基礎設施韌性規劃框架（IRPF）

一.  概述

網絡安全與基礎設施安全局（CISA）制定了《基礎設施韌性規劃框架（IRPF）》，將安全和韌性因素納入關鍵基礎設施規劃和投資決策中。

1.1 

引言

基礎設施是各個社區的支柱，不僅提供關鍵服務（如水、運輸、電力和通信），還提供健康、安全和經濟增長的手段。這些系統通常延伸到社區之外，為整個地區提供服務，助力實現國家關鍵職能。基礎設施對我們的社會和經濟福祉至關重要，所以，必須確保我們的網絡固若金湯，具有韌性。要保證社區在不受控環境中繁榮發展并適應不斷變化的情況（例如不斷演變的安全威脅、極端天氣的影響、技術發展和社會經濟變化），我們必須努力增強基礎設施的韌性。

根據第21號總統政策令（PPD-21）《關鍵基礎設施的安全和韌性》的定義，韌性指應對和適應不斷變化的情況以及抵御破壞和快速恢復的能力。基礎設施的韌性不僅取決于工程基礎設施系統的物理屬性，還取決于影響這些系統運行和管理的組織（如基礎設施所有者和運營者、監管機構、廠商和承包商）的能力。韌性還受到組織因素的影響，如業務連續性和應急響應計劃、員工培訓水平以及測試計劃的演練頻率等。提高韌性對于管理社區面臨的各種風險（包括基礎設施系統之間相互依賴所帶來的風險）至關重要。

網絡安全與基礎設施安全局（CISA）制定了《基礎設施韌性規劃框架（IRPF）》，指導地方、地區和私營部門在面臨多重威脅和變化時如何攜手合作、共同規劃關鍵基礎設施服務的安全保護和韌性。

IRPF的主要受眾是州、地方、部落和領地政府以及相關的區域組織；當然，任何組織都可以靈活地使用IRPF來促進其韌性規劃。IRPF為關鍵基礎設施規劃提供了資源，并為區域性以及跨系統和轄區的工作提供了框架。

該框架為社區和地區的關鍵基礎設施的安全和韌性規劃提供了方法和資源：

> 了解并宣傳基礎設施韌性對社區韌性的促進作用；

> 了解威脅和隱患對社區基礎設施正常運轉和服務的影響；

> 促使政府、所有者和運營者做好準備，抵御和應對不斷變化的威脅和隱患；

> 將基礎設施的安全和韌性因素（包括依賴性和連鎖破壞的影響）納入規劃和投資決策；以及

> 快速恢復社區和地區基礎設施的正常運行。

本文中，“社區”不僅包括單個城鎮，還包括進行規劃的多轄區當局和具有共同利益或為增強相關基礎設施系統韌性而共同努力的利益相關者。

1.2 

基礎設施韌性規劃

IRPF并非一定之規，而是一套靈活的指導文件和資源，用于啟動基礎設施安全和韌性規劃，并將其納入現有規劃機制。*IRPF由連續步驟構成，用戶可以選擇適用步驟和資源，在現有或正在進行的規劃過程中更充分地考慮基礎設施。

*在本指南中，我們提供了與非聯邦政府合作伙伴合作開發的資源的鏈接。此類信息“按原樣”提供，僅供參考。CISA對這些信息不提供任何形式的保證。CISA不為任何實體、產品或服務（包括任何分析對象）背書。提及特定服務標志、商標、制造商等并不說明或暗示CISA對相關商業產品、工藝或服務的認可、推薦或支持。

社區可以查看框架，確定自己處于哪個規劃階段，選擇最能滿足其需求的指導和資源。

時間和資源有限的社區可能希望將重點放在支持關鍵職能的基礎設施部門，如能源、通信、運輸以及水和廢水系統，后續再行擴展。

相反，擁有更多時間和資源的社區可能會考慮其他關鍵基礎設施部門，這些部門持續履行關鍵社會和經濟職能，對社區或地區繁榮不可或缺，至關重要。

IRPF揭示了基礎設施系統之間的依賴關系，幫助用戶更好地理解基礎設施風險，建立針對性的項目和戰略，明確采取行動所需的資金和實施資源。

最后，基礎設施韌性能促進社區韌性，建立和維護強大、安全和具有經濟活力的生活和工作場所。最終會形成一個自我強化的循環，社會和經濟韌性越強，基礎設施的韌性就越強，反之亦然。

