新版《网络安全等级保护定级指南》解读.ppt
合集下载
网络安全法与等级保护ppt课件
对于违反《网络安全法》的处罚视情节严重，处罚措施分为： 1、责令改正，给予警告； 2、拒不改正或者导致危害网络安全等后果的，对企业处1-100万罚款，对直接负 责的主管人员和其他直接责任人员处1-10万罚款； 3、并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊 销营业执照。
病原体侵入机体，消弱机体防御机能 ，破坏 机体内 环境的 相对稳 定性， 且在一 定部位 生长繁 殖，引 起不同 程度的 病理生 理过程
公司1-10万，主管5千-5万。
病原体侵入机体，消弱机体防御机能 ，破坏 机体内 环境的 相对稳 定性， 且在一 定部位 生长繁 殖，引 起不同 程度的 病理生 理过程
根据《网络安全法》第六章-法律责任相关条款解释：本法律处罚力度空前严格，处 罚不仅涉及到企业，而且涉及到法人、管理人员、一般员工等多个层面；既有经济处罚， 也有行政处罚。
②法律责任：由有关主管部门责令改正，给予警告；拒不改正或 者导致危害网络安全等后果的，处10万元以上100万元以下罚款 ，对直接负责的主管人员处1万元以上10万元以下罚款。
病原体侵入机体，消弱机体防御机能 ，破坏 机体内 环境的 相对稳 定性， 且在一 定部位 生长繁 殖，引 起不同 程度的 病理生 理过程
划分准则--GB 17859-1999
第一级为自主保护级，适用于一般的信息和信息系统，其受到破 坏后，会对公民、法人和其他组织的合法权益造成一定损害，但不损 害国家安全、社会秩序和公共利益。
第二级为指导保护级，信息系统受到破坏后，会对公民、法人 和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造 成损害，但不损害国家安全。
《网络安全法》自2017年6月1日正式实施，网络安全等级保护制度已经上升为 法律规定的强制义务，这是我国自1994年发布实施《中华人民共和国计算机信息 系统保护条例》将“等级保护”明确为我国计算机安全保护的根本制度以来，首 次将其写入法律。
病原体侵入机体，消弱机体防御机能 ，破坏 机体内 环境的 相对稳 定性， 且在一 定部位 生长繁 殖，引 起不同 程度的 病理生 理过程
公司1-10万，主管5千-5万。
病原体侵入机体，消弱机体防御机能 ，破坏 机体内 环境的 相对稳 定性， 且在一 定部位 生长繁 殖，引 起不同 程度的 病理生 理过程
根据《网络安全法》第六章-法律责任相关条款解释：本法律处罚力度空前严格，处 罚不仅涉及到企业，而且涉及到法人、管理人员、一般员工等多个层面；既有经济处罚， 也有行政处罚。
②法律责任：由有关主管部门责令改正，给予警告；拒不改正或 者导致危害网络安全等后果的，处10万元以上100万元以下罚款 ，对直接负责的主管人员处1万元以上10万元以下罚款。
病原体侵入机体，消弱机体防御机能 ，破坏 机体内 环境的 相对稳 定性， 且在一 定部位 生长繁 殖，引 起不同 程度的 病理生 理过程
划分准则--GB 17859-1999
第一级为自主保护级，适用于一般的信息和信息系统，其受到破 坏后，会对公民、法人和其他组织的合法权益造成一定损害，但不损 害国家安全、社会秩序和公共利益。
第二级为指导保护级，信息系统受到破坏后，会对公民、法人 和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造 成损害，但不损害国家安全。
《网络安全法》自2017年6月1日正式实施，网络安全等级保护制度已经上升为 法律规定的强制义务，这是我国自1994年发布实施《中华人民共和国计算机信息 系统保护条例》将“等级保护”明确为我国计算机安全保护的根本制度以来，首 次将其写入法律。
新版《网络安全等级保护定级指南》解读教学提纲28页PPT
解读教学提纲
1、 舟 遥 遥 以 轻飏， 风飘飘 而吹衣 。 2、 秋 菊 有 佳 色，裛 露掇其 英。 3、 日 月 掷 人 去，有 志不获 骋。 4、 未 言 心 相 醉，不 再接杯 酒。 5、 黄 发 垂 髫 ，并怡 然自乐 。
