安全資訊

目前，等保2.0已在全國各地陸續開(kāi)展起來(lái)。自從等保2.0相關(guān)的《信息安全技術(shù) 網(wǎng)絡(luò )安全等級保護基本要求》《信息安全技術(shù) 網(wǎng)絡(luò )安全等級保護測評要求》《信息安全技術(shù) 網(wǎng)絡(luò )安全等級保護安全設計技術(shù)要求》等國家標準正式發(fā)布，等保2.0已成為網(wǎng)絡(luò )安全行業(yè)中的必需品。

等保2.0時(shí)代，重點(diǎn)對云計算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制以及大數據安全等進(jìn)行全面安全防護，確保關(guān)鍵信息基礎設施安全。同時(shí)，等保2.0更加注重全方位主動(dòng)防御、動(dòng)態(tài)防御、整體防控和精準防護。

作為國家信息安全的基本制度，貫徹落實(shí)等級保護2.0是企業(yè)義不容辭的信息安全義務(wù)，而未落實(shí)等保的企業(yè)將面臨被有關(guān)部門(mén)責令整改、行政處罰、暫停注冊、暫停運營(yíng)等處罰。

黨政機關(guān)：各大部委、各省級政府機關(guān)、各地市級政府機關(guān)、各事業(yè)單位等；

金融行業(yè)：金融監管機構、各大銀行、證券公司、保險公司等；

能源行業(yè)：電力公司、石油公司、煙草公司等；

電信行業(yè)：各大電信運營(yíng)商、各省/市電信公司等；

企業(yè)單位：大中型企業(yè)、央企、上市公司等；

......

開(kāi)展網(wǎng)絡(luò )安全等級保護工作是保護信息化發(fā)展、維護網(wǎng)絡(luò )安全的保障，是網(wǎng)絡(luò )安全防護工作中國家意志的體現，也是不少監管機構指定的備案材料，是監管檢查的依據。

1.教育行業(yè)請注意！未完成等級保護備案的教育移動(dòng)應用備案將被撤銷(xiāo)，并予以通報！

2019年9月，教育部等八部門(mén)聯(lián)合印發(fā)《關(guān)于引導規范教育移動(dòng)互聯(lián)網(wǎng)應用有序健康發(fā)展的意見(jiàn)》（下稱(chēng)“《意見(jiàn)》”）。其中，《意見(jiàn)》要求教育APP需要落實(shí)網(wǎng)絡(luò )安全等級保護制度，進(jìn)行教育業(yè)務(wù)備案，登記APP信息。

2.國家衛健委《互聯(lián)網(wǎng)醫院管理辦法（試行）》規定了承載互聯(lián)網(wǎng)醫院的平臺必須通過(guò)等保三級測評

2018年，國家衛健委《互聯(lián)網(wǎng)醫院管理辦法（試行）》規定了承載互聯(lián)網(wǎng)醫院的平臺必須通過(guò)等保三級測評。

2019年7月16日，上海市衛生健康委員會(huì )關(guān)于印發(fā)《上海市互聯(lián)網(wǎng)醫院管理辦法》，其中規定“互聯(lián)網(wǎng)醫院信息系統按照《信息安全技術(shù) 網(wǎng)絡(luò )安全等級保護基本要求》第三級標準完成定級備案和測評，每年應依法開(kāi)展測評，測評通過(guò)后應提交系統年度測評報告”。此辦法2019年9月1日開(kāi)始實(shí)施。

3.交通運輸部出臺《數字交通發(fā)展規劃綱要》，明確要求落實(shí)網(wǎng)絡(luò )安全等級保護制度

2019年7月28日，交通運輸部印發(fā)《數字交通發(fā)展規劃綱要》，綱要中明確指出，要“落實(shí)網(wǎng)絡(luò )安全等級保護制度，加強網(wǎng)絡(luò )安全與信息系統同步建設，提高交通運輸關(guān)鍵信息基礎設施和重要信息系統的網(wǎng)絡(luò )安全防護能力?！?/span>

4.國家能源局關(guān)于印發(fā)《電力行業(yè)信息安全等級保護管理辦法》的通知，對中國電力行業(yè)的信息安全等級保護工作做了明確規定

電力信息系統運營(yíng)、使用單位應當按照《信息系統安全等級保護實(shí)施指南》（GB/T 25058-2010）具體實(shí)施等級保護工作。電力信息系統運營(yíng)、使用單位應當依據本辦法、《信息系統安全等級保護定級指南》（GB/T 22240-2008）和《電力行業(yè)信息系統安全等級保護定級指導意見(jiàn)》確定信息系統的安全保護等級。

