2. 识别方法与流程

2.1 识别原则

关键信息基础设施（CII）的识别是保护工作的首要环节，必须遵循以下核心原则，确保识别过程科学、规范、无遗漏：

原则名称	核心要义	具体说明
业务导向原则	以关键业务为核心	识别应围绕“一旦遭到破坏、丧失功能或数据泄露，可能严重危害国家安全、国计民生、公共利益”的业务系统展开，而非单纯依据资产价值。
动态调整原则	与时俱进，持续更新	随着业务变化、技术演进、威胁态势发展，CII的边界和重要性会发生变化，需定期复核与动态调整识别结果。
分级分类原则	突出重点，差异管理	根据行业属性、影响范围、依赖程度等因素，对识别出的设施进行分级分类，为后续差异化保护策略提供依据。
客观中立原则	基于事实，避免主观	识别过程应依据客观数据（如业务连续性要求、用户规模、数据敏感度等），避免人为因素干扰，确保结果公正可信。

2.2 识别步骤

CII的识别是一个系统化工程，通常分为以下五个步骤，形成闭环管理流程：

1. 第一步：行业摸底与业务梳理 —— 明确本行业、本领域的关键业务范围，梳理业务链与核心业务流程，形成业务清单。
2. 第二步：关键业务判定 —— 依据“三危害”标准（国家安全、国计民生、公共利益），结合行业主管部门发布的认定规则，判定关键业务。
3. 第三步：支撑系统识别 —— 识别支撑关键业务运行的信息系统、工业控制系统、网络设施、数据资源等，形成候选CII清单。
4. 第四步：风险评估与定级 —— 对候选设施进行安全风险评估，分析其一旦受损可能造成的影响程度，确定保护等级。
5. 第五步：审核确认与备案 —— 将识别结果报送行业主管部门审核，经专家评审后正式确认，并报国家网信部门备案。

2.3 关键要素分析

在识别过程中，需要重点分析以下关键要素，以确保识别的准确性和全面性：

要素类别	具体要素	分析要点
业务要素	业务重要性	该业务是否属于国家关键行业（如能源、交通、金融、政务等），是否涉及核心公共服务。
	业务连续性要求	业务允许的最大中断时间（RTO）、数据丢失容忍度（RPO）等指标是否严苛。
	用户规模与依赖度	服务的用户数量、用户群体是否涉及大量公民或关键机构，是否存在不可替代性。
系统要素	系统架构复杂度	系统是否涉及多级网络、跨域互联、云边协同等复杂架构，是否存在单点故障风险。
	数据敏感度	系统处理的数据是否包含国家秘密、重要数据、大量个人信息或敏感商业信息。
	供应链依赖	系统是否依赖国外软硬件、关键芯片、专用协议等，是否存在断供或后门风险。
威胁要素	暴露面与攻击面	系统是否面向互联网开放，是否使用已知漏洞组件，是否曾遭受过APT攻击。
	合规与监管要求	是否属于《网络安全法》《数据安全法》《关键信息基础设施安全保护条例》明确要求重点保护的范畴。

2.4 识别方法总结

在实际工作中，建议采用“自上而下”与“自下而上”相结合的方法：

• 自上而下法：从国家战略、行业政策出发，逐级分解关键业务，识别支撑系统。适用于宏观层面的行业摸底。
• 自下而上法：从现有信息系统、网络资产出发，评估其承载业务的重要性，反向推导是否为CII。适用于微观层面的资产排查。
• 交叉验证法：两种方法结果相互比对、补充，确保识别无遗漏、无偏差。

【实务提示】识别过程中应建立“一档一表”机制：
  - 一档：每个候选CII建立独立档案，记录业务描述、系统拓扑、数据流图、依赖关系等。
  - 一表：填写《关键信息基础设施识别认定表》，包含设施名称、所属行业、关键业务、影响范围、风险等级等核心字段。
  - 所有文档需经安全保密审查，严格控制知悉范围。

课程总结： 识别是CII保护的“第一道关口”，只有遵循正确的原则、执行规范的步骤、深入分析关键要素，才能精准锁定保护对象，为后续的安全防护、检测评估、事件响应等工作奠定坚实基础。