关键信息基础设施安全保护体系
关基安全不是替代等级保护的一套体系，而是在等级保护等基础制度之上，对依法认定的关键信息基础设施实施重点保护。实践中应把认定与边界 → 安全保护 → 密码 → 供应链 → 监测预警 → 主动防御 → 检测测评 → 事件处置 → 持续整改串成闭环。
现行核心依据
| 层次 | 文件/标准 | 状态 | 主要用途 |
|---|---|---|---|
| 行政法规 | 《关键信息基础设施安全保护条例》 | 现行 | 认定、运营者责任、检测评估、供应链、事件处置等法定义务 |
| 国家标准 | GB/T 39204-2022《信息安全技术 关键信息基础设施安全保护要求》 | 现行，2023-05-01实施 | 关基全生命周期安全保护基线 |
| 公安行业标准 | GA/T 2182-2024《信息安全技术 关键信息基础设施安全测评要求》 | 现行，2025-05-01实施 | 结合39204和等级测评结果开展关基测评 |
| 密码行业标准 | GM/T 0133-2024《关键信息基础设施密码应用要求》 | 现行，2025-07-01实施 | 关基密码应用规划、建设、运行和安全性评估 |
| 部门规章 | 《关键信息基础设施商用密码使用管理规定》 | 现行 | 关基商用密码使用、方案与评估 |
| 部门规章 | 《网络安全审查办法》 | 现行 | 特定关基采购等场景的国家安全风险审查 |
正在形成的配套国家标准
以下用于跟踪体系演进；国家标准计划、项目或征求意见稿不能当作已经生效的国家标准要求使用。
| 标准项目 | 计划号 | 解决的问题 |
|---|---|---|
| 《网络安全技术 关键信息基础设施边界识别方法》 | 20220603-T-469 | 确定关基边界 |
| 《网络安全技术 关键信息基础设施安全检测评估方法》 | 20230236-T-469 | 细化39204检测评估方法 |
| 《网络安全技术 关键信息基础设施安全保护能力指标体系》 | 20210984-T-469 | 体系化评价保护能力 |
| 《网络安全技术 关键信息基础设施信息技术产品供应链安全要求》 | 20192184-T-469 | 关键IT产品与服务供应链风险 |
| 《网络安全技术 关键信息基础设施安全监测预警实施指南》 | 20250973-T-469 | 关键位置、平台及新型威胁监测预警 |
| 《网络安全技术 关键信息基础设施安全主动防御实施指南》 | 20250976-T-469 | 暴露面、攻击阻断、攻防演练、威胁情报 |
与等级保护的关系
等保是普遍安全基线，关基是在此基础上的重点保护。 GA/T 2182明确会结合等级测评结果进行关基测评分析。因此，被认定为关基后不是“用39204替代等保”，而是增加关基特有的组织责任、重点保护、供应链、检测评估、监测预警和主动防御要求。
企业落地路径
- **认定与边界：**保存认定信息，建立关键业务、系统、网络、数据、第三方和基础资源之间的边界及依赖关系。
- **安全保护：**以GB/T 39204为核心建立关基控制基线，与等保、数据安全、密码和供应链控制去重映射。
- **密码：**对照关基商密规定及GM/T 0133形成密码应用方案、建设、运行和密评闭环。
- **监测与主动防御：**覆盖互联网及隔离边界、第三方接入、数据中心、终端、云等关键位置，并持续验证攻击发现和阻断能力。
- **检测测评：**结合等级测评结果，按照GA/T 2182开展关基专项测评；问题进入统一整改与复测。
- **供应链：**管理关键产品服务、远程运维、更新、停服/EOL、控制权和替代能力。
- **事件处置：**与国家网络安全事件、行业监管报告和企业应急响应联动，保留完整时间线和证据。
使用原则
正式发布的法规和标准作为现行依据；尚在制定中的标准项目只用于架构预研和差距分析，并明确标记状态。