关基保护不是一张检查表
关键信息基础设施的安全保护，容易在落地时走成两个极端：一个极端是当成纯粹的合规工作，把资料做齐就算完成；另一个极端是当成纯技术项目，买一批设备部署下去，但没人运营。
这两种做法都会在真实攻击面前失效。关基保护的本质是四项可持续运转的能力——识别、防护、检测、响应。判断它们是否真的建立起来了，只有一个标准：真出事的时候能不能顶住、多久能恢复。
识别：一切工作的前提
识别要回答三个问题：哪些业务是关键业务、支撑它们的是哪些资产、这些资产之间存在什么依赖关系。
多数单位的资产台账是“设备清单”，而不是“业务—资产—依赖”的关系图。这个差别在出事时会非常致命：你知道哪台服务器宕了，但不知道它一宕会影响哪条业务线、影响多久。识别阶段的产出应当是业务视角的资产重要度分级，而不只是 IP 与型号的列表。
防护：把边界做在正确的地方
防护的重点不是“堆设备”，而是按重要度分配控制强度：关键业务所在的区域要有更严格的访问控制、更短的凭证有效期、更完整的审计；非关键区域可以适度放宽，把资源集中在真正要保护的地方。
防护里最容易被忽略的两块是供应链与漏洞管理。关基系统的供应链很长（设备厂商、集成商、运维服务商），任何一方的账号或通道都可能成为入口；而漏洞管理在关基环境里必须与变更窗口、可用性要求结合起来，不能照搬 IT 的“快速全量打补丁”节奏。
检测：先解决“看得见”
检测能力建设的顺序，建议是日志留存 → 全流量可见 → 威胁发现。
日志留存是底线，它决定了事后能不能还原现场。现实中常见的问题是留存周期过短、多源日志时间未对齐、关键设备日志没有外送（留存在本地，被攻击者一并清除）。全流量可见解决的是“内网到底在发生什么”，在关基环境里通常需要结合流量镜像与工业协议解析。威胁发现则建立在前两者之上，包括规则检测、行为基线以及威胁情报比对。
响应：能力只有在演练中才算存在
响应能力包含预案、处置流程、人员分工与恢复手段。这里最需要强调的是演练：绝大多数写在文档里的预案，第一次真实执行时都会暴露问题——联系不上某个负责人、备用系统没有数据、恢复步骤缺少权限。
演练应当覆盖到恢复验证：不只是“演练了切换到备用”，而是“切换后业务是否真的可用、数据是否完整”。这一条做不到，响应能力就仍然停留在纸面上。
常见的能力缺口
- 资产台账以设备为中心，缺少业务影响分析；
- 防护强度与资产重要度不匹配，关键区域与非关键区域一个标准；
- 日志留存周期不足，或关键设备日志未外送；
- 供应链与第三方运维通道未纳入统一管控；
- 有预案但未做恢复验证演练。
一句话总结：关基保护的成熟度不看资料厚度，而看三个问题能不能立刻回答——关键业务依赖什么、异常多久能发现、故障多久能恢复。