落实国家网络安全法，识别认定关键信息基础设施

唐旺，宁华



落实国家网络安全法，识别认定关键信息基础设施

唐旺1，宁华2

（1.工业和信息化部电子科学技术情报研究所 网络与信息安全研究部，北京 100040；2.中国信息通信研究院 泰尔终端实验室，北京 100191）

本文对国家关键基础设施识别方法进行了研究，分析了美国国家关键基础设施识别准则的变迁历史，比较了不同准则对关键基础设施优先清单的影响，为我国落实网络安全法，识别认定关键信息基础设施提供参考。

国家关键基础设施；识别准则；清单；阈值；网络安全法

一、引言

2016年11月7日，《中华人民共和国网络安全法》（以下简称“网络安全法”）已由中华人民共和国第十二届全国人民代表大会常务委员会第二十四次会议通过。法中第三章第二节明确提出国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国际安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护的基础上，实施重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。明确关键信息设施的范围是实施国家保护的第一步，也是关键一步，其意义在于为下一步实施保护划定了范围和对象。

明确关键信息基础设施，制定关键信息基础设施清单，也是国际各国开展网络安全保障工作的同行做法。在美国网络安全领域的发展过程中，关键基础设施的网络安全（与我国网络安全法中提出的关键信息基础设施的运行安全为同一概念）始终是历届政府高度重视的领域[1,2]。美国在2001年颁布的《爱国者法案》中将关键基础设施定义为“对美国极为重要的系统和资产，无论是物理的，或虚拟的，当发生功能丧失或遭到破坏时，会对国家安全、国家经济安全、国家公共健康或生命安全造成严重的影响”。随着关键基础设施的网络化和互联互通，对关键基础设施的网络攻击成为蓄意攻击的首选目标。

2007年《9/11委员会法案实施建议》对《 2002国土安全法案》进行了修订，要求国土安全部部长建立和维护一个国家系统和资产数据库[3]，数据库中包含那些极为重要的，一旦丢失、中断、功能丧失、或被破坏，将对经济安全、公共健康、国家安全、或任何州、地方政府有负面和削弱影响的，或者被国土安全部长认定的系统和资产[4]。此外，法案还要求基于国家系统和资产数据库，建立并维护一个国土安全部部长认可的关键系统和资产优先清单，位于清单中的这些系统和资产一旦被摧毁或破坏，将导致国家或地区性的灾难影响。法案进一步要求国土安全部每年将国家系统和资产数据库、关键系统和资产优先级清单、编制数据库或清单时遇到的重大挑战、该数据库和清单的使用范围（如分配联邦政府的资金以阻止，降低，减少，或应对恐怖主义行为）上报给参议院国土安全和政府事务委员会及众议院国土安全委员会。

国家关键系统和资产优先清单的建立为美国实施关键基础设施保护奠定了基础。

二、国家关键基础设施识别措施

为满足法案要求，国土安全部保护和计划局下属国家关键基础设施保护办公室的基础设施分析和战略部门（后独立为网络空间和基础设施分析办公室）负责实施国家关键基础设施优先项目（NCIPP）[5]，其主要目标是：

（1）确定那些如果被破坏或摧毁能显著影响国家公共健康和安全、经济安全和国家安全的基础设施；

（2）通过基础设施优先级清单提高国土安全部资源分配决策的准确性；

（3）在联邦、州、私营部门等合作伙伴间制定规划，促进协调，支持事件管理、响应和恢复活动的准备工作。

为顺利实施关键基础设施优先项目，建立基础设施优先级清单，美国国土安全部定义了关键领域，发布了关键基础设施分类方法，提供基础设施收集应用（IDCA）和关键资产自动化管理系统（ACMAS）等工具，并制定了关键基础设施数据收集流程。

