等級保護對企業(yè)、安全廠(chǎng)家和系統集成商提出更高的要求
一、背景
等級保護2.0發(fā)布后，市場(chǎng)上鋪天蓋地的出現了眾多解讀文章，但大部分文章只停留在總體變化的描述，缺少對等級保護2.0具體條款與等級保護1.0具體基本技術(shù)要求的區別分析。
本文以幫助企業(yè)理解等級保護2.0基本要求為導向，對等級保護2.0和1.0在基本技術(shù)要求存在的區別進(jìn)行具體分析。在等級保護2.0合規要求下，滿(mǎn)足基本符合等級保護要求從1.0的60分提高到了2.0的75分，這無(wú)疑對企業(yè)、系統集成商和安全廠(chǎng)家提出了更高的要求和挑戰：
● 采用何種安全技術(shù)手段、何種安全防護體系能夠滿(mǎn)足等級保護2.0基本要求？
● 如何為企業(yè)提供既能解決用戶(hù)切實(shí)的需求，又合法、合規的安全解決方案？
● 如何幫助企業(yè)既能合理規劃網(wǎng)絡(luò )安全的費用投入，又能提高自身網(wǎng)絡(luò )安全防護能力，達到相關(guān)等級保護級別測評要求？
下面將結合等級保護1.0（三級）的具體條款和等級保護2.0（三級）的關(guān)鍵條款變化進(jìn)行詳細的解讀。（本文主要針對網(wǎng)絡(luò )安全部分進(jìn)行詳細解讀分析）
網(wǎng)絡(luò )安全-關(guān)鍵條款變化
條款對比詳解
整合內容詳解
新增條款詳解
1
網(wǎng)絡(luò )安全-關(guān)鍵條款變化
由于等級保護2.0中將整體結構進(jìn)行調整，從物理安全、網(wǎng)絡(luò )安全、主機安全、應用安全、數據安全變成安全物理環(huán)境、安全通信網(wǎng)絡(luò )、安全區域邊界、安全計算環(huán)境和安全管理中心，所以原等級保護1.0中的“網(wǎng)絡(luò )安全”變成“安全通信網(wǎng)絡(luò )”。
結構安全-詳解
在等級保護2.0中，在這一小節沒(méi)有明顯的變化，主要是將一些過(guò)于老舊的條款進(jìn)行了刪除，將原等級保護1.0中的c）d）g）刪除。同時(shí)增加了“應提供通信線(xiàn)路、關(guān)鍵網(wǎng)絡(luò )設備和關(guān)鍵計算設備的硬件冗余，保證系統的可用性”的條款，并將這一小節中的“子網(wǎng)、網(wǎng)段”都統一更換成了“網(wǎng)絡(luò )區域”。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求
1) 企業(yè)或集成商進(jìn)行網(wǎng)絡(luò )基礎建設時(shí)，必須要對通信線(xiàn)路、關(guān)鍵網(wǎng)絡(luò )設備和關(guān)鍵計算設備進(jìn)行冗余配置，例如關(guān)鍵網(wǎng)絡(luò )設備應采用主備或負載均衡的部署方式；
2) 安全廠(chǎng)家在進(jìn)行安全解決方案設計時(shí)，也應采用主備或負載均衡的方式進(jìn)行設計、部署；
3) 強調、突出了網(wǎng)絡(luò )區域的概念，無(wú)論在網(wǎng)絡(luò )基礎建設，還是安全網(wǎng)絡(luò )規劃，都應該根據系統應用的實(shí)際情況進(jìn)行區域劃分。
訪(fǎng)問(wèn)控制-詳解
在等級保護2.0中，對于訪(fǎng)問(wèn)控制這一節變化較大，首先將等級保護1.0訪(fǎng)問(wèn)控制這一小節從原來(lái)網(wǎng)絡(luò )安全中的條款變更到安全區域邊界這一節中，其次刪除了等級保護1.0中大部分條款，如上圖，將c）d）e）f）g）h）全部刪除。同時(shí)在上一節網(wǎng)絡(luò )架構提出網(wǎng)絡(luò )區域的基礎上，進(jìn)一步強調區域的概念，強調應在網(wǎng)絡(luò )邊界或區域之間部署訪(fǎng)問(wèn)控制設備，并強調了“應對進(jìn)、出網(wǎng)絡(luò )的數據流實(shí)現基于應用協(xié)議和應用內容的訪(fǎng)問(wèn)控制”，對應用協(xié)議、數據內容的深度解析提出了更高的要求。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求
1) 要著(zhù)重考慮網(wǎng)絡(luò )邊界的訪(fǎng)問(wèn)控制手段，但網(wǎng)絡(luò )邊界不僅僅是業(yè)務(wù)系統對其他系統的網(wǎng)絡(luò )邊界，還應該包括在業(yè)務(wù)系統內不同工藝區域的網(wǎng)絡(luò )邊界；
2) 訪(fǎng)問(wèn)控制的顆粒度要進(jìn)一步的強化，不僅僅要停留在對于HTTP,FTP,TELNET,SMTP等通用協(xié)議的命令級控制程度，而是要對進(jìn)出網(wǎng)絡(luò )數據流的所有應用協(xié)議和應用內容都要進(jìn)行深度解析；
3）企業(yè)用戶(hù)在進(jìn)行網(wǎng)絡(luò )安全防護項目招標時(shí)一定要考慮參與投標的安全廠(chǎng)家所采用的邊界訪(fǎng)問(wèn)控制設備是否具備對應用協(xié)議深度解析的能力，例如在工業(yè)控制系統，除了能夠對比較常見(jiàn)的OPC、ModBus TCP、DNP3、S7等協(xié)議進(jìn)行深度解析外，還需要根據現場(chǎng)業(yè)務(wù)實(shí)際情況，對業(yè)務(wù)系統中使用的私有協(xié)議進(jìn)行自定義深度解析，否則很難達到測評要求。
安全審計-詳解
在等級保護2.0中，將等級保護1.0安全審計這一小節從原來(lái)網(wǎng)絡(luò )安全中的條款變更安全區域邊界這一節中，將原條款的c）去掉，并對其他三條都進(jìn)行了強化，尤其是a）條款，同時(shí)增加了“應能對遠程訪(fǎng)問(wèn)的用戶(hù)行為、訪(fǎng)問(wèn)互聯(lián)網(wǎng)用戶(hù)行為等都進(jìn)行行為審計和數據分析”。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求
