關(guān)鍵信息基礎(chǔ)設(shè)施安全檢測(cè)評(píng)估方法研究

李秋香 宮月 陳彥如 公安部第一研究所

一、關(guān)基檢測(cè)評(píng)估工作政策標(biāo)準(zhǔn)依據(jù)

（一）依據(jù)的政策

2017年6月1日《網(wǎng)絡(luò)安全法》[1]正式施行。《網(wǎng)絡(luò)安全法》第三十九條明確要求“對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的安全風(fēng)險(xiǎn)進(jìn)行抽查檢測(cè)，提出改進(jìn)措施，必要時(shí)可以委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對(duì)網(wǎng)絡(luò)存在的安全風(fēng)險(xiǎn)進(jìn)行檢測(cè)評(píng)估”。2021年9月1日《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》[2]正式施行。《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》第十七條明確要求“運(yùn)營(yíng)者應(yīng)當(dāng)自行或者委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施每年至少進(jìn)行一次網(wǎng)絡(luò)安全檢測(cè)和風(fēng)險(xiǎn)評(píng)估”。《貫徹落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)制度的指導(dǎo)意見(jiàn)》（公網(wǎng)安[2020]1960號(hào)）[3]中明確關(guān)鍵信息基礎(chǔ)設(shè)施依據(jù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)標(biāo)準(zhǔn)，加強(qiáng)安全保護(hù)和保障，并進(jìn)行安全檢測(cè)評(píng)估。

（二）依據(jù)的標(biāo)準(zhǔn)

國(guó)家層面正在構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全領(lǐng)域標(biāo)準(zhǔn)體系，2023年5月1日GB/T 39204-2022《信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求》[4]（以下簡(jiǎn)稱《關(guān)基安全保護(hù)要求》）作為我國(guó)第一項(xiàng)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)的國(guó)家標(biāo)準(zhǔn)，對(duì)于我國(guó)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)有著極為重要的指導(dǎo)意義。《關(guān)基安全保護(hù)要求》共11個(gè)章節(jié)，重點(diǎn)闡述了關(guān)保的基本原則、主要內(nèi)容及活動(dòng)。關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)應(yīng)在落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)，以關(guān)鍵業(yè)務(wù)為核心的整體防控、以風(fēng)險(xiǎn)管理為導(dǎo)向的動(dòng)態(tài)防護(hù)、以信息共享為基礎(chǔ)的協(xié)同聯(lián)防為三項(xiàng)基本原則。《關(guān)基安全保護(hù)要求》從分析識(shí)別、安全防護(hù)、檢測(cè)評(píng)估、監(jiān)測(cè)預(yù)警、主動(dòng)防御、事件處置六個(gè)方面，提出111條安全要求，整體上采用動(dòng)態(tài)風(fēng)控理念，強(qiáng)化安全管理職責(zé)，強(qiáng)調(diào)數(shù)據(jù)安全及供應(yīng)鏈安全，落實(shí)閉環(huán)安全防護(hù)體系。國(guó)家標(biāo)準(zhǔn)《信息安全技術(shù) 關(guān)鍵信息基礎(chǔ)設(shè)施安全測(cè)評(píng)要求（征求意見(jiàn)稿）》[5]（以下簡(jiǎn)稱《關(guān)基測(cè)評(píng)要求》）目前正在制定過(guò)程中。

