安全行業(yè)數(shù)字底座關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)設(shè)計(jì)方案

<<>eoNeoNTENTS全底板全底板牢筑網(wǎng)絡(luò)安全?持續(xù)碎片化?威脅、廠商、產(chǎn)品、資本?持續(xù)復(fù)雜化?理論、技術(shù)、標(biāo)準(zhǔn)?高增速、高彈性?增速15%-30%，IT投入占比2-3%標(biāo)準(zhǔn)體系?持續(xù)復(fù)雜化?理論、技術(shù)、標(biāo)準(zhǔn)?高增速、高彈性?增速15%-30%，IT投入占比2-3%標(biāo)準(zhǔn)體系等級(jí)保護(hù)分級(jí)保護(hù)數(shù)據(jù)安全保護(hù)法個(gè)人信息保護(hù)法?安全團(tuán)隊(duì)高分化?頭部企業(yè)與創(chuàng)業(yè)團(tuán)隊(duì)高增長(zhǎng)2018（200）2019（303）、2020（313）、2021（376……鐵、公、機(jī) 鐵、公、機(jī)信息安全/網(wǎng)絡(luò)安全/網(wǎng)絡(luò)空間安全（信息安全/網(wǎng)絡(luò)安全/網(wǎng)絡(luò)空間安全（CyberSpaceSecurity）五大主權(quán)空間共生/雙生數(shù)字世界物理世界數(shù)字世界交互關(guān)系物理世界Security五大主權(quán)空間共生/雙生數(shù)字世界物理世界數(shù)字世界交互關(guān)系物理世界SecuritySafty國(guó)家安全法3.軍事安全4.經(jīng)濟(jì)安全5.文化安全6.社會(huì)安全7.科技安全8.信息安全9.生態(tài)安全10.資源安全網(wǎng)絡(luò)空間安全網(wǎng)絡(luò)空間主權(quán)網(wǎng)絡(luò)強(qiáng)國(guó)網(wǎng)絡(luò)空間安全網(wǎng)絡(luò)空間主權(quán)網(wǎng)絡(luò)強(qiáng)國(guó)網(wǎng)絡(luò)大國(guó)網(wǎng)絡(luò)安全和信息化是一體之兩翼網(wǎng)絡(luò)安全和信息化是一體之兩翼，驅(qū)動(dòng)之雙輪，必須統(tǒng)一謀劃，統(tǒng)一部署，統(tǒng)一推進(jìn)，統(tǒng)一實(shí)施威脅覺醒廠商覺醒國(guó)家覺醒?信息化（辦公自動(dòng)化,?病毒感染特征匹配啟發(fā)/虛擬/仿真?信息化（辦公自動(dòng)化,?病毒感染特征匹配啟發(fā)/虛擬/仿真云查殺威脅情報(bào)態(tài)勢(shì)感知?網(wǎng)絡(luò)安全法(2017)?GDPR(2018)?等保2.0（2020）?黑客攻擊??黑客攻擊?人員泄密數(shù)字化（系統(tǒng)大爆炸,1995-2015,J2EE）數(shù)字化轉(zhuǎn)型（數(shù)據(jù)化,2015-至今）解決問題（產(chǎn)品的有效性）解決問題（產(chǎn)品的有效性）同步建設(shè)（架構(gòu)的前瞻性）黑客高級(jí)威脅業(yè)務(wù)風(fēng)險(xiǎn)黑客高級(jí)威脅業(yè)務(wù)風(fēng)險(xiǎn)黑客攻防技術(shù)大數(shù)據(jù)安全技術(shù)行為分析技術(shù)惡意代碼?……反病毒技術(shù)核心技術(shù)IT環(huán)境融合基于操作系統(tǒng)的文件識(shí)別基于操作系統(tǒng)的文件識(shí)別基于網(wǎng)絡(luò)的協(xié)議解析基于密碼的加解密終端云端物聯(lián)網(wǎng)基于大數(shù)據(jù)的數(shù)據(jù)挖掘網(wǎng)云端物聯(lián)網(wǎng)基于大數(shù)據(jù)的數(shù)據(jù)挖掘網(wǎng)Gartner：2021-2023大型企業(yè)新興技術(shù)路線圖Gartner：2021-2023大型企業(yè)新興技術(shù)路線圖Gartner：2021-2023中型企業(yè)新興技術(shù)路線圖?從1994年到2020年，各類國(guó)家層面的法律法規(guī)已經(jīng)達(dá)到65個(gè)，314項(xiàng)國(guó)家標(biāo)準(zhǔn)。計(jì)算機(jī)信息系統(tǒng)安關(guān)于維護(hù)互聯(lián)網(wǎng)國(guó)家網(wǎng)絡(luò)與安全分級(jí)保護(hù)等級(jí)保護(hù)關(guān)于加強(qiáng)網(wǎng)絡(luò)信息全保護(hù)條例安全的決定信息協(xié)調(diào)小組管理辦法管理辦法保護(hù)的決定20002003200520072012國(guó)家信息化工作領(lǐng)導(dǎo)小組國(guó)家信息化工作領(lǐng)導(dǎo)小組2001重組國(guó)家信息化工作領(lǐng)導(dǎo)小組沒有網(wǎng)絡(luò)安全就沒有國(guó)家安全共同構(gòu)建網(wǎng)絡(luò)空間命運(yùn)共同體2014（第一屆世界互聯(lián)網(wǎng)大會(huì)）2014國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略公布2016等保2.0核心標(biāo)準(zhǔn)國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略公布2016等保2.0核心標(biāo)準(zhǔn)開始實(shí)施2020.12《網(wǎng)絡(luò)安全法》2017數(shù)據(jù)安全法個(gè)人信息保護(hù)法2021.9/11和信息化委員會(huì)201820164.19講話201720164.19講話2017《網(wǎng)絡(luò)空間國(guó)際合作戰(zhàn)略》2020.1《密碼法》開始實(shí)施4.20會(huì)議，加快推進(jìn)國(guó)家網(wǎng)絡(luò)強(qiáng)國(guó)建設(shè)”《密碼法》開始實(shí)施國(guó)家總體安全觀國(guó)家總體安全觀十四五規(guī)劃與2035遠(yuǎn)景目標(biāo)十四五規(guī)劃與2035遠(yuǎn)景目標(biāo)（網(wǎng)絡(luò)安全保障體系與能力）習(xí)近平網(wǎng)絡(luò)強(qiáng)國(guó)思想國(guó)家網(wǎng)絡(luò)空間安全戰(zhàn)略國(guó)家網(wǎng)絡(luò)空間安全戰(zhàn)略網(wǎng)絡(luò)安全觀網(wǎng)絡(luò)安全觀個(gè)人信息保護(hù)法 密碼法數(shù)據(jù)安全法《黨委（黨組）網(wǎng)絡(luò)安全工作責(zé)任制實(shí)施辦法》國(guó)家安全法個(gè)人信息保護(hù)法 