一種基于多維度模型的關鍵信息基礎設施認定方法*

鄧一丁，萬喬喬，李惟謙，朱高軍

（中國電子科技網絡信息安全有限公司，四川 成都 610041）

0 引言

習近平總書記在2016 年的網絡安全和信息化工作座談會上對關鍵信息基礎設施保護做了精辟論述，“金融、能源、電力、通信、交通等領域的關鍵信息基礎設施是經濟社會運行的神經中樞，是網絡安全的重中之重，也是可能遭到重點攻擊的目標”[1]。2021 年9 月1 日，《關鍵信息基礎設施安全保護條例》正式施行，其中第2 章第9 條要求，“保護工作部門結合本行業、本領域實際，制定關鍵信息基礎設施認定規則，并報國務院公安部門備案。”因此，如何認定關鍵信息基礎設施成為接下來的首要問題。國內外目前有很多對于關鍵信息基礎設施認定的研究和標準，大多基于關鍵信息基礎設施的重要性來判斷，由于缺乏量化指標，在實踐中不易掌握。本文將“中樞”的概念引入到關鍵信息基礎設施認定工作中。根據待認定信息設施的功能特征，分為4 種中樞類型，對每一類中樞建立多維度量化模型，并進行量化分析。

1 國內外研究現狀分析

美國國土安全局關鍵信息基礎設施概念的提出者[2-3]，很早就在對如何認定關鍵信息基礎設施進行探索，我國也有很多專家對關鍵信息基礎設施的認定做了大量研究，形成了很多有價值的方法論。國內外曾經使用或正在使用的認定方法比較多，總結比較典型的方法，如表1 所示。

表1 國內外認定方法匯總

美國和歐盟經過反復嘗試，目前在用的認定方法主要是基于后果或風險定性分析。但這是不得已而為之，因為以量化的方式認定比較困難。最典型的是歐盟在2014 年9 月發布的《關鍵信息基礎設施資產和服務認定識別方法——草案》（Methodologies for the Identification of CIIAssets and Services-Draft Preview）就專門對關鍵信息基礎設施被破壞的后果采用權重計算的方式來量化，但隨后在正式版中[4]把量化部分刪除了，以大量定性描述來代替。

2016 年6 月，中央網信辦組織開展了我國第一次全國范圍內的關鍵信息基礎設施摸底大檢查工作。各地各行業各領域報送的信息參差不齊，與預設情況有一定差距，為此，網信辦開展關鍵信息基礎設施邊界識別認定研究工作，圍繞關鍵信息基礎設施識別認定方法制定了有關文件，用于指導地方和行業開展工作。2020 年，信安標委發布《關鍵信息基礎設施邊界確定方法》（征求意見稿）[5]，也在量化分析的道路上進行了探索。

量化分析方法不易成功的原因主要有以下3 點：

（1）指標選擇過于單一。各行業領域業務形態和信息基礎設施種類繁多，以某一種或幾種指標無法很好體現信息基礎設施的特征。

（2）固化的指標閾值區間很難同時適應各行業領域需求。相同指標值在不同行業領域中的重要程度不同，如宕機1 小時對發電廠和互聯網數據中心的意義完全不同。

（3）管控模式會影響指標的選擇。由于體制原因，美國和歐盟在關鍵信息基礎設施保護上的管控模式較為松散，國家之間、國家和聯邦政府之間、政府和企業之間沒有很強的約束力。在選擇量化指標時，會受到各方因素制約。最終多采用基于后果的定性分析方法，而把進一步的決策權下放給企業。而我國是從中央到地方全面貫通的強管控模式，這種行政管理架構與關鍵信息基礎設施在各個重要行業領域的分布區域有密切的關聯。這是我國關鍵信息基礎設施的重要特征。

2 認定模型與分值計算

各行業領域有復雜的業務形態和多樣的信息基礎設施，但從本質上看，可以用4 種類別來概括，分別是業務類、數據類、平臺（設施）類、運營類[6]。業務是行業領域的表現形式，數據是內在本質，平臺是存在方式，運營則是運轉紐帶。每一類信息基礎設施，都有代表性的特征。

在本文中，為便于描述，用“中樞”來指代各類信息基礎設施，根據信息設施功能特征的共同點進行聚類，可分為業務中樞、數據中樞、平臺中樞以及運營中樞。每一類中樞都有若干體現該類別特點的認定模型，將待認定系統與多維度認定模型進行匹配，得出每種認定模型下關鍵程度得分。關鍵程度是指每一個認定模型中的對信息設施的關鍵性進行量化后的賦值，值越大關鍵程度越高。為了便于將模型進行數學處理，將4 個模型的英文單詞首字母提取出來，配合數字代表每一種要素，最終形成多維度認定模型，如圖1 所示。

