水利关键信息基础设施保护的思考

詹全忠，蔡 阳

（水利部水利信息中心，北京 100053）

水利关键信息基础设施保护的思考

詹全忠，蔡 阳

（水利部水利信息中心，北京 100053）

从关键基础设施和关键信息基础设施概念出发，阐述水利关键信息基础设施的内涵，针对关键信息基础设施认定标准缺乏的问题，梳理分析并提出水利关键信息基础设施认定原则，依据《中华人民共和国网络安全法》对关键信息基础设施保护相关要求，提出加强水利关键信息基础设施网络安全保护的建议。

水利；关键信息基础设施；网络安全

0 引言

网络安全是一个事关国家安全的重大战略性问题，党的十八大以来，党中央、国务院高度重视网络安全工作，习近平总书记站在战略和全局高度，就网络安全工作发表了一系列重要讲话，提出了“没有网络安全就没有国家安全”“安全是发展的保障，发展是安全的目的”“加快构建关键信息基础设施安全保障体系，全天候全方位感知网络安全态势，增强网络安全防御能力和威慑能力”，为网络安全工作指明了方向。

《中华人民共和国网络安全法》（以下简称《网络安全法》）是我国首部网络安全综合性、基础性的法律，其中明确规定了关键信息基础设施保护制度。

水利行业作为我国重要行业之一，拥有众多信息和水利工程控制等系统，这其中有不少属于关键信息基础设施，一旦遭受攻击，可能发生较大的影响，要格外引起关注。

1 水利关键信息基础设施的内涵

国际上，关键基础设施（CI）的概念由来已久，主要指为国家社会提供不可缺少的产品和服务的设施，且其一旦被破坏、丧失功能，将对国家、社会、公众造成重大伤害。关键信息基础设施（CII）的定义最初从通信信息网络发展而来，主要指支撑关键基础设施运转的信息系统。然而随着信息技术的发展，CI 智能化和网络化，CI 遭受网络攻击风险和威胁明显增大，CI 保护逐渐聚焦于 CI 的网络安全保护上，CII 和 CI 的边界逐渐模糊，两者的概念经常互相交错使用[1]。

在我国，《网络安全法》首次从法律角度描述关键信息基础设施的范围：“国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护[2]”。2016年 12月发布的《国家网络空间安全战略》首次给出关键信息基础设施定义：“关系国家安全、国计民生，一旦数据泄露、遭到破坏或者丧失功能可能严重危害国家安全、公共利益的信息设施，包括但不限于提供公共通信、广播电视传输等服务的基础信息网络，能源、金融、交通、教育、科研、水利、工业制造、医疗卫生、社会保障、公用事业等领域和国家机关的重要信息系统，重要互联网应用系统等[3]”。

根据《网络安全法》及相关文件精神，结合水利实际情况，水利行业的国家关键信息基础设施（以下简称水利关键信息基础设施）是指“事关国家安全、国计民生，一旦数据泄露、遭到破坏或者丧失功能，将严重危害国家安全、公共利益的水利信息设施，包括但不限于支撑面向公众提供网络信息服务和支撑水利枢纽运行及管控、长距离输水管控、城市水源地管控等水利关键业务的水利重要信息系统和重要水利工程控制系统[2]”。

2 水利关键信息基础设施的认定

水利关键信息基础设施网络安全保护的基础工作是界定保护对象，目前，有关部门正在制定关键信息基础设施认定的标准和程序，但是尚未正式出台。《网络安全法》《国家网络空间安全战略》虽然给出了关键信息基础设施的概念，但是在具体识别一个关键信息基础设施时，由于情况非常复杂，难以准确界定。这给水利行业开展关键信息基础设施认定工作带来障碍。根据关键信息基础设施的概念，认定水利关键信息基础设施应综合考虑水利实际情况。

2.1 关键信息基础设施首先必须是重要信息系统

根据 GB/T 22240—2008《信息安全技术信息系统安全等级保护定级指南》，信息系统的安全保护等级分为五级，其中，第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益；第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害；第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害；第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。对照《网络安全法》《国家网络空间安全战略》关于关键信息基础设施定义，可看出，安全保护等级为第四、五级的信息系统应纳入关键信息基础设施，第三级信息系统部分纳入关键信息基础设施，第一、二级信息系统不应纳入关键信息基础设施，也就是说安全保护等级为三级及以上的信息系统（重要信息系统）才可能是关键信息基础设施。

