圖片來(lái)自天億網(wǎng)絡(luò)安全文章截圖，版權(quán)歸原作者
1等保2.0相比1.0主要有哪些變化？
（1） 名稱上的變化
名稱上由“信息系統(tǒng)安全等級(jí)保護(hù)”轉(zhuǎn)變?yōu)?span lang="EN-US">“網(wǎng)絡(luò)安全等級(jí)保護(hù)”。
（2） 法律效力不同
《網(wǎng)絡(luò)安全法》第21條規(guī)定“國(guó)家實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，要求網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度要求，履行安全保護(hù)義務(wù)”。落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度上升為法律義務(wù)。
（3）保護(hù)對(duì)象有擴(kuò)展
等保1.0主要是信息系統(tǒng)。而等保2.0將網(wǎng)絡(luò)基礎(chǔ)設(shè)施（廣電網(wǎng)、電信網(wǎng)、專用通信網(wǎng)絡(luò)等）、云計(jì)算平臺(tái)/系統(tǒng)、采用移動(dòng)互聯(lián)技術(shù)的系統(tǒng)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等納入到等級(jí)保護(hù)對(duì)象范圍中。
（4） 控制措施分類不同
等保1.0按照技術(shù)和管理各5個(gè)方面的要求進(jìn)行分類，技術(shù)要求分為物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全及備份恢復(fù)，管理要求分為安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理。
等保2.0則有很大的變化。技術(shù)要求分為安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境、安全管理中心，管理要求分為安全管理制度、安全管理機(jī)構(gòu)、安全人員管理、安全建設(shè)管理和安全運(yùn)維管理。此外，等保2.0基本要求、測(cè)評(píng)要求、安全設(shè)計(jì)技術(shù)要求框架保持了一致性，即“一個(gè)中心，三重防護(hù)”。
（5） 內(nèi)容進(jìn)行了擴(kuò)充
等保1.0有五個(gè)規(guī)定性動(dòng)作，包括定級(jí)、備案、建設(shè)整改、等級(jí)測(cè)評(píng)和監(jiān)督檢查。而等保2.0除了定級(jí)、備案、建設(shè)整改、等級(jí)測(cè)評(píng)和監(jiān)督檢查之外，增加了風(fēng)險(xiǎn)評(píng)估、安全監(jiān)測(cè)、通報(bào)預(yù)警、案事件調(diào)查、數(shù)據(jù)防護(hù)、災(zāi)難備份、應(yīng)急處置等。
2、單位如何開展等級(jí)保護(hù)建設(shè)的相關(guān)工作？
等級(jí)保護(hù)工作是一個(gè)系統(tǒng)性工程，根據(jù)網(wǎng)絡(luò)安全等級(jí)保護(hù)相關(guān)標(biāo)準(zhǔn)，等級(jí)保護(hù)工作總共分五個(gè)階段，分別為：系統(tǒng)定級(jí)、系統(tǒng)備案、建設(shè)整改、等級(jí)測(cè)評(píng)、監(jiān)督檢查。
（1）系統(tǒng)定級(jí)
對(duì)擬定為第二級(jí)及以上的對(duì)象，其運(yùn)營(yíng)者應(yīng)當(dāng)組織專家評(píng)審；有行業(yè)主管部門的，應(yīng)當(dāng)在專家定級(jí)評(píng)審后報(bào)請(qǐng)主管部門核準(zhǔn)；跨省或者全國(guó)統(tǒng)一聯(lián)網(wǎng)運(yùn)行的網(wǎng)絡(luò)由行業(yè)主管部門統(tǒng)一擬定安全保護(hù)等級(jí)，統(tǒng)一組織定級(jí)評(píng)審。
（2）系統(tǒng)備案
定級(jí)對(duì)象的運(yùn)營(yíng)使用單位應(yīng)準(zhǔn)備定級(jí)備案材料，材料包括：定級(jí)報(bào)告、等級(jí)保護(hù)備案表、單位基本情況、信息系統(tǒng)情況等材料。第二級(jí)以上網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)在定級(jí)對(duì)象安全保護(hù)等級(jí)確定后10個(gè)工作日內(nèi)，到縣級(jí)以上公安機(jī)關(guān)備案。
