關(guān)鍵信息基礎(chǔ)設(shè)施保護工作直接關(guān)系到國家安全、國計民生和公共利益，習(xí)近平總書記在“4·19講話”中要求加快構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系�！毒W(wǎng)絡(luò)安全法》第五條明確規(guī)定國家應(yīng)采取措施對關(guān)鍵基礎(chǔ)設(shè)施進行保護，第三十四條規(guī)定了關(guān)鍵信息基礎(chǔ)設(shè)施運營者的安全保護義務(wù)，第三十八條要求運營者每年至少進行一次檢測評估�！蛾P(guān)鍵信息基礎(chǔ)設(shè)施安全保護條例（征求意見稿）》進一步明確了運營者的安全防護責(zé)任。

　　　　關(guān)鍵信息基礎(chǔ)設(shè)施保護體系的建立健全依賴于運營者網(wǎng)絡(luò)安全防護能力的提升。對于運營者安全防護能力的評估則是促進能力提升的基礎(chǔ)。美國、德國等西方國家在評估運營者安全防護能力方面有著豐富的經(jīng)驗。2014年，美國家標(biāo)準(zhǔn)技術(shù)研究所發(fā)布了《改善關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全的框架》，指導(dǎo)組織或機構(gòu)管理網(wǎng)絡(luò)安全風(fēng)險。同年，美能源部和國土安全部針對關(guān)鍵信息基礎(chǔ)設(shè)施開發(fā)了網(wǎng)絡(luò)安全能力成熟度模型(以下簡稱“C2M2模型”)，指導(dǎo)運營者實現(xiàn)美國關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全框架的落地執(zhí)行。

　　　　C2M2模型提供了網(wǎng)絡(luò)安全防護能力評估的一種通用方法，適用于運營者對其信息系統(tǒng)、工控系統(tǒng)等資產(chǎn)的安全水平進行評估。模型從風(fēng)險管理、配置管理、信息共享與交流、供應(yīng)鏈和外部依賴管理等10個安全域進行評價。每個安全域由一系列安全實踐組成。C2M2模型總結(jié)了安全實踐的實施原則，提供了運營者安全能力的基線，模型的使用不具備強制性。不同行業(yè)的運營者可以從模型中自行選擇所需的安全域和安全實踐，評估其安全能力，識別差距和不足，強化關(guān)鍵信息基礎(chǔ)設(shè)施的安全保護能力。C2M2模型提供了網(wǎng)絡(luò)安全能力建設(shè)的統(tǒng)一參考，方便不同類型的機構(gòu)交流經(jīng)驗。

　　　　我國在關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系建設(shè)方面起步較晚，急需建立關(guān)鍵信息基礎(chǔ)設(shè)施安全防護能力評估體系：一是制定科學(xué)合理、擴展性強的關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全能力評估標(biāo)準(zhǔn)。我國在關(guān)鍵信息基礎(chǔ)設(shè)施安全防護能力的評估建設(shè)方面，應(yīng)深入分析不同行業(yè)關(guān)鍵信息基礎(chǔ)設(shè)施保護的實踐經(jīng)驗，充分考慮不同領(lǐng)域可能存在迥異安全需求和擴展性要求，以適用于不同類型的關(guān)鍵信息基礎(chǔ)設(shè)施安全能力的評估。

　　　　二是應(yīng)充分考慮我國國情，與已有網(wǎng)絡(luò)安全能力評估框架標(biāo)準(zhǔn)的有效銜接。我國在關(guān)鍵信息基礎(chǔ)設(shè)施保護領(lǐng)域正在制定包括《關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全框架》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保障指標(biāo)體系》、《關(guān)鍵信息基礎(chǔ)設(shè)施檢查評估指南》、《關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護基本要求》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全控制措施》等在內(nèi)的一系列標(biāo)準(zhǔn)，關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全能力評估應(yīng)與現(xiàn)行標(biāo)準(zhǔn)形成配套，充分考慮我國國情實際，突出威脅信息共享、監(jiān)測預(yù)警、應(yīng)急處置等橫向協(xié)同的安全域內(nèi)容，在國家網(wǎng)絡(luò)安全標(biāo)準(zhǔn)的統(tǒng)一框架要求基礎(chǔ)上不斷完善。