密碼法數(shù)據(jù)安全法《黨委（黨組）網(wǎng)絡(luò)安全工作責(zé)任制實(shí)施辦法》國(guó)家安全法網(wǎng)絡(luò)安全法網(wǎng)絡(luò)安全等級(jí)保護(hù)制度網(wǎng)絡(luò)安全等級(jí)保護(hù)制度網(wǎng)絡(luò)安全審查辦法網(wǎng)絡(luò)安全審查辦法關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)條例標(biāo)準(zhǔn)標(biāo)準(zhǔn)序號(hào)名稱條數(shù)字?jǐn)?shù)1232017.6.1452020.1.162020.6.172021.9.182021.9.192021.9.12021.11.1 數(shù)據(jù)安全法2021年09月1日密碼法2020年01月1日數(shù)據(jù)安全法2021年09月1日密碼法2020年01月1日關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者數(shù)據(jù)網(wǎng)絡(luò)運(yùn)營(yíng)者漏洞密碼關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例（2021年09月1日）網(wǎng)絡(luò)安全等級(jí)保護(hù)條例關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營(yíng)者數(shù)據(jù)網(wǎng)絡(luò)運(yùn)營(yíng)者漏洞密碼關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例（2021年09月1日）網(wǎng)絡(luò)安全等級(jí)保護(hù)條例據(jù)交易服務(wù)安全要求》據(jù)交易服務(wù)平臺(tái)交易數(shù)據(jù)描述》1.《信息安全等級(jí)保護(hù)密碼管理辦法》2.《信息安全等級(jí)保護(hù)商用密碼技術(shù)要求》3.《商用密碼管理?xiàng)l例》計(jì)算機(jī)信息系統(tǒng)運(yùn)營(yíng)者網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定信息安全等級(jí)保護(hù)管理辦法信息安全等級(jí)保護(hù)管理辦法1.1.計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)2.網(wǎng)絡(luò)安全等級(jí)保護(hù)實(shí)施指南（GB/T25058-2020）3.網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南（GB/T22240-2020）4.網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求（GB/T22239-2019）5.網(wǎng)絡(luò)安全等級(jí)保護(hù)設(shè)計(jì)技術(shù)要求（GB/T25070-2019）6.網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求（GB/T28448-2019）7.網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)過程指南（GB/T28449-2018）1.信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求2.信息安全技術(shù)關(guān)鍵信息基礎(chǔ)1.信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求2.信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全控制措施3.信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)能力評(píng)價(jià)方法信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保障指標(biāo)體系4.信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定指南5.信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施邊界確定方法6.信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全測(cè)評(píng)要求7.信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全監(jiān)測(cè)預(yù)警要求個(gè)人信息保護(hù)法網(wǎng)絡(luò)安全審查辦法1.《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》（GB17859-1999）2.《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》3.《信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求》（GB/T20271-2006）4.《信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求》（GB/T20270-2006）5.《信息安全技術(shù)操作系統(tǒng)安全技術(shù)要求》（GB/T20272-2006）6.《信息安全技術(shù)數(shù)據(jù)庫(kù)管理系統(tǒng)安全技術(shù)要求》（GB/T20273-2006）7.《信息安全技術(shù)服務(wù)器技術(shù)要求》8.《信息安全技術(shù)終端計(jì)算機(jī)系統(tǒng)安全等級(jí)技術(shù)要求》（GA/T671-2006）9.《信息安全技術(shù)信息系統(tǒng)安全管理要求》（GB/T20269-2006）10.《信息安全技術(shù)信息系統(tǒng)安全工程管理要求》（GB/T20282-2006）11.《信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求》12.BMB22-2007《涉及國(guó)家秘密的計(jì)算機(jī)信息系統(tǒng)分級(jí)保護(hù)測(cè)評(píng)指南》13.