公安機(jī)關(guān)在接到備案材料后，于10個(gè)工作日內(nèi)完成材料審查，并對(duì)定級(jí)對(duì)象安全等級(jí)進(jìn)行初步審核，并出具網(wǎng)絡(luò)安全等級(jí)保護(hù)備案證明。
（3）建設(shè)整改
對(duì)于新建的等級(jí)保護(hù)對(duì)象，要按照等級(jí)保護(hù)相關(guān)標(biāo)準(zhǔn)，撰寫等級(jí)保護(hù)建設(shè)方案，并根據(jù)建設(shè)方案組織集成實(shí)施。
對(duì)于已有的等級(jí)保護(hù)對(duì)象，等級(jí)保護(hù)對(duì)象運(yùn)營(yíng)使用單位負(fù)責(zé)對(duì)其進(jìn)行風(fēng)險(xiǎn)評(píng)估和整改建設(shè)工作， 重要等級(jí)保護(hù)對(duì)象的運(yùn)營(yíng)使用單位應(yīng)形成等級(jí)保護(hù)整改建設(shè)方案，并根據(jù)整改方案組織集成建設(shè)。
對(duì)于三級(jí)以上的等級(jí)保護(hù)對(duì)象建設(shè)整改方案，要組織專家進(jìn)行評(píng)審，形成專家評(píng)審意見，并最終形成等級(jí)保護(hù)整改建設(shè)方案。
（4）等級(jí)測(cè)評(píng)
等級(jí)保護(hù)對(duì)象的運(yùn)營(yíng)使用單位應(yīng)落實(shí)等級(jí)測(cè)評(píng)資金保障工作，同時(shí)開展等級(jí)測(cè)評(píng)工作。
等級(jí)保護(hù)對(duì)象建設(shè)完成后，運(yùn)營(yíng)使用單位或者其主管部門應(yīng)當(dāng)選擇符合資質(zhì)要求的第三方測(cè)評(píng)機(jī)構(gòu)，依據(jù)《網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》等技術(shù)標(biāo)準(zhǔn)，定期對(duì)等級(jí)保護(hù)對(duì)象開展等級(jí)測(cè)評(píng)。第三級(jí)及以上定級(jí)對(duì)象應(yīng)當(dāng)每年至少進(jìn)行一次等級(jí)測(cè)評(píng)（等保1.0標(biāo)準(zhǔn)里面等級(jí)保護(hù)四級(jí)系統(tǒng)需要每半年一次，現(xiàn)在調(diào)整為每年一次），第五級(jí)定級(jí)對(duì)象應(yīng)當(dāng)依據(jù)特殊安全需求進(jìn)行等級(jí)測(cè)評(píng)。
3、什么樣的系統(tǒng)要求定級(jí)？系統(tǒng)備案去哪里？找誰(shuí)備案？
除等保1.0規(guī)定的信息系統(tǒng)外，對(duì)于如下對(duì)象，均屬于等級(jí)保護(hù)定級(jí)備案的范疇，具體包括：
（1） 對(duì)于電信網(wǎng)、廣播電視傳輸網(wǎng)、互聯(lián)網(wǎng)等基礎(chǔ)信息網(wǎng)絡(luò)，應(yīng)分別依據(jù)服務(wù)類型、服務(wù)地域和安全責(zé)任主體等因素將其劃分為不同的定級(jí)對(duì)象，而跨省業(yè)務(wù)專網(wǎng)既可以作為一個(gè)整體定級(jí)，也可根據(jù)區(qū)域劃分為若干對(duì)象定級(jí)。
（2）對(duì)于工業(yè)控制系統(tǒng)，應(yīng)將現(xiàn)場(chǎng)采集/執(zhí)行、現(xiàn)場(chǎng)控制和過(guò)程控制等要素應(yīng)作為一個(gè)整體對(duì)象定級(jí)，而生產(chǎn)管理要素可以單獨(dú)定級(jí)。
（3）對(duì)于云計(jì)算平臺(tái)，則應(yīng)區(qū)分為服務(wù)提供方與租戶方，各自分別作為定級(jí)對(duì)象。
（4）對(duì)于物聯(lián)網(wǎng)，雖然其包括感知、網(wǎng)絡(luò)傳輸和處理應(yīng)用等多種特征因素，但仍應(yīng)將以上要素作為一個(gè)整體的定級(jí)對(duì)象，各要素并不單獨(dú)定級(jí)。