1) 重點(diǎn)強調了需要在網(wǎng)絡(luò )邊界、重要網(wǎng)絡(luò )節點(diǎn)處進(jìn)行網(wǎng)絡(luò )行為審計，要求企業(yè)在進(jìn)行網(wǎng)絡(luò )安全防護項目時(shí)要充分考慮網(wǎng)絡(luò )邊界和重要網(wǎng)絡(luò )節點(diǎn)的行為審計能力，例如在城市軌道交通信號系統中，車(chē)站分為一級集中站、二級集中站和非集中站，結合等級保護2.0的要求，需要在一級和二級集中站都要考慮部署具備網(wǎng)絡(luò )行為審計能力的安全產(chǎn)品。而僅僅在一級集中站內部署具有網(wǎng)絡(luò )行為審計能力的產(chǎn)品是不夠的。
2) 重點(diǎn)強調網(wǎng)絡(luò )行為審計，即對網(wǎng)絡(luò )流量進(jìn)行審計，而這僅僅靠原有的日志審計類(lèi)產(chǎn)品是不夠的，無(wú)法滿(mǎn)足等級保護2.0的要求。
邊界完整性&入侵防范&惡意代碼防范-詳解
將這三點(diǎn)放到一起是因為彼此之間具備一定的連帶關(guān)系，將等級保護1.0中的邊界完整性檢查、入侵防范和惡意代碼防范這3節都變更到等級保護2.0中的安全區域邊界中。在邊界完整性檢查的這一節中，原等級保護1.0中要求必須準確定位并有效阻斷非法外聯(lián)、內聯(lián)的行為，但在等級保護2.0中要求中，提出了“防止或限制”的要求，取消了原等級保護1.0中的“定位”要求；入侵防范這一節中，主要提出了對于網(wǎng)絡(luò )行為的分析，并且能夠實(shí)現“已知”和“未知”的攻擊行為檢測能力。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求
1) 對于企業(yè)和系統集成商，在進(jìn)行網(wǎng)絡(luò )安全防護項目招標時(shí)要充分考慮對于在等級保護2.0中所提出的對于“已知”和“未知”的檢測要求。尤其在進(jìn)行安全廠(chǎng)家選擇時(shí)，要重點(diǎn)考慮安全廠(chǎng)家對于“未知”攻擊的檢測能力；
2) 對于安全廠(chǎng)家，網(wǎng)絡(luò )安全審計或入侵檢測產(chǎn)品不應僅僅局限在采用“特征庫”的形式進(jìn)行攻擊檢測，因為采用以“特征庫”為模板的形式無(wú)法對“未知”攻擊進(jìn)行檢測；
3) 對于安全廠(chǎng)家，入侵防范的范圍變化，需要在網(wǎng)絡(luò )安全解決方案設計時(shí)充分考慮，不應僅僅在網(wǎng)絡(luò )邊界處進(jìn)行入侵防范，還需要在網(wǎng)絡(luò )中的關(guān)鍵節點(diǎn)處均需要進(jìn)行入侵防范。
網(wǎng)絡(luò )設備防護-詳解
該小節在等級保護2.0全部被刪除，并整合到“安全計算環(huán)境”中。
以下內容以等級保護三級為基礎，針對等級保護2.0中安全計算環(huán)境部分進(jìn)行解讀。
再次回顧等級保護2.0的整體變化，整體結構從物理安全、網(wǎng)絡(luò )安全、主機安全、應用安全、數據安全變成安全物理環(huán)境、安全通信網(wǎng)絡(luò )、安全區域邊界、安全計算環(huán)境和安全管理中心，其中原等級保護1.0中的“主機安全”部分整合到“安全計算環(huán)境”中。
2
條款對比詳解
身份鑒別
在身份鑒別這一小節中首先弱化了系統的概念，提出標識的唯一性，將原等級保護1.0中老舊條款的e）刪除。同時(shí)對雙因子認證進(jìn)行了加強，強調“口令、密碼技術(shù)、生物技術(shù)的組合鑒別，要求其中一種至少應使用密碼技術(shù)來(lái)實(shí)現”。
>>>
高風(fēng)險強調
在身份鑒別這部分要求中，設備存在弱口令，遠程管理無(wú)防護和缺少雙因子認證均是高危風(fēng)險項。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
1) 集成商進(jìn)行業(yè)務(wù)應用軟件設計時(shí)，應考慮業(yè)務(wù)應用系統在“用戶(hù)名”+“口令”的基礎上進(jìn)一步實(shí)現通過(guò)密碼技術(shù)對登錄用戶(hù)的身份進(jìn)行鑒別，同時(shí)應避免業(yè)務(wù)應用系統的弱口令問(wèn)題；
2) 集成商進(jìn)行業(yè)務(wù)應用軟件設計時(shí)，應充分考慮用戶(hù)權限的控制以及用戶(hù)在登錄失敗后的處理機制；
3) 企業(yè)在業(yè)務(wù)運營(yíng)期間不可通過(guò)不可控的網(wǎng)絡(luò )環(huán)境進(jìn)行遠程管理，容易被監聽(tīng)，造成數據的泄露，甚至篡改；
4) 安全廠(chǎng)家在進(jìn)行安全產(chǎn)品選用時(shí)，應采用具有兩種或以上的組合鑒別方式的安全防護軟件對登錄系統的管理用戶(hù)進(jìn)行身份鑒別。滿(mǎn)足本地身份認證和第三方遠程身份認證雙因子驗證要求。
訪(fǎng)問(wèn)控制
在訪(fǎng)問(wèn)控制這一小節中，主要是將原等級保護1.0中的條款進(jìn)行了完善，強調“強制訪(fǎng)問(wèn)控制”，明確授權主體可以通過(guò)配置策略規定對客體的訪(fǎng)問(wèn)規則，控制粒度等。
>>>
高風(fēng)險強調
要求項中，未重命名或刪除默認賬戶(hù)，未修改默認賬戶(hù)的默認口令屬于高風(fēng)險項。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
1) 集成商進(jìn)行業(yè)務(wù)應用軟件設計時(shí)，應充分考慮用戶(hù)權限的控制以及用戶(hù)在登錄失敗后的處理機制，確保業(yè)務(wù)應用系統不存在訪(fǎng)問(wèn)控制失效的情況；
2) 企業(yè)或集成商在進(jìn)行系統配置時(shí)，應為用戶(hù)分配賬戶(hù)和權限，刪除或重命名默認賬戶(hù)及默認口令，刪除過(guò)期、多余和共享的賬戶(hù)；
3) 安全廠(chǎng)家在進(jìn)行安全產(chǎn)品選用時(shí)，應采用符合強制訪(fǎng)問(wèn)控制要求的安全防護軟件對主機、系統進(jìn)行防護，可以有效的降低高風(fēng)險項的風(fēng)險等級。
安全審計
在安全審計這一小節中，主要是將一些過(guò)于老舊的條款進(jìn)行了刪除，將原等級保護1.0中的a）b）d）條款刪除，整合為“啟用安全審計功能，審計覆蓋到每個(gè)用戶(hù)，對重要的用戶(hù)行為和重要安全事件進(jìn)行審計”。審計記錄中刪除“主體標識、客體標識和結果等”并改為“事件是否成功及其他與審計相關(guān)的信息”，增加對審計記錄的“定期備份”。
