5安全與韌性社區韌性組織間信息交互指南本文件提供了組織間信息交換的指導，包括信息交換的基本原則、框架以及流程。文件確定了信息交換機制，使參與組織能夠從他人的經驗、教訓和成功中學習，并提供了相關措施來強化參與組織應對風險的能力。本文件適用于需要建立支持信息交換條件相關指導的私人和公共組織，主要側重于方法論。本文件不適用于技術層面。2規范性引用文件下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。ISO22300安全與韌性－術語（Securityandresilience－Vocabulary）3術語和定義ISO22300界定的以及下列術語和定義適用于本文件。3.1敏感信息sensitiveinformation對個人、組織、國家安全或公共安全可能產生不利影響而不公開披露的信息。[來源：ISO22300：2018，3.244，有修改]4基本原則4.1概述信息交換的總體目標是作為信息決策制定的一部分在可信賴組織間共享信息，以提高安全性和韌性（參見附錄B）。然而每次的信息交換因參與組織的特定需求和資源而具有獨特性，因此應制定共同的原則來指導信息交換機制，以及信息交換的評估和持續改進。4.2指導原則為有效開展信息交互，組織宜：a)信任與意愿基于信息交互（包括敏感信息）的信任和意愿。b)創造價值基于互利的基礎上，創造和保護組織的價值。c)信息保護6信息交互需要對每個參與組織指定的敏感信息達成相互理解。d)結構化與系統化流程各組織在信息政策、流程和慣例、相關立法以及隱私原則的范圍內分享信息，并且在具備時效性、系統化及結構化的框架中執行。e)共享承諾宜建立在給予和接收信息的共同承諾之上，以確保組織間互利的關系。f)決策支持交互的信息被用于幫助組織作出決策并指導日常運營。g)安全與完整性可靠且有效的安全與完整性控制措施可實現高效的信息交互。h)持續改進參與組織開展定期評估，以實現信息交互的持續改進。5框架5.1概述框架為參與組織確保有效的信息交互提供動態感知、理解和決策制定依據。圖2給出了確立和維護信息交互框架的各組成部分。圖2框架組成示意圖5.2領導力與承諾最高管理層應給予出堅定和持續的承諾，以確保信息交換機制的持續有效，同時對該機制的組成最高領導層應當：—確定價值創造過程中信息交換的目標；—定義和認可同一信息交換框架；—確保組織的承諾和貢獻；—分配參與者的職責及責任；7—確保分配必要的資源用于信息交換；—說明在約定范圍內共享信息帶來的收益；—確定符合參與組織利益和背景的信息交換業績標準；—確保遵循其組織的各項政策；—制定一份包含這些承諾的政策文件。5.3環境分析設計和實施信息交換框架之前，參與組織應當評估和了解影響設計的內外部環境。參與組織的外部環境評估可包括：—運行環境；—影響環境的關鍵驅動因素和趨勢；—與其利益相關方的關系。參與組織的內部環境評估可包括：—確定組織的哪些部分將參與；—確定屬于流程組成部分的對應組織代表。5.4設計與建立框架設計信息交換框架時，參與組織的最高管理層應當考慮：—信息傳播的管理模式、組織結構、角色、職責以及原則；—必要的資源、能力（如資金、時間、人員、專業技能—正式以及非正式決策流程；—內部利益相關方的認知與價值觀，以及與其的關系；5.5實施實施框架的時候，參與組織應當：—與利益相關方溝通和協商，以確保框架仍然適當；—確保信息決策制定（包括目標的制定與設立）與信息交換的產出保持一致。5.6監督與審查為確保信息交換的有效性并持續促進組織機能，參與組織宜：—評估信息交換既定目標的績效和進展情況；—審查信息交換過程的文件（比如風險管理計劃—審查各個參與組織貢獻的均衡性。參與組織應當在監督和審核流程中為其他參與組織提供支持。5.7持續改進參與組織應當利用監督和審查進程的產出，持續改善信息交換框架。記錄所吸取的經驗教訓，并在各參與組織之間分享。6流程86.1概述信息交換流程概要圖（圖3）。圖3信息交互流程的概要參與組織應當：—建立并運行信息交換機制，允許每個組織學習其他組織的建議、成功經驗、錯誤教訓；—將信息交換機制嵌入到每個組織的常規運行流程之中；—根據每個機構的當地要求和環境定制并優化信息交換機制；—確保交換的信息接受信息安全程序的約束。