一、网络安全法与等保2.0

 

1.《网络安全法》之等级保护

①第二十一条，国家实行网络安全及保护制度，网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

②第三十一条，国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上。实行重点保护。

③第五十九条，网络运营者不履行本法第二十一条、第二十五条规定的网络安全等级保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下的罚款。

④第五十九条（续），关键信息基础建设的运营者不履行本法第三十三条、第三十四条、第三十六条、第三十八条规定的网络安全保护义务的；由有关主管部门责令改正，给予警告；拒不改正或者导致后果的，出十万元以上一百万元以下罚款，对直接负责主管人员处一万元以上十万元以下罚款。

 

2.配套法规之《网络安全等级保护条例》

①法律效力：根据《行政法规制定程序条例》第五条:行政法规的名称一般称“条例”，国务院各部门和地方人民政府制定的规章不得称“条例”

《信息安全等级保护管理办法》是依据行政法规制定的部门规范性文件，而《网络安全等级保护条例》属于依据国家法律制定的行政法规，自身法律效力或法律依据的效力位阶均高于等保1.0

②保护等级：

 

③测评周期：

信息安全等级保护管理办法	网络安全等级保护条例
第三级：每年至少一次	第三级以上的网络运营者应当每年开展一次网络安全等级测评
第四级：每半年至少一次
第五级：依据特殊安全需求测评

 

3.配套法规之《关键信息基础设施安全保护条例》

1.第六条，在网络安全等级保护制度基础上，进一步采取技术保护措施和其他必要措施，及时有效应对网络安全事件，防范网络攻击和违法犯罪活动，保障关键信息基础设施安全稳定运行，维护数据的完整性可用性和保密性。

2.第九条，根据对经济社会运行的重要程度、信息化水平，以及遭到破坏后产生的危害影响，确定关键信息基础设施行业和领域范围如下:

(一)公共通信和信息服务，包括电信、互联网、广播电视等;

（二）金融，包括银行、证券、保险等；

（三）能源，包括电力、石油、石化、天然气等；

（四）交通，包括民航、铁路等；

（五）水利；

（六）公共服务，包括医疗卫生等；

（七）国防科技工业；

（八）国家机关。

 

4.《中华人民共和国网络安全法》----整体框架

①2017年6月1日起，《中华人民共和国网络安全法》正式施行，这是我国第一部全面规范网络空间安全管理问题的基础性法律

②“防御、控制与惩治”三位一体 7章79条，对用户单位来说，具体操作性的法规要求38条(第三章、第四章、第五章)

 

5.《中华人民共和国网络安全法》----解读

章节	核心内容解读
第一章 总则	目标:保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展 范围:在中华人民共和国境内建设、运营、维护和使用网络，以及网络安全的监督管理 职责:国家网信部门负责统筹协调网络安全工作和相关监督管理工作。国务院电信主管部门、公安部门和其他有关机关依照本法和有关法律、行政法规的规定，在各自职责范围内负责网络安全保护和监督管理工作 关键点:网络安全与信息化发展并重、网络安全战略、基本要求和主要目标、培养网络安全人才网络技术研发、标准制定、义务、举报，监测、防御、处置境内外安全风险和威胁，保护关键信息基础设施
第二章 支持与促进	定义国家对网络安全工作支持与推进说明，包括相关标准制定与监督，各级政府单位要支持网络安全;包括信息安全技术、信息安全服务、信息安全测评、信息安全教育与宣传、信息安全人才培养等工作
第三章 网络运行安全	第一节： 国家实行网络安全等级保护制度 网络产品、服务应当符合相关国家标准的强制性要求 网络关键设备和产品应强制取得国家安全标准认证 对网络运营者提共标准的安全职责工作说明 第二节： 针对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域 在网络安全等级保护制度的基础上，实行重点保护 每年至少进行一次检测评估 定期组织安全应急演练
第四章 网络信息安全	网络运营者应当对其收集的用户信息严格保密，并建立健全用户信息保护制度 网络运营者应当加强对其用户发布的信息的管理
第五章 监测预警与应急处置	建立网络安全监测预警和信息通报制度 建立健全网络安全风险评估和应急工作机制 制定网络安全事件应急预案，并定期组织演练
第六章 法律责任	最高100万:违反22/27/33/34/36/38/41/42/43，最高100万，主管10万 最高50万:违反22/24/27/37/46/47/69

 

6.等级保护实施意义

①满足合法合规要求，清晰化责任和工作方法，让安全贯穿全生命周期

②明确组织整体目标，改变以往单点防御方式，让安全建设更加体系化

③提高人员安全意识，树立等级化防护思想，合理分配网络安全投资

 

二、对等保2.0的理解

 

1.等保的发展历程

国家实行网络安全等级保护制度，对网络实施分等级保护、分等级监管。等级保护制度适用于在中华人民共和国境内建设运营、维护、使用网络，开展网络安全等级保护工作以及监督管理，个人及家庭自建自用的网络除外。

 

2.等级保护2.0修订背景

①传统的安全思维需要拓展和转变：“斯诺登事件”等安全事件的发生表明网落安全的威胁已经上升到国家层面。在这样的背景下，网络安全的保护体系需要全面升级，传统的安全思维已经难以有效保护网络空间安全，新技术不断涌现，也得传统信息安全的范畴需要进一步拓展。

②适应新型的系统形态和网络架构：新技术、新业务下的产品与服务不断创新，物联网、云计算、工业控制系统、移动互联网等新兴网络形态使得传统信息安全的范畴需要进一步拓展要求网络安全的保护体系也随之升级。

③现有等保体系需要完善升级:为了配合《网络安全法》的实施，为了适应云计算、移动互联、工业控制、物联网、大数据等新技术、新应用情况下等级保护工作的开展。有必要对GB/T22239-2008进行修订，在适用性、时效性、易用性、可操作性上进一步完善。

 

3.等级保护2.0安全框架和关键技术

防护框架:

根据“一个中心”管理下的“三重保护”体系框架，构建安全机制和策略，形成定级系统的安全保护环境。分别对计算环境、区域边界、通信网络体系进行管理，实施多层隔离和保护，以防止某薄弱环节影响整体安全。

最终做到整体防御、分区隔离;积极防护、内外兼防，自身防御、主动免疫，纵深防御、技管并重

部分关键安全预防措施理解:

对于传统威胁，要做到快速、精准的防护，对于新型网络攻击也要做到智能检测与分析。建设和加强入侵防护等技术检测与防护是网络安全防护的重要工作;

维护网络安全，首先要知道风险在哪里，是什么样的风险，什么时候发生风险，正所谓“聪者听于无声，明者见于未形”。感知网络安全态势是网络安全防护中最基本、最基础的工作。

如需等保测评服务，可后台私信联系。陆陆信息科技，整合云安全产品的技术优势，联合优质等保咨询、等保测评合作资源，提供等保项目的一站式服务，全面覆盖等保定级、备案、建设整改以及测评阶段，高效通过等保测评，落实网络安全等级保护工作。

黑龙江等保流程是什么？

黑龙江等保测评最低多少钱？