1.3

 基礎設施韌性規劃框架（IRPF）

IRPF是簡單框架，用于指導如何將關鍵基礎設施韌性納入地方、地區和部落規劃。它旨在幫助社區、地區以及基礎設施所有者和運營者更好地了解關鍵基礎設施所面臨的風險，識別增強韌性的機會，為政策和投資決策提供參考。

第1步，基礎工作。社區定義并確定規劃工作的范圍，組建規劃執行團隊，查看現有數據、計劃、研究和地圖等資源。

第2步，識別關鍵基礎設施。指導社區如何識別基礎設施并確定其優先級以及評估基礎設施系統之間的依賴性。

第3步，評估風險。引導社區完成對關鍵基礎設施的風險評估，包括可能面臨的威脅和隱患以及可能導致的后果。

第4步，制定行動計劃。為制定戰略性行動計劃提供指導，計劃須列出潛在解決方案并確定其優先級以應對風險并增強基礎設施的韌性。

第5步，實施及評效。重點是將基礎設施韌性項目和戰略納入社區和地區規劃和流程，衡量成功與否。

為了支持這些工作，IRPF還提供了各種資源幫助社區完成IRPF的各個步驟。

IRPF鼓勵規劃者在考慮關鍵基礎設施時采取基于系統的功能性方法。單個基礎設施資產的重要性與其提供的最終功能一樣重要：例如，如果有足夠好的替代方案為社區提供飲用水，直到系統恢復，水處理廠或泵站在事故期間中斷可能并無大礙。或者，基礎設施系統高度互聯，其中一個系統的中斷可能會產生連鎖影響，影響與其相連的其他基礎設施系統。由于存在這兩種情況，IRP建議規劃者考慮基礎設施系統提供的關鍵功能以及這些系統內部及之間存在的依賴關系。對這兩個因素透徹理解后，規劃者能夠更合理地確定降低風險的戰略和項目，優化韌性投資。

IRPF可應用于第21號總統政策令（PPD-21）《關鍵基礎設施的安全和韌性》中確定的所有16個關鍵基礎設施部門。PPD-21提出了“加強和維護安全可靠、正常運行、具有韌性的關鍵基礎設施以抵御物理和網絡威脅”的國策。PPD-21認定的這16個關鍵基礎設施部門，其資產、系統和網絡（無論有形還是虛擬）對美國至關重要，一旦無法正常運轉或被破壞，將會影響安全、國家經濟安全及/或國家公共衛生或安全。表1列出了這些關鍵基礎設施部門以及各部門包含的主要成員。PPD-21是從國家角度看待關鍵基礎設施系統和資產的，但這些部門在地方、州和地區層面也頗為重要，了解這些系統的風險可以促進社區的安全保障、健康和安全以及經濟增長。

這些部門通過基礎設施系統為各個社區和地區提供關鍵功能。這些系統由相互關聯和依賴的資產組成，系統的持續運行不僅取決于其自身資產，也取決于其他部門的其他系統。重要的是，幾乎所有部門都依賴能源、水和廢水、通信和運輸系統的正常運行。用戶可基于IRPF檢視這些基礎設施系統，發現各系統內部和彼此之間的關鍵依賴關系，在規劃時加以考慮。

表1：關鍵基礎設施部門

小提示：

IRPF深入挖掘了關鍵基礎設施及依賴性，讓基礎設施所有者參與討論，分析隱患所帶來的風險，為隱患整治過程的幾乎每一階段提供支持，因而社區可以據此申請聯邦撥款。其他資源，參見基礎設施韌性規劃資源。

可用資源：

IRPF與聯邦規劃和風險管理流程對齊

通過矩陣展示了IRPF與現有的各種聯邦風險和/或韌性規劃流程和指南的一致及互補性。

具體資源，參見基礎設施韌性規劃資源。

地區基礎設施韌性評估方法：

CISA的《地區韌性評估計劃》（RRAP）已實施十年有余，《地區基礎設施韌性評估方法》從中吸取經驗教訓，用經過前者驗證的通用流程來評估和解決復雜的基礎設施韌性問題。

