专栏首页超级科技等保2.0,网站信息系统安全等级保护流程你知道吗?
原创

等保2.0,网站信息系统安全等级保护流程你知道吗?

随着信息技术的发展和网络安全形势的变化,等保1.0已无法有效应对新的安全风险和新技术应用所带来的新威胁。为适应新技术的发展,解决云计算、物联网、移动互联和工控领域信息系统的等级保护工作的需要,由公安部牵头组织开展了信息技术新领域等级保护重点标准申报国家标准的工作,等级保护正式进入2.0时代。

等保2.0的实施对企业有什么影响?

《网络安全法》第五十九条规定:网络运营者不履行义务的:由有关主管部门责令改正,给予警告;拒不改正或者导致危害网络安全等后果的,处一万元以上十万元以下罚款,对直接负责的主管人员处五千元以上五万元以下罚款。

关键信息基础设施的运营者不履行义务的 :由有关主管部门责令改正,给予警告;拒不改正或者导致危害网络安全等后果的,处十万元以上一百万元以下罚款,对直接负责的主管人员处一万元以上十万元以下罚款。

用户单位不做等级保护测评,用户单位需要被罚款1万-100万;主管人员需要被罚款5000-100000。

根据“谁主管谁负责、谁运营谁负责、谁使用谁负责”的原则,网络运营者成为等级保护的责任主体,如何快速高效地通过等级保护测评成为企业开展业务前必须思考的问题。

等保2.0有5个运行步骤:定级、备案、建设和整改、等级测评、检查。同时,也分5个等级,即信息系统按重要程度由低到高分为5个等级,并分别实施不同的保护策略。

《信息安全等级保护定级指南》规定,只要符合以下三个特征,就必须进行等级保护备案。如果符合以下三个特征,并且安全保护等级是二级及以上,还必须通过等级保护测评,网站也不例外。

等级保护定级对象的三大基本特征:

①具有确定的主要安全责任主体;

②承载相对独立的业务应用;

③包含相互关联的多个资源。

那么,如果网站符合以上三个特征,且信息系统为二级及以上,要怎么做等级保护呢?网站信息系统安全等级保护办理步骤解读来啦!

1.网站系统定级

根据等级保护相关管理文件,等级保护对象的安全保护等级一共分五个级别,从一到五级别逐渐升高。等级保护对象的级别由两个定级要素决定:①受侵害的客体;②对客体的侵害程度。对于关键信息基础设施,“定级原则上不低于三级”,且第三级及以上信息系统每年或每半年就要进行一次测评。

定级流程:确定定级对象→初步确定等级→专家评审→主管部门审批→公安机构备案审查→最终确定的级别。

2.网站系统备案

根据《网络安全法》规定:

①已运营(运行)的第二级以上信息系统,应当在安全保护等级确定后30日内(等保2.0相关标准已将备案时限修改为10日内),由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

②新建第二级以上信息系统,应当在投入运行后30日内(等保2.0相关标准已将备案时限修改为10日内),由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

③隶属于中央的在京单位,其跨省或者全国统一联网运行并由主管部门统一定级的信息系统,由主管部门向公安部办理备案手续。

④跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统,应当向当地设区的市级以上公安机关备案。

企业最终确定网站的级别以后,就可以到公安机关进行备案。备案所需材料主要是《信息安全等级保护备案表》,不同级别的信息系统需要的备案材料有所差异。第三级以上信息系统需提供以下材料:( 一 ) 系统拓扑结构及说明;( 二 ) 系统安全组织机构和管理制度;( 三 ) 系统安全保护设施设计实施方案或者改建实施方案;( 四 ) 系统使用的信息安全产品清单及其认证、销售许可证明;( 五 ) 测评后符合系统安全保护等级的技术检测评估报告;( 六 ) 信息系统安全保护等级专家评审意见;( 七 ) 主管部门审核批准信息系统安全保护等级的意见。

3.网站系统安全建设(整改)

等级保护整改是等保建设的其中一个环节,指按照等级保护建设要求,对信息和信息系统进行的网络安全升级,包括技术层面整改和管理层面整改。整改的最终目的就是为了提高企业信息系统的安全防护能力,让企业可以成功通过等级测评。

等级保护整改没有什么资质要求,只要公司可以按照等级保护要求来进行相关网络安全建设,由谁来实施,是没有要求的。但由于目前企业网络安全人才紧缺,企业很多时候都需要寻找专业的网络安全服务公司来进行整改。

整改主要分为管理整改和技术整改。管理整改主要包括:明确主管领导和责任部门,落实安全岗位和人员,对安全管理现状进行分析,确定安全管理策略,制定安全管理制度等。其中,安全管理策略和制度又包括人员安全管理事件处置、应急响应、日常运行维护设备、介质管理安全监测等。

技术整改主要是指企业部署和购买能够满足等保要求的产品,比如网页防篡改、流量监测、网络入侵监测产品等。

4.网站系统等级测评

等级测评指经公安部认证的具有资质的测评机构,依据国家信息安全等级保护规范规定,受有关单位委托,按照有关管理规范和技术标准,对信息系统安全等级保护状况进行检测评估的活动。物联网企业等级测评需要寻找合适的测评机构来进行测评,测评机构至少需要具备《信息安全等级测评推荐证书》。物联网企业可以登录中国网络安全等级保护网查看国家推荐的有资质的测评机构名单。

测评机构收费方面,具体的服务费用会因为省市不同、测评项目不同、行业不同等而有所差异。但一般来说,二级系统测评费用4万元起步,三级系统测评费用7万元起步。

根据规定,对信息系统安全等级保护状况进行的测试应包括两个方面的内容:一是安全控制测评,主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况;二是系统整体测评,主要测评分析信息系统的整体安全性。其中,安全控制测评是信息系统整体安全测评的基础。

5.监督检查

企业要接受公安机关不定期的监督和检查,对公安机关提出的问题予以改进。

原创声明,本文系作者授权云+社区发表,未经许可,不得转载。

如有侵权,请联系 yunjia_community@tencent.com 删除。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 产业安全专家谈丨“等保"大考最后10天冲刺,企业该如何准备?

