一、网络安全等级保护制度的历史发展

二、等级保护1.0到2.0的重要变化

01 法律法规的变化

变化

1.0：最高国家政策是国务院147号令

2.0：最高国家政策是《网络安全法》

解读

《网络安全法》

第二十一条要求，国家实施网络安全等级保护制度；

第二十五条要求，网络运营者应当制定网络安全事件应急预案；

第三十一条则要求，关键信息基础设施，在网络安全等级保护制度的基础上实行重点保护；第五十九条明确了，网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门给予处罚。

02 名称的变化

变化

1.0：标准名称为：《信息安全等级保护基本要求》

2.0：标准名称为：《网络安全等级保护基本要求》

解读

为适应网络安全法，配合落实网络安全等级保护制度的名称由原来的《信息系统安全等级保护基本要求》改为《网络安全等级保护基本要求》。

03 等级保护对象的变化

变化

1.0：等级保护对象为信息系统。

2.0：等级保护对象由原来的信息系统调整为基础信息网络、信息系统（含采用移动互联技术的系统）、云计算平台 / 系统、大数据应用 / 平台 / 资源、物联网和工业控制系统等。

04 定级流程的变化

变化

1.0：自主定级。

2.0：线性定级流程。

解读

通过“确定定级对象——>初步确定等级——>专家评审——>主管部门审核——>公安机关备案审查——>最终确定等级”这种线性的定级流程，系统定级必须经过专家评审和主管部门审核，才能到公安机关备案，整体定级更加严格。

05 测评的变化

变化

1.0：四级系统半年测评一次，三级系统每年做一次，测评结果为符合、基本符合、不符合，合规标准为60分。

2.0：四级系统半年测评一次，三级系统每年做一次，测评结果为优、良、中、差，合规标准为70分。

06 标准框架的变化

变化

1.0：主要分为技术要求和管理要求。

2.0：将原来各个级别的安全要求分为安全通用要求和安全扩展要求。

解读

安全扩展要求包括云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求以及工业控制系统安全扩展要求。

安全通用要求是不管等级保护对象形态如何必须满足的要求 ；针对云计算、移动互联、物联网和工业控制系统提出的特殊要求称为安全扩展要求。

07 安全通用要求的变化

变化

1.0：技术要求包括“物理安全”、“网络安全”、“主机安全”、“应用安全”、“数据安全和备份与恢复”，管理要求包括“安全管理制度”、“安全管理机构”、“人员安全管理”、“系统建设管理”和“系统运维管理”。

2.0：技术要求调整为“安全物理环境”、“安全通信网络”、“安全区域边界”、“安全计算环境”和“安全管理中心”；管理要求调整为“安全管理制度”、“安全管理机构”、“安全管理人员”、“安全建设管理”和“安全运维管理”。

08 安全扩展要求的变化

变化

1.0：无安全扩展要求。

2.0：新增云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求以及工业控制系统安全扩展要求。

解读

云计算安全扩展要求针对云计算环境的特点提出。主要内容包括“基础设施的位置”、“虚拟化安全保护”、“镜像和快照保护”、“云计算环境管理”和“云服务商选择”等。

移动互联安全扩展要求针对移动互联的特点提出。主要内容包括“无线接入点的物理位置”、“移动终端管控”、“移动应用管控”、“移动应用软件采购”和“移动应用软件开发”等。

物联网安全扩展要求针对物联网的特点提出。主要内容包括“感知节点的物理防护”、“感知节点设备安全”、“网关节点设备安全”、“感知节点的管理”和“数据融合处理”等。

工业控制系统安全扩展要求针对工业控制系统的特点提出。主要内容包括“室外控制设备防护”、“工业控制系统网络架构安全”、“拨号使用控制”、“无线使用控制”和“控制设备安全”等。

09 体系框架和保障思路的变化

变化

1.0：被动防御的安全体系。

2.0：采取一个中心，三重防护的安全体系。

解读

由1.0防御审计的被动保障向感知预警、动态防护、安全检测、应急响应的主动保障体系转变。

所谓“一个中心三重防护”，就是针对安全管理中心和计算环境安全、区域边界安全、通信网络安全的安全合规进行方案设计，建立以计算环境安全为基础，以区域边界安全、通信网络安全为保障，以安全管理中心为核心的信息安全整体保障体系。