2019年5月13日，國家市場監(jiān)督管理總局、國家標(biāo)準(zhǔn)化管理委員會(huì)召開新聞發(fā)布會(huì)，正式發(fā)布了等保2.0相關(guān)的《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》、《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測評(píng)要求》、《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》等國家標(biāo)準(zhǔn)。
2019年12月1日，等級(jí)保護(hù)2.0正式實(shí)施。
什么是等保？
網(wǎng)絡(luò)安全等級(jí)保護(hù)制度是我國網(wǎng)絡(luò)安全領(lǐng)域的基本國策、基本制度，等級(jí)保護(hù)標(biāo)準(zhǔn)在1.0時(shí)代標(biāo)準(zhǔn)的基礎(chǔ)上，注重主動(dòng)防御，從被動(dòng)防御到事前、事中、事后全流程的安全可信、動(dòng)態(tài)感知和全面審計(jì)，實(shí)現(xiàn)了對(duì)傳統(tǒng)信息系統(tǒng)、基礎(chǔ)信息網(wǎng)絡(luò)、云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)和工業(yè)控制信息系統(tǒng)等級(jí)保護(hù)對(duì)象的全覆蓋。
等保2.0有哪些變化？
近年來，隨著信息技術(shù)的發(fā)展和網(wǎng)絡(luò)安全形勢(shì)的變化，等保1.0要求已無法有效應(yīng)對(duì)新的安全風(fēng)險(xiǎn)和新技術(shù)應(yīng)用所帶來的新威脅，等保1.0被動(dòng)防御為主的防御無法滿足當(dāng)前發(fā)展要求，因此急需建立一套主動(dòng)防御體系。等保2.0適時(shí)而出，從法律法規(guī)、標(biāo)準(zhǔn)要求、安全體系、實(shí)施環(huán)節(jié)等方面都有了變化。
1、標(biāo)準(zhǔn)依據(jù)的變化
從條例法規(guī)提升到法律層面。等保1.0的最高國家政策是國務(wù)院147號(hào)令，而等保2.0標(biāo)準(zhǔn)的最高國家政策是網(wǎng)絡(luò)安全法，其中《中華人民共和國網(wǎng)絡(luò)安全法》第二十一條要求，國家實(shí)施網(wǎng)絡(luò)安全等級(jí)保護(hù)制度;第二十五條要求，網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案;第三十一條則要求，關(guān)鍵基礎(chǔ)設(shè)施，在網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù);第五十九條規(guī)定的網(wǎng)絡(luò)安全保護(hù)義務(wù)的，由有關(guān)主管部門給予處罰。因此不開展等級(jí)保護(hù)等于違法。
2、標(biāo)準(zhǔn)要求變化
等級(jí)2.0在1.0基本上進(jìn)行了優(yōu)化，同時(shí)對(duì)云計(jì)算、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)、工業(yè)控制、大數(shù)據(jù)新技術(shù)提出了新的安全擴(kuò)展要求。在使用新技術(shù)的信息系統(tǒng)需要同時(shí)滿足“通用要求+擴(kuò)展要求”。且針對(duì)新的安全形勢(shì)提出了新的安全要求，標(biāo)準(zhǔn)覆蓋度更加全面，安全防護(hù)能力有很大提升。
通用要求方面，等保2.0標(biāo)準(zhǔn)的核心是優(yōu)化。刪除了過時(shí)的測評(píng)項(xiàng)，對(duì)測評(píng)項(xiàng)進(jìn)行合理改寫，新增對(duì)新型網(wǎng)絡(luò)攻擊行為防護(hù)和個(gè)人信息保護(hù)等新要求，調(diào)整了標(biāo)準(zhǔn)結(jié)構(gòu)、將安全管理中心從管理層面提升至技術(shù)層面。
擴(kuò)展要求擴(kuò)展了云計(jì)算、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)、工業(yè)控制、大數(shù)據(jù)。
3、安全體系變化
等保2.0相關(guān)標(biāo)準(zhǔn)依然采用“一個(gè)中心、三重防護(hù)”的理念，從等保1.0被動(dòng)防御的安全體系向事前防御、事中相應(yīng)、事后審計(jì)的動(dòng)態(tài)保障體系轉(zhuǎn)變。建立安全技術(shù)體系和安全管理體系，構(gòu)建具備相應(yīng)等級(jí)安全保護(hù)能力的網(wǎng)絡(luò)安全綜合防御體系，開展組織管理、機(jī)制建設(shè)、安全規(guī)劃、通報(bào)預(yù)警、應(yīng)急處置、態(tài)勢(shì)感知、能力建設(shè)、監(jiān)督檢查、技術(shù)檢測、隊(duì)伍建設(shè)、教育培訓(xùn)和經(jīng)費(fèi)保障等工作。
4、等級(jí)規(guī)定動(dòng)作
保護(hù)定級(jí)、備案、建設(shè)整改、等級(jí)測評(píng)、監(jiān)督檢查的實(shí)施過程中，等保2.0進(jìn)行了優(yōu)化和調(diào)整。
(1)定級(jí)對(duì)象的變化。
