GB/T 39204-2022信息安全技术关键信息基础设施安全保护要求

ICS35030

CSSL8.0

中华人民共和国国家标准

GB/T39204—2022

信息安全技术

关键信息基础设施安全保护要求

Informationsecuritytechnology—

Cybersecurityrequirementsforcriticalinformationinfrastructureprotection

2022-10-12发布2023-05-01实施

国家市场监督管理总局发布

国家标准化管理委员会

GB/T39204—2022

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范围

1………………………1

规范性引用文件

2…………………………1

术语和定义

3………………1

安全保护基本原则

4………………………1

主要内容及活动

5…………………………2

分析识别

6…………………2

业务识别

6.1……………2

资产识别

6.2……………2

风险识别

6.3……………3

重大变更

6.4……………3

安全防护

7…………………3

网络安全等级保护

7.1…………………3

安全管理制度

7.2………………………3

安全管理机构

7.3………………………3

安全管理人员

7.4………………………3

安全通信网络

7.5………………………4

安全计算环境

7.6………………………4

安全建设管理

7.7………………………5

安全运维管理

7.8………………………5

供应链安全保护

7.9……………………5

数据安全防护

7.10………………………6

检测评估

8…………………6

制度

8.1…………………6

方式和内容

8.2…………………………6

监测预警

9…………………7

制度

9.1…………………7

监测

9.2…………………7

预警

9.3…………………8

主动防御

10…………………8

收敛暴露面

10.1…………………………8

攻击发现和阻断

10.2……………………8

攻防演练

10.3……………8

威胁情报

10.4……………9

Ⅰ

GB/T39204—2022

事件处置

11…………………9

制度

11.1…………………9

应急预案和演练

11.2……………………9

响应和处置

11.3…………………………9

重新识别

11.4…………………………10

参考文献

……………………11

Ⅱ

GB/T39204—2022

前言

本文件按照标准化工作导则第部分标准化文件的结构和起草规则的规定

GB/T1.1—2020《1:》

起草

。

请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别专利的责任

。。

本文件全国信息安全标准化技术委员会提出并归口

(SAC/TC260)。

本文件起草单位中央网信办网络安全协调局公安部网络安全保卫局中国电子技术标准化研究

:、、

院中国信息安全测评中心国家信息技术安全研究中心国家计算机网络应急技术处理协调中心公安

、、、、

部第三研究所公安部第一研究所北京赛西科技发展有限责任公司中国信息安全研究院有限公司

、、、、

国家工业信息安全发展研究中心中国网络安全审查技术与认证中心中国互联网络信息中心

、、。

本文件主要起草人杨建军郭启全郭涛姚相振王惠莅祝国邦范春玲陈亮宋璟孙晓丽

:、、、、、、、、、、

周亚超孙军任卫红李秋香江典盛袁静宫月任泽君张新跃上官晓丽杨晨王凤娇程娜马力

、、、、、、、、、、、、、、

刘志磊于东升陈翠云刘志宇任望魏军黄元飞王博王姣王秉政

、、、、、、、、、。

Ⅲ

GB/T39204—2022

引言

为落实中华人民共和国网络安全法关键信息基础设施安全保护条例关于保护关键信息基础设

《》《》

施运行安全的要求在国家网络安全等级保护制度基础上借鉴我国相关部门在重要行业和领域开展网

,,

络安全保护工作的成熟经验吸纳国内外在关键信息基础设施安全保护方面的举措结合我国现有网络

,,

安全保障体系等成果从分析识别安全防护检测评估监测预警主动防御事件处置等方面提出关

,、、、、、,

键信息基础设施安全保护要求采取必要措施保护关键信息基础设施业务连续运行及其重要数据不受

,,

破坏切实加强关键信息基础设施安全保护

,。

Ⅳ

GB/T39204—2022

信息安全技术

关键信息基础设施安全保护要求

1范围

本文件规定了关键信息基础设施分析识别安全防护检测评估监测预警主动防御事件处置等

、、、、、

方面的安全要求

。

本文件适用于指导运营者对关键信息基础设施进行全生存周期安全保护也可供关键信息基础设

,

施安全保护的其他相关方参考使用

。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款其中注日期的引用文

。,

件仅该日期对应的版本适用于本文件不注日期的引用文件其最新版本包括所有的修改单适用于

,;,()

本文件

。

信息安全技术信息安全风险评估方法

GB/T20984

信息安全技术术语

GB/T25069

3术语和定义

界定的以及下列术语和定义适用于本文件

GB/T25069。

31

.

关键信息基础设施criticalinformationinfrastructure

公共通信和信息服务能源交通水利金融公共服务电子政务国防科技工业等重要行业和领

、、、、、、、

域以及其他一旦遭到破坏丧失功能或者数据泄露可能严重危害国家安全国计民生公共利益的重

,、,、、

要网络设施信