方案圍繞關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)展開，全面闡述了保護(hù)背景、政策法規(guī)、風(fēng)險(xiǎn)應(yīng)對及軟件供應(yīng)鏈安全等內(nèi)容。
1. 網(wǎng)絡(luò)安全行業(yè)概況：網(wǎng)絡(luò)安全產(chǎn)業(yè)持續(xù)碎片化、復(fù)雜化，增速15%-30% 。多種理論體系和標(biāo)準(zhǔn)體系并存，涵蓋P2DR模型、ISO27001等。安全威脅多樣，包括惡意代碼、黑客攻擊等，國家已出臺(tái)超100部相關(guān)法律強(qiáng)化網(wǎng)絡(luò)安全管理。
政策法規(guī)：關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)已上升到國家戰(zhàn)略高度，相關(guān)法規(guī)包括《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》等。關(guān)基保護(hù)與等級(jí)保護(hù)存在差異，前者針對性更強(qiáng)，對抗有組織敵對力量，強(qiáng)調(diào)立體化綜合防控。
行動(dòng)建議：建設(shè)思想為體系化、常態(tài)化、實(shí)戰(zhàn)化。治理層應(yīng)將安全工作納入頂層規(guī)劃，明確預(yù)算、政策等；管理層基于數(shù)據(jù)支撐實(shí)現(xiàn)效果型閉環(huán)管理，建立評價(jià)指標(biāo)體系；執(zhí)行層從零散建設(shè)向面向業(yè)務(wù)的體系化建設(shè)演進(jìn)，構(gòu)建綜合防控體系。
現(xiàn)狀與風(fēng)險(xiǎn)：軟件供應(yīng)鏈攻擊事件頻發(fā)，如SolarWinds事件。攻擊手段多樣，涉及源代碼污染、開源軟件漏洞等。軟件依賴關(guān)系復(fù)雜，開源軟件漏洞普遍存在，軟件供應(yīng)鏈已成為常見攻擊短板。
應(yīng)對措施：國家政策明確供應(yīng)鏈安全要求，企業(yè)需從多方面應(yīng)對風(fēng)險(xiǎn)。建立供應(yīng)鏈安全治理框架，包括監(jiān)管、開發(fā)、管理等環(huán)節(jié)。設(shè)計(jì)全面的管理機(jī)制，涵蓋組織建設(shè)、制度建設(shè)和能力建設(shè)，通過關(guān)鍵技術(shù)和服務(wù)保障供應(yīng)鏈安全。
4. 全域安全整體架構(gòu)：構(gòu)建涵蓋服務(wù)層、資源層和組件層的全域安全架構(gòu)，同步規(guī)劃、建設(shè)和使用。服務(wù)層提供多種管理平臺(tái)和系統(tǒng)；資源層整合各類安全數(shù)據(jù)和管理功能；組件層包含防火墻、蜜罐等設(shè)備。應(yīng)用層涉及安全響應(yīng)、運(yùn)營、管理等多方面工作，形成完整的安全建設(shè)全景，提升整體安全防護(hù)能力。