文│国家信息技术安全研究中心 杨韬 钟雷
2021 年 9 月 1 日，我国《关键信息基础设施安全保护条例》（以下简称《条例》）正式施行，为开展关键信息基础设施安全保护工作提供了基本遵循和重要抓手，标志着我国关键信息基础设施安全保护工作和网络空间治理迈进了新时代。一年来，在国家网信办的统筹协调下，关键信息基础设施保护工作部门和关键信息基础设施运营者以及广大网络安全从业者协力推进，我国关键信息基础设施安全保护工作不断取得新进展。但总体上看，我国关键信息基础设施安全保护工作还需大力推进，进一步提高保护意识，提升保护能力，达成保护效果。对此，必须结合运营者所在行业领域，加强我国关键信息基础设施韧性安全与弹性安全体系建设，确保关键信息基础设施业务持续稳定运行。
一、数字社会中关键信息基础设施的重要性愈加凸显
（一）信息化进入建设数字社会新阶段使关键信息基础设施的网络化数字化内涵更加丰富
当前，5G、物联网、卫星互联网、工业互联网、大数据、人工智能、云计算等新一代信息技术加速与关键信息基础设施深度融合，使数字时代的关键信息基础设施日益呈现高速泛在、天地一体、云网融合、数据驱动、智能敏捷和绿色低碳的特点。关键信息基础设施支撑着数字社会的基本服务，数据成为新的生产要素，数据资源成为驱动数字经济创新发展的“新动能”。关键信息基础设施庞大的网络系统和承载的海量数据堪称支撑数字社会正常运转、数字经济创新发展的“神经”和“血脉”。
（二）网络泛在联接和重要核心数据使关键信息基础设施更容易成为网络安全威胁的重点关注目标
数字社会，数据流动、共享、分配、交换产生新的业务，创造新的价值，更新、构建、重组了生产关系。一方面，这些业务让关键信息基础设施实现更广泛的联接，日益成为复杂的动态巨系统。另一方面，关键信息基础设施需要支撑或完成涉及国民经济、国家安全等领域的重要和核心数据的汇聚与处理。这种特性使关键信息基础设施不仅成为各类网络攻击的高价值目标，更成为国家级网络对抗的新场域，针对关键信息基础设施的网络攻击呈现高发、高危、扩散和难防的显著态势，其面临的网络安全威胁形势更加严峻。
（三）关键信息基础设施对数字社会的基础性、支撑性作用使其在国家网络防御体系中处于牵一发动全身的地位
当前，我国正处于从全球网络大国向网络强国迈进的关键时期，已建成全球最大规模的网络基础设施，数字经济总量已跃居世界第二位。日益网络化、智能化的关键信息基础设施是建设网络强国、数字中国和智慧社会的基础性、战略性资源，承载着支撑国民经济和社会稳定运行的重要系统和关键业务,在国家网络防御体系建设中处于核心地位，一旦遭遇重大网络攻击导致运行中断、功能故障或发生重大数据泄露，造成的影响范围更广，损失和后果更严重。
虽然在不同行业领域，关键信息基础设施提供的功能、发挥的作用、安全的实践不同，但从《条例》第二条可知，关键信息基础设施安全保护的核心目标是防范核心功能的破坏、丧失以及数据泄露风险事件，确保风险事件不危害国家安全、国计民生、公共利益。为此，必须采取更有力的保护措施，提高关键信息基础设施应对各类风险和安全威胁的能力，确保关键信息基础设施能够抵御风险、承受攻击并能够从中迅速恢复，保持运行稳定性，实现业务连续性，为网络强国、数字中国和智慧社会建设提供有力支撑。要达到这个目标，需要在传统网络安全防护基础上，同步提升韧性和弹性安全能力。
二、准确认识和理解效果导向视角下的关键信息基础设施韧性与弹性
（一）国际上对网络弹性（韧性）的定义与认知
在基础设施保护领域，近 10 年左右时间国际上提出了 Resilience 一词，国内普遍存在“弹性”“韧性”两种翻译，译为“弹性”居多。但从其语义、提出的背景和具体内容来看，同时包含了中文语义下的弹性和韧性的概念。如果只强调一个方面，在概念上可能有失偏颇。以下简要梳理了国际上对此概念的定义。
英国内阁办公室在 2011 年的《确保国家运转：自然灾害和基础设施》中提出“弹性表示资产、网络或系统预知、吸收、适应破坏性事件并从中快速恢复的能力”；2018 年英国能源研究组织发布的报告中提出“弹性指承受和降低破坏性事件规模和持续时间的能力，包括预知、吸收、适应和快速恢复能力”；欧盟委员会在 2012 年的《欧盟的弹性方法：从粮食危机中学习》中提出“弹性是个体、家庭、社区、国家或区域对压力和打击的承受、适应和快速恢复能力”。
