等保2.0密码技术应用分析
【精华版】最详细的等保2.0基本要求解读
等级保护2.0发布后，市场上铺天盖地的出现了众多解读文章，但大部分文章只停留在总体变化的描述，缺少对等级保护2.0具体条款与等级保护1.0具体基本技术要求的区别分析。
本文以帮助企业理解等级保护2.0基本要求为导向，对等级保护2.0和1.0在基本技术要求存在的区别进行具体分析。
在等级保护2.0合规要求下，满足基本符合等级保护要求从1.0的60分提高到了2.0的75分，这无疑对企业、系统集成商和安全厂家提出了更高的要求和挑战：●采用何种安全技术手段、何种安全防护体系能够满足等级保护2.0基本要求？●如何为企业提供既能解决用户切实的需求，又合法、合规的安全解决方案？●如何帮助企业既能合理规划网络安全的费用投入，又能提高自身网络安全防护能力，达到相关等级保护级别测评要求？下面将结合等级保护1.0（三级）的具体条款和等级保护2.0（三级）的关键条款变化进行详细的解读。
（本文主要针对网络安全部分进行详细解读分析）网络安全-关键条款变化由于等级保护2.0中将整体结构进行调整，从物理安全、网络安全、主机安全、应用安全、数据安全变成安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心，所以原等级保护1.0中的“网络安全”变成“安全通信网络”。
1【精华版】最详细的等保2.0基本要求解读结构安全-详解在等级保护2.0中，在这一小节没有明显的变化，主要是将一些过于老旧的条款进行了删除，将原等级保护1.0中的c）d）g）删除。
同时增加了“应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性”的条款，并将这一小节中的“子网、网段”都统一更换成了“网络区域”。
对企业、安全厂家、系统集成商提出的要求1)企业或集成商进行网络基础建设时，必须要对通信线路、关键网络设备和关键计算设备进行冗余配置，例如关键网络设备应采用主备或负载均衡的部署方式；2)安全厂家在进行安全解决方案设计时，也应采用主备或负载均衡的方式进行设计、部署；3)强调、突出了网络区域的概念，无论在网络基础建设，还是安全网络规划，都应该根据系统应用的实际情况进行区域划分。
等保2.0主要标准-解释说明
等保2.0主要标准-概述说明以及解释1.引言1.1 概述概述随着信息技术的不断发展和日益普及，网络空间安全问题已经成为了一个全球性难题。
为了提高国家网络安全水平，我国推出了一系列的信息安全等级保护（等保）标准。
等保标准旨在规范和指导各类网络系统、设备和服务的安全建设与管理，以保护国家的核心信息基础设施和重要信息资源的安全。
在等保标准的演进过程中，等保2.0标准应运而生。
等保2.0标准是在等保1.0标准的基础上进一步完善和提升的，以适应网络安全形势的发展和应对新的威胁挑战。
本文将从等保2.0标准的角度，对其主要内容、应用与实施以及重要性进行深入探讨。
另外，还将对等保2.0标准存在的局限性进行分析，并展望其未来的发展方向。
通过阅读本文，读者可对等保2.0标准有一个全面的了解，从而更好地理解和应用这一标准，提升网络安全保障水平，推动我国网络安全事业的健康发展。
1.2 文章结构文章结构部分的内容可以包括以下几个方面：首先，简要介绍本文的组织结构。
本文主要分为三个部分，分别是引言、正文和结论。
每个部分都涵盖了等保2.0主要标准相关的内容，通过逐步展开的方式，从整体和细节两个层面深入探讨等保2.0主要标准的方方面面。
其次，详细说明引言部分的内容。
引言部分将提供该篇文章的背景信息以及对等保2.0主要标准的整体概述。
包括等保2.0标准的定义、由来和发展背景等内容，以便读者能够对本文所述的主题有一个基本的了解。
接着，阐述正文部分的内容和结构。
正文部分是本文的核心，将对等保2.0主要标准进行详细介绍。
主要分为两个子节：等保2.0标准的介绍和等保2.0标准的主要内容。
等保2.0标准的介绍将给出更具体的详细信息，包括标准的制定机构、标准的适用范围和目标等。
而等保2.0标准的主要内容将对标准的具体要求和指导进行详细解读，包括网络安全风险评估与等级划分、网络安全保护等级与技术要求等方面。
最后，简要说明结论部分的内容和意义。
等保2.0的各级别的高风险项的归纳总结
判例场景（任意）：
1）机房无短期备用电力供应设备，例如UPS、柴油发电机、应急供电车等；
2）机房现有备用电力供应无法满足定级对象短期正常运行。
5
应提供应急供电设施
机房应急供电措施缺失
高可用性的四级系统
判例场景（任意）：
1）机房未配备应急供电设施，例如柴油发电机、应急供电车等；
2）应急供电措施不可用或无法满足定级对象正常运行需求。
二级及以上系统
判例场景（任意）：
1）关键网络设备、关键安全设备、关键主机设备（包括操作系统、数据库等）的重要操作、安全事件日志可被非预期删除、修改或覆盖等；
2）关键网络设备、关键安全设备、关键主机设备（包括操作系统、数据库等）的重要操作、安全事件日志的留存时间不满足法律法规规定的要求（不少于六个月)
等保2.0的各级别的高风险项的归纳总结，以及对应满足条件说明
序号
层面
控制点
控制项
对应案例
适用范围
满足条件
1
安全物理环境
物理访问控制
机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员
机房出入口访问控制措施缺失
二级及以上系统