（5）采用移動(dòng)互聯(lián)技術(shù)的網(wǎng)絡(luò)與物聯(lián)網(wǎng)類似，應(yīng)將移動(dòng)終端、移動(dòng)應(yīng)用、無(wú)線網(wǎng)絡(luò)等要素與相關(guān)有線網(wǎng)絡(luò)業(yè)務(wù)系統(tǒng)作為整體對(duì)象定級(jí)。
（6）對(duì)于大數(shù)據(jù)，除安全責(zé)任主體相同的平臺(tái)和應(yīng)用可以整體定級(jí)外，應(yīng)單獨(dú)定級(jí)。
第二級(jí)以上網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)在安全保護(hù)等級(jí)確定后10個(gè)工作日內(nèi)，到縣級(jí)以上公安機(jī)關(guān)備案。
4、等保2.0安全通用要求與安全擴(kuò)展要求之間的關(guān)系？
等保2.0基本要求分為安全通用要求和安全擴(kuò)展要求。其中安全通用要求針對(duì)共性化保護(hù)需求提出，等級(jí)保護(hù)對(duì)象無(wú)論以何種形式出現(xiàn)，必須根據(jù)安全保護(hù)等級(jí)實(shí)現(xiàn)相應(yīng)級(jí)別的安全通用要求。
安全擴(kuò)展要求針對(duì)個(gè)性化保護(hù)需求提出，需要根據(jù)安全保護(hù)等級(jí)和使用的特定技術(shù)或者特定的應(yīng)用場(chǎng)景實(shí)現(xiàn)安全擴(kuò)展要求。
5、單位自建的云計(jì)算平臺(tái)如何開展等級(jí)保護(hù)工作？
在云計(jì)算環(huán)境中，將云計(jì)算平臺(tái)作為基礎(chǔ)設(shè)施、云租戶系統(tǒng)作為信息系統(tǒng)，分別作為定級(jí)對(duì)象進(jìn)行定級(jí)。對(duì)于大型云計(jì)算平臺(tái)，當(dāng)運(yùn)管平臺(tái)共用時(shí)，可將云計(jì)算基礎(chǔ)設(shè)施與運(yùn)管平臺(tái)系統(tǒng)分開定級(jí)，責(zé)任分離，分別定級(jí)、各自備案。云計(jì)算基礎(chǔ)設(shè)施的安全保護(hù)等級(jí)不低于其所支撐的業(yè)務(wù)系統(tǒng)的最高等級(jí)。
針對(duì)私有云用戶，也要按照云平臺(tái)和云租戶信息系統(tǒng)，分別進(jìn)行定級(jí)。并且云平臺(tái)的安全等級(jí)不低于其所支撐的業(yè)務(wù)系統(tǒng)的最高等級(jí)。
對(duì)于云計(jì)算平臺(tái)和云租戶信息系統(tǒng)，則分別依據(jù)等保2.0基本要求中的通用要求和云計(jì)算安全擴(kuò)展要求來(lái)開展等級(jí)保護(hù)工作。對(duì)于私有云，定級(jí)流程為云平臺(tái)先定級(jí)測(cè)評(píng)，再將已定級(jí)應(yīng)用系統(tǒng)向云平臺(tái)遷移。
6、部署在公有云上的信息系統(tǒng)如何開展等級(jí)保護(hù)工作？
依據(jù)等保2.0，在對(duì)公有云環(huán)境下開展等級(jí)保護(hù)工作應(yīng)遵循如下原則：
（1）應(yīng)確保云計(jì)算平臺(tái)不承載高于其安全保護(hù)等級(jí)的業(yè)務(wù)應(yīng)用系統(tǒng)。
（2）應(yīng)確保云計(jì)算基礎(chǔ)設(shè)施位于中國(guó)境內(nèi)。
（3）云計(jì)算平臺(tái)的運(yùn)維地點(diǎn)應(yīng)位于中國(guó)境內(nèi)，如需境外對(duì)境內(nèi)云計(jì)算平臺(tái)實(shí)施運(yùn)維操作應(yīng)遵循國(guó)家相關(guān)規(guī)定。
（4）云計(jì)算平臺(tái)運(yùn)維過(guò)程產(chǎn)生的配置數(shù)據(jù)、鑒別數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、日志信息等存儲(chǔ)于中國(guó)境內(nèi)，如需出境應(yīng)遵循國(guó)家相關(guān)規(guī)定。
公有云開展等級(jí)保護(hù)一般分為兩個(gè)部分：
（1）是云平臺(tái)本身，在等保2.0里面明確提出：對(duì)于公有云定級(jí)流程為云平臺(tái)先定級(jí)測(cè)評(píng)，再提供云服務(wù)。
