網(wǎng)絡(luò )安全等級保護2.0標準解讀
等級保護標準體系
等級保護1.0標準體系
2007年，《信息安全等級保護管理辦法》（公通字[2007]43號）文件的正式發(fā)布，標志著(zhù)等級保護1.0的正式啟動(dòng)。等級保護1.0規定了等級保護需要完成的“規定動(dòng)作”，即定級備案、建設整改、等級測評和監督檢查，為了指導用戶(hù)完成等級保護的“規定動(dòng)作”，在2008年至2012年期間陸續發(fā)布了等級保護的一些主要標準，構成等級保護1.0的標準體系。
等級保護1.0時(shí)期的主要標準如下：
· 信息安全等級保護管理辦法（43號文件）（上位文件）
· 計算機信息系統安全保護等級劃分準則 GB17859-1999（上位標準）
· 信息系統安全等級保護實(shí)施指南 GB/T25058-2008
· 信息系統安全保護等級定級指南 GB/T22240-2008
· 信息系統安全等級保護基本要求 GB/T22239-2008
· 信息系統等級保護安全設計要求 GB/T25070-2010
· 信息系統安全等級保護測評要求 GB/T28448-2012
· 信息系統安全等級保護測評過(guò)程指南 GB/T28449-2012
等級保護2.0標準體系
2017年，《中華人民共和國網(wǎng)絡(luò )安全法》的正式實(shí)施，標志著(zhù)等級保護2.0的正式啟動(dòng)。網(wǎng)絡(luò )安全法明確“國家實(shí)行網(wǎng)絡(luò )安全等級保護制度?！保ǖ?1條）、“國家對一旦遭到破壞、喪失功能或者數據泄露，可能?chē)乐匚：野踩?、國計民生、公共利益的關(guān)鍵信息基礎設施，在網(wǎng)絡(luò )安全等級保護制度的基礎上，實(shí)行重點(diǎn)保護?！保ǖ?1條）。上述要求為網(wǎng)絡(luò )安全等級保護賦予了新的含義，重新調整和修訂等級保護1.0標準體系，配合網(wǎng)絡(luò )安全法的實(shí)施和落地，指導用戶(hù)按照網(wǎng)絡(luò )安全等級保護制度的新要求，履行網(wǎng)絡(luò )安全保護義務(wù)的意義重大。
隨著(zhù)信息技術(shù)的發(fā)展，等級保護對象已經(jīng)從狹義的信息系統，擴展到網(wǎng)絡(luò )基礎設施、云計算平臺/系統、大數據平臺/系統、物聯(lián)網(wǎng)、工業(yè)控制系統、采用移動(dòng)互聯(lián)技術(shù)的系統等，基于新技術(shù)和新手段提出新的分等級的技術(shù)防護機制和完善的管理手段是等級保護2.0標準必須考慮的內容。關(guān)鍵信息基礎設施在網(wǎng)絡(luò )安全等級保護制度的基礎上，實(shí)行重點(diǎn)保護，基于等級保護提出的分等級的防護機制和管理手段提出關(guān)鍵信息基礎設施的加強保護措施，確保等級保護標準和關(guān)鍵信息基礎設施保護標準的順利銜接也是等級保護2.0標準體系需要考慮的內容。
等級保護2.0標準體系主要標準如下：
· 網(wǎng)絡(luò )安全等級保護條例（總要求/上位文件）
· 計算機信息系統安全保護等級劃分準則（GB 17859-1999）
（上位標準）
（上位標準）
· 網(wǎng)絡(luò )安全等級保護實(shí)施指南（GB/T25058-2020）
· 網(wǎng)絡(luò )安全等級保護定級指南（GB/T22240-2020）
· 網(wǎng)絡(luò )安全等級保護基本要求（GB/T22239-2019）
· 網(wǎng)絡(luò )安全等級保護設計技術(shù)要求（GB/T25070-2019）