《涉及國(guó)家秘密的信息系統(tǒng)審批管理規(guī)定》14.BMB20-2007《涉及國(guó)家秘密的信息系統(tǒng)分級(jí)保護(hù)管理規(guī)范》上，“新基建”信息化發(fā)展歷程上，“新基建”關(guān)基保護(hù)條例構(gòu)筑網(wǎng)絡(luò)安全底板高度：均已上升到法律高度：均已上升到法律，不執(zhí)行屬于違法行為；對(duì)象：保護(hù)的對(duì)象都是網(wǎng)絡(luò)設(shè)施和信息系統(tǒng)；共性范圍不一樣：等保具有普適性，關(guān)保具有針對(duì)性；范圍不一樣：等保具有普適性，關(guān)保具有針對(duì)性；能力要求不一樣：等級(jí)保護(hù)是保護(hù)基線，關(guān)基保護(hù)無防護(hù)的上限；等級(jí)保護(hù)根據(jù)所定級(jí)別達(dá)到不同的防護(hù)能力，關(guān)基保護(hù)對(duì)抗的是有組織的敵對(duì)破壞力量；能力理念不一樣：等級(jí)保護(hù)基于合規(guī)思路，關(guān)基保護(hù)動(dòng)態(tài)風(fēng)控思路；強(qiáng)化立體化綜合防控：關(guān)基保護(hù)需要國(guó)家協(xié)調(diào)監(jiān)督、行業(yè)監(jiān)管保護(hù)、運(yùn)營(yíng)者安全防護(hù)。網(wǎng)絡(luò)安全是數(shù)字化轉(zhuǎn)型成功的保障云重構(gòu)安全體系數(shù)字化轉(zhuǎn)型?安全要與信息化要全面覆蓋、深度融合、強(qiáng)制管控務(wù)運(yùn)營(yíng)客戶業(yè)務(wù)運(yùn)營(yíng)網(wǎng)絡(luò)安全是數(shù)字化轉(zhuǎn)型成功的保障云重構(gòu)安全體系數(shù)字化轉(zhuǎn)型?安全要與信息化要全面覆蓋、深度融合、強(qiáng)制管控務(wù)運(yùn)營(yíng)客戶業(yè)務(wù)運(yùn)營(yíng)傳統(tǒng)業(yè)務(wù)模式客戶企業(yè)數(shù)字化模式數(shù)字化企業(yè)網(wǎng)絡(luò)安全底板“4.19”講話中網(wǎng)辦發(fā)“4.19”講話中網(wǎng)辦發(fā)文知》國(guó)家網(wǎng)絡(luò)空間國(guó)家網(wǎng)絡(luò)空間安全戰(zhàn)略網(wǎng)絡(luò)安全法關(guān)鍵信息基礎(chǔ)設(shè)施國(guó)標(biāo)公安部2020網(wǎng)絡(luò)安全法關(guān)鍵信息基礎(chǔ)設(shè)施國(guó)標(biāo)公安部2020文件《關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)條例》《關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)條例》（征求意見稿）2017年6月2016年12月2017年7月201國(guó)家網(wǎng)信部門負(fù)責(zé)指導(dǎo)協(xié)調(diào)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作，國(guó)務(wù)院電信主管部門、公安部門和其他有關(guān)機(jī)關(guān)依照本條例和有關(guān)法律、行政法規(guī)的規(guī)定，在各自職責(zé)范圍內(nèi)負(fù)責(zé)關(guān)鍵信息基礎(chǔ)設(shè)施安全?！蛾P(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)基本要求》—《關(guān)鍵信息基礎(chǔ)《關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評(píng)估指南》—《關(guān)鍵信息基礎(chǔ)設(shè)施安全保障指標(biāo)—《關(guān)鍵信息基礎(chǔ)【1960】號(hào)文件《貫徹落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)《關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)條例》u信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求（送審稿）uu信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求（送審稿）u信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全控制措施（報(bào)批稿）u信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)能力評(píng)價(jià)方法（送審稿）u信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全保障指標(biāo)體系（報(bào)批稿）u信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定指南（草案）u信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施邊界確定方法（送審稿）u信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全測(cè)評(píng)要求（制定立項(xiàng)）u信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施安全監(jiān)測(cè)預(yù)警要求（研究立項(xiàng)）《中華人民共和國(guó)網(wǎng)絡(luò)安全法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》uuXX行業(yè)網(wǎng)絡(luò)安全保護(hù)技術(shù)規(guī)范行業(yè)技術(shù)標(biāo)準(zhǔn)《XX行業(yè)關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)指導(dǎo)意見》第一章總則第二章關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定第四章保障和促進(jìn)34安全標(biāo)準(zhǔn)，指導(dǎo)、規(guī)范35人才培養(yǎng)22行業(yè)安全規(guī)劃26-28檢查檢測(cè)23信息共享30信息安全24監(jiān)測(cè)預(yù)警31-32優(yōu)先保障37網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)第四章保障和促進(jìn)34安全標(biāo)準(zhǔn)，指導(dǎo)、規(guī)范35人才培養(yǎng)22行業(yè)安全規(guī)劃26-28檢查檢測(cè)23信息共享30信息安全24監(jiān)測(cè)預(yù)警31-32優(yōu)先保障37網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)25應(yīng)急響應(yīng)預(yù)案和處置33安全保衛(wèi)38軍民融合第三章運(yùn)營(yíng)者責(zé)任義務(wù)第五章法律責(zé)任（39～49）第六章附則第二條本條例所稱關(guān)鍵信息基礎(chǔ)設(shè)施，是指公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)、國(guó)防科技工業(yè)等重要行業(yè)和領(lǐng)域的，以及其他一旦遭到破壞，喪失功能或者數(shù)據(jù)泄露，可能嚴(yán)重危害國(guó)家安全、國(guó)計(jì)民生、公共利益的重要網(wǎng)絡(luò)設(shè)施、信息系統(tǒng)等?