国家 / 地区
docurl=/cn/Solution/TechnologySolution/Security/Home/Solution/201712/1055439_30004_0.htm

等级保护

【发布时间:2017-12-22】
《网络安全法》于2017年6月1日正式施行,这是我国第一部全面规范网络空间安全管理方面问题的基础性法律,是我国网络空间法治建设的重要里程碑,是依法治网、化解网络风险的法律重器,是让互联网在法治轨道上健康运行的重要保障。该法的发布也标志着国家网络安全等级保护工作正式进入2.0时代,现在不做等保就是违法了。

下文将网络安全法中与等级保护有关的条款进行解读?#27835;觶?#20174;网络安全法角度梳理出我们等级保护工作的重点和核心。同时介绍下在2.0时代等级保护的标准体系和工作流程。

一、网络安全法明确了等级保护工作重点

第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求,履行下列安全保护义务,保障网络免受干扰、破坏或者未经授权的访问,防止网络数据泄露或者被窃取、篡?#27169;?/P>

解读:本条规定的是网络运营者的义务。条款提到的网络安全等级保护制度与公安部运营多年的信息系统安全等级保护制度(即等级保护1.0)有非常大的关联,也说明国?#19968;?#20462;订?#32479;?#21488;相关“网络安全等级保护”的相关配?#23383;贫齲?#21363;等级保护2.0),目前等级保护2.0标准体系的修订工作已基?#23601;?#25104;,近期即将出台。

(一) 制定内部安全管理制度和操作规程,?#33539;?#32593;络安全负责人,落实网络安全保护责任;

解读:一般第一主要责任人是单位一把手,厅长、局长、院长、校长等领导,第二主要责任人是单位具体分管信息化、分管网络安全的领导,副厅长、?#26412;?#38271;、副院长、副校长或总工等。

(二) 采取防?#37117;?#31639;机病毒和网络攻击、网络侵入?#20219;?#23475;网络安全行为的技术措施

解读:一般来说防火?#20581;DS、IPS、防病毒网关、杀毒软件?#22836;繢DOS攻击系统等属于这类技术措施。

(三) 采取监测、记录网络运行状态、网络安全?#24405;?#30340;技术措施,并按照规定留存相关的网络日志不少于六个月

解读:网络审计、行为审计、运维审计、日志管理?#27835;觥?#23433;全管理?#25945;?#21644;态?#32856;?#30693;?#25945;?#31561;都属于这类技术措施。

(?#27169;?采取数据分类、重要数据备份和加密等措施

解读:数据安全越来越重要,等保方案需要充分考虑数据备份、数据传输和数据存储安全等内容。

(五)法律、行政法规规定的其他义务

第五十九条 网络运营者违反规定拒不改正或情节严重的罚款1-10万元,直接责任人罚款0.5-5万元

二、网络安全法明确了等级保护的核心

1、关键信息基础设施的定义

第三十一条国家公共通信和信息服务、能?#30784;?#20132;通、 水利、金融、公共服务、电子政务等重要行业和领域,以及一旦遭到破坏、丧失功能或者数据泄露,可能严重危害国家安全、国计民生、公共利益的关键信息基础设施,在网络安全等级保护制度的基础上,实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。

解读:等级保护工作的核心是关键信息基础设施,本条首先定义了?#35009;?#26159;关键信息基础设施。国?#19968;?#32852;网信息办公室已于2017年7月发布《关键信息基础设施安全保护条例(征求意见稿)?#32602;?#21442;照网络安全法和关键信息基础设施安全保护条例等法律法规要求,关键信息基础设施的认定可参?#38556;?#34920;:

关键信息基础设施种类

认定标准

网络安全?#24405;?#30340;潜在影响

网站类

1)县级(含)以上党政机关网站。

2)重点新闻网站。

3)日均访问量超过100万人次的网站。

4)一旦发生网络安全事故,可能造成右边列影 响之一的。

5)其他应该认定为关键信息基础设施。

1) 影响超过100万人工作、生活;
2) 影响单个地市级行政区30%以上人口的工作、生活;
3) 造成超过100万人个人信息泄露;
4) 造成大量机构、企业敏?#34892;?#24687;泄露;
5) 造成大?#24247;?#29702;、人口、资源等国?#19968;?#30784;数据泄露;
6) 严重损害政府形象、社会秩序,或危害国家安全。

?#25945;?#31867;

1)注册用户数超过1000万,或活跃用户(每 日至少登陆一次)数超过100万。

2)日均成交订单额或交易额超过1000万元。

3)一旦发生网络安全事故,可能造成右边列

影响之一的。

4)其他应该认定为关键信息基础设施

1) 造成1000万元以上的直接经济损失;
2) 直接影响超过1000万人工作、生活;
3) 造成超过100万人个人信息泄露;
4) 造成大量机构、企业敏?#34892;?#24687;泄露;
5) 造成大?#24247;?#29702;、人口、资源等国?#19968;?#30784;数据泄露;
6) 严重损害社会和经济秩序,或危害国家安全。

生产业务类

1)地市级以上政府机关面向公众服务的业务 系统,或与医疗、安防、消防、应急指?#21360;?生产调度、交通指挥等相关的城市管理系统。

2)规模超过1500个标准机架的数据?#34892;摹?