谢谢你的阅读
❖ 知识就是财富 ❖ 丰富你的人生
71、既然我已经踏上这条道路，那么，任何东西都不应妨碍我沿着这条路走下去。——康德 72、家庭成为快乐的种子在外也不致成为障碍物但在旅行之际却是夜间的伴侣。——西塞罗 73、坚持意志伟大的事业需要始终不渝的精神。——伏尔泰 74、路漫漫其修道远，吾将上下而求索。——屈原 75、内外相应，言行相称。——韩非
1、 舟 遥 遥 以 轻飏， 风飘飘 而吹衣 。 2、 秋 菊 有 佳 色，裛 露掇其 英。 3、 日 月 掷 人 去，有 志不获 骋。 4、 未 言 心 相 醉，不 再接杯 酒。 5、 黄 发 垂 髫 ，并怡 然自乐 。
谢谢你的阅读
❖ 知识就是财富 ❖ 丰富你的人生
71、既然我已经踏上这条道路，那么，任何东西都不应妨碍我沿着这条路走下去。——康德 72、家庭成为快乐的种子在外也不致成为障碍物但在旅行之际却是夜间的伴侣。——西塞罗 73、坚持意志伟大的事业需要始终不渝的精神。——伏尔泰 74、路漫漫其修道远，吾将上下而求索。——屈原 75、内外相应，言行相称。——韩非
网络安全等级保护相关标准修订解读 PPT
8.1.1 物理和环境安全 … 8.1.8 安全运维管理 8.2 云计算安全扩展要求 8.2.1 物理和环境安全 8.2.2 网络和通信安全 … 8.3 移动互联安全扩展要求 8.4 物联网安全扩展要求 8.5 工业控制系统安全扩展要求
5.控制措施分类结构的变化
1.标准名称的变化
原来：信息系统安全等级保护基本要求 改为：网络安全等级保护基本要求 为适应《中华人民共和国网络安全法》，配合落实“网络安
全等级保护制度”，变更等级保护相关标准的名称。
2.等级保护对象的变化
原来：信息安全等级保护工作直接作用的具体信息和信息系统 改为：由计算机或者其他信息终端及相关设备组成的按照一定的规则和
6.通用要求控制点的变化——设备和计算安全
序号 1 2 3 4 5 6 7 8 9
原分类 主机安全
原有控制点 身份鉴别 安全标记 访问控制 可信路径 安全审计 剩余信息保护 入侵防范 恶意代码防范 资源控制
新的分类
设备和计算 安全
新的控制点 身份鉴别 访问控制 安全审计 入侵防范 恶意代码防范 资源控制
2017年8月，网信办、公安部和信安标委达 成一致意见，将基本要求、测评要求、设计 要求三个标准体系的5个分册标准进行了合 并，形成《网络安全等级保护基本要求》、 《网络安全等级保护测评要求》、《网络安 全等级保护安全设计技术要求》三个单一标 准，形成最新版送审稿。
《网络安全等级保护基本要求》主要修订的内容
技术要求 原来：物理安全、网络安全、主机安全、应用安全、数据安全 改为：物理和环境安全、网络和通信安全、设备和计算安全、应用 和数据安全
管理要求 原来：安全管理制度、安全管理机构、人员安全管理、系统建设管 理、系统运维管理 改为：安全策略和管理制度、安全管理机构与人员、安全建设管理、 安全运维管理
5.控制措施分类结构的变化
1.标准名称的变化
原来：信息系统安全等级保护基本要求 改为：网络安全等级保护基本要求 为适应《中华人民共和国网络安全法》，配合落实“网络安
全等级保护制度”，变更等级保护相关标准的名称。
2.等级保护对象的变化
原来：信息安全等级保护工作直接作用的具体信息和信息系统 改为：由计算机或者其他信息终端及相关设备组成的按照一定的规则和
6.通用要求控制点的变化——设备和计算安全
序号 1 2 3 4 5 6 7 8 9
原分类 主机安全
原有控制点 身份鉴别 安全标记 访问控制 可信路径 安全审计 剩余信息保护 入侵防范 恶意代码防范 资源控制
新的分类
设备和计算 安全
新的控制点 身份鉴别 访问控制 安全审计 入侵防范 恶意代码防范 资源控制
2017年8月，网信办、公安部和信安标委达 成一致意见，将基本要求、测评要求、设计 要求三个标准体系的5个分册标准进行了合 并，形成《网络安全等级保护基本要求》、 《网络安全等级保护测评要求》、《网络安 全等级保护安全设计技术要求》三个单一标 准，形成最新版送审稿。
