網(wǎng)絡(luò)安全法中明確地提到，國家實行網(wǎng)絡(luò)安全等級保護制度,，信息安全的建設(shè)要遵照等級保護標(biāo)準(zhǔn)來做,。

（一）體現(xiàn)國家管理意志，構(gòu)建國家信息安全保護體系

等級保護是我國關(guān)于信息安全的基本政策,，國家法律法規(guī),、相關(guān)政策制度要求單位開展等級保護工作，如《中華人民共和國網(wǎng)絡(luò)安全法》和《網(wǎng)絡(luò)安全管理辦法》,。

（二）維護國家安全,，保護公眾利益，保障和促進信息化發(fā)展

落實個人及單位的網(wǎng)絡(luò)安全保護義務(wù),，通過等級保護工作發(fā)現(xiàn)單位信息系統(tǒng)存在的安全隱患和不足,，通過安全整改提高信息系統(tǒng)的信息安全防護能力，合理規(guī)避風(fēng)險,。

網(wǎng)絡(luò)安全等級保護制度是國家網(wǎng)絡(luò)安全領(lǐng)域的基本國策,、基本制度和基本方法，《網(wǎng)絡(luò)安全法》出臺后,，網(wǎng)絡(luò)等級保護進入2.0時代,。2019年5月13日，網(wǎng)絡(luò)安全等級保護制度2.0標(biāo)準(zhǔn)（以下簡稱等保2.0標(biāo)準(zhǔn)）正式發(fā)布,，將于2019年12月1日開始實施,。

等保2.0標(biāo)準(zhǔn)在1.0標(biāo)準(zhǔn)的基礎(chǔ)上，注重全方位主動防御,、安全可信,、動態(tài)感知和全面審計，實現(xiàn)了對傳統(tǒng)信息系統(tǒng),、基礎(chǔ)信息網(wǎng)絡(luò),、云計算、大數(shù)據(jù),、物聯(lián)網(wǎng),、移動互聯(lián)和工業(yè)控制信息系統(tǒng)等保護對象的全覆蓋,。

為了便于實現(xiàn)對不同級別的和不同形態(tài)的等級保護對象的共性化和個性化保護，等保2.0要求分為安全通用要求和安全擴展要求,?！毒W(wǎng)絡(luò)安全等級保護基本要求》針對云計算、移動互聯(lián),、物聯(lián)網(wǎng),、工業(yè)控制系統(tǒng)提出了安全擴展要求。

擴展要求應(yīng)用場景說明：

（一）云計算應(yīng)用場景

云計算平臺/系統(tǒng)由設(shè)施,、硬件,、 資源抽象控制層、虛擬化計算資源,、軟件平臺和應(yīng)用軟件等組成,。軟件即服務(wù)(SaaS)、平臺即服務(wù)(PaaS),、 基礎(chǔ)設(shè)施即服務(wù)(IaaS)是三種基本的云計算服務(wù)模式,。如圖所示，在不同的服務(wù)模式中,，云服務(wù)商和云服務(wù)客戶對計算資源擁有不同的控制范圍,，控制范圍則決定了安全責(zé)任的邊界。

云計算服務(wù)模式與控制范圍的關(guān)系

（二）移動互聯(lián)應(yīng)用場景

采用移動互聯(lián)技術(shù)的等級保護對象其移動互聯(lián)部分由移動終端,、移動應(yīng)用和無線網(wǎng)絡(luò)三部分組成,，移動終端通過無線通道連接無線接入設(shè)備接入，無線接入網(wǎng)關(guān)通過訪問控制策略限制移動終端的訪問行為,。等保2.0移動互聯(lián)安全擴展要求主要針對移動終端,、移動應(yīng)用和無線網(wǎng)絡(luò)部分提出特殊安全要求，與安全通用要求一起構(gòu)成對采用移動互聯(lián)技術(shù)的等級保護對象的完整安全要求,。

移動互聯(lián)應(yīng)用架構(gòu)

（三）物聯(lián)網(wǎng)應(yīng)用場景

對物聯(lián)網(wǎng)的安全防護包括感知層,、網(wǎng)絡(luò)傳輸層和處理應(yīng)用層，由于網(wǎng)絡(luò)傳輸層和處理應(yīng)用層通常是由計算機設(shè)備構(gòu)成,，因此這兩部分按照安全通用要求提出的要求進行保護,。物聯(lián)網(wǎng)安全擴展要求針對感知層提出特殊安全要求，與安全通用要求一起構(gòu)成對物聯(lián)網(wǎng)的完整安全要求,。

