2022網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0標(biāo)準(zhǔn)體系和主要標(biāo)準(zhǔn)

網(wǎng)絡(luò)安全等級(jí)保護(hù)標(biāo)準(zhǔn)體系和主要標(biāo)準(zhǔn)網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0標(biāo)準(zhǔn)體系介紹網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求內(nèi)容介紹基本要求（GB/T22239）特點(diǎn)和變化基本要求（GB/T22239）框架和內(nèi)容-3--3-信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南信息系統(tǒng)安全等級(jí)保護(hù)行業(yè)定級(jí)細(xì)則信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求信息系統(tǒng)安全等級(jí)保信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)過程指南況指狀信息安全等級(jí)分保護(hù)安全建設(shè)析 整改工作 況指基線要求信息系統(tǒng)安全等級(jí)保護(hù)基本要求的行業(yè)細(xì)則信息系統(tǒng)安全等級(jí)保護(hù)基本要求（信息系統(tǒng)安全等級(jí)保護(hù)基本要求的行業(yè)細(xì)則信息系統(tǒng)安全等級(jí)保護(hù)基本要求（GB/T22239）技術(shù)類 管理類 產(chǎn)品類信息系統(tǒng)通用安全

信息系統(tǒng)安全

操作系統(tǒng)安全技術(shù)信息安全等級(jí)保護(hù)管理辦法（43號(hào)文件）（上位文件）計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則GB17859-1999（上位標(biāo)準(zhǔn)）信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南GB/T25058-2008信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南GB/T22240-2008信息系統(tǒng)安全等級(jí)保護(hù)基本要求GB/T22239-2008信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)要求GB/T25070-2010信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求GB/T28448-2012信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)過程指南GB/T28449-201266國(guó)家實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的要求，履行安全保護(hù)義務(wù)，保障網(wǎng)絡(luò)免受干擾、破環(huán)或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改。（第21條）77國(guó)家對(duì)一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露，可能嚴(yán)重危害國(guó)家安全、國(guó)計(jì)民生、公共利益的關(guān)鍵信息基礎(chǔ)設(shè)施，在網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)。（第31條）網(wǎng)絡(luò)安全法（2017年6月1日實(shí)施）網(wǎng)絡(luò)安全等級(jí)保護(hù)條例（起草中）關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)條例（起草中）99網(wǎng)絡(luò)安全等級(jí)保護(hù)條例（總要求/上位文件）計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則（GB17859-1999）（上位標(biāo)準(zhǔn)）網(wǎng)絡(luò)安全等級(jí)保護(hù)實(shí)施指南（GB/T25058）（正在修訂）網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南（GB/T22240）（正在修訂）網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求（GB/T22239-2019）網(wǎng)絡(luò)安全等級(jí)保護(hù)設(shè)計(jì)技術(shù)要求（GB/T25070-2019）網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求（GB/T28448-2019）網