等保2.0

等级保护对象由原来的信息系统调整为基础信息网络、信息系统（含采用移动互联技术的系统）、云计算平台/系统、大数据应用/平台/资源、物联网和工业控制系统等。

3）将原来各个级别的安全要求分为安全通用要求和安全扩展要求, 安全扩展要求包括云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求以及工业控制系统安全扩展要求。安全通用要求是不管等级保护对象形态如何必须满足的要求; 针对云计算、移动互联、物联网和工业控制系统提出的特殊要求称为安全扩展要求。

5）云计算安全扩展要求针对云计算环境的特点提出。主要内容包括“ 基础设施的位置” 、“ 虚拟化安全保护” 、“ 镜像和快照保护” 、“ 云计算环境管理” 和“ 云服务商选择” 等。

6）移动互联安全扩展要求针对移动互联的特点提出。主要内容包括“ 无线接入点的物理位置” 、“ 移动终端管控” 、“ 移动应用管控” 、“ 移动应用软件采购” 和“ 移动应用软件开发” 等。

2）安全通信网络

安全通用要求中的安全通信网络部分是针对通信网络提出的安全控制要求。主要对象为广域网、城域网和局域网等; 涉及的安全控制点包括网络架构、通信传输和可信验证。

高级别系统的通信网络相对低级别系统的通信网络强化了优先带宽分配、设备接入认证、通信设备认证等方面的要求。例如, 四级相比三级增设了“ 应可按照业务服务的重要程度分配带宽, 优先保障重要业务” , “ 应采用可信验证机制对接入网络中的设备进行可信验证, 保证接入网络的设备真实可信” , “ 应在通信前基于密码技术对通信双方进行验证或认证” 等要求。

3）安全区域边界

安全通用要求中的安全区域边界部分是针对网络边界提出的安全控制要求。主要对象为系统边界和区域边界等; 涉及的安全控制点包括边界防护、访问控制、入侵防范、恶意代码防范、安全审计和可信验证。

高级别系统的网络边界相对低级别系统的网络边界强化了高强度隔离和非法接入阻断等方面的要求。例如, 四级相比三级增设了“ 应在网络边界通过通信协议转换或通信协议隔离等方式进行数据交换” , “ 应能够在发现非授权设备私自联到内部网络的行为或内部用户非授权联到外部网络的行为时, 对其进行有效阻断” 等要求。

4）安全计算环境

安全通用要求中的安全计算环境部分是针对边界内部提出的安全控制要求。主要对象为边界内部的所有对象, 包括网络设备、安全设备、服务器设备、终端设备、应用系统、数据对象和其他设备等; 涉及的安全控制点包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份与恢复、剩余信息保护和个人信息保护。

高级别系统的计算环境相对低级别系统的计算环境强化了身份鉴别、访问控制和程序完整性等方面的要求。例如, 四级相比三级增设了“ 应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别, 且其中一种鉴别技术至少应使用密码技术来实现” , “ 应对主体、客体设置安全标记, 并依据安全标记和强制访问控制规则确定主体对客体的访问” , “ 应采用主动免疫可信验证机制及时识别入侵和病毒行为, 并将其有效阻断” 等要求。

5）安全管理中心

安全通用要求中的安全管理中心部分是针对整个系统提出的安全管理方面的技术控制要求, 通过技术手段实现集中管理。涉及的安全控制点包括系统管理、审计管理、安全管理和集中管控。

高级别系统的安全管理相对低级别系统的安全管理强化了采用技术手段进行集中管控等方面的要求。例如, 三级相比二级增设了“ 应划分出特定的管理区域, 对分布在网络中的安全设备或安全组件进行管控” , “ 应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测” , “ 应对分散在各个设备上的审计数据进行收集汇总和集中分析, 并保证审计记录的留存时间符合法律法规要求” , “ 应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理” 等要求。

3.1 云计算安全扩展要求

采用了云计算技术的信息系统通常称为云计算平台。云计算平台由设施、硬件、资源抽象控制层、虚拟化计算资源、软件平台和应用软件等组成。云计算平台中通常有云服务商和云服务客户/云租户两种角色。根据云服务商所提供服务的类型, 云计算平台有软件即服务（SaaS）、平台即服务（PaaS）、基础设施即服务（IaaS）3种基本的云计算服务模式。在不同的服务模式中, 云服务商和云服务客户对资源拥有不同的控制范围, 控制范围决定了安全责任的边界。

