等保20基本要求 等保20基本要求标准

等保2.0是什么？对IDC企业有什么影响吗？

虽然要求项和难度系数有所增加，但是2.0标准贯彻的“事前预防、事中响应、事后审计”的动态保障体系，有助于增强威胁防范、处理能力，将大大提高网络安全防护的水平和能力。

2019年12月1日，网络安全等级保护2.0版标准正式生效实施。等级保护标准在1.0标准的基础上，注重主动防御，从被动防御到事前、事中、事后全流程的安全可信、动态感知和全面审计，实现了对传统信息系统、基础信息网络、云计算、大数据①云计算安全扩展要求包括基础设施的位置、虚拟化安全保护、镜像和快照保护、云服务商选择和云计算环境管理等方面。、物联网、移动互联网和工业控制信息系统等级保护对象的全覆盖。

等保20基本要求 等保20基本要求标准

等保20基本要求 等保20基本要求标准

网络安全已上升到法律层面，保护网络安全是法定义务，拒不履行网络安全保护义务是违法行为。这意味着，IDC云平台要尽快通过等保2.0标准。

ZKEYS紧跟监管政策变化，将监管要求落实到平台的整个体系中，从客户端到企业后端，融合合法合规的市场业务逻辑，使整个业务符合市场监管。 对于出台的等保2.0标准，ZKEYS也密切关注，充分学习了等保2.0标准的要求，做到了严格按照要求开发，确保IDC企业在申请等保2.0时，更加贴合要求。

等保标准演变史（1.0~2.0）

《第5部分工业控制系统安全扩展要求》

随着云计算、移动互联、大数据、物联网、人工智能等新技术不断涌现，计算机信息系统的概念已经不能涵盖全部，特别是互联网快速发展带来大数据价值的凸显。云计算、大数据、工业控制系统、物联网、移动互联等新技术的不断拓展已经成为产业结构升级的坚实基础，而其中网络和信息系统作为新兴产业的承载者，构建起了整个经济 的神经中枢，保证其安全性不言而喻。

由于业务目标的不同、使用技术的不同、应用场景的不同等因素，不同的等级保护对象会以不同的形态出现，表现形式有 基础信息网络、信息系统、云计算平台、大数据平台、物联网系统、工业控制系统 等。形态不同的保护对象面临的威胁有所不同，安全保护需求也会有所异。现有的标准体系需要提升台阶，去适应新技术的发展，等级保护的相关标准也需要跟上新技术的变化。 “等保1.0”的标准体系在适用性、时效性、易用性、可作性上需要进一步扩充和完善，因此“等保2.0“应运而生。

图注：等级保护2.0安全框架

针对等级保护对象特点建立安全技术体系和安全管理体系，构建具备相应等级安全保护能力的网络安全综合防御体系。应依据网络安全等级保护政策和标准，开展组织管理、机制建设、安全规划、通报预警、应急处置、态势感知、能力建设、监督检查、技术检测、队伍建设、教育培训和经费保障等工作。

首先安全的内涵由早期面向数据的信息安全，过度到面向信息系统的信息保障（信息系统安全），并进一步演进为面向网络空间的网络安全。网络安全（cybersecurity）以其更丰富的内涵逐步取待信息安全成为安全领域共识，《中华网络安全法》明确规定“实行网络安全等级保护制度“，相关法律条文和标准也需保持一致性， “等保2.0“与时俱进的将原标准的”信息系统安全等级保护“改为”网络安全等级保护“ ，例如《信息系统安全等级保护基本要求》改为《网络安全等级保护基本要求》。

等保2.0对定级指南、基本要求、实施指南、测评过程指南、测评要求、设计技术要求等标准进行修订和完善， 以满足新形势下等级保护工作的需要，其中《信息安全技术 网络安全等级保护测评要求》、《信息安全技术 网络安全安全等级保护基本要求》、《信息安全技术 网络安全等级保护安全设计要求》已于2019年5月10日发布，并将在2019年12月1日实施。

在开展网络安全等级保护工作中应首先明确等级保护对象。

等保1.0定义等级保护对象为： 信息安全等级保护工作直接作用的具体信息和信息系统。随着云计算平台、物联网、工业控制系统等新形态的等级保护对象不断涌现，原定义内涵局限性日益显现。