二、關(guān)基檢測(cè)評(píng)估工作概述

關(guān)鍵信息基礎(chǔ)設(shè)施（以下簡(jiǎn)稱關(guān)基）安全檢測(cè)評(píng)估是關(guān)基安全保護(hù)工作的重要一環(huán)，發(fā)揮著舉足輕重的作用[6]。本文所提出的關(guān)基安全檢測(cè)評(píng)估方法可以分為四大部分：?jiǎn)卧獪y(cè)評(píng)、安全性驗(yàn)證、關(guān)聯(lián)測(cè)試和整體評(píng)估。單元測(cè)評(píng)依據(jù)《關(guān)基安全保護(hù)要求》開(kāi)展，包括識(shí)別分析、安全防護(hù)、檢測(cè)評(píng)估、監(jiān)測(cè)預(yù)警、主動(dòng)防御、事件處置六個(gè)環(huán)節(jié)，評(píng)估關(guān)基現(xiàn)有網(wǎng)絡(luò)安全防護(hù)能力與《關(guān)基安全保護(hù)要求》的差距。安全策略有效性驗(yàn)證結(jié)合實(shí)戰(zhàn)化視角落地關(guān)基安全檢測(cè)評(píng)估，通過(guò)技術(shù)手段（人工或自動(dòng)化工具）模擬安全邊界突破、內(nèi)網(wǎng)橫向移動(dòng)、主機(jī)與終端入侵、重要數(shù)據(jù)竊取等驗(yàn)證用例，檢測(cè)識(shí)別關(guān)基縱深防御體系下各個(gè)維度安全策略有效性情況，驗(yàn)證關(guān)基安全防護(hù)策略有效性、安全措施實(shí)際防護(hù)能力。關(guān)聯(lián)測(cè)評(píng)包括信息收集、入侵痕跡分析、業(yè)務(wù)邏輯安全分析、模擬攻擊路徑設(shè)計(jì)、滲透測(cè)試五個(gè)部分，針對(duì)可能的威脅，結(jié)合單元測(cè)評(píng)中發(fā)現(xiàn)的漏洞及安全問(wèn)題，從攻擊者視角利用各種攻擊技術(shù)對(duì)CII可能遭受的攻擊路徑進(jìn)行非破壞性質(zhì)的攻擊性測(cè)試。在前面三項(xiàng)測(cè)評(píng)工作的基礎(chǔ)上，最后結(jié)合單元測(cè)評(píng)、關(guān)聯(lián)測(cè)評(píng)、等級(jí)測(cè)評(píng)等結(jié)果以及CII自身安全保護(hù)需求，進(jìn)行整體評(píng)估，給出綜合評(píng)價(jià)。

三、關(guān)基檢測(cè)評(píng)估工作內(nèi)容

（一）單元測(cè)評(píng)

單元測(cè)評(píng)是關(guān)基安全檢測(cè)評(píng)估工作的基本活動(dòng)，評(píng)估指標(biāo)主要來(lái)源于GB/T 39204-2022的各要求項(xiàng)。單元測(cè)評(píng)一方面可以輸出安全問(wèn)題，作為關(guān)聯(lián)測(cè)評(píng)中模擬攻擊路徑設(shè)計(jì)、滲透測(cè)試和整體評(píng)估中資產(chǎn)安全風(fēng)險(xiǎn)評(píng)價(jià)的基礎(chǔ)；另一方面可以輸出已采取的安全措施，作為整體評(píng)估中運(yùn)營(yíng)者的網(wǎng)絡(luò)安全管控能力評(píng)估和關(guān)基網(wǎng)絡(luò)安全保護(hù)水平評(píng)估的基礎(chǔ)。

目前，關(guān)保中心針對(duì)分析識(shí)別、安全防護(hù)、檢測(cè)評(píng)估、監(jiān)測(cè)預(yù)警、主動(dòng)防御、事件處置6個(gè)方面，27個(gè)控制點(diǎn)，111個(gè)安全要求項(xiàng)，形成《關(guān)鍵信息基礎(chǔ)設(shè)施安全檢測(cè)評(píng)估單元測(cè)評(píng)現(xiàn)場(chǎng)檢查表》，包括安全保護(hù)要求項(xiàng)、測(cè)評(píng)對(duì)象、測(cè)評(píng)方法、結(jié)果分析等內(nèi)容，如表1所示。

