如何深入貫徹落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度
【時(shí)間】2020-12-02
【編輯】Admin
【瀏覽量】
【等級(jí)保護(hù)QQ交流群】881590869
等保2.0“三大核心”標(biāo)準(zhǔn)實(shí)施
如何深入貫徹落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度
2019年12月1日起，網(wǎng)絡(luò)安全等級(jí)保護(hù)“三大核心”標(biāo)準(zhǔn)（基本要求、測(cè)評(píng)要求、實(shí)施要求）正式實(shí)施，網(wǎng)絡(luò)安全等級(jí)保護(hù)工作進(jìn)入2.0時(shí)代。網(wǎng)絡(luò)安全等級(jí)保護(hù)系列標(biāo)準(zhǔn)發(fā)布、實(shí)施的一年時(shí)間里，各行業(yè)（各單位、各部門）陸續(xù)推進(jìn)網(wǎng)絡(luò)安全等級(jí)保護(hù)工作：
2020年2月，教育部辦公廳印發(fā)《2020年教育信息化和網(wǎng)絡(luò)安全工作要點(diǎn)》，要求各直屬單位加強(qiáng)網(wǎng)絡(luò)安全防護(hù)和保障能力，落實(shí)國家網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0的相關(guān)要求，健全相關(guān)工作機(jī)制和技術(shù)標(biāo)準(zhǔn)；
2020年6月，自然資源部印發(fā)《2020年自然資源部網(wǎng)絡(luò)安全與信息化工作要點(diǎn)》，要求各級(jí)自然資源部門加強(qiáng)自然資源網(wǎng)絡(luò)與信息化安全，提升網(wǎng)絡(luò)安全防護(hù)能力，落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度；
2020年11月，中國人民銀行正式批準(zhǔn)發(fā)布金融行業(yè)標(biāo)準(zhǔn)《金融行業(yè)網(wǎng)絡(luò)安全等級(jí)保護(hù)實(shí)施指引》(JR/T 0071-2020)，指導(dǎo)金融行業(yè)各單位、各部門實(shí)施網(wǎng)絡(luò)安全等級(jí)保護(hù)工作，完善金融行業(yè)網(wǎng)絡(luò)安全等級(jí)保護(hù)體系；
……
2020年7月，公安部研究制定《貫徹落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)制度指導(dǎo)意見》【（公網(wǎng)安【2020】1960號(hào)文）（下稱“指導(dǎo)意見”）】，要求各行業(yè)、各部門結(jié)合工作實(shí)際，認(rèn)真參照?qǐng)?zhí)行指導(dǎo)意見相關(guān)要求，深入貫徹實(shí)施網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，深入推進(jìn)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)備案、等級(jí)測(cè)評(píng)、安全建設(shè)和檢查等基礎(chǔ)工作。網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0工作實(shí)施一年以來，盡管各行業(yè)積極推動(dòng)等級(jí)保護(hù)工作開展，但仍存在一些問題，如：
-
業(yè)務(wù)系統(tǒng)遷移上云如何定級(jí)，去哪里定級(jí)備案？
-
系統(tǒng)遷移上云或進(jìn)行托管，無需開展等級(jí)保護(hù)工作？
-
系統(tǒng)定級(jí)流程不規(guī)范，如內(nèi)網(wǎng)系統(tǒng)不定級(jí)、為規(guī)避監(jiān)管三級(jí)系統(tǒng)定二級(jí)；
-
單位多個(gè)系統(tǒng)打包成一個(gè)系統(tǒng)進(jìn)行定級(jí)；
-
將等級(jí)保護(hù)定級(jí)備案與“通過”等級(jí)測(cè)評(píng)混淆；
-
等級(jí)測(cè)評(píng)就是等級(jí)保護(hù)工作的全部;
-
等級(jí)測(cè)評(píng)結(jié)論具有永久性；
-
保證等級(jí)測(cè)評(píng)得分夠70分即可，忽略高風(fēng)險(xiǎn)存在；
-
等級(jí)測(cè)評(píng)發(fā)現(xiàn)問題整改費(fèi)用高，投資回報(bào)率底；