（一）划分关键领域

表1：关键基础设施领域变迁情况及主管机构

在美国确定以关键基础设施为网络安全的保障对象后，关键基础设施涉及的领域和范畴不断进行调整和变化。那些一旦遭受破坏，可对一个国家的安全、经济和社会福祉产生削弱性影响的领域被视为关键基础设施领域。每个领域都有唯一的特性、运营模式和风险状况。美国通过划分关键领域，可以基于特定联邦部门和机构现有的法规或规则权限，结合特定行业机构的专业制度和知识，部署关键基础设施的识别工作。

1996 年克林顿政府第13010号行政令指出关键基础设施主要包括电信、电力系统、天然气及石油的存储和运输、银行和金融、交通运输、供水系统、紧急服务（包括医疗、警察、消防、救援）、政府连续性等8类；2002年《国土安全国家战略》中增加了化工和危险材料、国防工业基础、农业和食品、公众健康、邮政和船运；并将天然气、石油和电力归并为能源，将电信扩展为信息和电信，将供水系统改为水，将政府连续性改为政府。2003年第7号总统令《关键基础设施标识、优先级和保护》在911的持续影响下，着重加强了对物理设施的关注，商业设施、大坝、核反应堆材料及废弃物、国家纪念碑和标志物等被加入到关键领域中，同时将信息技术从信息和电信类别中分离，列为单独一类；在随后发布的《国土安全国家战略》中，将核反应堆、材料和废弃物从能源中剥离，作为第17类关键领域；2008 年，国土安全部宣布挑选“关键制造业”作为第18类需要保护的国家基础设施和关键资源。2013 年奥巴马政府第21号总统令《关键基础设施安全性及恢复力》将邮政和船运、国家纪念碑和标志移除，重新确定了16类关键基础设施领域：化学、商业设施、通讯、关键制造、水利、国防工业基础、应急服务、能源、金融服务、食品和农业、政府设施、医疗保健和公共卫生、信息技术、核反应堆、材料和废弃物、运输系统、水及污水处理系统。

表1列出了美国关键基础设施领域的变迁情况，及当前16个关键基础设施领域相对应的联邦主管机构。

当前尽管美国关键基础设施的领域已经缩减到16个，但仍有美国智库报告认为关键基础设施领域过多，抓不住重点，建议关键基础设施领域主要包括电力、金融、信息集成与通讯、政府部门4类。2013年总统21号令提到，鉴于能源和通信系统提供的功能贯穿着所有关键基础设施领域，确定这两个领域是特别关键的，并要求所有领域在更新国家基础设施保护计划时应考虑本领域对能源和通信系统的依赖，并确定在这些系统中断期间的预防、缓解或备用措施。

（二）发布关键基础设施分类方法

在确定关系国家安全的关键领域后，国土安全部发现仅以领域为重点，无法完全反映出复杂基础设施系统的真实情况。识别关键基础设施还应考虑以下方面：（1）关键领域；（2）基于组织准则的每个领域的子领域；（3）子领域的核心功能；（4）子领域正常运转所需要的资源等。在进一步考虑关键领域的构成情况时发现，关键基础设施有着不同的分类和描述方式，在沟通和政策制定时出现了较多的混乱。

为避免交流和政策制定时出现不一致性，2005年起美国国土安全部统一术语，制定了关键基础设施分类方法，将基础设施依次按照领域、子领域、部门、子部门、资产的层级进行归类。如某发电厂可以按照如下步骤进行归类：能源→电力→燃料发电→天然气发电。每个资产都有明确的细节和功能描述。若一个基础设施同时可归属不同类别，则该设施可以拥有多种类别描述。

（三）提供数据收集工具

为方便各联邦机构和州的合作伙伴提交信息，进行场景分析，国土安全部提供了用于数据收集的基础设施收集应用（IDCA），可以提供全年的数据收集能力。此外，为帮助国土安全人员和紧急救援人员收集和管理社区内的关键信息基础设施信息，国土安全部提供了一个整合相关工具和资源的关键资产自动化管理系统（ACMAS），以帮助简化收集工作。这些工具为国土关键基础设施提供所面临威胁和事件的分析支持，有助于识别并按照重要性排列基础设施。

