什么是等保
等级保护是我们国家的基本网络安全制度、基本国策，也是一套完整和完善的网络安全管理体系。遵循等级保护相关标准开始安全建设是目前企事业单位的普遍要求，也是国家关键信息基础措施保护的基本要求。
网络安全等级保护20具有哪些特点
①等级保护的基本要求、测评要求和安全设计技术要求框架统计，即：安全管理中心支持下的三重防护结构框架;
②通用安全要求+新型应用安全扩展要求，将云计算、移动互联、物联网、工业控制系统等列入标准规范;
③将可信验证列入各级别和各环节的主要功能要求。
等保20和等保10有什么区别
第一：名称变化
《信息系统安全等级保护基本要求》改为：《网络安全等级保护基本要求》，与《网络安全法》保持一致。
第二：定级对象变化
等保10的定级对象是信息系统，现在20更为广泛，包括：信息系统、基础信息网络、云计算平台、大数据平台、物联网系统、工业控制系统、采用移动互联技术的网络等。
第三：安全要求变化
等保20由一个单独的基本要求演变为通用安全要求+新技术安全扩展要求，其中安全通用要求是不管等级保护对象形态如何都必须满足的要求，针对云计算、移动互联、物联网和工业控制系统提出了特殊要求，称为安全扩展要求。
①云计算安全扩展要求包括基础设施的位置、虚拟化安全保护、镜像和快照保护、云服务商选择和云计算环境管理等方面。
②移动互联安全扩展要求包括无线接入点的地理位置、移动终端管控、移动应用管控、移动应用软件采购和移动应用软件开发等方面。
③物联网安全扩展要求包括感知节点的物理保护、感知节点设备安全、感知网关节点设备安全、感知节点的管理和数据融合处理等方面。
④工业控制系统安全扩展要求包括室外控制设备防护、工业控制系统网络架构安全、拨号使用控制、无线使用控制和控制设备安全等方面。
第四：控制措施分类结构变化
等保20依然保留技术和管理两个维度。
技术：由物理安全、网络安全、主机安全、应用安全、数据安全，变更为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心;
管理：结构上没有太大的变化，从安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理，调整为安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。
第五：工作内容变化
等保20不仅进一步明确定级、备案、安全建设、等级测评、监督检查等10时代的规定动作，最主要的是把安全检测、通报预警、案事件调查等措施都将全部纳入等级保护制度并加以实施。
随着云计算、移动互联、大数据、物联网、人工智能等新技术不断涌现，计算机信息系统的概念已经不能涵盖全部，特别是互联网快速发展带来大数据价值的凸显。云计算、大数据、工业控制系统、物联网、移动互联等新技术的不断拓展已经成为产业结构升级的坚实基础，而其中网络和信息系统作为新兴产业的承载者，构建起了整个经济 社会 的神经中枢，保证其安全性不言而喻。
由于业务目标的不同、使用技术的不同、应用场景的不同等因素，不同的等级保护对象会以不同的形态出现，表现形式有 基础信息网络、信息系统、云计算平台、大数据平台、物联网系统、工业控制系统 等。形态不同的保护对象面临的威胁有所不同，安全保护需求也会有所差异。现有的标准体系需要提升台阶，去适应新技术的发展，等级保护的相关标准也需要跟上新技术的变化。 “等保10”的标准体系在适用性、时效性、易用性、可 *** 作性上需要进一步扩充和完善，因此“等保20“应运而生。
图注：等级保护20安全框架
针对等级保护对象特点建立安全技术体系和安全管理体系，构建具备相应等级安全保护能力的网络安全综合防御体系。应依据国家网络安全等级保护政策和标准，开展组织管理、机制建设、安全规划、通报预警、应急处置、态势感知、能力建设、监督检查、技术检测、队伍建设、教育培训和经费保障等工作。
首先安全的内涵由早期面向数据的信息安全，过度到面向信息系统的信息保障（信息系统安全），并进一步演进为面向网络空间的网络安全。网络安全（cybersecurity）以其更丰富的内涵逐步取待信息安全成为安全领域共识，《中华人民共和国网络安全法》明确规定“国家实行网络安全等级保护制度“，相关法律条文和标准也需保持一致性， “等保20“与时俱进的将原标准的”信息系统安全等级保护“改为”网络安全等级保护“ ，例如《信息系统安全等级保护基本要求》改为《网络安全等级保护基本要求》。
