一、关键信息基础设施概述

1.1 定义与范围

关键信息基础设施（Critical Information Infrastructure，CII）是指一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的信息基础设施。根据我国《关键信息基础设施安全保护条例》，CII 的识别与认定遵循“重点保护、动态调整”原则。

维度	具体范围	典型示例
行业领域	能源、交通、水利、金融、公共服务、电子政务、国防科技等	国家电网调度系统、民航订票系统、银行核心交易系统
技术形态	网络设施、信息系统、工业控制系统、云平台、大数据中心	5G核心网、政务云平台、SCADA系统
影响程度	一旦受损将导致大范围中断、数据泄露或社会秩序混乱	地震预警系统、医保结算系统

1.2 重要性

国家安全基石：CII 是网络空间对抗的“高价值目标”，一旦被攻击可能引发连锁反应。
经济命脉：金融、电力、交通等 CII 支撑着社会正常运转，中断将造成巨大经济损失。
民生保障：医疗、供水、通信等 CII 直接关系公众日常生活与生命安全。
数据主权：CII 承载大量公民个人信息与重要数据，是数据安全保护的核心对象。

1.3 国内外发展历程

时间阶段	国际发展	中国发展
2000-2010年	美国提出“关键基础设施”概念，发布《保护网络空间安全国家战略》	启动等级保护制度，初步探索重点行业安全防护
2011-2016年	欧盟发布《网络与信息系统安全指令》（NIS指令），强化CII协作	《网络安全法》立法启动，明确CII保护框架
2017-2020年	美国《网络安全行政令》、欧盟《网络安全法案》出台	《网络安全法》正式实施，CII安全保护条例征求意见
2021年至今	美国《关键基础设施网络事件报告法案》、欧盟NIS 2.0指令	《关键信息基础设施安全保护条例》正式施行，CII识别工作全面落地

1.4 识别与保护核心原则

动态识别：CII 范围随技术演进和威胁变化动态调整，每年至少评估一次。
重点保护：对认定为 CII 的系统实行高于一般信息系统的安全保护要求。
协同联动：建立政府、行业、企业、安全服务机构之间的信息共享与应急联动机制。
数据安全优先：CII 运营者需落实数据分类分级、跨境安全评估等义务。

1.5 典型 CII 识别示例（代码级）

以下为 CII 识别评估的伪代码逻辑，用于判断某系统是否属于关键信息基础设施：

# CII 识别评估伪代码
def is_cii(system):
    # 判断条件：行业领域 + 影响范围 + 数据敏感度
    if system.industry in ["能源", "金融", "交通", "水利", "政务"]:
        if system.impact_level >= "高" or system.data_sensitivity == "极高":
            return True
        elif system.user_count > 1000000 or system.downtime_loss > 1e8:
            return True
    return False

# 示例：国家电网调度系统
system = {"industry": "能源", "impact_level": "高", "data_sensitivity": "极高"}
print("CII认定结果：", is_cii(system))  # 输出：True

—— 专注课程资料整理 ——

📚 课程目录