（四）制定数据收集流程

为收集关键基础设施信息，国土安全部所制定了如下的数据收集流程：向各州和联邦部门提供一个数据收集指南草案，在收到各州和联邦部门的反馈后，发布最终的数据收集指南，各州及联邦部门制作关键基础设施一级清单和二级清单的提名，DHS对所有的提名进行审议，创建关键基础设施优先清单草案，各地方和联邦部门进行复议，必要时提供进一步的资料，无异议后国土安全部通知各州和联邦机构最终的关键基础设施优先清单。

三、关键基础设施优先清单的构成

关键基础设施优先清单是制定基础设施保护决策的基础，为国土安全拨款、缓冲区保护计划、自愿性调查和脆弱性评估、培训等项目的实施提供基础信息。基于关键基础设施优先级清单，建立风险管理优先级，理解潜在的风险减轻收益，制定计划和资源决策；分析风险评估结果、决定面临最高风险的关键基础设施；建立管理重点，把高优先权给予那些一旦受到攻击，就会给国家带来最大风险的资产；并确认和支持那些按照计划投资，很可能最大幅度降低风险的保护措施。

（一）清单种类

2003年春天，伴随伊拉克战争的开展，美国制定了一个包含160个关键地点的列表[7]，2004年国土安全部在该关键列表的基础上形成了包含28368个资产信息的国家资产数据库，其中1849个资产被列入有价值的需要保护的资产列表。到2006年1月，国家资产数据库增长至77069个资产，鉴于清单存在严重的不一致性，国土安全部启动基础设施数据仓库替代国家资产数据库，并实施国家关键基础设施优先项目，在2007年7月确定了大约2500个重要的资产，创建了国家级重大基础设施类型一和类型二两个清单。后来演化为目前的一级清单和二级清单[5]。

当前美国关键基础设施优先级清单由国家级的一级清单和二级清单构成，二级清单包含一级清单，国土安全部拥有一级清单、二级清单的裁决权。

各领域和州维护本领域或州范围内的清单。这些清单包含本领域或州列于二级清单中的关键基础设施。识别准则由各领域和地方的主管机构决定。还存在一个美国本土之外的国外清单，与州清单、领域清单一起为一级、二级清单提供数据支撑。

在正式的优先清单之外，国土安全部还维护一个优先级清单之外的场所清单，单个场所无法满足关键基础设施的识别准则，但与其他场所或资产形成的组合作为关键基础设施位于优先级清单中。这个独立的场所清单为NCIPP清单中的群或系统提供进一步的细节资料。

图1：国家关键基础设施优先清单

（二）设施类型

当前关键基础设施的类型与NIPP风险管理框架和法令法规一致。可分为如下四类：资产、系统、群以及场所[6]。

一个资产是一个单一的设施，具有固定的位置，作为一个单一的实体运行，自身满足关键基础设施识别准则。一个资产有可能包含多个建筑或多种构成。

一个场所是一个单一的设施，类似于一个资产，自身不符合关键基础设施识别准则，但与其他节点聚集成群或系统时，可满足关键基础设施识别准则。

一个系统是两个或更多相互连接的基础设施（资产或场所）的组合，可被单一的自然或人为事件破坏，且后果可达到关键基础设施识别准则阈值。

一个群是两个或更多相关基础设施（资产或场所）的组合，可被单一自然或人为事件破坏，且后果可达到关键基础设施识别准则阈值。

国土安全部认识到需要确定群的概念，是在2008年古斯塔夫和艾克飓风破坏一组炼油厂后，导致了国家工业领域广泛使用的某些石油化学制品发生了重大供应中断。为此，国土安全部改变了关键基础设施优先清单的格式，扩展基础设施的类型以包含关键基础设施群和系统，从而方便描述基础设施间的关系，如依赖性和相互依存关系。根据关键基础设施优先项目指南，关键基础设施群或系统由两个或以上相关或相互连接的资产或节点构成，可被同一个事件破坏，所产生的后果达到关键基础设施识别准则阈值。