1.分析識(shí)別

評(píng)估是否按要求識(shí)別關(guān)鍵業(yè)務(wù)，分析對(duì)外部業(yè)務(wù)的依賴和重要性，明確支撐關(guān)鍵業(yè)務(wù)的信息基礎(chǔ)設(shè)施分布。同時(shí)，確認(rèn)關(guān)鍵業(yè)務(wù)鏈的資產(chǎn)，根據(jù)類別、重要性和業(yè)務(wù)支持確定保護(hù)優(yōu)先級(jí)并進(jìn)行風(fēng)險(xiǎn)分析，形成安全風(fēng)險(xiǎn)報(bào)告。在重大變更時(shí)，重新識(shí)別并更新資產(chǎn)清單。

2.安全防護(hù)

評(píng)估是否執(zhí)行國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，包括定級(jí)、備案、安全建設(shè)整改和等級(jí)測(cè)評(píng)。是否建立適合組織的網(wǎng)絡(luò)安全保護(hù)計(jì)劃，明確關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)的目標(biāo)，并制定管理制度和安全策略，以適應(yīng)不斷變化的安全風(fēng)險(xiǎn)。是否設(shè)立網(wǎng)絡(luò)安全工作委員會(huì)，明確網(wǎng)絡(luò)安全領(lǐng)導(dǎo)體系，并設(shè)置專門的網(wǎng)絡(luò)安全管理機(jī)構(gòu)，明確責(zé)任和監(jiān)督機(jī)制。是否對(duì)安全管理人員進(jìn)行安全背景審查、技能考核和安全培訓(xùn)。是否建立安全通信網(wǎng)絡(luò)，包括互聯(lián)安全和邊界防護(hù)，以及對(duì)網(wǎng)絡(luò)操作進(jìn)行審計(jì)。是否建立安全計(jì)算環(huán)境，包括鑒別與授權(quán)、入侵防范和自動(dòng)化工具的使用。是否在安全建設(shè)過(guò)程中實(shí)現(xiàn)“三同步”，以保證安全技術(shù)措施的有效性。是否進(jìn)行安全運(yùn)維管理，包括運(yùn)維地點(diǎn)、簽訂保密協(xié)議和工具備案。是否進(jìn)行供應(yīng)鏈安全保護(hù)，包括供應(yīng)方選擇、產(chǎn)品選購(gòu)和知識(shí)產(chǎn)權(quán)授權(quán)等。是否進(jìn)行了數(shù)據(jù)安全防護(hù)，包括數(shù)據(jù)分類分級(jí)保護(hù)、境內(nèi)存儲(chǔ)、備份與恢復(fù)等。

3.檢測(cè)評(píng)估

評(píng)估是否建立了完善的安全評(píng)估制度，包括流程、方式、周期、人員和資金等方面。是否每年至少進(jìn)行一次安全性和風(fēng)險(xiǎn)評(píng)估，對(duì)多運(yùn)營(yíng)者情況也能定期進(jìn)行跨運(yùn)營(yíng)者評(píng)估并及時(shí)整改。對(duì)重大變更是否進(jìn)行評(píng)估、風(fēng)險(xiǎn)分析和必要的整改。

4.監(jiān)測(cè)預(yù)警

評(píng)估是否在制度上建立常態(tài)化的監(jiān)測(cè)預(yù)警和快速響應(yīng)機(jī)制，并制定自身的預(yù)警制度。是否與外部和內(nèi)部實(shí)體進(jìn)行溝通合作，并實(shí)施信息共享。是否在在網(wǎng)絡(luò)的關(guān)鍵部位部署監(jiān)測(cè)設(shè)備，對(duì)關(guān)鍵業(yè)務(wù)系統(tǒng)進(jìn)行綜合監(jiān)測(cè)，采用自動(dòng)化工具整合并分析數(shù)據(jù)，并持續(xù)驗(yàn)證安全策略的有效性。是否對(duì)報(bào)警信息進(jìn)行綜合分析，并與外部預(yù)警機(jī)構(gòu)合作。當(dāng)識(shí)別到威脅時(shí)，是否啟動(dòng)應(yīng)急預(yù)案，當(dāng)安全隱患被控制或消除后，是否執(zhí)行預(yù)警解除等。

