网络安全行业点亮“航标灯”——《关键信息基础设施安全保护条例》解读

目前，关键基础设施正成为网络攻击的主要目标。一系列大规模网络攻击令人震惊。中国、德国、俄罗斯、以色列、智利、伊朗等国家遭受了不同类型、不同程度的网络攻击，在全球范围内拉响了“红色警报”。

近期国内相关政策法规密集出台。其中，作为我国首部专门针对关键信息技术设施安全保护的行政法规，《关键信息基础设施安全保护条例》将于9月1日正式实施，为网络安全产业健康有序发展点亮一盏“指路明灯”。

关键词:范围、授权、责任

事实上，通过《网络安全法》，关键信息基础设施的概念首次在我国法律层面得到明确。《规定》对关键信息基础设施的范围界定、授权认定、责任机制等关键问题进行了更加细化的规定。

迪智库网络安全研究所所长刘权在接受《中国电子报》采访时表示:“《规定》采用‘范围列举+授权识别’的方式，对关键信息基础设施的内涵和外延进行界定。”

在范围列举方面，《规定》第二条将关键信息基础设施定义为“重要网络设施和信息系统”，并通过列举的方式界定其行业属性和影响属性:一是八个重要行业和领域:“公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等。”；二是“一旦损坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生和公共利益”。

尤其值得注意的是，鉴于新兴互联网平台的用户规模普遍在1亿以上，并且掌握着海量的高价值数据。万一网络攻击，其危害不亚于传统行业。因此，许多专家认为，这些平台也可能被纳入关键信息基础设施的范围。

在授权标识方面，《规定》第二章规定了授权标识，主要明确了两点:一是标识主体，即“负责关键信息基础设施安全保护的部门，主要包括《规定》第二条所称八大重要行业和领域的主管或监管部门；第二，鉴定的依据。《规定》第九条还明确了三个主要考虑因素，即重要性、危害程度和相关影响，在制定认定规则时应当予以考虑。

责任机制的明确也是《条例》的亮点之一。《条例》的出台传达了重点基础设施领域安全的重要战略地位。关键基础设施的安全保护不仅是相关运营商的责任，也关系到国计民生和社会利益。”腾讯安全战略发展中心行业安全专家组组长陈玉明在接受《中国电子报》采访时表示，“主要是‘责任’，包括关键基础设施运营商要落实的主体责任，以及没有做好安全防护的法律责任。”

刘权补充说，条例对责任机制的规定主要有三点:一是突出主体责任，经营者因其责任重大，在整个保护工作中具有不可替代的作用。二是完善责任范围，形成关键信息基础设施保护的全方位责任保障；三是明确责任方式，主要涵盖行政责任、民事责任和刑事责任三类。

《条例》旨在解决什么问题？

随着我国国民经济和社会信息化的全面推进，传统社会活动不断向网络空延伸，经济和国家安全高度依赖关键信息基础设施。“完善关键信息基础设施保护法律制度，全面提升关键信息基础设施安全保护的意识、保障能力和水平，成为赢得网络安全博弈的关键。”陈玉明说。

然而，目前我国关键信息基础设施的安全保护仍存在诸多问题。中国云数据控股集团高级副总裁小果在接受《中国电子报》采访时坦承:“中国整体安全投入与全球市场仍有差距。”国家统计局和IDC数据显示，中国网络安全产业仅占GDP的0.41%，与美国相差3.6倍，网络安全产业规模与美国相差5.5倍。

但业内人士普遍认为，《规定》的出台将给国内网络安全行业带来较大增量空。中信证券表示，条例正式实施后，有望加大省级和国家级关键信息基础设施安全的投入。假设国家级和省级关键信息基础设施数量预计达到2万个，每个关键信息基础设施年均安全投入100万元，则法规带来的增量市场预计为每年200亿元。

陈玉明指出:“结合最近的政策，政府和企业安全投资比例的增加将推动网络安全行业开始一个快速增长期。预计未来证券投资与全球市场的差距将继续缩小。特别是《条例》要求保护的公共通信与信息服务、能源、交通、水利、金融、公共服务、电子政务等重点行业，将是未来网络安全能力建设和投入的重点。”