高風(fēng)險強調
要求項中，未啟用安全審計功能，審計覆蓋到每個(gè)用戶(hù)，未對重要的用戶(hù)行為和重要安全事件未進(jìn)行審計屬于高風(fēng)險項。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
1) 對集成商而言，業(yè)務(wù)應用系統軟件的安全審計能力至關(guān)重要，需要能夠對重要用戶(hù)操作、行為進(jìn)行日志審計，并且審計的范圍不僅僅是針對前端用戶(hù)，也要針對后端用戶(hù)；
2) 對企業(yè)來(lái)說(shuō)，在基礎建設時(shí)應該在重要核心設備、操作系統、數據庫性能允許的前提下，開(kāi)啟用戶(hù)操作類(lèi)和安全事件的審計策略，并在安全運營(yíng)的過(guò)程中對策略的開(kāi)啟定期檢查；
3) 安全廠(chǎng)家在進(jìn)行安全審計產(chǎn)品選用時(shí)，應采用可以覆蓋到每個(gè)用戶(hù)并可對重要的用戶(hù)行為和重要安全事件進(jìn)行審計的產(chǎn)品?？衫萌罩緦徲嬒到y實(shí)現對日志的審計分析并生產(chǎn)報表，通過(guò)堡壘機來(lái)實(shí)現對第三方運維操作的審計。
剩余信息保護
在剩余信息保護這一小節沒(méi)有明顯的變化，主要是將“操作系統和數據庫系統用戶(hù)”和“無(wú)論這些信息是存放在硬盤(pán)上還是在內存中”等限制性條件進(jìn)行了刪除，將“系統內的文件、目錄和數據庫記錄等資源所在的存儲空間”改為“存有敏感數據的存儲空間”。
高風(fēng)險強調
應保證鑒別信息所在的存儲空間被釋放或重新分配前得到完全清除，該項為高風(fēng)險項。如果身份鑒別信息釋放或清除機制存在缺陷，如在清除身份鑒別信息后，仍能進(jìn)行訪(fǎng)問(wèn)資源的操作，屬于高風(fēng)險。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
企業(yè)或集成商在服務(wù)器上啟用基于操作系統本身的剩余信息保護功能。
入侵防范
在入侵防范這一小節中，將a）和b）進(jìn)行了整合，“重要服務(wù)器”改為“重要節點(diǎn)”，新增d）和e），要求系統可以對數據進(jìn)行有效性檢驗，同時(shí)可以發(fā)現系統存在的已知漏洞，在驗證后可以進(jìn)行修補。
高風(fēng)險強調
不必要的服務(wù)、端口未關(guān)閉；管理終端管控無(wú)措施均屬于高危風(fēng)險項目。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
1) 企業(yè)或集成商在進(jìn)行系統安裝時(shí)，遵循最小安裝原則，僅安裝業(yè)務(wù)應用程序及相關(guān)的組件；
2) 企業(yè)或集成商進(jìn)行應用軟件開(kāi)發(fā)時(shí)，需要考慮應用軟件本身對數據的符合性進(jìn)行檢驗，確保通過(guò)人機接口或通信接口收到的數據內容符合系統應用的要求；
3) 企業(yè)或集成商在選擇主機安全防護軟件時(shí)除了要考慮主機安全防護軟件的安全功能以外，還要考慮與實(shí)際業(yè)務(wù)場(chǎng)景結合的問(wèn)題，能夠有效的幫助業(yè)主解決實(shí)際痛點(diǎn)。工業(yè)現場(chǎng)大部分現場(chǎng)運維人員對安全知之甚少，很難嚴格按照等級保護要求將安全配置一一完善，所以選擇的主機安全防護軟件應可以通過(guò)最簡(jiǎn)單的配置來(lái)滿(mǎn)足等級保護的要求；
4) 解決安全漏洞最直接的辦法是更新補丁，但對于工業(yè)控制系統而言，打補丁的動(dòng)作越謹慎越好，避免由于更新補丁而影響到生產(chǎn)業(yè)務(wù)。該條款需要企業(yè)委托第三方工控安全廠(chǎng)家對系統進(jìn)行漏洞的掃描，發(fā)現可能存在的已知漏洞，根據不同的風(fēng)險等級形成報告，企業(yè)或集成商根據報告在離線(xiàn)環(huán)境經(jīng)過(guò)測試評估無(wú)誤后對漏洞進(jìn)行修補。
惡意代碼防范
在惡意代碼防范這一小節將a)、b）、c）進(jìn)行了整合，同時(shí)提出了主動(dòng)免疫可信驗證機制，即“文件加載執行控制”的“白名單”技術(shù)。
高風(fēng)險強調
未安裝防惡意代碼軟件，并進(jìn)行統一管理，無(wú)法防止來(lái)自于外部的病毒、惡意代碼入侵，為高風(fēng)險項。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
工業(yè)現場(chǎng)惡意代碼防范一直是用戶(hù)的痛點(diǎn)，受制于工業(yè)現場(chǎng)環(huán)境，殺毒軟件無(wú)法在工業(yè)環(huán)境內發(fā)揮作用。誤殺、漏殺、占用資源、無(wú)法升級等問(wèn)題一直被詬病。所以在工業(yè)場(chǎng)景中應該選擇采用白名單機制的安全防護軟件。
資源控制
資源控制這一小節整體進(jìn)行了刪減，將部分內容整合到集中管控章節。
3
整合內容詳解
將原等級保護1.0數據安全內容整合到安全計算環(huán)境中
高風(fēng)險強調
數據傳輸完整性保護和保密性保護，針對不同的業(yè)務(wù)場(chǎng)景，如業(yè)務(wù)場(chǎng)景對數據傳輸的完整性要求高，未采取相應措施，則為高風(fēng)險；如業(yè)務(wù)場(chǎng)景對數據傳輸保密性要求高，未采取相應措施，則為高風(fēng)險。
數據存儲完整性保護和保密性保護，針對不同的業(yè)務(wù)場(chǎng)景，如業(yè)務(wù)場(chǎng)景對數據存儲的完整性要求高，未采取相應措施，則為高風(fēng)險；如業(yè)務(wù)場(chǎng)景對數據存儲保密性要求高，未采取相應措施，則為高風(fēng)險。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
在工業(yè)現場(chǎng)大部分的場(chǎng)景對于數據傳輸、存儲完整性要求要高于數據傳輸、存儲保密性要求。對于系統集成商在應用通過(guò)密碼技術(shù)來(lái)保證傳輸數據的完整性，并在服務(wù)器端對數據有效性進(jìn)行驗證。