；A(chǔ)電信業(yè)務(wù)廣播電視增值電信業(yè)務(wù)公共通信信息服務(wù)基礎(chǔ)電信業(yè)務(wù)廣播電視增值電信業(yè)務(wù)石油石化企業(yè)骨干型電網(wǎng)重點(diǎn)發(fā)電企業(yè)能源石油石化企業(yè)骨干型電網(wǎng)重點(diǎn)發(fā)電企業(yè)能源.公路水路鐵路交通公路水路鐵路交通.管理運(yùn)營(yíng)水利樞紐全國(guó)性銀行頭部證券大型保險(xiǎn)支付機(jī)構(gòu)水管理運(yùn)營(yíng)水利樞紐全國(guó)性銀行頭部證券大型保險(xiǎn)支付機(jī)構(gòu)水利.金融職能機(jī)構(gòu)衛(wèi)生健康金融職能機(jī)構(gòu)衛(wèi)生健康社會(huì)保障金融.教育培訓(xùn)應(yīng)急管理國(guó)防科技.公共服務(wù) 教育培訓(xùn)應(yīng)急管理國(guó)防科技.軍工集團(tuán)軍工集團(tuán)關(guān)保條例征求意見稿中“第三章關(guān)鍵信息基礎(chǔ)設(shè)施范圍”變更為“第二關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定”，并且由國(guó)家制定關(guān)鍵信息基礎(chǔ)設(shè)施指標(biāo)指南，變更為由保護(hù)工作部門制定認(rèn)定規(guī)則，明確了關(guān)鍵信息基礎(chǔ)設(shè)施系統(tǒng)帶有明確的業(yè)務(wù)屬性指導(dǎo)，也強(qiáng)化了保護(hù)部門的責(zé)任。關(guān)聯(lián)性影響關(guān)聯(lián)性影響重要程度危害程度重要程度危害程度——關(guān)基系統(tǒng)和運(yùn)營(yíng)者的范圍是動(dòng)態(tài)變化的第八條本條例第二條涉及的重要行業(yè)和領(lǐng)域的主管部門、監(jiān)督管理部門是負(fù)責(zé)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作的部門（以下稱保護(hù)工作部門）。第九條保護(hù)工作部門結(jié)合本行業(yè)、本領(lǐng)域?qū)嶋H，制定關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定規(guī)則，并報(bào)國(guó)務(wù)院公安部門備案。第十條保護(hù)工作部門根據(jù)認(rèn)定規(guī)則負(fù)責(zé)組織認(rèn)定本行業(yè)、本領(lǐng)域的關(guān)鍵信息基礎(chǔ)設(shè)施，及時(shí)將認(rèn)定結(jié)果通知運(yùn)營(yíng)者，并通報(bào)國(guó)務(wù)院公安部門。網(wǎng)信機(jī)關(guān)公安機(jī)關(guān)管理制度、資源保障、人員管理、機(jī)構(gòu)設(shè)置、考核評(píng)價(jià)、產(chǎn)品采購(gòu)國(guó)家機(jī)關(guān)網(wǎng)信機(jī)關(guān)公安機(jī)關(guān)管理制度、資源保障、人員管理、機(jī)構(gòu)設(shè)置、考核評(píng)價(jià)、產(chǎn)品采購(gòu)國(guó)家機(jī)關(guān)關(guān)基行業(yè)關(guān)鍵信息基礎(chǔ)設(shè)施第十三條運(yùn)營(yíng)者應(yīng)當(dāng)建立健全網(wǎng)絡(luò)安全保護(hù)制度和第十三條運(yùn)營(yíng)者應(yīng)當(dāng)建立健全網(wǎng)絡(luò)安全保護(hù)制度和責(zé)任制，保障人力、財(cái)力、物力投入。運(yùn)營(yíng)者的主要負(fù)責(zé)人對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)負(fù)總責(zé)，領(lǐng)導(dǎo)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)和重大網(wǎng)絡(luò)安全事件處置工作，組織研究解決重大網(wǎng)絡(luò)安全問題。網(wǎng)絡(luò)安全領(lǐng)導(dǎo)小組網(wǎng)絡(luò)安全領(lǐng)導(dǎo)小組首席網(wǎng)絡(luò)安全官首席網(wǎng)絡(luò)安全官CII安全管理機(jī)構(gòu)CII安全管理機(jī)構(gòu)CII核心崗位人員CII非核心崗位人員CII核心崗位人員CII非核心崗位人員議CII人員組織結(jié)構(gòu)CII人員管理任務(wù)CIICII人員組織結(jié)構(gòu)國(guó)家對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施實(shí)行重點(diǎn)保護(hù)；突出貢獻(xiàn)的單位和個(gè)人，按照國(guó)家有關(guān)規(guī)定給予表彰。國(guó)家制定和完善關(guān)鍵信息基礎(chǔ)設(shè)施安全標(biāo)準(zhǔn)，指導(dǎo)、規(guī)范關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作。及時(shí)提供技術(shù)支持和協(xié)助。國(guó)家加強(qiáng)網(wǎng)絡(luò)安全軍民融合，軍地協(xié)同保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施安全。網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)促進(jìn)有關(guān)部門、保護(hù)工作部門、運(yùn)營(yíng)者以及網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)等之間的網(wǎng)絡(luò)安全信息共享。