《网络安全等级保护基本要求》主要修订的内容
技术要求 原来：物理安全、网络安全、主机安全、应用安全、数据安全 改为：物理和环境安全、网络和通信安全、设备和计算安全、应用 和数据安全
管理要求 原来：安全管理制度、安全管理机构、人员安全管理、系统建设管 理、系统运维管理 改为：安全策略和管理制度、安全管理机构与人员、安全建设管理、 安全运维管理
等保2.0vs1.0解读PPT参考幻灯片
a) 应在机房供电线路上配置稳压器和过电压防护设备；
a) 应在机房供电线路上配置稳压器和过电压防护设备；
b) 应提供短期的备用电力供应，至少满足主要设备在断电情况下的正常
4 运行要求 c) 应设置冗余或并行的电力电缆线路为计算机系统供电；
3
b) 应提供短期的备用电力供应，至少满足设备在断电情况下的正 常运行要求；
b) 应删除多余或无效的访问控制规则，优化访问控制列表，
并保证访问控制规则数量最小化；
c) 应对源地址、目的地址、源端口、目的端口和协议等进行
检查，以允许/拒绝数据包进出；
8
b) 应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能 力，控制粒度为端口级；
4
c) 应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、
d) 应建立备用供电系统。
c) 应设置冗余或并行的电力电缆线路为计算机系统供电；
a) 应采用接地方式防止外界电磁干扰和设备寄生耦合干扰； 3 b) 电源线和通信线缆应隔离铺设，避免互相干扰
c) 应对关键设备和磁介质实施电磁屏蔽。
a 电源线和通信线缆应隔离铺设，避免互相干扰； 2
b) 应对关键设备实施电磁屏蔽。
a) 水管安装，不得穿过机房屋顶和活动地板下； b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；
6 防水和防潮
4 c) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；
d) 应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。
新版要 求项数
标粗内容为三级和二级的变化；标红为新标准主要变化
重要网段与其他网段之间采取可靠的技术隔离手段；
g) 应按照对业务服务的重要次序来指定带宽分配优先级别，保证
等保2.0政策规范解读(63页 PPT )
c) 应能够对内部用户非授权联到外部网络的行为进行限制或检 查；
d) 应限制无线网络的使用，确保无线网络通过受控的边界防护设备 接入内部网络。
入侵防范
b) 应在关键网络节点处检测、防止或限制从内部发起的网络攻击行 为； (新增)
设计要求
测评要求
通用要求
云计算
物联网
移动互联
工业控制
7
。 share
等保2.0标准解读
勇 share
等级保护1.0和2.0对比
旧标准(等级保护1.0)
技术要求
物理安全 网络安全 主机安全 应用安全
管理要求
数据安全及备份恢复 安全管理制度 安全管理机构 人员安全管理 系统建设管理 系统运维管理
9
新标准(等级保护2.0)
无 入侵防范
无
a) 应采用校验码技术或密码技术保证通信过程中数据的完整性；
通信传输 b) 应采用密码技术保证通信过程中敏感信息字段或整个报文的保密 性。
a) 应保证跨越边界的访问和数据流通过边界防护设备提供的受控接 口进行通信；
边界防护
b) 应能够对非授权设备私自联到内部网络的行为进行限制或检 查；
3
4
6 防水和防潮
3
2
7 防静电
2
1
8 温湿度控制
1
4
9 电力供应
3
3
10 电磁防护
2
。 share
物理位置的选择
原控制项
新控制项
b）机房场地应避免设在建筑物的高层或 地下室,以及用水设备的下层或隔壁。 物理位置的选择
b）机房场地应避免设在建筑物的顶层或地下室, 否则应加强防水和防潮措施
防静电
无
