行业新闻与博客

政府和企业通常通过不同的视角看待世界。在公共部门中被认为是“关键”的清单虽然相互关联很复杂，但与私营企业对基础设施的关注却相去甚远。

一个简单的事实是，大多数（如果不是全部）企业都依赖众多基础架构元素来维持平稳的运营。本文将研究什么是关键基础架构，以及这对业务意味着什么，然后讨论作为信息安全专业人员以及与其他 IT，业务和法律专业人员一起工作的信息安全专家可以做什么来保护它。

定义关键基础架构

对于我们许多人来说，当我们想到关键基础设施时，我们想到的是网络，数据中心以及也许是公用事业，例如水或电。正如美国政府国土安全部的定义所表明的那样，政府倾向于大胆思考：

“关键基础设施和关键资源（CIKR）包括对美国至关重要的物理或虚拟资产，系统和网络，以致此类资产，系统或网络的瘫痪或破坏将对安全，国家经济安全产生不利影响，公共健康或安全，或这些问题的任何组合。”

值得记住的是，并不是国家基础设施部门中的所有要素都是至关重要的。在经济的各个部门中，基础设施中有某些关键要素，基础设施的丧失或破坏将对基本服务的可用性或完整性产生重大的有害影响，从而导致严重的经济或社会后果或生命损失。这些基础设施资产构成了国家的关键国家基础设施（CNI），并且可以是物理的（例如，站点，安装，设备件）或逻辑的（例如，信息网络，系统）。

对于我们大多数人来说，我们都希望政府能够解决这些大问题。我们专注于我们可以控制和保护的内容-通常包括组织的网络，建筑物和 IT。我们可能会联系我们的服务提供商，并设置他们需要满足的安全要求。但是，无论我们认为是至关重要的，还是试图加以保护的，企业都越来越依赖于信息，IT，网络以及 SCADA（监控和数据采集）系统。

“任何自动化制造设施（无论产品是饼干，清洁水，电能，药品，大众运输还是几乎任何东西）都在一定程度上使用 SCADA 系统，” Nitro Security 关键基础设施市场总监 Eric Knapp 说。“破坏如此重要的基础设施的影响可能对公司，公众甚至国家安全产生巨大影响。”

什么对您至关重要？

组织依赖于多种形式的基础架构，例如运营设备，电信，公用事业和建筑物。对于大多数组织而言，基础架构被认为是运行基础架构所需的物理结构。

根据 ISF 关于此主题的研究和与成员的讨论，我们建议组织将其基础架构的某些部分归类为关键因素有多种原因。主要原因是何时使用基础架构来支持基本业务运营，例如制造或组装产品，交付商品以及提供服务。

“简而言之，如果我们组织的基础架构的任何部分受到损害，都将对业务产生重大影响，那么这是至关重要的。”制造部门中的一名 ISF 成员宣称。

组织将基础架构归类为关键的其他依据包括基础架构的时间（以及在某些情况下，它支持的关键业务运营）：

由于基础结构（例如，工业机械，生产线和能源生产）对个人具有固有的危险，或者在不安全的环境中操作可能导致伤害或死亡，因此会带来重大的健康和安全风险；

遵守法律，法规和合同义务，不遵守将导致罚款，罚款，法律责任，撤销营业执照或失去客户；

被认为具有高价值（例如，医学扫描设备或钻孔设备）或与高价值物品相关联

支持或被视为该国国家基础设施的一部分（例如，如果企业提供能源，电信或运输服务），因此可能需要更高级别的保护。

最后一点是通过电信部门一名 ISF 成员的评论来说明的。该成员表示：“我们提供该国大部分的电信基础设施”。“因此，我们是该国国家基础设施的重要组成部分。”

在 ISF 成员中，区分关键和非关键基础架构的组织通常会建立关键级别，例如：1 级，2 级和 3 级；关键任务，关键业务和业务运营；或高，中，低。然后，基础结构组件的需求将确定与它们关联的级别（或类别）。

“简单地说，如果我们组织的基础架构的任何部分受到损害都会对业务产生重大影响，那么这至关重要”

