新时代-等级保护2.0安全解决方案

网络安全等级保护2.0解读目录CONTENTS等级保护2.0解读新等级保护差异变化等级保护2.0安全保护实践等级保护2.0解读《网络安全等级保护安全设计技术要求》GB/T25070--2019《网络安全等级保护测评要求》GB/T28448--2019《网络安全等级保护基本要求》GB/T22239--2019国家网络安全等级保护制度2.0国家新标准国家新标准新标准《网络安全法》规定“国家实行网络安全等级保护制度”。标志了等级保护制度的法律地位。网络安全法新条例公安部会同中央网信办、国家保密局和国家密码管理局，联合起草并上报了《网络安全等级保护条例》（草案）。国家新标准出台并实施。新时代的网络安全观等级保护进入2.0时代典型标志没有网络安全就没有国家安全新时期国家网络安全等级保护制度的鲜明特点一是覆盖各地区、各单位、各部门、各企业、各机构，即是覆盖全社会。二是覆盖所有保护对象，包括网络、信息系统、信息，以及云平台、物联网、工控系统、大数据、移动互联等各类新技术应用一.两个全覆盖新时期国家网络安全等级保护制度的鲜明特点国家建立健全网络安全等级保护制度的工作体系和保障体系政府扶持等级保护重点工程和项目，支持等级保护技术的研究开发和应用，推广安全可信的网络产品和服务二.加强了保障和保卫加强监督管理和执法，加强网络安全保卫，依法打击网络违法犯罪新时期国家网络安全等级保护制度的鲜明特点按照“一个中心、三重防护”的总体思路开展网络安全技术设计确立了可信计算技术的重要地位，结合人工智能、密码保护、生物识别、大数据分析等高端技术，落实网络安全管理要求、技术要求、测评要求、设计要求等。三.技术和理论创新THEBUSENESSPLAN等级保护2.0安全保护实践可信体系在等级保护2.0中的关键作用等保2.0加强了可信体系作为重要思想安全通信网络可信验证：可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证安全区域边界可信验证：可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证安全计算环境可信验证：可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证等级保护管理组织指导监管部门：国家等保工作开展、推进、指导。技术支撑部门：国家等保标准制定、修订、培训、技术指导以及全国测评单位管理。国家测评机构行业测评机构地方测评机构等级保护主要工作流程一定级二备案三建设整改备案是等级保护的核心建设整改是等级保护工作落实的关键四等级测评等级测评是评价安全保护状况的方法监督检查是保护能力不断提高的保障定级是等级保护的首要环节等级保护安全技术方案互联网接入区SSLVPN网关管理区数据中心区管理区FW上网行为管理边界FW核心FW/IPSInternetDDoS防御运维审计系统Web服务区Web服务器Web防火墙安全沙箱网络管理系统终端安全准入系统日志审计系统接入区接入用户接入用户接入用户IPS/AV防火墙漏洞扫描系统态势感知CISTHEBUSENESSPLAN新等级保护差异变化网络安全等级保护2.0-主要标准等保2.0国家标准GB/T22239—2008《信息安全技术信息系统安全等级保护基本要求》在开展信息安全等级保护工作的过程中起到了非常重要的作用，被广泛应用于各个行业和领域开展信息安全等级保护的建设整改和等级测评等工作，但是随着信息技术的发展，GB/T22239—2008在时效性、易用性、可操作性上需要进一步完善。为了适应移动互联、云计算、大数据、物联网和工业控制等新技术、新应用情况下信息安全等级保护工作的开展，需对GB/T22239—2008进行修订，修订的思路和方法是针对移动互联、云计算、大数据、物联网和工业控制等新技术、新应用领域提出扩展的安全要求。网络安全等级保护条例（总要求/上位文件）计算机信息系统安全保护等级划分准则（GB17859-1999）（上位标准）网络安全等级保护实施指南（GB/T25058）（正在修订）网络安全等级保护定级指南（GB/T22240）（正在修订）网络安全等级保护基本要求（GB/T22239-2019）网络安全等级保护设计技术要求（GB/T25070-2019）网络安全等级保护测评要求（GB/T28448-2019）网络安全等级保护测评过程指南（GB/T28449-2018）新等保系列标准特点1-对象范围扩大新标准将于计算、移动互联网联、物联网、工业控制系统等列入标准范围，构成了“安全通用要求+新型应用安全扩展要求”的要求内容特点2-强化可信计算新标准强化了可信计算技术使用的要求，把可信验证列入各个级别并逐级提出各个环节的主要可信验证要求特点3-对象的变化原来：信息系统改为：等级保护对象（网络和信息系统）安全等级保护的对象包括网络基础设施（广电网、电信网、专用通信网络等）、云计算平台/系统、大数据平台/系统、物联网、工业控制系统、采用移动互联技术的系统等.特点4-安全保护等级定义的变化安全保护等级第三级的定义修订为：“等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害”。特点5-定级流程的完善等保2.0标准不再自主定级，而是通过“确定定级对象——初步确定等级——专家评审——主管部门审核——公安机关备案审查——最终确定等级”这种线性的定级流程，系统定级必须经过专家评审和主管部门审核，才能到公安机关备案，整体定级更加严格。特点6-安全体系变化等保2.0标准采用“一个中心、三重防护”的理念，从等保1.0标准被动防御的安全体系向事前预防、事中响应、事后审计的动态保障体系转变。