机房出入口无任何访问控制措施，例如未安装电子或机械门锁（包括机房大门处于未上锁状态）、无专人值守等。
判例场景（所有）：
1）应用系统存在SQL注入、跨站脚本、上传漏洞等可能导致敏感数据泄露、网页篡改、服务器被入侵等安全事件的发生，造成严重后果的高危漏洞；
2）未采取WEB应用防火墙、云盾等技术防护手段对高危漏洞进行防范。
判例场景（所有）：
1）应用系统无任何日志审计功能，无法对重要的用户行为和重要安全事件进行审计；
2）未采取其他审计措施或其他审计措施存在漏记、旁路等缺陷，无法对应用系统重要的用户行为和重要安全事件进行溯源。
等保2.0密码技术应用分析之欧阳美创编
1 等保2.0三级要求的通用要求等保2.0三级从8.1.2安全通信网络、8.1.4安全计算环境、8.1.9安全建设管理、8.1.10安全运维管理四个域对密码技术与产品提出了要求，主要涉及以下八处密码技术：8.1.2.2通信传输a)应采用校验技术或密码技术保证通信过程中数据的完整性；b)应采用密码技术保证通信过程中数据的保密性。
8.1.4.1身份鉴别d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
8.1.4.7数据完整性a)应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；b)应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。
8.1.4.8数据保密性a)应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等；b)应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。
8.1.9.2安全方案设计b)应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计，设计内容应包含密码技术相关内容，并形成配套文件；8.1.9.3产品采购和使用b)应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求；8.1.9.7测试验收b)应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用安全性测试相关内容。
8.1.10.9密码管理b)应使用国家密码管理主管部门认证核准的密码技术和产品。
2等保2.0与0054标准中对密码技术的要求分析将等保 2.0中对密码技术与产品的要求，细化映射到《GM/T 0054-2018 信息系统密码应用基本要求》标准（简称“0054标准”）中对密码的技术要求，如下表所示：1等保2.0与0054标准对数据完整性的密码技术要求分析等保 2.0在8.1.2安全通信网络、8.1.4安全计算环境中提出，可以采用密码技术来保证数据的完整性，其中主要保护的主体是8.1.2安全通信网络中通信数据、8.1.4安全计算环境中包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息。
等保2.0时代,您需要什么样的电子门禁系统？
电子门禁系统是新型现代化安全管理系统，是解决重要区域出入口安全防范管理的必要措施，广泛应用于军械库、机要室、银行、机房、医院等各类机要部门，是我国信息化安全建设中必不可少的基础设施。
但鲜为人知的是：目前市面上大部分电子门禁系统都存在各种各样的安全隐患，比如用得最多的IC卡/M1卡电子门禁系统，早于2008年就已被破解。
为此，在2019年12月1日起正式实施的等保2.0及GMT0054-2018等相关标准中，对电子门禁系统明确了如下安全要求：
为彻底解决相关安全隐患，天津光电安辰推出了符合等保2.0 及GMT0054-2018标准要求的国密电子门禁系统。
读卡器
出门按钮
门禁控制器
电锁
读卡器
出门按钮
门禁控制器
电锁
服务中心
消防联动模块
该电子门禁系统采用了如下密码技术应用方案： 同时，该系统已通过国家密码管理局的评测，并获得国家密码管理局颁发的相关安全产品型号认证证书。
信息安全是影响国家安全的重中之重，在泄密风险无处不在的信息时代，如何采用高科技产品和技术手段来防护自身的信息安全也是一门大的学问，天津光电安辰将竭诚为您提供各种信息安全防护产品和服务，为您的信息安全保驾护航。
等保2.0政策规范解读(63页 PPT )
d) 应限制无线网络的使用，确保无线网络通过受控的边界防护设备 接入内部网络。
入侵防范
b) 应在关键网络节点处检测、防止或限制从内部发起的网络攻击行 为； (新增)
设计要求
测评要求
通用要求
云计算
物联网
移动互联
工业控制
7
。 share
等保2.0标准解读
勇 share
等级保护1.0和2.0对比
旧标准(等级保护1.0)
技术要求
物理安全 网络安全 主机安全 应用安全
管理要求
数据安全及备份恢复 安全管理制度 安全管理机构 人员安全管理 系统建设管理 系统运维管理
9
新标准(等级保护2.0)
无 入侵防范
无
a) 应采用校验码技术或密码技术保证通信过程中数据的完整性；
通信传输 b) 应采用密码技术保证通信过程中敏感信息字段或整个报文的保密 性。
a) 应保证跨越边界的访问和数据流通过边界防护设备提供的受控接 口进行通信；
边界防护
b) 应能够对非授权设备私自联到内部网络的行为进行限制或检 查；
3
4
6 防水和防潮
3
2
7 防静电
2
1