（以基本要求为例）

等保2.0：安全通用要求②通用安全要求+新型应用安全扩展要求，将云计算、移动互联、物联网、工业控制系统等列入标准规范;和安全扩展要求

注：等保2.0安全通用要求是普适性要求，是不管等级保护对象形态如何，必须满足的要求；针对云计算、移动互联、物联网和工业控制系统，除了满足安全通用要求外，还需满足的补充要求称为安全扩展要求。

针对移动互联环境主要增加的内容包括“接入点的物理位置”、“移动终端管控”、“移动应用管控”、“移动应用软件采购”和“移动应用软件开发”等方面。

物联网安全扩展要求针对物联网的特点提出特殊保护要求。对物联网环境主要增加的内容包括“感知的物理防护”、“感知设备安全”、“感知设备安全”、“感知的管理”和“数据融合处理”等方面。

工业控制系统安全扩展要求针对工业控制系统的特点提出特殊保护要求。对工业控制系统主要增加的内容包括“室外控制设备防护”、“工业控制系统网络架构安全”、“拨号使用控制”、“使用控制”和“控制设备安全”等方面。

以基本要求为例，充分体现一个中心，三重防御的思想（和GB/T 70保持一致，与设计要求融合）。

1、等级保护的基本要求、测评要求和设计技术要求统一框架，构建“一个中心，三重防护“的安全体系；

2、通用安全要求+新型应用安全扩展要求，将云计算、移动互联、物联网、工业控制系统等列入了标准规范。

基于这些变化，进入等保2.0时代，我们应重点对云计算、移动互联、物联网、工业控制以及大数据安全等进行全面安全防护，确保关键信息基础设施安全。

等保2.0标准正式发布 百卓网络构建企业新安防体系

提高人员安全意识，树立等级化防护思想，合理分配网络安全投资。

5月13日，网络安全等级保护制度2.0标准（以下简称 等保2.0标准）正式发布，并将于2019年12月1日开始实施。面对等保2.0时代新一轮测评标准考量的挑战，企业加强自身的安全防护体系建设变得尤为重要。

为什么说等保2.0时代

企业必须加强安防体系建设？

《网络安全法》规定：实行网络安全等级保护制度，网络要按照网络安全等级保护制度的要求履行安全保护义务。

等保2.0以《网络安全法》、《保守秘密法》等法律为顶层规范性文件，上升到法律层面，也意味着不开展等级保护属于违法。

为什么说等保2.0时代

企业安防体系建设并非易事？

「等保2.0标准：新增4项扩展要求」

难度1：评测及格分提高

与1.0相比，等保2.0的评测要求从60提升到75分，通过的难度大大增加。

内容上，以前只有一个安全通用要求，现在新增了四项扩展要求（针对移动互联、云计算、大数据、物联网和工业控制）。

《第1部分安全通用要求》

《第2部分云计算安全1,“边界防护”、2,“访问控制”、3,“入侵防范”4,“安全审计”。扩展要求》

《第3部分移动互联安全扩展要求》

《第4部分物联网安全扩展要求》

也就是说，使用新技术的信息系统必须同时满足“通用要求”和“安全扩展”的要求。并且，针对新安全形势提出了新安全要求，满足全部要求的完成难度系数也有很大提高。

难度3：可信计算技术的 强化应用

《网络安全等级保护基本要求》（报批稿）中突出了可信计算，体现了“一个中心、三重防御”的思想，由被动防御变成主动防御，并强化了可信计算安全技术要求的使用。

不过，基于部分企业安全防护水平有限，等保2.0标准时代的合规建设，需要专业的指导。

等保2.0标准时代

百卓网络帮你找到‘应变之道’

「企业安全防护体系建设解决方案」

百卓网络基于多年攻防技术研究和大量项目实践，向客户提供贯穿信息系统完整生命周期的专业安全技术服务，让客户拥有专业、快速、有效的7×24小时安全保障。

具体包括：安全评估服务、等保设服务和安全培训服务。

安全评估服务

针对客户网络、系统、应用、业务、管理制度、组织机构提供全面的安全评估，发现存在的安全隐患，提出详细的整改建议。

等保建设服务

通过等级保护工作，可以理清企业安全防护体系，有助于优化企业安全建设整体规划、优化防御部署，通过将等级化方法和安全体系方法有效结合，设计一套等级化的信息安全保障体系，是适合我国国情的、系统化地解决大型组织信息安全问题行之有效的方法。