四、美国关键基础设施识别准则的变迁

美国关键基础设施的识别准则经历了多次变迁，从最初的基于“导致灾难性的生命或经济损失”，发展为基于阈值的识别标志，再到如今的完全基于后果的识别方法。识别准则越来越科学，可衡量。

（一）早期的识别准则

2003年，在开始最初的数据收集时，国家和地方进行上报关键基础设施所依据的准则为“考虑任何资产和系统，它们一旦被攻击，将导致灾难性的生命或经济损失”，由于该准则过于模糊，各地方和机构在识别关键基础设施时，感到难以操作，诸多意料之外的资产被上报，所收集到的关键基础设施信息良莠不齐，国家资产数据库中的设施数量庞大且难以衡量重点。

从2006年开始，国土安全部在国家关键基础设施优先级项目中基于关键基础设施中断或被破坏后的后果，使用一个分层的方法来识别关键基础设施。对于那些被损害或破坏后，对国家和地区造成类似卡特丽娜飓风和911袭击后果和影响的设施，列入类型一（后为一级清单），其他绝大部分设施归类为类型二（后为二级清单）。

一级清单准则和阈值基于有害事件的后果，最初由负责基础设施保护的助理国土安全部长决定，网络空间和基础设施分析办公室在威胁和风险分析中心（HITRAC）协调地方和合作伙伴进行协助。一级清单基于后果的准则考虑以下四个因素：

死亡率：指直接死亡率，不包含受伤、疾病、可发展至威胁生命的疾病。

经济损失：一年内的直接和间接损失,包括疏散救灾、资产重置、服务或产品被破坏带来的下游损失、环境长期损害等。

大规模撤离范围：所引发的设施周边固定居住人群大比例，持续时间的撤离。

国家安全影响：国家安全能力的严重下降。；

通过全面梳理、分析基础设施可能出现的场景，评估是否在某些场景下，满足一级清单的识别准则，从而识别形成了一级清单。完全采用基于后果的识别准则所形成的一级清单，近十年来相对稳定，变动很小。

（二）基于阈值的识别标准

初期二级清单的识别准则考虑基于业务量的方式，尤其是使用资产的人群数量和资产的产量，如商业设施的客流量、交通系统的日载客量，供水人群数量等。

国土安全部在各行业提供数据支持的情况下，给出各类基础设施在服务范围、影响程度、涉及人数等方面的阈值。并在2004年7月19日基础设施保护办公室开展的信息收集行动中，向各州/地区的国土安全顾问发布了-《识别国家级别的关键基础设施和关键资源指南》[3,7]，用以指导各州、各地区国家关键基础设施和关键资源的识别工作。