d) 应限制无线网络的使用，确保无线网络通过受控的边界防护设备 接入内部网络。
入侵防范
b) 应在关键网络节点处检测、防止或限制从内部发起的网络攻击行 为； (新增)
设计要求
测评要求
通用要求
云计算
物联网
移动互联
工业控制
7
。 share
等保2.0标准解读
勇 share
等级保护1.0和2.0对比
旧标准(等级保护1.0)
技术要求
物理安全 网络安全 主机安全 应用安全
管理要求
数据安全及备份恢复 安全管理制度 安全管理机构 人员安全管理 系统建设管理 系统运维管理
9
新标准(等级保护2.0)
无 入侵防范
无
a) 应采用校验码技术或密码技术保证通信过程中数据的完整性；
通信传输 b) 应采用密码技术保证通信过程中敏感信息字段或整个报文的保密 性。
a) 应保证跨越边界的访问和数据流通过边界防护设备提供的受控接 口进行通信；
边界防护
b) 应能够对非授权设备私自联到内部网络的行为进行限制或检 查；
3
4
6 防水和防潮
3
2
7 防静电
2
1
8 温湿度控制
1
4
9 电力供应
3
3
10 电磁防护
2
。 share
物理位置的选择
原控制项
新控制项
b）机房场地应避免设在建筑物的高层或 地下室,以及用水设备的下层或隔壁。 物理位置的选择
b）机房场地应避免设在建筑物的顶层或地下室, 否则应加强防水和防潮措施
防静电
无
网络安全等级保护定级指南解读
网络安全等级保护定级指南解读《信息安全技术网络安全等级保护定级指南》是《信息安全技术信息系统安全等级保护定级指南》（GB/T 22240-2008）的修订版主要内容一．基本概念和定级要素二．定级方法三．工作流程•定级是开展网络安全等级保护工作的“基本出发点”•定级结果应当成为系统安全保护的总体安全需求之一•定级过程是找到系统最大风险的过程•《信息安全等级保护管理办法》（公通字[2007]43号“第七条信息系统的保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益；第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
”•解决了：信息系统根据什么定级？定什么级？•从信息系统对国家安全、经济建设、公共利益等方面的重要性，以及信息系统被破坏后造成危害的严重性角度对信息系统确定的等级-重要性定级•没有解决：定级的方法、流程•《信息安全技术信息系统安全等级保护定级指南》（GB/T 22240-2008）•《信息安全技术网络安全等级保护定级指南》（GB/T 22240-20**）(前者的修订版)——主要关注等级保护定级工作开展的流程及定级的方法•概念解释•安全保护等级•等级保护对象•客体•安全保护等级等级的确定是不依赖于安全保护措施的，具有一定的“客观性”，即该系统在存在之初便由其自身所实现的使命的重要程度决定了它的安全保护等级，而非由“后天”的安全保护措施决定。
•等级保护对象•网络安全等级保护工作的作用对象，主要包括基础网络设施、信息系统（如工业控制系统、云计算平台、物联网、使用移动互联技术的系统、其他系统）以及数字资源等。
2020「网络安全等级保护定级指南」最新解读，这些重点必须注意！
2020「网络安全等级保护定级指南」最新解读，这些重点必须注意！新版《GBT 22240-2020 信息安全技术网络安全等级保护定级指南》正式发布，新的国标将于2020年11月1日正式实施。
腾讯安全平台部天幕团队联合腾讯安全专家咨询中心、云鼎实验室、安全管理部标准团队，针对新版定级指南的一些变化划重点解读，供广大企业参考。
01定级原理及流程1、安全保护等级如何划分？本部分变化较小，依旧是五个等级，从一级到五级由低到高。
现在对于定级系统的称呼统一改为等级保护对象（旧标准中称为信息系统），这也与等保2.0其他系列标准保持一致。
2、等保定级要素都有哪些？要素可以说基本没有变化，依旧沿用之前的定义。
•等级保护对象要素的两个方面：1）受侵害的客体；2）对客体的侵害程度。
•等级保护对象受侵害客体的三个方面：1）公民、法人和其他组织的合法权益；2）社会秩序、公共利益；3）国家安全。
