目前对等保2.0的理解

前言网络安全等级保护简称等保是我国网络安全领域的基础性法定制度《网络安全法》明确要求关键信息基础设施以外的网络运营者应当按照等级保护制度要求履行安全保护义务。我们常说的等保 2.0是 2019 年正式实施的新标准替代旧版等保 1.0覆盖云计算、物联网、工业控制、大数据、移动互联网等新型场景。什么是网络安全等级保护等级保护的定义网络安全等级保护制度简称“等保”是我国网络安全领域的基本制度要求对信息系统和数据按重要程度进行分级保护并落实相应的技术和管理安全措施。根据信息、信息系统在国家安全、经济建设、社会生活中的重要程度;遭受破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度;将信息系统划分为不同的安全保护等级并对其实施不同的保护和监管。安全保护等级的划分1.第一级为自主保护级适用于一般的信息和信息系统,其受到皮坏后,会对公民、法人和其他组织的权益有一定影响,但不危害国家安全、社会秩序、经济建设和公共利益2.第二级为指导保护级适用于一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息和信息系统,其受到破坏后,会对国家安全、社会秩序、经济建设和公共利益造成一定损害。3.第三级为监督保护级(最常见)适用于涉及国家安全、社会秩序、经济建设和公共利益的信息和信息系统,其受到破坏后,会对国家安全、社会秩序、经济建设和公共和利益造成较大损害4.第四级为强制保护级适用于涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统其受到破坏后,会对国家安全、社会秩序、经济建设和公共利益造成严重损害。5.第五级为专控保护级适用于涉及国家安全、社会秩序、经济建设和公共利益的重要信息和信息系统的核心子系统,其受到破坏后,会对国家安全、社会秩序、经济建设和公共利益造成特别严重损害。等保1.0和等保2.0的区别1. 保护对象的变化不再局限于传统信息系统而是将基础信息网络、云计算平台/系统、大数据应用与平台、物联网系统、工业控制系统、移动互联系统等全部纳入等级保护范围 。2.名称的变化原来:《信息系统安全等级保护基本要求》改为:《信息安全等级保护基本要求》再改为:(与《网络安全法》保持一致)《网络安全等级保护基本要求》3.安全要求的变化原来:安全要求改为:安全通用要求和安全扩展要求安全通用要求是不管等级保护对象形态如何必须满足的要求,针对于计算、移动互联、物联网和工业控制系统提出了特殊要求,称为安全扩展要求。通用要求所有等级保护对象都必须满足的基础要求扩展要求针对云计算、移动互联、物联网、工业控制四类场景的专项补充要求按需选用解决了不同技术场景“一套标准不通用”的问题4.等保测评的变化等保测评的定义全称“网络安全等级保护测评”是国家网络安全等级保护制度的重要组成部分。它要求测评机构依据国家标准对信息系统的安全技术和安全管理措施进行全面检测判断其是否达到相应等级一至五级的安全要求。变化《信息安全等级保护管理办法》(等保1.0)第三级:每年一次第四级:每半年一次第五级:依据特殊安全需求《网络安全等级保护条例(征求意见稿)》(等保2.0)第三级以上网络的运营者每年开展一次新建二级系统上线前按照相关标准进行安全性测试。新建三级以上系统上线前优先进行等保测评,通过等级测评后方可投入运行等级保护5个核心环节1. 定级评估信息系统的重要程度判定如果系统遭到破坏会造成多大危害划分15级安全等级。2. 备案二级及以上系统将定级材料提交公安网安部门登记备案完成官方登记。3. 建设整改对照对应等级的安全标准补齐技术防护防火墙、备份等和管理制度。4. 等级测评委托具备资质的第三方机构检查系统是否达标出具测评报告。5. 监督检查公安等主管部门不定期抽查督促系统持续满足安全要求。测评覆盖六大安全领域1.物理环境安全机房、门禁、消防、供电等2.通信网络安全网络架构、传输加密、边界路由等3.区域边界安全防火墙、访问控制、入侵防御4.计算环境安全服务器、操作系统、数据库、终端安全5.安全管理中心日志审计、集中监控、安全运维6.安全管理制度与人员管理制度文档、人员权限、培训、应急演练定级流程总体来说等保2.0是我国网络安全的“准入门槛”也是各类信息系统的安全建设指南。它既保障了国家网络空间安全也为企业和机构提供了一套可落地、标准化的安全建设方法论。