ICS35040

CCSL.80

中華人民共和國公共安全行業標準

GA/T2182—2024

信息安全技術關鍵信息基礎設施安全

測評要求

Informationsecuritytechnology—Evaluationrequirementsforcybersecurity

forcriticalinformationinfrastructure

2024-12-26發布2025-05-01實施

中華人民共和國公安部發布

GA/T2182—2024

目次

前言

…………………………Ⅴ

引言

…………………………Ⅵ

范圍

1………………………1

規范性引用文件

2…………………………1

術語和定義

3………………1

縮略語

4……………………2

概述

5………………………2

關鍵信息基礎設施安全測評與網絡安全等級測評

5.1………………2

關鍵信息基礎設施安全測評框架

5.2…………………3

框架構成

5.2.1………………………3

單元測評

5.2.2………………………3

關聯測評

5.2.3………………………4

整體評估

5.2.4………………………4

測評結論

5.2.5………………………4

單元測評

6…………………4

分析識別

6.1……………4

業務識別

6.1.1………………………4

資產識別

6.1.2………………………5

風險識別

6.1.3………………………6

重大變更

6.1.4………………………6

安全防護

6.2……………7

網絡安全等級保護

6.2.1……………7

安全管理制度

6.2.2…………………7

安全管理機構

6.2.3…………………8

安全管理人員

6.2.4…………………9

安全通信網絡

6.2.5…………………11

安全計算環境

6.2.6…………………13

安全建設管理

6.2.7…………………15

安全運維管理

6.2.8…………………16

供應鏈安全保護

6.2.9………………17

數據安全防護

6.2.10………………18

檢測評估

6.3……………20

制度

6.3.1……………20

Ⅰ

GA/T2182—2024

方式和內容

6.3.2……………………21

監測預警

6.4……………22

制度

6.4.1……………22

監測

6.4.2……………23

預警

6.4.3……………24

主動防御

6.5……………26

收斂暴露面

6.5.1……………………26

攻擊發現和阻斷

6.5.2………………27

攻防演練

6.5.3………………………28

威脅情報

6.5.4………………………28

事件處置

6.6……………29

制度

6.6.1……………29

應急預案和演練

6.6.2………………30

響應和處置

6.6.3……………………32

重新識別

6.6.4………………………34

其他安全要求

6.7………………………35

關聯測評

7…………………35

概述

7.1…………………35

信息收集匯總

7.2………………………35

入侵痕跡分析

7.3………………………35

業務邏輯安全分析

7.4…………………35

模擬攻擊路徑設計

7.5…………………36

縱向路徑

7.5.1………………………36

橫向路徑

7.5.2………………………36

物理路徑

7.5.3………………………36

滲透測試

7.6……………36

整體評估

8…………………37

網絡安全管控能力評估

8.1……………37

網絡安全管控能力評估方法

8.1.1…………………37

網絡安全管控能力評估結果

8.1.2…………………37

網絡安全保護水平評估

8.2……………38

網絡安全保護水平評估方法

8.2.1…………………38

網絡安全保護水平評估結果

8.2.2…………………38

關鍵業務安全風險分析與評價

8.3……………………38

風險分析與評價方法

8.3.1…………38

風險評價結果

8.3.2…………………39

測評結論

9…………………40

Ⅱ

GA/T2182—2024

附錄資料性關鍵信息基礎設施安全測評與網絡安全等級測評的區別

A()…………41

附錄規范性滲透測試要求

B()…………42

附錄規范性本文件與的關聯關系

C()GB/T39204—2022、GB/T22239—2019…46

附錄規范性關鍵信息基礎設施綜合安全保護能力存在重大安全缺陷的情形

D()…54

Ⅲ

GA/T2182—2024

前言

本文件按照標準化工作導則第部分標準化文件的結構和起草規則的規定

GB/T1.1—2020《1:》

起草

。

本文件與信息安全技術網絡安全等級保護基本要求信息安全技術

GB/T22239《》、GB/T28448《

網絡安全等級保護測評要求信息安全技術關鍵信息基礎設施安全保護要求共同

》、GB/T39204《》

構成關鍵信息基礎設施安全保護系列標準

。

請注意本文件的某些內容可能涉及專利本文件的發布機構不承擔識別專利的責任

。。

本文件由公安部網絡安全保衛局提出

。

本文件由公安部信息系統安全標準化技術委員會歸口

。

本文件起草單位公安部第三研究所公安部網絡安全保衛局公安部第一研究所中國電子技術標

:、、、

準化研究院山東新潮信息技術有限公司深圳市網安計算機安全檢測技術有限公司中國電子科技集

、、、

團公司第十五研究所應急管理部大數據中心清華大學中國信息安全測評中心國家信息技術安全研

、、、、

究中心

。

本文件主要起草人袁靜郭啟全祝國邦曲潔朱建興范春玲宮月王惠蒞張杰牛建紅張巖

:、、、、、、、、、、、

黃玉釧邸麗清孫曉麗王李樂

、、、。

Ⅴ

GA/T2182—2024

引言

為了配合中華人民共和國網絡安全法和關鍵信息基礎設施安全保護條例的實施在國家網絡

《》《》,

安全等級保護制度基礎上充分借鑒我國相關部門在重要領域開展網絡安全審查網絡安全檢查等重點

,、

工作的成熟經驗充分吸納國外在關鍵信息基礎設施安全保護方面的舉措結合我國現有網絡安全測

,,

評評估成果提出關鍵信息基礎設施安全測評要求標準

、,。

Ⅵ

GA/T2182—2024

信息安全技術關鍵信息基礎設施安全

測評要求

1范圍

本文件規定了針對關鍵信息基礎設施開展網絡安全測評的要求和方法

。

本文件適用于關鍵信息基礎設施運營者及安全檢測評估服務機構開展的關鍵信息基礎設施安全測

評工作

。

2規范性引用文件

下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款其中注日期的引用文

。,

件僅該日期對應的版本適用于本文件不注日期的引用文件其最新版本包括所有的修改單適用于

,;,()

本文件

。

信息安全技術信息安全風險評估方法

GB/T20984—2022

信息安全技術網絡安全等級保護基本要求

GB/T22239—2019

信息安全技術術語

GB/T25069—2022

信息安全技術網絡安全等級保護測評要求