云计算安全扩展要求是针对云计算平台提出的安全通用要求之外额外需要实现的安全要求。云计算安全扩展要求涉及的控制点包括基础设施位置、网络架构、网络边界的访问控制、网络边界的入侵防范、网络边界的安全审计、集中管控、计算环境的身份鉴别、计算环境的访问控制、计算环境的入侵防范、镜像和快照保护、数据安全性、数据备份恢复、剩余信息保护、云服务商选择、供应链管理和云计算环境管理。

3.2 移动互联安全扩展要求

采用移动互联技术的等级保护对象, 其移动互联部分通常由移动终端、移动应用和无线网络3部分组成。移动终端通过无线通道连接无线接入设备接入有线网络; 无线接入网关通过访问控制策略限制移动终端的访问行为; 后台的移动终端管理系统（如果配置）负责对移动终端的管理, 包括向客户端软件发送移动设备管理、移动应用管理和移动内容管理策略等。

移动互联安全扩展要求是针对移动终端、移动应用和无线网络提出的特殊安全要求, 它们与安全通用要求一起构成针对采用移动互联技术的等级保护对象的完整安全要求。移动互联安全扩展要求涉及的控制点包括无线接入点的物理位置、无线和有线网络之间的边界防护、无线和有线网络之间的访问控制、无线和有线网络之间的入侵防范, 移动终端管控、移动应用管控、移动应用软件采购、移动应用软件开发和配置管理。

3.3 物联网安全扩展要求

物联网从架构上通常可分为3个逻辑层, 即感知层、网络传输层和处理应用层。其中感知层包括传感器节点和传感网网关节点或RFID标签和RFID读写器, 也包括感知设备与传感网网关之间、RFID标签与RFID读写器之间的短距离通信（通常为无线）部分; 网络传输层包括将感知数据远距离传输到处理中心的网络, 如互联网、移动网或几种不同网络的融合; 处理应用层包括对感知数据进行存储与智能处理的平台, 并对业务应用终端提供服务。对大型物联网来说, 处理应用层一般由云计算平台和业务应用终端构成。

对物联网的安全防护应包括感知层、网络传输层和处理应用层。由于网络传输层和处理应用层通常由计算机设备构成, 因此这两部分按照安全通用要求提出的要求进行保护。物联网安全扩展要求是针对感知层提出的特殊安全要求, 它们与安全通用要求一起构成针对物联网的完整安全要求。

物联网安全扩展要求涉及的控制点包括感知节点的物理防护、感知网的入侵防范、感知网的接入控制、感知节点设备安全、网关节点设备安全、抗数据重放、数据融合处理和感知节点的管理。

3.4 工业控制系统安全扩展要求

工业控制系统通常是可用性要求较高的等级保护对象。工业控制系统是各种控制系统的总称, 典型的如数据采集与监视控制系统（SCADA）、集散控制系统（DCS）等。工业控制系统通常用于电力, 水和污水处理, 石油和天然气, 化工, 交通运输, 制药, 纸浆和造纸, 食品和饮料以及离散制造（如汽车、航空航天和耐用品）等行业。

工业控制系统从上到下一般分为5个层级, 依次为企业资源层、生产管理层、过程监控层、现场控制层和现场设备层, 不同层级的实时性要求有所不同, 对工业控制系统的安全防护应包括各个层级。由于企业资源层、生产管理层和过程监控层通常由计算机设备构成, 因此这些层级按照安全通用要求提出的要求进行保护。

工业控制系统安全扩展要求是针对现场控制层和现场设备层提出的特殊安全要求, 它们与安全通用要求一起构成针对工业控制系统的完整安全要求。工业控制系统安全扩展要求涉及的控制点包括室外控制设备防护、网络架构、通信传输、访问控制、拨号使用控制、无线使用控制、控制设备安全、产品采购和使用以及外包软件开发。

详细标准，见http://netinfo-security.org/article/2019/1671-1122-19-2-77.html