圖1 多維度認定模型

2.1 多維度認定模型

2.1.1 業務中樞認定模型（Buiness）

業務中樞為重要行業和領域提供信息化服務的系統、平臺等信息設施，實現關鍵業務開展，提供核心產品和服務。業務中樞的關鍵程度可以通過影響范圍、服務對象、事故級別和業務連續性來體現。

（1）影響范圍B1

如表2 所示，影響范圍主要指該業務中樞影響的區域范圍，從跨行業（全國范圍）、行業內（全國范圍）再到省市、區縣，關鍵程度依次降低。

表2 影響范圍B1

（2）服務對象B2

如表3 所示，服務對象指業務影響的人物群體，從重要個體人物、重要行業領域群體、一般行業領域群體到普通社會群體關鍵程度依次降低。

表3 服務對象B2

（3）事故級別B3

如表4 所示，事故級別[7]指如果系統或平臺受到攻擊、業務中斷或信息泄露后可能造成的損失級別，損失越大則關鍵程度越高。

表4 事故級別B3

（4）業務連續性B4

業務連續性指各行業領域對業務允許中斷時間的要求。業務連續性要求越高則業務中樞的關鍵程度越高。如表5 所示，其中對業務中斷時間的確定作為參考。各行業領域可根據行業標準或自身特點對業務連續性的閾值區間進行設定。

表5 業務連續性B4

2.1.2 數據中樞認定模型（Data）

數據中樞是支撐關鍵業務的運行，提供數據支撐服務的系統、平臺等信息設施。數據中樞的關鍵程度體現在數據覆蓋范圍和數據泄露后造成的影響兩個方面。

（1）數據覆蓋范圍D1

如表6 所示，數據覆蓋的范圍越大，泄露或被破壞后產生的損失越大，關鍵程度越高。

表6 數據覆蓋范圍D1

（2）數據泄露危害性D2

如表7 所示，數據中樞的關鍵程度還可以通過數據泄露或被破壞后造成的危害程度來體現。

表7 數據泄露危害性D2

2.1.3 平臺中樞認定模型（Platform）

平臺中樞是為支撐關鍵業務的運行提供的必要物理環境，包括網絡節點、計算平臺等信息基礎設施。可以通過信息基礎設施所在的數據中心（機房）等級和所在的平臺規模來衡量關鍵程度。

（1）數據中心等級P1

如表8 所示，數據中心（機房）等級在建設時應按照國家相關規定[8]進行定級，分為A、B、C 3 級，等級越高則關鍵程度越高。

表8 數據中心等級P1

（2）平臺規模P2

如表9 所示，信息設施所在的數據中心（機房）支撐的關鍵業務范圍越大，平臺規模就越大，關鍵程度就越高。

表9 平臺規模P2

2.1.4 運營中樞認定模型（Operation）

運營中樞不直接提供關鍵業務，也不承載關鍵業務數據。是保護關鍵業務和數據免受攻擊、侵入、干擾和破壞，并保證關鍵業務穩定、持續運行，提供所必需的安全服務、管理、流程調度、日常運維等功能的信息設施。一方面，該類中樞的功能不同，其關鍵程度不同；另一方面，對其他關鍵系統的影響程度不同，其關鍵程度也不同。

（1）系統功能性O1

如表10 所示，運營中樞按其功能分為安全管理、資源管控、運行維護、統計分析、門戶辦公5大類。在具體的認定實踐過程中，保護工作部門和運營者可根據自身特點進行調整，以體現每類系統的關鍵程度差異。

表10 系統功能性O1

（2）系統相關性O2

某些系統不便于通過功能分類，可以通過與已認定的關鍵系統的網絡關系或業務關系進行判斷。如圖2 所示，最左邊是已認定的關鍵信息基礎設施或系統，作為參照坐標，括號內是關鍵程度分值，有分值的方框代表待認定的對象，可以是信息系統或網絡設施。