安全培训服务

百卓网络的安全培训服务目前聚焦于企业客户，从三个不同维度设计培训课程以满足企业客户获取安全知识和经验的需求，从而使客户最终达到强化安全意识、理解安全理论、掌握安全技术，能够融会贯通并应用于所在企业的安全建设当中。

等级保护2.0讲解PPT

等保2.0定义等级保护对象为： 包括基础信息网络、云计算平台/系统、大数据应用/平台/资源、物联网、工业控制系统和采用移动互联技术的系统等。

等级保护2.0”或“等保2.0”是一个约定俗成的说法，指按新的等级保护标准规范开展工作的统称。通常认为是《中华网络安全法》颁布实行后提出，以2019年12月1日，网络安全等级保护基本要求、测评要求和设计技术要求更新发布新版本为象征性标志。

等级保护分为五个级别：

证定级对象中存在安全问题，部分符合和不符合项的统计结果不全为0，但存在的安全问题不会导致定级对象面临高等级安全风险，且综合得分不低于阈值。书案例

如何理解等级保护2.0标准中的定级对象

法律分析：等级保护2.0中修改定级对象三大基本特征为:难度2：扩展要求增加1)具有确定的主要安全主体)承载相对的业务应用)包含相互关联的多个资源。

在经历多年的试点、推广、行业标准制定、落实工作后，由于新技术、新应用、新业务形态的大量出现，尤其是大数据、物联网、云计算等的大量应用，同时安全趋势和形势的变化，原来发布的标准已经不再适用于当前安全要求，或者在新技术和新应用下已经不能满足，需要重新制定新的等保基础要求标准，因此等与1.0相比，等保2.0标准内涵更加丰富，除进行1.0时代网络定级及备案审核、等级测评、安全建设整改、自查等规定动作外，还增加了测评活动安全管理、网络、产品服务采购使用管理、技术维护管理、监测预警和信息通报管理、数据和信息安全保护要求、应急处置要求等内容。级保护的安全要求逐步开始制定2.0标准，但此次除了对通用系统制定一般要求外，还增加了对云计算、大数据、移动互联、工控、物联网等方面的安全扩展性要求，丰富了防护内容和要求。

法律依据：《中华网络安全法》 第二十一条 实行网络安全等级保护制度。网络应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：（一）制定内部安全管理制度和作规程，确定网络安全负责人，落实网络安全保护；（二）采取防范计算机和网络攻击、网络侵入等危害网络安全行为的技术措施；（三）采取监测、记录网络运行状态、网络安全的技术措施，并按照规定留存相关的网络日志不少于六个月；（四）采取数据分类、重要数据备份和加密等措施；（五）法律、行政法规规定的其他义务。

什么是信息安全等级保护？等保2.0是什么？

2、访问控制要能判断出3个非法边界（非法接入、非法外联、使用）进行 有效控制。

等保2.0是法律规定的网络安全等级保护，就基础一点来说，就是一些大型企业系统上线前需要做等保。

等保的概念您可以百度一下，有的行业尤其行业内的标准。比如二级系统有175个检技术：由物理安全、网络安全、主机安全、应用安全、数据安全，变更为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心;测项。

等保2.0针对安全区域边界技术标准的具体项目有哪些

1、边界防护处要有有效、可控的访问控制措施，且控制粒度和力度 在等保1.0基础上有所升级。

3、入侵防范4级系统要使用协议转换及隔离措施。

4、安全审计网络中要能对内、外部网络攻击、恶云计算安全扩展要求针对云计算的特点提出特殊保护要求。云计算环境主要增加的内容包括“基础设施的位置”、“虚拟化安全保护”、“镜像和快照保护”、“云服务商选择”和“云计算环境管理”等方面。意代码攻击有发现、分析及 防御能力，并按《网a)符合：络安全法》的要求保留相关网络安全审计日志。

主要检查点

边界防护，其实按照以前的旧标准来看，本控制项的部分内容还是属于网络安全的范畴，当前等保2.0 标准中因为重要性将其单独提出结合一些新的要求，形成的 安全区域边界这样一个控制项。

基于数据，通过旁路、分析网络内部的数据包进行检测，适合有公共网络出口的网络（如互联网），其原理是依靠分析数据包包头及传输协议的某些特殊字段来进行判断和区分随身WIFI接入、智能手机接入以及NAT设备接入。

