等保2.0定級指南正式實(shí)施
等級保護對象范圍擴大了
等保保護定級對象主要包括：信息系統、通信網(wǎng)絡(luò )設施和數據資源等；信息系統就是我們在1.0時(shí)候的定級對象，指的是各類(lèi)信息系統；通信網(wǎng)絡(luò )設施指的是為信息流通、網(wǎng)絡(luò )運行等起基礎支撐作用的網(wǎng)絡(luò )設備設施，主要包括電信網(wǎng)、廣播電視傳輸網(wǎng)和行業(yè)或單位的專(zhuān)用通信網(wǎng)等，所以大家得注意了自己?jiǎn)挝坏膶?zhuān)網(wǎng)得定級，特別是承載了重要信息系統或者專(zhuān)網(wǎng)規模較大的網(wǎng)絡(luò )；數據資源指的是具有或預期具有價(jià)值的數據集合，數據資源主要是擁有大量各類(lèi)有價(jià)值的數據，那么這些單位需要保護好這些數據資源，自然需要對該數據資源進(jìn)行定級，我們可以想象的這類(lèi)數據有：人社數據、醫保數據、公積金數據、個(gè)人財產(chǎn)數據（銀行、房產(chǎn)、保險等）等信息；這里注意一點(diǎn)：當安全責任主體相同時(shí)，大數據、大數據平臺/系統宜作為一個(gè)整體對象定級；當安全責任主體不同時(shí)，大數據應獨立定級；涉及到大量公民個(gè)人信息以及為公民提供公共服務(wù)的大數據平臺/系統，原則上其安全保護等級不低于三級；不是所有的這類(lèi)數據都需要獨立去定級，日常中主要存在數據進(jìn)行集中化后的場(chǎng)景，例如一些地方的大數據局或者政務(wù)中心將各行業(yè)的一些數據要過(guò)來(lái)后進(jìn)行相關(guān)應用或使用時(shí)應當對這些數據進(jìn)行獨立定級。
公民、法人和其他組織最高依然為二級
當公民、法人和其他組織的合法權益造成特別嚴重損害時(shí)依然定為二級。
根據2.0的定級指南中定級要數與安全保護等級的關(guān)系表我們發(fā)現當公民、法人和其他組織的合法權益造成特別嚴重損害時(shí)依然為二級，這塊在征求意見(jiàn)稿中是第三級，前段時(shí)間一哥在一個(gè)培訓會(huì )議上依然看到有主管部門(mén)將這里寫(xiě)為第三級，需要大家注意并修正。
等保定級需要進(jìn)行專(zhuān)家評審
從圖中可以看到，定級需要進(jìn)行專(zhuān)家評審，那么至此等保定級再也不是1.0的自主定級了，而是需要規范進(jìn)行定級。對于初步確定為第一級的等級保護對象，可不進(jìn)行專(zhuān)家家評審、主管部門(mén)核準和備案審核，所以一級系統不需要去公安網(wǎng)安部門(mén)進(jìn)行備案，但是這里一哥需要提醒的是哪些是一級系統，通俗點(diǎn)說(shuō)就是這個(gè)系統哪怕是壞了對別人的影響都非常小的系統才是一級系統。定一級前，你們對照自己的系統看看是不是這樣的，但凡不是這樣的，那么你的系統肯定是二級起步了。那么安全保護等級初步確定為第二級及以上的等級保護對象，就需要組織專(zhuān)家評審、主管部門(mén)核準和備案審核，最終確定其安全等級。對于有主管部門(mén)的就去主管部門(mén)進(jìn)行核準，沒(méi)有主管部門(mén)的可以忽略，這里的主管部門(mén)需要明確的是上級行業(yè)主管部門(mén)而非地方上管理部門(mén)。主管部門(mén)核準在實(shí)踐中一哥建議大家根據實(shí)際情況靈活開(kāi)展。為什么這樣說(shuō)，因為有的時(shí)候備案單位上級主管部門(mén)不清不楚或者你以為的主管部門(mén)他們不認為是你們的主管部門(mén)，實(shí)際工作中普遍存在：理論上的行業(yè)上級主管部門(mén)不是非常垂直的上下級管理關(guān)系，對下級單位即不管錢(qián)也不管人，平時(shí)工作上聯(lián)系也不夠緊密，如果這時(shí)還非要求上級行業(yè)主管部門(mén)進(jìn)行審批，可能這個(gè)事就走不下去。
專(zhuān)家評審如何開(kāi)展？