在工業(yè)現場(chǎng)關(guān)鍵服務(wù)器、工作站內存儲的業(yè)務(wù)軟件及配置文件的完整性和可用性是至關(guān)重要的，一旦其完整性遭到破壞，直接影響現場(chǎng)生產(chǎn)任務(wù)。所以對于安全廠(chǎng)家提出的要求就是其安全防護軟件應可以通過(guò)訪(fǎng)問(wèn)控制功能，對存儲的數據、配置文件進(jìn)行完整性保護，避免遭到非法破壞。
企業(yè)應建立異地備份中心，同時(shí)形成數據備份制度，定期進(jìn)行現場(chǎng)的關(guān)鍵數據、配置文件的備份。
以下內容將以等級保護三級為基礎，針對等級保護2.0中安全管理中心部分進(jìn)行解讀。
在原等保1.0中技術(shù)要求部分沒(méi)有單獨設立章節對安全管理中心進(jìn)行要求，只在“管理要求→系統運維管理下→監控管理和安全管理中心”一節中提到“應建立安全管理中心，對設備狀態(tài)、惡意代碼、補丁升級、安全審計等安全相關(guān)事項進(jìn)行集中管理”。在等級保護2.0的整體變化中，單獨設立“安全管理中心”章節，強化安全管理中心的概念，突出安全管理中心在信息安全等級保護建設中的重要性。
4
新增條款詳解
在等級保護2.0“安全管理中心”章節中，“系統管理”、“審計管理”和“安全管理”三小節中對分別對系統管理員、審計管理員和安全管理員的管理主體、權限控制和管控過(guò)程提出明確要求，同時(shí)要求安全管理中心內的管理系統符合“三權分立”權限管理模式，并在“集中管控”小節中對管理系統需要符合的集中管控功能進(jìn)行了規定。
系統管理
在“系統管理”這一小節中，要求安全管理中心內的管理系統應具備對系統管理員的身份鑒別、特定命令和操作界面控制和操作審計等功能，并要求系統管理員作為系統資源和運行配置的唯一主體。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求
1) 集成商進(jìn)行整體架構設計時(shí)，應合理設置安全管理中心，且安全管理中心內的管理系統應具備系統管理員配置和管控的相應功能；
2) 企業(yè)或集成商在系統配置時(shí)，應確保系統管理員作為唯一主體通過(guò)安全管理中心進(jìn)行系統配置；
3) 安全廠(chǎng)家在進(jìn)行產(chǎn)品選用和開(kāi)發(fā)時(shí)，應采用管理權限模塊化設計且符合系統管理要求的管理系統對管理主體、權限和對象進(jìn)行控制，確保系統管理安全性。
審計管理
在“審計管理”這一小節中，要求安全管理中心內的管理系統應具備對審計管理員的身份鑒別、特定命令和操作界面控制和操作審計等功能，并要求審計管理員作為審計記錄分析和管控的唯一主體。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
1) 集成商進(jìn)行整體架構設計時(shí)，應合理設置安全管理中心，且安全管理中心內的管理系統應具備審計管理員配置和管控的相應功能；
2) 企業(yè)或集成商在進(jìn)行審計記錄分析和管控時(shí)，應確保審計管理員作為唯一主體進(jìn)行分析和管控，設定安全審計策略；
3) 安全廠(chǎng)家在進(jìn)行產(chǎn)品選用和開(kāi)發(fā)時(shí)，應采用管理權限模塊化設計且符合審計管理要求的管理系統對審計記錄和審計策略等進(jìn)行控制，確保系統審計管控過(guò)程安全性。
安全管理
在“安全管理”這一小節中，要求安全管理中心內的管理系統應具備對安全管理員的身份鑒別、特定命令和操作界面控制和操作審計等功能，并要求安全管理員作為系統安全參數設定、主客體標記、授權和可信驗證策略配置的唯一主體。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
1) 集成商進(jìn)行整體架構設計時(shí)，應合理設置安全管理中心，且安全管理中心內的管理系統應具備安全管理員配置和管控的相應功能；
2) 企業(yè)或集成商在進(jìn)行系統安全參數設定、主客體安全標記和安全策略配置時(shí)，應確保安全管理員作為唯一主體進(jìn)行配置；
3) 安全廠(chǎng)家在進(jìn)行產(chǎn)品選用和開(kāi)發(fā)時(shí)，應采用管理權限模塊化設計且符合安全管理要求的管理系統對安全管理員管控過(guò)程、系統安全策略配置等進(jìn)行控制，確保系統安全管理過(guò)程安全性。
集中管控
“集中管控”這一小節中，在原等級保護1.0“應建立安全管理中心，對設備狀態(tài)、惡意代碼、補丁升級、安全審計等安全相關(guān)事項進(jìn)行集中管理”要求的基礎上增加“a)應劃分出特定的管理區域，對分布在網(wǎng)絡(luò )中的安全設備或安全組件進(jìn)行管控”、“b)應能夠建立一條安全的信息傳輸路徑，對網(wǎng)絡(luò )中的安全設備或安全組件進(jìn)行管理”、“f)應能對網(wǎng)絡(luò )中發(fā)生的各類(lèi)安全事件進(jìn)行識別、報警和分析”三個(gè)要求，明確安全管理中心在系統網(wǎng)絡(luò )架構上的獨立地位，對管理傳輸鏈路通信安全性提出要求，同時(shí)要求具備對網(wǎng)絡(luò )安全事件的分析和告警能力。
高風(fēng)險強調：
要求項中，對各類(lèi)設備運行狀況的集中監測、各類(lèi)設備審計數據匯總分析和留存時(shí)間要求屬于高風(fēng)險項。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
1) 對集成商而言，應在整體網(wǎng)絡(luò )架構設計中考量安全管理中心區域設立位置，能夠實(shí)現對各安全設備/組件的集中監控，且安全管理中心各組件應能夠滿(mǎn)足集中管控的各項要求；
2) 對企業(yè)來(lái)說(shuō)，在系統建設時(shí)應充分考慮安全管理中心建設相關(guān)預算經(jīng)費，并在日常運維過(guò)程中采用集中管控的方式進(jìn)行安全設備/組件管控、設備狀態(tài)監控、日志分析、安全策略管控和安全事件分析；
3) 安全廠(chǎng)家在進(jìn)行安全管理中心內管理系統產(chǎn)品開(kāi)發(fā)和選用時(shí)，應采用符合集中管控各項技術(shù)要求的安全產(chǎn)品，在設備通信加密、日志存儲、策略集中管控和安全事件分析等各方面滿(mǎn)足相關(guān)管控要求。