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)過程指南（GB/T28449-2018）1010關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)條例（征求意見稿)（總要求/上位文件）關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)要求（征求意見稿）關(guān)鍵信息基礎(chǔ)設(shè)施安全控制要求（征求意見稿）關(guān)鍵信息基礎(chǔ)設(shè)施安全控制評(píng)估方法（征求意見稿）1111網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0標(biāo)準(zhǔn)體系介紹網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求內(nèi)容介紹基本要求（GB/T22239）特點(diǎn)和變化基本要求（GB/T22239）框架和內(nèi)容新標(biāo)準(zhǔn)將云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等列入標(biāo)準(zhǔn)范圍，構(gòu)成了“安全通用要求+新型應(yīng)用安全擴(kuò)展要求”的要求內(nèi)容新標(biāo)準(zhǔn)“基本要求、設(shè)計(jì)要求和測(cè)評(píng)要求”分類框架統(tǒng)一，形成了“安全通信網(wǎng)絡(luò)”、“安全區(qū)域邊界”、“安全計(jì)算環(huán)境”和“安全管理中心”支持下的三重防護(hù)體系架構(gòu)新標(biāo)準(zhǔn)強(qiáng)化了可信計(jì)算技術(shù)使用的要求，把可信驗(yàn)證列入各個(gè)級(jí)別并逐級(jí)提出各個(gè)環(huán)節(jié)的主要可信驗(yàn)證要求1616原來：《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》改為：《信息安全等級(jí)保護(hù)基本要求》再改為：（與《網(wǎng)絡(luò)安全法》保持一致）《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》2、對(duì)象的變化原來：信息系統(tǒng)改為：等級(jí)保護(hù)對(duì)象（網(wǎng)絡(luò)和信息系統(tǒng)）安全等級(jí)保護(hù)的對(duì)象包括網(wǎng)絡(luò)基礎(chǔ)設(shè)施（廣電網(wǎng)、電信網(wǎng)、專用通信網(wǎng)絡(luò)等）、云計(jì)算平臺(tái)/系統(tǒng)、大數(shù)據(jù)平臺(tái)/系統(tǒng)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)、采用移動(dòng)互聯(lián)技術(shù)的系統(tǒng)等.171818原來：安全要求改為：安全通用要求和安全擴(kuò)展要求安全通用要求是不管等級(jí)保護(hù)對(duì)象形態(tài)如何必須滿足的要求，針對(duì)云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)和工業(yè)控制系統(tǒng)提出了特殊要求，稱為安全擴(kuò)展要求.19198第三級(jí)安全要求8.1安全通用要求8.2云計(jì)算安全擴(kuò)展要求8.3移動(dòng)互聯(lián)安全擴(kuò)展要求8.4物聯(lián)網(wǎng)安全擴(kuò)展要求8.5工業(yè)控制系統(tǒng)安全擴(kuò)展要求2020 結(jié)構(gòu)和分類調(diào)整為： 技術(shù)部分： 物理和環(huán)境安全、網(wǎng)絡(luò)和通信安全、設(shè)備和計(jì)算安全、應(yīng)用和數(shù)據(jù)安全； 管理部分： 安全策略和管理制度、安全管理機(jī)構(gòu)和人員、安全建設(shè)管理、安全運(yùn)維管理2121技術(shù)部分：管理中心管理部分：運(yùn)維管理2222云計(jì)算安全擴(kuò)展要求章節(jié)針對(duì)云計(jì)算的特點(diǎn)提出特殊保護(hù)要求。對(duì)云計(jì)算環(huán)境主要增加的內(nèi)容包括“基礎(chǔ)設(shè)施的位置”、“虛擬化安全保護(hù)”、“鏡像和快照保護(hù)”、“云服務(wù)商選擇”和“云計(jì)算環(huán)境管理”等方面。2323移動(dòng)互聯(lián)安全擴(kuò)展要求章節(jié)針對(duì)移動(dòng)互聯(lián)的特點(diǎn)提出特殊保護(hù)要求。對(duì)移動(dòng)互聯(lián)環(huán)境主要增加的內(nèi)容包括“無線接入點(diǎn)的物理位置”、“移動(dòng)終端管控”、“移動(dòng)應(yīng)用管控”、“移動(dòng)應(yīng)用軟件采購”和“移動(dòng)應(yīng)用軟件開發(fā)”等方面。