· 網(wǎng)絡(luò )安全等級保護測評要求（GB/T28448-2019）
· 網(wǎng)絡(luò )安全等級保護測評過(guò)程指南（GB/T28449-2018）
關(guān)鍵信息基礎設施標準體系框架如下：
·關(guān)鍵信息基礎設施保護條例（征求意見(jiàn)稿)（總要求/上位文件）
·關(guān)鍵信息基礎設施安全保護要求（征求意見(jiàn)稿）
·關(guān)鍵信息基礎設施安全控制要求（征求意見(jiàn)稿）
·關(guān)鍵信息基礎設施安全控制評估方法（征求意見(jiàn)稿）
主要標準的特點(diǎn)和變化
標準的主要特點(diǎn)
網(wǎng)絡(luò )安全等級保護制度是國家的基本國策、基本制度和基本方法。作為支撐網(wǎng)絡(luò )安全等級保護2.0的新標準《GB/T 22240-2020》、《GB/T 22239-2019》、《GB/T 25070-2019》和《GB/T28448-2019》等具有如下幾個(gè)特點(diǎn)：
01
等級保護2.0新標準將對象范圍由原來(lái)的信息系統改為等級保護對象（信息系統、通信網(wǎng)絡(luò )設施和數據資源等）。等級保護對象包括網(wǎng)絡(luò )基礎設施（廣電網(wǎng)、電信網(wǎng)、專(zhuān)用通信網(wǎng)絡(luò )等）、云計算平臺/系統、大數據平臺/系統、物聯(lián)網(wǎng)、工業(yè)控制 系統、采用移動(dòng)互聯(lián)技術(shù)的系統等。
02
等級保護2.0新標準在1.0標準的基礎上進(jìn)行了優(yōu)化，同時(shí)針對云計算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統及大數據等新技術(shù)和新應用領(lǐng)域提出新要求，形成了安全通用要求+新應用安全擴展要求構成的標準要求內容。
03
等級保護2.0新標準統一了《GB/T 22239-2019》、《GB/T 25070-2019》和《GB/T28448-2019》三個(gè)標準的架構，采用了“一個(gè)中心，三重防護”的防護理念和分類(lèi)結構，強化了建立縱深防御和精細防御體系的思想。
04
等級保護2.0新標準強化了密碼技術(shù)和可信計算技術(shù)的使用，把可信驗證列入各個(gè)級別并逐級提出各個(gè)環(huán)節的主要可信驗證要求，強調通過(guò)密碼技術(shù)、可信驗證、安全審計和態(tài)勢感知等建立主動(dòng)防御體系的期望。
標準的主要變化
《GB/T 22239-2019》、《GB/T 25070-2019》和《GB/T28448-2019》三個(gè)核心標準比較于舊標準，無(wú)論是在總體結構方面還是在細節內容方面均發(fā)生了變化?？傮w結構方面的主要變化為：
01
為適應網(wǎng)絡(luò )安全法，配合落實(shí)網(wǎng)絡(luò )安全等級保護制度，標準的名稱(chēng)由原來(lái)的《信息系統安全等級保護基本要求》改為《網(wǎng)絡(luò )安全等級保護基本要求》。等級保護對象由原來(lái)的信息系統調整為基礎信息網(wǎng)絡(luò )、信息系統（含采用移動(dòng)互聯(lián)技術(shù)的系統）、云計算平臺/系統、大數據應用/平臺/資源、物聯(lián)網(wǎng)和工業(yè)控制系統等。
02
將原來(lái)各個(gè)級別的安全要求分為安全通用要求和安全擴展要求，其中安全擴展要求包括安全擴展要求云計算安全擴展要求、移動(dòng)互聯(lián)安全擴展要求、物聯(lián)網(wǎng)安全擴展要求以及工業(yè)控制系統安全擴展要求。安全通用要求是不管等級保護對象形態(tài)如何必須滿(mǎn)足的要求。
