等保2.0及法律法规要点（企业安全）

  等保2.0
安全保护等级描述
第一级：一日受到破坏会对相关公民、法人和其他组织的合法权益造成损害，但不危害国家安全、社会秩序和公共利益的一般网络。
第二级：一旦受到破坏会对相关公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造成危害,但不危害国家安全的一般网络。
第三级：一旦受到破坏会对相关公民、法人和其他组织的合法权益造成特别严重损害，或者会对社会秩序和社会公共利益造成严重危害,或者对国家安全造成危害的重要网络。
第四级：一旦受到破坏会对社会秩序和公共利益造成特别严重危害，或者对国家安全造成严重危害的特别重要网络。
第五级：—日受到破坏后会对国家安全造成特别严重危害的极其重要网络。
 

法律法规及标准

■无论什么组织开展信息安全建设，均要符合当地法律法规要求。
■特别针对跨国集团，其业务范围涉及不同地域，有不同法规和标准
■国际上对信息安全法律执行强力有效，如果违反相关法律法规，可能会被处以高额罚金及停止开展业务，甚至监禁。
《中华人民共和国网络安全法》第四十七条规定:“网络运营者应当加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取消除等处置措施，防止信息扩散,保存有关记录，并向有关主管部门报告。”
 

■网络安全法关键字
■关键信息基础设施
■“三同步”原则:安全技术措施同步规划、同步建设、同步使用。
■网络安全审查制度
■网络安全服务机构:运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估
■个人信息不能泄露

■Iso 27000系列
■IS027000信息安全管理体系–概论及术语
■IS027001 信息安全管理体系-要求
■SO/IEC27002信息安全管理-行为规范
■ISO/IEC 27003信息安全管理-实施指南.
■ISO/IEC 27004信息安全管理-测量
■ISO/IEC 27005信息安全风险管理
■ISO/IEC 27006认证机构要求
■ISO/IEC 27007信息安全管理体系审核指南

■NIST SP-800系列
■NIST SP800-53和SP800-60描述了信息系统与安全目标及风险级别对应指南
■NIST SP800-26和SP800-30分别描述了自评估指南和风险管理指南。
■NIST SP800-51描述通用缺陷和暴露（CVE）缺陷命名方案的使用。
■NIST SP800-30分别描述了自评估指南和风险管理指南。
■NIST SP800-34信息技术系统应急计划指南。
■NIST SP800-34安全内容自动化协议(SCAP）指南，用来组织、表达和测量安全相关信息的标准化方法以及参考数据