2424物聯(lián)網(wǎng)安全擴(kuò)展要求章節(jié)針對(duì)物聯(lián)網(wǎng)的特點(diǎn)提出特殊保護(hù)要求。對(duì)物聯(lián)網(wǎng)環(huán)境主要增加的內(nèi)容包括“感知節(jié)點(diǎn)的物理防護(hù)”、“感知節(jié)點(diǎn)設(shè)備安全”、“感知網(wǎng)關(guān)節(jié)點(diǎn)設(shè)備安全”、“感知節(jié)點(diǎn)的管理”和“數(shù)據(jù)融合處理”等方面。2525工業(yè)控制系統(tǒng)安全擴(kuò)展要求章節(jié)針對(duì)工業(yè)控制系統(tǒng)的特點(diǎn)提出特殊保護(hù)要求。對(duì)工業(yè)控制系統(tǒng)主要增加的內(nèi)容包括“室外控制設(shè)備防護(hù)”、“工業(yè)控制系統(tǒng)網(wǎng)絡(luò)架構(gòu)安全”、“撥號(hào)使用控制”、“無線使用控制”和“控制設(shè)備安全”等方面。2626增加附錄C描述等級(jí)保護(hù)安全框架和關(guān)鍵技術(shù)，增加附錄D描述云計(jì)算應(yīng)用場(chǎng)景，附錄E描述移動(dòng)互聯(lián)應(yīng)用場(chǎng)景，附錄F描述物聯(lián)網(wǎng)應(yīng)用場(chǎng)景，附錄G描述工業(yè)控制系統(tǒng)應(yīng)用場(chǎng)景。附錄H描述大數(shù)據(jù)應(yīng)用場(chǎng)景（安全擴(kuò)展要求）。系統(tǒng)運(yùn)維管理系統(tǒng)建設(shè)管理人員安全管理安全管理機(jī)構(gòu)安全管理制度數(shù)據(jù)安全及備份恢復(fù)應(yīng)用安全主機(jī)安全系統(tǒng)運(yùn)維管理系統(tǒng)建設(shè)管理人員安全管理安全管理機(jī)構(gòu)安全管理制度數(shù)據(jù)安全及備份恢復(fù)應(yīng)用安全主機(jī)安全網(wǎng)絡(luò)安全物理安全基本要求技術(shù)要求管理要求-27- -28--28-安全運(yùn)維管理安全建設(shè)管理管理要求安全管理機(jī)構(gòu)和人員管理要求基本要求安全策略和管理制度基本要求技術(shù)要求應(yīng)用和數(shù)據(jù)安全技術(shù)要求-29--29-安全運(yùn)維管理安全建設(shè)管理管理要求安全管理人員管理要求安全管理機(jī)構(gòu)安全管理制度基本要求 技術(shù)要求 基本要求 技術(shù)要求 安全計(jì)算環(huán)境安全區(qū)域邊界安全通信網(wǎng)絡(luò)安全物理環(huán)境 特定的管理區(qū)域管理數(shù)據(jù)的安全傳輸惡意代碼、補(bǔ)丁升級(jí)等安全相關(guān)事項(xiàng)的集中管理各類安全事件進(jìn)行識(shí)別、報(bào)警和分析所有記錄的統(tǒng)一時(shí)鐘源30 從一級(jí)到四級(jí)均在“安全通信網(wǎng)絡(luò)”、“安全區(qū)域邊界”和“安全計(jì)算環(huán)境”中增加了“可信驗(yàn)證”控制點(diǎn)。31系統(tǒng)引導(dǎo)程序、系統(tǒng)程序等32送至安全管理中心。33可基于可信根對(duì)設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和應(yīng)用程序等進(jìn)行可信驗(yàn)證，并在應(yīng)用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進(jìn)行動(dòng)態(tài)可信驗(yàn)證，在檢測(cè)到其可信性受到破壞后進(jìn)行報(bào)警，并將驗(yàn)證結(jié)果形成審計(jì)記錄送至安全管理中心。34可基于可信根對(duì)設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和通信應(yīng)用程序等進(jìn)行可信驗(yàn)證，進(jìn)行動(dòng)態(tài)可信驗(yàn)證將驗(yàn)證結(jié)果形成審計(jì)記錄送至安全管理中心，并知。35 從二級(jí)以上在技術(shù)上開始增加了“安全管理中心”要求。二級(jí)需要有“系統(tǒng)管理”和“審計(jì)管理”；三級(jí)以上需要有完整的“系統(tǒng)管理”、“審計(jì)管理”和“安全管理”，并且實(shí)現(xiàn)“集中管控”。