•等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种：1）造成一般损害；2）造成严重损害；3）造成特别严重损害。
•定级要素与安全保护等级的关系之前行业内关于等保2.0基本要求的解读中，曾经提过对于公民、法人和其他组织和合法权益受到特别严重损害会定为第三级，但是从新版《指南》的官方结论，依旧按照旧版定为第二级，这里明确说明一下。
3、定级流程是怎样的？第二级及以上等级保护对象定级流程新增专家评审环节，不再自主定级，需要聘请专家认定等级保护对象的级别。
02确定定级对象1、哪些企业和机构需要定级备案？定级对象的范围相比旧标准变化较多，本次《指南》包含了云计算、物联网、工业控制系统、采用移动互联技术的系统、通信网络设施以及数据资源，我们来具体看下。
通用定级对象基本特征明确，共计三点：•具有确定的主要安全责任体；•承载相对独立的业务应用；•包含相互关联的多个资源。
从这几个特征来看，基本互联网上的系统差不多都要定级备案。
《指南》给出了有关安全责任主体的解释：包括但不限于企业、机关和事业单位等法人，以及不具备法人资格的社会团体等其他组织。
网络安全等级保护定级指南解读
15
一、基本概念和定级要素
• 社会秩序 • 国家机关的工作秩序； • 各类经济活动秩序； • 各行业科研、生产秩序； • 公众正常生活秩序等。
16
一、基本概念和定级要素
• 公共利益 • 不特定社会成员所共同享有的，维持其生产、生活、 教育、卫生等方面的利益，表现为： • 社会成员使用公共设施 • 社会成员获取公开信息资源 • 社会成员获取公共服务等
4
一、基本概念和定级要素-等级定义
• 《信息安全等级保护管理办法》（公通字[2007]43号“第七条 信息系统的保护等级分为以下五级：
第一级，信息系统受到破坏后，会对公民、法人和其他 组织的合法权益造成损害，但不损害国家安全、社会秩 序和公共利益；
5
一、基本概念和定级要素-等级定义
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生 严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；
二、定级方法
• 系统识别 • 识别单位基本信息 • 识别管理框架 • 识别业务种类和业务流程 • 识别信息 • 识别网络结构 • 识别主要的软硬件设备 • 识别用户类型和分布
32
二、定级方法
• 系统划分 • 分析安全管理责任，确定管理边界 • 分析网络结构和已有内外部边界 • 分析业务流程和业务间关系
38
主要内容
一． 基本概念和定级要素 二． 定级方法 三． 定级流程
三、定级流程
1. 确定定级对象 2. 初步确定等级 3. 专家评审 4. 主管部门审核
5. 公安机关备案审查
三、定级流程
专家评审
定级对象的运营、 使用单位应组织信 息安全专家和业务 专家，对初步定级 结果的合理性进行 评审，出具专家评 审意见。
一、基本概念和定级要素
• 社会秩序 • 国家机关的工作秩序； • 各类经济活动秩序； • 各行业科研、生产秩序； • 公众正常生活秩序等。
16
一、基本概念和定级要素
• 公共利益 • 不特定社会成员所共同享有的，维持其生产、生活、 教育、卫生等方面的利益，表现为： • 社会成员使用公共设施 • 社会成员获取公开信息资源 • 社会成员获取公共服务等
4
一、基本概念和定级要素-等级定义
• 《信息安全等级保护管理办法》（公通字[2007]43号“第七条 信息系统的保护等级分为以下五级：
第一级，信息系统受到破坏后，会对公民、法人和其他 组织的合法权益造成损害，但不损害国家安全、社会秩 序和公共利益；
5
一、基本概念和定级要素-等级定义
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生 严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；
二、定级方法
