新版网络安全等级保护定级指南解读.pdf

《新版网络安全等级保护定级指南解读.pdf》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、网络安全等级保护定级指南解读李明，公安部信息安全等级保护评估中心新形势下的等级保护制度等级保护标准体系进一步提升适用性和可网络安全引起空前关注。操作性。n作用：辅助系统-支撑平台-基础设施；n核心标准启动修订n关注：信息安全-信息保障-网络安全；5n重视：《网络安全法》千呼万唤终颁布。1等级保护政策体系进一步细化和完善。n等级保护条例即将颁布；4n配套管理规范启动编制。23《网络安全法》确立制度地位。等级保护外延进一步丰富和完善。n21条规定：国家实行网络安全等级保护制度；n等级保护对象形态不断扩充（工业控制系统、云计算平台等）；n31条规定：关键信息基础设施在网络安全等n工作内容更加完善（

2、供应链安全、通报预警等）。级保护制度的基础上，实行重点保护。测评要求（送审）定级指南测评过程指南（征求意见）机构能力要求（报批）实施指南基本要求（送审）（报批）设计要求（送审）nGA/T1389-2017《信息安全技术网络安全等级保护定级指南》nGA/T1390.2-2017《信息安全技术网络安全等级保护基本要求第2部分：云计算安全扩展要求》01标准名称网络安全等级保护术语与定义02修订及新增术语定义修订定级原理CONTENTS03第三级定义与定级流程定级方法04确定对象和初步确定级别信息安全技术网络安全等级保护定级指南等级保护对象（修订）网络安全等级保护工作的作用对象，主要包括基础信息网络

3、、工业控制系统、云计算平台、物联网、使用移动互联技术的网络和大数据等。大数据工业控制物联网系统等级保护使用移动信息系统互联技术对象（计算机）信息系统基础信息云计算网络平台网络（新增）由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统。（与网络安全法保持一致）基础信息网络（新增）为信息流通、网络运行等起基础支撑作用的网络设备设施，包括电信网、广播电视传输网、互联网、业务专网等。关键信息基础设施（新增）公共通信和信息服务、能源、金融、交通、水利、公共服务和电子政务等重要行业和领域以及其他一旦遭到破坏、丧失功能或数据泄露，可能严重危害国家安全、

4、国计民生和公共利益的网络系统。大数据（新增）仅在可扩展架构中才能实施存储、操作和分析，具备数量大、种类多、处理速度快和可变化等主要特性的数据集合。大数据平台（新增）采用分布式存储和计算技术，提供大数据的访问、处理和存储，支撑大数据应用安全高效运行的软硬件集合。第三级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。第三级1.确定定级对象2.初步确定等级3.专家评审4.主管部门审核5.公安机关备案审查n具有确定的安全责任主体n承载相对独立的业务应用n包含相互关联的多个网络资源对于电信网、广播电视传输网、互联

5、网等基础信息网络，应分别依据服务类型、服务地域和安全责任主体等因素将其划分为不同的定级对象。基础信息网络跨省业务专网可作为一个整体对象定级，也可以分区域划分为若干个定级对象。现场采集/执行、现场控制和过程控制等要素应作为一个整体对象定级，各要素不单独定级；生产管理要素可单独定级。工业控制系统对于大型工业控制系统，可以根据系统功能、责任主体、控制对象和生产厂商等因素划分为多个定级对象。管生计划排产仓储管理先进控制工艺管理物流调度…理产SCADA组态组态SCADA报告…控制程序…监过监控软件软件软件监控软件和日志／组态信息控程现场传感／执行、现…场控工程师站操作员站OPC服务器根据责任主体、系统

6、制和过程控制等层次要素功能、控制对象和生应作为一个整体对象定级，控现制场PLC控制器DCS控制单元RTU产厂商等过因程素控制划器分为…各层次要素不单独定级；多个定级对象。生产管理要素可单独定级。执传行感/传感器执行机构保护机构应将云服务方侧的云计算平台单独作为定级对象定级，云租户侧的等级保护对象也应作为单独的定级对象定级。云计算平台对于大型云计算平台，应将云计算基础设施和有关辅助服务系统化为不同的定级对象。l对于大型云计算平台，应将云计算基础设施和有关辅助服务系统划分为不同的定级对象。运营l在云计算环境中，应将云服系统务方侧的云计算平台单独作运维为定级对象定级，云租户侧系统的等级保护对象也应

7、作为单独的定级对象定级。物联网主要包括感知、网络传输和处理应用物联网等特征要素，应将以上要素作为一个整体对象定级，各要素不单独定级。。采用移动互联技术的网络主要包括移动终端、移动互移动应用、无线网络等特征要素，应与相关联网有线网络业务系统作为一个整体对象定级大数据应作为单独定级对象进行定级。大数据安全责任主体相同的大数据、大数据平台和应用可作为一个整体对象定级。1.确定业务信息／系统服务受到破坏时所侵害的客体