網(wǎng)絡(luò)安全等級(jí)保護(hù)新國(guó)標(biāo)“靴子落地”

【業(yè)內(nèi)動(dòng)態(tài)】

《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》正式發(fā)布

網(wǎng)絡(luò)安全等級(jí)保護(hù)新國(guó)標(biāo)“靴子落地”

本報(bào)訊我國(guó)網(wǎng)絡(luò)安全等級(jí)保護(hù)工作正式進(jìn)入“2.0時(shí)代”。

日前，國(guó)家市場(chǎng)監(jiān)督管理總局、國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)召開新聞發(fā)布會(huì)，正式發(fā)布新修訂的《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》（以下簡(jiǎn)稱《基本要求》）以及與之配套的《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》和《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》。新標(biāo)準(zhǔn)實(shí)施時(shí)間為2019年12月1日。

網(wǎng)絡(luò)安全等級(jí)保護(hù)一系列新國(guó)家標(biāo)準(zhǔn)（以下簡(jiǎn)稱等保2.0）的發(fā)布，標(biāo)志著實(shí)施了十余年之久的信息安全等級(jí)保護(hù)制度正式進(jìn)入2.0時(shí)代。等保2.0沿用了傳統(tǒng)等級(jí)保護(hù)的5個(gè)監(jiān)管動(dòng)作：定級(jí)、備案、建設(shè)整改、等級(jí)測(cè)評(píng)和監(jiān)督檢查。除了常規(guī)的5個(gè)監(jiān)管動(dòng)作外，等保2.0標(biāo)準(zhǔn)還將風(fēng)險(xiǎn)評(píng)估、安全檢測(cè)、通報(bào)預(yù)警、數(shù)據(jù)防護(hù)、自主可控、供應(yīng)鏈安全、效果評(píng)價(jià)等方面工作都納入了等級(jí)保護(hù)范圍內(nèi)。

同時(shí)，等保2.0沿用了傳統(tǒng)等級(jí)保護(hù)的“5個(gè)等級(jí)”。在覆蓋范圍上，等保2.0將等級(jí)保護(hù)對(duì)象從信息系統(tǒng)擴(kuò)展到網(wǎng)絡(luò)基礎(chǔ)設(shè)施、云計(jì)算平臺(tái)、大數(shù)據(jù)平臺(tái)、物聯(lián)網(wǎng)等。在定級(jí)流程方面，自主定級(jí)成為過去式，等保2.0要求系統(tǒng)定級(jí)必須經(jīng)過專家評(píng)審和主管部門審核，才能到公安機(jī)關(guān)備案，整體定級(jí)更加嚴(yán)格。測(cè)評(píng)周期方面，等保2.0要求三級(jí)以上系統(tǒng)每年開展一次測(cè)評(píng)，修改了原先四級(jí)系統(tǒng)每半年進(jìn)行一次等保測(cè)評(píng)的要求。測(cè)評(píng)結(jié)果則要求達(dá)到75分以上才算基本符合。

據(jù)了解，一直以來，我國(guó)在信息安全保護(hù)方面主要依據(jù)2007年和2008年頒布實(shí)施的《信息安全等級(jí)保護(hù)管理辦法》和《信息安全等級(jí)保護(hù)基本要求》。傳統(tǒng)等級(jí)保護(hù)主要強(qiáng)調(diào)物理安全、主機(jī)安全、數(shù)據(jù)安全，而等保2.0在對(duì)傳統(tǒng)等級(jí)保護(hù)進(jìn)行優(yōu)化的同時(shí)，進(jìn)一步適應(yīng)新技術(shù)的發(fā)展。相較于傳統(tǒng)等級(jí)保護(hù)，在等保2.0標(biāo)準(zhǔn)體系中，每一等級(jí)除通用要求外，均新增了云計(jì)算安全、移動(dòng)互聯(lián)安全、物聯(lián)網(wǎng)安全、工業(yè)控制系統(tǒng)安全和大數(shù)據(jù)安全這5個(gè)擴(kuò)展要求。

等保2.0作為一個(gè)普適性的制度，范圍更廣、力度更大，不再只針對(duì)黨政機(jī)關(guān)重要部門和央企、國(guó)企等重點(diǎn)企業(yè)，所有網(wǎng)絡(luò)運(yùn)營(yíng)者都要落實(shí)。因此，等保2.0涉及政府機(jī)關(guān)、金融、電信運(yùn)營(yíng)商、能源、企業(yè)單位、互聯(lián)網(wǎng)、游戲等諸多行業(yè)。上述行業(yè)應(yīng)根據(jù)各自責(zé)任落實(shí)相應(yīng)技術(shù)措施。根據(jù)誰主管誰負(fù)責(zé)、誰運(yùn)營(yíng)誰負(fù)責(zé)、誰使用誰負(fù)責(zé)的原則，網(wǎng)絡(luò)運(yùn)營(yíng)者成為等級(jí)保護(hù)的責(zé)任主體，如何快速高效地通過等級(jí)保護(hù)測(cè)評(píng)成為企業(yè)開展業(yè)務(wù)前必須思考的問題。

值得一提的，在等保2.0時(shí)代，防護(hù)理念方面，則要求運(yùn)營(yíng)者從以往的被動(dòng)防御轉(zhuǎn)為全方位主動(dòng)防御，做到感知預(yù)警、動(dòng)態(tài)防護(hù)、安全檢測(cè)、應(yīng)急響應(yīng)。

（程紅琳）

本報(bào)擁有此文版權(quán)，若需轉(zhuǎn)載或復(fù)制，請(qǐng)注明來源于中國(guó)政府采購(gòu)報(bào)，標(biāo)注作者，并保持文章的完整性。否則，將追究法律責(zé)任。