网安标委印发《网络安全技术 关键信息基础设施边界确定方法（征求意见稿）》
内容提要
为了保障关键信息基础设施的网络安全，全国网络安全标准化技术委员会发布了《网络安全技术 关键信息基础设施边界确定方法（征求意见稿）》。该方法包括了边界确定的流程和步骤，适用于指导关键信息基础设施运营者确定边界。关键信息基础设施边界由基本信息、要素信息和识别时间组成。
延伸解读
两类CII的划分逻辑与识别侧重
《方法》将关键信息基础设施分为提供信息化共性服务和高度依赖信息化业务两类。前者如云平台、数据中心、基础通信网络，侧重算力、数据处理和基础通信支撑；后者如监控、交易、控制系统，强调高度信息化、自动化和网络化。这种划分意味着运营者在确定边界时，需先判断自身属于哪一类，再选择对应的资产识别路径，避免用同一套标准套用所有场景。
基于信息流的边界确定思路
《方法》明确边界确定基于信息流方式，先识别支撑关键业务的网络设施和信息系统软硬件资产，再经过不可或缺性判定，理清功能、部署信息、业务关系，并对同一软硬件资产进行归集形成CII要素，最终由所有要素集合构成边界。这一思路强调从业务信息流出发反向定位资产，而非简单按资产清单划定范围，有助于避免边界过宽或遗漏关键节点。
三阶段流程的实操要点
边界确定流程分为准备、要素识别和边界确定三个阶段。准备阶段需梳理运营者信息、CII信息、常态化运营信息、上下游业务信息、数据资产信息及租用网络设施运营者名称等；要素识别阶段则要识别CII功能、关键业务链与关键业务信息、信息流和资产、CII要素等。运营者应依据本行业、本领域保护工作部门认定的关键业务开展梳理，确保流程有据可依。
边界文件的构成与时效性
《方法》指出，CII边界由基本信息、要素信息和识别时间组成，通常以文件形式描述。基本信息包括运营者信息、CII信息、数据资产信息、租用网络设施信息等；要素信息包括要素总计、对应关系、关键业务链、系统功能架构、网络拓扑、关键业务信息、关键业务信息流、要素清单等；识别时间为文件完成时间。这意味着边界并非一成不变，运营者需关注识别时间，在业务或资产变化时及时更新。
Q&A
《网络安全技术 关键信息基础设施边界确定方法（征求意见稿）》的主要目的是什么？
该方法旨在保障关键信息基础设施的网络安全，明确关键基础设施边界的确定方法。
关键信息基础设施的边界由哪些组成部分构成？
关键信息基础设施的边界由基本信息、要素信息和识别时间组成。
该方法中提到的边界确定流程包括哪些阶段？
边界确定流程包括准备阶段、要素识别阶段和边界确定阶段。
关键信息基础设施分为哪两类？
关键信息基础设施分为提供信息化共性服务的和高度依赖信息化业务的两类。
《方法》对关键信息基础设施运营者有什么要求？
运营者应详细梳理包括运营商信息、关键信息基础设施信息等基本情况信息。
关键信息基础设施的安全稳定对国家有什么影响？
其安全稳定对国家经济、社会运行和人民生活具有重要影响。
