在首都网络安全日这一天我们来聊聊“等保2.0”

【天极网网络频道】4月29日，这是“首都网络安全日”。2019年4月28日，第六届“首都网络安全日”系列活动在北京展览馆拉开帷幕，本届活动以“网络安全同担网络生活共享”为宗旨。

根据CNNIC 2月底发布的第43次《中国互联网络发展状况统计报告》显示，截至2018年12月，我国网民规模达8.29亿，普及率达59.6%，全年新增网民5653万。我国手机网民规模达8.17亿，网民通过手机接入互联网的比例高达98.6%。从上述数据可以看到，互联网越来越广的渗入人们的日常生活，从办公到生活，互联网几乎无处不在。

但是，与互联网伴随而至的还有各种各样的网络安全问题，比如病毒木马、流氓软件、网络攻击、信息泄露等等。

对于各种网络安全问题，个人一般都是从自我做起，提高自身安全意识，合理使用APP。那么，从国家角度来看，就需要一整套规范来应对网络安全——网络安全等级保护2.0标准，全称《信息安全技术网络安全等级保护基本要求》，简称“等保2.0”。

等保1.0指的是2007年的《信息安全等级保护管理办法》和2008年的《信息安全等级保护基本要求》。

根据公开信息，2018年6月发布“等保2.0标准”的征求意见稿;2019年3月底，公安部相关人士披露：等保2.0今年4月份有望出台;4月20日，公安部网络安全保卫局称，等保2.0已经完成安标委审批，并宣布具体落地时间。

根据《网络安全法》的规定，等级保护是我国信息安全保障的基本制度。等保是对网络安全法在产业层面、标准层面和执行层面的具体落实。

《网络安全法》第二十一条规定，国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列全保护义务：保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

其中，等级保护的内容：关键信息基础设施安全保护义务、敏感信息保护义务、每年风险监测评估等。以关键信息基础设施为例，它可以分为网站类、平台类和业务生产类，详情看下图：

等级保护范围内重要信息系列所涵盖的行业有能源、金融、交通、水利、医疗卫生、环境保护、工业制造、市政、电信与互联网、广播电视及政府部门。

据悉，等保2.0有5个运行步骤：定级、备案、建设和整改、等级测评、检查。同时，也分5个等级，即信息系统按重要程度由低到高分为5个等级，并分别实施不同的保护策略。

一级系统简单，不需要备案，影响程度很小，因此不作为重点监管对象;二级系统大概50万个左右;三级系统大概5万个;四级系统量级较大，比如支付宝、银行总行系统、国家电网系统，有1000个左右;五级系统属国家级、国防类的系统，比如核电站、军用通信系统。

等保2.0的变化

等保1.0是2007年和2008年出台，但参考的信息都是以前甚至更老的，因此造成一些新技术和新应用的等级保护规范缺乏，比如云计算、物联网等。其次，除传统的5步骤外，风险评估、安全监测和通报预警等工作不完善。最后是政策、标准、测评、技术和服务等体系不完善。

具体说来，新标准分成了5个部分：

《网络安全等级保护基本要求第1部分安全通用要求》

《网络安全等级保护基本要求第2部分云计算安全扩展要求》

《网络安全等级保护基本要求第3部分移动互联安全扩展要求》

《网络安全等级保护基本要求第4部分物联网安全扩展要求》

《网络安全等级保护基本要求第5部分工业控制系统安全扩展要求》

可以说，等保2.0标准为适应新技术的发展，解决云计算、物联网和工控领域信息系统的等级保护工作的需要。

简单来看，评测要求从60提升到75分;安全防御在云计算、大数据、物联网和移动互联网以及人工智能等新兴领域进行拓展;由被动防御为主变成全方面的主动防御，具体有感知预警、动态防护、安全检测和应急响应等。

网民为lywhiz在发布的一篇名为《等保2.0将至，解读新标准的变化》解释的更详细。比如，在物理与环境安全部分，云计算扩展要求中新增，物理机房必须要在境内;明确提出机房视频监控系统的要求，对机房横向和纵向都要有视频监控整个机房不能存在监控死角;防静电要求明确举例说明采用静电消除器、防静电手环等等。

而在应用和数据安全中，新增一些内容，强调对个人信息保护。一是新增，应强制用户首次登录时修改初始口令，二是新增，用户身份鉴别信息丢失或失效时，应采用技术措施确保鉴别信息重置过程的安全。三是新增，在故障发生时，应自动保存易失性数据和所有状态，保证系统能够进行恢复。