> **来源：[研报客](https://pc.yanbaoke.cn)** # 数字十字准线之内：关键基础设施的网络威胁与应对策略 ## 核心内容 关键基础设施是指对国家安全、经济安全、公共卫生或安全具有重大影响的系统和资产，包括能源、运输、水和废水系统、医疗保健、信息技术与电信、金融服务业、食品和农业等领域。随着这些系统日益依赖数字技术，它们也面临日益严重的网络威胁。 ## 主要观点 - 关键基础设施的网络安全至关重要，其安全状况直接影响社会和经济的稳定。 - 供应链攻击已成为关键基础设施面临的主要威胁之一，攻击者可能通过破坏软件更新或利用系统漏洞来影响整个网络环境。 - 信息安全和隐私保护是关键基础设施运营的核心议题，尤其在处理个人可识别信息（PII）时更为重要。 - 各国已出台相关法律法规，如中国的《网络安全法》《数据安全法》《个人信息保护法》，美国的《网络安全和基础设施安全局法案》、《联邦信息安全管理法》及NERC CIP标准，欧盟的《网络和信息系统指令》与《通用数据保护条例》（GDPR），澳大利亚的《关键基础设施安全法》与PSPF，以规范关键基础设施的网络安全管理。 - 信息安全管理体系（ISMS）与隐私信息管理体系（PIMS）是组织应对这些威胁的重要工具，其中ISO/IEC 27701:2025是当前最新且具有战略意义的隐私管理标准。 ## 关键信息 ### 网络威胁类型 - **网络钓鱼**：通过伪造邮件诱导用户泄露敏感信息。 - **勒索软件**：加密数据并要求赎金以恢复访问。 - **利用漏洞**：针对老旧系统中已知的安全漏洞进行攻击。 - **DDoS攻击**：通过大量流量使系统无法正常访问。 - **内部威胁**：组织内部人员可能因不满或受损害而对系统造成威胁。 - **供应链攻击**：通过供应链中的薄弱环节影响更大范围的系统。 ### 供应链攻击的后果 - 导致服务中断、财务损失、声誉受损。 - 可能危及国家安全和公共安全。 - 引发个人隐私泄露和法律风险。 ### 缓解供应链风险的措施 - **风险评估**：对供应商进行安全评估并定期更新。 - **合同义务**：在合同中明确信息安全和隐私保护条款。 - **定期审核**：对供应商的安全措施进行定期审查。 - **事件响应计划**：制定应对安全事件的计划。 - **信息共享**：与其他组织共享威胁情报和最佳实践。 - **安全技术投资**：采用区块链、人工智能等技术提高供应链可见性和控制力。 ## ISO/IEC 27701:2025 标准亮点 ### 为何修订至关重要？ - **处理PII的普遍性**：几乎所有组织都在处理PII，且数据量和类型持续增长。 - **协作处理PII**：组织间对PII的处理日益频繁，需明确责任边界。 - **法律合规需求**：PIPL、GDPR、CCPA等法规对PII保护提出严格要求。 ### PIMS 的核心益处 - 提供结构化、一致的隐私管理方式。 - 帮助组织履行隐私义务，降低合规复杂性。 - 提升隐私治理与问责能力，增强内外部信任。 ### 2025版五大关键变化 1. **统一的高阶结构（HLS）**：采用与ISO 9001、ISO 27001等标准相同的结构，简化多标准管理。 2. **附录重构**：将控制者与处理者的控制要求分为A.1、A.2、A.3三部分，共计78项隐私控制措施。 3. **更强的治理与领导力要求**：强调隐私治理应融入组织战略，要求管理层参与资源配置与隐私意识培养。 4. **PII全生命周期控制**：从收集、使用、存储到删除，提供更精简、实操性强的管控方法。 5. **独立的规范性引用文件**：以ISO/IEC 29100（隐私框架）为主要引用文件，提升与全球隐私体系的兼容性。 ## 过渡实施与认证价值 - 对已获得ISO/IEC 27701:2019认证的组织，需进行差距评估，更新适用性声明（SoA）和隐私风险矩阵。 - 确保治理文件、流程记录与内部审计计划与新标准保持一致。 - 明确记录控制者与处理者的角色与职责。 - 对员工进行新标准和要求的培训。 ## 认证的市场价值 - ISO/IEC 27701:2025是全球首个聚焦PII隐私管理的国际标准，与GDPR、CCPA等法规高度契合。 - 获得该认证有助于组织在数据驱动时代建立信任，提升市场竞争力。 - 结合ISO/IEC 27001，构建从信息安全到隐私保护的完整闭环。 ## 获得认证建议 Intertek 提供第三方认证服务，帮助组织系统化管理信息安全与隐私风险。其推荐的国际标准包括： - **ISO/IEC 27001**：信息安全管理体系标准。 - **ISO/IEC 27701:2025**：隐私信息管理体系标准。 ## 联系方式 - **电话**：021-53397881 - **邮箱**：sc.china@intertek.com - **官网**：intertek.com.cn/service/security - **公众号**：Intertek 管理体系服务