二、关键信息基础设施保护

2.1 定义与识别方法

关键信息基础设施（Critical Information Infrastructure，简称CII）是指一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的网络设施、信息系统及其存储的数据。根据《网络安全法》第三十一条，国家对CII实行重点保护。

2.1.1 关键信息基础设施的识别范围

根据《关键信息基础设施安全保护条例》及相关标准，CII主要涵盖以下重点行业和领域：

2.1.2 识别方法流程图

以下SVG图展示了CII识别的基本流程：

2.2 安全保护义务

运营者应当履行以下安全保护义务，确保CII的持续安全运行：

2.2.1 核心义务清单

• 设置专门安全管理机构：明确安全负责人，成立CII安全保护工作小组，对关键岗位人员进行安全背景审查。
• 建立并落实网络安全等级保护制度：按照等保2.0要求，CII应达到第三级及以上保护等级。
• 实施安全检测评估：每年至少进行一次网络安全检测和风险评估，及时发现并修复安全漏洞。
• 数据分类分级与重要数据保护：对存储和处理的业务数据进行分类分级，对重要数据和公民个人信息实施加密存储和访问控制。
• 制定应急预案并组织演练：针对网络攻击、系统故障、数据泄露等场景制定专项预案，每半年至少组织一次应急演练。
• 采购安全可信的网络产品和服务：优先采购通过国家网络安全审查的产品，避免使用存在后门或漏洞的软硬件。
• 向主管部门报告：发生重大网络安全事件时，应在1小时内向属地网信部门和公安机关报告。

2.2.2 安全保护义务体系架构

以下SVG图展示了CII安全保护义务的层次结构：

2.3 法律责任

运营者未履行CII安全保护义务的，将面临以下法律责任：

2.3.1 行政责任

2.3.2 刑事责任

若CII运营者的违法行为造成严重后果，构成犯罪的，依法追究刑事责任：

• 拒不履行信息网络安全管理义务罪（《刑法》第二百八十六条之一）：经监管部门责令采取改正措施而拒不改正，致使违法信息大量传播、用户信息泄露造成严重后果的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金。
• 非法获取计算机信息系统数据罪（《刑法》第二百八十五条）：侵入CII系统获取数据的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
• 破坏计算机信息系统罪（《刑法》第二百八十六条）：对CII系统功能进行删除、修改、增加、干扰，造成系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。

2.3.3 法律责任关系图

以下SVG图展示了CII法律责任的三层递进关系：

2.4 合规实践要点

为帮助运营者有效落实CII保护义务，以下总结关键合规实践要点：

1. 建立CII资产台账：全面梳理本单位的网络设施、信息系统和数据资产，明确哪些属于CII范围，形成动态更新的资产清单。
2. 落实等保三级及以上要求：按照《网络安全等级保护基本要求》（GB/T 22239-2019）中第三级或更高级别的要求，完成安全建设和整改。
3. 定期开展渗透测试：聘请具备资质的第三方安全机构，每半年对CII系统进行一次深度渗透测试，发现并修复高危漏洞。
4. 实施供应链安全管理：对上游供应商进行安全能力评估，在采购合同中明确安全责任条款，要求供应商提供安全承诺书。
5. 建立7×24小时监测机制：部署安全运营中心（SOC），对CII系统进行全天候监测，及时发现并处置安全威胁。
6. 组织全员安全意识培训：每年至少开展两次针对CII安全的专项培训，覆盖所有接触CII系统的员工和第三方人员。

// CII合规检查清单（示例代码片段）
const ciiComplianceChecklist = {
  organization: {
    hasSecurityDept: true,        // 是否设置专门安全管理机构
    securityOfficer: "张三",      // 安全负责人姓名
    backgroundCheck: true         // 是否完成人员背景审查
  },
  protection: {
    levelProtectionGrade: 3,      // 等保级别（3级及以上）
    lastAssessmentDate: "2025-06-01", // 最近一次安全评估日期
    encryptionEnabled: true,      // 是否启用数据加密
    backupFrequency: "daily"      // 数据备份频率
  },
  incidentResponse: {
    hasPlan: true,                // 是否有应急预案
    drillFrequency: "quarterly",  // 演练频率
    reportContact: "010-12345678" // 事件报告联系电话
  }
};
console.log("CII合规状态：", ciiComplianceChecklist);