8 温湿度控制
1
4
9 电力供应
3
3
10 电磁防护
2
。 share
物理位置的选择
原控制项
新控制项
b）机房场地应避免设在建筑物的高层或 地下室,以及用水设备的下层或隔壁。 物理位置的选择
b）机房场地应避免设在建筑物的顶层或地下室, 否则应加强防水和防潮措施
防静电
无
等保2.0通用要求VS等保1.0(三级)技术部分要求详细对比
等保 2.0系列原则即将发布，网络安全级别保护基本规定通用规定在信息安全级别保护基本规定技术部分的基本上进行了某些调节，湖南金盾就网络安全级别保护基本规定通用规定在信息安全级别保护基本规定进行了具体对比，下面以三级为例进行一种对比。
网络安全级别保护基本规定通用规定技术部分与信息安全级别保护基本规定技术部分构造由本来的五个层面：物理安全、网络安全、主机安全、应用安全、数据安全，调节为四个部分：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全；技术规定“从面到点”提出安全规定，“物理和环境安全”重要对机房设施提出规定，“网络和通信安全”重要对网络整体提出规定，“设备和计算安全”重要对构成节点（涉及网络设备、安全设备、操作系统、数据库、中间件等）提出规定，“应用和数据安全”重要对业务应用和数据提出规定。
（标粗内容为三级和二级的变化，标红部门为新原则重要变化）
•
物理与环境安全VS本来物理安全
•
控制点未发生变化，规定项数由本来的32项调节为22项。
控制点
•
网络和通信安全VS本来网络安全
•
新原则减少了构造安全、边界完整性检查、网络设备防护三个控制
•
设备和计算安全VS本来主机安全
•
新原则减少了剩余信息保护一种控制点，在测评对象上，把网络设
•
应用和数据安全VS本来应用安全+数据安全及备份恢复
•
新原则将应用安全、数据安全及备份恢复两个层面合并成了应用和数据安全一种层面，减少了通信完整性、通信保密性和抗抵赖三个控制点，增长了个人信息保护控制点。
通信完整性和通信保密性的规定纳入了网络。
等保2.0之应用及数据层面测评
否对通信双方的内容进行了加密。
抗抵赖
要求项要（求2项） A. 应具有在请求的情况下为数据原发者或接收者提供数据原发证
据的功能； B. 应具有在请求的情况下为数据原发者或接收者提供数据接收证 据 的功能。
条条款款理理解解 该项要求强调应用系统应提供抗抵赖措施（如数字签名等），从而保证发送和接
应用安全测评方法
（二）通过检查，确认其是否具备相应安全功能和配置
· 查看应用是否具备有关的安全功能模块 · 检查应用相应的安全配置情况
（三）验证安全功能及安全配置的有效性
· 对于具备验证测试条件的系统，通过验证测
试判断安全防范能力
· 默认开放、无需配置的可通过验证的方式判
断其是否具备防护能力
· 对于在前序检查中结果不一致的项目，可通
成相互制约的关系； E. 应具有对重要信息资源设置敏感标记的功能； F. 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。
条条款款理理解解 三级系统要求访问控制的粒度达到文件、数据库表级，权限之间具有制约关系（
如：操作、管理、审计权限的三权分离），并利用敏感标记控制用户对重要信息 资源的操作； 在应用系统中应严格限制默认用户的访问权限，默认用户一般指应用系统的公共 帐户或测试帐户； 应用系统授予帐户所承担任务所需的最小权限，如某岗位只需进行查询操作，则 无需为其分配操作权限；同时，该项要求明确规定应在不同帐户之间形成相互制 约关系；
身份鉴别
要要求求项项（5） D. 应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出
等措施； E. 应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查 以 及登录失败处理功能，并根据安全策略配置相关参数。
等保2.0解读
等保2.0解读等保2.0解读信息安全等级保护 1.0：以GB17859-1999《计算机信息系统安全保护等级划分准则》为根标准；以GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》为基础标准；习惯将《基本要求》的2008版本及其配套规范标准称为等保1.0。
⽹络安全等级保护 2.0：2014年开始制定2.0标准，修订了通⽤安全要求，增加了云计算、移动互联、⼯控、物联⽹等安全扩展要求。
2019年5⽉13⽇发布；2019年12⽉1⽇开始实施。
名称变化：原来：《信息系统安全等级保护基本要求》改为：《信息安全等级保护基本要求》再改为：（与《⽹络安全法》保持⼀致）《⽹络安全等级保护基本要求》主要标准⽂件：⽹络安全等级保护条例（总要求/上位⽂件）计算机信息系统安全保护等级划分准则（GB 17859-1999）（上位标准）⽹络安全等级保护实施指南（GB/T25058）（正在修订）⽹络安全等级保护定级指南（GB/T22240）（正在修订）★⽹络安全等级保护基本要求（GB/T22239-2019）★⽹络安全等级保护设计技术要求（GB/T25070-2019）★⽹络安全等级保护测评要求（GB/T28448-2019）★⽹络安全等级保护测评过程指南（GB/T28449-2018）等保2.0的“变与不变”：“不变”：等级保护“五个级别”不变：1⾃主保护级；2 指导保护级；3 监督保护级；4 强制保护级；5 转控保护级等级保护“五个阶段”不变：1定级；2备案；3安全建设和整改；4信息安全等级测评；5信息安全检查等级保护“主体职责”不变：公安机关；国家保密⼯作部门；国家密码管理部门；⼯业和信息化部门为职能部门“变”：法律法规变化：不开展等级保护等于违法！