-
標(biāo)準(zhǔn)理解不到位，將“等保2.0”與“等保三級(jí)”混淆；
-
……
針對(duì)當(dāng)前存在的問題，各單位、各部門究竟該如何深入貫徹落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，提升網(wǎng)絡(luò)和信息系統(tǒng)安全防護(hù)力呢？本文通過三部分內(nèi)容介紹如何深入貫徹落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。
1 網(wǎng)絡(luò)安全等級(jí)保護(hù)工作目標(biāo)
指導(dǎo)意見針對(duì)深入貫徹落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度提出下列工作目標(biāo)：深化網(wǎng)絡(luò)定級(jí)備案工作全面梳理包括云計(jì)算、物聯(lián)網(wǎng)、新型互聯(lián)網(wǎng)、大數(shù)據(jù)、智能制造等新技術(shù)應(yīng)用在內(nèi)的運(yùn)營者全部網(wǎng)絡(luò)情況，科學(xué)確定保護(hù)等級(jí)，依法向公安機(jī)關(guān)備案。行業(yè)主管部門依據(jù)《網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》國家標(biāo)準(zhǔn)，結(jié)合行業(yè)特點(diǎn)制定行業(yè)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指導(dǎo)意見。定期開展網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)對(duì)已定級(jí)備案網(wǎng)絡(luò)的安全性進(jìn)行檢測(cè)評(píng)估，第三級(jí)以上網(wǎng)絡(luò)運(yùn)營者委托符合國家有關(guān)規(guī)定的等級(jí)測(cè)評(píng)機(jī)構(gòu)每年開展網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)。公安機(jī)關(guān)加強(qiáng)對(duì)本地等級(jí)測(cè)評(píng)機(jī)構(gòu)的監(jiān)督管理，確保等級(jí)測(cè)評(píng)過程客觀、公正、安全。運(yùn)營者在網(wǎng)絡(luò)建設(shè)和運(yùn)營過程中應(yīng)同步規(guī)劃、同步建設(shè)、同步使用網(wǎng)絡(luò)安全保護(hù)措施，可通過網(wǎng)絡(luò)遷移上云或網(wǎng)絡(luò)安全服務(wù)外包方式充分利用網(wǎng)絡(luò)安全服務(wù)商提升網(wǎng)絡(luò)安全保護(hù)能力。按照“誰主管誰負(fù)責(zé)、誰運(yùn)營誰負(fù)責(zé)”的原則，厘清網(wǎng)絡(luò)安全保護(hù)邊界，建立網(wǎng)絡(luò)安全等級(jí)保護(hù)工作責(zé)任制。加強(qiáng)網(wǎng)絡(luò)關(guān)鍵人員的安全管理，采購、使用符合國家法律法規(guī)和有關(guān)標(biāo)準(zhǔn)規(guī)范要求的網(wǎng)絡(luò)產(chǎn)品及服務(wù)。第三級(jí)以上網(wǎng)絡(luò)運(yùn)營者在網(wǎng)絡(luò)規(guī)劃、建設(shè)和運(yùn)行階段，按照密碼應(yīng)用安全性評(píng)估管理辦法和相關(guān)標(biāo)準(zhǔn)，在網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)中同步開展密碼應(yīng)用安全性評(píng)估。
2 網(wǎng)絡(luò)安全等級(jí)保護(hù)工作方向
