◆张勇 胡嘉俊 肖刚

（国家计算机网络与信息安全管理中心湖南分中心 湖南 410000）

1 引言

近年来我国网络安全顶层制度设计加速推进，网络安全上升至国家安全，国家陆续颁布《网络安全法》、《个人信息保护法》、《数据安全法》等法律法规，对各企事业单位尤其是关键信息基础设施提升自身整体安全防护水平，提出了具体的要求。

而随着国家信息化发展的逐步深入，我国关键信息基础设施单位的规模正在逐步扩大，业务涉及各大民生行业，普遍形成了集团总部、省公司、地市分公司三级跨区域架构，关联的信息系统和人员众多、网络结构复杂，单位管理难度大，容易导致单位面临着各种性质的安全威胁。尽管单位花费大量人力物力构建了相对完善的网络安全防护体系，但是每年全国各地开展的各项应急演练检查中，大型关基设施企事业单位仍然被检查发现多种安全风险，甚至一些网络攻击成功进入内网系统，存在较大安全隐患。

2 大型跨区域关基单位网络安全防护面临的主要风险问题

2.1 组织架构和责任不明确

随着关基单位规模的扩大，单位组织架构也由总部延伸至地市，形成三级架构，但是网络安全日常防护的职责和要求却没有随着组织架构的延伸而延续。部分单位网络安全责任制落实不力，未明确网络安全管理工作负责领导、内设机构及相应责任，导致网络安全工作难以推进[1]。

2.2 资产管理缺失

关基单位在业务不断发展过程中，信息化系统建设不断扩大，人员频繁流动，导致互联网资产和内网资产数量不清、信息不准确、归属不明确等问题。……