圖片來自天億網(wǎng)絡(luò)安全文章截圖，版權(quán)歸原作者
1等保2.0相比1.0主要有哪些變化？
（1） 名稱上的變化
名稱上由“信息系統(tǒng)安全等級保護(hù)”轉(zhuǎn)變?yōu)?span lang="EN-US">“網(wǎng)絡(luò)安全等級保護(hù)”。
（2） 法律效力不同
《網(wǎng)絡(luò)安全法》第21條規(guī)定“國家實(shí)行網(wǎng)絡(luò)安全等級保護(hù)制度，要求網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級保護(hù)制度要求，履行安全保護(hù)義務(wù)”。落實(shí)網(wǎng)絡(luò)安全等級保護(hù)制度上升為法律義務(wù)。
（3）保護(hù)對象有擴(kuò)展
等保1.0主要是信息系統(tǒng)。而等保2.0將網(wǎng)絡(luò)基礎(chǔ)設(shè)施（廣電網(wǎng)、電信網(wǎng)、專用通信網(wǎng)絡(luò)等）、云計算平臺/系統(tǒng)、采用移動互聯(lián)技術(shù)的系統(tǒng)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等納入到等級保護(hù)對象范圍中。
（4） 控制措施分類不同
等保1.0按照技術(shù)和管理各5個方面的要求進(jìn)行分類，技術(shù)要求分為物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全及備份恢復(fù)，管理要求分為安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理。
等保2.0則有很大的變化。技術(shù)要求分為安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計算環(huán)境、安全管理中心，管理要求分為安全管理制度、安全管理機(jī)構(gòu)、安全人員管理、安全建設(shè)管理和安全運(yùn)維管理。此外，等保2.0基本要求、測評要求、安全設(shè)計技術(shù)要求框架保持了一致性，即“一個中心，三重防護(hù)”。
（5） 內(nèi)容進(jìn)行了擴(kuò)充
等保1.0有五個規(guī)定性動作，包括定級、備案、建設(shè)整改、等級測評和監(jiān)督檢查。而等保2.0除了定級、備案、建設(shè)整改、等級測評和監(jiān)督檢查之外，增加了風(fēng)險評估、安全監(jiān)測、通報預(yù)警、案事件調(diào)查、數(shù)據(jù)防護(hù)、災(zāi)難備份、應(yīng)急處置等。
2、單位如何開展等級保護(hù)建設(shè)的相關(guān)工作？
等級保護(hù)工作是一個系統(tǒng)性工程，根據(jù)網(wǎng)絡(luò)安全等級保護(hù)相關(guān)標(biāo)準(zhǔn)，等級保護(hù)工作總共分五個階段，分別為：系統(tǒng)定級、系統(tǒng)備案、建設(shè)整改、等級測評、監(jiān)督檢查。
（1）系統(tǒng)定級
對擬定為第二級及以上的對象，其運(yùn)營者應(yīng)當(dāng)組織專家評審；有行業(yè)主管部門的，應(yīng)當(dāng)在專家定級評審后報請主管部門核準(zhǔn)；跨省或者全國統(tǒng)一聯(lián)網(wǎng)運(yùn)行的網(wǎng)絡(luò)由行業(yè)主管部門統(tǒng)一擬定安全保護(hù)等級，統(tǒng)一組織定級評審。
（2）系統(tǒng)備案
定級對象的運(yùn)營使用單位應(yīng)準(zhǔn)備定級備案材料，材料包括：定級報告、等級保護(hù)備案表、單位基本情況、信息系統(tǒng)情況等材料。第二級以上網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)在定級對象安全保護(hù)等級確定后10個工作日內(nèi)，到縣級以上公安機(jī)關(guān)備案。
公安機(jī)關(guān)在接到備案材料后，于10個工作日內(nèi)完成材料審查，并對定級對象安全等級進(jìn)行初步審核，并出具網(wǎng)絡(luò)安全等級保護(hù)備案證明。
（3）建設(shè)整改
對于新建的等級保護(hù)對象，要按照等級保護(hù)相關(guān)標(biāo)準(zhǔn)，撰寫等級保護(hù)建設(shè)方案，并根據(jù)建設(shè)方案組織集成實(shí)施。
對于已有的等級保護(hù)對象，等級保護(hù)對象運(yùn)營使用單位負(fù)責(zé)對其進(jìn)行風(fēng)險評估和整改建設(shè)工作， 重要等級保護(hù)對象的運(yùn)營使用單位應(yīng)形成等級保護(hù)整改建設(shè)方案，并根據(jù)整改方案組織集成建設(shè)。