5.主動(dòng)防御

評(píng)估是否識(shí)別并減少了互聯(lián)網(wǎng)和內(nèi)網(wǎng)資產(chǎn)的暴露面，壓縮互聯(lián)網(wǎng)出口數(shù)量。是否限制了對(duì)外暴露組織內(nèi)部信息，以防止社會(huì)工程學(xué)攻擊。是否在公共存儲(chǔ)空間存儲(chǔ)可能被攻擊者利用的技術(shù)文檔。是否建立分析網(wǎng)絡(luò)攻擊的方法，采取有針對(duì)性的防護(hù)策略和技術(shù)措施，迅速制定技術(shù)應(yīng)對(duì)方案。是否能分析攻擊活動(dòng)，設(shè)置多道防線，采用多種技術(shù)手段，切斷攻擊路徑，迅速處置網(wǎng)絡(luò)攻擊。是否能追蹤攻擊活動(dòng)，描繪攻擊者畫像，為案件偵查、事件調(diào)查提供支持。是否能全面分析攻擊意圖、技術(shù)與過(guò)程，改進(jìn)安全策略。是否定期組織攻防演練，關(guān)注可持續(xù)運(yùn)行的關(guān)鍵業(yè)務(wù)，進(jìn)行實(shí)網(wǎng)攻防演練或沙盤推演，涵蓋供應(yīng)鏈和產(chǎn)業(yè)鏈相關(guān)單位，及時(shí)整改演練中的問(wèn)題。是否建立了網(wǎng)絡(luò)威脅情報(bào)共享機(jī)制，內(nèi)部聯(lián)動(dòng)上下級(jí)單位共享情報(bào)，處理威脅情報(bào)；與外部權(quán)威機(jī)構(gòu)協(xié)同共享威脅情報(bào)，實(shí)現(xiàn)跨行業(yè)網(wǎng)絡(luò)安全聯(lián)防聯(lián)控。

6.事件處置

評(píng)估是否建立網(wǎng)絡(luò)安全事件管理制度，包括分類分級(jí)、處置流程和應(yīng)急預(yù)案等。是否建立了網(wǎng)絡(luò)安全應(yīng)急支援隊(duì)伍和專家隊(duì)伍，保障安全事件及時(shí)有效處理，并參與應(yīng)急演練、案件偵辦等工作。在應(yīng)急預(yù)案和演練方面，是否制定了網(wǎng)絡(luò)安全應(yīng)急預(yù)案，明確關(guān)鍵業(yè)務(wù)功能的維護(hù)和恢復(fù)時(shí)間。在事件響應(yīng)方面，是否會(huì)報(bào)告危害關(guān)鍵業(yè)務(wù)的安全事件，按流程處理事件，收集證據(jù)并進(jìn)行取證分析，最終形成完整的處理報(bào)告。是否能及時(shí)通報(bào)安全事件及處置情況，對(duì)安全隱患和事件進(jìn)行重新識(shí)別，以更新安全策略。

單元測(cè)評(píng)是開(kāi)展安全驗(yàn)證、關(guān)聯(lián)測(cè)評(píng)、整體評(píng)估等其他環(huán)節(jié)檢測(cè)評(píng)估的必要基礎(chǔ)，需要全面而細(xì)致地進(jìn)行開(kāi)展。

（二）安全驗(yàn)證

安全驗(yàn)證是利用自動(dòng)化技術(shù)手段對(duì)關(guān)基安全保護(hù)中實(shí)施的重要安全措施、安全策略等有效性進(jìn)行驗(yàn)證。實(shí)際驗(yàn)證《關(guān)基安全保護(hù)要求》中的部分技術(shù)性安全要求項(xiàng)，對(duì)單元測(cè)評(píng)結(jié)果進(jìn)行修正，以確保檢測(cè)評(píng)估結(jié)論的準(zhǔn)確性。