在实际工作中要注意 2 点：1）在信息系统定级合理的情况下，才可基于上述原则进行对照判断，如果信息系统本身定级不恰当，上述原则不适用；2）不能因为信息系统没有定级就认为其不是关键信息基础设施，没有定级、备案只能说明相关工作有缺失，必须补充定级、备案工作。

2.2 水利关键信息基础设施的重点领域是水利工程、水源地的运行管控系统

关键信息基础设施一般具有以下 1 项或多项特征：1）为国家正常运转提供必需的产品和服务；2）结构体系中被强依赖的关键节点；3）可能为高危设施，被攻击后可导致直接的破坏后果；4）存储或传输的信息数据大量集中或及其敏感；5）具备象征意义，被攻击和破坏影响社会稳定[4]。

对照上述关键信息基础设施特征可以发现，对于水利行业来说，重要水利工程、水源地一般具有上述第二、三项特征，其运行管控系统是水利关键信息基础设施的重点。运行管控系统分为控制类和管理类，控制类即直接控制水利工程、水源地运行的工业控制系统（水利工程控制系统），管理类即对水利工程、水源地运行进行管理调度的业务信息系统。其中，水利工程控制系统主要包括：闸门控制、泵站控制、水电站机组控制及工程运行状态监测等系统。

2.3 水利关键信息基础设施的认定要综合考虑多方面因素

在水利关键信息基础设施认定时要综合考虑影响程度、依赖程度、关联性等多方面因素。

1）考虑影响程度。即评估信息基础设施一旦发生数据泄露、遭到破坏或者丧失功能事件后，对国家安全、公共利益造成的影响，影响大、后果严重的才可作为候选水利关键信息基础设施。影响程度可从直接致死人数、直接或间接经济损失、国家安全影响等方面进行判别。

2）考虑依赖程度。在具有相应影响程度的基础上，分析依赖程度，依赖程度高的才可作为候选水利关键信息基础设施，这里有两方面含义，一方面是国家安全、公共利益等对信息基础设施所支撑的服务的依赖程度，另一方面是该服务正常提供对信息基础设施的依赖程度。比如，一个水利工程承担一个城市供水任务，在判别这个水利工程的工业控制系统是否为水利关键信息基础设施时要分析其依赖程度，一方面分析该城市对这个水利工程的依赖程度（如果该城市唯一依靠该水利工程供水，则依赖程度高），另一方面分析该水利工程正常运转对水利工程控制系统的依赖程度（如果有人工控制手段替代水利工程控制系统，则依赖程度相对低）。

3）考虑关联性。单个信息基础设施的影响程度不高，但是如果其影响其他相关信息基础设施，形成连锁反应，整体影响程度较大，则也应作为候选水利关键信息基础设施。对于水利行业来说，流域天然形成关联关系，单个水利工程影响不大，但是当流域内多个水利工程联合调度，整体影响较大，这时其联合调度系统应作为候选水利关键信息基础设施。

2.4 水利关键信息基础设施认定建议

水利行业下列系统可纳入水利关键信息基础设施：

1）大型水利工程、重要位置的中型水库运行控制和生产调度系统；

2）全国重要饮用水水源地水量水质监控管理系统；

3）其他跨省、跨流域引调水工程运行控制和生产调度系统；

4）省级以上防汛抗旱指挥系统和水资源信息管理系统；

5）集中存储、处理 100 万人以上公民个人信息的水利信息系统；

6）集中存储的水利工程基础信息系统。

3 加强水利关键信息基础设施保护的建议

关键信息基础设施“不出问题则已，一出就可能导致交通中断、金融紊乱、电力瘫痪等问题，具有很大的破坏性和杀伤力”。近年来，各种网络安全事件时有发生，关键信息基础设施网络安全面临严峻的形势和挑战。2010年，“震网”病毒攻击伊朗核设施，致使伊朗核电站 1/5 的离心机报废；2015年，乌克兰电力系统受黑客攻击，导致乌克兰伊万诺-佛兰柯夫斯基地区（140 万人）大约一半的家庭断电数小时。特别是，由于我国许多基础信息网络和重要信息系统的核心设备、技术和高端服务主要依赖国外进口，关键信息基础设施安全防护能力较弱，一些“命门”受制于人，应对网络威胁的能力整体不足，无法抵御大规模、有组织的网络攻击。

