等保2.0

简述：

《GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求》简称等保2.0，其是在等保1.0的基础上经过改进、优化而来的。相对于等保1.0侧重于信息系统的等级保护要求，等保2.0还增加了对云计算、移动互联、物联网、工控、大数据等新兴技术的等级保护要求。等保测评的重点在于评估信息系统的安全等级，通过其指导的方法为我国网络安全规范建设提供了重要依据。

等保2.0的发展历程

中国信息安全治理框架

中国信息安全保护管理方法是一个综合框架，旨在通过法律和标准保护信息安全。核心法规包括：

《网络安全法》（2017年）：这是中国首部国家级网络安全法律，规定网络运营商需确保网络免受干扰、破坏或未经授权访问。
《数据安全法》（2021年）：聚焦数据安全，分类数据为重要数据和核心数据，要求企业建立数据安全系统。
《个人信息保护法》（2021年）：中国的首部综合性个人信息保护法，类似于欧盟的GDPR。

等保制度是该框架的关键部分，要求网络系统按重要性分为五级（1-5级），并采取相应安全措施。

等保2.0从技术和管理两个维度提出十大类安全要求，主要包括：

安全管理中心：实现安全策略的统一配置、事件监控和应急响应。

通信网络安全：保障数据传输的机密性、完整性和可用性，如加密通信、访问控制。

区域边界防护：通过防火墙、入侵检测系统（IDS）等技术隔离风险。

计算环境安全：强化主机、应用和数据的安全防护，例如漏洞管理、数据备份。

等保2.0的发展

1994年：国家首次发布计算机信息系统安全保护条例，奠定分级保护基础。
2007年：正式发布等保要求，分为五级保护，重点保护关键基础设施。
2019年：发布等保2.0，包括三项国家标准（GB/T 22239-2019等），于12月1日生效，增强了对网络运营商的合规要求。

2019年5月，国家市场监管总局发布三项核心国家标准：
GB/T 22239-2019：信息安全技术 网络安全等级保护基本要求
GB/T 25070-2019：信息安全技术 网络安全等级保护安全设计技术要求
GB/T 28448-2019：信息安全技术 网络安全等级保护评估要求
这些标准于2019年12月1日生效，另一标准GB/T 25058-2019（实施指南）于2020年3月1日生效。

等保2.0与1.0相比，有以下显著变化：

分类标准：基于数据类型和潜在危害，确定系统保护级别，涉及国家安全、社会经济和个人权益。
安全要求：五级保护各有不同技术和管理要求，级别越高，安全措施越严格。
合规与执法：网络运营商需定期自评，接受监管检查，违规可能面临罚款和业务暂停。

等保2.0的重要步骤

等保1.0主要包含五个重要步骤，分别是定级、备案、测评、整改和监督检查。等保2.0在等保1.0的基础上还有新增加的要求，如风险评估、安全监测、通报预警、态势感知等。

定级

根据信息系统处理的信息重要性、服务对象和服务范围等因素，确定系统的安全保护等级。

工作：组织内部进行自评，初步确定等级，并提交相关部门审核确认。
过程：
开展系统调研，收集系统相关信息。
分析业务功能和潜在风险。
进行风险评估，综合确定等级。
编制定级报告，提交公安机关审核。

备案

将定级后的信息系统向公安机关登记备案。

工作：准备备案材料，包括定级报告、系统拓扑图、安全管理制度等，提交至当地公安机关。
过程：
整理备案所需文档。
提交备案申请。
公安机关审核材料，确认后颁发备案证明。

测评

由具备资质的测评机构评估信息系统是否符合相应等级的安全要求。

工作：测评机构对系统的物理安全、网络安全、主机安全、应用安全、数据安全等进行全面检查。
过程：
制定测评计划，明确范围和方法。
执行现场检查、漏洞扫描、渗透测试等。
审核安全管理文档。
编制测评报告，列出问题和建议。

整改

根据测评报告中的安全问题和不符合项，进行整改和加固。

工作：制定整改计划，实施加固措施，如修补漏洞、优化配置、加强权限管理等。
过程：
分析测评报告，识别整改重点。
实施整改措施。
完成整改后进行复测，确保问题解决。