并要承担相应的法律后果标准要求变化：使⽤新技术的信息系统需要同时满⾜“通⽤要求+安全扩展”的要求“优化”通⽤要求，删除了过时的测评项（增加云计算、⼯控、移动互联、物联⽹安全要求）安全体系变化：从被动防御的安全体系向事前预防、事中响应、事后审计的动态保障体系转变实施环节变化：系统定级必须经过专家评审和主管部门审核测评达到75分以上才算基本符合要求对象变化：原来：信息系统改为：等级保护对象（⽹络和信息系统）安全等级保护的对象包括⽹络基础设施（⼴电⽹、电信⽹、专⽤通信⽹络等）、云计算平台/系统、⼤数据平台/系统、物联⽹、⼯业控制系统、采⽤移动互联技术的系统等.安全要求变化：原来：安全要求改为：安全通⽤要求和安全扩展要求安全通⽤要求是不管等级保护对象形态如何必须满⾜的要求，针对云计算、移动互联、物联⽹和⼯业控制系统提出了特殊要求，称为安全扩展要求.章节结构的变化：8 第三级安全要求8.1 安全通⽤要求8.2 云计算安全扩展要求8.3 移动互联安全扩展要求8.4 物联⽹安全扩展要求8.5 ⼯业控制系统安全扩展要求分类结构变化：结构和分类调整为：（2017试⽤稿）技术部分：物理和环境安全、⽹络和通信安全、设备和计算安全、应⽤和数据安全；管理部分：安全策略和管理制度、安全管理机构和⼈员、安全建设管理、安全运维管理技术部分：(正式发布稿)安全物理环境、安全通信⽹络、安全区域边界、安全计算环境、安全管理中⼼管理部分：安全管理制度、安全管理机构、安全管理⼈员、安全建设管理、安全运维管理新等级保护的特点：1.基本要求、测评要求和技术要求框架统⼀，安全管理中⼼⽀持下的三重防护结构框架2.通⽤安全要求+新型应⽤安全扩展要求，将云计算、移动互联、物联⽹、⼯业控制等列⼊标准规范3.把基于可信根的可信验证列⼊各级别和各环节的主要功能要求新等级保护建设的核⼼思想：信息系统的安全设计应基于业务流程⾃⾝特点，建⽴“可信、可控、可管”的安全防护体系，使得系统能够按照预期运⾏，免受信息安全攻击和破坏。
等保2.0关键技术点
安全计算环境部分变化列举
身份鉴别
7
访问控制
7
安全审计
6
主机安全 剩余信息保护 2
入侵防范
3
恶意代码防范 3
资源控制
5
身份鉴别
5
访问控制
6
安全审计
4
剩余信息保护 2
应用安全 通信完整性
1
通信保密性
2
抗抵赖
2
软件容错
2
资源控制
7
数据完整性
2
数据安全及 备份恢复
数据保密性
2
备份和恢复
4
安全计算环境
控制点
要求项
身份鉴别
4
访问控制
7
安全审计
4
入侵防范
6
恶意代码防范
1
可信验证
1
数据完整性
2
数据保密性
2
数据备份恢复
3
剩余信息保护
2
个人信息保护
2
合计
34
变化列举
身份鉴别：加强用户身份鉴别，采用两种或两种以上鉴别方式，且其中 一种鉴别技术至少应使用密码技术来实现
入侵防范：新增已知漏洞发现并及时修补漏洞要求；加强对重要节点入 侵行为的检测及发生严重入侵事件报警要求
数据完整性、数据保密性：加强密码技术的应用 数据备份恢复：加强对数据备份恢复要求，异地实时备份，重要数据实
时备份至备份场地；加强重要数据处理系统的热冗余要求，保证系统的 高可用性 个人信息保护：新增个人信息保护要求
安全区域边界
术 要
安全计算环境 求
安全管理中心
等保2.0解决方案及通用要求解析
定级
步骤：确定定级对象，初步确认定级对象，专家评 审，主管部门审核、公安机关备案审查。
备案
持定级报告和备案表到当地公安机关网监部门进行 备案
建设整改
参照信息系统当前等级要求和标准，对信息系统进 行整改加固
等级测评
委托具备测评资质的测评机构对信息系统进行等级 测评，形成正式的测评报告
变化
技术（物理、网络、主机、应用、数据）+管理 技术（物理环境、一中心三防护）+管理
内容变化
等保五个规定动作 五个规定动作+新的安全要求
技术要求
物理安全
网络安全
主机安全
应用安全
等 保 1.0
数据安全 管理要求
安全管理制度
安全管理机构
人员安全管理
系统建设管理
系统运维管理
技术要求
安全物理环境
安全通信网络
“主体职责”不变
•运营使用单位对定级对 象的等级保护职责 不变 •上级主管单位对所属单 位的安全管理职责 不变 •第三方测评机构对定级 对象的安全评估职责不 变 •网安对定级对象的备案 受理及监督检查职责不 变
等级保护的基本要求、测评要求和设计技术要求统一框架，构建“一个中心，三重防护的体系框架； 通用安全要求+新型应用安全扩展要求，将云计算、移动互联、物联网、工业控制系统等列入标准规范。
构建安全区域边界
1、对区域进行分类 2、确定每类边界的控制措施 3、确实控制措施的实现方式
构建安全管理中心
1、在系统上创建系统管理员、审计管理员 和安全管理员三个账号，实现权责分离 2、基于一个或多个集中监测、集中管理系 统实现集中管控
构建安全通信网络
信息安全技术等级保护2.0
信息安全技术等级保护2.01.引言1.1 概述概述信息安全技术等级保护2.0是一种针对信息系统和网络安全的等级保护机制，旨在为不同等级的信息系统提供相应的安全防护措施和技术支持。
这一机制基于我国信息安全技术等级保护标准以及各行各业的实际需求，对传统的信息安全等级保护进行了深入的研究和改进。
