發布日期：2020年01月07日 來源： 信息安全國家工程研究中心 閱讀次數：
等級保護2.0時代已經到來！
2019年12月1日，網絡安全等級保護2.0時代正式開始。
什么是等保？
1
網絡安全等級保護制度是我國網絡安全領域的基本國策、基本制度，等級保護標準在1.0時代標準的基礎上，注重主動防御，從被動防御到事前、事中、事后全流程的安全可信、動態感知和全面審計，實現了對傳統信息系統、基礎信息網絡、云計算、大數據、物聯網、移動互聯網和工業控制信息系統等級保護對象的全覆蓋。
2019年12月1日，等保2.0開始實施，這標志著國家網絡安全等級保護工作步入新時代，對保障和促進國家信息化發展，提升國家網絡安全保護能力，維護國家空間安全具有重要的意義。
等保2.0相比等保1.0有哪些區別/進步？
2
等保1.0主要強調物理主機、應用、數據、傳輸，而2.0版本增加了對云計算、移動互聯、物聯網、工業控制和大數據等新技術新應用的全覆蓋。相較于等保1.0，等保2.0發生了以下主要變化：
名稱變化。
等保2.0將原來的標準《信息安全技術信息系統安全等級保護基本要求》改為《信息安全技術網絡安全等級保護基本要求》，與《網絡安全法》保持一致。
定級對象變化。
等保1.0的定級對象是信息系統，現在2.0更為廣泛，包含：信息系統、基礎信息網絡、云計算平臺、大數據平臺、物聯網系統、工業控制系統、采用移動互聯技術的網絡等。
安全要求變化。
基本要求的內容，由安全要求變革為安全通用要求與安全擴展要求(含云計算、移動互聯、物聯網、工業控制)。
控制措施分類結構變化。
等保2.0依舊保留技術和管理兩個維度。
在技術上，由物理安全、網絡安全、主機安全、應用安全、數據安全，變更為安全物理環境、安全通信網絡、安全區域邊界、安全計算環境、安全管理中心；
在管理上，結構上沒有太大的變化，從安全管理制度、安全管理機構、人員安全管理、系統建設管理、系統運維管理，調整為安全管理制度、安全管理機構、安全管理人員、安全建設管理、安全運維管理。
內容變化。
從等保1.0的定級、備案、建設整改、等級測評和監督檢查五個規定動作，變更為五個規定動作+新的安全要求(風險評估、安全監測、通報預警、態勢感知等)。
等保2.0下網站群用戶安全建設挑戰
3
等保2.0的實施對網站群平臺安全防護提出了更高的要求，面臨更嚴格的監管、測評標準，學校在對網站及新媒體管理過程中更具挑戰：
01
等保2.0安全標準難以滿足
等保2.0在等保1.0的基礎上覆蓋范圍更廣，內容更精簡但內涵更豐富，要求更高，更注重全方位主動防御、動態防御、整體防控和精準防護。按照等保2.0標準對網站群進行全方面主動防御，提供對事前、事中、事后的感知預警、動態防護、安全檢測、以及應急響應。
同時，等保2.0新增個人信息保護內容，需要系統具備對文章信息、互動留言內容、附件信息、圖片、微博、微信等內容在事前、事中、事后全過程提供敏感信息檢測提醒、快速一鍵處理。
02
網站群智能化、便捷化
運維管理水平有待提升
移動互聯網和移動終端設備的迅速普及，人們不再只通過電腦瀏覽信息，也催生了移動終端網站的出現，如手機版網站、PAD版網站等，如何低成本高效率的實現移動化，考慮未來移動化的需求進行長遠規劃，保證PC網站和移動網站的安全也是高校面臨的一大挑戰。
此外，隨著新技術的發展，人臉識別、大數據、AI等技術逐漸普及，如何更好的利用這些先進、智能化的工具實現網站的快速管理和運維，也是未來高校網站群重點發展的方向。
03
技術服務過度被動化，
站群平臺安全監控缺乏及時掌握
當前學校網站在日常維護的過程中，面對網站突發問題的處理，主要側重于事后被動補救而不是事前監控預防。導致技術服務限于被動模式，無法實時掌握問題，及時提供解決辦法。
因此，需要采用主動的安全監控方式，對包含站點、底層環境、安全應用、系統安全設置等情況進行全程跟蹤監控，遇到異常情況，能夠即時發現、即時預警、及時處理。
基于等保2.0要求的安全建設思路
4
全面支持等級保護2.0
等保2.0標準的發布為企業合規提出了更高的要求，作為網站群服務廠商在滿足國家法律法規和標準體系的前提下，通過系統提升，幫助用戶滿足等保2.0的相關標準和合規要求。
身份鑒別
系統登錄密碼規則可定，強度可選；提供超時自動退出機制；可配SSL證書保證加密傳輸；能夠實現密碼、驗證碼等多重身份鑒別驗證。
訪問控制
分級分權、細粒化的權限分配，各司其職的登錄入口；多角色的訪問控制，特定資源特定訪問；全系統全方位日志記錄、強制180天日志的審計保護。
入侵防范
對數據輸入安全過濾，系統及應用雙重防火墻主動防御數據注入及腳本攻擊；通過漏洞掃描、滲透測試和源代碼審計，實現漏洞的全面修復。
等保2.0只是開始
根據網絡安全法及等級保護相關要求，企業或單位應該按照網絡安全法要求嚴格落實等級保護制度、履行網絡安全責任、加強網絡安全防護、不斷提高網絡抗攻擊能力，因此還應定期開展網絡的等級測評、風險評估、滲透測試、安全培訓、安全運維、重要時期的安全保障、日常的應急響應和安全通報等工作。通過這些工作夯實網絡安全工作的各個層面，提高安全水平和防御能力，保障企業或單位的網絡系統穩定運行。
部分資料來源：
信息安全國家工程研究中心