监督检查

公安机关对已备案的系统进行定期或不定期检查，确保持续合规。

工作：组织配合检查，提供资料和现场访问权限。
过程：
公安机关制定检查计划。
执行文档审查、现场检查和技术检测。
发现问题后，组织需及时整改。

测评结果分级

测评结论分为“优、良、中、差”，70分以上为基本合规，80分以上为良好，等保2.0的要求显著高于等保1.0。

等保2.0的合规意义与价值

1. 对企业的价值

法律合规：避免因安全漏洞导致的行政处罚或法律纠纷。

信任背书：通过等保测评可提升客户、合作伙伴对企业安全能力的认可。

风险防范：通过主动防御降低数据泄露、勒索攻击等风险。

2. 对国家安全的意义

等保2.0是构建国家网络安全体系的重要抓手，尤其针对能源、金融、交通等关键领域，通过分级保护机制抵御国家级网络攻击，保障国计民生。

等保2.0建设实施过程中的挑战

企业在实施等保2.0的过程中，主要面临以下五个方面的挑战：

技术复杂性

挑战描述：随着云计算、大数据、物联网等新技术的广泛应用，网络环境变得更加复杂，信息系统的安全防护要求显著提高。例如，多云环境下的安全管理、数据流动的安全控制以及物联网设备的安全防护都成为技术难题。
影响：企业可能缺乏足够的技术能力和经验，导致安全防护措施难以全面落实，增加系统被攻击的风险。

标准理解与执行

挑战描述：等保2.0标准内容繁多，涵盖安全技术、安全管理、安全运营等多个领域。企业对标准的理解和执行容易出现偏差，例如误解具体要求或实施方法。
影响：理解和执行上的偏差可能导致安全措施不全面或不符合监管要求，从而增加合规性风险。

资源投入

挑战描述：实施等保2.0需要投入大量的人力、物力和财力，包括购买安全设备、聘请专业人员、开展安全培训等。对于资源有限的中小企业而言，这些成本往往难以承受。
影响：资源不足可能导致安全防护措施不完善，影响企业的安全防护水平和合规性。

合规性压力

挑战描述：监管部门对等保2.0的合规性要求严格，企业需要定期进行自查、整改，并接受检查。尤其是在标准更新频繁的情况下，合规性压力进一步加剧。
影响：若无法满足合规要求，企业可能面临罚款、业务中断等风险，影响正常运营。

安全意识不足

挑战描述：部分企业对信息安全的重要性认识不足，员工缺乏基本的安全知识和技能，安全意识普遍较弱。
影响：安全意识不足可能导致员工在日常操作中忽视安全风险，从而增加人为因素引发的安全事件概率。

解决建议

针对上述挑战，企业可以采取以下措施来有效应对，确保等保2.0建设的顺利实施：

加强技术培训

具体措施：组织专业培训，提升技术人员对等保2.0标准的理解和应用能力。培训内容应包括新技术环境下的安全防护策略以及标准要求的具体实施方法。
预期效果：通过提升技术团队的专业水平，确保安全防护措施既有效又符合合规要求。

制定详细规划

具体措施：企业应制定详细的实施规划，明确目标、任务和时间节点。规划应涵盖安全需求分析、风险评估、安全防护措施设计、实施和验证等环节。
预期效果：有条不紊地推进建设工作，确保各项任务按计划完成，避免遗漏或失误。

优化资源配置

具体措施：根据风险评估结果，合理分配资源，优先保障关键系统的安全防护，例如对业务影响最大的系统和数据进行重点保护。
预期效果：在资源有限的情况下最大化安全防护效果，确保核心业务的安全稳定。

引入第三方服务

具体措施：借助专业安全服务机构的经验和技术，降低实施难度。第三方服务可以提供安全咨询、安全评估、安全运维等支持。
预期效果：快速提升企业的安全防护水平，同时减轻自身技术和资源压力。

加强安全教育

具体措施：通过定期的安全培训、演练和宣传活动，提高全员安全意识，培养良好的安全习惯。
预期效果：减少因人为因素导致的安全事件，提升整体安全防护能力。