對于三級以上的等級保護(hù)對象建設(shè)整改方案，要組織專家進(jìn)行評審，形成專家評審意見，并最終形成等級保護(hù)整改建設(shè)方案。
（4）等級測評
等級保護(hù)對象的運(yùn)營使用單位應(yīng)落實(shí)等級測評資金保障工作，同時開展等級測評工作。
等級保護(hù)對象建設(shè)完成后，運(yùn)營使用單位或者其主管部門應(yīng)當(dāng)選擇符合資質(zhì)要求的第三方測評機(jī)構(gòu)，依據(jù)《網(wǎng)絡(luò)安全等級保護(hù)測評要求》等技術(shù)標(biāo)準(zhǔn)，定期對等級保護(hù)對象開展等級測評。第三級及以上定級對象應(yīng)當(dāng)每年至少進(jìn)行一次等級測評（等保1.0標(biāo)準(zhǔn)里面等級保護(hù)四級系統(tǒng)需要每半年一次，現(xiàn)在調(diào)整為每年一次），第五級定級對象應(yīng)當(dāng)依據(jù)特殊安全需求進(jìn)行等級測評。
3、什么樣的系統(tǒng)要求定級？系統(tǒng)備案去哪里？找誰備案？
除等保1.0規(guī)定的信息系統(tǒng)外，對于如下對象，均屬于等級保護(hù)定級備案的范疇，具體包括：
（1） 對于電信網(wǎng)、廣播電視傳輸網(wǎng)、互聯(lián)網(wǎng)等基礎(chǔ)信息網(wǎng)絡(luò)，應(yīng)分別依據(jù)服務(wù)類型、服務(wù)地域和安全責(zé)任主體等因素將其劃分為不同的定級對象，而跨省業(yè)務(wù)專網(wǎng)既可以作為一個整體定級，也可根據(jù)區(qū)域劃分為若干對象定級。
（2）對于工業(yè)控制系統(tǒng)，應(yīng)將現(xiàn)場采集/執(zhí)行、現(xiàn)場控制和過程控制等要素應(yīng)作為一個整體對象定級，而生產(chǎn)管理要素可以單獨(dú)定級。
（3）對于云計算平臺，則應(yīng)區(qū)分為服務(wù)提供方與租戶方，各自分別作為定級對象。
（4）對于物聯(lián)網(wǎng)，雖然其包括感知、網(wǎng)絡(luò)傳輸和處理應(yīng)用等多種特征因素，但仍應(yīng)將以上要素作為一個整體的定級對象，各要素并不單獨(dú)定級。
（5）采用移動互聯(lián)技術(shù)的網(wǎng)絡(luò)與物聯(lián)網(wǎng)類似，應(yīng)將移動終端、移動應(yīng)用、無線網(wǎng)絡(luò)等要素與相關(guān)有線網(wǎng)絡(luò)業(yè)務(wù)系統(tǒng)作為整體對象定級。
（6）對于大數(shù)據(jù)，除安全責(zé)任主體相同的平臺和應(yīng)用可以整體定級外，應(yīng)單獨(dú)定級。
第二級以上網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)在安全保護(hù)等級確定后10個工作日內(nèi)，到縣級以上公安機(jī)關(guān)備案。
4、等保2.0安全通用要求與安全擴(kuò)展要求之間的關(guān)系？
等保2.0基本要求分為安全通用要求和安全擴(kuò)展要求。其中安全通用要求針對共性化保護(hù)需求提出，等級保護(hù)對象無論以何種形式出現(xiàn)，必須根據(jù)安全保護(hù)等級實(shí)現(xiàn)相應(yīng)級別的安全通用要求。
安全擴(kuò)展要求針對個性化保護(hù)需求提出，需要根據(jù)安全保護(hù)等級和使用的特定技術(shù)或者特定的應(yīng)用場景實(shí)現(xiàn)安全擴(kuò)展要求。
5、單位自建的云計算平臺如何開展等級保護(hù)工作？
在云計算環(huán)境中，將云計算平臺作為基礎(chǔ)設(shè)施、云租戶系統(tǒng)作為信息系統(tǒng)，分別作為定級對象進(jìn)行定級。對于大型云計算平臺，當(dāng)運(yùn)管平臺共用時，可將云計算基礎(chǔ)設(shè)施與運(yùn)管平臺系統(tǒng)分開定級，責(zé)任分離，分別定級、各自備案。云計算基礎(chǔ)設(shè)施的安全保護(hù)等級不低于其所支撐的業(yè)務(wù)系統(tǒng)的最高等級。
針對私有云用戶，也要按照云平臺和云租戶信息系統(tǒng)，分別進(jìn)行定級。并且云平臺的安全等級不低于其所支撐的業(yè)務(wù)系統(tǒng)的最高等級。
對于云計算平臺和云租戶信息系統(tǒng)，則分別依據(jù)等保2.0基本要求中的通用要求和云計算安全擴(kuò)展要求來開展等級保護(hù)工作。對于私有云，定級流程為云平臺先定級測評，再將已定級應(yīng)用系統(tǒng)向云平臺遷移。
6、部署在公有云上的信息系統(tǒng)如何開展等級保護(hù)工作？
依據(jù)等保2.0，在對公有云環(huán)境下開展等級保護(hù)工作應(yīng)遵循如下原則：