“除了安全投入不足，我国关键信息基础设施的安全保护还面临自主可控能力不足、缺乏完善有效的漏洞评估机制和安全恢复预案、安全风险监测预警机制薄弱等挑战。”刘权说。

根据国家互联网应急中心今年5月发布的《2020年中国互联网网络安全形势概览》数据显示，勒索病毒、APT攻击、系统漏洞、数据安全等安全问题逐渐成为企业、政府机关、金融机构等对网络安全要求较高的用户最为关注的核心问题之一。但关键信息基础设施网络安全事故频发，也从侧面凸显了产业生态的不完善。

《规定》的正式实施，有望补齐网络安全产业链的薄弱环节。刘权分析，条例明确规定，关键信息基础设施运营者应当落实网络安全责任，开展安全监测和风险评估，规范网络产品和服务的采购活动。从这些要求来看，网络安全行业提供风险评估、等保评估、合规咨询的第三方服务企业将明显受益。“特别是近年来，新兴的网络安全托管服务将获得更大的市场增长空”陈玉明强调说。

《条例》还明确表示支持新创产业和网络安全产业，指出应优先购买安全可靠的网络产品和服务。因此，跨行业、多领域的云服务商是主要对象，其中具有新创特色和自主知识产权的企业，以及具备跨界整合优质网络安全解决方案能力的企业将受益更多。”小果说。

此外，网络安全人才问题也将受到更多关注。陈玉明认为，关键信息基础设施运营单位存在网络安全人员配备不足、人才流失严重、现有人员经验不足等诸多问题。条例的实施将给人才需求带来更大的压力。“一方面，在现有人才无法满足要求的情况下，关键信息基础设施运营单位迫切需要引进外部网络安全人才和服务，以补充和加强网络安全力量；另一方面，也需要加强内部网络安全人才的培养。”

我们到底该怎么办？

传统的安全建设往往注重建设先进高效的技术防御平台，而忽略了平台的持续运行能力和对事件的应急响应能力。大多数单位真正缺乏的是“用好安全产品”和“应对突发事件”的能力。无论是对于关键信息基础设施运营单位的安全团队，还是对于提供产品和服务的安全企业，这都是一个需要解决的问题。在陈玉明看来，关键信息基础设施安全防护体系建设将更加注重安全运行、应急响应等“软”实力的建设，要求行业内的企业和单位更加注重安全能力的持续有效运行。

一方面，关键基础设施运营商在其中发挥着不可替代的作用。刘权建议:“运营商应该重点关注以下三个方面。一是落实主体责任，通过建立安全防护体系、设立专门管理机构、加强网络安全意识教育等方式，切实保障相关经费落实和建立网络安全保障体系；二是高度重视安全防护，合规做好制度建设；第三，定期进行网络安全检测和风险评估，重大安全事件及时向有关部门报告。”

另一方面，企业和安全从业者也是重要的参与者，他们需要提供更符合实际场景需求的安全解决方案。陈玉明说:“关键信息基础设施的保护体系不应再是平等保护那样的‘底线’保护，而必须是有重点、有目标的定向管控体系。行业从业者必须深入不同关键信息基础设施行业的业务场景，根据不同的行业风险考虑系统的应对措施。”

小果指出，从网络安全的角度来看，包括内外网安全、虚拟化安全、云原生安全都是关键信息基础设施的安全保护范围；业务多拷贝机制、本地保护策略、远程备份恢复机制，应该都是企业上云的必要前提。同时，服务提供商应根据《条例》和《网络安全法》等法律法规，积极承担安全合规的义务和责任，主动拥抱网络安全监管，规避合规风险，依靠创新技术不断完善网络安全防御体系，为政企用户在云上筑起安全屏障。

总的来说，关键信息基础设施的安全防护体系建设强调整体规划、技术可靠、持续运行和有效监管，需要全行业的从业者共同努力，建立更加完善的产业生态系统。陈玉明认为:“这包括但不限于规划层面，提高安全标准和基于行业属性的最佳实践；在建设层面，推动安全可信技术的发展，安全产品和运营能力的标准化评估体系；在运营层面，建立更加顺畅的信息共享和技术协作机制，充分发挥运营商内部自查、行业监管和国家监管的多层保障和推动作用。"