（2）是云租戶信息系統(tǒng)，比如政府單位門戶網(wǎng)站系統(tǒng)，在遷入公有云平臺(tái)后，還需要對(duì)這個(gè)門戶網(wǎng)站獨(dú)立定級(jí)備案、進(jìn)行等保測(cè)評(píng)。其中，涉及云平臺(tái)部分的內(nèi)容可以不重復(fù)測(cè)評(píng)，測(cè)評(píng)結(jié)論直接引用即可。
不同云計(jì)算服務(wù)模式需要采取不同職責(zé)劃分方式：
（1）對(duì)于IaaS（基礎(chǔ)設(shè)施即服務(wù)）模式，云服務(wù)商的職責(zé)范圍包括虛擬機(jī)監(jiān)視器和硬件，云租戶的職責(zé)范圍包括操作系統(tǒng)、中間件和應(yīng)用數(shù)據(jù)。
（2）對(duì)于PaaS（平臺(tái)即服務(wù)）模式，云服務(wù)商的職責(zé)范圍包括硬件、虛擬機(jī)監(jiān)視器、操作系統(tǒng)和中間件。云租戶的職責(zé)范圍為應(yīng)用和數(shù)據(jù)。
（3）對(duì)于SaaS（軟件即服務(wù)）模式，云服務(wù)商的職責(zé)范圍包括硬件、虛擬機(jī)監(jiān)視器、操作系統(tǒng)、中間件和應(yīng)用，云租戶的職責(zé)范圍包括部分應(yīng)用職責(zé)及用戶使用職責(zé)。
7、對(duì)于工業(yè)控制系統(tǒng)如何開展等級(jí)保護(hù)工作？
依據(jù)等?；疽笾械陌踩ㄓ靡蠛凸た?cái)U(kuò)展要求來(lái)對(duì)工業(yè)控制系統(tǒng)開展等級(jí)保護(hù)工作。
工業(yè)控制系統(tǒng)主要包括現(xiàn)場(chǎng)采集/執(zhí)行、現(xiàn)場(chǎng)控制、過(guò)程控制和生產(chǎn)管理等特征要素。其中，現(xiàn)場(chǎng)采集/執(zhí)行、現(xiàn)場(chǎng)控制和過(guò)程控制等要素應(yīng)作為一個(gè)整體對(duì)象定級(jí)，各要素不單獨(dú)定級(jí)；生產(chǎn)管理要素可單獨(dú)定級(jí)。
對(duì)于大型工業(yè)控制系統(tǒng)，可以根據(jù)系統(tǒng)功能、責(zé)任主體、控制對(duì)象和生產(chǎn)廠商等因素劃分為多個(gè)定級(jí)對(duì)象。
工控?cái)U(kuò)展要求保護(hù)主要包括：室外控制設(shè)備防護(hù)、工業(yè)控制系統(tǒng)、網(wǎng)絡(luò)架構(gòu)安全、撥號(hào)使用控制無(wú)線使用控制、控制設(shè)備安全、漏洞和風(fēng)險(xiǎn)管理、惡意代碼防范管理等方面內(nèi)容。
工業(yè)控制系統(tǒng)安全擴(kuò)展要求主要針對(duì)現(xiàn)場(chǎng)控制層和現(xiàn)場(chǎng)設(shè)備層提出特殊安全要求，其他層次使用安全通用要求條款，對(duì)工業(yè)控制系統(tǒng)的保護(hù)需要根據(jù)實(shí)際情況使用基本要求。
8、等保2.0測(cè)評(píng)是否更加嚴(yán)格？
等保測(cè)評(píng)結(jié)論由1.0時(shí)代的符合、基本符合、不符合改為2.0時(shí)代的優(yōu)、良、中、差四個(gè)等級(jí)。其中測(cè)評(píng)結(jié)論“差”的判別依據(jù)是被測(cè)對(duì)象中存在安全問(wèn)題，而且會(huì)導(dǎo)致被測(cè)對(duì)象面臨高等級(jí)安全風(fēng)險(xiǎn)，或被測(cè)對(duì)象綜合得分低于70分。
圖片來(lái)自天億網(wǎng)絡(luò)安全文章截圖，版權(quán)歸原作者
簡(jiǎn)單而言，“差”是在系統(tǒng)中存在高危風(fēng)險(xiǎn)或得分低于70分。相當(dāng)于等保1.0時(shí)代中的不符合。但是可以看出來(lái)等保的及格線已經(jīng)由原先的60分提高到了70分，等保對(duì)安全的最低要求已經(jīng)在顯然提高。因此，未來(lái)想通過(guò)等保測(cè)評(píng)需要扎扎實(shí)實(shí)地把安全工作做好才行。當(dāng)然，等保不僅是一項(xiàng)合法合規(guī)工作，更是一項(xiàng)基本的安全工作，通過(guò)落實(shí)等級(jí)保護(hù)可以提高網(wǎng)絡(luò)安全綜合防御能力和水平，實(shí)現(xiàn)動(dòng)態(tài)防御、主動(dòng)防御、縱深防御、精準(zhǔn)防護(hù)、整體防控以及聯(lián)防聯(lián)控。讓更多的網(wǎng)絡(luò)運(yùn)營(yíng)者從等保2.0時(shí)代中獲取等保建設(shè)的紅利。