具體資源，參見基礎設施韌性規劃資源。

1.4 

與規劃工作和聯邦認可的流程對齊

需要注意的是，制定IRPF是為了對齊并促進社區可能需要執行的聯邦、州、地方、部落和領地的其他規劃工作。表2列出了可參考IRPF的一些現有規劃工作。

IRPF的步驟和相關資源可方便地整合到其他規劃過程中，包括綜合、隱患整治、環境、設施改建和地區交通規劃。事實上，IRPF的一大好處就是幫助識別可納入這些計劃的韌性項目，使社區能夠建立長期韌性，此外，還按優先級列舉了災難發生后可利用聯邦資金實施的項目。并且，IRPF符合并支持聯邦應急管理局（FEMA）的《國家減災投資戰略》和美國政府問責局（GAO）的《災難恢復框架》。聯邦應急管理局建立了一系列的“社區生命線”，乍一看可能與CISA基于部門的方法不一致，但這兩個框架實際上是互補的。FEMA建立的社區生命線與CISA的基礎設施部門一致，旨在支持響應行動，而CISA的16個部門可以支持常態活動。

表2：可以參考IRPF的規劃工作

小提示：

IRPF深入挖掘了關鍵基礎設施及依賴性，讓基礎設施所有者參與討論，分析隱患所帶來的風險，為隱患整治過程的幾乎每一階段提供支持，因而社區可以據此申請聯邦撥款。其他資源，參見基礎設施韌性規劃資源。

可用資源：

IRPF與聯邦規劃和風險管理流程對齊

通過矩陣展示了IRPF與現有的各種聯邦風險和/或韌性規劃流程和指南的一致及互補性。

具體資源，參見基礎設施韌性規劃資源。

地區基礎設施韌性評估方法：

CISA的《地區韌性評估計劃》（RRAP）已實施十年有余，《地區基礎設施韌性評估方法》從中吸取經驗教訓，用經過前者驗證的通用流程來評估和解決復雜的基礎設施韌性問題。

具體資源，參見基礎設施韌性規劃資源。

在許多方面，IRPF是對其他韌性指南和方法的補充和完善。例如，IRPF的輸出可成為國家標準與技術研究院（NIST）《社區韌性規劃指南（CRPG）》第3步“風險評估和建筑環境描述”的輸入。此外，CISA《地區基礎設施韌性評估方法》所述的基礎設施韌性評估過程與IRPF中提出的規劃步驟和指南高度一致。

1.5 

資金和技術援助資源

規劃的一個關鍵特征是摸清規劃和計劃實施的資源可用性。IRPF以文件和用戶友好的矩陣形式列舉了這些資源，介紹了可助力社區實現規劃的資金機會和技術援助。

可用資源：

基礎設施韌性資金計劃和機制目錄

《基礎設施韌性資金計劃和機制目錄》列示了潛在的資金和技術援助來源并附有鏈接。

具體資源，參見基礎設施韌性規劃資源。

二. 基礎工作

IRPF的第1步涉及如何初步獲取認可、組建合作規劃小組、收集和查看現有數據、計劃、研究、地圖或其他可用于規劃工作的技術資源，為成功奠定基礎。雖然本節按步驟順序描述相關活動，但這里的多數步驟可以同時或迭代進行。例如，確定了推動人和規劃團隊后，用戶可能希望重新審查工作范圍并再次評估之前的評估和規劃活動與當前工作的相關性。規劃人員應考慮如何充分利用IRPF，完善當前的規劃流程，確認哪些步驟最有意義。最后，IRPF是一個靈活該框架，用戶可以根據自己的需求調整IRPF流程。

2.1

 確定項目推動人

要獲得認可，相關實體不僅要宣揚韌性的重要性，還要投入時間和資源，為規劃工作提供支持。州部門、部落委員會、地方管轄區、社區規劃部門、地區規劃組織、公共/私人非營利組織或牽頭計劃制定的其他組織可充當此等項目推動人。重要的是，該實體需要能夠積極支持規劃過程和實施工作。

注意

IRPF規劃過程成功的一個關鍵要素是過程文檔。在IRPF的所有階段，協調領導和完整記錄規劃工作都非常重要。記錄務必準確，盡量對所有相關文件進行定期備份（盡可能進行冗余備份）。