國(guó)家加強(qiáng)網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)建設(shè)和管理，制定管理要求并加強(qiáng)監(jiān)督指導(dǎo)，不斷提升服務(wù)機(jī)構(gòu)能力水平。國(guó)家采取措施，鼓勵(lì)網(wǎng)絡(luò)安全專門人才從事關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作；將運(yùn)營(yíng)者安全管理人員、安全技術(shù)人員培訓(xùn)納入國(guó)家繼續(xù)教育體系。運(yùn)營(yíng)者應(yīng)當(dāng)優(yōu)先采購(gòu)安全可信的網(wǎng)絡(luò)產(chǎn)品和服務(wù)；國(guó)家支持關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)技術(shù)創(chuàng)新和產(chǎn)業(yè)發(fā)展，組織力量實(shí)施關(guān)鍵信息基礎(chǔ)設(shè)施安全技術(shù)攻關(guān)。⑥特別重大網(wǎng)絡(luò)安全事件或者發(fā)現(xiàn)特別重大網(wǎng)絡(luò)安 保護(hù)部門⑥特別重大網(wǎng)絡(luò)安全事件或者發(fā)現(xiàn)特別重大網(wǎng)絡(luò)安刑事①《關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定規(guī)則》②《關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定結(jié)果》①《關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定規(guī)則》②《關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定結(jié)果》行政拘留5~15日處罰、處分公安部門警告公安部門警告，責(zé)令改正——這些不做，都將承擔(dān)法律責(zé)任運(yùn)營(yíng)者關(guān)基保護(hù)行動(dòng)建議網(wǎng)絡(luò)安全底板的頂層設(shè)計(jì)供應(yīng)鏈攻擊家重要機(jī)構(gòu)受害。其中，美國(guó)受害最嚴(yán)重，美國(guó)國(guó)土安全部、財(cái)政部、核安全管理局等多個(gè)重要機(jī)構(gòu)勒索攻擊APT攻擊系統(tǒng)漏洞1990年-2019年，Windows平臺(tái)提交漏洞總計(jì)APT攻擊系統(tǒng)漏洞1990年-2019年，Windows平臺(tái)提交漏洞總計(jì)六大風(fēng)險(xiǎn)內(nèi)部威脅國(guó)家級(jí)對(duì)抗FBI和CSI等機(jī)構(gòu)聯(lián)合做的一項(xiàng)安全調(diào)查報(bào)告顯示，超過85%的網(wǎng)絡(luò)安全威脅來自于內(nèi)部，危害程度遠(yuǎn)遠(yuǎn)超過黑客中美在科技領(lǐng)域競(jìng)爭(zhēng)、對(duì)抗升級(jí)，以數(shù)字權(quán) 安全能力的躍升能力 安全能力的躍升體系化：組織、制度、流程、工具、人員能力的體系化：組織、制度、流程、工具、人員能力的實(shí)戰(zhàn)檢驗(yàn)實(shí)戰(zhàn)檢驗(yàn)-----------------------------------------------h安全專項(xiàng)治理實(shí)戰(zhàn)檢驗(yàn)實(shí)戰(zhàn)檢驗(yàn)現(xiàn)有安全能力時(shí)間事現(xiàn)有安全能力時(shí)間事公共通信信息服務(wù)公共通信信息服務(wù)能源執(zhí)行層執(zhí)行層管理層治理層安全政策安全組織安全人員安全預(yù)算成效考核架構(gòu)管控架構(gòu)管控工信部：網(wǎng)絡(luò)安全產(chǎn)業(yè)高質(zhì)量發(fā)展三年行動(dòng)計(jì)劃——需求釋放：電信等重點(diǎn)行業(yè)網(wǎng)絡(luò)安全投入占信息化投入物力人力財(cái)力物力人力財(cái)力建立健全網(wǎng)絡(luò)安全保護(hù)制度和責(zé)任制保障人力、財(cái)力、物力投入建立健全網(wǎng)絡(luò)安全保護(hù)制度和責(zé)任制保障人力、財(cái)力、物力投入《網(wǎng)絡(luò)安全管理計(jì)劃》整體方針專門安全管理機(jī)構(gòu)《網(wǎng)絡(luò)安全考核及監(jiān)督問責(zé)制度》組織制度《數(shù)據(jù)安全防護(hù)策略》《網(wǎng)絡(luò)安全教育培訓(xùn)制度》信息安全目標(biāo)8整體方針專門安全管理機(jī)構(gòu)《網(wǎng)絡(luò)安全考核及監(jiān)督問責(zé)制度》組織制度《數(shù)據(jù)安全防護(hù)策略》《網(wǎng)絡(luò)安全教育培訓(xùn)制度》信息安全目標(biāo)8檢查檢測(cè)風(fēng)險(xiǎn)評(píng)估供應(yīng)商管理信息共享安全運(yùn)營(yíng)評(píng)價(jià)指標(biāo)關(guān)鍵活動(dòng)技術(shù)支撐1網(wǎng)絡(luò)安全指導(dǎo)方針信息安全制度6人員能力 7風(fēng)險(xiǎn)評(píng)估安全監(jiān)控與檢查 9事件及應(yīng)急管理信息安全合規(guī)終端安全5數(shù)據(jù)安全4資產(chǎn)安全網(wǎng)絡(luò)安全應(yīng)用安全數(shù)據(jù)安全物理安全外包安全管理技術(shù)管理組織職責(zé)與分工23國(guó)家監(jiān)管部門監(jiān)督指導(dǎo)反饋IT管理層管理層決策授權(quán)審計(jì)組織監(jiān)督3指導(dǎo)檢查2網(wǎng)絡(luò)安全組織服務(wù)監(jiān)督業(yè)務(wù)組織配合協(xié)同國(guó)家監(jiān)管部門監(jiān)督指導(dǎo)反饋IT管理層管理層決策授權(quán)審計(jì)組織監(jiān)督3指導(dǎo)檢查2網(wǎng)絡(luò)安全組織服務(wù)監(jiān)督業(yè)務(wù)組織配合協(xié)同網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)建立網(wǎng)絡(luò)安全三道防線：強(qiáng)化網(wǎng)絡(luò)安全的專業(yè)化管理，實(shí)現(xiàn)對(duì)安全風(fēng)險(xiǎn)的有效控制；?第一道防線：是核心業(yè)務(wù)層網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的自管理，將網(wǎng)絡(luò)安全管理工作嵌入業(yè)務(wù)職能；?