3)一旦发生网络安全事故,可能造成右边列影响之一的。

4)其他应该认定为关键信息基础设施。

1) 影响单个地市级行政区30%以上人口的工作、生活;
2) 影响10万人?#30431;?#29992;电、用气、用油、取暖或交通出行等;
3) 导致5人以上死亡或50人以上重伤;
4) 直接造成5000万元以上经济损失;
5) 造成超过100万人个人信息泄露;
6) 造成大量机构、企业敏?#34892;?#24687;泄露;
7) 造成大?#24247;?#29702;、人口、资源等国?#19968;?#30784;数据泄露;
8) 严重损害社会和经济秩序,或危害国家安全。

2、关键信息基础设施的安全保护义务

第三十四条 运营者设置专门机?#36141;?#36127;责人、网络安全教育培训、容灾备份、应急预案和演练等。

解读:本条款说明关键信息基础设施的保护要求高于网络安全等级保护制度的一般要求,从制度、培训、灾备、应急等方面提出了进一步要求。

第五十九条 运营者拒不改正或导致危害网络安全的,罚款10-100万元,直接责任人罚款1-10万元。

3、敏?#34892;?#24687;保存

第三十七条 境内收集产生的个人信息和重要数据应当在境内存储。确需向境外提供的,应进行安全评?#39304;?/P>

解读:本条是外企和有海外业务的国内企业很关注的一条。主要是关于数据境内存储和境外数据流动的问题。核心是数据安全。这里有两个关键词,一个是“重要数据?#20445;裁?#26159;重要数据,相关的常见提法还有“业务数据”、“运营数据”、“服务数据”、“个人数据”、“企业数据”、“国家数据?#20445;?#19987;家认为,重要数据是从影响因子的权重来区分数据,是一种新的数据分类方式,而不是从用途和归属的角?#28909;?#20998;类。另一个关键词是“安全评?#39304;保?#36825;个安全评估的方式是将来要出台的配置制度。相关问题也并不清晰,例如评估对象的问题,是对要流向境外的数据进行评估?还是对业务的模式进行评估?还有谁来评估的问题,是主管单位来评估,还是运营者自?#33322;?#34892;评估? 本条说明了将来会出台“向境外提供关键信息基础设施重要数据的安全评估办法”。

第六十六条 运营者违反规定的,没收违法所得,罚款5-50万元,吊销执照,直接责任人罚款1-10万元。

4、风险检测评估

第三十八条 运营者每年至少组织一次安全风险检测评估,并评估情况和改进措施报相关部门。

解读:本条主要是关于对关键信息基础设施年度检测评估的问题。这里提到了网络安全服务机构,就是我们常说的提供风险评估等各类安全服务的机构,这些机构以后又多了一项业务了。

第五十九条 运营者拒不改正或导致危害网络安全的,罚款10-100万元,直接责任人罚款1-10万元。

三、等级保护2.0标准体系

等级保护2.0系列标?#23478;?#24418;成标准送审稿,近期将颁布出台。等级保护2.0为1+N模式,1为通用要求,适用各个行业和各个领域,N指具体的一个领域内的扩展要求,目前N为5,分别是云计算、移动互联、物联网、工业控制、大数据。未来随着技术的发展,N会不断扩展。

《网络安全等级保护基本要求第1部分:安全通用要求》
《网络安全等级保护基本要求第2部分:云计算安全扩展要求》
《网络安全等级保护基本要求第3部分:移动互联安全扩展要求》
《网络安全等级保护基本要求第4部分?#20309;?#32852;网安全扩展要求》
《网络安全等级保护基本要求第5部分:工业控制系统安全扩展要求》
《网络安全等级保护基本要求第6部分:大数据安全扩展要求》
,《网络安全等级保护设计技术要求第1部分:安全通用要求》
《网络安全等级保护设计技术要求第2部分:云计算安全扩展要求》
《网络安全等级保护设计技术要求第3部分:移动互联安全扩展要求》
《网络安全等级保护设计技术要求第4部分?#20309;?#32852;网安全扩展要求》
《网络安全等级保护设计技术要求第5部分:工业控制系统安全扩展要求》
《网络安全等级保护设计技术要求第6部分:大数据安全扩展要求》
,《网络安全等级保护测评要求第1部分:安全通用要求》
《网络安全等级保护测评要求第2部分:云计算安全扩展要求》
《网络安全等级保护测评要求第3部分:移动互联安全扩展要求》
《网络安全等级保护测评要求第4部分?#20309;?#32852;网安全扩展要求》
《网络安全等级保护测评要求第5部分:工业控制系统安全扩展要求》
《网络安全等级保护测评要求第6部分:大数据安全扩展要求》
,《网络安全等级保护测评过程指南》,《网络安全等级保护测评评估技术指南》,《网络安全等级保护测评机构能力要求?#25512;?#20272;规范》,网络安全等级保护系列标准,《网络安全等级保护实施指南》

《网络安全等级保护定级指南》

等级保护2.0工作流程

与等保1.0相比,等保2.0将风险评?#39304;?#23433;全监测、通报预警、案?#24405;?#35843;查、数据防护、灾难备份、应急处置、?#28798;?#21487;控、供应链安全、效果评价、综合考核等与网络安全密切相关的措施纳入等级保护制度并加以实施。

总结

作为全国唯一具备等级保护建设能力资质的综合网络安全厂商,新华三是国家信息安全标准委员会标准牵头单位,参与了公安部的云计算安全等级保护标准与测评要求以及国家信息?#34892;?#30340;政务云等级保护基本要求及实施指南等相关标准制定,并拥有系列齐全的安全产品?#22836;?#21153;,具备等级保护一体化交付能力,可帮助客户完成定级备案、差距?#27835;觥?#26041;案设计、整改加固、等保测评和等保运维的全部流程。新华三等级保护整体解决方案完全满足网络安全法和等级保护2.0标准体系要求,全面覆盖政府、教育、医疗、交通等多个行业的等级保护需求。另外新华三拥?#34892;?#24687;安全风险评估服务资质,可为客户提供风险检测评估服务

超级船长的宝藏援彩金