1、 农业/食品

-- 面向5个或更多州的配送设施

-- 配送超过10个州的食品加工厂

-- 超过2万头牛、3万头猪或50万只家禽；或面向10个州的，或谷物产量在5万~25万蒲式 耳的生产商

2、 银行和金融

-- 每年超过500亿美元的大型证券/基金转账服务

-- 提供大笔资金或政府债券转账和结算服务的金融机构

-- 政府债券市场的一级交易商

-- 股票交易市场的骨干计算机及其灾备

-- 主要的银行和金融中心

3、 化工

-- 化学品泄漏可导致死亡或严重伤害，且方圆25英里半径内有超过30万人居住的地点。

-- 每天超过十亿美元的经济影响（指事件影响多个部门，累积造成的经济损失）

4、 能源

电力

-- 超过2000MW的主要发电设施，成功攻击会破坏区域电网。

-- 功率超过2000MW或一旦裂口可导致灾难性生命损失的水电设施和大坝

-- 为关键商业或政府设施提供唯一供电来源的变电站

-- 区域传输协调中心：区域输电组织控制中心，独立的传输运营商，以及区域协调。

-- 输电网可靠运行所必需的传输变电站

-- 500千伏以上的变电站，及支持超过一百万人口关键系统的345千伏以上变电站。

石油&天然气

-- 炼油能力超过每天225,000桶的炼油厂

-- 每天超过20万桶的输油管线

-- 每天超过十亿立方英尺的天然气管道

-- 天然气和液化天然气储存设施

-- 主要石油处理设施，如管道，港口，炼油厂和终端

5、 应急服务

-- 国家紧急行动中心（如HSOC，NICC，NRC，USCOE等）

-- 各州负责接收和发放国家战略储备用品的运营中心，及百万人口以上城市的配送中心

6、 信息技术

-- IT系统：访问或控制点分布在两岸及全国各地的系统。

-- 网络：网络与分布在两岸及全国各地的节点。

-- 数字控制系统：控制系统与分布在两岸及全国各地访问或控制点。

-- 重大的初级数据存储和处理设施。

7、 通信

-- 重要的电话大楼

-- 全国或地区的话务控制中心

8、 公共健康

-- 服务于25万人的唯一的主要医疗机构。-- 国家或区域性的主要供血机构

-- 国家储备和唯一的药物机构。

9、 运输系统

货运

-- 铁路信息技术和通信基础设施的关键节点。

-- 铁路隧道、桥梁或其他重要的资产，没有实用的可替代路线，若所需资源齐全，重建时间超过六个月，路线变更导致服务下降75%。

-- 商业运输或军事运输的主要入口点，被破坏将严重影响人员，经济或国家安全。

-- 不安全的铁路调车场，位于超过5万人的密集区，有时会存放超过5车次的大量有毒吸入物质。

-- 铁路调车场，一旦无法使用将造成国民经济重大破坏。

客运（主要码头地铁/公交/火车/巡航）

-- 地铁：地铁系统和配套的通风系统铁路

-- 公交车：位于人口超过50万城市的中心，或每日超过 5千乘客的公交站

-- 铁路：位于人口超过50万城市的中心，或每日超过 5千乘客的车站

-- 游船：位于人口超过50万城市的中心，或每日超过 5千乘客的港口/码头

海运

-- 指定的国防战略海港港口

-- 集装箱和石油进出口的主要海港。

-- 服务于石油战略储备的港口和设施

-- 主要内陆商业水道的闸门和大坝

-- 进港航道瓶颈，如堵塞港口将无法进出。

航空

-- 主要的飞机场

10、水

水的供应

-- 服务超过100万以上人口的水处理设施，地下水系统，水传输系统，水库系统。

污水

-- 服务超过100万人以上人口的污水处理设施，污水收集系统和泵站系统，或污水储存系统。

11、商业设施

-- 商业中心，损失超过100亿美元或可容纳3万5千人。

-- 办公楼: 高度大于500英尺且非常重要，或经济损失超过100亿美元，或可容纳8000人办公。

-- 体育场馆：损失超过100亿美元，或可容纳2万5千人

-- 娱乐场所/主题公园：损失超过100亿美元，或可容纳3万5千人。

-- 公共机构（教育机构）：损失超过100亿美元，或可容纳2万5千人

-- 酒店业：损失超过100亿美元，或可容纳8千人

12、政府设施

-- 联邦和各州的COOP/COG设施

13、大坝

-- 高危水坝，产能5兆瓦水电以上，或灌溉1万英亩以上农田；或提供重要的水道航行；或用于防洪控制的闸门、水道或堤坝，一旦失去控制将造成重大的经济影响甚至生命损失。

14、核反应堆和乏燃料设施

15、关键制造

16、国防工业基础

通过给出各类基础设施在服务范围、影响程度、涉及人数等方面的阈值，是用来识别关键基础设施简便易行的方法，但关键基础设施的关键与否与基础设施所处环境密不可分，一刀切的业务量阈值方法导致很多重要性值得探讨的资产也加入到了二级清单中，相比之下，重要领域的资产数量明显较少。另一方面，各地上报资产的不一致性问题也非常严重，由于各部门基于业务量的二级清单准则各不相同，部门间无法对关键性进行横向比较，在识别国家层面的高优先级关键基础设施时非常困难。更严重的是，基于业务量阈值的准则导致二级清单每年变化较大，在一定程度上使得基于该清单的风险管理计划和投入难以开展。改进二级清单识别准则，提高二级清单的准确性成为国土安全部面临的难题。