6.2確立需求6.2.1概述參與組織應當：—設定信息交換的結構；—闡明信息交換的目標和參數；—確定表達意見和影響信息交換進程的時機；6.2.2意向確立機構應當通過意向書或者其他承諾的方式來表明自身參與信息交換的意愿。6.3組織準備6.3.1內部參與組織應當制訂信息共享的政策及實施規程，其中考慮：—可交換的信息類型；—有獲取價值的信息類型；—對其他參與組織有價值的信息。96.3.2外部參與組織應制定處理已共享信息的程序和協議，以便確定：—對方如何對此信息給予有價值的信息回應。6.4定義信息交互結構6.4.1概述參與組織應當商定信息交換結構，提供信息交換概況，其中包括監管程序以及行為規范，并具體說明如何為信息交流提供資金。6.4.2目的參與組織應澄清信息交流的目的，解釋每個組織與信息交流機制的關系，并具體說明：—在信息交換安排中提供信息的一般流程；—信息交換的各項實際問題；—所需的信息類型；—就所交流的信息提供投入或想法的方式。6.4.3成員指導方針參加組織應制定參與信息交流安排的準則，例如：—概述宗旨與目標；—特定目的的說明和澄清；—會議頻率及類型；—參與組織的權利；—如何管理參與組織的成員資格；—如何任命信息交換主理人；6.4.4信息分類體系信息安全管理系統應當是信息交換結構的一個集成部分。在構建流程、系統及控制措施時，應當考慮安全問題。信息安全管理系統應配置若干信息資產控制措施。作為信息交換流程建立的第一步，參與組織應商定創建信息的分類方案，同時考慮信息交換工作如何與已有的協議和理念相關聯。應根據信息的價值、關鍵性和對未經授權的披露或修改的敏感性對其進行分類，并適用法律的要求。分類應表明信息資產在保密性、完整性和可用性方面的價值，并在其整個生命周期中持續更新。信息分類是擁有信息的（私營或者公共）機構的專有決策，而且根據運營情況及信息的敏感性來決以下為信息分類體系示例。——信息安全管理系統（詳情參見ISO/IEC27000系列標準）：框架通過管理風險，為有關各方建立信任來確保其信息的機密性及其正確性和可用性。——交通燈協議（TLP，Thetrafficlightprotocol）：TLP信息分類系統意在鼓勵機構之間更多地共享敏感信息。協議采用某種顏色來標簽標記信息來源，向接收者說明進一步分發或披露的條件。如果分發的范圍需要超過編碼允許的范圍，則接收方必須首先咨詢擁有最后決定權的來源。TLP要求在參與者之間具備一定信任，共享者須足夠信任接收者，從而不過度標簽標記信息，而接收者須信任共享者采用特定顏色標簽標記信息的原因，并尊重這些限制。（詳情參見附錄A）6.5運行和維護信息交互6.5.1概述參與組織應建立如何運行和維護信息交流機制的常規流程和程序，包括為其開發和獲得技術援助以及根據需要進行技術更新的程序。參與組織應當鼓勵召開面對面會議，并且商定建立共享信息平臺，以使信息交流切實有效。6.5.2會議參與組織在創建功能性信息交換的時候，應當考慮以下幾點：—個人參與的義務（比如不允許代理—對與會者個人信任的期望；—非公開會議時的信息共享；—達成一致的會議條件；—私營及公共機構的聯合主席；—各工作組的實踐活動；—參與會議的規則。6.5.3信息共享平臺參與組織應考慮如何在面對面會議之外利用共享平臺進行信息交流。6.5.4技術方面參與組織應當選擇適當的技術平臺，并針對信息交換的各種技術事宜做出決定，從會議室安全到不參加會議時可用于信息交流的安全通信。可信的信息共享高度依賴于適當的程序，因此敏感信息為匿名，并只能以適當的格式分發。信息交換的技術情況應處于持續發展狀態，而且應包括可提高安全水平的最佳實踐。注：本文件未規定技術要求，而是確定了信息交換中采用技術支持的基本原則。6.6監督與審查6.6.1概述參加組織應將監督和審查信息交流的要求作為常規（特定或周期性）檢查或監督的計劃進程的一部分。應明確界定監督和審查的責任。