2020年11月1日起，網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南（下稱“定級(jí)指南”）正式實(shí)施，網(wǎng)絡(luò)運(yùn)營者應(yīng)根據(jù)定級(jí)指南將保護(hù)對(duì)象梳理清楚，科學(xué)確定等級(jí)，未定級(jí)的系統(tǒng)開展定級(jí)備案工作，定級(jí)不準(zhǔn)系統(tǒng)根據(jù)定級(jí)指南要求及時(shí)調(diào)整安全等級(jí)。第二級(jí)及以上的網(wǎng)絡(luò)和信息系統(tǒng)應(yīng)到公安機(jī)關(guān)備案（縣級(jí)公安機(jī)關(guān)）、審核。特別是針對(duì)采用下列新技術(shù)、新應(yīng)用的網(wǎng)絡(luò)和信息系統(tǒng)應(yīng)合理進(jìn)行定級(jí)：隨著“關(guān)口前移”、“安全左移”等安全建設(shè)理念的提出，對(duì)于新建網(wǎng)絡(luò)和信息系統(tǒng)在開展安全建設(shè)時(shí)要依據(jù)基本要求、設(shè)計(jì)技術(shù)要求和測(cè)評(píng)要求等國家標(biāo)準(zhǔn)落實(shí)“三同步”要求，同時(shí)根據(jù)等級(jí)保護(hù)“一個(gè)中心、三重防護(hù)”的安全防護(hù)理念構(gòu)建安全防護(hù)體系。針對(duì)新建網(wǎng)絡(luò)和信息系統(tǒng)，在落實(shí)安全防護(hù)措施時(shí)應(yīng)考慮以下安全技術(shù)：
-
應(yīng)用可信計(jì)算、商用密碼等新技術(shù)，開展安全建設(shè)和整改加固；
-
網(wǎng)絡(luò)和信息系統(tǒng)遷移上云獲取專業(yè)化、集約化安全防護(hù)措施及能力；
-
網(wǎng)絡(luò)安全服務(wù)外包，由網(wǎng)絡(luò)安全服務(wù)商提供專業(yè)安全服務(wù)提升系統(tǒng)安全防護(hù)能力；
-
“內(nèi)生安全”、“主動(dòng)免疫”等技術(shù)，提升網(wǎng)絡(luò)和信息系統(tǒng)主動(dòng)防御能力；
-
保障供應(yīng)鏈安全，采取嚴(yán)格有效措施對(duì)網(wǎng)絡(luò)系統(tǒng)的建設(shè)、設(shè)計(jì)、運(yùn)維、服務(wù)等方面進(jìn)行管控，加強(qiáng)人員的管理，評(píng)估風(fēng)險(xiǎn)；
-
采購產(chǎn)品和服務(wù)一定要符合要求，符合國家要求；
-
參照行業(yè)內(nèi)優(yōu)秀安全解決方案積極推動(dòng)等保2.0建設(shè)；
-
……
此外，《中華人民共和國密碼法》自2020年1月1日起施行，網(wǎng)絡(luò)運(yùn)營者應(yīng)按照《密碼法》要求，正確、有效采用密碼技術(shù)對(duì)網(wǎng)絡(luò)和信息系統(tǒng)進(jìn)行安全保護(hù)；針對(duì)第三級(jí)以上的網(wǎng)絡(luò)和信息系統(tǒng)應(yīng)將等級(jí)保護(hù)工作和商用密碼應(yīng)用安全性評(píng)估工作進(jìn)行銜接，保證網(wǎng)絡(luò)和信息系統(tǒng)的安全性、合規(guī)性以及商用密碼應(yīng)用的有效性。網(wǎng)絡(luò)運(yùn)營者應(yīng)依據(jù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求等有關(guān)標(biāo)準(zhǔn)開展等級(jí)測(cè)評(píng)、風(fēng)險(xiǎn)評(píng)估，第三級(jí)及以上的網(wǎng)絡(luò)和信息系統(tǒng)每年開展一次等級(jí)測(cè)評(píng)工作，并對(duì)測(cè)評(píng)中發(fā)現(xiàn)的安全問題進(jìn)行及時(shí)整改。此外，應(yīng)注意下列三點(diǎn)：
-
第三級(jí)及以上新建網(wǎng)絡(luò)和信息系統(tǒng)應(yīng)通過等級(jí)測(cè)評(píng)后再投入使用；
-
對(duì)于已運(yùn)行的網(wǎng)絡(luò)和信息系統(tǒng)應(yīng)定期開展測(cè)評(píng)，及時(shí)發(fā)現(xiàn)安全問題并進(jìn)行建設(shè)整改；
-
網(wǎng)絡(luò)和系統(tǒng)發(fā)生安全事件或日常巡檢發(fā)現(xiàn)高風(fēng)險(xiǎn)問題時(shí)應(yīng)及時(shí)進(jìn)行安全評(píng)估，避免發(fā)生安全事件。
監(jiān)督檢查主要核實(shí)網(wǎng)絡(luò)和信息系統(tǒng)運(yùn)營使用、建設(shè)單位的等級(jí)保護(hù)工作開展和落實(shí)情況，重點(diǎn)督促、檢查安全設(shè)施、安全措施、安全管理制度、安全責(zé)任、責(zé)任部門和人員。檢查的核心內(nèi)容有：
3 網(wǎng)絡(luò)安全等級(jí)保護(hù)工作內(nèi)容
