3．研发项目开发计划：任务及其相关关系
研发项目开发计划是依据可以近期开始执行的一组任务制定出来的。图9-1（原文中遗漏此图——译者注）所示便是这些任务、结果和提供给其他任务的前馈信息，以及结果与任务之间的相关关系。本章将对每项任务及其关系加以说明，而以后各章将对其中的部分任务做详细论述并阐明它们的基本原理。本篇项目开发计划如果能够在关键基础设施业界（其中包括但不仅限于关键基础设施运营者、合作组织以及其他伙伴组织和协会）得以实施，将会带来以下结果：一个关键基础设施信息安全研发项目、针对现存关键基础设施网络脆弱性的近期矫正措施指南、朝着关键基础设施信息安全准则和最佳实践措施方向发展的实质性进步。
信息安全技术研究
图9-1中从左上方朝向右上方的流程即是从当前活动朝着研发工作取得成功，并为关键基础设施保护开发出极具实用价值的信息安全技术的方向发展的流程。如前文所述，这个活动流程目前还面临着很大的困难，这不仅因为我们对关键基础设施信息技术的脆弱性不甚了解，还因为我们对本应由信息安全技术研发工作满足的信息安全需要还远没有得到认识。但是即便如此，我们依然能够确定某些方面的研发工作，这些项目既是关键基础设施保护的需要，而且也是目前还没有有效开展（或者说没有为CIP而开展）的工作。
图9-1中的绿色框“已知的研发差距”表示了已知研发需求的诸多方面。在此有两条活动途径。第一条是根据当前对关键基础设施保护需求、技术差距和研究差距的了解来定义研发目标。本文第4章对有助于填补关键基础设施保护领域当前存在的技术差距的多方面研发工作进行了说明。活动的第二条途径与第一条大体相同，不同之处在于它所依据的是目前对关键基础设施信息安全需要的零星了解的比较，其中尤以控制系统的保护为重。合作组织即将开展的一项工作，是召集各方专家列举关键基础设施计算与标准企业计算中现行安全技术之间不相吻合的情况。
如图9-1中右上方的蓝色框所示，这两条途径都可以得到有关“近期新研发目标”的信息。
这些新近注入关键基础设施保护信息安全研发项目的研发目标，可以帮助我们为关键基础设施保护开发出全新的信息安全技术；如图9-1所示，右上方的橙色框与图中所有其他橙色框一样，代表的是关键基础设施保护研发工作所取得的经得起论证的成果。新信息安全技术同时也是第二类研发工作的结果。这些研发工作旨在解决必须得到明确定义的课题，用以具体弥补信息安全技术方面的差距（图9-1中用蓝色表示的“面向CIP研发差距的CIP研发目标”，以表明这一类R&D工作）。
关键基础设施的运行研究
旨在弥补关键基础设施保护差距的研发目标应该是下述过程的结果：该过程始于对关键基础设施信息技术的脆弱性进行的运行研究（见图9-1中左上方的顶部黄色框）。正如本文第5章详细描述的那样，关键基础设施的运行研究共分三类。第一类研究是针对信息技术运行和关键基础设施运营者的潜在安全脆弱性进行的，其中包括（但不仅限于）控制系统和运营者进行的常规企业计算。第二类研究着重针对关键基础设施运营者之间在信息技术方面的互依赖性以及脆弱性和与连锁攻击相关的对抗手段。第三类研究注重关键基础设施运营者之间在非信息技术和运营方面的互依赖性以及脆弱性和与连锁攻击相关的对抗手段。
所有这三类运行研究都可以为针对关键基础设施保护的研发目标提供前馈信息。无论是IT/InfoSec还是InfoSec/互依赖性的运行研究，都能提供有关明显表现在现行信息安全技术和处理方法中的某些脆弱性的信息，以及有关现行信息安全技术无力解决的某些脆弱性的信息。尚未得到重视的脆弱性前馈信息，将给定义信息安全技术差距的任务打下一个基于关键基础设施信息技术现状“事实”的基础，同时还能帮助这些任务进一步搞清由关键基础设施运营者越来越多使用信息技术而带来的需要。定义这些差距，其实也就是为旨在弥补这些差距而进行的信息安全研发工作定义目标（见图9-1中右上方正数第二个蓝色框）。与近期研发工作的结果一样，这些在技术上付出的努力会为关键基础设施保护带来新的信息安全技术。
脆弱性信息将为关键基础设施IT运行的改进产生立竿见影的结果（见图9-1左中部的橙色框）。
脆弱性信息还将为定义现行信息安全技术处理方法和政策差距的任务提供第二类前馈信息。定义这些差距，其实也就是在定义一系列研发工作的目标：定义信息安全处理方法和政策，用以提高关键基础设施运营者运用现有信息安全技术的能力。这种工作的结果为关键基础设施运营者以及相关具体部门在信息安全方面提供了指南。如图9-1右下部分所示，这些指南由三种结果构成：有关如何运用现有信息安全技术满足关键基础设施需要的指南、有关用于管理信息安全技术和相关安全问题（如信息技术资产的物理和流程安全问题）的合理的处理方法和政策的指南、有关以前后一致且可重复的方式通过比较结果而进行关键基础设施IT安全评估的指南。
对关键基础设施运营者之间的运行性互依赖性而进行的第三类运行研究，可产生双重结果。第一种结果，是用以指导近期矫正措施（见图9-1左中部的橙色结果框），进而缩小连锁性攻击影响范围。第二种结果是实现面向CIP技术研发的目标，为关键基础设施的互依赖性建模，并为业务连续性计划提供帮助。这种研发工作的结果，将包括关键基础设施业务连续性计划指南（图9-1右下部所示第四类关键基础设施/部门指南）以及用来定义业务连续性计划需求并制定这些计划的指南。