模型，开展毫秒级实时智能推理，并从攻击目标偏好、战术技术手法（TTPs）、攻击组织背景等维度构建攻击者画像）→异常行为分析（行为基线、账号操作异常、恶意代码、重要数据全流程、工作日与非工作时段差异化基线）→快速发现（高危威胁分钟级发现、核心资产优先监测）→攻击线索分析（入侵线索排查追踪、受害资产溯源判定、数据泄露专项研判、特权账号风险监测）。

在输出环节，标准要求实现业务安全告警与数据安全告警并支持多渠道自动告警与联动处置，形成"监测—告警—处置"闭环；同时规范安全事件报告：分级上报层级清晰、建立分级分类报告模板库、重大安全事件自动触发上报。

预警环节，标准明确预警分级应严格依据GB/T 32924规定的分级要素、预警级别及判定规则开展，确保分级结果具备合规性、统一性与可溯源性。预警覆盖要做"对象无遗漏、范围全覆盖、触发标准化、权责清晰化"：对象上覆盖安全管理机构、系统运维及业务主管部门，并延伸至与本单位存在网络互联、数据交换的上下游合作方；范围上覆盖关键业务系统、核心网络区域、核心数据资产，并将供应链全环节纳入；触发条件包括针对性网络攻击、漏洞利用、大规模异常流量、数据泄露隐患及供应链安全事件，并同步响应国家、行业主管部门发布的威胁通报。

预警生成要求融合威胁情报、设备告警与实时监测数据全景研判，精准对接上级官方预警，并结合资产重要程度与业务影响判定风险等级；预警内容须包含风险成因与现状、潜在危害分级、受影响用户与业务范围、针对性技术与管理应对措施；预警发布后实施全流程跟踪，风险等级变化或处置取得关键进展时立即重新研判并补发更新，风险消除后按审批流程闭环解除。

信息通报与共享强调"有边界、有格式、有脱敏、有闭环"：明确内部通报、上级上报、横向共享的适用边界与责任主体；采用行业统一的威胁信息描述标准与监管平台无缝对接；共享前对敏感数据、隐私信息脱敏处理，严格执行最小化原则，并严格限定使用场景；建立分级通报机制与专用安全通报平台、加密邮件系统、应急专线、离线加密传输等多渠道保障；通报内容须包含威胁类型、影响范围、危害等级、已采取措施、后续建议及应急联系人，并建立"下发—确认—反馈—处置—跟踪"全流程闭环。

预警响应则要求接收到国家、行业官方预警后第一时间启动响应，结合自身资产配置与业务架构深度研判攻击路径与潜在损害，及时将研判结论、风险影响分析与初步处置建议按规定报送行业网络安全保护部门及上级主管单位，并根据预警等级匹配启动对应层级应急预案，统筹开展应急响应、风险阻断、现场处置、系统恢复与安全加固。

解读最后，还就零日漏洞、社工攻击、勒索攻击、未知威胁四类重点威胁给出了监测分析思路——包括流量行为建模与指纹校验、多维沙箱与诱骗环境联动、基于ATT&CK的攻击链还原、威胁追溯与攻击者画像等具体方法，并提供了监测预警能力架构设计的参考框架。

"关基保护系列团体标准"宣贯活动共设置六场，从9月持续至10月底，按照十项团体标准编排顺序逐场推进，完整覆盖T/CIIPA系列团体标准全部核心条款与落地实操要点：