發(fā)布日期：2020年01月07日 來源： 信息安全國家工程研究中心 閱讀次數(shù)：
等級(jí)保護(hù)2.0時(shí)代已經(jīng)到來！
2019年12月1日，網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0時(shí)代正式開始。
什么是等保？
1
網(wǎng)絡(luò)安全等級(jí)保護(hù)制度是我國網(wǎng)絡(luò)安全領(lǐng)域的基本國策、基本制度，等級(jí)保護(hù)標(biāo)準(zhǔn)在1.0時(shí)代標(biāo)準(zhǔn)的基礎(chǔ)上，注重主動(dòng)防御，從被動(dòng)防御到事前、事中、事后全流程的安全可信、動(dòng)態(tài)感知和全面審計(jì)，實(shí)現(xiàn)了對(duì)傳統(tǒng)信息系統(tǒng)、基礎(chǔ)信息網(wǎng)絡(luò)、云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)和工業(yè)控制信息系統(tǒng)等級(jí)保護(hù)對(duì)象的全覆蓋。
2019年12月1日，等保2.0開始實(shí)施，這標(biāo)志著國家網(wǎng)絡(luò)安全等級(jí)保護(hù)工作步入新時(shí)代，對(duì)保障和促進(jìn)國家信息化發(fā)展，提升國家網(wǎng)絡(luò)安全保護(hù)能力，維護(hù)國家空間安全具有重要的意義。
等保2.0相比等保1.0有哪些區(qū)別/進(jìn)步？
2
等保1.0主要強(qiáng)調(diào)物理主機(jī)、應(yīng)用、數(shù)據(jù)、傳輸，而2.0版本增加了對(duì)云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制和大數(shù)據(jù)等新技術(shù)新應(yīng)用的全覆蓋。相較于等保1.0，等保2.0發(fā)生了以下主要變化：
名稱變化。
等保2.0將原來的標(biāo)準(zhǔn)《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》改為《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》，與《網(wǎng)絡(luò)安全法》保持一致。
定級(jí)對(duì)象變化。
等保1.0的定級(jí)對(duì)象是信息系統(tǒng)，現(xiàn)在2.0更為廣泛，包含：信息系統(tǒng)、基礎(chǔ)信息網(wǎng)絡(luò)、云計(jì)算平臺(tái)、大數(shù)據(jù)平臺(tái)、物聯(lián)網(wǎng)系統(tǒng)、工業(yè)控制系統(tǒng)、采用移動(dòng)互聯(lián)技術(shù)的網(wǎng)絡(luò)等。
安全要求變化。
基本要求的內(nèi)容，由安全要求變革為安全通用要求與安全擴(kuò)展要求(含云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制)。
控制措施分類結(jié)構(gòu)變化。
等保2.0依舊保留技術(shù)和管理兩個(gè)維度。
在技術(shù)上，由物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全，變更為安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境、安全管理中心；
在管理上，結(jié)構(gòu)上沒有太大的變化，從安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理，調(diào)整為安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、安全建設(shè)管理、安全運(yùn)維管理。
內(nèi)容變化。
從等保1.0的定級(jí)、備案、建設(shè)整改、等級(jí)測(cè)評(píng)和監(jiān)督檢查五個(gè)規(guī)定動(dòng)作，變更為五個(gè)規(guī)定動(dòng)作+新的安全要求(風(fēng)險(xiǎn)評(píng)估、安全監(jiān)測(cè)、通報(bào)預(yù)警、態(tài)勢(shì)感知等)。
等保2.0下網(wǎng)站群用戶安全建設(shè)挑戰(zhàn)
3
等保2.0的實(shí)施對(duì)網(wǎng)站群平臺(tái)安全防護(hù)提出了更高的要求，面臨更嚴(yán)格的監(jiān)管、測(cè)評(píng)標(biāo)準(zhǔn)，學(xué)校在對(duì)網(wǎng)站及新媒體管理過程中更具挑戰(zhàn)：
01
等保2.0安全標(biāo)準(zhǔn)難以滿足