安全驗(yàn)證技術(shù)通過(guò)模擬真實(shí)的攻擊行為、社會(huì)工程學(xué)攻擊等評(píng)估關(guān)基安全保護(hù)措施與策略的有效性。使用定制化的關(guān)基安全驗(yàn)證工具，可以模擬重現(xiàn)攻擊行為，以檢驗(yàn)關(guān)基安全保護(hù)措施與策略的有效性。安全驗(yàn)證技術(shù)不僅可以檢測(cè)技術(shù)防御措施，還可以檢測(cè)關(guān)基保護(hù)中相關(guān)人員的安全意識(shí)。

安全驗(yàn)證針對(duì)安全防護(hù)、監(jiān)測(cè)預(yù)警、主動(dòng)防御等3個(gè)環(huán)節(jié)的18個(gè)安全要求項(xiàng)。

（三）關(guān)聯(lián)測(cè)評(píng)

關(guān)聯(lián)測(cè)評(píng)是在信息收集的基礎(chǔ)上，針對(duì)可能的威脅，結(jié)合單元測(cè)評(píng)中發(fā)現(xiàn)的漏洞及安全問(wèn)題，從攻擊者視角利用各種攻擊技術(shù)對(duì)關(guān)基可能遭受的攻擊路徑進(jìn)行非破壞性質(zhì)的攻擊性測(cè)試。

關(guān)聯(lián)測(cè)評(píng)包括信息收集、入侵痕跡分析、業(yè)務(wù)邏輯安全分析、模擬攻擊路徑設(shè)計(jì)、滲透測(cè)試等各環(huán)節(jié)。

1.信息收集

需要收集涵蓋資產(chǎn)、運(yùn)營(yíng)者及其關(guān)聯(lián)人員、供應(yīng)鏈以及威脅情報(bào)等方面的信息。這些信息有助于CII的全面安全防護(hù)和應(yīng)對(duì)策略的制定。

2.入侵痕跡分析

需要根據(jù)業(yè)務(wù)流程或警告信息，分析系統(tǒng)日志，包括登錄、系統(tǒng)、應(yīng)用和系統(tǒng)訪問(wèn)日志，以判斷是否有未經(jīng)授權(quán)的登錄或入侵痕跡。同時(shí)，需審查關(guān)鍵文件、環(huán)境變量、系統(tǒng)進(jìn)程、計(jì)劃任務(wù)、端口使用和庫(kù)文件加載等情況，以確定是否遭受劫持或植入后門。此外，還應(yīng)檢查是否存在隱藏賬號(hào)、克隆賬號(hào)，檢查注冊(cè)表、shift后門、計(jì)劃任務(wù)和遠(yuǎn)程連接程序等。為確保安全，需要捕獲網(wǎng)絡(luò)流量進(jìn)行分析，以尋找異常的數(shù)據(jù)流或數(shù)據(jù)包。

3.業(yè)務(wù)邏輯安全分析

應(yīng)從業(yè)務(wù)環(huán)節(jié)、支持系統(tǒng)以及二者間的關(guān)系等多個(gè)角度進(jìn)行檢測(cè)，以排查安全設(shè)計(jì)缺陷和漏洞。分析范圍包括識(shí)別流程設(shè)計(jì)缺陷、業(yè)務(wù)程序安全邏輯缺陷、接口調(diào)用問(wèn)題、數(shù)據(jù)驗(yàn)證不足等。尤其要重點(diǎn)關(guān)注不同運(yùn)營(yíng)者、系統(tǒng)和區(qū)域之間的系統(tǒng)互聯(lián)，以及不同業(yè)務(wù)功能模塊之間的訪問(wèn)，以確保業(yè)務(wù)邏輯在這些交叉點(diǎn)上的安全性。