（三）基于后果的识别方法

图2：关键基础设施部门变迁情况及主管部门

2009年，DHS意识到采用基于业务量的准则难以全部识别那些引发灾难事件的资产，无法进行部门间横向比较，且阻碍了基于清单保护行动的开展等诸多问题。为符合法定要求，便于不同部门间进行比较，与NIPP的风险管理框架一致，DHS将二级清单的准则也转向完全基于后果的判断，并采用与一级清单相同的四个因素进行衡量，阈值由机构内部讨论和专家会议确定，但普遍低于一级清单的阈值。图2为一级清单与二级清单阈值的比较[8]。

目前二级清单的识别准则为，一旦被中断或破坏，至少满足下述两个后果：

- 超过2500人的死亡

- 一年内超过250亿美元经济损失

- 超过1个月的长时间大规模撤离

- 国家安全能力的严重降低，包含情报和国防，不包含军队设施

相比之下，当前一级清单的识别准则为，一旦被中断或破坏，至少满足两个下述后果：

- 超过5000人的死亡

- 一年内超过750亿美元经济损失

- 超过3个月的长时间大规模撤离

- 国家安全能力的严重降低，包含情报和国防，不包含军队设施

（四）特定部门和高风险设施的识别方法

2010年国土安全部进一步对国家关键基础设施优先项目准则进行调整，通过引入灾难性经济影响项目和基础设施威胁倡议，考虑那些不能总是满足基于后果识别准则的高风险设施。在灾难性经济影响项目下，那些仅可满足一项一级清单经济影响阈值的设施，被列入二级清单。在基础设施威胁倡议下，根据情报，那些面临明确可信的威胁，但不满足国家关键基础设施优先项目清单准则的设施，也被加入二级清单。这些威胁的目标通常是设施自身，而非特定事件所引起的后果。2012财年，基于这些新准则，大约有60个资产和系统被加入到关键基础设施优先清单中。

五、美国关键基础设施识别方法变更的影响

2009年NCIPP 准则中群和系统概念的引入，改变了NICPP 清单的构成，清单总量从2009财年的多于3000个，降为2011财年的少于2000个。同时2011财年建立了一个多于2500个的场所清单，并在2012财年增长到约4000个场所。鉴于单个场所可包含在不同系统或群中，场所也将重复多次出现在场所清单中。图3给出了历年来关键基础设施优先清单和场所清单数量的变化[9]。

图3：关键基础设施优先清单的变迁

关键基础设施识别准则的变化，也导致了关键基础设施清单中各部门比例的变更。对比2009和2011财年，农业和食品、国防工业基础比例上升、能源和交通运输比例下降。2011-2012财年，农业和食品比例持续上升，化工的比例却有大幅下降。图4给出了2009、2011、2012三年的部门比例变更情况。

图4：关键基础设施优先级清单的部门比例变化

关键基础设施清单内容的变更，严重影响了拨款计划的实施，打乱了PSCD的自愿性安全调查和评估等项目（现场访问计划（脆弱性评估和调查）的开展。同时对如何建立群或系统的评估准则，横向比较领域间资产的关键性也是个挑战。

六、结论

国家关键基础设施优先清单的制定，是美国确定关键基础设施保护重点、优化保护资源配置、规划和协调保护工作、有效制定审查、实施产品准入等相关政策的基础。十年来，美国在识别关键基础设施的过程中做出了大量的努力和尝试，至今仍在不断调整和优化。主要经验有：