等级保护新标准(2.0)介绍 ppt课件

级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害安全、秩序和公共利益。

“等级保护2.0”或“等保2.0”是一个约定俗成的说法，指按新的等级保护标准规范开展工作的统称。通常认为是《中华网络安全法》颁布施行后提出，以2019年12月1日，网络安全等级保护基本要求、测评要求和设计技术要求更新发布新版本为象征性标志。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生损害，或者对秩序和公共利益造成损害，但不损害安全。

等级保护分为5个级别：

第四级，信息系统受到破坏后，会对秩序和公共利益造成特别损害，或者对安全造成损害。

第五级，信息系统受到破坏后，会对安全造成特别损害。

网络安全等级保护备案办理流程：

一步：定级;（定级是等级保护的首要环节）

二步：备案；（备案是等级保护的核心）

三步：建设整改；（建设整改是等级保护工作落实的关键）

四步：等级测评；（等级测评是评价安全保护状况的方法）

五步：监督检查。（监督检查是保护能力不断提高的保障）

证书案例

在等保2.0中等保保护对象包括哪些

在等保2.0中等保保护对象包括网络、信息系统、云平台、物联网、工控系统、大数据、移动互联等各类技术应用。其中的具体情况如下：

扩展资等保1.0：安全要求料

等保2.0的相关明细

作为网络安全保障的基本制度、基本策略、基本方法，等保2.0的工作分为定级、备案、建设整改、等级测评、监督检查五个阶段。实施意义主要有三点：

1、合法要求

满足合法合规要求，清晰化和工作方法，让安全贯穿全生命周期。

2「等级保护制度上升到法律层面」、体系建设

明确组织整体目标，改变以往单点防御方式，让安全建设更加体系化。

3、等级防护

参考资料来源：

【等级保护测评】等保2.0和等保1.0有什么区别?

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生损害，或者对秩序和公共利益造成损害，但不损害安全。

伴随着等保2.0的发布，也标志着我国网络安全等级保护将进入一个全新的阶段。那么什么是等保?网络安全等级保护2.0具有哪些特点?等保2.0和等保1.0有什么区别?针对这些问题，我为大家详细讲解一下。

第，信息系统受到破坏后，会对秩序和公共利益造成损害，或者对安全造成损害。

什么是等保?

等级保护是我们的基本网络安全制度、基本国策，也是一套完整和完善的网络安全管理体系。遵循等级保护相关标准开始安全建设是目前企事业单位的普遍要求，也是关键信息基础措施保护的基本要求。

网络安全等级保护2.0具有哪些特点?

①等级保护的基本要求、测评要求和安全设计技术要求框架统计，即：安全管理中心支持下的三重防护结构框架;

③将可信验证列入各级别和各环节的主要功能要求。

等保2.0和等保1.0有什么区别?

：名称变化

《信息系统安全等级保护基本要求》改为：《网络安全等级保护基本要求》，与《网络安全法》保持一致。

第二：定级对象变化

等保1.0的定级对象是信息系统，现在2.0更为广泛，包括：信息系统、基础信息网络、云计算平台、大数据平台、物联网系统、工业控制系统、采用移动互联技术的网络等。

第三：安全要求变化

等保2.0由一个单独的基本要求演变为通用安全要求+新技术安全扩展要求，其中安全通用要求是不管等级保护对象形态如何都必须满足的要求，针对云计算、移动互联、物联网和工业控制系统提出了特殊要求，称为安全扩展要求。

②移动互联安全扩展要求包括接入点的地理位置、移动终端管控、移动应用管控、移动应用软件采购和移动应用软件开发等方面。

③物联网安全扩展要求包括感知的物理保护、感知设备安全、感知设备安全、感知的管理和数据融合处理等方面。

④工业控制系统安全扩展要求包括室外控制设备防护、工业控制系统网络架构安全、拨号使用控制、使用控制和控制设备安全等方面。

第四：控制措施分类结构变化

等保2.0依然保留技术和管理两个维度。

管理：结构上没有太大的变化，从安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理，调整为安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。

第五：工作内容变化

等保2.0不仅进一步明确定级、备案、安全建设、等级测评、监督检查等1.0时代的规定动作，最主要的是把安全检测、通报预警、案调查等措施都将全部纳入等级保护制度并加以实施。