To, co kwalifikuje się jako infrastruktura krytyczna, zależy od jurysdykcji, sektora, funkcji i formalnego oznaczenia.
Ochrona musi adresować celowe ataki, wypadki, awarie sprzętu, zagrożenia naturalne i zależności między energetyką, łącznością, wodą, transportem, usługami cyfrowymi, łańcuchami dostaw i innymi funkcjami niezbędnymi. Priorytety powinny wynikać z konsekwencji dla usług, a nie tylko liczby zasobów czy kosztu wymiany.
Najważniejsze punkty
Zrozum funkcje niezbędneZidentyfikuj usługi, minimalny poziom dostarczania, krytyczne zasoby i ludzi, zależności, pojedyncze punkty awarii, koncentrację geograficzną i konsekwencje dla społeczności oraz innych sektorów.
Redukuj wiele zagrożeńŁącz bariery fizyczne, kontrolę dostępu, bezpieczną inżynierię, monitorowanie, utrzymanie, kontrole dostawców, przygotowanie kadry, procedury awaryjne i modernizacje oparte na ryzyku.
Buduj reakcję i odpornośćUstanawiaj koordynację, komunikacje, operacje alternatywne, testowane priorytety odtwarzania, wzajemną pomoc, ćwiczenia i autorytet decyzyjny zachowujący bezpieczeństwo podczas zakłócenia.
Istotne ograniczenieEtykieta sektora, oznaczenie regulacyjne ani lista kontrolna nie dowodzi ochrony ani odporności. Wymagania różnią się między jurysdykcjami, a zabezpieczenie jednego zasobu może przesunąć ryzyko lub stworzyć konsekwencje bezpieczeństwa gdzie indziej.