ISF 成员，制造业

基础结构系统通常（如果不是始终）由信息系统支持。信息系统的使用范围从小型信息系统（例如嵌入式系统和过程控制 PC）到高度分布式，集成和复杂的信息系统（例如计算机辅助制造（CAM）终端，空中交通管制系统和后勤系统）控制系统。

在许多情况下，支持或启用关键基础结构的信息系统不在组织的传统计算环境（例如，数据中心）之内，因此不受 IT 部门的授权或控制。外包，离岸并专注于核心能力（可能不包括 IT）的驱动力也可能意味着支持关键基础架构的信息系统根本不属于组织所有-可能位于不同的国家 / 地区。

例如，一个 ISF 成员-一个主要的玩具制造商-透露其在一个国家拥有生产线，而在另一个国家拥有外包包装和物流中心。此外，该公司的外包 IT 系统不在第三国使用。

保护关键基础设施

越来越多地使用信息系统来支持和启用关键基础结构，这会带来一系列新的风险，组织在满足与关键基础结构有关的安全性要求时需要克服这些风险。这些包括可用性，可靠性和弹性。根据 ISF 的工作，可以将几个有关信息安全问题的相关示例归纳为关键基础架构的四个组成部分（见表）。

保护基础架构不仅需要防火墙和补丁程序，还需要了解并同意组织的关键基础架构实际上是什么。信息安全专业人员需要与他们的业务同事和高级管理人员合作，以发现并确定哪些基础架构至关重要，以及哪些信息系统支持该基础架构。请记住，人们认为关键的可以随时间推移而变化，并且在发生故障时可以从根本上改变。

一旦确定并达成协议，就应对那些支持信息系统的信息风险进行分析。关键基础架构的业务需求应转化为信息安全需求；评估威胁和漏洞；并报告了调查结果。该分析应该是广泛的，并涵盖诸如消费化的影响，云服务的使用，无处不在的连接（包括连接到 Internet 的 SCADA）以及融合对信息系统的影响等主题。

IT 专家 Wick Hill Group 主席 Ian Kilpatrick 断言：“安全融合不同于常规数据安全。” 他说，这是因为“如果电话系统和互联网之间的联系使语音和数据都更容易受到问题的困扰，例如如果 VoIP 被黑客入侵，话费欺诈以及语音和数据通信的全部损失”。

一旦风险分析完成，就需要建立关键基础架构的控制框架。这应涵盖选择和应用一套平衡的控制措施（例如预防，侦探和反应性措施）以保护信息系统；利用诸如深度防御，最小特权和默认拒绝之类的概念；并应着眼于增强弹性和业务连续性的控制措施。如果涉及外部供应商，则应采用信息安全安排的共同基准。

来自公用事业部门的一位 ISF 成员评论说：“我们必须不断意识到集群威胁。” “一个事件导致另一事件并不需要太多，而下一件事，您要处理的是影响组织基础结构重要部分的重大事件。”

“一个事件导致另一事件并不需要太多，而下一件事，您要处理的是影响组织基础结构重要部分的重大事件。”

ISF 成员，公用事业部门

来自制造业的另一位 ISF 成员将其系统分为不同级别的关键级别，其中生产机械的级别最高。当其中一家工厂发生故障时，分类方案将被忽略。相反，当务之急是恢复其电子邮件系统（参见该图，从高层次说明了该过程）。

ISF 成员补充说：“我们将整个过程分解为一次专注于一组组件的较小任务”。“例如，我们将生产线的机械，工业设备和运输视为运营的一部分。”

当然，该过程不是静态的一次性工作。必须持续审查和保护重要的基础架构，以应对基础架构及其环境的变化。此过程以及与之相关的任何更改必须与其他时间表（例如维护时段）相适应，以最大程度地减少机械或基础设施的停机时间。

一起拉

组织每天都依赖关键基础架构，无论是国家关键基础架构还是自己的关键基础架构。无法区分关键和非关键基础架构将导致混合环境，难以有效管理和保护。

用于在混合环境中支持关键基础结构的信息系统将不可避免地受到过度保护（当基础结构不是关键时）或受保护不足（当基础结构是关键时）。

要确保关键基础架构的安全并持续保持足够的保护水平，就需要一种一致且实用的方法，这必须得到企业的支持。

表：关键基础架构的组件和潜在的安全问题