一是关键基础设施的类型具有资产、系统、群以及场所等不同类型，充分反映了现实社会中设施的多种特性。

二是仅依据关键信息基础设施的内涵和外延，在识别国家关键信息基础设施时难以操作，且存在较大主观因素的影响。通过业务量阈值进行识别的方法操作容易，但未考虑设施环境状况，缺乏弹性空间。然而在工作开展初期，是快速且有效的方式。

三是基于后果的识别方法是准确反映关键信息基础设施的定位，但需要对设施开展充分的威胁分析尤其是相互依赖性分析，最大化的减少主观因素，准确评估特定场景下的后果。该方法需要较多人力物力，适合在有限范围内实施。

国家关键信息基础设施的识别是一项系统而复杂的工作，充分借鉴美国关键基础设施识别中的经验和教训，形成有效的识别机制和方法，对于我国落实网络安全法，开展关键信息基础设施保护工作具有重要的意义。

[1] WHITE HOUSE.Cyberspace Policy Review-Assuring a Trusted and Resilient Information and Communications Infrastructure[EB/OL].(2009-03-10)[2016-05-02].https://www.whitehouse.gov/assets/documents/Cyberspace_Policy_Review_final.pdf

[2] WHITE HOUSE.Cyber Security[EB/OL].(2012-07-20)[2016-05-15].http://www.whitehouse.gov/issues/ foreign-policy/cybersecurity

[3] OIG.Progress in Developing the National Asset Database[EB/OL].(2006-06-09)[2016-05-15].https://www.oig.dhs.gov/assets/Mgmt/OIG_09-86_Jun09.pdf

[4] MOTEFF J.Critical Infrastructure:The National Asset Database[EB/OL].(2007-07-16) [2016-05-21].http://fas.org/sgp/crs/homesec/RL33648.pdf

[5] OIG.Efforts to Identify Critical Infrastructure Assets and Systems[EB/OL]. (2009-06-30)[2016-05-21].https://www.oig.dhs.gov/assets/Mgmt/OIG_09-86_Jun09.pdf

[6] DHS.NIPP 2013 Partnering for Critical Infrastructure Security and Resilience[EB/OL].(2015-11-08)[2016-05-21].https://www.dhs.gov/national-infrastructure-protection-plan

[7] NERC.Security Guideline for the Electricity Sector: Identifying Critical Cyber Assets[EB/OL].(2009-09-17)[2016-05-29].www.dicksteinshapiro.com/files/upload/Critical_Assets_ID.pdf

[8] GAO.DHS List of Priority Assets Needs to Be Validated and Reported to Congress[EB/OL]. (2013-03-25)[2016-05-29]. http://gao.gov/assets/660/653300.pdf

[9] MOTEFF J D.Critical Infrastructures:Background,Policy,and Implementation[EB/OL]. (2008-10-10)[2016-05-29].https://fas.org/sgp/crs/homesec/RL30153.pdf

How to identify critical information infrastructure under Cybersecurity Law

TANG WANG1, NING HUA2

The thesis studys methods to identify national critical infrastructure by analyzing the development of the identification rules of the Unite States and comparing different rules' influences on critical information infrastructure priority list. It provides some thoughts on implementing the Cybersecurity Law and identifying critical information infrastructure in China.

National critical infrastructure; Identification rules; List; threshold; Cybersecurity Law

D922.8

A

1008-472X(2016)06-0153-10

2016-06-17

唐 旺（1978-），男，辽宁凤城人，工业和信息化部电子科学技术情报研究所网络安全研究部工程师，研究方向：网络安全政策研究，关键信息基础设施保护；

宁 华（1975-），女，山东泰安人，中国信息通信研究院泰尔终端实验室高级工程师，研究方向：关键信息基础设施，移动智能终端安全，移动应用软件安全。

本文推荐专家：

苏璞睿，中国科学院软件研究所，研究员，博士生导师，研究方向：网络空间安全。

朱璇，中国软件评测中心副总工，高级工程师，研究方向：软件测试技术、网络安全与风险评估技术。