圖2 系統相關性O2

采用系統相關性模型認定時需注意：

①應盡量采用其他模型認定的關鍵信息基礎設施，不建議優先采用系統相關性模型計算關鍵程度。

②選擇離待認定對象網絡關系或業務關系較近的CII 作為坐標原點，并構建如圖2 所示的關系拓撲圖。

③每個待認定對象都應對其左側的對象產生直接或間接影響，沒有影響的不納入考慮。

④直接影響是指當該對象被控制、被破壞或數據泄露時，會直接造成其左側的對象被控制、被破壞或數據泄露；間接影響是指當該對象被控制、被破壞或數據泄露時，還需要通過其他途徑才會造成左側的對象被控制、被破壞或數據泄露。

⑤對左側對象產生直接影響的，其關鍵程度與左側對象一致。對左側對象產生間接影響的，其關鍵程度較左側對象低1 分。

⑥待認定對象與多個已認定的關鍵信息基礎設施有關系時，即參照坐標不唯一時，可以在多個參照坐標下進行分析、計算，取最高分值作為該對象的關鍵程度得分。

2.2 重要程度分值計算

對目標基礎設施是否是關鍵信息基礎設施，采用如下方法進行判斷。

（1）根據待認定基礎設施的功能特點，對其進行分類，確認屬于哪一類中樞。

（2）對照每一類中樞的多維認定模型，得出每個模型下的關鍵程度得分，并取平均值，如業務中樞關鍵程度平均值=(B1+B2+B3+B4)/4。

（3）如果待認定對象不只符合一種中樞類別的特征，則可以將其他類別中符合特征的認定模型一起納入計算，如某大數據平臺具有數據中樞和平臺中樞的特征，同時有業務連續性要求，則其關鍵程度平均值=(B4+D1+D2+P1+P2)/5。

（4）盡量選擇能體現待認定對象特征的模型，避免加入相關性不高的模型，影響認定準確性。

（5）最終關鍵程度平均值大于或等于4 的，有很大可能性被認定為關鍵信息基礎設施。

（6）結合認定原則，由行業專家綜合判斷待認定對象是否是關鍵信息基礎設施。

3 在各行業領域中的應用

通過對我國當前比較有代表性的行業領域進行分析，展示如何將信息基礎設施對應到4 大中樞，圓圈標出的設施極有可能是關鍵信息基礎設施。

3.1 智慧城市

“智慧城市”概念在出現時就采用了比較理想的架構[9]，層級之間的關系明確，非常契合本方法。4 類中樞在智慧城市中的應用如圖3 所示。

圖3 4 類中樞在智慧城市中的應用

3.2 財政、稅務、社保

以財政、稅務、社保為代表的政務類信息基礎設施，其核心業務和非核心業務有比較明確的邊界，通常非核心業務部署在公有云上，核心業務部署在本地數據中心。隨著政務上云的逐步推進，越來越多的系統會向公有云遷移，其業務的復雜度主要體現在服務對象的類別較多，縱向貫穿中央、省、市、縣、區，橫向打通銀行、互聯網、其他政府單位等，需更多從業務層面分析判斷。4類中樞在財政、稅務、社保中的應用如圖4 所示。

圖4 4 類中樞在財政、稅務、社保中的應用

3.3 能源、交通、先進制造

這類行業領域主要核心是工控系統，服務的對象也從“人”變為“物”。由于各行業領域工控系統的封閉性和業務的獨特性，造成了工業控制領域的“碎片化”特征明顯，采用分層級的架構不容易準確判斷，更多取決于關鍵業務的具體實現，如各個子系統之間的通信關系、控制流程等。建議從造成的后果及子系統之間的關聯度進行判斷。4 類中樞在能源、交通、先進制造中的應用如圖5所示。

圖5 4 類中樞在能源、交通、先進制造中的應用

3.4 電信運營商

由于網絡架構極為復雜，電信運營商對“四大中樞”的理解也更加抽象，關鍵把握局部網絡在整個運營商網絡環境中發揮的作用，不拘泥具體的網絡形態。4 類中樞在電信運營商中的應用如圖6所示。

圖6 4 類中樞在電信運營商中的應用

4 結語

本方法構建的模型易于理解，計算過程簡單，各行業技術人員短時間內即可掌握并進行實踐。同時，在行業領域之間和行業領域內提出統一參照標準，認定時更加具備全局視角，該方法應用了模塊化設計思想，每個模型及量度指標都可根據行業特點進行增減，具有很強的擴展性，如金融行業的資金額度、電信行業的網絡參數、公眾平臺的事務數量等，甚至是能夠量化的管理要求，都可以納入模型，只要能夠描述對象的關鍵程度差異即可。當然，人的綜合判斷比固化的模型更加重要，通過人對目標設施的研究，精心設計量度指標，才能使計算結果更加符合預期。