等保2.0在等保1.0的基礎(chǔ)上覆蓋范圍更廣，內(nèi)容更精簡但內(nèi)涵更豐富，要求更高，更注重全方位主動(dòng)防御、動(dòng)態(tài)防御、整體防控和精準(zhǔn)防護(hù)。按照等保2.0標(biāo)準(zhǔn)對(duì)網(wǎng)站群進(jìn)行全方面主動(dòng)防御，提供對(duì)事前、事中、事后的感知預(yù)警、動(dòng)態(tài)防護(hù)、安全檢測(cè)、以及應(yīng)急響應(yīng)。
同時(shí)，等保2.0新增個(gè)人信息保護(hù)內(nèi)容，需要系統(tǒng)具備對(duì)文章信息、互動(dòng)留言內(nèi)容、附件信息、圖片、微博、微信等內(nèi)容在事前、事中、事后全過程提供敏感信息檢測(cè)提醒、快速一鍵處理。
02
網(wǎng)站群智能化、便捷化
運(yùn)維管理水平有待提升
移動(dòng)互聯(lián)網(wǎng)和移動(dòng)終端設(shè)備的迅速普及，人們不再只通過電腦瀏覽信息，也催生了移動(dòng)終端網(wǎng)站的出現(xiàn)，如手機(jī)版網(wǎng)站、PAD版網(wǎng)站等，如何低成本高效率的實(shí)現(xiàn)移動(dòng)化，考慮未來移動(dòng)化的需求進(jìn)行長遠(yuǎn)規(guī)劃，保證PC網(wǎng)站和移動(dòng)網(wǎng)站的安全也是高校面臨的一大挑戰(zhàn)。
此外，隨著新技術(shù)的發(fā)展，人臉識(shí)別、大數(shù)據(jù)、AI等技術(shù)逐漸普及，如何更好的利用這些先進(jìn)、智能化的工具實(shí)現(xiàn)網(wǎng)站的快速管理和運(yùn)維，也是未來高校網(wǎng)站群重點(diǎn)發(fā)展的方向。
03
技術(shù)服務(wù)過度被動(dòng)化，
站群平臺(tái)安全監(jiān)控缺乏及時(shí)掌握
當(dāng)前學(xué)校網(wǎng)站在日常維護(hù)的過程中，面對(duì)網(wǎng)站突發(fā)問題的處理，主要側(cè)重于事后被動(dòng)補(bǔ)救而不是事前監(jiān)控預(yù)防。導(dǎo)致技術(shù)服務(wù)限于被動(dòng)模式，無法實(shí)時(shí)掌握問題，及時(shí)提供解決辦法。
因此，需要采用主動(dòng)的安全監(jiān)控方式，對(duì)包含站點(diǎn)、底層環(huán)境、安全應(yīng)用、系統(tǒng)安全設(shè)置等情況進(jìn)行全程跟蹤監(jiān)控，遇到異常情況，能夠即時(shí)發(fā)現(xiàn)、即時(shí)預(yù)警、及時(shí)處理。
基于等保2.0要求的安全建設(shè)思路
4
全面支持等級(jí)保護(hù)2.0
等保2.0標(biāo)準(zhǔn)的發(fā)布為企業(yè)合規(guī)提出了更高的要求，信息系統(tǒng)廠商應(yīng)為網(wǎng)站群服務(wù)廠商在滿足國家法律法規(guī)和標(biāo)準(zhǔn)體系的前提下，通過系統(tǒng)提升，幫助用戶滿足等保2.0的相關(guān)標(biāo)準(zhǔn)和合規(guī)要求。
身份鑒別
系統(tǒng)登錄密碼規(guī)則可定，強(qiáng)度可選；提供超時(shí)自動(dòng)退出機(jī)制；可配SSL證書保證加密傳輸；能夠?qū)崿F(xiàn)密碼、驗(yàn)證碼等多重身份鑒別驗(yàn)證。
訪問控制
分級(jí)分權(quán)、細(xì)?；臋?quán)限分配，各司其職的登錄入口；多角色的訪問控制，特定資源特定訪問；全系統(tǒng)全方位日志記錄、強(qiáng)制180天日志的審計(jì)保護(hù)。
入侵防范
對(duì)數(shù)據(jù)輸入安全過濾，系統(tǒng)及應(yīng)用雙重防火墻主動(dòng)防御數(shù)據(jù)注入及腳本攻擊；通過漏洞掃描、滲透測(cè)試和源代碼審計(jì)，實(shí)現(xiàn)漏洞的全面修復(fù)。
等保2.0只是開始
根據(jù)網(wǎng)絡(luò)安全法及等級(jí)保護(hù)相關(guān)要求，企業(yè)或單位應(yīng)該按照網(wǎng)絡(luò)安全法要求嚴(yán)格落實(shí)等級(jí)保護(hù)制度、履行網(wǎng)絡(luò)安全責(zé)任、加強(qiáng)網(wǎng)絡(luò)安全防護(hù)、不斷提高網(wǎng)絡(luò)抗攻擊能力，因此還應(yīng)定期開展網(wǎng)絡(luò)的等級(jí)測(cè)評(píng)、風(fēng)險(xiǎn)評(píng)估、滲透測(cè)試、安全培訓(xùn)、安全運(yùn)維、重要時(shí)期的安全保障、日常的應(yīng)急響應(yīng)和安全通報(bào)等工作。通過這些工作夯實(shí)網(wǎng)絡(luò)安全工作的各個(gè)層面，提高安全水平和防御能力，保障企業(yè)或單位的網(wǎng)絡(luò)系統(tǒng)穩(wěn)定運(yùn)行。
部分資料來源：
信息安全國家工程研究中心