專(zhuān)家評審如何開(kāi)展是等保2.0定級一個(gè)繞不開(kāi)的問(wèn)題。哪些是專(zhuān)家？誰(shuí)來(lái)認定這些專(zhuān)家？這個(gè)在定級指南里沒(méi)有說(shuō)明，也不好說(shuō)明，那么大家在實(shí)際開(kāi)展工作中也是各不相同，比如北京要求有測評師參與評審，有些地方自己組織認定了一批評審專(zhuān)家，有些地方套用政府采購評審專(zhuān)家，有些地方也沒(méi)有明確專(zhuān)家大家自由選擇。這些一哥認為都沒(méi)有錯，適合自己的就行，但是一哥覺(jué)得既然是等保定級的評審專(zhuān)家，那么他們應當要對等保定級這項工作了解才能更好地幫助網(wǎng)絡(luò )運營(yíng)者進(jìn)行準確定級。那么哪些人對等保定級工作了解呢？第一、公安網(wǎng)安主管部門(mén)工作人員，他們從事這項工作，每年對大量新系統進(jìn)行了定級審核，他們自然對等保定級工作了解，他們可以當專(zhuān)家，有些人會(huì )認為不能自己既當專(zhuān)家又進(jìn)行最終審核，這有點(diǎn)不合適。這確實(shí)不合適，但是一哥沒(méi)說(shuō)自己管理的區域自己當評審專(zhuān)家啊，你可以去其他地市進(jìn)行專(zhuān)家評審??；第二，測評機構持證工作人員，他們長(cháng)年在一線(xiàn)進(jìn)行等保工作，他們接觸了很多系統，對標準對系統情況比較熟悉，他們適合當等保定級專(zhuān)家，這里一哥建議測評機構的評審專(zhuān)家資質(zhì)應為：中、高級測評師，他們的工作經(jīng)驗相對初級測評師來(lái)說(shuō)較為豐富；第三，相關(guān)網(wǎng)絡(luò )安全專(zhuān)家，這里就比較廣泛，比如各個(gè)單位信息中心或者網(wǎng)絡(luò )安全的負責人，行業(yè)主管部門(mén)負責網(wǎng)絡(luò )安全的人員，高校負責網(wǎng)絡(luò )安全、計算機等教學(xué)人員，這些專(zhuān)家也都行，他們長(cháng)年從事信息化特別是網(wǎng)絡(luò )安全工作，經(jīng)驗也較為豐富，如果自身負責過(guò)或指導過(guò)本單位等保工作開(kāi)展的那就更好。如果每次專(zhuān)家評審至少有這三類(lèi)人參與的話(huà)，一哥認為這個(gè)定級一定相對更加規范合理，因為這些人你想忽悠還真不容易，所以一哥也建議各地還沒(méi)有對專(zhuān)家范圍進(jìn)行認定的可以讓各家單位按照這個(gè)要求來(lái)找專(zhuān)家，總結下就是：定級評審專(zhuān)家至少3人，人員中包括：異地網(wǎng)安人員、測評機構中高級測評師及其他網(wǎng)絡(luò )安專(zhuān)家。專(zhuān)家找好了，評審就順其自然的開(kāi)展下去了，網(wǎng)絡(luò )運營(yíng)者肯定要對自己的信息系統進(jìn)行介紹，各位專(zhuān)家對定級資料進(jìn)行評審，提出相關(guān)疑問(wèn)，網(wǎng)絡(luò )運營(yíng)者解答，最終專(zhuān)家對該系統的定級情況做一個(gè)認定，出具專(zhuān)家評審意見(jiàn)并進(jìn)行簽字，這樣專(zhuān)家評審環(huán)節就完成了。
關(guān)于云平臺定級需要了解的
對于大型云計算平臺，宜將云計算基礎設施和有關(guān)輔助服務(wù)系統劃分為不同的定級對象。對于大型云計算平臺（比如阿里云、騰訊云、京東云以及一些IDC云計算平臺）基礎設施可單獨定一個(gè)網(wǎng)絡(luò )系統，有關(guān)輔助服務(wù)系統另外再定一個(gè)系統。另外對于云租戶(hù)，其相應的信息系統也需要開(kāi)展等保工作，這塊工作原則上是由云租戶(hù)自己開(kāi)展，切不可以為系統上云了，安全責任就不歸自己了，出了事依然還是自己的事。對于通信網(wǎng)絡(luò )設施、云計算平臺/系統等定級對象，原則上等級不低于其承擔的等級保護對象的安全保護等級。不能存在云計算平臺是二級，平臺上的系統是三級情況。
很多人對受侵害的客體及受到破壞后造成的影響認識不清，比較模糊，比較抽象，根據以上描述，讓大家對此有一個(gè)相對比較具體的認知。
等級變更時(shí)需重新進(jìn)行定級
當等級保護對象所處理的業(yè)務(wù)信息和系統服務(wù)范圍發(fā)生變化，可能導致業(yè)務(wù)信息安全和系統服務(wù)安全受到破壞后的受侵害客體和對客體的侵害程度發(fā)生變化時(shí)，需根據本標準重新確定定級對象和安全保護等級。也就是等級需要變更時(shí)需要按照定級指南重新開(kāi)展定級，該請專(zhuān)家評審的請專(zhuān)家評審，該請行業(yè)主管部門(mén)審核的請行業(yè)主管部門(mén)審核，再也不能隨意進(jìn)行等級的變更了。