• 系统识别 • 识别单位基本信息 • 识别管理框架 • 识别业务种类和业务流程 • 识别信息 • 识别网络结构 • 识别主要的软硬件设备 • 识别用户类型和分布
32
二、定级方法
• 系统划分 • 分析安全管理责任，确定管理边界 • 分析网络结构和已有内外部边界 • 分析业务流程和业务间关系
38
主要内容
一． 基本概念和定级要素 二． 定级方法 三． 定级流程
三、定级流程
1. 确定定级对象 2. 初步确定等级 3. 专家评审 4. 主管部门审核
5. 公安机关备案审查
三、定级流程
专家评审
定级对象的运营、 使用单位应组织信 息安全专家和业务 专家，对初步定级 结果的合理性进行 评审，出具专家评 审意见。
网络安全等级保护2.0解读 PPT精品课件
➢ 等保2.0 ：《网络安全等级保护条例》第十八条规定，第 二级以上网络的运营者应当在安全保护等级确认后10个工 作日内，到县级以上公安机关备案 。
安全通信网络
安全建设
安全区域边界
安全计算环境
安全管理中心
测评周期的变化
➢ 等保1.0 ：三级系统每年至少进行一次等级测评， 四级系统每半年至少进行一次等级测评。
网络安全等级保护2.0解读
网络安全等级保护相关法律法规
等级保护2.0措施进一步完善
➢ 等级保护2.0沿等用级了等保保护1.02的.0五措个规施定进动作一: 定步级完、备善案、
建设整改、等级测评和监督检查（《信息安全等级保护 管理办法》 公通字[2007]43号）规定的等级保护工作）。 ➢ 增加了风险评估、安全监测、通报预警、案（事）件调 查、数据防护、灾难备份、应急处置、自主可控、供应 链安全、效果评价、综合考核等内容，充分体现了变被 动防护为主动防护，变静态防护为动态防护，变单点防 护为整体防控的核心思想。
等级保护2.0定级流程
定级标准及对象的变化
➢ 1.标准的变化
✓ 1.0 《信息系统安全等级保护等级指南》（GB/T 22240-2008） ✓ 2.0 《网络安全等级保护等级指南》（GA/T 1389-2017）
➢ 2.等级保护对象的演变
1.0定级对象 ✓ 信息系统
2.0等级保护对象 ✓ 基础信息网络 ✓ 信息系统（如工业控制系统、云计算平
等级保护2.0工作流程
定级流程的变化
➢ 等保1.0 ：自主定级 ➢ 等保2.0：《网络安全等级保护条例》
✓ 网络定级应按照网络运营者拟定网络等级、专家评审、主管部分核 准、公安机关审核的流程进行。
✓ 对拟定为第二级以上的网络，其运营者应当组织专家评审；有行业 主管部门的，应当在评审后报请主管部门核准。
安全通信网络
安全建设
安全区域边界
安全计算环境
安全管理中心
测评周期的变化
➢ 等保1.0 ：三级系统每年至少进行一次等级测评， 四级系统每半年至少进行一次等级测评。
网络安全等级保护2.0解读
网络安全等级保护相关法律法规
等级保护2.0措施进一步完善
➢ 等级保护2.0沿等用级了等保保护1.02的.0五措个规施定进动作一: 定步级完、备善案、
建设整改、等级测评和监督检查（《信息安全等级保护 管理办法》 公通字[2007]43号）规定的等级保护工作）。 ➢ 增加了风险评估、安全监测、通报预警、案（事）件调 查、数据防护、灾难备份、应急处置、自主可控、供应 链安全、效果评价、综合考核等内容，充分体现了变被 动防护为主动防护，变静态防护为动态防护，变单点防 护为整体防控的核心思想。
等级保护2.0定级流程
定级标准及对象的变化
➢ 1.标准的变化
✓ 1.0 《信息系统安全等级保护等级指南》（GB/T 22240-2008） ✓ 2.0 《网络安全等级保护等级指南》（GA/T 1389-2017）
➢ 2.等级保护对象的演变
1.0定级对象 ✓ 信息系统
2.0等级保护对象 ✓ 基础信息网络 ✓ 信息系统（如工业控制系统、云计算平
等级保护2.0工作流程
定级流程的变化
➢ 等保1.0 ：自主定级 ➢ 等保2.0：《网络安全等级保护条例》
✓ 网络定级应按照网络运营者拟定网络等级、专家评审、主管部分核 准、公安机关审核的流程进行。
