|
等保2.0正式公开发布 5个问题详细解答 搜狐网 05-14 13:51 5月13日，国家市场监督管理总局、国家标准化管理委员会召开新闻发布会，通报国家标准制定流程改革的有关情况，同时发布了一批重要国家标准。 在网络安全领域，等保2.0相关的《信息安全技术 网络安全等级保护基本要求》、《信息安全技术 网络安全等级保护测评要求》、《信息安全技术 网络安全等级保护安全设计技术要求》等国家标准昨日正式发布，2019年12月1日开始实施。此系列标准可有效指导网络运营者、网络安全企业、网络安全服务机构开展网络安全等级保护安全技术方案的设计和实施，指导测评机构更加规范化和标准化地开展等级测评工作，进而全面提升网络运营者的网络安全防护能力，保障网络的稳定运行。  下面小编就带您了解一下何为等保2.0。 一、等级保护是什么 网络安全等级保护是国家信息安全保障的基本制度、基本策略、基本方法。网络安全等级保护工作是对信息和信息载体按照重要性等级分级别进行保护的一种工作。信息系统运营、使用单位应当选择符合国家要求的测评机构，依据《信息安全技术网络安全等级保护基本要求》等技术标准，定期对信息系统开展测评工作。 二、为什么要做等级保护 （一）法律规章要求 《网络安全法》明确规定信息系统运营、使用单位应当按照网络安全等级保护制度要求，履行安全保护义务，如果拒不履行，将会受到相应处罚。 第二十一条规定：  第三十八条规定：  第五十九条规定：  （二）行业要求 在金融、电力、广电、医疗、教育等行业，主管单位明确要求从业机构的信息系统要开展等级保护工作。 （三）企业系统安全的需求 信息系统运营、使用单位通过开展等级保护工作可以发现系统内部的安全隐患与不足之处，可通过安全整改提升系统的安全防护能力，降低被攻击的风险。 三、等级保护涉及范围 （一）省辖市以上党政机关的重要网站和办公信息系统； （二）电信、广电行业的公用通信网、广播电规传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统； （三）铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。 四、等级保护发展历程 1994年，《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”，等级保护制度正式被提出。 2016年10月，公安部网络安全保卫局对原有国家标准《信息安全技术信息系统安全等级保护基本要求（GB/T 22239-2008）》等系列标准进行修订。2017年6月，《网络安全法》正式出台，信息安全等级保护过渡到网络安全等级保护，法规明确要求国家实施等保制度。2019年5月，随着《信息安全技术网络安全等级保护基本要求（GB/T 22239-2019）》《信息安全技术网络安全等级保护测评要求（GB/T 28448-2019）》等标准的正式发布，标志着等保2.0全面启动。  五、关于等保2.0的部分新变化 （一）结构的变化 将安全管理中心从管理层面提升至技术层面。  （二）要求项数量的变化  等保2.0第三级安全要求结构：  （三）覆盖范围的变化 等保2.0标准在1.0标准的基础上，实现了对传统信息系统、基础信息网络、云计算、大数据、物联网、移动互联和工业控制信息系统等保护对象的全覆盖。 对于使用新技术的信息系统需要同时满足“通用要求+安全扩展”的要求。 （四）防护理念的变化 通用要求方面，等保2.0标准的核心是“优化”。删除了过时的测评项，对测评项进行合理性改写，新增对新型网络攻击行为防护和个人信息保护等新要求。等保2.0标准依然采用“一个中心、三重防护” 的理念，从等保1.0标准被动防御的安全体系向事前预防、事中响应、事后审计的动态保障体系转变，注重全方位主动防御、安全可信、动态感知和全面审计。 （五）定级流程的变化 等保2.0标准不再自主定级，而是通过“确定定级对象——>初步确定等级——>专家评审——>主管部门审核——>公安机关备案审查——>最终确定等级”这种线性的定级流程，系统定级必须经过专家评审和主管部门审核，才能到公安机关备案，整体定级更加严格，将促进定级过程更加规范，系统定级更加合理。 （六）测评周期的变化 相较于等保1.0，等保2.0标准测评周期、测评结果评定有所调整。等保2.0标准要求，第三级以上的系统每年开展一次测评，修改了原先1.0时期要求四级系统每半年进行一次等保测评的要求。 （七）测评结果的变化 等保2.0里，测评达到75分以上才算基本符合。基本分高了，要求变得更高，过等保相对以往一是没那么容易了，另一点也需要投入更多。 （八）集中管控的变化 安全管理中心中对集中管控做出了明确要求，未来统一的集中管理平台将成为刚需。集中管控具体要求如下： 1、 应划分出特定的管理区域，对分布在网络中的安全设备或安全组件进行管控； 2、 应能够建立一条安全的信息传输路径，对网络中的安全设备或安全组件进行管理 3、 应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测； 4、应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求； 5、 应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理； 6、 应能对网络中发生的各类安全事件进行识别、报警和分析； （九）新技术要求的变化 对于等保2.0中可信计算及密码技术的应用提出了明确要求，这将很大促进可信计算及密码技术的推广及应用。 【版权提示】葫芦娃安全尊重与保护知识产权。若发现平台文章存在版权问题，请及时与我们联系并处理。 |
|
|
