网络安全等级保护相关标准修订解读.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,11 十一月 2026,网络安全等级保护相关标准修订解读,基础,/,预备,定级,安全建,设,/,整,改,测评,整改,重新定级,计算机信息系统安全保护等级划分准则,信息系统安全等级保护实施指南,GB 17859-1999,GB/T 25058-2010,信息系统安全保护等级定级指南,GB/T 22240-2008,GB/T 22239-2008,GB/T 25070-2010,GB/T 20271-2006,GB/T 20269-2006,信息系统安全等级保护基本要求,信息系统定级保护安全设计技术要求,信息系统通用安全技术要求,信息系统安全管理要求,GB/T 28448-2012,GB/T 28449-2012,信息系统安全等级保护测评要求,信息系统安全等级保护测评过程指南,原等级保护标准体系,现等级保护标准体系,GB 17859,计算机信息系统安全保护等级划分准则,GB/T,25058,网络安全等级保护实施指南,GB/T,22240,网络安全等级保护定级指南,GB/T,22239,网络安全等级保护基本要求,GB/T,25070,网络安全等级保护安全技术设计要求,网络安全等级保护安全管理中心技术要求,GB/T,28448,网络安全等级保护测评要求,GB/T,28449,信息系统安全等级保护测评过程指南,网络安全等级保护测试评估技术指南,（修订）,（修订）,（修订）,（修订）,（新立）,（修订）,（新立）,2014,年，为了适应新技术新应用情况下的等级保护工作开展，决定对原标准进行,扩展,，形成,5,个分册，以基本要求为例，分为：,网络安全等级保护基本要求 第,1,部分：,安全通用要求,第,2,部分：,云计算安全扩展要求,第,3,部分：移动互联安全扩展要求,第,4,部分：物联网安全扩展要求,第,5,部分：工业控制系统安全扩展要求,测评要求和设计要求也进行了相应的扩展，形成了,15,个标准小组，各小组经过草案、征求意见阶段，在,2017,年,5,月形成了标准,送审稿,。,标准修订历程,2013,年，全国信息安全标准化技术委员会秘书处下达了对原国家标准信息系统安全等级保护基本要求,、,信息系统安全等级保护测评要求,、,信息系统等级保护安全设计技术要求,的修订工作。,2017,年,8,月，网信办、公安部和信安标委达成一致意见，将基本要求、测评要求、设计要求三个标准体系的,5,个分册标准进行了,合并,，,形成,网络安全等级保护基本要求,、,网络安全等级保护测评要求,、,网络安全等级保护安全设计技术要求,三个单一标准，形成最新版,送审稿,。,网络安全等级保护基本要求,主要修订的内容,原来：信息系统安全等级保护基本要求,改为：,网络安全等级保护,基本要求,为适应,中华人民共和国网络安全法,，配合落实“网络安全等级保护制度”，变更等级保护相关标准的名称。,1.,标准名称的变化,2.,等级保护对象的变化,原来：信息安全等级保护工作直接作用的具体信息和信息系统,改为：由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统，主要包括,基础信息网络、信息系统、云计算平台、大数据平台、物联网系统、工业控制系统,等。,根据网络安全法，扩展等级保护对象，并解决移动互联、云计算、大数据、物联网和工业控制等新技术、新应用领域的等级保护工作。,3.,安全要求的变化,原来：安全要求,改为：安全通用要求和安全扩展要求,安全通用要求是不管等级保护对象形态如何必须满足的要求，针对,云计算、移动互联、物联网和工业控制系统,提出了,特殊要求,，称为,安全扩展要求,。