✓ 对拟定为第二级以上的网络，其运营者应当组织专家评审；有行业 主管部门的，应当在评审后报请主管部门核准。
网络安全等级保护2.0解读 PPT精品课件
网络安全等级保护2.0高风险指引
序号 层面
1
2 3
4
安全
计算
环境
5
6 7
8
控制点
控制项
对应案例
身份鉴别
a)应对登录的用户进行身份标识和鉴别， 设备存在弱口令、应用系统
身份标识具有唯一性，身份鉴别信息具有 口令策略缺失、应用系统存
复杂度要求并定期更换；
在弱口令
b)应具有登录失败处理功能，应配置并启 用结束会话、限制非法登录次数和当登录 连接超时自动退出等相关措施；
设备未开启安全审计措施、 应用系统无安全审计措施
适用范围
所有系统 3级及以上系统
所有系统 3级及以上系统
所有系统 所有系统 所有系统 3级及以上系统
等保2.0测评结论谢谢!ຫໍສະໝຸດ 应用系统无登录失败 处理机制
c)当进行远程管理时，应采取必要措施防 止鉴别信息在网络传输过程中被窃
设备鉴别信息无防窃取措施
d)应采用口令、密码技术、生物技术等两 种或两种以上组合的鉴别技术对用户进行 身份鉴别，且其中一种鉴别技术至少应使 用密码技术来实现。
设备未实现双因素认证、互 联网可访问系统未实现双因
安全通用要求和安全扩展要求
等级保护2.0为1+N模式，1为通用要求，适用各个行业和各个领域，N指 具体的一个领域内的扩展要求，目前N为5，分别是云计算、移动互联、物联 网、工业控制、大数据。未来随着技术的发展，N会不断扩展。
分类结构的变化
安全通用要求要求项变化
充分强化可信计算技术使用的要求
➢ 增加:从一级到四级均在“安全通信网络”、“安全区域边界” 和“安全计算环境”中增加了“可信验证”控制点(和GB/T 25070设计要求保持一致)。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
…
产厂商等因素
… 划分为多个定
级对象。
…
146 SP 800-
IaaS组件栈和控制范围
GB/T 31168 ： 2014
云计算模式与控制范围
云计算典型模型
ISO/IEC17789-2014 云计算层次框架
? 运维服务系统 ? 业务运营系统 ? 安全系统 ? 集成 ? 开发
在云计算环境中，应将云服务方侧的 云计算平台单独作为定级对象定级， 云租户侧的等级保护对象也应作为单 独的定级对象定级。
等级保护对象基础Leabharlann 息网络信息系统大数据
传统信息系统
工业控制系统
云计算平台
物联网系统
采用移动互联 技术信息系统
基础信息网络
? 为信息流通、信息系统运行等起基础支撑作用的信息网络，包括电信播网电、视广 传输网、互联网、业务专网等网络设备设施。
信息系统
? 由计算机和类计算机的软硬件及其相关的和配套的设备、设施构成的，按照 一定的应用目标和规则 进行信息处理或过程控制的资源集合。
数据资源类定级方法
? 单一设备（如服务器、终端、网络设备等）不单独定级。
层 级 4 企 业 资 源 层 该 层 级 主 要 通 过 ERP 系 统 为 企 业决策层及员工提供 决策运行手段。 层 级 3 生 产 管 理 层 该 层 级 主 要 通 过 M ES 系 统 为 企业提供包括制造数 据管理、计划排程管理、 生产调度管理等管理模 块。
? 应将具有统一安全责任单位的大数据作为一个整体对象定级。
确定安全保护等级
? 业务处理类定级方法
? 适用于传统信息系统、工业控制系统、物联网、和采用移动互联 技术的信息系统等定级对象。
? 数据资源类定级方法：适用于大数据等定级对象。 ? 基础支撑类定级方法
? 适用于基础信息网络和云计算平台等定级对象。
? 注:资源可以是物理设备，也可以是虚拟设备。
1. 确定定级对象 2. 初步确定等级
定级流程
自主定级 专家评审 主管部门审批
3. 专家评审 4. 主管部门审核 5. 公安机关备案审查
公安机关监督
1. 确定定级对象 2. 初步确定等级 3. 专家评审
定级对象的运营、使用单位应组织信息 安 全专家和业务专家，对初步定级结果 的合 理性进行评审， 出具专家评审意见。
?
