GB/T 39204-2022 关键信息基础设施安全保护要求

关基保护应从关键业务失效的后果反推系统、数据和依赖的保护要求。企业先依据正式认定明确关基范围，再将本标准与等保、密码和行业规则组合使用。官方标准信息列明：2022年10月12日发布，2023年5月1日实施。

从关键业务确定保护范围

把关键业务映射到应用、网络、数据、基础设施、身份、密码、第三方服务及人员操作。关基与等保对象可以有对应关系，但边界不必天然相同；同一关基涉及多个系统时，应能说明各部分如何支撑同一关键业务。

法定认定和运营者责任见关基保护条例。企业内部业务重要性分析不能替代主管部门认定，也不能自行据此取消已有身份。

在已有控制上识别强化需求

本标准的保护框架涉及分析识别、安全防护、检测评估、监测预警、主动防御和事件处置。下表是企业侧控制映射示例，不替代正式全文的条款与测评判定。

关注对象	在既有控制上继续核验	证据示例
关键业务与依赖	单个系统正常时，业务链是否仍可能因共享依赖失效	业务链、依赖图、故障场景和实际验证
组织和建设	关键风险是否进入有权决策者、预算和上线门禁	职责、决策、建设及验收记录
供应链	远程控制、更新、断供、集中度及替代方案是否受控	供应商访问、合同、版本和退出测试
监测预警	边界和重要资产是否可见，异常是否形成处置	资产与监测双向对账、告警回放
主动防御	在授权范围验证攻击发现、阻断和联动效果	演练授权、攻击路径、检测和修复证据
检测与应急	发现是否关联关键业务，恢复是否覆盖真实依赖	评估、整改复测、恢复时间线

法律义务与标准建设方法分别记录。例如条例规定的年度检测评估不能因已经完成一次内部演练就省略。

示例：主备应用正常，身份服务却是单点

假设。 支付业务的主备应用分布在两个机房，但共用一个认证服务及同一管理凭证。主机和应用测评分别有证据，身份依赖失效后两地都无法完成交易。

分析。 从“用户完成支付”穿行到认证、交易、账务和外部交互，识别共享依赖及失败影响；区分业务可用性、数据完整性和控制权风险。

整改与验证。 结合实际风险设计冗余、权限隔离和受控恢复方案。在授权演练中验证依赖故障时的服务行为、报警、降级和恢复，并复核恢复后交易状态。具体恢复目标由适用监管和业务分析确定，不为所有关基统一编造一个RTO。

统一证据，不消除专项义务

建议维护：关基 → 关键业务 → 依赖资产 → 标准条款 → 共用控制 → 强化项 → 证据 → 整改。已有等保证据要检查范围、版本、时间和实际变更；过期或不覆盖的材料不能直接复用。

关基测评见GA/T 2182，密码专项见GM/T 0133。内部风险接受不能替代应履行的法定保护、报告或整改义务。

官方依据

国家标准信息与全文入口。标准目录、状态和正文是不同层次的信息；条款级实施和正式测评应取得合法可用的标准全文逐项核对。