张新跃　冯燕春　李若愚

摘   要：网络安全法从立法上明确了国家关键信息基础设施要在等级保护基础上实行重点保护，并要求定期进行安全风险检测评估。文章首先分析了关键信息基础设施的重要特性和安全保障要点，基于当前最新的风险评估标准模型，结合行业最佳实践，提出了基于关键信息基础设施业务特点识别关键属性，并围绕关键属性进行风险评估的方法论，给出了基于二维矩阵的风险分析实施方法、相关内容作为关键信息基础设施检查评估国家标准的重要补充，将为关键信息基础设施安全评估工作的执行提供参考。

关键词：CII;安全保障;关键属性;风险分析

中图分类号：TN711          文献标识码：A

Abstract： The network security law makes it clear from the legislation that the national critical information infrastructure should be protected on the basis of hierarchical protection and grade protection， and requires regular security risk detection and assessment. Firstly， this paper analyses the important characteristics and key security feature of the critical information infrastructure， and puts forward the critical information based on the latest risk assessment standard model and industry best practices. Based on the methodology of identifying critical features and risk assessment around critical features， the implementation method of risk Assessment based on two-dimensional matrix is presented. As an important supplement to the national standards of critical information infrastructure inspection and assessment， the relevant contents will provide reference for the implementation of critical information infrastructure security assessment.

Key words： CII; security guarantee ; critical features; risk assessment

1 引言

随着信息化的快速普及和发展，关键信息基础设施（Critical Information Infrastructure，简称CII）作为事关国家安全和社会稳定的重要战略资源的地位日益凸显[1]。一方面随着互联网的飞速发展，网络入侵和网络攻击事件频发，严重威胁着关键信息基础设施的正常运转，给国家安全带来极大隐患;另一方面，网络战争威胁日益加剧，针对关键信息基础设施的攻击和事件时有发生，这些攻击通常是有组织有预谋的，甚至是国家层面的网络攻击对抗，这种政府参与的网络攻击的力度和影响力是普通网络攻击所达不到的。因此，为了更好地应对复杂的国内外网络安全形势，维护国家安全和社会稳定，应重点加强对关键信息基础设施的安全保护。

我国在2016年……