物聯(lián)網(wǎng)構(gòu)成

（四）工業(yè)控制系統(tǒng)應(yīng)用場景

等保2.0參考IE C 62264-1的層次結(jié)構(gòu)模型劃分,，同時將SC ADA 系統(tǒng)、DCS系統(tǒng)和 PLC 系統(tǒng)等模 荊的共性進行抽象,，對工業(yè)控制系統(tǒng)采用層次模型進行說明,。層次模型從上到下共分為5個層級，依次為企業(yè)資源層、生產(chǎn)管理 層,、過程監(jiān)控層,、現(xiàn)場控制層和現(xiàn)場設(shè)備層,，不同層級的實時性要求不同,。

功能層次模型

等級保護五個規(guī)定動作是指：定級、備案,、建設(shè)整改,、等級測評、監(jiān)督檢查,。等保2.0標(biāo)準(zhǔn)仍然將圍繞這5個規(guī)定動作開展工作,。

等級保護工作流程及標(biāo)準(zhǔn)

等保2.0標(biāo)準(zhǔn)依然采用“一個中心,、三重防護”的理念，通過實施三重防護主動防御框架,，能夠?qū)崿F(xiàn)攻擊者進不去,、非授權(quán)者重要信息拿不到、竊取保密信息看不懂,、系統(tǒng)和信息改不了,、系統(tǒng)工作癱不了和攻擊行為賴不掉的安全防護效果。

等級保護框架

（一）明確等級保護對象,，開展定級備案工作

等保2.0標(biāo)準(zhǔn)不再自主定級,，而是通過“確定定級對象——>初步確定等級——>專家評審——>主管部門審核——>公安機關(guān)備案審查——>最終確定等級”這種線性的定級流程，系統(tǒng)定級必須經(jīng)過專家評審和主管部門審核,，才能到公安機關(guān)備案,，整體定級更加嚴(yán)格。

國舜股份等保咨詢顧問可指導(dǎo)客戶完成定級備案相關(guān)工作：

定級備案相關(guān)文件示例

（二）安全建設(shè)及整改工作

確定等級保護對象的安全保護等級后，根據(jù)不同對象的安全保護等級完成安全建設(shè)或安全整改工作,。構(gòu)建具備相應(yīng)等級安全保護能力的網(wǎng)絡(luò)安全綜合防御體系,。安全建設(shè)及整改工作包括以下工作內(nèi)容：

1.系統(tǒng)調(diào)研。通過訪談、填表等形式,，梳理等級保護對象的基本信息,、物理位置、管理策略,、網(wǎng)絡(luò)及設(shè)備部署,、業(yè)務(wù)種類及重要性、業(yè)務(wù)流程等信息,。

2.差距分析,。國舜股份等保咨詢項目組通過準(zhǔn)備好的差距分析表，客戶確認(rèn)現(xiàn)場溝通的對象（部門和人員）,，準(zhǔn)備相應(yīng)的檢查內(nèi)容,。在差距分析階段，可以通過收集信息,，詳細(xì)了解客戶信息系統(tǒng)現(xiàn)狀,，并通過分析所收集的資料和數(shù)據(jù)，以確認(rèn)客戶信息系統(tǒng)的建設(shè)是否符合該等級的安全要求,，需要進行哪些方面的整改,。

3.建設(shè)方案。國舜股份結(jié)合主動免疫的主動防御思想和等級保護的防御體系,，構(gòu)建可信安全管理中心支持下的主動免疫三重防護框架,，圍繞安全管理中心實現(xiàn)系統(tǒng)管理、安全管理和審計管理,，針對等級保護對象特點建立安全技術(shù)體系和安全管理體系,。

4.問題整改。依據(jù)建設(shè)方案,，協(xié)助客戶完成問題整改,。整改內(nèi)容包括但不限于網(wǎng)絡(luò)結(jié)構(gòu)合理化調(diào)整、應(yīng)用系統(tǒng)安全功能完善,、安全配置加固,、信息安全體系建設(shè)、信息安全事件應(yīng)急體系建設(shè)等,。

安全建設(shè)及整改

（三）國舜股份助力安全規(guī)劃和運營

國舜股份依據(jù)國家網(wǎng)絡(luò)安全等級保護政策和標(biāo)準(zhǔn),，協(xié)助客戶開展信息安全策略優(yōu)化、安全規(guī)劃,、通報預(yù)警,、應(yīng)急處置、態(tài)勢感知,、能力建設(shè),、技術(shù)檢測,、教育培訓(xùn)等工作。