信息安全技术网络安全等级保护基本要求2.0

下列思维导图主要介绍了信息安全技术网络安全等级保护基本要求，工作流程，实现方式，工作内容等。

信息安全技术网络安全等级保护基本要求2.0

• 概述
  • GB/T 22239-2019代替22239-2008
    • 是公安部颁发，针对全行业进行定级、备案、建设整改、等级测评、监督检查的强制性文件。
  • 当今我国的网络安全领域的一项基本制度，基本国策。
  • 关键定义：
    • 网络安全：通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，并保障网络数据的完整性、保密性、可用性的能力。
    • 安全保护能力：能够抵御威胁、发现安全事件以及在遭到损害后能够恢复先前状态等的程序。
    • 等级保护对象：是指网络安全等级保护工作中的对象，通常是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、处理的系统，主要包括基础信息网络、云计算平台/系统、大数据应用/平台/资源、物联网、工业控制系统和采用移动互联技术的系统等。
  • 在《中华人民共和国网络安全法》的规定
    • 第二十一条要求：国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改
    • 第二十五条要求：网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。
    • 第三十一条要求：关键信息基础设施的具体范围和安全保护办法由国务院制定。
      • 国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。
    • 第五十九条要求：网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。
  • 因此不开展等级保护等于违法。
• 分级
  • 信息系统根据其在国家安全、经济建设、社会生活中的重要程度，遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等，由高到低分为五级：
    • 第一级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益；
    • 第二级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；
      • 二级不需要每年测评
    • 第三级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害；
      • 三级按照要求需要每年测评
    • 第四级，等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害；
    • 第五级，等级保护对象受到破坏后，会对国家安全造成特别严重损害。
• 安全要求
  • 技术要求
    • 安全物理环境
    • 安全通信网络
    • 安全区域边界
    • 安全计算环境
    • 安全管理中心
  • 管理要求
    • 安全管理制度
    • 安全管理机构
    • 安全管理人员
    • 安全建设管理
    • 安全运维管理
  • 基本要求框架
• 管理机构
  • 中央网络安全和信息化领导机构
    • 统一领导网络安全等级保护工作
  • 国家网信部门
    • 负责网络安全等级保护工作的统筹协调
  • 国务院公安部门
    • 主管网络安全等级保护工作，负责网络安全等级保护工作的监督管理，依法组织开展网络安全保卫
  • 国家保密行政管理部门
    • 主管涉密网络分级保护工作，负责网络安全等级保护工作中有关保密工作的监督管理
  • 国家密码管理部门
    • 负责网络安全等级保护工作中有关密码管理工作的监督管理
  • 国务院其他有关部门依照有关法律法规的规定，在各自职责范围内开展网络安全等级保护相关工作。县级以上地方人民政府依照本条例和有关法律法规规定，开展网络安全等级保护工作。
• 组成
  • 安全通用要求
  • 云计算安全扩展要求
  • 移动互联安全扩展要求
  • 物联网安全扩展要求
  • 工业控制系统安全扩展要求
• 流程
  • 定级-备案-审核-备案审核-等保测评-测评报告-监督检查
  • 定级
    • 信息系统运营使用单位按照等级保护管理办法和定级指南，自主确定信息系统的安全保护等级。
    • 有上级主管部门的，应当经上级主管部门审批。
    • 跨省或全国统一联网运行的信息系统可以由其主管部门统一确定安全保护等级。
    • 网络运营者应当在规划设计阶段确定网络的安全保护等级。当网络功能、服务范围、服务对象和处理的数据等发生重大变化时，网络运营者应当依法变更网络的安全保护等级
    • 定级评审
      • 对拟定为第二级以上的网络，其运营者应当组织专家评审；有行业主管部门的，应当在评审后报请主管部门核准。跨省或者全国统一联网运行的网络由行业主管部门统一拟定安全保护等级，统一组织定级评审。行业主管部门可以依据国家标准规范，结合本行业网络特点制定行业网络安全等级保护定级指导意见（第17条）。
  • 备案
    • 第二级以上信息系统定级单位到所在地所在地设区的市级以上公安机关办理备案手续。
    • 第二级以上网络运营者应当在网络的安全保护等级确定后10个工作日内，到县级以上公安机关备案。因网络撤销或变更调整安全保护等级的，应当在10个工作日内向原受理备案公安机关办理备案撤销或变更手续（第18条）。
    • 省级单位到省公安厅网安总队备案，各地市单位一般直接到市级网安支队备案
  • 备案审核
    • 公安机关应当对网络运营者提交的备案材料进行审核。对定级准确、备案材料符合要求的，应在10个工作日内出具网络安全等级保护备案证明（第19条）。
  • 等保测评
    • 上线检测
      • 新建的第二级网络上线运行前应当按照网络安全等级保护有关标准规范，对网络的安全性进行测试。新建的第三级以上网络上线运行前应当委托网络安全等级测评机构按照网络安全等级保护有关标准规范进行等级测评，通过等级测评后方可投入运行（第22条）。
      • 第三级以上网络的运营者应当每年开展一次网络安全等级测评，发现并整改安全风险隐患，并每年将开展网络安全等级测评的工作情况及测评结果向备案的公安机关报告（第23条）。
      • 信息系统建设完成后，运营使用单位选择符合管理办法要求的检测机构，对信息系统安全等级状况开展等级测评。测评完成之后根据发现的安全问题及时进行整改，特别是高危风险。
    • 测评结论
      • 不符合
      • 基本符合
      • 符合
  • 测评报告
    • 通过与否都会给予测评报告，一般情况是一个项目测评会有两次，第一次是测评后可以整改，然后第二次测评通过。也可以做好整改后让第一次测评直接通过。
  • 安全整改
    • 网络运营者应当对等级测评中发现的安全风险隐患，制定整改方案，落实整改措施，消除风险隐患（第24条）。
  • 自查工作
    • 网络运营者应当每年对本单位落实网络安全等级保护制度情况和网络安全状况至少开展一次自查，发现安全风险隐患及时整改，并向备案的公安机关报告（第25条）。