,4.,章节结构的变化（以第三级要求为例）,8,第三级安全要求,8.1,安全通用要求,8.1.1,物理和环境安全,8.1.8,安全运维管理,8.2,云计算安全扩展要求,8.2.1,物理和环境安全,8.2.2,网络和通信安全,8.3,移动互联安全扩展要求,8.4,物联网安全扩展要求,8.5,工业控制系统安全扩展要求,7,第三级基本要求,7.1,技术要求,7.1.1,物理安全,7.1.2,网络安全,7.2,管理要求,7.2.1,安全管理制度,7.2.2,安全管理机构,5.,控制措施分类结构的变化,技术要求,原来：物理安全、网络安全、主机安全、应用安全、数据安全,改为：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全,管理要求,原来：安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理,改为：安全策略和管理制度、安全管理机构与人员、安全建设管理、安全运维管理,6.,通用要求控制点的变化,物理和环境安全,序号,原分类,原有控制点,新的分类,新的控制点,1,物理安全,物理位置的选择,物理和环境安全,物理位置的选择,2,物理访问控制,物理访问控制,3,防盗窃和防破坏,防盗窃和防破坏,4,防雷击,防雷击,5,防火,防火,6,防水和防潮,防水和防潮,7,防静电,防静电,8,温湿度控制,温湿度控制,9,电力供应,电力供应,10,电磁防护,电磁防护,6.,通用要求控制点的变化,网络和通信安全,序号,原分类,原有控制点,新的分类,新的控制点,1,网络安全,结构安全,网络和通信安全,网络架构,2,访问控制,通信传输,3,安全审计,边界防护,4,边界完整性检查,访问控制,5,入侵防范,入侵防范,6,恶意代码防范,恶意代码防范,7,网络设备防护,安全审计,8,集中管控,6.,通用要求控制点的变化,设备和计算安全,序号,原分类,原有控制点,新的分类,新的控制点,1,主机安全,身份鉴别,设备和计算安全,身份鉴别,2,安全标记,访问控制,3,访问控制,安全审计,4,可信路径,入侵防范,5,安全审计,恶意代码防范,6,剩余信息保护,资源控制,7,入侵防范,8,恶意代码防范,9,资源控制,6.,通用要求控制点的变化,应用和数据安全,序号,原分类,原有控制点,新的分类,新的控制点,1,应用安全,身份鉴别,应用和数据安全,身份鉴别,2,安全标记,访问控制,3,访问控制,安全审计,4,可信路径,软件容错,5,安全审计,资源控制,6,剩余信息保护,数据完整性,7,通信完整性,数据保密性,8,通信保密性,数据备份恢复,9,抗抵赖,剩余信息保护,10,软件容错,个人信息保护,11,资源控制,1,数据安全及备份恢复,数据完整性,2,数据保密性,3,备份和恢复,6.,通用要求控制点的变化,安全管理策略和管理制度,序号,原分类,原有控制点,新的分类,新的控制点,1,安全管理制度,管理制度,安全策略和管理制度,安全策略,2,制定和发布,管理制度,3,评审和修订,制定和发布,4,评审和修订,6.,通用要求控制点的变化,安全管理机构和人员,序号,原分类,原有控制点,新的分类,新的控制点,1,安全管理机构,岗位设置,安全管理机构和人员,岗位设置,2,人员配备,人员配备,3,授权和审批,授权和审批,4,沟通和合作,沟通和合作,5,审核和检查,审核和检查,1,人员安全管理,人员录用,人员录用,2,人员离岗,人员离岗,3,人员考核,安全意识教育和培训,4,安全意识教育和培训,外部人员访问管理,5,外部人员访问管理,6.,通用要求控制点的变化,安全建设管理,序号,原分类,原有控制点,新的分类,新的控制点,1,系统建设管理,系统定级,安全建设管理,定级和备案,2,安全方案设计,安全方案设计,3,产品采购和使用,产品采购和使用,4,自行软件开发,自行软件开发,5,外包软件开发,外包软件开发,6,工程实施,工程实施,7,测试验收,测试验收,8,系统交付,系统交付,9,系统备案,等级测评,10,等级测评,服务供应商选择,11,安全服务商选择,6.,通用要求控制点的变化,安全运维管理,序号,原分类,原有控制点,新的分类,新的控制点,1,系统运维管理,环境管理,安全运维管理,环境管理,2,资产管理,资产管理,3,介质管理,介质管理,4,设备管理,设备维护管理,5,监控管理和安全管理中心,漏洞和风险管理,6,网络安全管理,网络和系统管理,7,系统安全管理,恶意代码防范管理,8,恶意代码防范管理,配置管理,9,密码管理,密码管理,10,变更管理,变更管理,11,备份与恢复管理,备份与恢复管理,12,安全事件处置,安全事件处置,13,应急预案管理,应急预案管理,14,外包运维管理,6.,通用要求标准控制点的变化,安全要求类,层面,一级,二级,三级,四级,技术要求,物理和环境安全,7,10,10,10,网络和通信安全,4,6,8,8,设备和计算安全,4,6,6,6,应用和数据安全,5,9,10,10,管理要求,安全策略和管理制度,1,4,4,4,安全管理机构和人员,7,9,9,9,安全建设管理,7,10,10,10,安全运维管理,8,14,14,14,合计（新标准）,43,68,71,71,合计（旧标准）,48,66,73,77,7.,增加云计算安全扩展要求,云计算安全扩展要求章节针对,云计算,的特点提出,特殊保护要求,。