L'Infrastruttura Critica delle Informazioni si riferisce a sistemi regolamentati la cui interruzione influenzerebbe seriamente servizi essenziali come elettricità, acqua, trasporti, comunicazioni, servizi bancari o operazioni governative. Nel regime di cybersicurezza di Singapore, i titolari di CII sono soggetti a specifici obblighi legali e tecnici perché i guasti in questi sistemi possono rapidamente trasformarsi in problemi di sicurezza pubblica, economici o di sicurezza nazionale.
La CII è importante perché gli aggressori spesso la prendono di mira per ottenere il massimo impatto, utilizzando ransomware, phishing, compromissione della supply chain o lo sfruttamento di servizi remoti esposti per raggiungere la tecnologia operativa e le reti di supporto. I difensori rispondono con controlli di accesso più rigorosi, segmentazione, registrazione dei log, gestione delle patch, test della risposta agli incidenti e conformità al Codice di Pratica per la Cybersicurezza. In pratica, la CII è il punto in cui la cybersicurezza diventa operativa: le organizzazioni devono non solo prevenire le intrusioni, ma anche dimostrare di poter rilevare, contenere e ripristinare gli attacchi senza interrompere i servizi essenziali.