GA ICS 35.040 CCS L 80 中华人民共和国公共安全行业标准 GA/T 2182—2024 信息安全技术 关键信息基础设施安全 测评要求 Information security technologyEvaluation requirements for cybersecurity for critical information infrastructure 2024-12-26发布 2025-05-01实施 中华人民共和国公安部 发布 GA/T 2182—2024 目 次 前言 / 引言 1 范围 2 规范性引用文件 3 术语和定义 缩略语 5 概述 关键信息基础设施安全测评与网络安全等级测评 5.2 关键信息基础设施安全测评框架 5.2.1 框架构成 5.2.2 单元测评 5.2.3 关联测评 5.2.4 整体评估 5.2.5 测评结论 单元测评 h 6.1 分析识别 6.1.1 业务识别 6.1.2 资产识别 6.1.3 风险识别 6.1.4 重大变更 6.2 安全防护 6.2.1 网络安全等级保护 6.2.2 安全管理制度 6.2.3 安全管理机构 6.2.4 安全管理人员 6.2.5 安全通信网络 6.2.6 安全计算环境 13 6.2.7 安全建设管理 6.2.8 安全运维管理 16 6.2.9 供应链安全保护 17 6.2.10 数据安全防护 18 6.3 检测评估 20 6.3.1 制度 GA/T 2182—2024 6.3.2 方式和内容 21 6.4 监测预警 22 6.4.1 制度 22 6.4.2 监测 23 6.4.3 预警 24 6.5 主动防御 26 6.5.1 收敛暴露面 26 6.5.2 攻击发现和阻断 6.5.3 攻防演练 28 6.5.4 威胁情报 6.6 事件处置 6.6.1 制度 29 6.6.2 应急预案和演练 30 6.6.3 响应和处置 6.6.4 重新识别 34 6.7其他安全要求 35 关联测评 35 7.1 概述 35 7.2 信息收集汇总 7.3 入侵痕迹分析 35 7.4 业务逻辑安全分析 35 7.5 模拟攻击路径设计 36 7.5.1 纵向路径 36 7.5.2 横向路径 36 7.5.3 物理路径 36 7.6渗透测试 36 8整体评估 8.1网络安全管控能力评估 37 8.1.1网络安全管控能力评估方法 37 8.1.2网络安全管控能力评估结果 37 8.2网络安全保护水平评估… 38 8.2.1网络安全保护水平评估方法 38 8.2.2网络安全保护水平评估结果 38 8.3关键业务安全风险分析与评价 38 8.3.1 风险分析与评价方法 8.3.2风险评价结果 9测评结论 II GA/T 2182—2024 附录A（资料性） 关键信息基础设施安全测评与网络安全等级测评的区别 41 附录B（规范性） 渗透测试要求 42 附录C（规范性） 本文件与GB/T39204一2022、GB/T22239一2019的关联关系 46 附录D（规范性） 关键信息基础设施综合安全保护能力存在重大安全缺陷的情形 54 II GA/T 2182—2024 前言 起草。 本文件与GB/T22239《信息安全技术网络安全等级保护基本要求》、GB/T28448《信息安全技术 网络安全等级保护测评要求》、GB/T39204《信息安全技术关键信息基础设施安全保护要求》共同 构成关键信息基础设施安全保护系列标准。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由公安部网络安全保卫局提出。 本文件由公安部信息系统安全标准化技术委员会归口。 本文件起草单位：公安部第三研究所、公安部网络安全保卫局、公安部第一研究所、中国电子技术标 准化研究院、山东新潮信息技术有限公司、深圳市网安计算机安全检测技术有限公司、中国电子科技集 团公司第十五研究所、应急管理部大数据中心、清华大学、中国信息安全测评中心、国家信息技术安全研 究中心。 本文件主要起草人：袁静、郭启全、祝国邦、曲洁、朱建兴、范春玲、宫月、王惠莅、张杰、牛建红、张岩、 黄玉、邸丽清、孙晓丽、王李乐。 V