等保2.0版本已于2019年12月1号正式生效,以下我们将从不同的视角,为您详细介绍什么是级别保护2.0。
等保1.0回顾
在讨论“等保2.0”之前,让我们来看看“等保1.0”。从等保1.0推出到现在,已经过去了十余年,在这十年中,网络安全问题得到了更多的关注。
1.0时代,如果企业对安全有足够的认识,并且能够进行等保障,那么就可以进行测试了;在中间阶段,全面的保护、穿透的试验、合规的开端就是安全的。产业分级保护全面实施,分级保险逐步进入人们的生活;从1.0开始,不管是企业,还是国家,都更加重视物质安全。“云安”、“大数据”、“工控安全”、“移动安全”等安全技术成为主流。
等保1.0将等保理念推广开来,加强了对安全的认识,由单一系统到部门、到行业,再到国家的层次,从合规到攻防对抗,使网络安全保障能力技术得到全面提高,同时也在持续地积累人才,为对等保2.0的发展提供了强有力的支持。
等保2.0是什么?
它是一项基本的国家政策和基本制度。以1.0的规范为基础,等级保护标准以积极的防御为重点,由被动的防御发展为安全可信、动态感知和全过程的事前、事中和事后的全过程的全方位的审核,从而达到对传统的信息系统、基础信息网络、云计算、大数据、物联网、移动互联网和工控信息系统的等级保护目标的覆盖。
等保2.0有哪些不变?
1.五个级别不变
从一级到五级,分别为使用者自主保护、系统审核保护、安全标记保护、结构保护和访问验证保护。
2.规定动作不变
规定动作分别为:定级、备案、建设整改、等级测评、监督检查。
3.主体职责不变
等级保护的主要责任包括:网安部门负责受理分级目标的登记和监督检查;第三方测评机构负责定级目标的安全评价;上级主管部门负责下级单位的安全管理;运营使用单位负责定级目标的等级保护责任。
等保2.0有哪些变化?
近年来,随着信息化、网络化、网络化、网络化等趋势的不断发展,传统的“等保1.0”已经不能很好地解决新的安全风险以及新技术的应用,传统的“等保1.0”已经不能适应目前的发展需求,亟需构建一种主动的防御系统。2.0版适时出台,在法规、标准要求、安全体系和执行环节上都发生了改变。
1.标准依据的变化
由规章上升到法制。《中华人民共和国网络安全法》的第21条规定了“国家对等保1.0实行分级保护”,而“等保2.0”则规定了国家对“等保2.0”的最高方针;第二十五条规定,互联网经营者应建立应对突发事件的应急计划。第三十一条规定,对重要基础设施实施分级保护,并以此为基础,对其实施重点保障;对违反第五十九条规定的个人信息系统安全的,应当依法予以处理。所以不实行分级保护就是犯法的。
2.标准要求变化
2.0版本对1.0版本进行了全面的优化,并对云计算,物联网,移动互联网,工业控制,大数据等新技术提出了新的安全需求。新技术应用于信息系统时,应做到“一般需求+扩充需求”。同时,随着新的安全环境和新的安全需求,标准涵盖范围更广,安全保护能力也得到了极大的提高。
从通用要求来看,2.0版的核心是优化。删除已失效的评价项目,合理重写评价条目,增加了防范新的网络攻击、保护个人信息等新需求,对标准结构进行了调整,将安全管理中心由管理层次上升到了技术层次。
扩展需求包括云计算,物联网,移动互联网,工业控制,大数据等。
3.安全体系变化
等保2.0的有关标准仍然采取“一个中心、三重保护”的思想,将等保1.0的被动防御的安全系统转向事前的防御、事中的应对和事后的审计。在组织管理、机制建设、安全规划、通报预警、应急处置、态势感知、能力建设、监督检查、技术测试、队伍建设、教育培训和经费支持等方面,都是一项十分重要的工作。
4.等级规定动作
保护定级、备案、建设整改、等级测评、监督检查的实施过程中,等保2.0进行了优化和调整。
(1)定级对象的变化。
等保1.0的定级对象是信息系统,而等保2.0的定级对象则扩大到了基础信息网络,工业控制系统,云计算平台,物联网,利用移动互联技术的网络,其它网络,以及大数据等多个系统平台。
(2)定级级别的变化。
当公民、法人或其他组织的合法利益受到特别重大的侵害时,相关制度的级别保护水平由1.0的二级(按照 GA/T1389)调整为三级。
(3)定级流程的变化。
等保2.0版不再自行定级,2级及以上级别的系统定级,需由有关部门和专家评审后报公安机关备案,整体分级更为严格。
(4)测评合格要求提高
与等保1.0相比,等保2.0的评价标准变了,在2.0中,评价结果被划分为:优(90分及以上)、良(80分及以上)、中等(70分及以上)、差(70分),70分以上为基本合格,基础分调高了,测评要求更加严格。
等保2.0的实施对企业有什么影响?
按照谁主管谁负责、谁运营谁负责、谁使用谁负责的原则,网络运营商已经成了等级保护的主要责任主体。因此,如何在安全、有效的情况下,对其进行等级保护评估,就成了一个亟待解决的问题。
等保护2.0主要包括5个操作步骤:等级评定,记录,建设与修正,等级评定,检查。并将其分为5个级别,按照重要性从低到高分为5个级别,并采取了相应的防护措施。