CCB 网络基础框架 2.0 2.0

应识别并实施关于信息和网络安全的法律和监管要求。 与信息和网络安全相关的法律、监管及合同义务应持续管理，以确保其保持准确、最新并有效执行。

应识别并实施关于信息和网络安全的法律和监管要求。 与信息和网络安全相关的法律、监管及合同义务应持续管理，以确保其保持准确、最新并有效执行。

该组织的使命应被确立、传达，并应成为信息和网络安全风险管理的基础。

组织应识别、记录并传达其在供应链中的角色，包括其依赖的外部能力、服务和依赖关系（上游），以及其与下游利益相关方的互动。

组织应展示其理解并考虑内部和外部利益相关方在信息和网络安全风险管理方面的需求和期望。

组织应识别、记录并传达外部利益相关方依赖的关键目标、能力和服务，根据其重要性进行优先排序，并将此优先排序纳入风险评估流程中。组织应定义并记录关键操作的网络安全要求，通过测试和审核进行验证，保留结果和纠正措施的记录，并根据不断变化的风险定期更新要求。应实施冗余以满足组织、法律和/或法规定义的可用性要求。关键ICT/OT系统流程恢复的恢复时间目标和恢复点目标应被定义并加以监控。

组织应识别、记录并传达外部利益相关方依赖的关键目标、能力和服务，根据其重要性进行优先排序，并将此优先排序纳入风险评估流程中。组织应定义并记录关键操作的网络安全要求，通过测试和审核进行验证，保留结果和纠正措施的记录，并根据不断变化的风险定期更新要求。应实施冗余以满足组织、法律和/或法规定义的可用性要求。关键ICT/OT系统流程恢复的恢复时间目标和恢复点目标应被定义并加以监控。

组织应识别、记录并传达外部利益相关方依赖的关键目标、能力和服务，根据其重要性进行优先排序，并将此优先排序纳入风险评估流程中。组织应定义并记录关键操作的网络安全要求，通过测试和审核进行验证，保留结果和纠正措施的记录，并根据不断变化的风险定期更新要求。应实施冗余以满足组织、法律和/或法规定义的可用性要求。关键ICT/OT系统流程恢复的恢复时间目标和恢复点目标应被定义并加以监控。

组织应识别、记录并传达外部利益相关方依赖的关键目标、能力和服务，根据其重要性进行优先排序，并将此优先排序纳入风险评估流程中。组织应定义并记录关键操作的网络安全要求，通过测试和审核进行验证，保留结果和纠正措施的记录，并根据不断变化的风险定期更新要求。应实施冗余以满足组织、法律和/或法规定义的可用性要求。关键ICT/OT系统流程恢复的恢复时间目标和恢复点目标应被定义并加以监控。

信息和网络安全风险管理策略应进行审查和调整，以确保涵盖组织的需求和风险。

应制定、记录、审查、批准、在发生变化时更新、传达并执行管理信息和网络安全的政策和程序。全组织范围的信息和网络安全政策与程序应包括密码学的使用，并在适当情况下包含加密措施，反映需求、威胁、技术和组织角色的变化，并经高级管理层批准，由其监督实施。

应制定、记录、审查、批准、在发生变化时更新、传达并执行管理信息和网络安全的政策和程序。全组织范围的信息和网络安全政策与程序应包括密码学的使用，并在适当情况下包含加密措施，反映需求、威胁、技术和组织角色的变化，并经高级管理层批准，由其监督实施。

信息/网络安全目标应由组织利益相关者确认，并经高级管理层批准

组织的高层管理人员应对网络安全风险负责，并应促进一种风险意识强、具道德性且持续改进的文化。

网络安全供应链风险管理程序、策略、目标、政策和流程应进行记录、审核，并在发生变化时更新，并由组织相关方批准。