等級保護2.0發(fā)布后，市場(chǎng)上鋪天蓋地的出現了眾多解讀文章，但大部分文章只停留在總體變化的描述，缺少對等級保護2.0具體條款與等級保護1.0具體基本技術(shù)要求的區別分析。
本文以幫助企業(yè)理解等級保護2.0基本要求為導向，對等級保護2.0和1.0在基本技術(shù)要求存在的區別進(jìn)行具體分析。在等級保護2.0合規要求下，滿(mǎn)足基本符合等級保護要求從1.0的60分提高到了2.0的75分，這無(wú)疑對企業(yè)、系統集成商和安全廠(chǎng)家提出了更高的要求和挑戰：
● 采用何種安全技術(shù)手段、何種安全防護體系能夠滿(mǎn)足等級保護2.0基本要求？
● 如何為企業(yè)提供既能解決用戶(hù)切實(shí)的需求，又合法、合規的安全解決方案？
● 如何幫助企業(yè)既能合理規劃網(wǎng)絡(luò )安全的費用投入，又能提高自身網(wǎng)絡(luò )安全防護能力，達到相關(guān)等級保護級別測評要求？
下面將結合等級保護1.0（三級）的具體條款和等級保護2.0（三級）的關(guān)鍵條款變化進(jìn)行詳細的解讀。（本文主要針對網(wǎng)絡(luò )安全部分進(jìn)行詳細解讀分析）
網(wǎng)絡(luò )安全-關(guān)鍵條款變化
條款對比詳解
整合內容詳解
新增條款詳解
1
網(wǎng)絡(luò )安全-關(guān)鍵條款變化
由于等級保護2.0中將整體結構進(jìn)行調整，從物理安全、網(wǎng)絡(luò )安全、主機安全、應用安全、數據安全變成安全物理環(huán)境、安全通信網(wǎng)絡(luò )、安全區域邊界、安全計算環(huán)境和安全管理中心，所以原等級保護1.0中的“網(wǎng)絡(luò )安全”變成“安全通信網(wǎng)絡(luò )”。
結構安全-詳解
在等級保護2.0中，在這一小節沒(méi)有明顯的變化，主要是將一些過(guò)于老舊的條款進(jìn)行了刪除，將原等級保護1.0中的c）d）g）刪除。同時(shí)增加了“應提供通信線(xiàn)路、關(guān)鍵網(wǎng)絡(luò )設備和關(guān)鍵計算設備的硬件冗余，保證系統的可用性”的條款，并將這一小節中的“子網(wǎng)、網(wǎng)段”都統一更換成了“網(wǎng)絡(luò )區域”。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求
1) 企業(yè)或集成商進(jìn)行網(wǎng)絡(luò )基礎建設時(shí)，必須要對通信線(xiàn)路、關(guān)鍵網(wǎng)絡(luò )設備和關(guān)鍵計算設備進(jìn)行冗余配置，例如關(guān)鍵網(wǎng)絡(luò )設備應采用主備或負載均衡的部署方式；
2) 安全廠(chǎng)家在進(jìn)行安全解決方案設計時(shí)，也應采用主備或負載均衡的方式進(jìn)行設計、部署；
3) 強調、突出了網(wǎng)絡(luò )區域的概念，無(wú)論在網(wǎng)絡(luò )基礎建設，還是安全網(wǎng)絡(luò )規劃，都應該根據系統應用的實(shí)際情況進(jìn)行區域劃分。
訪(fǎng)問(wèn)控制-詳解
在等級保護2.0中，對于訪(fǎng)問(wèn)控制這一節變化較大，首先將等級保護1.0訪(fǎng)問(wèn)控制這一小節從原來(lái)網(wǎng)絡(luò )安全中的條款變更到安全區域邊界這一節中，其次刪除了等級保護1.0中大部分條款，如上圖，將c）d）e）f）g）h）全部刪除。同時(shí)在上一節網(wǎng)絡(luò )架構提出網(wǎng)絡(luò )區域的基礎上，進(jìn)一步強調區域的概念，強調應在網(wǎng)絡(luò )邊界或區域之間部署訪(fǎng)問(wèn)控制設備，并強調了“應對進(jìn)、出網(wǎng)絡(luò )的數據流實(shí)現基于應用協(xié)議和應用內容的訪(fǎng)問(wèn)控制”，對應用協(xié)議、數據內容的深度解析提出了更高的要求。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求
1) 要著(zhù)重考慮網(wǎng)絡(luò )邊界的訪(fǎng)問(wèn)控制手段，但網(wǎng)絡(luò )邊界不僅僅是業(yè)務(wù)系統對其他系統的網(wǎng)絡(luò )邊界，還應該包括在業(yè)務(wù)系統內不同工藝區域的網(wǎng)絡(luò )邊界；
2) 訪(fǎng)問(wèn)控制的顆粒度要進(jìn)一步的強化，不僅僅要停留在對于HTTP,FTP,TELNET,SMTP等通用協(xié)議的命令級控制程度，而是要對進(jìn)出網(wǎng)絡(luò )數據流的所有應用協(xié)議和應用內容都要進(jìn)行深度解析；
3）企業(yè)用戶(hù)在進(jìn)行網(wǎng)絡(luò )安全防護項目招標時(shí)一定要考慮參與投標的安全廠(chǎng)家所采用的邊界訪(fǎng)問(wèn)控制設備是否具備對應用協(xié)議深度解析的能力，例如在工業(yè)控制系統，除了能夠對比較常見(jiàn)的OPC、ModBus TCP、DNP3、S7等協(xié)議進(jìn)行深度解析外，還需要根據現場(chǎng)業(yè)務(wù)實(shí)際情況，對業(yè)務(wù)系統中使用的私有協(xié)議進(jìn)行自定義深度解析，否則很難達到測評要求。
安全審計-詳解
在等級保護2.0中，將等級保護1.0安全審計這一小節從原來(lái)網(wǎng)絡(luò )安全中的條款變更安全區域邊界這一節中，將原條款的c）去掉，并對其他三條都進(jìn)行了強化，尤其是a）條款，同時(shí)增加了“應能對遠程訪(fǎng)問(wèn)的用戶(hù)行為、訪(fǎng)問(wèn)互聯(lián)網(wǎng)用戶(hù)行為等都進(jìn)行行為審計和數據分析”。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求