安徽靈狐科技作為一家等保2.0解決方案單位，能夠?yàn)橛脩籼峁┤轿坏木W(wǎng)絡(luò)安全等級(jí)保護(hù)服務(wù)以及等級(jí)保護(hù)落地實(shí)施、支撐工作。為推動(dòng)網(wǎng)絡(luò)安全等級(jí)保護(hù)工作的深入貫徹落實(shí)，我們基于用戶安全需求及安全目標(biāo)，結(jié)合安全運(yùn)營的思想，為政企用戶提供“保安式”的“新一代安全服務(wù)體系”。保障等級(jí)保護(hù)安全合規(guī)，夯實(shí)基礎(chǔ)安全能力！提升安全防護(hù)能力，盡可能規(guī)避安全風(fēng)險(xiǎn)！以威脅發(fā)現(xiàn)為基礎(chǔ)，以分析處置為核心，以發(fā)現(xiàn)隱患為關(guān)鍵，以推動(dòng)提升為目標(biāo)！“專項(xiàng)基礎(chǔ)安全服務(wù)”作為“等保/關(guān)?！睍r(shí)代安全服務(wù)體系的核心基礎(chǔ)部分，依托于豐富的安全產(chǎn)品（邊界防護(hù)類、安全檢測(cè)類、安全審計(jì)類、身份認(rèn)證類、終端安全類、安全管理類）和傳統(tǒng)安全服務(wù)構(gòu)建“安全管理+安全技術(shù)”為核心的等保合規(guī)體系，助力各單位（組織）深入貫徹落實(shí)等級(jí)保護(hù)工作，提升網(wǎng)絡(luò)和信息系統(tǒng)基礎(chǔ)安全防護(hù)能力。新一代安全服務(wù)體系之等保部分架構(gòu)圖專項(xiàng)基礎(chǔ)安全服務(wù)包括的內(nèi)容有：
-
網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0合規(guī)性服務(wù)（定級(jí)備案指導(dǎo)、測(cè)評(píng)指導(dǎo)）；
-
安全技術(shù)體系建設(shè)服務(wù)；
-
安全管理體系建設(shè)服務(wù)；
-
安全加固服務(wù)；
-
滲透測(cè)試/漏洞挖掘服務(wù)；
-
安全評(píng)估服務(wù)（風(fēng)險(xiǎn)評(píng)估、檢測(cè)評(píng)估、合規(guī)性差距分析）；
-
網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0合規(guī)性服務(wù)通過專業(yè)的等保咨詢和指導(dǎo)，科學(xué)的幫助用戶梳理需定級(jí)/備案的網(wǎng)絡(luò)系統(tǒng)，同時(shí)協(xié)助用戶完成備案工作；
-
“網(wǎng)絡(luò)安全能力的建設(shè)依托于體系”，基于安全技術(shù)體系和管理體系建設(shè)服務(wù)助力用戶完善安全體系，強(qiáng)化安全防護(hù)能力；
-
安全加固服務(wù)通過專業(yè)的安全基線和配置核查類工具幫助用戶完成安全加固，提升網(wǎng)絡(luò)和信息系統(tǒng)各個(gè)層面的安全能力；
-
“以評(píng)促建，以評(píng)促改，以評(píng)促管”，作為專業(yè)的網(wǎng)絡(luò)安全服務(wù)商，通過安全評(píng)估服務(wù)、滲透測(cè)試/漏洞挖掘服務(wù)，助力用戶及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)和信息系統(tǒng)安全風(fēng)險(xiǎn)，并針對(duì)發(fā)現(xiàn)的安全問題進(jìn)行針對(duì)性的建設(shè)整改，順利通過等級(jí)測(cè)評(píng)工作，保證網(wǎng)絡(luò)和信息系統(tǒng)安全合規(guī)。
網(wǎng)絡(luò)安全等級(jí)保護(hù)是一項(xiàng)系統(tǒng)性工程，在實(shí)施的一年時(shí)間里陸續(xù)規(guī)范定級(jí)、備案、建設(shè)整改、監(jiān)督檢查五項(xiàng)規(guī)定工作內(nèi)容。針對(duì)當(dāng)前深入貫徹落實(shí)等級(jí)保護(hù)制度的工作目標(biāo)和方向，“等保安全合規(guī)體系”以解決用戶在開展等級(jí)保護(hù)工作中面臨的問題為導(dǎo)向，細(xì)化等保工作各階段所需服務(wù)內(nèi)容，通過專項(xiàng)基礎(chǔ)安全服務(wù)與各級(jí)單位（用戶）協(xié)力推動(dòng)等級(jí)保護(hù)工作，助力網(wǎng)絡(luò)運(yùn)營者深入貫徹落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。
