网络安全等级保护相关标准修订解读

《网络安全等级保护相关标准修订解读》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、网络安全等级保护相关标准修订解读智慧城市运营中心周俊基础/预备定级安全建设/整改测评整改重新定级《计算机信息系统安全保护等级划分准则》《信息系统安全等级保护实施指南》GB17859-1999GB/T25058-2010《信息系统安全保护等级定级指南》GB/T22240-2008GB/T22239-2008GB/T25070-2010GB/T20271-2006GB/T20269-2006《信息系统安全等级保护基本要求》《信息系统定级保护安全设计技术要求》《信息系统通用安全技术要求》《信息系统安全管理要求》GB/T28448-2012GB/T28449-2012《信息系统安全等级保护测评要求》

2、《信息系统安全等级保护测评过程指南》原等级保护标准体系现等级保护标准体系GB17859计算机信息系统安全保护等级划分准则GB/T25058网络安全等级保护实施指南GB/T22240网络安全等级保护定级指南GB/T22239网络安全等级保护基本要求GB/T25070网络安全等级保护安全技术设计要求网络安全等级保护安全管理中心技术要求GB/T28448网络安全等级保护测评要求GB/T28449信息系统安全等级保护测评过程指南网络安全等级保护测试评估技术指南（修订）（修订）（修订）（修订）（新立）（修订）（新立）2014年，为了适应新技术新应用情况下的等级保护工作开展，决定对原标准进行扩展，形成5

3、个分册，以基本要求为例，分为：网络安全等级保护基本要求第1部分：安全通用要求第2部分：云计算安全扩展要求第3部分：移动互联安全扩展要求第4部分：物联网安全扩展要求第5部分：工业控制系统安全扩展要求测评要求和设计要求也进行了相应的扩展，形成了15个标准小组，各小组经过草案、征求意见阶段，在2017年5月形成了标准送审稿。标准修订历程2013年，全国信息安全标准化技术委员会秘书处下达了对原国家标准《信息系统安全等级保护基本要求》、《信息系统安全等级保护测评要求》、《信息系统等级保护安全设计技术要求》的修订工作。2017年8月，网信办、公安部和信安标委达成一致意见，将基本要求、测评要求、设计要求三

4、个标准体系的5个分册标准进行了合并，形成《网络安全等级保护基本要求》、《网络安全等级保护测评要求》、《网络安全等级保护安全设计技术要求》三个单一标准，形成最新版送审稿。《网络安全等级保护基本要求》主要修订的内容原来：信息系统安全等级保护基本要求改为：网络安全等级保护基本要求为适应《中华人民共和国网络安全法》，配合落实“网络安全等级保护制度”，变更等级保护相关标准的名称。1.标准名称的变化2.等级保护对象的变化原来：信息安全等级保护工作直接作用的具体信息和信息系统改为：由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统，主要包括基础信息网络

5、、信息系统、云计算平台、大数据平台、物联网系统、工业控制系统等。根据网络安全法，扩展等级保护对象，并解决移动互联、云计算、大数据、物联网和工业控制等新技术、新应用领域的等级保护工作。3.安全要求的变化原来：安全要求改为：安全通用要求和安全扩展要求安全通用要求是不管等级保护对象形态如何必须满足的要求，针对云计算、移动互联、物联网和工业控制系统提出了特殊要求，称为安全扩展要求。4.章节结构的变化（以第三级要求为例）8第三级安全要求8.1安全通用要求8.1.1物理和环境安全…8.1.8安全运维管理8.2云计算安全扩展要求8.2.1物理和环境安全8.2.2网络和通信安全…8.3移动互联安全扩展要求8

6、.4物联网安全扩展要求8.5工业控制系统安全扩展要求7第三级基本要求7.1技术要求7.1.1物理安全7.1.2网络安全…7.2管理要求7.2.1安全管理制度7.2.2安全管理机构…5.控制措施分类结构的变化技术要求原来：物理安全、网络安全、主机安全、应用安全、数据安全改为：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全管理要求原来：安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理改为：安全策略和管理制度、安全管理机构与人员、安全建设管理、安全运维管理6.通用要求控制点的变化——物理和环境安全序号原分类原有控制点新的分类新的控制点1物理安全物理位置的选择物理

7、和环境安全物理位置的选择2物理访问控制物理访问控制3防盗窃和防破坏防盗窃和防破坏4防雷击防雷击5防火防火6防水和防潮防水和防潮7防静电防静电8温湿度控制温湿度控制9电力供应电力供应10电磁防护电磁防护6.通用要求控制点的变化——网络和通信安全序号原分类原有控制点新的分类新的控制点1网络安全结构安全网络和通信安全网络架构2访问控制通信传输3安全审计边界防护4边界完整性检查访问控制5入侵防范入侵防范6恶意代码防范