1) 重點(diǎn)強調了需要在網(wǎng)絡(luò )邊界、重要網(wǎng)絡(luò )節點(diǎn)處進(jìn)行網(wǎng)絡(luò )行為審計，要求企業(yè)在進(jìn)行網(wǎng)絡(luò )安全防護項目時(shí)要充分考慮網(wǎng)絡(luò )邊界和重要網(wǎng)絡(luò )節點(diǎn)的行為審計能力，例如在城市軌道交通信號系統中，車(chē)站分為一級集中站、二級集中站和非集中站，結合等級保護2.0的要求，需要在一級和二級集中站都要考慮部署具備網(wǎng)絡(luò )行為審計能力的安全產(chǎn)品。而僅僅在一級集中站內部署具有網(wǎng)絡(luò )行為審計能力的產(chǎn)品是不夠的。
2) 重點(diǎn)強調網(wǎng)絡(luò )行為審計，即對網(wǎng)絡(luò )流量進(jìn)行審計，而這僅僅靠原有的日志審計類(lèi)產(chǎn)品是不夠的，無(wú)法滿(mǎn)足等級保護2.0的要求。
邊界完整性&入侵防范&惡意代碼防范-詳解
將這三點(diǎn)放到一起是因為彼此之間具備一定的連帶關(guān)系，將等級保護1.0中的邊界完整性檢查、入侵防范和惡意代碼防范這3節都變更到等級保護2.0中的安全區域邊界中。在邊界完整性檢查的這一節中，原等級保護1.0中要求必須準確定位并有效阻斷非法外聯(lián)、內聯(lián)的行為，但在等級保護2.0中要求中，提出了“防止或限制”的要求，取消了原等級保護1.0中的“定位”要求；入侵防范這一節中，主要提出了對于網(wǎng)絡(luò )行為的分析，并且能夠實(shí)現“已知”和“未知”的攻擊行為檢測能力。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求
1) 對于企業(yè)和系統集成商，在進(jìn)行網(wǎng)絡(luò )安全防護項目招標時(shí)要充分考慮對于在等級保護2.0中所提出的對于“已知”和“未知”的檢測要求。尤其在進(jìn)行安全廠(chǎng)家選擇時(shí)，要重點(diǎn)考慮安全廠(chǎng)家對于“未知”攻擊的檢測能力；
2) 對于安全廠(chǎng)家，網(wǎng)絡(luò )安全審計或入侵檢測產(chǎn)品不應僅僅局限在采用“特征庫”的形式進(jìn)行攻擊檢測，因為采用以“特征庫”為模板的形式無(wú)法對“未知”攻擊進(jìn)行檢測；
3) 對于安全廠(chǎng)家，入侵防范的范圍變化，需要在網(wǎng)絡(luò )安全解決方案設計時(shí)充分考慮，不應僅僅在網(wǎng)絡(luò )邊界處進(jìn)行入侵防范，還需要在網(wǎng)絡(luò )中的關(guān)鍵節點(diǎn)處均需要進(jìn)行入侵防范。
網(wǎng)絡(luò )設備防護-詳解
該小節在等級保護2.0全部被刪除，并整合到“安全計算環(huán)境”中。
以下內容以等級保護三級為基礎，針對等級保護2.0中安全計算環(huán)境部分進(jìn)行解讀。
再次回顧等級保護2.0的整體變化，整體結構從物理安全、網(wǎng)絡(luò )安全、主機安全、應用安全、數據安全變成安全物理環(huán)境、安全通信網(wǎng)絡(luò )、安全區域邊界、安全計算環(huán)境和安全管理中心，其中原等級保護1.0中的“主機安全”部分整合到“安全計算環(huán)境”中。
2
條款對比詳解
身份鑒別
在身份鑒別這一小節中首先弱化了系統的概念，提出標識的唯一性，將原等級保護1.0中老舊條款的e）刪除。同時(shí)對雙因子認證進(jìn)行了加強，強調“口令、密碼技術(shù)、生物技術(shù)的組合鑒別，要求其中一種至少應使用密碼技術(shù)來(lái)實(shí)現”。
>>>
高風(fēng)險強調
在身份鑒別這部分要求中，設備存在弱口令，遠程管理無(wú)防護和缺少雙因子認證均是高危風(fēng)險項。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
1) 集成商進(jìn)行業(yè)務(wù)應用軟件設計時(shí)，應考慮業(yè)務(wù)應用系統在“用戶(hù)名”+“口令”的基礎上進(jìn)一步實(shí)現通過(guò)密碼技術(shù)對登錄用戶(hù)的身份進(jìn)行鑒別，同時(shí)應避免業(yè)務(wù)應用系統的弱口令問(wèn)題；
2) 集成商進(jìn)行業(yè)務(wù)應用軟件設計時(shí)，應充分考慮用戶(hù)權限的控制以及用戶(hù)在登錄失敗后的處理機制；
3) 企業(yè)在業(yè)務(wù)運營(yíng)期間不可通過(guò)不可控的網(wǎng)絡(luò )環(huán)境進(jìn)行遠程管理，容易被監聽(tīng)，造成數據的泄露，甚至篡改；
4) 安全廠(chǎng)家在進(jìn)行安全產(chǎn)品選用時(shí)，應采用具有兩種或以上的組合鑒別方式的安全防護軟件對登錄系統的管理用戶(hù)進(jìn)行身份鑒別。滿(mǎn)足本地身份認證和第三方遠程身份認證雙因子驗證要求。
訪(fǎng)問(wèn)控制
在訪(fǎng)問(wèn)控制這一小節中，主要是將原等級保護1.0中的條款進(jìn)行了完善，強調“強制訪(fǎng)問(wèn)控制”，明確授權主體可以通過(guò)配置策略規定對客體的訪(fǎng)問(wèn)規則，控制粒度等。
>>>
高風(fēng)險強調
要求項中，未重命名或刪除默認賬戶(hù)，未修改默認賬戶(hù)的默認口令屬于高風(fēng)險項。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
1) 集成商進(jìn)行業(yè)務(wù)應用軟件設計時(shí)，應充分考慮用戶(hù)權限的控制以及用戶(hù)在登錄失敗后的處理機制，確保業(yè)務(wù)應用系統不存在訪(fǎng)問(wèn)控制失效的情況；
2) 企業(yè)或集成商在進(jìn)行系統配置時(shí)，應為用戶(hù)分配賬戶(hù)和權限，刪除或重命名默認賬戶(hù)及默認口令，刪除過(guò)期、多余和共享的賬戶(hù)；
3) 安全廠(chǎng)家在進(jìn)行安全產(chǎn)品選用時(shí)，應采用符合強制訪(fǎng)問(wèn)控制要求的安全防護軟件對主機、系統進(jìn)行防護，可以有效的降低高風(fēng)險項的風(fēng)險等級。
安全審計
在安全審計這一小節中，主要是將一些過(guò)于老舊的條款進(jìn)行了刪除，將原等級保護1.0中的a）b）d）條款刪除，整合為“啟用安全審計功能，審計覆蓋到每個(gè)用戶(hù)，對重要的用戶(hù)行為和重要安全事件進(jìn)行審計”。審計記錄中刪除“主體標識、客體標識和結果等”并改為“事件是否成功及其他與審計相關(guān)的信息”，增加對審計記錄的“定期備份”。