監督和審查過程應涵蓋風險管理過程的所有方面，以便：—確保控制措施在設計以及運行上的有效性和高效性；—獲取進一步信息以改進信息交換；—從活動（包括未遂事件）、變化、趨勢、成功以及失敗中吸取經驗教訓；—檢測外部和內部環境的變化；—識別影響效率的新風險。6.6.2持續改進參與組織應持續改進信息交換效率，認識到持續改進：—應在計劃-執行-檢查-行動（PDCA）模式下運作；—應由評估、監測和分析監測事件、糾正措施和管理評審驅動；—需要一個能正確識別問題以及非合規項并對其進行糾正的流程。持續改進流程應當：—考慮問題的性質以及問題存在的環境；—包括改變環境，確保不重復出現問題；—包括在前一步驟的基礎上建立和改進，以確保改進涵蓋更多事項而不僅是最初發現的問題，并對組織產生更寬泛、更可持續的影響；—遵循與用于糾正措施相同的基本流程，包括下列各項：—識別需要解決問題及當前狀況（非合規項）；—識別當前的流程及控制措施（根本原因—判定需要實施的具體變更（糾正措施）。交通燈協議（TLP）交通燈協議（TLP）是一套命名法，用于確保與正確的受眾共享敏感信息。它采用四種顏色來注明不同的敏感程度，以及接收方采納的相應的共享注意事項，具體解釋見表A.1。表A.1交通燈方案分發被限定為接收方的組織，采取按需知悉的原則。信息來源方允許（[來源：參考文獻9，有修改。]（資料性）示例B.1能源領域跨界信息共享示例國家能源局、縣級行政管理部門以及三家電力公司共同來回應對于信息共享的需求。需要針對安全相關問題而開展功能完備的公私協作，以便相關組織可以在危機、重大事故或者高度防備條件下發揮作用。涉及信息交換的利益相關方認為這符合各方利益，它可以發揮預警系統的作用，并在能源領域發生危機時建立重要的溝通渠道。共享信息和建立態勢感知的良好先決條件對政府和私營公司都至關重要。成功的公私協作，可增強社會的活力和對事件和危機的抵抗力。利益相關方之間共享的信息包括物理設施和系統安全、安保漏洞，以及大小電力故障。國家能源局或者縣行政管理機構作為信息交換的主持方，可以使用其收到的信息來預測可能的大規模攻擊。通過匯集收集到的信息并且獲得相關領域的總體概況，利益攸關方可以相互分享調查結果，繼而了解何時采取主動行動，包括在必要時提高準備水平。由于國家能源局參與其它信息交換，因而還可以向其它領域的相關的利益相關方發出早期預警。建立信息交換之前，利益相關方商定了下列參數：—如何共享信息，比如是否僅在會上共享，或者通過技術平臺共享；—使用何種信息分類體系；—如何針對信息采取措施，比如了解到甲公司大量電力故障的情況下，不會導致乙公司開始招攬甲公司的客戶；—由于與客戶簽訂合約而對信息共享的限制（比如保密協議或者官僚主義限制（比如針對國際運營的私營電力公司）。B.2社區韌性項目的信息共享示例極端天氣會對弱勢群體構成巨大威脅。當弱勢群體面臨此類威脅時，事實證明有韌性的社區以及有效信息交換可以挽救這些生命。如果已經建立了針對弱勢群體的支助系統并由政府部門管理，私營部門往往也會主動提供幫助。因此，多項目間協調對在長時間周期內使盡可能多的人獲得援助至關重要。協調項目始于并持續依賴于既定的信息共享結構。盡管私營單位和公共單位具有相似的目標，但二者可能在資源以及知識等方面會有優勢。信息交換可以有助于利用每位合作伙伴的優勢，同時匯聚各方力量為易受影響人士提供支持。缺乏有效信息交換可能導致無法進行知情決策而產生混亂和延誤。參與支持弱勢群體的私營和公共組織可以相互交流信息，以幫助將其資源用于向有需要的人提供支持。數據識別和驗證至關重要。可以使用TLP方法對信息進行控制和分類（見附件A）。有組織的信息交換的重要產出是協調雙方努力獲得的積極成果。在這一示例中，良好的意愿和意圖推動了信息交換，但找到一個交換的結構也同樣重要。參考文獻[1]ISO22320,Securityandresilience—Emergencymanagement—Guidelinesforincidentmanagement[2]ISO22395,Securityandresilience—Communityresilience—Guidelinesforsupportingvulnerablepersonsinanemergency[3]IS