等保测评-1.0与2.0对比

 

这一期主要针对1.0与2.0的区别介绍。                    下一期：针对 二级三级的检查内容进行分析

等级测评

• 1.0与2.0
  • 了解等保测评
    • 信息安全等级保护测评，是经公安部认证的具有资质的测评机构，依据国家信息安全等级保护规范规定，受有关单位委托，按照有关管理规范和技术标准，对信息系统安全等级保护状况进行检测评估的活动。
    • 等保1.0规定
      • 2007年和2008年颁布实施的<<信息安全等级保护管理办法>>《信息安全等级保护基本要求》
    • 等保2.0规定
      • 2019年5月10日正式发布，2019年12月1日开始实施。《信息安全技术网络安全等级保护基本要求》
    • 区别
      • 1.0：主要强调物理主机、应用、数据、传输
      • 2.0：在1.0的基础上增加了对云计算、移动互联、物联网、工业控制和大数据等新技术新应用的全覆盖
  • 等级级别
    • 一级
      • 自主建设-
    • 二级
      • 非核心业务
        • 合法权益（企业个人）
        • 社会秩序/公共利益
    • 三级
      • 核心业务
    • 四级/五级
      • 中央核心系统
  • 整体区别
    • 法律规定的名称改变
      • 1.0：<<信息安全等级保护管理办法>>《信息安全等级保护基本要求》
      • 2.0：《信息安全技术网络安全等级保护基本要求》
    • 定级对象的改变
      • 1.0针对信息系统
      • 2.0针对：信息系统、基础信息网络、云计算平台、大数据平台、物联网系统、工业控制系统、采用移动互联技术的网络等。
    • 安全要求变化
      • 基本要求的内容，由安全要求变革为安全通用要求与安全扩展要求（含云计算、移动互联、物联网、工业控制）
    • 控制措施分类结构变化
      • 等保2.0依旧保留技术和管理两个维度。
      • 在技术上：由物理安全、网络安全、主机安全、应用安全、数据安全、变更为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心；
      • 在管理上：结构没有太大的变化，从安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理、调整为安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理
    • 具体内容发生的变化
      • 从等保1.0的定级、备案、建设整改、等级评测和监督检测五个常规动作，变更为五个规定动作+新的安全要求（增加了风险评估、安全监测、通报预警、案事件调查、数据防护、灾难备份、应急处理等）
    • 法律效力不同
      • 《网络安全法》第21条规定“国家实行网络安全等级保护制度，要求网络运营者应当按照网络安全等级保护制度要求，履行安全保护义务。落实网络安全等级保护制度上升为法律义务。
  • 注意事项
    • 等级测试并非安全认证：国家信息安全管理制度，企业符合法律法规的需求。
    • 等级保护测评没有相应的证书。
    • 没有发现高危安全漏洞，都可以通过评测，
    • 不关在哪里，只要是贵公司的都需要做等保测评（系统上云或者托管在其他地方也需要做等保测评、云平台最少定级三级）
    • 公司不能根据自己意愿来做等保 （谁运营，谁负责，谁使用谁负责，谁主管谁负责的原则）
  • 等保2.0 二级135项 三级211项，控制点：二级68个，三级71个
  • 角色
    • 公安机关网监部门 ——公安机关备案的测评机构——需要测评的用户单位——集成商、安全厂商
• 售前文档编写
  • 1、概述
    • 1.1 背景介绍
    • 1.2 遵循依据
      • 法律法规
      • 法律标准
    • 1.3 编制原则
      • 符合性原则：
      • 标准性原则
      • 整体性原则:
      • 保密原则
    • 1.4 项目目标
    • 1.5项目必须性
  • 2、安全需求分析
    • 2.1网络安全现状
    • 2.2初步风险分析
    • 2.3系统评测指标
      • 等级保护二、三级测评指标（注：基本要求内加粗字体为等级保护三级所包含测评指标，为加粗字体为等级保护二级标准）
      • 分类 |子类| 基本要求| 测评项数
    • 2.4需求分析
  • 3、方案总体规划
    • 3.1方案总体规划
    • 3.2整改产品规划
      • 二级必须有的设备：防火墙/UTM、入侵检测系统、网络版防病毒软件
      • 三级必须有的设备：（双机）网络、应用防火墙 ，入侵检测系统，入侵防御系统、防病毒网关，综合日志审计系统，数据库审计系统，网络版防病毒软件
      • 3.2.1：网络结构优化
        • 3.2.1.1：核心交换机|基本参数
      • 3.2.2：边界安全防护
        • 3.2.2.1：服务器边界防火墙
        • 3.2.2.2：入侵检测系统
        • 3.2.2.3：网络准入控制系统
      • 3.2.3：网络环境安全防护
        • 3.2.3.1：安全管理中心 SOC
        • 3.2.3.2:运维管理审计系统（堡垒机）
        • 3.2.3.3：安全态势感知平台
        • 3.2.3.4：数据库审计系统
        • 3.2.3.5：综合日志管理系统 （最少保存6个月）
      • 3.2.4：主机安全防护：
        • 3.2.4.1：主机集中病毒防护软件
      • 3.2.5：应用安全防护
        • 3.2.5.1：web应用防火墙系统
      • 3.2.6:数据库安全防护
        • 3.2.6.1：数据防泄漏系统
    • 3.3整改信息安全服务规划
      • 3.3.1 定级备案协助
      • 3.3.2：安全差距评估
        • 3.3.2.1：评估目录
        • 3.3.2.2：差距评估流程
          • 1、确定评估方案
          • 2、准备差距分析表
          • 3、现场差距分析
          • 4、生成差距分析报告
        • 3.3.2.3：差距评估内容
          • 1、安全技术评估
          • 2、安全管理评估
      • 3.3.3 安全整改设计
      • 3.3.4 人工安全策略加固
      • 3.3.5 管理制度建设与优化
      • 3.3.6 等级保护验收测评
        • 3.3.6.1：测评流程
          • 1、测评准备阶段
          • 2、方案编制阶段
          • 3、现场测评阶段
          • 4、分析与报告编制阶段
        • 3.3.6.2：测评方式
        • 3.3.6.3：测评内容
          • 1、安全技术评测
          • 2、安全管理评测
          • 3、系统整体评测
  • 4、项目整体清单预算
    • 产品部分：
    • 安全服务部分：