高風(fēng)險強調
要求項中，未啟用安全審計功能，審計覆蓋到每個(gè)用戶(hù)，未對重要的用戶(hù)行為和重要安全事件未進(jìn)行審計屬于高風(fēng)險項。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
1) 對集成商而言，業(yè)務(wù)應用系統軟件的安全審計能力至關(guān)重要，需要能夠對重要用戶(hù)操作、行為進(jìn)行日志審計，并且審計的范圍不僅僅是針對前端用戶(hù)，也要針對后端用戶(hù)；
2) 對企業(yè)來(lái)說(shuō)，在基礎建設時(shí)應該在重要核心設備、操作系統、數據庫性能允許的前提下，開(kāi)啟用戶(hù)操作類(lèi)和安全事件的審計策略，并在安全運營(yíng)的過(guò)程中對策略的開(kāi)啟定期檢查；
3) 安全廠(chǎng)家在進(jìn)行安全審計產(chǎn)品選用時(shí)，應采用可以覆蓋到每個(gè)用戶(hù)并可對重要的用戶(hù)行為和重要安全事件進(jìn)行審計的產(chǎn)品?？衫萌罩緦徲嬒到y實(shí)現對日志的審計分析并生產(chǎn)報表，通過(guò)堡壘機來(lái)實(shí)現對第三方運維操作的審計。
剩余信息保護
在剩余信息保護這一小節沒(méi)有明顯的變化，主要是將“操作系統和數據庫系統用戶(hù)”和“無(wú)論這些信息是存放在硬盤(pán)上還是在內存中”等限制性條件進(jìn)行了刪除，將“系統內的文件、目錄和數據庫記錄等資源所在的存儲空間”改為“存有敏感數據的存儲空間”。
高風(fēng)險強調
應保證鑒別信息所在的存儲空間被釋放或重新分配前得到完全清除，該項為高風(fēng)險項。如果身份鑒別信息釋放或清除機制存在缺陷，如在清除身份鑒別信息后，仍能進(jìn)行訪(fǎng)問(wèn)資源的操作，屬于高風(fēng)險。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
企業(yè)或集成商在服務(wù)器上啟用基于操作系統本身的剩余信息保護功能。
入侵防范
在入侵防范這一小節中，將a）和b）進(jìn)行了整合，“重要服務(wù)器”改為“重要節點(diǎn)”，新增d）和e），要求系統可以對數據進(jìn)行有效性檢驗，同時(shí)可以發(fā)現系統存在的已知漏洞，在驗證后可以進(jìn)行修補。
高風(fēng)險強調
不必要的服務(wù)、端口未關(guān)閉；管理終端管控無(wú)措施均屬于高危風(fēng)險項目。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
1) 企業(yè)或集成商在進(jìn)行系統安裝時(shí)，遵循最小安裝原則，僅安裝業(yè)務(wù)應用程序及相關(guān)的組件；
2) 企業(yè)或集成商進(jìn)行應用軟件開(kāi)發(fā)時(shí)，需要考慮應用軟件本身對數據的符合性進(jìn)行檢驗，確保通過(guò)人機接口或通信接口收到的數據內容符合系統應用的要求；
3) 企業(yè)或集成商在選擇主機安全防護軟件時(shí)除了要考慮主機安全防護軟件的安全功能以外，還要考慮與實(shí)際業(yè)務(wù)場(chǎng)景結合的問(wèn)題，能夠有效的幫助業(yè)主解決實(shí)際痛點(diǎn)。工業(yè)現場(chǎng)大部分現場(chǎng)運維人員對安全知之甚少，很難嚴格按照等級保護要求將安全配置一一完善，所以選擇的主機安全防護軟件應可以通過(guò)最簡(jiǎn)單的配置來(lái)滿(mǎn)足等級保護的要求；
4) 解決安全漏洞最直接的辦法是更新補丁，但對于工業(yè)控制系統而言，打補丁的動(dòng)作越謹慎越好，避免由于更新補丁而影響到生產(chǎn)業(yè)務(wù)。該條款需要企業(yè)委托第三方工控安全廠(chǎng)家對系統進(jìn)行漏洞的掃描，發(fā)現可能存在的已知漏洞，根據不同的風(fēng)險等級形成報告，企業(yè)或集成商根據報告在離線(xiàn)環(huán)境經(jīng)過(guò)測試評估無(wú)誤后對漏洞進(jìn)行修補。
惡意代碼防范
在惡意代碼防范這一小節將a)、b）、c）進(jìn)行了整合，同時(shí)提出了主動(dòng)免疫可信驗證機制，即“文件加載執行控制”的“白名單”技術(shù)。
高風(fēng)險強調
未安裝防惡意代碼軟件，并進(jìn)行統一管理，無(wú)法防止來(lái)自于外部的病毒、惡意代碼入侵，為高風(fēng)險項。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
工業(yè)現場(chǎng)惡意代碼防范一直是用戶(hù)的痛點(diǎn)，受制于工業(yè)現場(chǎng)環(huán)境，殺毒軟件無(wú)法在工業(yè)環(huán)境內發(fā)揮作用。誤殺、漏殺、占用資源、無(wú)法升級等問(wèn)題一直被詬病。所以在工業(yè)場(chǎng)景中應該選擇采用白名單機制的安全防護軟件。
資源控制
資源控制這一小節整體進(jìn)行了刪減，將部分內容整合到集中管控章節。
3
整合內容詳解
將原等級保護1.0數據安全內容整合到安全計算環(huán)境中
高風(fēng)險強調
數據傳輸完整性保護和保密性保護，針對不同的業(yè)務(wù)場(chǎng)景，如業(yè)務(wù)場(chǎng)景對數據傳輸的完整性要求高，未采取相應措施，則為高風(fēng)險；如業(yè)務(wù)場(chǎng)景對數據傳輸保密性要求高，未采取相應措施，則為高風(fēng)險。
數據存儲完整性保護和保密性保護，針對不同的業(yè)務(wù)場(chǎng)景，如業(yè)務(wù)場(chǎng)景對數據存儲的完整性要求高，未采取相應措施，則為高風(fēng)險；如業(yè)務(wù)場(chǎng)景對數據存儲保密性要求高，未采取相應措施，則為高風(fēng)險。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
在工業(yè)現場(chǎng)大部分的場(chǎng)景對于數據傳輸、存儲完整性要求要高于數據傳輸、存儲保密性要求。對于系統集成商在應用通過(guò)密碼技術(shù)來(lái)保證傳輸數據的完整性，并在服務(wù)器端對數據有效性進(jìn)行驗證。