4.模擬攻擊路徑設(shè)計(jì)

需要設(shè)計(jì)縱向、橫向和物理路徑等3類。在縱向路徑中，需要模擬不同類型的用戶和威脅主體，測(cè)試現(xiàn)有安全措施的有效性，包括業(yè)務(wù)、數(shù)據(jù)、系統(tǒng)等方面的測(cè)試，并驗(yàn)證信息共享、聯(lián)防聯(lián)控和應(yīng)急機(jī)制。在橫向路徑中，要在內(nèi)部系統(tǒng)設(shè)置路徑，測(cè)試關(guān)聯(lián)系統(tǒng)的安全措施，覆蓋內(nèi)部外部系統(tǒng)、運(yùn)維支持系統(tǒng)等，采用多種方式設(shè)計(jì)最優(yōu)路徑。在物理路徑測(cè)試中，使用近源攻擊等模擬物理路徑，測(cè)試物理防護(hù)、接口、通信網(wǎng)絡(luò)、終端等，包括針對(duì)物理防御和設(shè)備的測(cè)試，以及對(duì)內(nèi)部潛在攻擊面的測(cè)試。

5.滲透測(cè)試

包括明確目標(biāo)、信息收集、漏洞探測(cè)、驗(yàn)證、分析、信息獲取、整理并形成報(bào)告等部分。測(cè)試類型應(yīng)根據(jù)CII的業(yè)務(wù)和防護(hù)需求決定，包括漏洞驗(yàn)證、業(yè)務(wù)安全、社會(huì)工程學(xué)、無(wú)線和內(nèi)網(wǎng)安全、新技術(shù)擴(kuò)展等。所用工具應(yīng)符合國(guó)家安全標(biāo)準(zhǔn)，確保測(cè)試本身不導(dǎo)致CII受惡意程序或安全漏洞威脅。如果滲透測(cè)試發(fā)現(xiàn)可能被濫用的安全問(wèn)題，應(yīng)立即通知CII運(yùn)營(yíng)者整改并報(bào)告相關(guān)部門。目前，關(guān)聯(lián)測(cè)評(píng)按照《關(guān)基測(cè)評(píng)要求》附錄B滲透測(cè)試用例，逐項(xiàng)提出相應(yīng)的滲透測(cè)試技術(shù)（技術(shù)編號(hào)、技術(shù)名稱、技術(shù)描述）、工具（工具編號(hào)、工具名稱、工具描述）及緩解措施（緩解措施編號(hào)、名稱、描述），形成《關(guān)鍵信息基礎(chǔ)設(shè)施關(guān)聯(lián)測(cè)評(píng)知識(shí)庫(kù)》，如表2所示。

（四）整體評(píng)估

整體評(píng)估包括網(wǎng)絡(luò)安全管控能力評(píng)估、網(wǎng)絡(luò)安全保護(hù)水平評(píng)估和關(guān)鍵業(yè)務(wù)安全風(fēng)險(xiǎn)評(píng)價(jià)三個(gè)方面，其中網(wǎng)絡(luò)安全管控能力評(píng)估主要是評(píng)估運(yùn)營(yíng)者對(duì)關(guān)基相關(guān)的各項(xiàng)安全保護(hù)工作的組織情況。網(wǎng)絡(luò)安全保護(hù)水平評(píng)估主要是對(duì)關(guān)基自身有效防范網(wǎng)絡(luò)安全重大風(fēng)險(xiǎn)隱患的能力進(jìn)行評(píng)估。關(guān)鍵業(yè)務(wù)安全風(fēng)險(xiǎn)評(píng)價(jià)是在資產(chǎn)和關(guān)鍵業(yè)務(wù)鏈的風(fēng)險(xiǎn)評(píng)價(jià)基礎(chǔ)上確定的，首先分析資產(chǎn)對(duì)關(guān)鍵業(yè)務(wù)鏈的影響來(lái)判斷關(guān)鍵業(yè)務(wù)鏈的風(fēng)險(xiǎn)等級(jí)，進(jìn)而依據(jù)關(guān)鍵業(yè)務(wù)鏈與關(guān)鍵業(yè)務(wù)的關(guān)系來(lái)判斷關(guān)鍵業(yè)務(wù)的總體風(fēng)險(xiǎn)。

