本文目录导读：
关键信息基础设施（关基）安全考核的指标体系通常涵盖组织管理、技术防护、数据安全、供应链安全、运营保障以及合规与责任等维度，具体指标因行业（如金融、能源、交通）差异会有所不同,但以下为通用的核心考核指标框架：
组织管理与责任落实
- 主体责任明确性：是否明确关基安全保护工作责任人（如首席安全官CISO）、是否成立专门的安全管理机构。
- 领导履职情况：主要负责人是否定期听取安全报告、是否参与重大安全决策。
- 制度体系建设：是否建立覆盖安全建设、运维、应急、检查的内部制度与操作规范。
技术防护能力
- 网络架构安全：是否实现关键网络域的隔离（如生产网、互联网、办公网）、是否部署边界防护（防火墙/入侵防御IPS）。
- 身份与访问控制：多因素认证实施率、特权账号管理（PAM）覆盖率、最小权限原则执行度。
- 检测与态势感知：安全日志全量采集率、威胁监测覆盖率（如态势感知平台接入率）、入侵检测响应时长（MTTD/MTTR）。
- 漏洞管理：高危漏洞修复及时率（如“72小时内修复”）、漏洞扫描覆盖率及频次。
- 数据保护：重要数据加密率（传输/存储）、数据脱敏使用情况、数据分类分级落实情况。
数据安全与个人信息保护
- 数据出境合规：是否完成数据出境安全评估（如涉及）、境外访问数据权限管控。
- 个人信息管控：最小必要收集原则执行情况、用户知情同意与撤回机制。
- 备份与灾难恢复：核心业务数据备份频率（如日备）、恢复点目标RPO（如15分钟）、恢复时间目标RTO（如2小时）。
供应链与供应链安全
- 供应链审查：关键设备/软件是否通过安全审查（如涉及信创或国家级审查）。
- 第三方风险：云计算服务商、外包开发商的准入与审计。
- 供应链连续性：关键零部件/开源组件是否具备替代方案，避免“卡脖子”风险。
运营与应急响应
- 应急处置能力：应急预案是否每年演练？典型场景（如勒索病毒、DDoS攻击）覆盖率。
- 事件报告时效：重大安全事件（如数据泄露、系统瘫痪）是否在规定时间（如2小时内）向网信/公安/行业主管报告。
- 日常巡检与监控：7×24小时值班值守落实情况、告警误报/漏报率。
合规与法律要求
- 等保合规：是否完成相应等级（如第三级）的定级、备案、测评与整改。
- 关键岗位认证：安全负责人是否持有CISP、CISSP等资质？安全人员专职比例。
- 法律责任履行：是否因关基安全受到行政处罚？是否存在未整改的监管通报问题。
特定行业补充指标（示例）
- 金融行业：支付系统连续性指标（如系统可用性≥99.99%）、反洗钱与交易安全。
- 能源行业：工控系统（ICS/SCADA）安全防护、物理安全（非授权进入/破坏）。
- 交通行业：交通信号/调度系统抗攻击能力、GPS/北斗系统安全。
考核方式
通常采用“自查 + 远程检测 + 现场检查 + 实战演练（如攻防演习）”结合的模式，建议参考最新版《关键信息基础设施安全保护条例》及行业主管部门（国家网信办、公安部、行业监管部门）发布的具体考核细则。
如需获取本年度特定行业的考核指标全文（如金融关基考核表），建议直接查阅国家网信办、公安部网络安全保卫局或对应行业监管部门（如央行、工信部、能源局）官网发布的年度考核通知文件。