随着信息系统和网络的快速发展，信息安全问题日益突出。
传统的信息安全等级保护往往只针对特定的行业和应用场景，难以满足不断更新迭代的信息系统和网络环境的需求。
因此，信息安全技术等级保护2.0应运而生，旨在提供更为灵活、适用性更强的信息安全保护方案。
与传统的信息安全技术等级保护相比，2.0版本具有更高的可扩展性和兼容性。
它将信息安全等级划分为多个具体的级别，根据不同级别的信息系统特点和安全需求，为其提供相应的安全技术规范和控制要求。
同时，2.0版本还针对新兴技术和应用场景进行了更为精细和全面的安全评估，以确保信息系统和网络在面临新威胁时能够有效应对。
本文将对信息安全技术等级保护2.0的背景和特点进行深入探讨。
通过对这一机制的分析和解读，旨在增强读者对信息安全保护的理解和认识，引起广大企事业单位对信息安全的重视和关注。
此外，本文还将对未来信息安全技术等级保护的发展趋势进行展望，为读者提供参考和借鉴。
1.2文章结构1.2 文章结构本文将按照以下结构进行论述。
首先，在引言部分，我们将概述信息安全技术等级保护2.0的背景，以及明确本文的目的。
接下来，在正文部分，我们将详细探讨信息安全技术等级保护2.0的背景，包括其发展历程、相关标准的演进等内容。
随后，我们将介绍信息安全技术等级保护2.0的特点，包括其具备的安全性能和功能，以及与传统技术等级保护的不同之处。
最后，在结论部分，我们将对本文进行总结，并对信息安全技术等级保护2.0的未来发展进行展望。
通过以上结构，本文将全面介绍并分析信息安全技术等级保护2.0的相关内容，希望能够对读者提供一个清晰的了解。
1 等保2.0三级要求的通用要求
1 等保2.0三级要求的通用要求等保2.0三级从8.1.2安全通信网络、8.1.4安全计算环境、8.1.9安全建设管理、8.1.10安全运维管理四个域对密码技术与产品提出了要求，主要涉及以下八处密码技术：8.1.2.2通信传输a)应采用校验技术或密码技术保证通信过程中数据的完整性；b)应采用密码技术保证通信过程中数据的保密性。
8.1.4.1身份鉴别d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
8.1.4.7数据完整性a)应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；b)应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。
8.1.4.8数据保密性a)应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等；b)应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。
8.1.9.2安全方案设计b)应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计，设计内容应包含密码技术相关内容，并形成配套文件；8.1.9.3产品采购和使用b)应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求；8.1.9.7测试验收b)应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用安全性测试相关内容。
8.1.10.9密码管理b)应使用国家密码管理主管部门认证核准的密码技术和产品。
2等保2.0与0054标准中对密码技术的要求分析将等保2.0中对密码技术与产品的要求，细化映射到《GM/T 0054-2018 信息系统密码应用基本要求》标准（简称“0054标准”）中对密码的技术要求，如下表所示：1等保2.0与0054标准对数据完整性的密码技术要求分析等保2.0在8.1.2安全通信网络、8.1.4安全计算环境中提出，可以采用密码技术来保证数据的完整性，其中主要保护的主体是8.1.2安全通信网络中通信数据、8.1.4安全计算环境中包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息。
最新等保2.0-外网网站信息系统密码管理规定
第一条
第二章
第二条
第三章
第三条
1）委厅机关所使用的操作系统、业务系统、数据库、网络设备等均需要支持基于帐号的访问控制功能；
2）所有需要使用口令的应用软件、业务软件都需要对口令文件提供妥善的保护。
第四条
1）只有授权用户才可以申请系统帐号；
2）任何系统的帐号设立必须按照规定的相应流程规定进行；
3）用户申请帐号前应该接受适当的培训，以确保能够正常的操作，避免对系统安全造成隐患；
4）帐号相应的权限应该以满足用户需要为原则，不得有与用户职责无关的权限；
5）对于确因工作需要而必须申请系统帐号的外部人员，则必须经部门领导批准，且有委厅机关正式员工作为安全责任人，如果需要接触委厅机关秘密信息，必须通过技术部审批并且签署保密协议；
6）任何系统的帐号必须是可以区分责任人，责任人必须细化到个人，不得以部门或个人组作为责任人。
第九条
1）普通用户口令长度不得低于8位，最近8个口令不可重复，口令中必须包含字母和数字；
2）管理员和超级管理员帐号口令长度不得低于8位，最近10个口令不可重复，口令中必须包含字母和数字，口令中同一个符号出现不得多于2次，各个口令中相同位置的字符相同的不得多于3个，口令不得为有意义的单词或短语。
第五章