由第,2,分册（之前的云计算安全扩展要求分册）合并为基本要求的,X.2,章节，合并后精炼保留针对云计算特点的特殊保护要求，增加包括“,基础设施的位置”、“虚拟化安全保护”、“镜像和快照保护”、“云服务商选择”和“云计算环境管理”,等方面。,8.,增加了移动互联安全扩展要求,移动互联安全扩展要求章节针对,移动互联,的特点提出,特殊保护要求,。由第,3,分册（之前的移动互联网安全扩展要求分册）合并为基本要求的,X.3,章节，合并后精炼保留针对移动互联网特点的特殊保护要求，增加包括“,无线接入点的物理位置”、“移动终端管控”、“移动应用管控”、“移动应用软件采购”和“移动应用软件开发”,等方面。,9.,增加了物联网安全扩展要求,物联网安全扩展要求章节针对,物联网,的特点提出,特殊保护要求,。由第,4,分册（之前的物联网安全扩展要求分册）合并为基本要求的,X.4,章节，合并后精炼保留针对,物联网的感知网部分,特殊保护要求，增加包括,“感知节点的物理防护”、“感知节点设备安全”、“网关节点设备安全”、“感知节点的管理”和“数据融合处理”,等方面。,10.,增加了工业控制系统安全扩展要求,工业控制系统安全扩展要求章节针对,工业控制系统,的特点提出,特殊保护要求,。对工业控制系统主要增加的内容包括,“室外控制设备防护”、“工业控制系统网络架构安全”、“拨号使用控制”、“无线使用控制”和“控制设备安全”,等方面，针对,工业控制系统实时性要求高,的特点,调整了“漏洞和风险管理”和“恶意代码防范管理”,方面的要求。,安全要求类,层面,一级,二级,三级,四级,技术要求,物理和环境安全,7,15,22,23,网络和通信安全,7,15,33,33,设备和计算安全,7,17,26,26,应用和数据安全,8,22,34,37,管理要求,安全策略和管理制度,1,6,7,7,安全管理机构和人员,7,16,26,29,安全建设管理,9,23,34,35,安全运维管理,13,31,49,51,合计（新标准）,59,145,231,241,合计（旧标准）,85,175,290,318,11.,标准控制项的变化,通用要求,11.,标准控制项的变化,扩展要求,安全要求项,一级,二级,三级,四级,安全通用要求（,X.1,）,59,145,231,241,云计算安全扩展要求（,X.2,）,12,37,60,61,移动互联安全扩展要求（,X.3,）,5,19,23,24,物联网安全扩展要求（,X.4,）,7,9,23,24,工业控制系统安全扩展要求（,X.5,）,10,18,26,27,12.,取消了安全控制点的标注,适应定级方法的变化，,取消了原来安全控制点的,S,、,A,、,G,标注，调整原来的附录,B,“安全要求的选择和使用“，描述等级保护对象的定级结果和安全要求之间的关系，增加安全控制措施选择时，控制点的标注及使用说明。,13.,增加了应用场景的说明,增加附录,C,描述等级保护安全框架和关键技术，增加附录,D,描述云计算应用场景，附录,E,描述移动互联应用场景，附录,F,描述物联网应用场景，附录,G,描述工业控制系统应用场景。,等级保护安全框架,图,D.1,云计算服务模式与控制范围的关系,13.,增加了应用场景的说明,层面,安全要求,安全组件,责任主体,物理和环境安全,物理位置选择,数据中心及物理设施,云服务商,网络和通信安全,网络结构、访问控制、入侵防范、安全审计,物理网络及附属设备、虚拟网络管理平台,云服务商,云服务客户虚拟网络安全域,云服务客户,设备和计算安全,身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、资源控制、镜像和快照保护,物理网络及附属设备、虚拟网络管理平台、物理宿主机及附属设备、虚拟机管理平台、镜像等,云服务商,云服务客户虚拟网络设备、虚拟安全设备、虚拟机等,云服务客户,应用和数据安全,安全审计、资源控制、接口安全、数据完整性、数据保密性、数据备份恢复,云管理平台（含运维和运营）、镜像、快照等,云服务商,云服务客户应用系