网络安全等级保护定级指南解读
? 支撑等级保护管理工作新思路和内容； ? 适应新形势下信息化新技术新应用的不断涌现； ? 针对标准使用过程中发现的一些问题进行修订：
? 降级躲避监管； ? 拍脑袋定级，流程不完整。
? 安全保护等级定义
? 第三级：对公民、法人和其他组织的合法权益产生特别严重损害。
? 等级保护对象
4. 主管部门审核 5. 公安机关备案审查
1. 确定定级对象 2. 初步确定等级 3. 专家评审
定级对象的运营、使用单位应将初步定 级结果上报行业主管部门或上级主管部 门进行审核。
4. 主管部门审核 5. 公安机关备案审查
1. 确定定级对象 2. 初步确定等级 3. 专家评审
定级对象的运营、使用单位应按照相关 管理规定，将初步定级结果提交公安机 关进行备案审查，最终确定定级对象的 安全保护等级。
4. 主管部门审核 5. 公安机关备案审查
确定定级对象
? 对于电信网、广播电视传输网、互联网等基础信息网络，应分别依 据服务类型、服务地域和安全责 任主体等因素将其划分为不同的 定级对象。
? 跨省全国性业务专网可作为一个整体对象定级，也可以分区域划为分 若干个定级对象。
传统信息系统
? 具有唯一确定的安全责任单位； 【 大切小 】 ? 承载相对独立的业务应用；【 再切小 】 ? 具有信息系统的基本要素。 【 不能再小了 】
? 移动终端可以远程通过运营商基站或公共Wi-Fi 接 入等级保护对象，也可以在本地通过本地无 线 接入设备接入等级保护对象；
? 系统通过移动管理系统的服务端软件向客户端 软件发送管理策略，并由客户端软件执行实现 系统的安全管理。
? 采用移动互联技术的等级保护对象应作 为一个整体对象定级，移动终端、移动 应用和无线网络等要素不单独定级。
层级0 现场设备层 该层级主要通过传感器对实际 生产过程的数据进行 采集，同时，利用执行器对 生产过程进行操作。
生产管理层 过程监控层 现场控制层 现场设备层
仓储管理系统
计划排产系统
现场设备层、现场控制层 工和程过师站程监控层应作为操作一员站个
素不单独定级。
…
根据系统功能、
OO控PPCC服制务对器 象和生
? 云计算平台、工业控制系统、物联网、大数据等
? 定级流程
? 流程完善 、定级方法细化。
安全保护等级
? 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，者或 对国家安全造成损害。
? 第三级，等级保护对象受到破坏后， 会对公民、法人和其他组织的 合法权益产生特别严重损害， 或者对社会秩序和公共利益造成严重 损害，或者对国家安全造成损害。
在云计算环境中，应将云服务方侧的 云计算平台单独作为定级对象定级， 云租户侧的等级保护对象也应作为单 独的定级对象定级。
? 对于大型云计算平台，应 将 云计算基础设施和有关 辅助服务系统划分为不同 的定级对象。
? 物联网应作为一个整体对象定级，主要包括感知层、网络 传输层和处理应用层等要素。
? 区别在于：移动终端可以通过无线方式 接入网络。
层 级2 过 程 监 控 层 该层 级主 要通 过分 布式 SCADA系 统 采 集 和 监 控 生 产 过 程 参 数 ， 并 利 用 HMI 系 统 实 现人机交互。
层 级 1 现 场 控 制 层 该 层 级 主 要 通 过 PLC 、 D C S 控 制 单元 和 RT U等 进 行 生产过程的控制。
受侵害的客体 公民、法人和其他组织的合法权益
社会秩序、公共利益 国家安全
一般损害
第一级
对客体的侵害程度 严重损害
第二级
特别严重损害
第三级
第二级
第三级
第四级
第三级
第四级
第五级
等级保护对象
? 信息安全等级保护工作直接作用的具体信息和信息系统。
? 网络安全等级保护工作的作用对象，主要包括基础信息网络、信息 系统（诸如传统信息系统、工业控制系统、云计算平台、物联网、 使用移动互联技术的信息系统等）和大数据等。