针对关键信息基础设施，《网络安全法》提出“在网络安全等级保护制度的基础上，实行重点保护”，并对关键信息基础设施在运行安全、监测预警和应急处置等方面提出很多具体要求。一直以来，水利行业非常重视网络安全，特别是水利关键信息基础设施网络安全，相关工作也常抓不懈，取得了一定成效，但是面对当前网络安全的严峻形势，还存在很多薄弱环节，亟待加强。根据《网络安全法》对关键信息基础设施保护的相关要求，结合当前网络安全技术发展，建议重点从以下几方面加强水利关键信息基础设施网络安全工作。

3.1 落实责任、完善机制

《网络安全法》从国家、行业、运营者 3 个层面，规定了相关方在关键信息基础设施保护方面的责任，国家相关职能部门负责统筹协调、行业主管部门负责协调指导、运营单位具体承担关键信息基础设施网络安全保护工作。

具体到水利行业，应该在国家相关职能部门的统筹协调下，由水利部网络安全与信息化领导小组办公室（以下简称部网信办）承担行业主管部门职责，负责水利关键信息基础设施网络安全保护的指导监督工作；各水利关键信息基础设施运营单位成立主要领导负责的网络安全领导机构，领导机构下设办公室，具体负责水利关键信息基础设施网络安全保护工作；水利关键信息基础设施运营单位的主管部门成立主要领导负责的网络安全领导机构，领导机构下设办公室，在部网信办的指导下负责所辖范围内水利关键信息基础设施保护的指导监督工作。

水利关键信息基础设施涉及国家安全、公共利益，其网络安全保护责任重大，而且网络无边界，单靠运营单位一个单位，甚至水利行业一个行业，都难以应对，需要统筹协调各方资源，齐抓共管，形成合力。因此，水利关键信息基础设施网络安全保护在运营单位承担主体责任的基础上，相关各方积极协助配合，从经费、资源、技术等方面予以支持保障。随着《网络安全法》的正式施行，关键信息基础设施保护相关制度的逐渐健全，必将形成完善的工作机制。

3.2 态势感知、主动防御

传统网络安全防御主要是被动防御，在网络边界竖起一道道城墙，被动抵挡入侵者攻击，这种防御方式能应对一定程度的网络攻击，但是在面对有组织、高强度的网络攻击和高度隐蔽的 APT 攻击时，力有未逮。

传统的被动防御主要存在 2 个方面的问题：1）对外部网络安全形势一无所知。传统网络安全防御仅仅着眼自身防御设施建设，对网络安全的外部环境了解甚少，不能及时准确掌握新的安全漏洞隐患和攻击手段、组织、动向等。知己知彼，才能百战不殆，对这些外部环境了解不足，就不能根据外部形势变化，及时采取针对性措施有效增强自身防御。2）对内部网络安全威胁知之甚少。传统网络安全防御一般依靠特征规则判别威胁，对于已知威胁具有一定的识别能力，对于未知威胁则难以有效识别。当前网络攻击技术层出不穷，新的攻击手段特征规则发现相对滞后，而且网络安全具有很强的隐蔽性，特别是新型的 APT 攻击，可能潜伏很长时间未被发现，结果是“谁进来了不知道、是敌是友不知道、干了什么不知道”。

关键信息基础设施是经济社会运行的神经中枢，是网络安全的重中之重，也是可能遭到重点攻击的目标，需要重点保护。单纯的被动挨打防御方式不能满足安全防护要求，这就要求改变传统的被动防御为主动防御，在网络安全等级保护工作基础上，重点开展水利关键信息基础设施网络安全威胁态势感知体系建设，包括情报收集和态势感知 2 个部分。

情报收集主要是收集外部安全威胁、内部安全风险、关键信息基础设施运行状态等信息，其中，外部安全威胁信息主要包括攻击者、手段、目标及相关行业网络安全事件等，由部网信办从国家相关职能部门、威胁情报服务提供商等获取，并和水利关键信息基础设施运营单位及其主管部门共享；内部安全风险信息主要包括资产安全漏洞、安全攻击行为等，由水利关键信息基础设施运营单位通过安全设备、主机审计、网络流量采集等设施采集，摘要信息向主管部门及部网信办共享，水利部网信办依托互联网对面向互联网服务的水利关键信息基础设施进行安全监测，相关信息向水利关键信息基础设施运营单位及其主管部门共享；关键信息基础设施运行状态信息包括健康度、可用性等，由水利关键信息基础设施运营单位利用运维监控设施采集，并向主管部门及部网信办共享。

