网络安全法核心义务与企业合规整改 - 第4节网络安全法核心义务与企业合规整改 - 第4节

📘 关键信息基础设施范围 CII · 第31条

🔐 网络安全法 · 逐条拆解

📜 第三十一条 “国家对关键信息基础设施实行重点保护……关键信息基础设施的具体范围和安全保护办法由国务院制定。”

⭐ 核心：CII定义、认定规则、重点保护措施

🧩 一、CII 定义 · 认定规则 · 重点保护

📌 定义

关键信息基础设施 (CII) 是指公共通信、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域。
一旦遭到破坏、丧失功能或数据泄露，可能严重危害国家安全、国计民生、公共利益。
包括但不限于：大型工业控制系统、云平台、大数据中心、物联网骨干网络。

⚙️ 认定规则

行业属性：是否属于《CII识别指南》中列明的重点行业。
规模/影响：网络设施、信息系统等一旦中断，是否导致大量人员伤亡、重大经济损失或社会秩序混乱。
依赖程度：对其他关键行业或CII的依赖性与关联性。
数据敏感性：是否存储超过100万人的个人信息或重要行业核心数据。

🛡️ 重点保护

设置专门安全管理机构与负责人（首席安全官）。
安全保护等级不低于第三级（等保2.0）。
每年至少一次安全检测评估、渗透测试。
重要数据境内存储，出境安全评估。
采购网络产品和服务应通过国家安全审查。

📊 二、CII 范围 · 重点行业示例

行业领域	典型CII系统/设施	认定关键指标
🔋 能源	电力调度系统、油气管网监控	影响区域供电/供油超100万人
🚄 交通	高铁信号系统、航空管制	中断导致大规模出行瘫痪
💧 水利	大坝监测、城市供水调度	供水影响百万级居民
🏦 金融	央行支付清算、证券交易	日均交易额超千亿
🏛️ 电子政务	国家政务服务平台、人口库	覆盖超1亿用户

🧭 三、CII 认定与保护体系 · 架构图

💻 四、CII 认定逻辑 · 伪代码示例

# 关键信息基础设施认定规则 (示意)
def is_cii(sector, user_count, is_critical_dependency):
    # 行业属性
    if sector not in ['energy','transport','finance','water','e-government']:
        return False
    # 规模影响
    if user_count >= 1_000_000 or is_critical_dependency:
        return True
    # 数据敏感性 (示例)
    if sector == 'finance' and user_count >= 100_000:
        return True
    return False

# 重点保护措施
def apply_protection(cii_asset):
    cii_asset.set_security_officer()
    cii_asset.set_level(3)        # 等保三级
    cii_asset.annual_penetration_test()
    cii_asset.data_localization() # 数据境内存储

✅ 五、企业合规应对清单

识别与定级 – 对照CII识别指南完成自评
组织建设 – 设立CII安全保护工作小组
供应链审查 – 关键产品/服务国家安全审查
数据治理 – 重要数据境内存储，出境评估

检测评估 – 每年至少一次安全检测与风险评估
应急响应 – 制定CII专项应急预案并演练
安全意识 – 全员CII安全培训，持证上岗
合规审计 – 定期接受网信办/公安检查