03
原來(lái)基本要求中各級技術(shù)要求的“物理安全”、“網(wǎng)絡(luò )安全”、“主機安全”、“應用安全”和“數據安全和備份與恢復”修訂為“安全物理環(huán)境”、“安全通信網(wǎng)絡(luò )”、“安全區域邊界”、“安全計算環(huán)境”和“安全管理中心”；各級管理要求的“安全管理制度”、“安全管理機構”、“人員安全管理”、“系統建設管理”和“系統運維管理”修訂為“安全管理制度”、“安全管理機構”、“安全管理人員”、“安全建設管理”和“安全運維管理”。
04
取消了原來(lái)安全控制點(diǎn)的S、A、G標注，增加一個(gè)附錄A“關(guān)于安全通用要求和安全擴展要求的選擇和使用”，描述等級保護對象的定級結果和安全要求之間的關(guān)系，說(shuō)明如何根據定級的S、A結果選擇安全要求的相關(guān)條款，簡(jiǎn)化了標準正文部分的內容。增加附錄C描述等級保護安全框架和關(guān)鍵技術(shù)、增加附錄D描述云計算應用場(chǎng)景、附錄E描述移動(dòng)互聯(lián)應用場(chǎng)景、附錄F描述物聯(lián)網(wǎng)應用場(chǎng)景、附錄G描述工業(yè)控制系統應用場(chǎng)景、附錄H描述大數據應用場(chǎng)景。
主要標準的框架和內容
標準的框架結構
《GB/T 22239-2019》、《GB/T 25070-2019》和《GB/T28448-2019》三個(gè)標準采取了統一的框架結構。
例如，《GB/T 22239-2019》采用的框架結構如圖1所示。
圖1 安全通用要求框架結構
安全通用要求細分為技術(shù)要求和管理要求。其中技術(shù)要求包括“安全物理環(huán)境”、“安全通信網(wǎng)絡(luò )”、“安全區域邊界”、“安全計算環(huán)境”和“安全管理中心”；管理要求包括“安全管理制度”、“安全管理機構”、“安全管理人員”、“安全建設管理”和“安全運維管理”。
安全通用要求
安全通用要求針對共性化保護需求提出，無(wú)論等級保護對象以何種形式出現，需要根據安全保護等級實(shí)現相應級別的安全通用要求。安全擴展要求針對個(gè)性化保護需求提出，等級保護對象需要根據安全保護等級、使用的特定技術(shù)或特定的應用場(chǎng)景實(shí)現安全擴展要求。等級保護對象的安全保護需要同時(shí)落實(shí)安全通用要求和安全擴展要求提出的措施。
1安全物理環(huán)境
針對物理機房提出的安全控制要求。主要對象為物理環(huán)境、物理設備和物理設施等；涉及的安全控制點(diǎn)包括物理位置的選擇、物理訪(fǎng)問(wèn)控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應和電磁防護。
2安全通信網(wǎng)絡(luò )
針對通信網(wǎng)絡(luò )提出的安全控制要求。主要對象為廣域網(wǎng)、城域網(wǎng)和局域網(wǎng)等；涉及的安全控制點(diǎn)包括網(wǎng)絡(luò )架構、通信傳輸和可信驗證。
3安全區域邊界
針對網(wǎng)絡(luò )邊界提出的安全控制要求。主要對象為系統邊界和區域邊界等；涉及的安全控制點(diǎn)包括邊界防護、訪(fǎng)問(wèn)控制、入侵防范、惡意代碼防范、安全審計和可信驗證。
4安全計算環(huán)境
針對邊界內部提出的安全控制要求。主要對象為邊界內部的所有對象，包括網(wǎng)絡(luò )設備、安全設備、服務(wù)器設備、終端設備、應用系統、數據對象和其他設備等；涉及的安全控制點(diǎn)包括身份鑒別、訪(fǎng)問(wèn)控制、安全審計、入侵防范、惡意代碼防范、可信驗證、數據完整性、數據保密性、數據備份與恢復、剩余信息保護和個(gè)人信息保護。