第二道防線：側(cè)重的是對(duì)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的監(jiān)測(cè)發(fā)現(xiàn)告警，將網(wǎng)絡(luò)安全管理工作要求通過監(jiān)督檢查職能實(shí)現(xiàn)；?第三道防線：強(qiáng)調(diào)專職的安全審計(jì)，網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理的充分性和有效性提供獨(dú)立和客觀的確認(rèn)和建議。獨(dú)立向管理層報(bào)告其發(fā)現(xiàn)，以促進(jìn)持續(xù)改進(jìn)。在這個(gè)過程中，它還會(huì)考和便用其它末部或外部機(jī)構(gòu)的確認(rèn)結(jié)果；形成安全防御協(xié)同聯(lián)動(dòng)：網(wǎng)絡(luò)安全組織不是封閉的，需要與外部單位交流溝通，接受外部監(jiān)管部門、地方主管部門的監(jiān)督和指導(dǎo)，得到合作伙伴的支持。關(guān)基保護(hù)需要安全管理、安全規(guī)劃、安全項(xiàng)目管理、安全基礎(chǔ)運(yùn)營(yíng)、分析響應(yīng)、攻防滲透，安全人員數(shù)量占IT人員總數(shù)的百分比借鑒國(guó)內(nèi)外最佳實(shí)踐，建議8%-10%的技術(shù)管理規(guī)劃類+外部支撐人員。安全項(xiàng)目管理安全項(xiàng)目管理人員板考核報(bào)表板考核報(bào)表考核評(píng)分制定考核任務(wù)促進(jìn)安全能力建設(shè)重要手段之一重名象考核評(píng)分考核報(bào)表定義考核指標(biāo)安全架構(gòu)應(yīng)遵循企業(yè)架構(gòu)體系的設(shè)計(jì)與管控要求，平滑融入企業(yè)架構(gòu)，在各個(gè)層次與企業(yè)架構(gòu)保持一致性。安全工程項(xiàng)目立項(xiàng)審批，其技術(shù)路線、建設(shè)的系統(tǒng)級(jí)架構(gòu)在方向上必須滿足安全架構(gòu)的管控要求，否則不予立項(xiàng)。作為綱領(lǐng)性要求，寫入網(wǎng)絡(luò)安全總綱。企業(yè)架構(gòu)體系企業(yè)架構(gòu)體系 業(yè)務(wù)架構(gòu)應(yīng)用架構(gòu)業(yè)務(wù)架構(gòu)應(yīng)用架構(gòu)數(shù)據(jù)架構(gòu)技術(shù)架構(gòu) .----.-------.安全流程是否合理？數(shù)據(jù)驅(qū)動(dòng)的網(wǎng)絡(luò)安全管理活動(dòng)：基于大數(shù)據(jù)技術(shù)，分析安全運(yùn)營(yíng)效能。自動(dòng)化方式獲取關(guān)鍵安全狀態(tài)指標(biāo)，數(shù)據(jù)驅(qū)動(dòng)的網(wǎng)絡(luò)安全管理活動(dòng)：基于大數(shù)據(jù)技術(shù)，分析安全運(yùn)營(yíng)效能。自動(dòng)化方式獲取關(guān)鍵安全狀態(tài)指標(biāo)，將安全管理活動(dòng)實(shí)現(xiàn)在線化、平臺(tái)化，基于平臺(tái)進(jìn)行安全指標(biāo)比對(duì)、統(tǒng)計(jì)、關(guān)聯(lián)等分析，對(duì)安全運(yùn)營(yíng)效能進(jìn)行數(shù)字化考核，為管理決策提供數(shù)據(jù)依據(jù)，牽引安全工作。通過安全線上服務(wù)加強(qiáng)安全運(yùn)行工作規(guī)范性：對(duì)安全日常性工作、事件發(fā)現(xiàn)處置工作、應(yīng)急響應(yīng)工作形成標(biāo)準(zhǔn)化流程，逐步條令化、線上化，以技術(shù)管控強(qiáng)制執(zhí)行，從而提升安全運(yùn)營(yíng)的規(guī)范性。建立基于大數(shù)據(jù)技術(shù)的安全運(yùn)營(yíng)“新管理”機(jī)制，通過數(shù)據(jù)看安全流程是否合理、安全防御是否生效、安全數(shù)據(jù)是否完整、安全人員如何分布、安全投資是否有效，以數(shù)據(jù)為安全管理工作提供依據(jù)。網(wǎng)絡(luò)安全防御過程是一個(gè)動(dòng)態(tài)過程，采用過程方法建立信息安全保障模型的。模型說明了信息安全保障是根據(jù)利益相關(guān)方的保障需求建立保障措施，形成保障能力，以實(shí)現(xiàn)保障效果的過程?？筛鶕?jù)對(duì)保障效果的評(píng)價(jià)，動(dòng)態(tài)調(diào)整保障措施，以更好地滿足保建立保障措施：保障措施是基于企業(yè)的保障需求設(shè)計(jì)的一系列保障手段，是實(shí)現(xiàn)信息安全保障需求的途徑，設(shè)置一批安全建設(shè)工程或任務(wù)。網(wǎng)絡(luò)安全保障模型形成保障能力：保障能力是工程和任務(wù)落地過程中所形成的應(yīng)對(duì)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的能力，是安全防御有效性的體現(xiàn)。網(wǎng)絡(luò)安全保障模型實(shí)現(xiàn)保障效果：保障效果是保障能力對(duì)利益相關(guān)方保障需求的滿足程度，是從保障對(duì)象安全目標(biāo)實(shí)現(xiàn)程度的視角對(duì)保瘴措施運(yùn)行有效性的體現(xiàn)。利益相關(guān)方是指與保障對(duì)象的信息安全相關(guān)的主管部門、運(yùn)營(yíng)機(jī)構(gòu)和用戶等。建立安全評(píng)價(jià)指標(biāo)體系，對(duì)保障措施、保障能力、保障效果進(jìn)行綜合評(píng)價(jià)，要重點(diǎn)針對(duì)網(wǎng)絡(luò)安全防御的效果進(jìn)行評(píng)價(jià)考核，以考核結(jié)果倒逼過程優(yōu)化，通過動(dòng)態(tài)調(diào)整保障措施，完善保障能力，更好的滿足保障要求。安全能力完整性指標(biāo)：此指標(biāo)主要考核能力是否全面覆蓋政企安全機(jī)制、技術(shù)手段、安全運(yùn)營(yíng)、安全管理制度、安全責(zé)任等內(nèi)容，確保所需安全能力完整性。安全與信息化的融合指標(biāo)：此指標(biāo)主要考核網(wǎng)絡(luò)安全能力在信息化的所有層面的覆蓋性、融合性。在廣度上安全能力全面覆蓋信息化場(chǎng)景，在深度上安全組件與信息化組件相互融合，消除兩張皮。