统及相关软件组件、云服务客户应用系统配置、云服务客户业务相关数据等,云服务客户,安全管理机构和人员,授权和审批,授权和审批流程、文档等,云服务商,安全建设管理,安全方案设计、测试验收、云服务商选择、供应链管理,云计算平台接口、安全措施、供应链管理流程、安全事件和重要变更信息,云服务商,云服务商选择及管理流程,云服务客户,安全运维管理,监控和审计管理,监控和审计管理的相关流程、策略和数据,云服务商、云服务客户,IaaS,模式下云服务商与租户的责任划分,层面,安全要求,安全组件,责任主体,物理和环境安全,物理位置选择,数据中心及物理设施,云服务商,网络和通信安全,网络结构、访问控制、远程访问、入侵防范、安全审计,物理网络及附属设备、虚拟网络管理平台、虚拟网络安全域,云服务商,设备和计算安全,身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、资源控制、镜像和快照保护,物理网络及附属设备、虚拟网络管理平台、物理宿主机及附属设备、虚拟机管理平台、镜像、虚拟机、虚拟网络设备、虚拟安全设备等,云服务商,应用和数据安全,安全审计、资源控制、接口安全、数据完整性、数据保密性、数据备份恢复,云管理平台（含运维和运营）、镜像、快照等,云服务商,云服务客户应用系统及相关软件组件、云服务客户应用系统配置、云服务客户业务相关数据等,云服务客户,安全管理机构和人员,授权和审批,授权和审批流程、文档等,云服务商,安全建设管理,安全方案设计、测试验收、云服务商选择、供应链管理,云计算平台接口、安全措施、供应链管理流程、安全事件和重要变更信息,云服务商,云服务商选择及管理流程,云服务客户,安全运维管理,监控和审计管理,监控和审计管理的相关流程、策略和数据,云服务商,PaaS,模式下云服务商与租户的责任划分,SaaS,模式下云服务商与租户的责任划分,层面,安全要求,安全组件,责任主体,物理和环境安全,物理位置选择,数据中心及物理设施,云服务商,网络和通信安全,网络结构、访问控制、远程访问、入侵防范、安全审计,物理网络及附属设备、虚拟网络管理平台、虚拟网络安全域,云服务商,设备和计算安全,身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、资源控制、镜像和快照保护,物理网络及附属设备、虚拟网络管理平台、物理宿主机及附属设备、虚拟机管理平台、镜像、虚拟机、虚拟网络设备、虚拟安全设备等,云服务商,应用和数据安全,安全审计、资源控制、接口安全、数据完整性、数据保密性、数据备份恢复,云管理平台（含运维和运营）、镜像、快照等、应用系统及相关软件组件,云服务商,云服务客户应用系统配置、云服务客户业务相关数据等,云服务客户,安全管理机构和人员,授权和审批,授权和审批流程、文档等,云服务商,安全建设管理,安全方案设计、测试验收、云服务商选择、供应链管理,云计算平台接口、安全措施、供应链管理流程、安全事件和重要变更信息,云服务商,云服务商选择及管理流程,云服务客户,安全运维管理,监控和审计管理,监控和审计管理的相关流程、策略和数据,云服务商,图,E.1,移动互联应用架构,图,F.1,物联网系统构成,13.,增加了应用场景的说明,网络安全等级保护测评要求,主要修订的内容,主要修订内容,名称的变化及等级保护测评对象的变化。（与基本要求一致）,每级分别遵从,基本要求,的框架描述如何实施测评工作，每个级别包括安全测评通用要求、云计算安全测评扩展要求、移动互联安全测评扩展要求、物联网安全测评扩展要求和工业控制系统安全测评扩展要求等,5,个部分内容。测评项与基本要求一致。,为了更加易于使用测评要求，增加,附录,B,测评单元编号说明,和,附录,D,基本要求和测评要求对应表,。,等级,测评描述框架,等级测评分为单项测评和整体测评。,单项测评是针对各安全要求项的测评，支持测评结果的可重复性和可再现性。本标准中单项测评由测评指标、测评对象、测评实施和单元判定结果构成。,整体测评是在单项测评基础上，对等级保护对象整体安全保护能力的判断。整体安全保护能力从纵深防护和措施互补二个角度评判。,测评流程方法的变化,在级差上的变化,测试方法：第一级主要以访谈位置，第二级核查为主，第三级和第四级在核查的基础上进行测试验证。,测评对象范围：第一级和第二级为关键设备，第三级主要设备，第四级所有设备,测评实施：第一级和第二级以核查安全机制为主，第三级和第四级先核查安全机制，再检查策略有效性。