本文所提出的關(guān)基安全檢測(cè)評(píng)估方法從五個(gè)維度全方位開(kāi)展關(guān)基安全防護(hù)能力評(píng)價(jià)。

1.量化得分與整體結(jié)論

針對(duì)關(guān)基測(cè)評(píng)整體量化評(píng)估值、網(wǎng)絡(luò)安全管控能力評(píng)價(jià)、網(wǎng)絡(luò)安全保護(hù)水平評(píng)價(jià)、關(guān)鍵業(yè)務(wù)安全風(fēng)險(xiǎn)評(píng)價(jià)中的定量評(píng)估值與定性分析結(jié)果。

2.單元測(cè)評(píng)問(wèn)題清單

針對(duì)單元測(cè)評(píng)中的符合項(xiàng)、部分符合項(xiàng)以及不符合項(xiàng)的符合性測(cè)評(píng)結(jié)果進(jìn)行歸類展示。

3.關(guān)聯(lián)測(cè)評(píng)問(wèn)題清單

針對(duì)關(guān)聯(lián)測(cè)評(píng)中發(fā)現(xiàn)的安全風(fēng)險(xiǎn)結(jié)果并進(jìn)行歸類展示。

4.保護(hù)能力雷達(dá)圖

以雷達(dá)圖的方式細(xì)項(xiàng)展示網(wǎng)絡(luò)安全管控能力和網(wǎng)絡(luò)安全保護(hù)水平中的各項(xiàng)能力（用作關(guān)基單位每年的縱向?qū)Ρ纫约芭c關(guān)基行業(yè)平均水平的橫向?qū)Ρ龋?/p>

5.能力分布散點(diǎn)圖

以散點(diǎn)圖的方式展示關(guān)基運(yùn)營(yíng)者在管理和技術(shù)兩個(gè)維度的建設(shè)偏重（用作關(guān)基單位后續(xù)建設(shè)投入以及用作關(guān)基行業(yè)整體性分析的輸入?yún)⒖迹?/p>

四、總結(jié)

關(guān)基作為支撐國(guó)家經(jīng)濟(jì)和社會(huì)穩(wěn)定的重要支柱，其安全性至關(guān)重要。關(guān)基安全檢測(cè)評(píng)估能夠全面識(shí)別關(guān)基安全保護(hù)措施的符合性情況，發(fā)現(xiàn)系統(tǒng)漏洞、弱點(diǎn)和潛在威脅，為制定有針對(duì)性的安全策略提供依據(jù)，有效預(yù)防安全事故。通過(guò)模擬攻擊的安全驗(yàn)證和關(guān)聯(lián)測(cè)試，可以驗(yàn)證防御機(jī)制，發(fā)現(xiàn)薄弱環(huán)節(jié)，進(jìn)而提升整體安全性，最后通過(guò)整體評(píng)估對(duì)關(guān)基系統(tǒng)的保護(hù)情況進(jìn)行綜合評(píng)價(jià)。定期的檢測(cè)評(píng)估還有助于關(guān)基單位的管理層深入了解安全狀況，優(yōu)化資源配置，提高組織對(duì)抗風(fēng)險(xiǎn)的能力。綜上所述，關(guān)基安全檢測(cè)評(píng)估在保障關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)行穩(wěn)定、維護(hù)國(guó)家安全中發(fā)揮著重要作用。