安全能力的協(xié)同聯(lián)動(dòng)指標(biāo)：此指標(biāo)主要考核各類安全的能力協(xié)同程度，形成協(xié)同聯(lián)動(dòng)，整體防護(hù)能力，避免安全能力之間的割裂導(dǎo)致的碎片化與低效率。全局風(fēng)險(xiǎn)管控實(shí)戰(zhàn)化持續(xù)安全運(yùn)行常態(tài)化安全基礎(chǔ)防護(hù)體系化態(tài)勢(shì)感知系統(tǒng)安全運(yùn)維安全全局風(fēng)險(xiǎn)管控實(shí)戰(zhàn)化持續(xù)安全運(yùn)行常態(tài)化安全基礎(chǔ)防護(hù)體系化態(tài)勢(shì)感知系統(tǒng)安全運(yùn)維安全別新別審求溯源取證溯源取證城市級(jí)行業(yè)城市級(jí)行業(yè)專業(yè)安全機(jī)構(gòu)網(wǎng)絡(luò)空間情報(bào)中心網(wǎng)信：協(xié)調(diào)指揮平臺(tái)公安：關(guān)保平臺(tái)保護(hù)部門：監(jiān)控+指揮+評(píng)價(jià)平臺(tái)關(guān)基運(yùn)營(yíng)者：監(jiān)控指揮中心 網(wǎng)信部門統(tǒng)籌協(xié)調(diào)公安部門保護(hù)部門運(yùn)營(yíng)者網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)行業(yè)監(jiān)督安全保護(hù)指導(dǎo)監(jiān)督演進(jìn)演進(jìn)新模式?項(xiàng)目間相互獨(dú)立、能力割裂、缺乏聯(lián)動(dòng)關(guān)基保護(hù)關(guān)基保護(hù)綜合防控體系協(xié)調(diào)指揮平臺(tái)、關(guān)保平臺(tái)協(xié)調(diào)指揮平臺(tái)、關(guān)保平臺(tái)態(tài)勢(shì)感知和安全運(yùn)營(yíng)平臺(tái)安全防護(hù)力能提升基礎(chǔ)安全防護(hù)建設(shè)綜合防控體系協(xié)調(diào)指揮平臺(tái)、關(guān)保平臺(tái)協(xié)調(diào)指揮平臺(tái)、關(guān)保平臺(tái)態(tài)勢(shì)感知和安全運(yùn)營(yíng)平臺(tái)安全防護(hù)力能提升基礎(chǔ)安全防護(hù)建設(shè)安全專項(xiàng)建設(shè)軟件供應(yīng)鏈安全預(yù)防網(wǎng)絡(luò)安全底板的旁路攻擊2020年12月13日，全球最著名的網(wǎng)絡(luò)安全管理軟件供應(yīng)商SolarWinds遭遇國(guó)家級(jí)APT團(tuán)伙高度復(fù)雜的供應(yīng)鏈攻擊并植入木馬后門。該攻擊直接導(dǎo)致包括美國(guó)關(guān)鍵基礎(chǔ)設(shè)施、軍隊(duì)、政府在內(nèi)的18000+企業(yè)客戶全部受到影響：可任由攻擊者完全操控SolarWindsDLL被投毒!下載劫持域名劫持開發(fā)工具被污染SDK被污染包管理器投毒下載劫持域名劫持升級(jí)包被污染惡意操作源代碼被污染惡意代碼組件漏洞升級(jí)包被污染惡意操作源代碼被污染惡意代碼組件漏洞惡意組件升級(jí)劫持攻擊不斷左移2020.042018.122020.042018.122017.052015.092014.042017.052015.092014.04程序員SeanCassidy在自己的博客上放出了Openssl一個(gè)嚴(yán)重漏洞的細(xì)節(jié)，隨后這一“災(zāi)難級(jí)”的嚴(yán)重安全漏洞席卷了整個(gè)互聯(lián)網(wǎng)。國(guó)內(nèi)互聯(lián)網(wǎng)大廠以及許多安全廠商都被爆出漏洞開源軟件漏洞開發(fā)者使用非蘋果公司官方渠道的XCODE工具開發(fā)蘋果應(yīng)用程序時(shí)，會(huì)向正常的蘋果APP中植入惡意代碼。被植入惡意程序的蘋果APP可以在APPStore正常下載并安裝使用。該惡意代碼具有信息竊取行為，并具有進(jìn)行惡意遠(yuǎn)程控制的功能開發(fā)工具被污染來自瑞士安全公司Modzero的研究人員在檢查WindowsActiveDomain的基礎(chǔ)設(shè)施時(shí)發(fā)現(xiàn)惠普音頻驅(qū)動(dòng)中存在一個(gè)內(nèi)置鍵盤記錄器監(jiān)控用戶的所有按鍵輸入廠商預(yù)留后門驅(qū)動(dòng)人生旗下多款軟件攜帶后門病毒DTStealer，僅半天時(shí)間感染了數(shù)萬臺(tái)電腦。該病毒進(jìn)入電腦后，繼續(xù)通過“永恒之藍(lán)”高危漏洞進(jìn)行全網(wǎng)傳播，并回傳被感染電腦的IP地址、CPU型號(hào)等信息升級(jí)劫持安全公司ReversingLabs發(fā)現(xiàn)Ruby語言官方模塊包代碼庫(kù)RubyGems，被植入了超725個(gè)惡意軟件包。惡意軟件包的下載量接近100000次。如，"atlas-client"是一個(gè)誘騙的誘餌程序包，被2100次下載，用來模仿的"atlas_client"惡意軟件2021.032021.022021.032021.022021.012020.122020.052021.012020.122020.05GitHub安全博客警告了針對(duì)ApacheNetBeansIDE項(xiàng)目的開源供應(yīng)鏈攻擊OctopusScanner，最終統(tǒng)計(jì)顯示，有26個(gè)開源項(xiàng)目被植入了OctopusScanner后門植入后門全球最著名的網(wǎng)絡(luò)安全管理軟件供應(yīng)商SolarWinds遭遇國(guó)家級(jí)APT團(tuán)伙高度復(fù)雜的供應(yīng)鏈攻擊并植入木馬后門。該攻擊直接導(dǎo)致包括美國(guó)關(guān)鍵基礎(chǔ)設(shè)施、軍隊(duì)、政府在內(nèi)的18000+企業(yè)客戶全部受到影響：可任由攻擊者完全操控源代碼被污染安全研究人員RyotaK，披露了他是如何滲透進(jìn)微軟VisualStudioCode的官方GitHub存儲(chǔ)庫(kù)的，微軟VisualStudioCode的持續(xù)集成腳本中存在一個(gè)漏洞，該漏洞導(dǎo)致他能夠滲透進(jìn)微軟VisualStudioCode的官方GitHub存儲(chǔ)庫(kù)并向其提交文件。這種代碼庫(kù)中的安全問題將有可能被應(yīng)用到軟件供應(yīng)鏈攻擊中開發(fā)環(huán)境漏洞安全研究人員通過一種新穎的軟件供應(yīng)鏈攻擊方式（依賴關(guān)系混亂成功的侵入了微軟、蘋果、PayPal、特斯拉、優(yōu)步等35家國(guó)際大型科技公司的內(nèi)網(wǎng)，在向這些公司提交安全報(bào)告后，他獲得超過13萬美元的獎(jiǎng)金依賴混亂PHPGit服務(wù)器被入侵，源代碼被植入后門。