关基安全整改优先级如何定

wen IT资讯 2026-07-23 3

本文目录导读：

关基安全整改优先级如何定

关基（关键信息基础设施）安全整改的优先级评定，不能简单地“一刀切”或仅凭漏洞的CVSS分数（通用漏洞评分系统）来决定，其核心原则是：以业务影响为核心，以风险暴露面为驱动，以合规底线为最低要求。

以下是系统性的优先级评定框架（金字塔模型：底层是基础，顶层是策略）：

第一层：核心业务与资产价值（最优先）

目标： 保护最不可替代、一旦受损将导致国家、社会或企业运营瘫痪的资产。

判定依据：
1. 业务关键性： 该资产是否构成关基系统的核心业务链（如发电厂的SCADA控制中心、银行的支付结算系统、运营商的骨干网核心路由器）？
2. 数据敏感度： 是否存储或处理大量个人隐私、商业秘密、国家秘密数据（如公民身份库、医疗健康数据）？
3. 等级保护定级： 直接参考国家等保三级及以上的系统（尤其是S3A3级别的系统）。
优先级： P0（最高优先级），对于此类资产，即使存在一个低危漏洞，也需要立即进行风险评估和缓控措施,不能等到整改窗口期。

目标： 解决“敌人最容易从哪里打进来”的问题。

判定依据：
1. 互联网暴露面： 该资产是否直接暴露在公网？是否有开放的远程管理端口（如SSH、RDP、Web管理后台）？是否有第三方API接口？
2. 已知在野攻击： 该漏洞是否存在公开的POC/EXP或被APT组织利用？是否有公开的漏洞利用代码？（参考CISA的已知被利用漏洞目录）。
3. 攻击成本与收益： 攻击者攻破该资产后，能获得多大权限（普通用户 vs Admin vs Domain Admin）？能否横向移动至核心区？
优先级： P1（高优先级），一个暴露在公网的、存在远程代码执行漏洞（RCE）的VPN设备,优先级远高于内网的一台打印机漏洞。

目标： 满足《关基保护条例》、等保2.0、行业主管单位（如网信办、工信部、金融监管局）的检查要求。

判定依据：
1. 强制性要求： 是否涉及《网络安全法》中明确的处罚项？如：未更新高危漏洞、未做日志留存、未配备密码保护措施。
2. 行业专项检查： 是否属于近期行业主管部门专项行动（如“护网”行动）的重点检查项？
3. 供应链安全： 是否涉及被通报的“禁用供应商”或“需整改的硬件/软件”（如某开源组件被通报）。
优先级： P2（中优先级）,所有未打补丁的高危漏洞必须在合规检查前完成闭环。

目标： 防止小问题演变成大灾难。

判定依据：
1. 单点故障风险： 整改是否会导致业务中断？如关键数据库的重启。
2. 供应链依赖： 整改是否依赖第三方供应商（如工控设备厂商）的排期？是否影响到上下游协同？
3. 历史遗留问题： 是否存在无法打补丁的“老系统”或“僵尸系统”？
优先级： P3（低优先级），这类问题需要制定“风险接受”方案或迂回缓控措施（如增加网络隔离、WAF规则屏蔽）。

目标： 提升整体安全韧性。

如果短期内资源有限,可以套用以下公式：

最终整改优先级 = 业务影响系数 × 可利用性系数 × 合规惩罚系数

评分结果：

关基系统中存在大量老旧工控系统（如PowerPC、VxWorks）或采购时已停止支持的软件，此时“整改”不等于“打补丁”，而应采取弹性防御策略：

整改是一个持续迭代的过程，建议每季度重新评估一次关基资产的资产台账、漏洞库和威胁情报,动态调整优先级。