在工業(yè)現場(chǎng)關(guān)鍵服務(wù)器、工作站內存儲的業(yè)務(wù)軟件及配置文件的完整性和可用性是至關(guān)重要的，一旦其完整性遭到破壞，直接影響現場(chǎng)生產(chǎn)任務(wù)。所以對于安全廠(chǎng)家提出的要求就是其安全防護軟件應可以通過(guò)訪(fǎng)問(wèn)控制功能，對存儲的數據、配置文件進(jìn)行完整性保護，避免遭到非法破壞。
企業(yè)應建立異地備份中心，同時(shí)形成數據備份制度，定期進(jìn)行現場(chǎng)的關(guān)鍵數據、配置文件的備份。
以下內容將以等級保護三級為基礎，針對等級保護2.0中安全管理中心部分進(jìn)行解讀。
在原等保1.0中技術(shù)要求部分沒(méi)有單獨設立章節對安全管理中心進(jìn)行要求，只在“管理要求→系統運維管理下→監控管理和安全管理中心”一節中提到“應建立安全管理中心，對設備狀態(tài)、惡意代碼、補丁升級、安全審計等安全相關(guān)事項進(jìn)行集中管理”。在等級保護2.0的整體變化中，單獨設立“安全管理中心”章節，強化安全管理中心的概念，突出安全管理中心在信息安全等級保護建設中的重要性。
4
新增條款詳解
在等級保護2.0“安全管理中心”章節中，“系統管理”、“審計管理”和“安全管理”三小節中對分別對系統管理員、審計管理員和安全管理員的管理主體、權限控制和管控過(guò)程提出明確要求，同時(shí)要求安全管理中心內的管理系統符合“三權分立”權限管理模式，并在“集中管控”小節中對管理系統需要符合的集中管控功能進(jìn)行了規定。
系統管理
在“系統管理”這一小節中，要求安全管理中心內的管理系統應具備對系統管理員的身份鑒別、特定命令和操作界面控制和操作審計等功能，并要求系統管理員作為系統資源和運行配置的唯一主體。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求
1) 集成商進(jìn)行整體架構設計時(shí)，應合理設置安全管理中心，且安全管理中心內的管理系統應具備系統管理員配置和管控的相應功能；
2) 企業(yè)或集成商在系統配置時(shí)，應確保系統管理員作為唯一主體通過(guò)安全管理中心進(jìn)行系統配置；
3) 安全廠(chǎng)家在進(jìn)行產(chǎn)品選用和開(kāi)發(fā)時(shí)，應采用管理權限模塊化設計且符合系統管理要求的管理系統對管理主體、權限和對象進(jìn)行控制，確保系統管理安全性。
審計管理
在“審計管理”這一小節中，要求安全管理中心內的管理系統應具備對審計管理員的身份鑒別、特定命令和操作界面控制和操作審計等功能，并要求審計管理員作為審計記錄分析和管控的唯一主體。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
1) 集成商進(jìn)行整體架構設計時(shí)，應合理設置安全管理中心，且安全管理中心內的管理系統應具備審計管理員配置和管控的相應功能；
2) 企業(yè)或集成商在進(jìn)行審計記錄分析和管控時(shí)，應確保審計管理員作為唯一主體進(jìn)行分析和管控，設定安全審計策略；
3) 安全廠(chǎng)家在進(jìn)行產(chǎn)品選用和開(kāi)發(fā)時(shí)，應采用管理權限模塊化設計且符合審計管理要求的管理系統對審計記錄和審計策略等進(jìn)行控制，確保系統審計管控過(guò)程安全性。
安全管理
在“安全管理”這一小節中，要求安全管理中心內的管理系統應具備對安全管理員的身份鑒別、特定命令和操作界面控制和操作審計等功能，并要求安全管理員作為系統安全參數設定、主客體標記、授權和可信驗證策略配置的唯一主體。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
1) 集成商進(jìn)行整體架構設計時(shí)，應合理設置安全管理中心，且安全管理中心內的管理系統應具備安全管理員配置和管控的相應功能；
2) 企業(yè)或集成商在進(jìn)行系統安全參數設定、主客體安全標記和安全策略配置時(shí)，應確保安全管理員作為唯一主體進(jìn)行配置；
3) 安全廠(chǎng)家在進(jìn)行產(chǎn)品選用和開(kāi)發(fā)時(shí)，應采用管理權限模塊化設計且符合安全管理要求的管理系統對安全管理員管控過(guò)程、系統安全策略配置等進(jìn)行控制，確保系統安全管理過(guò)程安全性。
集中管控
“集中管控”這一小節中，在原等級保護1.0“應建立安全管理中心，對設備狀態(tài)、惡意代碼、補丁升級、安全審計等安全相關(guān)事項進(jìn)行集中管理”要求的基礎上增加“a)應劃分出特定的管理區域，對分布在網(wǎng)絡(luò )中的安全設備或安全組件進(jìn)行管控”、“b)應能夠建立一條安全的信息傳輸路徑，對網(wǎng)絡(luò )中的安全設備或安全組件進(jìn)行管理”、“f)應能對網(wǎng)絡(luò )中發(fā)生的各類(lèi)安全事件進(jìn)行識別、報警和分析”三個(gè)要求，明確安全管理中心在系統網(wǎng)絡(luò )架構上的獨立地位，對管理傳輸鏈路通信安全性提出要求，同時(shí)要求具備對網(wǎng)絡(luò )安全事件的分析和告警能力。
高風(fēng)險強調：
要求項中，對各類(lèi)設備運行狀況的集中監測、各類(lèi)設備審計數據匯總分析和留存時(shí)間要求屬于高風(fēng)險項。
對企業(yè)、安全廠(chǎng)家、系統集成商提出的要求：
1) 對集成商而言，應在整體網(wǎng)絡(luò )架構設計中考量安全管理中心區域設立位置，能夠實(shí)現對各安全設備/組件的集中監控，且安全管理中心各組件應能夠滿(mǎn)足集中管控的各項要求；
2) 對企業(yè)來(lái)說(shuō)，在系統建設時(shí)應充分考慮安全管理中心建設相關(guān)預算經(jīng)費，并在日常運維過(guò)程中采用集中管控的方式進(jìn)行安全設備/組件管控、設備狀態(tài)監控、日志分析、安全策略管控和安全事件分析；
3) 安全廠(chǎng)家在進(jìn)行安全管理中心內管理系統產(chǎn)品開(kāi)發(fā)和選用時(shí)，應采用符合集中管控各項技術(shù)要求的安全產(chǎn)品，在設備通信加密、日志存儲、策略集中管控和安全事件分析等各方面滿(mǎn)足相關(guān)管控要求。