（1）應(yīng)確保云計算平臺不承載高于其安全保護(hù)等級的業(yè)務(wù)應(yīng)用系統(tǒng)。
（2）應(yīng)確保云計算基礎(chǔ)設(shè)施位于中國境內(nèi)。
（3）云計算平臺的運(yùn)維地點(diǎn)應(yīng)位于中國境內(nèi)，如需境外對境內(nèi)云計算平臺實(shí)施運(yùn)維操作應(yīng)遵循國家相關(guān)規(guī)定。
（4）云計算平臺運(yùn)維過程產(chǎn)生的配置數(shù)據(jù)、鑒別數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)、日志信息等存儲于中國境內(nèi)，如需出境應(yīng)遵循國家相關(guān)規(guī)定。
公有云開展等級保護(hù)一般分為兩個部分：
（1）是云平臺本身，在等保2.0里面明確提出：對于公有云定級流程為云平臺先定級測評，再提供云服務(wù)。
（2）是云租戶信息系統(tǒng)，比如政府單位門戶網(wǎng)站系統(tǒng)，在遷入公有云平臺后，還需要對這個門戶網(wǎng)站獨(dú)立定級備案、進(jìn)行等保測評。其中，涉及云平臺部分的內(nèi)容可以不重復(fù)測評，測評結(jié)論直接引用即可。
不同云計算服務(wù)模式需要采取不同職責(zé)劃分方式：
（1）對于IaaS（基礎(chǔ)設(shè)施即服務(wù)）模式，云服務(wù)商的職責(zé)范圍包括虛擬機(jī)監(jiān)視器和硬件，云租戶的職責(zé)范圍包括操作系統(tǒng)、中間件和應(yīng)用數(shù)據(jù)。
（2）對于PaaS（平臺即服務(wù)）模式，云服務(wù)商的職責(zé)范圍包括硬件、虛擬機(jī)監(jiān)視器、操作系統(tǒng)和中間件。云租戶的職責(zé)范圍為應(yīng)用和數(shù)據(jù)。
（3）對于SaaS（軟件即服務(wù)）模式，云服務(wù)商的職責(zé)范圍包括硬件、虛擬機(jī)監(jiān)視器、操作系統(tǒng)、中間件和應(yīng)用，云租戶的職責(zé)范圍包括部分應(yīng)用職責(zé)及用戶使用職責(zé)。
7、對于工業(yè)控制系統(tǒng)如何開展等級保護(hù)工作？
依據(jù)等保基本要求中的安全通用要求和工控擴(kuò)展要求來對工業(yè)控制系統(tǒng)開展等級保護(hù)工作。
工業(yè)控制系統(tǒng)主要包括現(xiàn)場采集/執(zhí)行、現(xiàn)場控制、過程控制和生產(chǎn)管理等特征要素。其中，現(xiàn)場采集/執(zhí)行、現(xiàn)場控制和過程控制等要素應(yīng)作為一個整體對象定級，各要素不單獨(dú)定級；生產(chǎn)管理要素可單獨(dú)定級。
對于大型工業(yè)控制系統(tǒng)，可以根據(jù)系統(tǒng)功能、責(zé)任主體、控制對象和生產(chǎn)廠商等因素劃分為多個定級對象。
工控擴(kuò)展要求保護(hù)主要包括：室外控制設(shè)備防護(hù)、工業(yè)控制系統(tǒng)、網(wǎng)絡(luò)架構(gòu)安全、撥號使用控制無線使用控制、控制設(shè)備安全、漏洞和風(fēng)險管理、惡意代碼防范管理等方面內(nèi)容。
工業(yè)控制系統(tǒng)安全擴(kuò)展要求主要針對現(xiàn)場控制層和現(xiàn)場設(shè)備層提出特殊安全要求，其他層次使用安全通用要求條款，對工業(yè)控制系統(tǒng)的保護(hù)需要根據(jù)實(shí)際情況使用基本要求。
8、等保2.0測評是否更加嚴(yán)格？
等保測評結(jié)論由1.0時代的符合、基本符合、不符合改為2.0時代的優(yōu)、良、中、差四個等級。其中測評結(jié)論“差”的判別依據(jù)是被測對象中存在安全問題，而且會導(dǎo)致被測對象面臨高等級安全風(fēng)險，或被測對象綜合得分低于70分。
圖片來自天億網(wǎng)絡(luò)安全文章截圖，版權(quán)歸原作者
簡單而言，“差”是在系統(tǒng)中存在高危風(fēng)險或得分低于70分。相當(dāng)于等保1.0時代中的不符合。但是可以看出來等保的及格線已經(jīng)由原先的60分提高到了70分，等保對安全的最低要求已經(jīng)在顯然提高。因此，未來想通過等保測評需要扎扎實(shí)實(shí)地把安全工作做好才行。當(dāng)然，等保不僅是一項合法合規(guī)工作，更是一項基本的安全工作，通過落實(shí)等級保護(hù)可以提高網(wǎng)絡(luò)安全綜合防御能力和水平，實(shí)現(xiàn)動態(tài)防御、主動防御、縱深防御、精準(zhǔn)防護(hù)、整體防控以及聯(lián)防聯(lián)控。讓更多的網(wǎng)絡(luò)運(yùn)營者從等保2.0時代中獲取等保建設(shè)的紅利。
