老毛的博客

文章目录级别流程确定定级对象初步确定等级专家评审和定级核准备案审核本次从头梳理一下等保2.0涉及到的主要步骤：等保概述、定级备案、差距评估、规划设计、安全整改以及测评验收等。本节主要讲定级与备案的相关内容，涵盖一些流程以及具体定级和备案表格的填写知识。级别在给等保对象定级之前，先要知道等保有几个级别，等保2.0和1.0保持一致的，还是五个级别，一般情况下都是2级或者3级的系统为主，4级和5级一般情况碰不到，1级自主管理不做要求，所以只要做等保就是2级和3级为主，每个级别的描述根据GB 17859-

文章目录总纲安全物理环境本次从头梳理一下等保2.0涉及到的主要步骤：等保概述、定级备案、差距评估、规划设计、安全整改以及测评验收等。定级备案后就开始正式测评工作，我们忽略掉签合同、开项目启动会等非技术性环节，本节开始就要按等保测评的十个方面逐个按测评指导书结合等保要求来进行详细的分析，在开始之前先把整个大的框架先描述一下。总纲差距评估实际上就是现场测评阶段（初评），为什么叫这个名字呢？就是要找差距，即当前等保对象与等级保护要求标准的差距，由于要求标准在指定过程中考虑到语言的精炼以及篇幅，因此只给出

文章目录本次从头梳理一下等保2.0涉及到的主要步骤：等保概述、定级备案、差距评估、规划设计、安全整改以及测评验收等。定级备案后就开始正式测评工作，我们忽略掉签合同、开项目启动会等非技术性环节，本节开始就要按等保测评的十个方面逐个按测评指导书结合等保要求来进行详细的分析，在开始之前先把整个大的框架先描述一下。a）应采用校验技术或密码技术保证通信过程中数播的完整性；SSHb）应采用密码技术保证通信过程中数据的保密性。VPNa）可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序

文章目录本次从头梳理一下等保2.0涉及到的主要步骤：等保概述、定级备案、差距评估、规划设计、安全整改以及测评验收等。定级备案后就开始正式测评工作，我们忽略掉签合同、开项目启动会等非技术性环节，本节开始就要按等保测评的十个方面逐个按测评指导书结合等保要求来进行详细的分析，在开始之前先把整个大的框架先描述一下。...

文章目录数据库基线加固内容总体要求MySQLOracleSQL Server测评项要求8.1.4.7 数据完整性8.1.4.8 数据保密性8.1.4.9 数据备份恢复本次从头梳理一下等保2.0涉及到的主要步骤：等保概述、定级备案、差距评估、规划设计、安全整改以及测评验收等。定级备案后就开始正式测评工作，我们忽略掉签合同、开项目启动会等非技术性环节，本节开始就要按等保测评的安全通用要求十个方面逐个按测评指导书结合等保要求来进行详细的分析。本节继续分析安全计算环境中的数据库（服务器），这块内容在等保1.

文章目录本次从头梳理一下等保2.0涉及到的主要步骤：等保概述、定级备案、差距评估、规划设计、安全整改以及测评验收等。定级备案后就开始正式测评工作，我们忽略掉签合同、开项目启动会等非技术性环节，本节开始就要按等保测评的安全通用要求十个方面逐个按测评指导书结合等保要求来进行详细的分析。本节继续分析安全计算环境中的应用系统，对于通用要求而言，测评遇到的应用系统按构架可以分为：Browser/Server和Client/Server两种。甲方在采购或者招标的时候务必要考虑应用系统是否考虑到了等保2.0中相应

文章目录本次从头梳理一下等保2.0涉及到的主要步骤：等保概述、定级备案、差距评估、规划设计、安全整改以及测评验收等。定级备案后就开始正式测评工作，我们忽略掉签合同、开项目启动会等非技术性环节，本节开始就要按等保测评的安全通用要求十个方面逐个按测评指导书结合等保要求来进行详细的分析。本节继续分析安全计算环境中的中间件...

文章目录本次从头梳理一下等保2.0涉及到的主要步骤：等保概述、定级备案、差距评估、规划设计、安全整改以及测评验收等。定级备案后就开始正式测评工作，我们忽略掉签合同、开项目启动会等非技术性环节，本节开始就要按等保测评的安全通用要求十个方面逐个按测评指导书结合等保要求来进行详细的分析。前面几篇讲解了技术类差距评估，还有一块是安全管理中心，这部分是等保2.0中新加的内容，但是如果有堡垒机和审计系统基本上没什么问题，这里就不专门进行讲解，本节直接将安全通用要求的后面五个跟管理制度相关的内容进行讲解。..

文章目录安全管理机构8.1.7.1 岗位设置8.1.7.2 人员配备8.1.7.3 授权和审批8.1.7.4 沟通和合作8.1.7.5 审核和检查本次从头梳理一下等保2.0涉及到的主要步骤：等保概述、定级备案、差距评估、规划设计、安全整改以及测评验收等。定级备案后就开始正式测评工作，我们忽略掉签合同、开项目启动会等非技术性环节，本节开始就要按等保测评的安全通用要求十个方面逐个按测评指导书结合等保要求来进行详细的分析。从本节开始直接将安全通用要求的后面五个跟规章制度相关的内容进行讲解。相对而言管理层面