2.2 

定義和確定工作范圍

在將IRPF整合到規劃過程之前，應考慮如下幾個問題：

· 韌性規劃的愿望或需求由何激發？

· 社區在韌性方面的大小目標分別是什么？

· 服務于社區的基礎設施是否存在缺陷需要解決？

有許多種評估和分析可以為規劃提供參考，包括威脅、漏洞和關鍵性分析、系統映射和圖表、建模和模擬分析。定義明確的大小目標和范圍后，規劃人員才能選出最合適的分析方式。《地區基礎設施韌性評估方法》提供了更多關于分析方法的詳細信息，這些方法源于10多年來積累的經驗和120多項不同的評估。規劃者可以使用這些方法深入了解社區的基礎設施系統。一旦確定了工作的總體方向，社區就可以根據工作范圍更有效地分配時間、資金和人員。

2.2.1 

時間和資源

重要的是要根據韌性目標和實現這些目標的復雜度配備足夠的規劃工作人員和資金。考慮到時間和資源可能存在限制，IRPF設計之初就是為了支持和補充現有或正在進行的地方和地區規劃活動。因此，在規劃IRPF所述的基礎設施韌性概念時，需要預留額外的資源和時間。

小提示：

若現有規劃活動已獲得資金撥款或技術援助，如隱患整治、綜合規劃或經濟發展規劃，可將IRPF流程和資源與其結合，達到節約資金的目的。

2.2.2 

確定規劃團隊負責人

在整個IRPF集成過程中，需要有強有力的領導，規劃團隊負責人應擔任項目經理。多數情況下，負責人來自項目推動實體。負責人至少應向項目推動人、社區官員和其他必要人員匯報與規劃過程相關的各種活動的最新進展和結果。表3列出了優秀規劃團隊負責人的資格。

表3：規劃團隊負責人的職責

2.2.3 

開展初步活動

規劃團隊負責人確定后，應開展初步活動，為后續的成功奠定基礎。這些活動包括：

> 定義工作目標，確定該項工作與社區其他規劃工作的關系；

> 確定工作范圍（包括規劃區域）；

> 明確大小目標，概述工作戰略；

> 制定初步計劃；

> 獲取會議設施；

> 指定引導人在規劃小組會議時引導討論（如適用）；

> 列舉關注此項工作或持有重要相關信息的利益相關者。

注意：

將所有利益相關者聚集在一起并考慮到各種各樣的意見和利益絕非易事。建議與項目推動人一起評估或分析利益相關者，最終確定應涵蓋具體哪些組織。后續加入新的利益相關者時重復這一過程，產生滾雪球效應，提升外聯效果。

協作與信息保護

規劃人員應意識到信息共享帶來的問題，考慮如何保護敏感材料不外泄。采用常見的網絡安全方法，如用密碼保護文件、簽訂保密協議等。現有資源包括國會授權的受保護關鍵基礎設施信息（PCII）計劃和運輸安全管理局（TSA）的SSI計劃，前者旨在保護自愿共享的私營部門基礎設施信息中的敏感數據，后者則是為了保護和修訂敏感安全信息（SSI）。

2.3 

收集、審核現有信息

梳理之前的規劃工作、研究、繪圖和可供參考的其他數據，為本次規劃打好基礎。數據資源的來源包括州、地方、部落和領地（SLTT）、地區和聯邦。

在舉行首次規劃會議之前，規劃團隊負責人應梳理并查看與社區基礎設施資產、系統和網絡以及社區中的威脅、隱患和災難事件相關的數據和信息。

還應查閱社區現有的其他計劃，找出與當前規劃工作相關的信息。需要查閱的社區計劃列表見0.2節中的表2。查閱過程中應比較這些現有計劃中的戰略，識別或可通過當前規劃工作解決的不一致或沖突。

小提示：

盡管總體范圍和目標由所進行的規劃活動的性質決定，仍然建議斟酌目標和方法，在規劃過程中增加對關鍵基礎設施的關注。

這一過程包括如下幾個步驟：

> 識別知識鴻溝：首要任務是明確說明在基礎設施韌性建設方面存在的知識鴻溝。許多情況下，這類知識鴻溝包括了解基礎設施系統如何支持關鍵功能或服務、系統之間存在哪些依賴關系以及哪些系統容易受到破壞。