10）除了系统管理员外，一般用户不能改变其它用户的口令；
11）如果需要特殊用户的口令（比如说UNIX下的Oracle），要禁止通过该用户进行交互式登录；
12）强制用户在第一次登录后改变口令；
13）在要求较高的情况下可以使用强度更高的认证机制，例如：双因素认证；
14）如果可能的话，可以使用自己密码生成器帮助用户选择口令；
3）不能将密码告诉别人；
4）如果系统的密码泄漏了，必须立即更改；
网络安全等级保护(等保2.0)解读(1)
网络安全等级保护（等保2.0）解读01前言2018年12月25日，由中关村可信计算产业联盟主办的等级保护新标准解读培训班在北京裕龙国际酒店举行。
沈昌祥院士做了《用可信计算筑牢网络安全防线》的主题演讲，公安部范春玲、李秋香和陈广勇三位专家老师对最新的网络安全等级保护制度进行了细致的解读，新华三作为可信计算联盟的理事成员单位，有幸受邀参加了此次培训。
同时作为等级保护2.0的参编单位，为了更好的学习贯彻和落实国家网络安全等级保护制度，新华三再次对会上专家的培训内容做个总结。
02等级保护标准变化等级保护新标准在编制过程中总共经历了两次大的变化，第一次是2017年8月根据网信办和公安部的意见将5个分册进行了合并，形成一个标准，并在2017年10月参加信安标委WG5工作组在研标准推进会，介绍合并后的标准送审稿，征求127家成员单位意见，修订完成报批稿；第二次大的变化是2018年7月根据沈昌祥院士的意见再次调整分类结构和强化可信计算，充分体现一个中心、三重防御的思想并强化可信计算安全技术要求的使用。
经过这两次大变化后的《网络安全等级保护基本要求》有10个章节8个附录，其中第6、7、8、9、10章为五个安全等级的安全要求章节，8个附录分别为：安全要求的选择和使用、关于等级保护对象整体安全保护能力的要求、等级保护安全框架和关键技术使用要求、云计算应用场景说明、移动互联应用场景说明、物联网应用场景说明、工业控制系统应用场景说明和大数据应用场景说明。
标准名称由原来的《信息安全技术信息系统安全等级保护基本要求》变更为《信息安全技术网络安全等级保护基本要求》，与《中华人民共和国网络安全法》保持一致。
等级保护对象由原来的“信息系统”改为“等级保护对象（网络和信息系统）”，安全等级保护对象包括基础信息网络（广电网、电信网等）、信息系统（采用传统技术的系统）、云计算平台、大数据平台、移动互联、物联网和工业控制系统等。
新版安全要求在原有通用安全要求的基础上新增安全扩展要求，安全扩展要求主要针对云计算、移动互联、物联网和工业控制系统提出了特殊安全要求。
等保2.0详解(附3级检查表)
与1.0标准相比内涵更丰富在业界，网络安全等级保护制度被誉为一项伟大创举，是中国网络安全的基石，是维护国家安全、社会秩序和公共利益的根本保障。
新时期国家网络安全等级保护制度具有鲜明特点，其实现了两个全覆盖，一是覆盖各地区、各单位、各部门、各企业、各机构，也就是覆盖全社会；二是覆盖所有保护对象，如网络、信息系统、云平台、物联网、工控系统、大数据、移动互联等各类技术应用，无一例外都要落实等级保护制度，这两个全覆盖是它的核心，是重中之重。
确立可信计算的重要技术地位等保2.0标准一个很大的特点是把可信计算使用写入了标准范围，从一级开始到四级全部提出了可信验证空间。
如可信验证一级可基于可信根对设备的系统引导程序、系统程序等进行验证，并在检测到其可信性受到破坏后进行报警；可信验证四级可基于可信根对设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的所有执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心，并进行动态关联感知。
在等级保护2.0的安全框架当中，明确提出了要态势感知，而且在等保2.0标准当中也提出要具备对新型攻击分析的能力，要能够检测对重点节点及其入侵的行为，对各类安全事件进行识别报警和分析。
为什么要学习等保2.0？【对组织的好处】学习等级保护2.0详解，可以帮助组织规避合规风险，提升企业的竞争力。
帮助企业了解等级保护2.0详解要求，为企业进行等级安全保护建设提供帮助。
【对个人的好处】全面的解析等级保护2.0的各项要求，使学习能够清晰的了解到等级保护2.0的要求重点。
为日常的信息安全管理工作提供借鉴参考。
网络安全等级保护（等保2.0）所涉及的具体指导文件：《安全等级保护划分准则》、《网络安全等级保护定级指南》、《网络安全等级保护测试评估技术指南》、《网络安全等级保护基本要求》、《云计算安全扩展要求》、《移动互联安全扩展要求》、《工业控制系统安全扩展要求》等这些文件都需要认真解读。
【详解等保】安全可控系列之一：等保2.0，催生网络安全新需求
【详解等保】安全可控系列之一：等保2.0，催生网络安全新需求主要观点网络安全等级保护2.0标准颁布在即。
从2015年开始，国家安标委开始启动等级保护2.0标准的制定。
2017年6月1号开始实施的《网络安全法》第二十一条和第五十九条以网络安全领域基本法的形式确立了国家网络安全等级保护制度，规定了等级保护制度安全措施的基线要求并赋予强制力，同时第三十一条进一步要求关键信息基础设施必须落实国家安全等级保护制度，突出保护重点。
2018年6月27日，公安部发布《网络安全等级保护条例(征求意见稿)》。
2018年11月9日，公安部网络安全保卫局总工程师郭启全在2018合肥网络安全大会上提到，等保2.0标准已在国家安标委最终审批，不日出台。
