一篇文章带你看懂等级保护2.0

5月25日&＃xff0c;《CIO的信息安全全局观- 等级保护2.0带来的新变化》线下大会在北京召开。本次活动是由知道创宇和CIO联盟联合主办&＃xff0c;大会邀请了数位安全技术专家现场讨论——等级保护制度2.0发布后&＃xff0c;将会带来哪些新的变化&＃xff1f;下面就是由知道创宇安全专家带来的等保2.0干货分享。

上周&＃xff0c;国家市场监督管理总局、国家标准化管理委员会召开新闻发布会&＃xff0c;正式发布了等级保护2.0核心标准&＃xff08;《信息安全技术网络安全等级保护基本要求》、《信息安全技术网络安全等级保护测评要求》、《信息安全技术网络安全等级保护安全设计技术要求》&＃xff09;&＃xff0c;并且等保2.0将于2019年12月1日开始实施。

等级保护2.0核心标准

自此&＃xff0c;网络安全等级保护正式开始迈入了2.0时代&＃xff0c;等保2.0时代将带来哪些变化&＃xff1f;今天&＃xff0c;就来带大家一起看懂等保2.0。

等保1.0回顾

在开始讲等保2.0之前&＃xff0c;让我们先回顾一下等保1.0。等保1.0发布距离今已经有10多年的时间&＃xff0c;在这些日子里&＃xff0c;网络安全也越来越被人们所重视。

在1.0的初期&＃xff0c;企业只要有安全意识&＃xff0c;能开始做等保&＃xff0c;开始测评就已经很不错了&＃xff1b;到了中期&＃xff0c;整体防护&＃xff0c;渗透测试&＃xff0c;合规开始不等于安全。行业等级保护全面开展&＃xff0c;等保开始逐渐的深入人心&＃xff1b;再到1.0的后期&＃xff0c;无论是企业层面还是国家层面&＃xff0c;都更注重实质性的安全。主动防御、态势感知、攻防对抗等安全手段开始流行&＃xff0c;云安、大数据、工控安全和移动安全开始占领主要趋势。

等保1.0普及了等保概念&＃xff0c;强化了安全意识&＃xff0c;从单个系统到部门、到行业&＃xff0c;再到上升到国家层面从合规到攻防对抗&＃xff0c;整体提升了网络安全保障能力技术并且不断进行人才的积累&＃xff0c;这些都对等保2.0提供了有力的支撑。

等保2.0有哪些不变&＃xff1f;

1.五个级别不变

从第一级到第五级依次是&＃xff1a;用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级、访问验证保护级。

等级保护五个级别 

2.规定动作不变

规定动作分别为&＃xff1a;定级、备案、建设整改、等级测评、监督检查。

等级保护规定动作

3.主体职责不变

等级保护的主体职责为&＃xff1a;网安对定级对象的备案受理及监督检查职责、第三方测评机构对定级对象的安全评估职责、上级主管单位对所属单位的安全管理职责、运营使用单位对定级对象的等级保护职责。

等保2.0有哪些变化&＃xff1f;

1、体系框架和保障思路的变化

等保1.0体系中主要体现被动防御&＃xff0c;围绕一个中心三重防护展开&＃xff08;防火墙、入侵检测、防病毒&＃xff09;。而等保2.0则强调全方面的主动防御&＃xff0c;强调向感知预警、动态防护、安全检测、应急响应的主动保障体系转变。

2、等保对象的变化

在等级保护1.0体系中&＃xff0c;保护对象主要包括各类重要信息系统和政府网站&＃xff0c;保护方法主要是对系统进行定级备案、等级测评、建设整改、监督检查等。

在此基础上&＃xff0c;等保2.0扩大了保护对象的范围、丰富了保护方法、增加了技术标准。等保2.0将网络基础设施、重要信息系统、大型互联网站、大数据中心、云计算平台、物联网系统、工业控制系统、公众服务平台等全部纳入等级保护对象&＃xff0c;并将风险评估、安全监测、通报预警、案事件调查、数据防护、灾难备份、应急处置、自主可控、供应链安全、效果评价、综治考核、安全员培训等工作措施全部纳入等级保护制度。

网络安全战略规划目标

3、测评要求的变化

等保2.0做出对关键信息基础设施“定级原则上不低于三级”的指导&＃xff0c;测评分数的要求由60分提升至75分以上&＃xff0c;且第三级及以上信息系统每年或每半年就要进行一次测评。

4、等保要求的组合变化

等保2.0存在等保要求的组合变化&＃xff0c;拆分成1个通用要求和5个安全扩展要求。针对共性安全保护需求提出安全通用要求&＃xff1b;针对移动互联、云计算、物联网和工业控制等新技术、新应用领域的个性安全保护需求提出安全扩展要求&＃xff0c;以此形成新的网络安全等级保护基本要求标准。

5、控制点和要求项的变化

相比较于等保1.0&＃xff0c;等保2.0在控制点方面基本持平&＃xff0c;并对冗余项进行了删减。但是在等保2.0通用要求部分新增了部分重要要求项。如&＃xff1a;强调了入侵防范、安全审计、恶意代码防范、集中管控等要求。

本次演讲完整版PPT随后发出 持续关注请扫码添加好友