雖然無法列出所有的知識鴻溝，但這一過程可幫助規劃人員和參與者打開思路，考慮到基礎設施系統的方方面面和規劃過程中應檢視的問題。

> 細化范圍：識別知識鴻溝后，通過細化范圍，可在規劃過程中集中考慮基礎設施韌性的作用。工作范圍要寬窄有度，“寬”指足以為規劃供必要輸入，“窄”指與規劃項目的時間線和資源相稱。

> 制定數據收集策略：根據工作范圍和識別的知識鴻溝制定策略，確定如何以及何時收集哪些信息、規劃工作的參與者和合作伙伴等。數據收集策略的最終目的是闡明須收集的信息，深入了解基礎設施系統及其韌性問題。

> 制定分析策略：通過制定分析策略，可以明晰如何使用信息來支持規劃目標，考慮將哪些資源和方法納入規劃過程。

可用資源：

數據收集—資源列表樣例

現有資源列表樣例列舉了參考資源，按資源所有者/創建者排序。創建者包括：

· 地方/縣/地區機構

· 關鍵基礎設施所有者/運營者

· 州、部落和領地機構

· 聯邦機構

之所以提供本列表，是為了方便采用IRPF框架的規劃者梳理先前的所有相關工作。

具體資源，參見基礎設施韌性規劃資源。

現有社區計劃之比較：

韌性計劃集成記分卡是國土安全部（DHS）科技局通過其德克薩斯州農工大學沿海韌性卓越中心合作伙伴開發的一種計劃評估方法。各社區可使用記分卡評估和協調自己的各種計劃（例如運輸、經濟發展、隱患整治、應急管理等），這樣有助于保證策略的一致性，共同減少隱患風險。

2.4 

組建合作規劃小組

2.4.1 

確定組員

關鍵基礎設施韌性規劃的其中一項工作是建立外部合作伙伴小組，為涉及范圍更廣的規劃工作提供信息。表4所列群體的代表可提供重要的見解和觀點，邀請其參與能夠促進規劃工作，增強韌性。協作是關鍵，所帶來的好處如圖1所示。

就IRPF而言，關鍵基礎設施利益相關者包括負責規劃、設計、開發、投資、運營和管理關鍵基礎設施資產和系統的社區和私營部門合作伙伴，具體人員包括民選官員、社區領導人、規劃者、工程師、公共工程人員、應急管理人員、企業主和基礎設施運營者。來自關鍵部門的合作伙伴可提供有關其基礎設施系統的運營信息，這有助于發現韌性建設中存在的挑戰，確定改進韌性戰略的方案。

有效合作的成效：

· 提高了關鍵基礎設施利益相關者對關鍵基礎設

· 增強了描述和識別威脅、隱患和風險以及對應解決措施的能力。

· 通過擴大伙伴關系，選取和實施富有創造性的韌性解決方案。

· 增強了各利益群體實施該計劃的意愿

· 揭示了創造性資金和實施技術的協同作用

表4：可考慮邀請加入規劃小組的成員

參與者應包括來自能源、通信、運輸、水和廢水等服務提供商的代表，還應包括能為社區正常運作提供必要關鍵基礎設施的其他社區代表。

聯邦、州、部落和領地政府機構代表能夠提供必要的數據和信息，這些數據和信息對于收集和梳理現有數據、計劃、研究和繪圖資源、確定適用的最佳做法以及選擇技術援助和實施援助均有價值。此外，他們加入后可以提供政治支持。如果這些代表無法積極參與，社區可在必要時主動聯系這些代表，并在整個規劃過程中定期向其更新進度。

在規劃過程中還應考慮網絡安全，邀請了解信息基礎設施與物理基礎設施互聯互通的信息技術/安全官員或專家參與。基礎設施系統和資產越來越依賴工業控制系統和自動化系統，在進行規劃和投資決策時需要具有網絡安全專業知識。

在規劃過程中應考慮商業風險，說明對關鍵技能、進口和對社區長期韌性至關重要的其他供應鏈的依賴。為此目的，可與關鍵基礎設施運營者和關鍵企業進行討論。積極尋求資源多樣化方案，讓社區能夠靈活適應全球、全國或地方經濟情況的變化。2020年11月，國土安全顧問委員會發布了一份報告，介紹了商業風險對韌性的影響。

