北信源關鍵信息基礎設施安全保護（以下簡稱“關?！保╋L險治理框架的核心思想是所有的網絡安全工作圍繞1個核心即“風險”的發現和治理展開。因為“風險=業務責任 ∑ {資產x脆弱性x威脅}”，所以所謂風險治理問題，就成為如何識別關鍵業務相關的所有的資產并對所有的資產存在的脆弱性和面臨的威脅進行動態的評估，以及在“事前、事中和事后”如何最大限度的降低風險指標。北信源認為，圍繞風險治理這1個核心指標，根據關保相關要求，需要提供4大支撐體系，最終形成6大安全能力。
一、建設背景
習近平總書記4·19重要講話精神
2016年4月19日，習近平在京主持召開網絡安全和信息化工作座談會并發表重要講話并強調：我們要加強信息基礎設施建設，強化信息資源深度整合，打通經濟社會發展的信息“大動脈”，“金融、能源、電力、通信、交通等領域的關鍵信息基礎設施是經濟社會運行的神經中樞，是網絡安全的重中之重，也是可能遭到重點攻擊的目標?！睆氖澜绶秶鷣砜?，各個國家網絡安全立法的核心就是保護關鍵信息基礎設施。加強關鍵信息基礎設施安全保護，既是我國網絡安全嚴峻形勢的迫切需要，也是切實貫徹國家安全的必然要求。
全球關鍵信息基礎設施安全形勢日趨嚴峻
近年來，針對關鍵信息基礎設施的攻擊事件屢有發生，從2015年烏克蘭電網癱瘓到2016年美國互聯網癱瘓、2017年永恒之藍勒索病毒全球爆發以及最近一次今年在美國最大燃油管道運營商遭受網絡攻擊，數據網絡被加密，黑客勒索贖金等等，針對關基攻擊強度和范圍仍在不斷擴大，這將是全世界各國需要共同面對的安全挑戰。因此，美國、英國、俄羅斯等大國都相繼出臺關保相關政策法規，將關鍵信息基礎設施安全保護視為國家網絡安全的重要工作。
我國不斷完善的政策法規與標準體系
在網絡安全威脅無處不在的大環境下，我國不斷完善網絡安全相關政策法規和標準體系，包括但不僅限于《保密法》（2014年3月1日起施行）、《國家安全法》（2015年7月1日起施行）、國家網絡空間安全戰略（2016年12月27日發布）、《網絡安全法》（2017年6月1日起施行）、網絡安全等級保護2.0國標（2019年12月1日實施）、《密碼法》（2020年1月1日起施行）、網絡安全審查辦法（2020年6月1日起實施）、《數據安全法》（2021年9月1日起施行）、網絡產品安全漏洞管理規定(2021年9月1日起施行）、《個人信息保護法》（2021年11月1日起施行）以及近日出臺的《關鍵信息基礎設施安全保護條例》（2021年9月1日起施行）等。
綜上所述，一系列相關政策法規相繼出臺，為關鍵信息基礎設施安全保護提供了法律基礎、具體要求和實施依據?！蛾P鍵信息基礎設施安全保護條例》的發布，為我國深入開展關鍵信息基礎設施安全保護工作提供有力法治保障。
關鍵信息基礎設施安全保護框架體系面向“公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務、國防科技工業”等重要行業領域的信息安全防護場景，將“三化六防”實戰理念融入關保建設當中來，結合關保四大原則，以風險為核心構建一個緊耦合風險治理平臺，包括從責任主體確認到對應管轄資產，再到摸清資產脆弱性及針對資產脆弱性和網絡狀況進行專業威脅評估，形成一個閉環。通過平臺大數據技術服務及四大體系來全面賦能業務安全，從而支撐各行業部門關鍵信息基礎設施的分析識別、安全防護、檢測評估、監測預警、技術對抗及事件處置的全環節建設，最終形成六大安全能力。
通過風險治理框架平臺實施后，可以有效解決“三化”落地問題，助力行業用戶構建先進的實戰化、體系化、常態化安全運營管理模型
（1）關保實戰化
關鍵信息基礎設施安全保護風險治理體系建設，一切從實戰出發，應用攻防思維，最直接的體現就是關基安全風險會直觀數據化，與風險相關的責任主體、資產、脆弱性和威脅等相關信息機器變化一目了然，全局化數據感知盡收眼底，還可以進一步實現協調聯動、應急指揮等。
同時，明確并加強數據資產的重要性，加大數據資產安全在整個責任KPI評分權重。
（2）關保體系化
關鍵信息基礎設施安全保護風險治理框架，相當于建立了一個“責任-資產-脆弱性-威脅”的定量評估體系。通過對于各個環節的風險最小化獲得整個體系安全水平的提升，將具體的安全措施量化，同時也將安全措施的實施獲得的收益作體現為風險量化評分的降低，因而形成有效性的閉環評估，連續性得到保障，可驗證投資投入效果。
（3）關保常態化
值得一提的是，“關?！憋L險治理平臺能夠直接將被動防御轉變為主動防御狀態，將業務與安全責任融為一體，采用安全KPI量化責任的方法和評比的手段，驅動責任主體主動完善和落實網絡空間安全工作。安全事件暴露的是現有安全架構中對于細節（如未知的脆弱性、未知的威脅等）的失控，需要增強改善環節而非僅僅改善具體的技術措施；采購之前需要評估對于風險降低的量化指標，采購之后小評估對于風險降低的實際效果的量化指標；核查在整個體系指導下的安全進度。