5安全管理中心
針對整個(gè)系統提出的安全管理方面的技術(shù)控制要求，通過(guò)技術(shù)手段實(shí)現集中管理；涉及的安全控制點(diǎn)包括系統管理、審計管理、安全管理和集中管控。
6安全管理制度
針對整個(gè)管理制度體系提出的安全控制要求，涉及的安全控制點(diǎn)包括安全策略、管理制度、制定和發(fā)布以及評審和修訂。
7安全管理機構
針對整個(gè)管理組織架構提出的安全控制要求，涉及的安全控制點(diǎn)包括崗位設置、人員配備、授權和審批、溝通和合作以及審核和檢查。
8安全管理人員
針對人員管理提出的安全控制要求，涉及的安全控制點(diǎn)包括人員錄用、人員離崗、安全意識教育和培訓以及外部人員訪(fǎng)問(wèn)管理。
9安全建設管理
針對安全建設過(guò)程提出的安全控制要求，涉及的安全控制點(diǎn)包括定級和備案、安全方案設計、安全產(chǎn)品采購和使用、自行軟件開(kāi)發(fā)、外包軟件開(kāi)發(fā)、工程實(shí)施、測試驗收、系統交付、等級測評和服務(wù)供應商管理。
10安全運維管理
針對安全運維過(guò)程提出的安全控制要求，涉及的安全控制點(diǎn)包括環(huán)境管理、資產(chǎn)管理、介質(zhì)管理、設備維護管理、漏洞和風(fēng)險管理、網(wǎng)絡(luò )和系統安全管理、惡意代碼防范管理、配置管理、密碼管理、變更管理、備份與恢復管理、安全事件處置、應急預案管理和外包運維管理。
安全擴展要求
安全擴展要求是采用特定技術(shù)或特定應用場(chǎng)景下的等級保護對象需要增加實(shí)現的安全要求?！禛B/T 22239-2019》提出的安全擴展要求包括云計算安全擴展要求、移動(dòng)互聯(lián)安全擴展要求、物聯(lián)網(wǎng)安全擴展要求和工業(yè)控制系統安全擴展要求。
1.云計算安全擴展要求是針對云計算平臺提出的安全通用要求之外額外需要實(shí)現的安全要求。主要內容包括“基礎設施的位置”、“虛擬化安全保護”、“鏡像和快照保護”、“云計算環(huán)境管理”和“云服務(wù)商選擇”等。
2.移動(dòng)互聯(lián)安全擴展要求是針對移動(dòng)終端、移動(dòng)應用和無(wú)線(xiàn)網(wǎng)絡(luò )提出的安全要求，與安全通用要求一起構成針對采用移動(dòng)互聯(lián)技術(shù)的等級保護對象的完整安全要求。主要內容包括“無(wú)線(xiàn)接入點(diǎn)的物理位置”、“移動(dòng)終端管控”、“移動(dòng)應用管控”、“移動(dòng)應用軟件采購”和“移動(dòng)應用軟件開(kāi)發(fā)”等。
3.物聯(lián)網(wǎng)安全擴展要求是針對感知層提出的特殊安全要求，與安全通用要求一起構成針對物聯(lián)網(wǎng)的完整安全要求。主要內容包括“感知節點(diǎn)的物理防護”、“感知節點(diǎn)設備安全”、“網(wǎng)關(guān)節點(diǎn)設備安全”、“感知節點(diǎn)的管理”和“數據融合處理”等。
4.工業(yè)控制系統安全擴展要求主要是針對現場(chǎng)控制層和現場(chǎng)設備層提出的特殊安全要求，它們與安全通用要求一起構成針對工業(yè)控制系統的完整安全要求。主要內容包括“室外控制設備防護”、“工業(yè)控制系統網(wǎng)絡(luò )架構安全”、“撥號使用控制”、“無(wú)線(xiàn)使用控制”和“控制設備安全”等。