需要注意的是，并非所有成員都會全程參與整個規劃過程。用戶應考慮介入的最佳時機，一方面，避免給外部合作伙伴帶來不必要的負擔；另一方面，確保有效收集相關必要信息。除了活躍成員外，可能還需要其他利益相關者參與其中。利益相關者是受社區基礎設施影響、依賴社區基礎設施并與社區基礎設施交互的個人或團體。應讓這些利益相關者參與進來，獲得他們對規劃過程和最終結果的認可和支持。不過，與小組成員不同的是，利益相關者可能不會全程參與規劃，但他們會就特定主題提供寶貴信息或提出觀點不同的各種意見。

利益相關者包括：

> 本地企業和行業代表；

> 關鍵基礎設施系統所有者和運營者；

> 本社區社會機構的代表，如社區組織、非政府組織、商業/工業團體以及衛生、教育、環境組織等；

> 感興趣的社區公民。

規劃團隊負責人可以為關注此事的其他利益相關者制定郵件/分發列表，向他們定期更新規劃過程的進度和結果并請求他們提供輸入/反饋。規劃團隊負責人還可與特定的利益相關者個人或小組進行面談，在關鍵基礎設施識別、風險評估和行動計劃制定階段收集他們的建議和意見。

可用資源：

規劃參與者聯系信息表

該電子表格供規劃官員跟蹤各種利益相關者的聯系信息（包括接口人、電話號碼、電子郵件地址等）。這些利益相關者按機構/部門類型排序。

具體資源，參見基礎設施韌性規劃資源。

2.4.2 

邀請參與，獲取承諾

在確定目標參與者并收集相關聯系信息后，規劃團隊負責人邀請他們參加規劃活動。

利益相關者，尤其是私營企業的許多利益相關者，一開始可能不愿意參與規劃活動。這可能有多種原因，包括：

> 擔心可能受到監管；

> 商業敏感性和擔心共享私有信息；

> 競爭對手或其他關鍵合作伙伴提出對立觀點。

在與私營部門合作伙伴溝通時，務必強調改善規劃對參與者帶來的好處，比如，促進快速、有效響應和恢復，保護業務和客戶；節約保險費用，降低災難恢復成本；改進緩解活動，提高上下游依賴關系的韌性；深入了解社區優先事項。

可用資源：

利益相關者邀請函

此邀請函樣例為項目推動人和/或規劃團隊負責人提供了示例內容，用于邀請和鼓勵利益相關者參與規劃過程。可以根據擬邀請的利益相關者類型按原樣或選取部分內容使用該樣例。

具體資源，參見基礎設施韌性規劃資源。

2.5 

設定大小目標

任何規劃工作，其成功都基于明確的大小目標，有了明確的目標，才能支撐社區在關鍵基礎設施安全和韌性方面的發展方向和工作任務。建議規劃團隊負責人根據項目推動人確定的總體目標和社區其他計劃初步確定大小目標。

目標的制定應考慮各種規劃因素，包括關鍵基礎設施系統以及其他社區成果（如宜居性、可持續性、經濟、環境和公平）。

社區在經濟安全和韌性方面的目標也很重要，需要加以考慮。可持續性就業和高效的地方經濟生產力是支持地方政府和維持可持續基礎設施資源的基本要素。初始目標可以較為概括。在執行第2步識別關鍵基礎設施后，可以調整、細化這些目標。務必與項目推動人重新驗證更新后的目標。也可以在IRPF規劃過程后期進一步細化這些目標（例如，在第4步制定行動計劃時）。

當社區進行迭代規劃時，可能會獲得新的數據、事實和信息，此時可以相應地調整目標。參與者/利益相關者能夠根據IRPF的識別關鍵基礎設施和評估風險步驟中所做的發現和判斷來驗證和重新定義目標。