等保20对定级指南、基本要求、实施指南、测评过程指南、测评要求、设计技术要求等标准进行修订和完善， 以满足新形势下等级保护工作的需要，其中《信息安全技术 网络安全等级保护测评要求》、《信息安全技术 网络安全安全等级保护基本要求》、《信息安全技术 网络安全等级保护安全设计要求》已于2019年5月10日发布，并将在2019年12月1日实施。
在开展网络安全等级保护工作中应首先明确等级保护对象。
等保10定义等级保护对象为： 信息安全等级保护工作直接作用的具体信息和信息系统。随着云计算平台、物联网、工业控制系统等新形态的等级保护对象不断涌现，原定义内涵局限性日益显现。
等保20定义等级保护对象为： 包括基础信息网络、云计算平台/系统、大数据应用/平台/资源、物联网、工业控制系统和采用移动互联技术的系统等。
（以基本要求为例）
等保10：安全要求
等保20：安全通用要求和安全扩展要求
注：等保20安全通用要求是普适性要求，是不管等级保护对象形态如何，必须满足的要求；针对云计算、移动互联、物联网和工业控制系统，除了满足安全通用要求外，还需满足的补充要求称为安全扩展要求。
云计算安全扩展要求针对云计算的特点提出特殊保护要求。云计算环境主要增加的内容包括“基础设施的位置”、“虚拟化安全保护”、“镜像和快照保护”、“云服务商选择”和“云计算环境管理”等方面。
针对移动互联环境主要增加的内容包括“无线接入点的物理位置”、“移动终端管控”、“移动应用管控”、“移动应用软件采购”和“移动应用软件开发”等方面。
物联网安全扩展要求针对物联网的特点提出特殊保护要求。对物联网环境主要增加的内容包括“感知节点的物理防护”、“感知节点设备安全”、“感知网关节点设备安全”、“感知节点的管理”和“数据融合处理”等方面。
工业控制系统安全扩展要求针对工业控制系统的特点提出特殊保护要求。对工业控制系统主要增加的内容包括“室外控制设备防护”、“工业控制系统网络架构安全”、“拨号使用控制”、“无线使用控制”和“控制设备安全”等方面。
以基本要求为例，充分体现一个中心，三重防御的思想（和GB/T 25070保持一致，与设计要求融合）。
1、等级保护的基本要求、测评要求和设计技术要求统一框架，构建“一个中心，三重防护“的安全体系；
2、通用安全要求+新型应用安全扩展要求，将云计算、移动互联、物联网、工业控制系统等列入了标准规范。
基于这些变化，进入等保20时代，我们应重点对云计算、移动互联、物联网、工业控制以及大数据安全等进行全面安全防护，确保关键信息基础设施安全。
为什么要做网络安全等级保护
网络安全等级保护技术20版本（简称等保20）正式公开发布，等保20覆盖工业控制系统、云计算、大数据、物联网等新技术新应用，为落实信息系统安全工作提供了方向和依据。
一、等级保护是什么
网络安全等级保护是国家信息安全保障的基本制度、基本策略、基本方法。网络安全等级保护工作是对信息和信息载体按照重要性等级分级别进行保护的一种工作。信息系统运营、使用单位应当选择符合国家要求的测评机构，依据《信息安全技术网络安全等级保护基本要求》等技术标准，定期对信息系统开展测评工作。
二、为什么要做等级保护
（一）法律规章要求
《网络安全法》明确规定信息系统运营、使用单位应当按照网络安全等级保护制度要求，履行安全保护义务，如果拒不履行，将会受到相应处罚。
第二十一条规定：
第三十八条规定：
第五十九条规定：
（二）行业要求
在金融、电力、广电、医疗、教育、交通等行业，主管单位明确要求从业机构的信息系统要开展等级保护工作。
（三）企业系统安全的需求
信息系统运营、使用单位通过开展等级保护工作可以发现系统内部的安全隐患与不足之处，可通过安全整改提升系统的安全防护能力，降低被攻击的风险。
为什么要做网络安全等级保护？
等级保护是我们国家的基本网络安全制度、基本国策，也是一套完整和完善的网络安全管理体系。遵循等级保护相关标准开始安全建设是目前企事业单位的普遍要求，也是国家关键信息基础措施保护的基本要求。
网络安全等级保护为信息系统、云计算、移动互联、物联网、工业控制系统等定级对象的网络安全建设和管理提供系统性、针对性、可行性的指导和服务，帮助用户提供定级对象的安全防护能力。此外，《网络安全法》第二十一条明确规定 “国家实行网络安全等级保护制度”
等级保护测评（以下简称 “等保测评”）指的是用户单位委托第三方有测评资质的测评机构对单位已定级备案的信息系统开展安全测试的过程，测试结束后出具相应的信息系统测评报告。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）