等保2.0是网络安全的一次重大升级。
等级保护2.0较1.0相比，主要变化体现在等级保护工作内容扩展、保护对象扩展、保护力度提升这几个方面。
从工作内容上来比较，除了满足等保1.0时代定级、备案、建设整改、等级测评和监督检查五个规定动作以外，把风险评估、安全监测、通报预警、案事件调查等方面的工作都纳入到等级保护的范围之内。
另外，保护对象也从传统的网络和信息系统，向“云大物智移”上扩展。
保护力度上，从原来等保1.0的十个安全控制域缩减为2.0的八个。
总体控制要求，以三级为例控制数量从290个点，调整为231个点。
这些诸多细粒度的变化，从制度层面给用户带来了一次知识更新的要求，同时也是为用户构建更加强大的安全能力提供了体系化的制度保障。
回溯等保1.0时代，等级保护政策极大促进了信息安全行业的发展。
2007年《信息安全等级保护管理办法》的发布，标志着等保1.0时代正式开启。
随后等级保护系列配套政策密集出台，推动信息安全行业景气度快速提升。
根据对启明星辰、绿盟科技、卫士通、北信源、蓝盾股份五家信息安全上市企业收入增速（中位数法）的统计，从2008到2011年我国信息安全厂商收入增速快速提升，我们认为等级保护政策是重要驱动因素之一。
等保2.0解读
等保2.0解读信息安全等级保护 1.0：以GB17859-1999《计算机信息系统安全保护等级划分准则》为根标准；以GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》为基础标准；习惯将《基本要求》的2008版本及其配套规范标准称为等保1.0。
网络安全等级保护 2.0：2014年开始制定2.0标准，修订了通用安全要求，增加了云计算、移动互联、工控、物联网等安全扩展要求。
2019年5月13日发布；2019年12月1日开始实施。
名称变化：原来：《信息系统安全等级保护基本要求》改为：《信息安全等级保护基本要求》再改为：（与《网络安全法》保持一致）《网络安全等级保护基本要求》主要标准文件：网络安全等级保护条例（总要求/上位文件）计算机信息系统安全保护等级划分准则（GB 17859-1999）（上位标准）网络安全等级保护实施指南（GB/T25058）（正在修订）网络安全等级保护定级指南（GB/T22240）（正在修订）★网络安全等级保护基本要求（GB/T22239-2019）★网络安全等级保护设计技术要求（GB/T25070-2019）★网络安全等级保护测评要求（GB/T28448-2019）★网络安全等级保护测评过程指南（GB/T28449-2018）等保2.0的“变与不变”：“不变”：等级保护“五个级别”不变：1自主保护级；2 指导保护级；3 监督保护级；4 强制保护级；5 转控保护级等级保护“五个阶段”不变：1定级；2备案；3安全建设和整改；4信息安全等级测评；5信息安全检查等级保护“主体职责”不变：公安机关；国家保密工作部门；国家密码管理部门；工业和信息化部门为职能部门“变”：法律法规变化：不开展等级保护等于违法！并要承担相应的法律后果标准要求变化：使用新技术的信息系统需要同时满足“通用要求+安全扩展”的要求“优化”通用要求，删除了过时的测评项（增加云计算、工控、移动互联、物联网安全要求）安全体系变化：从被动防御的安全体系向事前预防、事中响应、事后审计的动态保障体系转变实施环节变化：系统定级必须经过专家评审和主管部门审核测评达到75分以上才算基本符合要求对象变化：原来：信息系统改为：等级保护对象（网络和信息系统）安全等级保护的对象包括网络基础设施（广电网、电信网、专用通信网络等）、云计算平台/系统、大数据平台/系统、物联网、工业控制系统、采用移动互联技术的系统等.安全要求变化：原来：安全要求改为：安全通用要求和安全扩展要求安全通用要求是不管等级保护对象形态如何必须满足的要求，针对云计算、移动互联、物联网和工业控制系统提出了特殊要求，称为安全扩展要求.章节结构的变化：8 第三级安全要求8.1 安全通用要求8.2 云计算安全扩展要求8.3 移动互联安全扩展要求8.4 物联网安全扩展要求8.5 工业控制系统安全扩展要求分类结构变化：结构和分类调整为：（2017试用稿）技术部分：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全；管理部分：安全策略和管理制度、安全管理机构和人员、安全建设管理、安全运维管理技术部分：(正式发布稿)安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心管理部分：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理新等级保护的特点：1.基本要求、测评要求和技术要求框架统一，安全管理中心支持下的三重防护结构框架2.通用安全要求+新型应用安全扩展要求，将云计算、移动互联、物联网、工业控制等列入标准规范3.把基于可信根的可信验证列入各级别和各环节的主要功能要求新等级保护建设的核心思想：信息系统的安全设计应基于业务流程自身特点，建立“可信、可控、可管”的安全防护体系，使得系统能够按照预期运行，免受信息安全攻击和破坏。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1 等保2.0三级要求的通用要求
等保2.0三级从8.1.2安全通信网络、8.1.4安全计算环境、8.1.9安全建设管理、8.1.10安全运维管理四个域对密码技术与产品提出了要求，主要涉及以下八处密码技术：
