<mark id="oztn4"></mark>
0
雷鋒網(wǎng)消息，5月13日下午，國家標(biāo)準(zhǔn)新聞發(fā)布會在市場監(jiān)管總局馬甸辦公區(qū)新聞發(fā)布廳召開，網(wǎng)絡(luò)安全等級保護(hù)制度2.0標(biāo)準(zhǔn)正式發(fā)布，實(shí)施時間為2019年12月1日。
由于業(yè)務(wù)目標(biāo)的不同、使用技術(shù)的不同、應(yīng)用場景的不同等因素，不同的等級保護(hù)對象會以不同的形態(tài)出現(xiàn)，表現(xiàn)形式有基礎(chǔ)信息網(wǎng)絡(luò)、信息系統(tǒng)、云計算平臺、大數(shù)據(jù)平臺、物聯(lián)網(wǎng)系統(tǒng)、工業(yè)控制系統(tǒng)等。形態(tài)不同的保護(hù)對象面臨的威脅有所不同，安全保護(hù)需求也會有所差異。現(xiàn)有的標(biāo)準(zhǔn)體系需要提升臺階，去適應(yīng)新技術(shù)的發(fā)展，等級保護(hù)的相關(guān)標(biāo)準(zhǔn)也需要跟上新技術(shù)的變化。
“等保1.0”的標(biāo)準(zhǔn)體系在適用性、時效性、易用性、可操作性上需要進(jìn)一步擴(kuò)充和完善，因此“等保2.0“應(yīng)運(yùn)而生。
等級保護(hù)2.0安全框架
與等保1.0相比，,等保2.0發(fā)生了哪些重要變化？
首先，安全內(nèi)涵由早期面向數(shù)據(jù)的信息安全，過度到面向信息系統(tǒng)的信息保障（信息系統(tǒng)安全），并進(jìn)一步演進(jìn)為面向網(wǎng)絡(luò)空間的網(wǎng)絡(luò)安全。網(wǎng)絡(luò)安全（cybersecurity）以其更豐富的內(nèi)涵逐步取待信息安全成為安全領(lǐng)域共識，《中華人民共和國網(wǎng)絡(luò)安全法》明確規(guī)定“國家實(shí)行網(wǎng)絡(luò)安全等級保護(hù)制度“，相關(guān)法律條文和標(biāo)準(zhǔn)也需保持一致性，“等保2.0“與時俱進(jìn)的將原標(biāo)準(zhǔn)的”信息系統(tǒng)安全等級保護(hù)“改為”網(wǎng)絡(luò)安全等級保護(hù)“，例如《信息系統(tǒng)安全等級保護(hù)基本要求》改為《網(wǎng)絡(luò)安全等級保護(hù)基本要求》。
等保2.0對定級指南、基本要求、實(shí)施指南、測評過程指南、測評要求、設(shè)計技術(shù)要求等標(biāo)準(zhǔn)進(jìn)行修訂和完善，以滿足新形勢下等級保護(hù)工作的需要，其中《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)測評要求》、《信息安全技術(shù) 網(wǎng)絡(luò)安全安全等級保護(hù)基本要求》、《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)安全設(shè)計要求》已于2019年5月10日發(fā)布，并將在2019年12月1日實(shí)施。
在開展網(wǎng)絡(luò)安全等級保護(hù)工作中應(yīng)首先明確等級保護(hù)對象。
等保1.0定義等級保護(hù)對象為：信息安全等級保護(hù)工作直接作用的具體信息和信息系統(tǒng)。隨著云計算平臺、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等新形態(tài)的等級保護(hù)對象不斷涌現(xiàn)，原定義內(nèi)涵局限性日益顯現(xiàn)。
等保2.0定義等級保護(hù)對象為：包括基礎(chǔ)信息網(wǎng)絡(luò)、云計算平臺/系統(tǒng)、大數(shù)據(jù)應(yīng)用/平臺/資源、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)和采用移動互聯(lián)技術(shù)的系統(tǒng)等。
等保1.0：安全要求
等保2.0：安全通用要求和安全擴(kuò)展要求
等保2.0安全通用要求是普適性要求，是不管等級保護(hù)對象形態(tài)如何，必須滿足的要求。其中包括：云計算安全擴(kuò)展要求、移動互聯(lián)安全擴(kuò)展要求、物聯(lián)網(wǎng)安全擴(kuò)展要求、工業(yè)控制系統(tǒng)安全擴(kuò)展要求。
針對云計算、移動互聯(lián)、物聯(lián)網(wǎng)和工業(yè)控制系統(tǒng)，除了滿足安全通用要求外，還需滿足的補(bǔ)充要求稱為安全擴(kuò)展要求：
云計算
云計算安全擴(kuò)展要求針對云計算的特點(diǎn)提出特殊保護(hù)要求。云計算環(huán)境主要增加的內(nèi)容包括“基礎(chǔ)設(shè)施的位置”、“虛擬化安全保護(hù)”、“鏡像和快照保護(hù)”、“云服務(wù)商選擇”和“云計算環(huán)境管理”等方面。
移動互聯(lián)
針對移動互聯(lián)環(huán)境主要增加的內(nèi)容包括“無線接入點(diǎn)的物理位置”、“移動終端管控”、“移動應(yīng)用管控”、“移動應(yīng)用軟件采購”和“移動應(yīng)用軟件開發(fā)”等方面。
物聯(lián)網(wǎng)
物聯(lián)網(wǎng)安全擴(kuò)展要求針對物聯(lián)網(wǎng)的特點(diǎn)提出特殊保護(hù)要求。對物聯(lián)網(wǎng)環(huán)境主要增加的內(nèi)容包括“感知節(jié)點(diǎn)的物理防護(hù)”、“感知節(jié)點(diǎn)設(shè)備安全”、“感知網(wǎng)關(guān)節(jié)點(diǎn)設(shè)備安全”、“感知節(jié)點(diǎn)的管理”和“數(shù)據(jù)融合處理”等方面。
工業(yè)控制系統(tǒng)
工業(yè)控制系統(tǒng)安全擴(kuò)展要求針對工業(yè)控制系統(tǒng)的特點(diǎn)提出特殊保護(hù)要求。對工業(yè)控制系統(tǒng)主要增加的內(nèi)容包括“室外控制設(shè)備防護(hù)”、“工業(yè)控制系統(tǒng)網(wǎng)絡(luò)架構(gòu)安全”、“撥號使用控制”、“無線使用控制”和“控制設(shè)備安全”等方面。
以基本要求為例，充分體現(xiàn)一個中心，三重防御的思想（和GB/T 25070保持一致，與設(shè)計要求融合）。
總體來說，等級保護(hù)的基本要求、測評要求和設(shè)計技術(shù)要求統(tǒng)一框架，構(gòu)建“一個中心，三重防護(hù)“的安全體系；通用安全要求+新型應(yīng)用安全擴(kuò)展要求，將云計算、移動互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等列入了標(biāo)準(zhǔn)規(guī)范。
基于這些變化，進(jìn)入等保2.0時代，應(yīng)重點(diǎn)對云計算、移動互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制以及大數(shù)據(jù)安全等進(jìn)行全面安全防護(hù)，確保關(guān)鍵信息基礎(chǔ)設(shè)施安全。
文章由山石網(wǎng)科投稿，雷鋒網(wǎng)授權(quán)編輯。
雷鋒網(wǎng)雷鋒網(wǎng)