,测评方法使用：安全技术方面的测评方法以配置核查和测试验证为主，几乎没有访谈。安全管理方面可以使用访谈方式进行测评,网络安全等级保护安全设计技术要求,主要修订的内容,名称的变化及等级化保护对象的变化。（与基本要求一致）,沿用“一个中心三重防护“的防护理念，在通用的等级保护安全设计框架下，针对云计算、移动互联、物理网、工业控制系统提出了新的安全设计框架。,在每一级的“安全计算环境设计技术要求“、”安全区域边界技术设计技术要求”、“安全通信网络设计技术要求”中，除了通用设计外，增加了针对云计算、移动互联、物联网、工业控制系统的设计要求。,主要修订内容,网络安全等级保护安全技术设计框架,云计算安全防护技术框架,移动互联系统安全防护技术框架,物联网安全防护技术框架,工业控制系统安全防护技术框架,现等级保护标准体系,GB 17859,计算机信息系统安全保护等级划分准则,GB/T,25058,网络安全等级保护实施指南,GB/T,22240,网络安全等级保护定级指南,GB/T,22239,网络安全等级保护基本要求,GB/T,25070,网络安全等级保护安全技术设计要求,网络安全等级保护安全管理中心技术要求,GB/T,28448,网络安全等级保护测评要求,GB/T,28449,信息系统安全等级保护测评过程指南,网络安全等级保护测试评估技术指南,（修订）,（修订）,（修订）,（修订）,（新立）,（修订）,（新立）,网络安全等级保护定级指南,主要修订的内容（草案阶段）,原来：信息安全等级保护工作直接作用的具体信息和信息系统,改为：网络安全等级保护的作用对象，主要包括基础信息网络、工业控制系统、云计算平台、大数据平台、物联网、使用移动互联技术的网络系统以及其他网络系统。（目前文字描述上与基本要求不一致，但意思相同，后期应该会统一）,根据网络安全法，扩展等级保护对象，并解决移动互联、云计算、大数据、物联网和工业控制等新技术、新应用领域的等级保护工作。,1.,等级保护对象的修订,2.,新增相关标准术语,基础信息网络：为信息流通、网络系统运行等起基础支撑作用的信息网络，包括电信网、广播电视传输网、互联网、业务专网等网络设备设施。,关键信息基础设施：公共通信和信息服务、能源、金融、交通、水利、公共服务和电子政务等重要行业和领域以及其他一旦遭到破坏、丧失功能或数据泄露，可能严重危害国家安全、国计民生和公共利益的网络系统。,大数据平台：采用分布式存储和计算技术，提供大数据的访问、处理和存储，支撑大数据应用安全高效运行的软硬件集合。,3.,第三级定义的修订,原来：信息系统受到破坏后，会对社会秩序和公共利益造成严重损坏，或者对国家安全造成损害。,改为：等级保护对象受到破坏后，会对,公民、法人和其他组织的合法权益产生特别严重损害,，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。,受侵害的客体,对客体的侵害程度,一般损害,严重损害,特别严重损害,公民、法人和其他组织的合法权益,第一级,第二级,第三级,社会秩序、公共利益,第二级,第三级,第四级,国家安全,第三级,第四级,第五级,定级要素与安全保护等级的关系,4.,明确了定级工作的流程,确定定级对象,初步确定等级,专家评审,主管部门审核,公安机关备案审查,5.,定级对象的确定,作为定级对象的网络系统应具有如下基本特征：,具有确定的主要安全责任主体。,包含但不限于企业、机关和事业单位等法人，以及不具备法人资格的社会团体等其他组织。,承载相对独立的业务应用。,包含相互关联的多个资源。,如由服务器、终端、网络互联设备和安全设备组成的办公自动化系统，单一设备不单独定级。,5.,定级对象的确定,基础信息网络,对于电信网、广播电视传输网、互联网等基础信息网络，应分别依据服务类型、服务地域和安全责任主体等因素将其划分为不同的定级对象。,跨省业务专网可作为一个整体对象定级，也可以分区域划分为若干个定级对象。,大数据平台,大数据平台应作为一个整体对象定级。对于安全责任主体相同的大数据平台和其支撑的大数据应用可作为一个整体对象定级,云计算平台,应将云服务方侧的云计算平台单独作为定级对象定级，云租户侧的等级保护对象也应作为单独的定级对象定级。,对于大型云计算平台，应将云计算基础设施和有关辅助服务系统划分为不同的定级对象。,