【等保实践】等级保护仅仅是合规吗？

等保的前世今生

数一数，等级保护从提出到应用已经有二十多年了，各行各业的信息化系统都发生了翻天覆地的变化。

记忆回到2000年，那一年单位引进了互联网，新建的微机室中整整齐齐摆放着50台电脑，等待着检阅。但我们更感兴趣的是，这么多台电脑如何接入互联网，所以我们先进入了微机室隔壁的“神秘房间”。它没有想象中的那么大，桌子上摆放着两个插满了线的闪着亮光的盒子，后来我们才知道这是交换机。还有一台很大的机箱，连着一根从外面接入的粗粗的线缆，同时也用网线连着交换机，它们组成了原始的拨号代理上网系统。

这套系统运行了好多年，中间所有电脑坏过几次，听说是中了几次病毒，安装杀毒软件后情况有所好转。后来又坏过几次，听说是系统被入侵，删除木马启动文件、添加外网防火墙后情况改善了。

从0到1

围绕信息化快速发展产生的各种安全威胁，1999年我国发布了《计算机信息系统安全等级保护划分准则》（GB17859），2008年发布了《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008），也发布了等级保护相关的各类指南文件。从1999年到2008年，开启了等级保护1.0的春天，网络安全建设进入了快车道，“裸奔”的信息系统成为了过去。

有人问，等级保护1.0是什么？初入网络世界的我回答，1.0是三大件，防火墙、入侵检测和防病毒。1.0是重交换组网、轻安全防护的年代，以至于我们遇到了大量攻击事件和病毒感染事件，对数据丢失变得习以为常。后来，在逐渐增强防护的过程中，我们探索出了一条适应我国国情的网络安全之路，带来了全民安全思想的第一次启航。

在2005年以前，互联网和企业网的IT应用相对简单，以制版打印、数据汇总、信息发布等业务应用为主，这些业务大都在单机上完成，模式简单。安全的最大需求是计算机病毒防护，要保证文件不被感染、破坏；网络攻击也大都是个人行为。总体来讲，信息化程度不高，人们也没有太多的安全需求。

在这个时期，作为信息系统的建设方，企业想要按照业务变化逐步扩建信息系统，但不知道该如何建设相应的安全防护体系，只能根据“你攻我防”的威胁现状，见招拆招，被动防御。各级网络监管部门作为检查方，发现安全事件不断涌现、严重程度越来越高，却不知道怎么去规范企业做好安全防御。双方都亟需一个适用于各类信息系统安全建设的方法论，指导大家进行信息系统的安全防护。在这个的背景下，2007年发布《信息安全等级保护管理办法》、2008年发布等级保护基本要求就应运而生了。

那么，再次自问等级保护1.0是什么？它是信息化的引领过程，是信息化发展带来的安全需求落地指南，是业务驱动和需求驱动的结果。

等保1.0带来的价值

等级保护1.0基本要求发布后，形成了一个部署“三大件+审计安全产品”的建设方法，基本可以应对当时的安全威胁。同时企业单位建立一定的安全管理制度，慢慢使得信息系统趋于稳定的安全状态。

现在再来看等级保护1.0，我认为它是全民意识、信息化进程、安全行业格局带来的一种安全形态，全面提高了我国信息系统安全建设和安全管理的整体水平。

在中国，2008年以前大家熟悉的是三大安全厂商。随着信息安全的多元化发展，参与者如雨后春笋般出现，一步步发展成了多维的安全生态圈。2008年能够上市的安全企业凤毛麟角，市值规模只有十来亿；2019年，上市的安全企业有19家，市值总规模突破2000亿，比十年前提升了百倍不止。等级保护1.0带动了安全产业的高速发展。

从1到2

生产力系统发展成熟，必然会出现生产场景和生产工具的革新。新技术、新业务在发展，物联网、云计算、工控、移动、大数据等新的网络形态，使传统信息系统的安全范畴进一步拓展，要求网络安全体系也要随之升级。态势感知、攻防对抗、主动防御等安全理念开始流行，等级保护1.0的安全设计显得力不从心。

2013年的“斯诺登”事件，让安全威胁上升到了国家层面，网络安全体系的全面升级变得更加迫切。我国对等级保护1.0从适用性、易用性、时效性、可操作性等方面进行完善，开展了从顶层设计到下层应用的新进程。

2014年，中共中央网络安全和信息化领导小组成立；

2017年，《网络安全法》正式实施，为等级保护工作的开展、国家关键信息基础设施的安全保护提供了法律依据；

2018年，公安部发布《网络安全等级保护条例》征求意见稿，等级保护开始迈入2.0时代；

2019年，发布《信息安全技术网络安全等级保护基本要求》GB/T22239-2019及其他等级保护系列指南。

从此，等级保护2.0成为网络安全保障的基本制度，其根本目的是保护关键信息基础设施安全，维护国家网络空间安定。