36 系統(tǒng)管理應(yīng)對(duì)系統(tǒng)管理員進(jìn)行身份鑒別，只允許其通過特定的命令或操作界面進(jìn)行系統(tǒng)管理操作，并對(duì)這些操作進(jìn)行審計(jì)；審計(jì)管理應(yīng)對(duì)審計(jì)管理員進(jìn)行身份鑒別，只允許其通過特定的命令或操作界面進(jìn)行安全審計(jì)操作，并對(duì)這些操作進(jìn)行審計(jì)；37 系統(tǒng)管理審計(jì)管理安全管理應(yīng)對(duì)安全管理員進(jìn)行身份鑒別，只允許其通過特定的命令或操作界面進(jìn)行安全管理操作，并對(duì)這些操作進(jìn)行審計(jì)；集中管控38序號(hào)控制點(diǎn)一級(jí)二級(jí)三級(jí)四級(jí)1基礎(chǔ)設(shè)施位置11112網(wǎng)絡(luò)架構(gòu)24693訪問控制12224入侵防范03555安全審計(jì)02226集中管控00447身份鑒別00118訪問控制22229入侵防范003310鏡像和快照保護(hù)023311數(shù)據(jù)安全性134412數(shù)據(jù)備份恢復(fù)024413剩余信息保護(hù)022214云服務(wù)商選擇345515供應(yīng)鏈管理123316云計(jì)算環(huán)境管理0111云計(jì)算平臺(tái)“自身安全防護(hù)”相關(guān)要求云計(jì)算平臺(tái)“提供安全服務(wù)”能力要求序號(hào)控制點(diǎn)一級(jí)二級(jí)三級(jí)四級(jí)1無線接入點(diǎn)的物理位置11112邊界防護(hù)11113訪問控制111+14入侵防范05665移動(dòng)終端管控00236移動(dòng)應(yīng)用管控12347移動(dòng)應(yīng)用軟件采購122+28移動(dòng)應(yīng)用軟件開發(fā)02229配置管理00114242移動(dòng)接入點(diǎn)網(wǎng)關(guān)設(shè)備、接入認(rèn)證、無線接入的入侵防無線通信過程傳輸完整性、傳輸保密性移動(dòng)終端接受移動(dòng)終端管理管理和控制，如：軟件安裝、遠(yuǎn)程鎖定、遠(yuǎn)程擦除等移動(dòng)APP證書簽名、根據(jù)白名單控制APP安裝、運(yùn)行序號(hào)控制點(diǎn)一級(jí)二級(jí)三級(jí)四級(jí)1感知節(jié)點(diǎn)的物理防護(hù)22442入侵防范02223接入控制11114感知節(jié)點(diǎn)設(shè)備安全00335網(wǎng)關(guān)節(jié)點(diǎn)設(shè)備安全00556抗數(shù)據(jù)重放00227數(shù)據(jù)融合處理00128感知節(jié)點(diǎn)的管理12334444感知節(jié)點(diǎn)物理防護(hù)、接入認(rèn)證、入侵防范等網(wǎng)關(guān)節(jié)點(diǎn)合法判斷、非法過濾、數(shù)據(jù)重放、數(shù)據(jù)新鮮度、數(shù)據(jù)融合處理等序號(hào)控制點(diǎn)一級(jí)二級(jí)三級(jí)四級(jí)1室外控制設(shè)備防護(hù)22222網(wǎng)絡(luò)架構(gòu)23333通信傳輸01114訪問控制12225撥號(hào)使用控制01236無線使用控制22447控制設(shè)備安全22558產(chǎn)品采購和使用01119外包軟件開發(fā)011110安全事件處置0111 安全域的劃分工業(yè)控制系統(tǒng)與企業(yè)其他系統(tǒng)之間應(yīng)劃分為兩個(gè)區(qū)域；區(qū)域之間隔離，禁止任何穿越區(qū)域邊界的E-Mail、Web、Telnet、Rlogin、FTP等通用網(wǎng)絡(luò)服務(wù)；單獨(dú)組網(wǎng)控制涉及實(shí)時(shí)控制和數(shù)據(jù)傳輸?shù)墓I(yè)控制系統(tǒng)，應(yīng)使用獨(dú)立的網(wǎng)絡(luò)設(shè)備組網(wǎng)；縱向認(rèn)證加密使用廣域網(wǎng)進(jìn)行控制指令或相關(guān)數(shù)據(jù)交換的應(yīng)實(shí)現(xiàn)身份認(rèn)證和數(shù)據(jù)加密傳輸。安全功能上移或通過管理手段控制；盡量關(guān)閉接口需保留的必須通過相關(guān)的技術(shù)措施實(shí)施嚴(yán)格的監(jiān)控管理慎重更新補(bǔ)丁更新、固件更新等工作；功能層次技術(shù)要求企業(yè)資源層安全通用要求（安全物理環(huán)境）安全通用要求（安全通信網(wǎng)絡(luò)）安全通用要求（安全區(qū)域邊界）安全通用要求（安全計(jì)算環(huán)境）安全通用要求（安全管理中心）生產(chǎn)管理層安全通用要求（安全物理環(huán)境）安全通用要求（安全通信網(wǎng)絡(luò)）+安全擴(kuò)展要求（安全通信網(wǎng)絡(luò)）安全通用要求（安全區(qū)域邊界）+安全擴(kuò)展要求（安全區(qū)域邊界）安全通用要求（安全計(jì)算環(huán)境）安全通用要求（安全管理中心）過程監(jiān)控層安全通用要求（安全物理環(huán)境）安全通用要求（安全通信網(wǎng)絡(luò)）+安全擴(kuò)展要求（安全通信網(wǎng)絡(luò)）安全通用要求（安全區(qū)域邊界）+安全擴(kuò)展要求（安全區(qū)域邊界）安全通用要求（安全計(jì)算環(huán)境）安全通用要求（安全管理中心）現(xiàn)場(chǎng)控制層安全通用要求（安全物理環(huán)境）+安全擴(kuò)展要求（安全物理環(huán)境）安全通用要求（安全通信網(wǎng)絡(luò)）+安全擴(kuò)展要求（安全通信網(wǎng)絡(luò)）安全通用要求（安全區(qū)域邊界）+安全