美国同样注重关键基础设施的弹性能力。2013 年发布的第 21 号美国总统政策令（PPD-21）《关键基础设施的安全与弹性》中提到“弹性是指准备并适应不断变化的条件以及抵御破坏并迅速从破坏中恢复的能力。弹性包括抵御故意攻击，事故或自然发生的威胁或事件并从中恢复的能力”，其政府部门（如国土安全部等）、军方（如国防科技委员会、国防部、网络司令部等）、标准领域（如 NIST 800-53、NIST 800-160 等）、企业（如米特雷、埃森哲、高德纳等）的理解基本一致，可概括为“设施或系统在面临不利条件下，承受压力、攻击或损害时表现出的预知、承受、恢复和适应能力”。其特点体现在三个方面：一是物理空间、网络空间、人员均被美国列为关键基础设施安全的要素，且无论是安全性还是弹性，均以风险管理方法和框架进行统筹牵引；二是网络弹性的提出，以攻击必然发生、系统必被攻破、对手必将持续潜伏为前提，更聚焦于保护关键部分以支撑设施持续运行关键业务的能力；三是网络安全和网络弹性并列提出，其网络安全以系统安全保障为主、兼顾数据安全保护，其网络弹性的概念比中文语境下弹性的概念更为宽泛，其中也包含了极端条件下网络或系统对破坏的容忍度，也就是韧性的概念，如有效地分段/隔离策略、确定性能最低阈值、明确风险承受能力、协同防护一致性分析、容错运行、载毒运行、环境切换等。
（二）对我国关键信息基础设施韧性安全与弹性安全的认识理解
中文语境下韧性、弹性的概念有明显区别。弹性概念起源于力学和生态学等领域，后衍生到技术、工程等领域。《辞海》对弹性的释义为材料或物体在外力作用下产生变形，若除去外力后变形随即消失的性质。《现代汉语词典》对“弹性”的释义是物体受外力变形后，除去作用力时能恢复原来形状的性质。
韧性在物理学、生态学、心理学、社会学等领域均有应用。《大辞海》释义，“韧”的含义是柔软而坚固，早出于《宋史˙苏云卿传》：“夜织屦，坚韧过革舃，人争贸之以馈远”。《大辞海》对韧性的释义为物体受外力作用时，产生变形但不折断的性质。《现代汉语词典》对“韧性”的解释为物体柔软、不易折断破裂的性质。韧性强调物体自身的适应性，以及抵御外力而不损毁的能力。
不难看出，弹性和韧性均是以“外力作用”为前提、产生变形为表现，其区别在于弹性更强调“恢复如初”的能力，韧性更强调“不易断裂”的能力。在此之上，对应到关键信息基础设施安全保护领域还有一层共同的含义，都描述了系统或组织在压力、不利因素等不断变化的环境下，保持和维护其核心功能正常运行以达成既定使命的能力。从这一点上看，韧性和弹性根本目的一致，均需要聚焦关键信息基础设施的首要任务或核心功能，并认清可能会影响关键信息基础设施核心功能的环境变化。由于关键信息基础设施结构复杂，现阶段将其所有系统、组件和相关方的安全能力拉齐到高级别安全水平较为困难，所以首先需要聚焦其核心功能，厘清影响或可能影响其核心功能的环境变化，包括外部环境、内部环境、系统环境、相关方环境、数据流动路径等，重点围绕安全事件影响核心功能的方式、条件、途径和危害程度，以“守牢底线+防范风险”的思路，构建和完善关键信息基础设施防御体系，加强对攻击的容忍度、耐受性等韧性安全能力，提高系统恢复和重构等弹性安全能力。
另一方面，围绕适应环境变化，关键信息基础设施的韧性安全和弹性安全各有侧重。韧性安全侧重抵抗力、承受力，相对的在安全事件过程中发挥作用，偏被动方式，其核心在于“抗毁耐压”“伤而不毁”；弹性安全侧重复原力、替代力，相对的在安全事件发生后发挥作用，偏主动方式，其核心在于“稳健恢复”。从目标而言，无论是韧性安全或弹性安全，均需要围绕核心功能开展相适应的设计、建设、部署、演练等，以确保相关功能的实现、能力的形成和效果的保障。
三、加强关键信息基础设施韧性和弹性安全的措施建议
在当前形势和要求下，达到关键信息基础设施安全保护效果不应仅依靠“挂载式”的防护措施，对于关键信息基础设施运营者而言，严格落实“同步规划、同步建设、同步使用”原则，并将安全措施融入关键信息基础设施设计、运行过程之中，加强安全措施与基础设施功能的深度结合、协调联动，采取静态加固和动态应变相结合的措施，才能有效促进实现安全保护目标。