目標定義：

大目標（Goal）概述了期望的最終狀態，即社區通過實施關鍵基礎設施韌性方案來實現的目標。

小目標（Objective）具體量化了如何支持大目標的實現。

可用資源：

目標樣例

此列表模板例舉了一些目標，在進行基礎設施韌性討論時可加以參考。

具體資源，參見基礎設施韌性規劃資源。

三. 識別關鍵基礎設施

3.1 

識別基礎設施

在規劃過程中，務必識別對本社區或地區正常運作至關重要的基礎設施系統和資產，包括能源、水和廢水、通信和運輸等基本系統以及對社區安全、衛生和經濟活力至關重要的基礎設施。除這些部門外，NIST CRPG還識別了一些能促進社區繁榮的社會功能，包括：社區服務、經濟、教育、家庭、政府、衛生、媒體和宗教及文化信仰。

這其中的每一項功能都有自己的一套關鍵基礎設施系統，從醫院、養老院到學校、教堂，再到企業和社區中心。識別社區中的關鍵基礎設施系統時，應考慮哪些設施和系統支持這些社會功能。

識別基礎設施時需要考慮的其他因素：

· 計劃或預計支持社區未來發展的未來關鍵基礎設施系統和資產；

· 經過相關地理區域、為社區提供關鍵服務的外部基礎設施，如輸電線路和管道；

· 位于社區內、可能不會直接為社區提供服務、但對整個地區或國家至關重要的關鍵基礎設施資產、系統或網絡。

各規劃小組應考慮創建表格/矩陣列表，列出社區關鍵基礎設施，方便分類和分析。該基礎設施基線清單可作為輸入，用于識別社區基礎設施之間的依賴關系。此外，它還可用于：

· 描述現有基礎設施的特點；

· 支撐更全面的基礎設施識別工作；

· 開發地圖和其他可視化產品。

收集到的社區關鍵基礎設施系統和資產信息可以輸入到本地和地區地理空間平臺，實現可視化，方便進一步分析。

可用資源：

基礎設施資產矩陣：建議數據字段指南

本指南為數據庫/矩陣提供了建議數據字段及其說明，并指出了收集基礎設施資產信息時的主要考慮因素。

若所有建議的數據字段均填寫，未來社區在需要時可利用這些信息開展由聯邦支持的分析項目。當然，可以根據參與者/利益相關者和社區的信息收集需求修改數據字段。

用以識別基礎設施的數據集

本文件提供了不同類別的各種數據集（通信、能源、運輸、水、其他、危險）。

具體資源，參見 基礎設施韌性規劃資源。

3.1.1 

定義信息基礎設施

社區應了解自己對信息技術和通信系統的依賴，運行和監控關鍵基礎設施以及支持關鍵社會和經濟功能（如提供基本的公共服務和業務連續性）必須使用這些技術和系統。信息基礎設施對于電廠、水和廢水設施、醫院、電信系統、油氣精煉廠以及運輸網絡等關鍵基礎設施的運行和維護至關重要。由于物理基礎設施和信息基礎設施的互聯性，參與規劃過程的社區規劃者和利益相關者應了解支持和保障基礎設施系統持續運行的信息基礎設施資產、系統和網絡安全網絡。

信息基礎設施包括各種系統，均應加以考慮：

> 計算機系統；

> 用于監視和控制工廠或設備的控制系統，如數據采集與監控系統（SCADA）；

> 網絡，如互聯網；

> 網絡服務，如托管安全服務；

> 數據存儲和處理系統，包括大型機、云服務商、服務器群、數據中心；

> 處理、存儲和傳輸信息的軟硬件，或電子信息和通信系統中這些元素的任意組合；

> 電子信息和通信系統中的數據和信息。

涉及信息基礎設施時，規劃者務必考慮遠程服務商的存續時間、來源、維護和位置等因素，這樣才能確定社區韌性面臨的各種挑戰。

3.2 

確定基礎設施優先級

在編制了社區關鍵基礎設施列表后，規劃團隊負責人或指定的引導人應領導規劃小組確定所識別基礎設施資產的優先級。在確定關鍵基礎設施系統/資產的重要性和優先級時，建議規劃小組重點關注其對社區的影響。表5列舉了確定關鍵基礎設施優先級時需要考慮的關鍵影響。社區可以使用表中列出的所有關鍵考慮因素作為判斷標準，或者僅選擇最適合本社區的因素。此外，社區可以根據需要，修改這些關鍵因素或添加自己的標準。