态势感知是在情报收集的基础上，结合水利关键信息基础设施资产信息，通过大数据分析技术，分析研判水利关键信息基础设施网络安全状态和形势，并及时发布预警信息。水利部网信办建设面向水利行业的水利关键信息基础设施态势感知系统，各水利关键信息基础设施运营单位建设针对该关键信息基础设施的态势感知系统，根据需要水利关键信息基础设施运营单位主管部门建设态势感知系统，各级态势感知系统实现信息共享、协同联动。

3.3 应急响应、快速恢复

应急响应是网络安全的最后一道防线，在网络攻击即将发生、攻击过程中启动预警措施，或者在攻击引发网络安全事件后启动应急措施，都可以有效遏制事态的恶化，尽可能减小损失。《网络安全法》对网络安全应急处置，特别是关键信息基础设施网络安全应急处置工作提出了具体要求。水利关键信息基础设施网络安全事件应急机制建设包括：组织、预案、能力等体系建设。

在 3.1 节组织架构基础上建设水利关键信息基础设施网络安全事件应急响应组织体系，各级组织各司其职、强化协调配合，同时部网信办组建专家组，为水利关键信息基础设施网络安全事件应急响应工作提供技术支持。

水利部网信办制定水利行业网络安全事件总体预案，水利关键信息基础设施运营单位主管部门在总体预案的基础上编制网络安全事件细化预案，水利关键信息基础设施运营单位编制关键信息基础设施网络安全事件专项应急预案，形成总体预案为纲，细化预案为骨干，专项预案为支撑的网络安全事件应急响应预案体系，并定期开展应急演练。

应急预案的落地需要相应的能力作支撑，包括应急管理和装备保障能力。部网信办建设应急管理平台，实现预案管理、资源管理（包括人才、装备、通信等资源）、应急演练管理、风险预警、分析研判、指挥调度等功能，各水利关键信息基础设施运营单位建设针对该关键信息基础设施的应急管理平台，根据需要水利关键信息基础设施运营单位主管部门可建设应急管理平台，各级应急管理平台实现信息共享、协同联动。装备保障包括：视频监控、视频会议、通信设施、容灾备份和业务替代措施等。

3.4 强化监督、持续改进

水利关键信息基础设施网络安全是一个持续改进的过程，不可能一蹴而就。各水利关键信息基础设施运营单位应定期开展网络安全自查，重点检查安全管理制度的完备性、防护手段的有效性；在每次网络安全事件处置结束或应急演练结束后，开展总结评估，分析查找薄弱环节。水利部网信办每年至少开展 1 次水利关键信息基础设施网络安全检查，水利关键信息基础设施运营单位主管部门定期开展网络安全检查。通过监督检查，及时发现水利关键信息基础设施存在的网络安全隐患，及时进行改进，不断提升网络安全防护能力。

4 结语

随着《网络安全法》的正式施行，国家关键信息基础设施保护制度的不断完善，关键信息基础设施保护的要求越来越高，水利关键信息基础设施网络安全保护将是当前及今后较长时间内水利网络安全工作的重点，要扎实开展相关工作，不断提升水利关键信息基础设施网络安全保护能力。

[1] 唐旺等. 关键信息基础设施概念研究[J]. 信息技术与标准化，2016 （4）: 26-29.

[2] 中华人民共和国第十二届全国人民代表大会常务委员会.中华人民共和国网络安全法[A]. 北京：人民出版社，2016: 1-36.

[3] 国家物联网信息办公室. 国家网络空间安全战略[A/OL].（2016-12-27）[2017-04-15]. http://www.cac.gov.cn/2016-12/27/c_1120195926. htm.

[4] 宁华. 关键信息基础设施的概念及关键性研究[EB/OL].（2015-07-23）[2017-04-15]. http://www.ce.cn/wxzx/kj/ 201507/23/t20150723_6018160. shtml.

Thinking on critical information infrastructure protection of water resources

ZHAN Quanzhong, CAI Yang

（Water Resources Information Center, the Ministry of Water Resources, Beijing 100053, China）

Begins with the concept of critical infrastructure and critical information infrastructure concept, states the connotation of critical information infrastructure of water resources, for lack of the standard for identification of critical information infrastructure, this article analyzes and puts forward the identification rules for critical information infrastructure of water resources. According to the provisions on critical information infrastructure protection of the Cybersecurity Law of the People’s Republic of China, the article puts forward the advice to strengthen critical information infrastructure of water resources protection.

water resources; critical information infrastructure; cybersecurity

T21

A

1674-9405（2017）03-0016-04

2017-05-12

詹全忠（1974-），男，湖北大治人，教授级高工，主要研究方向：网络与信息安全。

10.19364/j.1674-9405.2017.03.004