文章目录安全管理人员8.1.8.1 人员录用8.1.8.2 人员离岗8.1.8.3 安全意识教育和培训8.1.8.4 外部人员访问管理本次从头梳理一下等保2.0涉及到的主要步骤：等保概述、定级备案、差距评估、规划设计、安全整改以及测评验收等。定级备案后就开始正式测评工作，我们忽略掉签合同、开项目启动会等非技术性环节，本节开始就要按等保测评的安全通用要求十个方面逐个按测评指导书结合等保要求来进行详细的分析。从本节开始直接将安全通用要求的后面五个跟规章制度相关的内容进行讲解。相对而言管理层面的整改相对技

文章目录安全建设管理8.1.9.1 定级和备案本次从头梳理一下等保2.0涉及到的主要步骤：等保概述、定级备案、差距评估、规划设计、安全整改以及测评验收等。定级备案后就开始正式测评工作，我们忽略掉签合同、开项目启动会等非技术性环节，本节开始就要按等保测评的安全通用要求十个方面逐个按测评指导书结合等保要求来进行详细的分析。从本节开始直接将安全通用要求的后面五个跟规章制度相关的内容进行讲解。相对而言管理层面的整改相对技术层面的整改要简单，主要涉及各种规章制度，记录表等，整改成本也较低，因此对管理层面的差距

文章目录安全运维管理8.1.10.1 环境管理8.1.10.2 资产管理8.1.10.3 介质管理8.1.10.4 设备维护管理8.1.10.5 漏洞和风险管理8.1.10.6 网络和系统安全管理8.1.10.7 恶意代码防范管理8.1.10.8 配置管理8.1.10.9 密码管理8.1.10.10 变更管理8.1.10.11 备份与恢复管理8.1.10.12 安全事件处置8.1.10.13 应急预案管理8.1.10.14 外包运维管理本次从头梳理一下等保2.0涉及到的主要步骤：等保概述、定级备案、差距

文章目录安全物理环境冗余电力切换记录机房出入登记表来访人员进入机房审批表防水防潮运维记录水敏感应运维记录表视频监控系统巡检记录表消防系统运维记录表机房温湿度运维记录表备用电源运维记录表前面把差评（差距评估）报告整理完后，接下来就是甲方要按照报告中指出的不足之处进行改进，虽然说整改按理是甲方的事情，但是实际上还是需要测评人员参与的，这里还是大概按前面提到的几个方面分别来说，但是整改过程灵活性比较大、范围，设计到设备采购、环境搭建、系统配置、文档整理等，所以很难方方面面都列举全，其实应该是按差评报告一项项的进

文章目录堡垒机服务概念介绍堡垒机服务环境准备堡垒机服务安装部署堡垒机服务应用配置这里继续讲等保的整改，这节讲讲堡垒机的配置堡垒机服务概念介绍概念（来自百度百科）：堡垒机，即在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而运用各种技术手段监控和记录运维人员对网络内的服务器、网络设备、安全设备、数据库等设备的操作行为，以便集中报警、及时处理及审计定责。1.操作系统权限集中管理主要针对多用户操作系统，例如：linux。可以想象一下，我们有10个服务器要管理，然后有两个管理

文章目录应用安全整改移动应用安卓苹果安全制度整改这里继续讲等保的整改，这节讲讲应用安全整改和安全制度整改。应用安全整改应用根据目前2.0的体系，里面包含很多内容，大数据、工控、物联网、移动应用、以及常规应用：B/S、C/S。这里简单列几个。整改是要根据渗透报告来做的，测评人员在形成渗透报告过程用要有详细的操作描述和对应的截图。类似一些WEB可以有工具进行扫描并出报告，下面以移动应用为例给出大概内容。移动应用安卓1简介2检测依据3安全评估工具4检测结果评定标准5应用基本信息6安全分析结果

文章目录二级等保标准结构技术要求控制点31管理要求控制点37+1二级等保建设清单必须推荐非必须三级等保标准结构技术要求控制点31+3管理要求控制点37三级等保建设清单必须推荐非必须这里的内容在等保中级测评复习大纲里面有涉及，再次汇总一下。二级等保标准结构二级标准总共10类，68个控制点，135个安全标准项技术要求控制点31技术要求类控制点数量安全物理环境物理位置选择 、物理访问控制 、防盗窃和防破坏 、防雷击 、防火 、防水和防潮 、防静电 、温湿度控制 、电力供应、电磁

文章目录云计算概念云计算等保建设的基本原则云计算安全扩展要求云计算平台等保建设清单（三级）必选可选独立安全资源池：一实多虚预期管理能力物联网基本概念物联网与等保的联系云计算安全扩展要求物联网等保建设清单（三级）通用设备扩展设备下面几节就等保2.0的扩展要求进行展开：云物大工移。要注意的是，在这些系统进行等保测评的时候，除了要满足通用要求之外，还要满足扩展要求。例如网站放在某个云上，物理环境虽然可以不用测评，但是该云也要满足云的扩展要求，例如位置必须在国内。云计算概念关于云计算的基本概念就不罗列了，云按

本节继续讲云物大工移剩下的三个系统：大数据、工业控制系统、移动互联系统。这些本身我自己也没有实际接触过，感觉都比较虚。大数据安全扩展要求这块要求虽然说是扩展要求，但是在标准中是以附录的形式出现的，也就是这块不是强制要求。大数据等级保护安全技术体系设计，从大数据应用安全、大数据支持环境安全、访问安全、数据传输安全及管理安全等角度出发，围绕数据产生、存储、使用、销毁整个生命周期，构建大数据安全防护技术设计框架。要求小类二级控制点数量三级控制点数量安全物理环境11安全通信网络