<cite id="omkeu"></cite>
發布日期：2020年01月07日 來源： 信息安全國家工程研究中心 閱讀次數：
等級保護2.0時代已經到來！
2019年12月1日，網絡安全等級保護2.0時代正式開始。
什么是等保？
1
網絡安全等級保護制度是我國網絡安全領域的基本國策、基本制度，等級保護標準在1.0時代標準的基礎上，注重主動防御，從被動防御到事前、事中、事后全流程的安全可信、動態感知和全面審計，實現了對傳統信息系統、基礎信息網絡、云計算、大數據、物聯網、移動互聯網和工業控制信息系統等級保護對象的全覆蓋。
2019年12月1日，等保2.0開始實施，這標志著國家網絡安全等級保護工作步入新時代，對保障和促進國家信息化發展，提升國家網絡安全保護能力，維護國家空間安全具有重要的意義。
等保2.0相比等保1.0有哪些區別/進步？
2
等保1.0主要強調物理主機、應用、數據、傳輸，而2.0版本增加了對云計算、移動互聯、物聯網、工業控制和大數據等新技術新應用的全覆蓋。相較于等保1.0，等保2.0發生了以下主要變化：
名稱變化。
等保2.0將原來的標準《信息安全技術信息系統安全等級保護基本要求》改為《信息安全技術網絡安全等級保護基本要求》，與《網絡安全法》保持一致。
定級對象變化。
等保1.0的定級對象是信息系統，現在2.0更為廣泛，包含：信息系統、基礎信息網絡、云計算平臺、大數據平臺、物聯網系統、工業控制系統、采用移動互聯技術的網絡等。
安全要求變化。
基本要求的內容，由安全要求變革為安全通用要求與安全擴展要求(含云計算、移動互聯、物聯網、工業控制)。
控制措施分類結構變化。
等保2.0依舊保留技術和管理兩個維度。
在技術上，由物理安全、網絡安全、主機安全、應用安全、數據安全，變更為安全物理環境、安全通信網絡、安全區域邊界、安全計算環境、安全管理中心；
在管理上，結構上沒有太大的變化，從安全管理制度、安全管理機構、人員安全管理、系統建設管理、系統運維管理，調整為安全管理制度、安全管理機構、安全管理人員、安全建設管理、安全運維管理。
內容變化。
從等保1.0的定級、備案、建設整改、等級測評和監督檢查五個規定動作，變更為五個規定動作+新的安全要求(風險評估、安全監測、通報預警、態勢感知等)。
等保2.0下網站群用戶安全建設挑戰
3
等保2.0的實施對網站群平臺安全防護提出了更高的要求，面臨更嚴格的監管、測評標準，學校在對網站及新媒體管理過程中更具挑戰：
01
等保2.0安全標準難以滿足
等保2.0在等保1.0的基礎上覆蓋范圍更廣，內容更精簡但內涵更豐富，要求更高，更注重全方位主動防御、動態防御、整體防控和精準防護。按照等保2.0標準對網站群進行全方面主動防御，提供對事前、事中、事后的感知預警、動態防護、安全檢測、以及應急響應。
同時，等保2.0新增個人信息保護內容，需要系統具備對文章信息、互動留言內容、附件信息、圖片、微博、微信等內容在事前、事中、事后全過程提供敏感信息檢測提醒、快速一鍵處理。
02
網站群智能化、便捷化
運維管理水平有待提升
移動互聯網和移動終端設備的迅速普及，人們不再只通過電腦瀏覽信息，也催生了移動終端網站的出現，如手機版網站、PAD版網站等，如何低成本高效率的實現移動化，考慮未來移動化的需求進行長遠規劃，保證PC網站和移動網站的安全也是高校面臨的一大挑戰。
此外，隨著新技術的發展，人臉識別、大數據、AI等技術逐漸普及，如何更好的利用這些先進、智能化的工具實現網站的快速管理和運維，也是未來高校網站群重點發展的方向。
03
技術服務過度被動化，
站群平臺安全監控缺乏及時掌握
當前學校網站在日常維護的過程中，面對網站突發問題的處理，主要側重于事后被動補救而不是事前監控預防。導致技術服務限于被動模式，無法實時掌握問題，及時提供解決辦法。
因此，需要采用主動的安全監控方式，對包含站點、底層環境、安全應用、系統安全設置等情況進行全程跟蹤監控，遇到異常情況，能夠即時發現、即時預警、及時處理。
基于等保2.0要求的安全建設思路
4
全面支持等級保護2.0
等保2.0標準的發布為企業合規提出了更高的要求，信息系統廠商應為網站群服務廠商在滿足國家法律法規和標準體系的前提下，通過系統提升，幫助用戶滿足等保2.0的相關標準和合規要求。
身份鑒別
系統登錄密碼規則可定，強度可選；提供超時自動退出機制；可配SSL證書保證加密傳輸；能夠實現密碼、驗證碼等多重身份鑒別驗證。
訪問控制
分級分權、細?；臋嘞薹峙洌魉酒渎毜牡卿浫肟?；多角色的訪問控制，特定資源特定訪問；全系統全方位日志記錄、強制180天日志的審計保護。
入侵防范
對數據輸入安全過濾，系統及應用雙重防火墻主動防御數據注入及腳本攻擊；通過漏洞掃描、滲透測試和源代碼審計，實現漏洞的全面修復。
等保2.0只是開始
根據網絡安全法及等級保護相關要求，企業或單位應該按照網絡安全法要求嚴格落實等級保護制度、履行網絡安全責任、加強網絡安全防護、不斷提高網絡抗攻擊能力，因此還應定期開展網絡的等級測評、風險評估、滲透測試、安全培訓、安全運維、重要時期的安全保障、日常的應急響應和安全通報等工作。通過這些工作夯實網絡安全工作的各個層面，提高安全水平和防御能力，保障企業或單位的網絡系統穩定運行。
部分資料來源：
信息安全國家工程研究中心