等保1.0定級(jí)的對(duì)象是信息系統(tǒng)，等保2.0的定級(jí)對(duì)象擴(kuò)展至基礎(chǔ)信息網(wǎng)絡(luò)、工業(yè)控制系統(tǒng)、云計(jì)算平臺(tái)、物聯(lián)網(wǎng)、使用移動(dòng)互聯(lián)技術(shù)的網(wǎng)絡(luò)、其他網(wǎng)絡(luò)以及大數(shù)據(jù)等多個(gè)系統(tǒng)平臺(tái)，覆蓋面更廣。
(2)定級(jí)級(jí)別的變化。
公民、法人和其他組織的合法權(quán)益產(chǎn)生特別嚴(yán)重?fù)p害時(shí)，相應(yīng)系統(tǒng)的等級(jí)保護(hù)級(jí)別從1.0的第二級(jí)調(diào)整到了第三級(jí)(根據(jù)GA/T1389)。
(3)定級(jí)流程的變化。
等保2.0標(biāo)準(zhǔn)不再自主定級(jí)，二級(jí)及以上系統(tǒng)定級(jí)必須經(jīng)過專家評(píng)審和主管部門審核，才能到公安機(jī)關(guān)備案，整體定級(jí)更加嚴(yán)格。
(4)測評(píng)合格要求提高
相較于等保1.0，等保2.0測評(píng)達(dá)的標(biāo)準(zhǔn)發(fā)生了變化，2.0中測評(píng)結(jié)論分為：優(yōu)(90分及以上)、良(80分及以上)、中(70分及以上)、差(低于70分)，70分以上才算基本符合要求，基本分調(diào)高了，測評(píng)要求更加嚴(yán)格。
等保2.0的實(shí)施對(duì)企業(yè)有什么影響？
根據(jù)誰主管誰負(fù)責(zé)、誰運(yùn)營誰負(fù)責(zé)、誰使用誰負(fù)責(zé)的原則，網(wǎng)絡(luò)運(yùn)營者成為等級(jí)保護(hù)的責(zé)任主體，如何快速高效地通過等級(jí)保護(hù)測評(píng)成為企業(yè)開展業(yè)務(wù)前必須思考的問題。
等保2.0有5個(gè)運(yùn)行步驟：定級(jí)、備案、建設(shè)和整改、等級(jí)測評(píng)、檢查。同時(shí)，也分5個(gè)等級(jí)，即信息系統(tǒng)按重要程度由低到高分為5個(gè)等級(jí)，并分別實(shí)施不同的保護(hù)策略。
自2017年6月1日《網(wǎng)絡(luò)安全法》正式實(shí)施以來，全國各地已發(fā)生上百起因違反其中等級(jí)保護(hù)相關(guān)條令而受到執(zhí)法機(jī)關(guān)行政處罰的案件。網(wǎng)絡(luò)運(yùn)營者必須按照等級(jí)保護(hù)制度要求開展定級(jí)備案、等級(jí)測評(píng)、安全建設(shè)、安全檢查等工作，必須嚴(yán)格對(duì)照自身屬性和等級(jí)分類，積極開展網(wǎng)絡(luò)安全等級(jí)保護(hù)工作，增強(qiáng)網(wǎng)絡(luò)安全防護(hù)能力，切實(shí)保障網(wǎng)絡(luò)運(yùn)行安全。
知道創(chuàng)宇以等保合規(guī)為基礎(chǔ)，聯(lián)合各地測評(píng)機(jī)構(gòu)，幫助企業(yè)級(jí)用戶從整體網(wǎng)絡(luò)安全的角度進(jìn)行合理規(guī)劃與建設(shè)，構(gòu)建合法合規(guī)、符合實(shí)際需求的安全保障體系，而不僅僅是安全產(chǎn)品的堆砌，保護(hù)企業(yè)核心資產(chǎn)安全的同時(shí)幫助用戶順利通過等級(jí)測評(píng)。
在等保實(shí)施過程中，知道創(chuàng)宇將輔助用戶進(jìn)行定級(jí)，協(xié)助向公安機(jī)關(guān)備案;分析已定級(jí)的信息系統(tǒng)所采取的安全保護(hù)措施與等級(jí)保護(hù)標(biāo)準(zhǔn)要求之間的差距，提出整改建議;依據(jù)差距分析結(jié)果，對(duì)信息系統(tǒng)進(jìn)行安全建設(shè)和整改;選擇合適的測評(píng)機(jī)構(gòu)，現(xiàn)場協(xié)助用戶對(duì)定級(jí)系統(tǒng)進(jìn)行等級(jí)測評(píng)。全程協(xié)助用戶完成從定級(jí)備案到整改加固到等級(jí)測評(píng)的全部流程，幫助企業(yè)節(jié)約時(shí)間成本、人力成本和安全資源，讓企業(yè)更加專注于自身業(yè)務(wù)。
部分相關(guān)安全產(chǎn)品：
·創(chuàng)宇盾(應(yīng)用安全合規(guī))
Web業(yè)務(wù)系統(tǒng)入侵防御服務(wù)。軍工級(jí)Web業(yè)務(wù)系統(tǒng)防護(hù)服務(wù)，提供網(wǎng)頁防篡改、防拖庫竊密、防掛馬等安全服務(wù)。
·數(shù)據(jù)庫審計(jì)(審計(jì)合規(guī))
產(chǎn)品提供數(shù)據(jù)庫實(shí)時(shí)攻擊檢測、監(jiān)控和審計(jì)等功能，提升數(shù)據(jù)庫和業(yè)務(wù)系統(tǒng)的整體安全水平。
·終端管控(主機(jī)安全合規(guī))
集成私有云安全系統(tǒng)，既存在云殺毒和修補(bǔ)漏洞的優(yōu)勢(shì)，又通過私有化防止用戶數(shù)據(jù)泄露。
·滲透測試(應(yīng)用安全合規(guī))
模擬黑客攻擊，對(duì)業(yè)務(wù)系統(tǒng)進(jìn)行安全性測試，及時(shí)發(fā)現(xiàn)可導(dǎo)致企業(yè)數(shù)據(jù)泄露、被篡改等漏洞，并協(xié)助客戶修復(fù)。
申請(qǐng)創(chuàng)業(yè)報(bào)道，分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！