    备受关注的网络安全等级保护制度2.0国家标准于5月13日正式发布,并将于2019年12月1日正式实施。几乎所有企业都要通过的网络安全大考,应该如何准备呢?

    腾讯安全
  • 统一回复:等保2.0企业必须关注的40个问题

    网络安全等级保护2.0国家标准(等保2.0)自去年12月1日正式实施以来,很多企业都在努力准备过保工作,伴随着国内疫情防控取得积极成效,各行各业逐渐开始复工复产...

    腾讯安全
  • 几乎所有企业都要参加的网络安全大考,应该如何准备?

    导语 | 备受关注的网络安全等级保护制度2.0国家标准于5月13日正式发布,并将于2019年12月1日正式实施。几乎所有企业都要通过的网络安全大考,应该如何准备...

    尾尾
  • 解读等级保护制度 2.0 新标准

    2019 年 5 月 13 日下午,国家标准新闻发布会在市场监管总局马甸办公区新闻发布厅召开,网络安全等级保护制度 2.0 标准(以下简称等保 2.0 标准)...

    iMike
  • 等保2.0,我们划下了这些重点

    备受关注的网络安全等级保护制度2.0国家标准于5月13日正式发布,并将于2019年12月1日正式实施。等保2.0中明确了五种安全等级中对信息系统最低要求,也就...

    云鼎实验室
  • 2.0时代,如何做好等保?

    等保全称叫信息安全等级保护,是对信息和信息载体按照重要性等级分级别进行保护的一种工作。今天我们就来说一说等保的历史发展,以及个人信息保护相关的一些内容。

    云大学小编
  • 等保2.0将至,解读新标准的变化

    中央网络安全和信息化领导小组提出:“没有网络安全就没有国家安全,没有信息化就没有现代化,中国要由网络大国走向网络强国。”首先,我们来看一下近几年来国家层面网络安...

    FB客服
  • 5分钟读完6小时课程干货:企业等保合规全面解读

    5G、AI、云计算、物联网等新技术和新架构正在成为社会发展的“关键词”,在新基建的浪潮下产业数字化升级成为重中之重。网络等级保护工作的内涵随之持续扩展,面对各行...

    腾讯安全
  • DNSPod十问濮灿:中国网站的SSL证书即将断供?

    ? 问答时间:2020年8月20日 嘉宾简介: 濮灿:沃通电子认证有限公司总经理,360政企安全云安全事业部总经理、360未来安全研究院云安全研究院院长。从事...

    腾讯云DNSPod团队
  • 等保2.0时代,企业如何开展移动互联安全合规建设

    根据《网络安全法》规定“国家实行网络安全等级保护制度”。等级保护作为我国在网络安全方面的基本制度将长期实行下去。等级保护2.0时代,行业单位未落实网络安全等级保...

    几维安全
  • 等保2.0怎么预防网络攻击?

    网络攻击是一种没有硝烟的战争,随着物联网的兴起,以及近期等保2.0的发布,其网络攻击的破坏力和毁灭性是不容小觑的。那么,有些人就会想等保2.0会存在网络攻击吗?...

    墨者盾
  • 企业满足等级保护评价要求需要注意什么?

    随着网络安全问题的严峻,安全等级的保护已经被很多企业提上了日程。同时,安全等级保护在2019年迎来了全新的网络安全等级保护2.0版。等保2.0在安全防护方面有了...

    企商在线
  • 专访瑞数信息吴剑刚:River Security,用变化应对未知

    作为世界第二大经济体,我国有百余家企业位列全球五百强,这诱使黑客一次次地厮杀,瓜分利益的蛋糕。同时,移动互联的大面积覆盖催生了各行各业的进入,信息再次指数级增长...

    FB客服
  • 初识《关键信息基础设施网络安全保护基本要求》:基于等保,高于等保

    等保2.0刚刚实施不久,接踵而来的是《关键信息基础设施网络安全保护基本要求》。当前网络安全无论是技术还是国家战略,都需要我们持续关注并加强管理力度(请大家挺住,...

    FB客服
  • 腾讯助力企业通过等级保护

    我们经常会听到的一个词是等级保护2.0,那所谓的2.0其实是第二代或者是更新版的一个等级保护的标准。那我们其实讲到等级保护,我们从1994年就可以有这么一个关于...

    云大学小编
  • 等保2.0发布一周年,企业等保合规建设6门课程一次讲清楚 | 产业安全公开课

    2019年5月13日,网络安全等级保护2.0标准正式发布,同年12月1日正式实施。一年来,整个信息安全行业需求迎来了重要的边际改善,新机遇、新趋势、新挑战成为了...

    腾讯安全
  • 提高微服务安全性的11个方法

    如果你正在开发一个大型/复杂的应用,并且你经常需要快速,可靠地升级部署 ,那么微服架构是一个不错的选择。

    Bug开发工程师
  • 网络安全等级保护工作流程

    2017年6月1日《网络安全法》正式实施,网络安全等级保护进入有法可依的2.0时代,网路安全等级保护系列标准于2019年5月陆续发布,12月1日起正式实施,标志...

    FB客服
  • 等保2.0,我们划下了这些重点

    备受关注的网络安全等级保护制度2.0国家标准于5月13日正式发布,并将于2019年12月1日正式实施。等保2.0中明确了五种安全等级中对信息系统最低要求,也就是...

    腾讯云安全

扫码关注云+社区

领取腾讯云代金券