5.中國人民銀行發(fā)布《金融行業(yè)信息系統信息安全等級保護實(shí)施指引》，保障金融行業(yè)信息系統信息安全等級保護建設、測評、整改工作順利開(kāi)展

為落實(shí)國家對金融行業(yè)信息系統信息安全等級保護相關(guān)工作要求，加強金融行業(yè)信息安全管理和技術(shù)風(fēng)險防范，保障金融行業(yè)信息系統信息安全等級保護建設、測評、整改工作順利開(kāi)展，中國人民銀行組織編制了金融行業(yè)信息系統信息安全等級保護系列標準。

互金行業(yè)監管《辦法》也要求，“網(wǎng)絡(luò )借貸信息中介機構應當按照國家網(wǎng)絡(luò )安全相關(guān)規定和國家信息安全等級保護制度的要求，開(kāi)展信息系統定級備案和等級測試?！?/span>

...... 

（二）行業(yè)教訓

因未履行等級保護測評，造成了大量用戶(hù)信息泄露等嚴重后果并受到處罰的案例比比皆是。

1.煙臺市兩家企業(yè)因違反《網(wǎng)絡(luò )安全法》，對其存儲的公民個(gè)人信息履行網(wǎng)絡(luò )安全保護義務(wù)不力，被煙臺市公安局芝罘分局依法處罰。

公安機關(guān)在工作中發(fā)現，煙臺市兩家企業(yè)運行在互聯(lián)網(wǎng)上的自建信息系統中存有用戶(hù)的個(gè)人信息合計近20萬(wàn)條，但系統未落實(shí)網(wǎng)絡(luò )安全防護、安全審計、日志記錄等必要的安全保護技術(shù)措施，且系統管理員賬號使用弱口令，存在非常嚴重的安全隱患。

對兩家企業(yè)依法下達整改通知書(shū)，并處罰款人民幣兩萬(wàn)元，對兩家企業(yè)網(wǎng)絡(luò )安全直接負責人和其他直接責任人員分別罰款人民幣一萬(wàn)元，同時(shí)對為兩家企業(yè)提供網(wǎng)絡(luò )技術(shù)服務(wù)的開(kāi)發(fā)區某企業(yè)予以警告，并對該公司網(wǎng)絡(luò )安全直接責任人員罰款一萬(wàn)元。

 2.一高校網(wǎng)站遭黑客攻擊，學(xué)校及負責人分別被罰款10萬(wàn)和5萬(wàn)。

該高校網(wǎng)站平臺未留存web訪(fǎng)問(wèn)日志，服務(wù)器系統日志、安全日志留存時(shí)間不滿(mǎn)6個(gè)月留存時(shí)限，未開(kāi)展網(wǎng)絡(luò )安全檢測，平臺內共發(fā)現10余個(gè)木馬后門(mén)，技術(shù)防護措施極為薄弱。高校及高校負責人分別處以10萬(wàn)元和5萬(wàn)元的行政罰款。

3. 重慶某醫院未履行等級保護制度，被罰款1萬(wàn)元。

經(jīng)查，醫院HIS、LIS、PACS、EMR等后臺系統業(yè)務(wù)以及微信公眾號后臺、醫院網(wǎng)站等主要系統業(yè)務(wù)全部放置在同一套服務(wù)器中，醫院未安裝邊界防護設備、未安裝日志行為審計設備，未設置數據安全備份策略等其他網(wǎng)絡(luò )安全技術(shù)措施。黑客通過(guò)互聯(lián)網(wǎng)攻破醫院系統后植入勒索病毒，導致醫院業(yè)務(wù)全面“停擺”。事后對醫院處以罰款一萬(wàn)元，對直接負責的主管人員處以罰款五千元的行政處罰。

4.南陽(yáng)市某縣事業(yè)單位未落實(shí)網(wǎng)絡(luò )安全等級保護制度被處罰。

南陽(yáng)市某縣事業(yè)單位未進(jìn)行網(wǎng)絡(luò )安全等級保護的定級備案、等級測評等工作。經(jīng)多次督促整改，該單位網(wǎng)絡(luò )安全技術(shù)措施仍落實(shí)不到位，致使網(wǎng)站被篡改為商業(yè)網(wǎng)站。對該網(wǎng)絡(luò )運營(yíng)單位處以一萬(wàn)元罰款，對負有直接責任的辦公室主任處以五千元罰款。

......

基于此，靈狐科技推出網(wǎng)絡(luò )安全等級保護測評服務(wù)，幫助工作人員完成等級保護建設工作的同時(shí)，能夠切實(shí)提升網(wǎng)絡(luò )安全防護能力，使用戶(hù)信息系統或網(wǎng)絡(luò )滿(mǎn)足國家等級保護基本要求，全方位助力互聯(lián)網(wǎng)安全發(fā)展。