8.1.2.2通信传输
a)应采用校验技术或密码技术保证通信过程中数据的完整性；
b)应采用密码技术保证通信过程中数据的保密性。
8.1.4.1身份鉴别
d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
8.1.4.7数据完整性
a)应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；
b)应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。
8.1.4.8数据保密性
a)应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等；
b)应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。
8.1.9.2安全方案设计
b)应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计，设计内容应包含密码技术相关内容，并形成配套文件；
8.1.9.3产品采购和使用
b)应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求；
8.1.9.7测试验收
b)应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用安全性测试相关内容。
8.1.10.9密码管理
b)应使用国家密码管理主管部门认证核准的密码技术和产品。
2等保2.0与0054标准中对密码技术的要求分析
将等保2.0中对密码技术与产品的要求，细化映射到《GM/T 0054-2018 信息系统密码应用基本要求》标准（简称“0054标准”）中对密码的技术要求，如下表所示：
1等保2.0与0054标准对数据完整性的密码技术要求分析
等保2.0在8.1.2安全通信网络、8.1.4安全计算环境中提出，可以采用密码技术来保证数据的完整性，其中主要保护的主体是8.1.2安全通信网络中通信数据、8.1.4安全计算环境中包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息。
映射到0054标准中三级要求的
物理与环境安全、网络与通信安全，设备与计算的安全中，主要保护的数据就是电子门禁系统进出记录、视频监控音像记录、通信中的数据、资源访问控制信息、重要信息资源敏感标记日志记录、访问控制策略/信息/重要信息资源敏感标记、重要数据、日志记录等数据。
这些数据应采用密码技术进行保护，保证数据的完整性，主要的密码技术实现方式可采用消息鉴别码（MAC）或数字签名。
2等保2.0与0054标准对身份鉴别中的密码技术要求分析
等保2.0中在8.1.4安全计算环境中对身份鉴别中的密码技术提出要求，要求身份鉴别中至少要使用一种密码技术，模糊原来等保1.0中的物理与环境安全、网络与通信安全，设备与计算的安全、应用与数据安全的概念。
0054标准继续沿用等保1.0，仍从物理与环境、设备与计算、网络与通信，设备与计算的安全、应用与数据安全，对信息系统中的网络设备以及用户的登录都做了详细的密码技术要求，从而保证四大层面上网络设备的边界接入、管理员、审计员、操作用户的身份的真实性。
主要的密码技术实现方式可采用对称加密、动态口令、数字签名等。
3等保2.0与0054标准对数据保密性的密码技术要求分析
等保2.0中8.1.4安全计算环境对数据的保密性也提出了要求，映射到0054标准的网络与通信安全，设备与计算的安全、应用与数据安全三大层面中，即是对数据的机密性要求。
即设备与计算中敏感信息数据字段或整个报文、网络与通信身份鉴别信息、应用与数据安全重要数据，都需要密码技术来保证机密性，主要的密码技术实现方式为加密。
4等保2.0与0054标准对不可否认性的密码技术要求分析
此外，0054标准中对不可否认性也要做了要求，主要保证的是网络和信息系统中所有需要无法否认行为，包括发送、接收、审批、创建、修改、删除、添加、配置等操作。
主要的密码技术实现方式为数字签名等。
5等保2.0与0054标准对密码产品与服务的要求分析
等保2.0中对8.1.9.3产品采购、8.1.10.9密码管理中要求密码产品与服务的采购和使用符合国家密码管理主管部门的要求，0054标准的总体要求中对密码算法、密码技术、密码产品、密码服务都做出要求，具体如下：
密码算法信息系统中使用的密码算法应当符合法律、法规的规定和密码相关国家标准、行业标准的有关要求。
密码技术信息系统中使用的密码技术应遵循密码相关国家标准和行业标准。
密码产品信息系统中使用的密码产品与密码模块应通过国家密码管理部门核准。
密码服务信息系统中使用的密码服务应通过国家密码管理部门许可。
以上要求可以看出，0054标准中要求信息系统密码应用中所使用的算法、技术、产品、服务也都需要遵循国家密码管理主管部门的要求。
6等保2.0与0054标准对密码方案及测评验收要求分析
等保2.0对密码方案及测评验收的要求，映射到0054标准的9.3实施中密码方案的规划、信息系统的建设、运行，如9.1.3等级保护第三级信息系统中要求：
信息系统规划阶段，责任单位应依据密码相关标准，制定密码应用方案，组织专家进行评审，评审意见作为项目规划立项的重要材料。
通过专家审定后的方案应作为建设、验收和测评的重要依据。