攻擊者使用PHP的作者RasmusLerdorf和Jetbrains開發(fā)者NikitaPopov的賬號(hào)，向服務(wù)器上的php-src存儲(chǔ)庫(kù)推送了兩次惡意提交，在PHP代碼中植入了一個(gè)后門，其目標(biāo)是可以通過該后門獲得運(yùn)行PHP的網(wǎng)站系統(tǒng)的遠(yuǎn)程代碼執(zhí)行權(quán)限。通過攻擊流行的軟件開發(fā)基礎(chǔ)設(shè)施，達(dá)到輻射大量下游用戶的目的，已經(jīng)成為黑客青睞的方式植入后門第一步第一步第二步第二步第三步?以此為跳板，Shiro反序列化第三步?以此為跳板，Shiro反序列化2第四步3445第五步?fastjson漏洞控制正在調(diào)試代碼的開發(fā)5第五步6登錄目標(biāo)系統(tǒng)第六步登錄目標(biāo)系統(tǒng)第六步AAB模式第一步?通過任意文件上傳，在開發(fā)測(cè)試網(wǎng)掛馬第一步?通過任意文件上傳，在開發(fā)測(cè)試網(wǎng)掛馬5、獲得源代碼第二步?在服務(wù)器上搭建隧道，對(duì)網(wǎng)絡(luò)資產(chǎn)進(jìn)行掃描?通過弱口令等橫向攻擊其?在服務(wù)器上搭建隧道，對(duì)網(wǎng)絡(luò)資產(chǎn)進(jìn)行掃描?通過弱口令等橫向攻擊其他服務(wù)器開發(fā)測(cè)試網(wǎng)業(yè)務(wù)網(wǎng)第三步第四步?通過賬號(hào)復(fù)用，發(fā)現(xiàn)儲(chǔ)存源代碼服務(wù)器第五步?獲得目標(biāo)系統(tǒng)源代碼第六步B’?B模式?對(duì)源代碼逆向發(fā)現(xiàn)0day漏第六步B’?B模式漏洞載體多種多樣；漏洞載體多種多樣；每個(gè)環(huán)節(jié)都有隱患；軟件空間關(guān)系復(fù)雜！舉例：熱門桌面軟件265,829款，可拆解出15種元素共3,655,919項(xiàng)，構(gòu)建依賴關(guān)系25,257,890條?！败浖?元素:依賴關(guān)系”==“1:13.753:95.016”國(guó)家戰(zhàn)略國(guó)際局勢(shì)開發(fā)模式技術(shù)趨勢(shì)國(guó)家戰(zhàn)略國(guó)際局勢(shì)開發(fā)模式國(guó)家戰(zhàn)略會(huì)使國(guó)內(nèi)應(yīng)用生態(tài)規(guī)模急速膨脹數(shù)字化轉(zhuǎn)型現(xiàn)狀，會(huì)形成軟件應(yīng)用大爆發(fā)趨勢(shì)網(wǎng)絡(luò)空間對(duì)抗加劇現(xiàn)狀國(guó)家戰(zhàn)略會(huì)使國(guó)內(nèi)應(yīng)用生態(tài)規(guī)模急速膨脹數(shù)字化轉(zhuǎn)型現(xiàn)狀，會(huì)形成軟件應(yīng)用大爆發(fā)趨勢(shì)網(wǎng)絡(luò)空間對(duì)抗加劇現(xiàn)狀，會(huì)使供應(yīng)鏈安全問題突顯軟件產(chǎn)品本身的安全風(fēng)險(xiǎn)供應(yīng)商自身存在的安全風(fēng)險(xiǎn)軟件產(chǎn)品本身的安全風(fēng)險(xiǎn)等應(yīng)對(duì)措施遵循軟件安全開發(fā)生命周期管理流程應(yīng)對(duì)措施遵循軟件安全開發(fā)生命周期管理流程嚴(yán)格管控上游，尤其重點(diǎn)管控開源軟件的使用建立完善的產(chǎn)品漏洞響應(yīng)機(jī)制應(yīng)對(duì)措施對(duì)供應(yīng)商提出明確的安全要求充分評(píng)估軟件廠商的安全能力，簽署安全責(zé)任協(xié)議建立供應(yīng)商安全準(zhǔn)入機(jī)制建立軟件安全性檢測(cè)能力☆☆構(gòu)（甲方）監(jiān)管強(qiáng)監(jiān)管監(jiān)管強(qiáng)監(jiān)管強(qiáng)約束強(qiáng)約束企業(yè)開發(fā)機(jī)構(gòu)（供應(yīng)商）企業(yè)開發(fā)機(jī)構(gòu)（供應(yīng)商）供應(yīng)鏈安全開發(fā)?企業(yè)管理機(jī)構(gòu)有義務(wù)受監(jiān)管機(jī)構(gòu)的強(qiáng)監(jiān)管?企業(yè)管理機(jī)構(gòu)有義務(wù)對(duì)企業(yè)開發(fā)機(jī)構(gòu)進(jìn)行強(qiáng)約束?企業(yè)管理機(jī)構(gòu)是供應(yīng)鏈安全管理的核心主體和第一責(zé)任人供應(yīng)鏈安全管理信息安全領(lǐng)導(dǎo)小組職能體系商務(wù)體系研發(fā)體系運(yùn)維體系供應(yīng)鏈體系項(xiàng)目管理體系技術(shù)方案：《供應(yīng)鏈及代碼安全管控技術(shù)方案繪 信息安全領(lǐng)導(dǎo)小組系研發(fā)體系軟件供應(yīng)鏈安全治理是事關(guān)建黨100周年和冬奧會(huì)兩項(xiàng)重點(diǎn)任務(wù)在全國(guó)范圍內(nèi)開展的供應(yīng)鏈安全專項(xiàng)整治行動(dòng)系研發(fā)體系技術(shù)規(guī)劃部商務(wù)與供應(yīng)鏈管理中心解決方案部物流管理組織建設(shè)是軟件供應(yīng)鏈安全專項(xiàng)整治行動(dòng)成功的保障商務(wù)與供應(yīng)鏈管理中心解決方案部物流管理技術(shù)研發(fā)部技術(shù)研發(fā)部依托現(xiàn)有信息安全管理架構(gòu)，側(cè)重軟件開發(fā)和供應(yīng)鏈管理相關(guān)部門全員參與，分工明確，責(zé)任到位《開發(fā)相關(guān)區(qū)域安全隔離管理辦法》《開發(fā)終端安全管理辦法》《開發(fā)相關(guān)數(shù)據(jù)防泄露管理辦法》《供應(yīng)鏈及代碼安全管理辦法》 《合作伙伴安全管理辦法》企業(yè)清單《開發(fā)相關(guān)區(qū)域安全隔離管理辦法》《開發(fā)終端安全管理辦法》《開發(fā)相關(guān)數(shù)據(jù)防泄露管理辦法》《供應(yīng)鏈及代碼安全管理辦法》 《合作伙伴安全管理辦法》企業(yè)清單《開發(fā)環(huán)境安全域劃分及邊界防護(hù)技術(shù)方案》《開發(fā)終端安全管理技術(shù)方案》《開發(fā)相關(guān)數(shù)據(jù)防泄露技術(shù)方案》《供應(yīng)鏈及代碼安全管控技術(shù)方案》整改梳理制定供應(yīng)鏈安全隱患整改“清零”清單產(chǎn)品清單產(chǎn)品隱患清單企業(yè)隱患清單01,供應(yīng)鏈安全管理02,供應(yīng)鏈安全開發(fā)1.具備安全培訓(xùn)能力2.具備安全需求分析3.