2024-10-14-华为-2024年关键信息基础设施网络及信息系统作业可信与安全白皮书_28页_16mb

《关键信息基础设施网络及信息系统作业可信与安全白皮书》总结

核心内容

《关键信息基础设施网络及信息系统作业可信与安全白皮书》围绕关键信息基础设施的作业可信与安全管理展开，提出了系统的管理框架和实践方法。白皮书强调了作业活动在关键信息基础设施安全中的重要性，并指出当前作业活动面临的风险及应对策略。通过结合法律法规、行业标准和企业实践，白皮书构建了覆盖作业全过程的可信与安全管理体系。

主要观点

• 作业可信与安全是关键信息基础设施安全的核心环节，涉及透明、可追溯、符合预期等基本特征。
• 作业失败或恶意行为对关键基础设施的威胁日益加剧，需通过系统化的管理方法和工具进行防范。
• 法律法规和行业标准对作业可信与安全提出了更高要求，需在实际工作中进行解读和细化。
• 数字化技术与平台是实现作业可信与安全的重要支撑，通过IT手段固化管理经验，提升管理效率和透明度。
• 作业管理需关注人员、授权、流程、工具、账号、软硬件、方案、接入、操作、数据、网元等关键要素，并对每个要素进行风险评估和管理。

关键信息

1. 作业可信与安全的定义

• 作业可信与安全是指对网络及信息系统作业活动进行有效安全管理，确保过程透明、行为可追溯、结果可靠、风险可控。
• 管理措施包括建设和完善管理制度、管理方法，以及借助数字化IT手段。

2. 作业可信与安全的特征

• 透明：作业内容和行为向相关方公开，明确呈现具体环节。
• 可追溯：作业活动有记录，问题责任可确认。
• 符合预期：确保作业活动对业务及数据的影响符合方案设计，包括可用性、完整性、连续性等。

3. 作业可信与安全的重要意义

• 保障关键信息基础设施安全稳定运行，是现代社会、经济正常运转和实现可持续安全的必要条件。
• 法律法规对作业活动提出了更高要求，包括安全背景审查、三同步（同步规划、同步建设、同步使用）、应急预案和演练等。
• 作业失败或恶意行为的后果严重，可能影响多个行业和国家安全。

4. 作业可信与安全的管理方案

• 组织的治理与管理：建立清晰的责任体系，包括业务线、能力线和监督线。
• 作业可信与安全的要素管理模型：围绕作业全过程，系统化管控关键要素。
• 数字化技术与平台：通过数字化手段实现作业过程的透明、可追溯和风险识别。

5. 作业过程中的关键要素管理

• 作业人员：需具备资质，管理其入场、作业和离场全过程，确保安全意识、技能和行为符合规范。
• 授权：需通过正规渠道获取，确保授权信息完整、准确，并及时回收。
• 流程：需制定、执行和优化，确保流程与作业活动一致，有效降低风险。
• 工具：需从正规渠道获取并进行安全检测，确保工具使用符合安全规范。
• 账号：需按照最小化原则分配权限，确保账号安全，避免越权操作。
• 软硬件：需进行完整性校验，确保其可信与安全。
• 方案：需进行需求评估、制作和评审，确保方案风险可控。
• 接入：需进行安全检查，确保接入环境符合安全标准。
• 操作：需按方案和流程执行，确保操作安全，避免异常情况。
• 数据：需在采集、存储、转移、使用和删除等环节进行管理，确保数据安全。
• 网元：作为网络及信息系统的组成单元，需确保其安全，符合同步规划、同步建设和同步运营的原则。

管理框架

作业可信与安全管理由以下三个部分组成：

1. 组织的治理与管理：包括基本原则、规则与流程、责任体系、合规与风险管理、意识与培训、监督与保障。
2. 作业可信与安全的要素管理模型：涵盖作业人员、授权、流程、工具、账号、软硬件、方案、接入、操作、数据和网元等关键要素。
3. 数字化技术与平台：通过IT手段实现作业过程的自动化、可视化和可控化，构建安全可信的作业环境。

实践与案例

• 白皮书结合了多个典型作业场景，如移动云和华为云地协同作业管理实践。
• 引用了多个国内外案例，说明作业管理不善可能带来的严重后果，如网络中断、数据泄露等。

未来展望

• 随着AI、大数据等技术的发展，作业可信与安全面临新的机遇和挑战。
• 白皮书鼓励各行业共同参与作业可信与安全的研究和实践，形成行业共识，提升整体安全能力。
• 期望通过白皮书的发布，为关键信息基础设施的安全保护提供理论支持和实践指导，推动网络安全事业的发展。