韧性和弹性安全应围绕核心业务功能，结合运营者所在行业领域实际情况分别提升“抗毁耐压”能力和“稳健恢复”能力，提供达到韧性和弹性安全目标所需的“资源掌握”“准确诊断”“自我演进”能力，从适应、定位、抵御、恢复、完善五个方面，重点加强以下措施。
（一）加强资源掌控，建立风险预判、协同联动机制
一是加强网络和系统资源掌握能力，将资产底数和供应链信息形成图谱，粒度由大系统版本型号下沉至组件级、数据和控制指令交互级，重点掌握核心业务功能涉及的系统组成、业务流、数据流情况，最大限度地掌握准确信息。二是加强应急资源部署和掌握，厘清组件、系统、相关方依赖关系，确保极端情况下联络可达、资源可用。三是加强数据资产掌控，加快落实数据分类分级保护，将数据流转图的绘制梳理提升至与网络拓扑图同等重要位置，加强重要数据、核心数据流转过程中的保护措施，严格控制和约束重要数据、核心数据内部使用加工和对外提供公开。
（二）强化准确诊断，提高事件、隐患的发现、定位能力
在已开展的安全检测、监测基础之上，结合资源梳理掌握工作情况，重点强化协调联动，达到风险隐患快发现、准定位、可处置的效果。一方面，资产信息实现动态更新、数据处理行为实现动态甄别、身份和访问行为实现动态判断，提高发现问题的能力和速度。另一方面，应在不引发次生风险的前提下，尽可能打通、汇聚各类安全设备产生的结果、告警、日志信息，联动资产和供应链底数信息，持续开展专用平台与专业队伍相结合的监测分析，准确定位风险隐患；在此基础上进一步强化预测和预判能力，提前部署措施，最大程度确保安全事件不直接危害核心功能，或演变传导产生更大影响。
（三）聚焦抗毁耐压，完善业务底线防御措施
掌握业务底线运行所需条件和安全要求，厘清底线与理想状态之间的“灰度空间”“缓冲地带”，采用定量定性结合的方式，尽可能量化关键信息基础设施核心功能对于安全风险事件的承受能力，根据核心功能指标加大安全资源、应急资源投入力度；设施整体实施分层分域防护，核心功能涉及的系统和数据应最大限度缩减外部暴露面、严控远程访问和内部特权操作行为，实施动态化、与资源对应的身份鉴别措施；聚焦变更和扰动监测，严格监控核心功能涉及的资产变更、配置设置变更、访问操作行为变更、数据处理方式变更以及异常情况，防范“毁瘫式”网络攻击和安全事故事件。
（四）注重稳健恢复，增强系统复原的时效性和有效性
一是安全事件和脆弱性严格实现闭环管理，完善监督评价机制，尽力确保事件事故得到快速有效处置，规避危害影响蔓延风险。二是充分考虑极端情况，结合行业领域特点和核心功能实际情况，明确或设立功能性能阈值，从快速切换、快速响应、快速恢复角度重点提升冗余和灾备措施效能。三是结合对供应链信息的梳理掌握，重点围绕可能存在“停止服务”“停止供给”“预制后门”，以及存在必要功能以外获取数据、传输指令行为的产品或服务，充分考虑其对核心功能的影响，提前制定应对预案，确保核心功能具备弹性恢复能力。
（五）促进自我演进，提升防御体系的适应能力
一是要重视对历史经验教训的总结，要针对同行业或相近系统安全事件，加强事件成因、危害影响、应对措施等方面的信息梳理，总结、提炼成为可供学习和共享的知识，通过交流将相关经验融入到安全能力改进之中。二是定期开展实战化演练，检验基础设施防御体系的安全性有效性，锻炼防御队伍的实战能力，提升应对突发情况的处置能力。三是紧密跟踪攻防两端先进技术发展，积极探索研发前沿性防御技术并做好转化应用，注重发挥人工智能技术在自动化防御体系中的推动作用，以自动化理念提升韧性防御和弹性恢复能力，促进关键信息基础设施安全保护能力迭代演进。
四、结 语
站在新的历史起点上，我们需进一步贯彻习近平总书记加快构建关键信息基础设施安全保障体系的重要指示精神，深入推进网络强国战略，严格落实《条例》各项要求，紧紧围绕保障关键信息基础设施业务持续稳定运行，强化关键信息基础设施韧性和弹性安全措施，在国家网信部门统筹指导下，保护工作部门、运营者、网络安全服务机构、科研院所等共同努力，不断提升关键信息基础设施安全保护能力和水平。
（本文刊登于《中国信息安全》杂志2022年第9期）
声明：本文来自中国信息安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