表5.確定基礎設施系統/資產優先級的關鍵考慮因素

3.3 

發現基礎設施系統之間的依賴關系

《國家基礎設施保護計劃（NIPP）》稱，“有效的風險管理需要了解資產、系統和網絡的關鍵性以及關鍵基礎設施的相關依賴性，這對增強關鍵基礎設施的安全和韌性至關重要。”依賴性是指基礎設施系統內部和之間存在依賴關系，必須維護這些依賴關系才能保證系統正常運行或提供服務。 依賴性具有倍增效應，因為威脅或隱患會導致服務中斷（如停電），影響使用這些資源的其他關鍵基礎設施，進而影響依賴這些資源的其它關鍵基礎設施。單個節點或鏈路受到沖擊可能造成全市、全區或全國范圍內的重大經濟和物理損害。深入了解依賴性，特別是關鍵基礎設施系統的依賴性，可以促進風險評估活動，確定韌性建設中的新優先事項。

要識別基礎設施系統之間的依賴關系，參與者應考慮：

> 基礎設施資產運營所需或使用的資源和服務的主要和次要來源/提供者。例如，考慮基礎設施資產的能源依賴性時，社區應知道配電提供商是誰以及基礎設施資產的一、二次變電站所在位置。

> 發生破壞性事件時確保基礎設施資產持續運行的備份資源來源。例如，考慮基礎設施資產的能源和水依賴性時，社區應了解發生重大事件或供應鏈變化時需要使用的現場備用發電機和現場儲水能力。

> 中斷或性能下降對下游基礎設施資產和基本服務的影響。例如，停電后，泵將無法運行，網絡和信息系統也將無法監控運行，最終中斷水/廢水設施的運行。

表6列舉了關鍵基礎設施系統之間幾種常見的依賴關系。

表6.典型依賴關系示例

注意：

由于信息共享安全和責任問題，部分服務商（例如能源和通信）可能不愿意在群組中提供系統依賴性信息。

在依賴關系識別討論、訪談和工作表資源中提供了幾種識別重要依賴關系的方法，對此加以說明。

具體資源，參見基礎設施韌性規劃資源。

可用資源：

基礎設施依賴性基礎指南

該指南基于Web提供基礎的信息資源，用以了解關鍵基礎設施、識別依賴關系及其對社區風險的影響并將這些知識納入韌性規劃。

該指南的網上版本見https://www.cisa.gov/idp。

依賴關系識別表：

依賴關系識別表可用來記錄社區基礎設施對其他已識別關鍵基礎設施的依賴性。

依賴關系識別表列舉了有關基礎設施資產依賴性的一系列問題，重點是能源（包括電力和天然氣）、通信服務、關鍵運輸系統的可達性以及水和廢水。

依賴關系識別表中的考慮因素還包括網絡（如數據處理系統和服務）和功能/運行所需的關鍵產品，如化工產品、燃料、原材料以及副產品和廢物的去除。

具體資源，參見基礎設施韌性規劃資源。

社區系統依賴性討論指南：

本指南可用于規劃團隊、其他參與者或利益相關者群體的依賴性討論。

它列舉了一系列可進行討論的問題，以發現關鍵社區功能和/或設施對基礎設施系統的依賴性。

具體資源，參見基礎設施韌性規劃資源。

可用資源：

系統所有者/運營者依賴性訪談指南

本指南列舉了一系列問題，可用于對關鍵基礎設施系統的所有者和/或運營者進行單獨訪談。這些問題旨在幫助識別和了解系統的依賴性和在中斷期間提供服務的能力。

具體資源，參見基礎設施韌性規劃資源。

會議便利化指南：

本指南為召集規劃會議提供指導，參會者可以此為參考識別社區功能、設施、基礎設施系統以及對社區韌性最為關鍵的相互依賴性。

具體資源，參見基礎設施韌性規劃資源。

發布機構：美國網絡安全和基礎設施安全局（CISA）

發布時間：2022年11月22日

免責聲明：該文章原文版權歸原作者所有。文章內容僅代表原作者個人觀點。本譯文僅以分享先進網絡安全理念為目的，為業內人士提供參考，促進思考與交流，不作任何商用。如有侵權事宜溝通，請聯系littlebee@nsfocus.com郵箱。