01前言
        2018年12月25日，由中關(guān)村可信計(jì)算產(chǎn)業(yè)聯(lián)盟主辦的等級(jí)保護(hù)新標(biāo)準(zhǔn)解讀培訓(xùn)班在北京裕龍國(guó)際酒店舉行。沈昌祥院士做了《用可信計(jì)算筑牢網(wǎng)絡(luò)安全防線》的主題演講，公安部范春玲、李秋香和陳廣勇三位專家老師對(duì)最新的網(wǎng)絡(luò)安全等級(jí)保護(hù)制度進(jìn)行了細(xì)致的解讀，新華三作為可信計(jì)算聯(lián)盟的理事成員單位，有幸受邀參加了此次培訓(xùn)。同時(shí)作為等級(jí)保護(hù)的參編單位，為了更好的學(xué)習(xí)貫徹和落實(shí)國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，新華三再次對(duì)會(huì)上專家的培訓(xùn)內(nèi)容做個(gè)總結(jié)。
        02等級(jí)保護(hù)標(biāo)準(zhǔn)變化
        等級(jí)保護(hù)新標(biāo)準(zhǔn)在編制過(guò)程中總共經(jīng)歷了兩次大的變化，第一次是2017年8月根據(jù)網(wǎng)信辦和公安部的意見(jiàn)將5個(gè)分冊(cè)進(jìn)行了合并，形成一個(gè)標(biāo)準(zhǔn)，并在2017年10月參加信安標(biāo)委WG5工作組在研標(biāo)準(zhǔn)推進(jìn)會(huì)，介紹合并后的標(biāo)準(zhǔn)送審稿，征求127家成員單位意見(jiàn)，修訂完成報(bào)批稿；第二次大的變化是2018年7月根據(jù)沈昌祥院士的意見(jiàn)再次調(diào)整分類結(jié)構(gòu)和強(qiáng)化可信計(jì)算，充分體現(xiàn)一個(gè)中心、三重防御的思想并強(qiáng)化可信計(jì)算安全技術(shù)要求的使用。
        經(jīng)過(guò)這兩次大變化后的《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》有10個(gè)章節(jié)8個(gè)附錄，其中第6、7、8、9、10章為五個(gè)安全等級(jí)的安全要求章節(jié)，8個(gè)附錄分別為：安全要求的選擇和使用、關(guān)于等級(jí)保護(hù)對(duì)象整體安全保護(hù)能力的要求、等級(jí)保護(hù)安全框架和關(guān)鍵技術(shù)使用要求、云計(jì)算應(yīng)用場(chǎng)景說(shuō)明、移動(dòng)互聯(lián)應(yīng)用場(chǎng)景說(shuō)明、物聯(lián)網(wǎng)應(yīng)用場(chǎng)景說(shuō)明、工業(yè)控制系統(tǒng)應(yīng)用場(chǎng)景說(shuō)明和大數(shù)據(jù)應(yīng)用場(chǎng)景說(shuō)明。
        標(biāo)準(zhǔn)名稱由原來(lái)的《信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)基本要求》變更為《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》，與《中華人民共和國(guó)網(wǎng)絡(luò)安全法》保持一致。等級(jí)保護(hù)對(duì)象由原來(lái)的“信息系統(tǒng)”改為“等級(jí)保護(hù)對(duì)象（網(wǎng)絡(luò)和信息系統(tǒng)）”，安全等級(jí)保護(hù)對(duì)象包括基礎(chǔ)信息網(wǎng)絡(luò)（廣電網(wǎng)、電信網(wǎng)等）、信息系統(tǒng)（采用傳統(tǒng)技術(shù)的系統(tǒng)）、云計(jì)算平臺(tái)、大數(shù)據(jù)平臺(tái)、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)和工業(yè)控制系統(tǒng)等。新版安全要求在原有通用安全要求的基礎(chǔ)上新增安全擴(kuò)展要求，安全擴(kuò)展要求主要針對(duì)云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)和工業(yè)控制系統(tǒng)提出了特殊安全要求。
        03等級(jí)保護(hù)章節(jié)結(jié)構(gòu)
        調(diào)整后每一級(jí)的安全要求均包括安全通用要求、云計(jì)算安全擴(kuò)展要求、移動(dòng)互聯(lián)安全擴(kuò)展要求、物聯(lián)網(wǎng)安全擴(kuò)展要求和工業(yè)控制系統(tǒng)安全擴(kuò)展要求這幾個(gè)部分：
        安全通用要求規(guī)定了不管等級(jí)保護(hù)對(duì)象形態(tài)如何必須滿足的要求。
        云計(jì)算安全擴(kuò)展要求章節(jié)針對(duì)云計(jì)算的特點(diǎn)提出特殊保護(hù)要求。對(duì)云計(jì)算環(huán)境主要增加的內(nèi)容包括“基礎(chǔ)設(shè)施的位置”、“虛擬化安全保護(hù)”、“鏡像和快照保護(hù)”、“云服務(wù)商選擇”和“云計(jì)算環(huán)境管理”等方面。這里需要注意云計(jì)算環(huán)境的定級(jí)，對(duì)于云租戶的定級(jí)仍按照傳統(tǒng)的定級(jí)思路，而對(duì)于云計(jì)算平臺(tái)的定級(jí)則分兩種情況，一種是中小型云計(jì)算平臺(tái)，可將整個(gè)云計(jì)算平臺(tái)作為整體定級(jí)對(duì)象；另一種是針對(duì)大型云計(jì)算平臺(tái)，應(yīng)將云計(jì)算基礎(chǔ)設(shè)施和有關(guān)輔助服務(wù)系統(tǒng)劃分為不同的定級(jí)對(duì)象（比如大型云計(jì)算平臺(tái)的計(jì)費(fèi)系統(tǒng)可單獨(dú)作為一個(gè)定級(jí)對(duì)象）。
        移動(dòng)互聯(lián)安全擴(kuò)展要求章節(jié)針對(duì)移動(dòng)互聯(lián)的特點(diǎn)提出特殊保護(hù)要求。對(duì)移動(dòng)互聯(lián)環(huán)境主要增加的內(nèi)容包括“無(wú)線接入點(diǎn)的物理位置”、“移動(dòng)終端管控”、“移動(dòng)應(yīng)用管控”、“移動(dòng)應(yīng)用軟件采購(gòu)”和“移動(dòng)應(yīng)用軟件開發(fā)”等方面。
        物聯(lián)網(wǎng)安全擴(kuò)展要求章節(jié)針對(duì)物聯(lián)網(wǎng)的特點(diǎn)提出特殊保護(hù)要求。對(duì)物聯(lián)網(wǎng)環(huán)境主要增加的內(nèi)容包括“感知節(jié)點(diǎn)的物理防護(hù)”、“感知節(jié)點(diǎn)設(shè)備安全”、“感知網(wǎng)關(guān)節(jié)點(diǎn)設(shè)備安全”、“感知節(jié)點(diǎn)的管理”和“數(shù)據(jù)融合處理”等方面。
        工業(yè)控制系統(tǒng)安全擴(kuò)展要求章節(jié)針對(duì)工業(yè)控制系統(tǒng)的特點(diǎn)提出特殊保護(hù)要求。對(duì)工業(yè)控制系統(tǒng)主要增加的內(nèi)容包括“室外控制設(shè)備防護(hù)”、“工業(yè)控制系統(tǒng)網(wǎng)絡(luò)架構(gòu)安全”、“撥號(hào)使用控制”、“無(wú)線使用控制”和“控制設(shè)備安全”等方面，針對(duì)工業(yè)控制系統(tǒng)實(shí)時(shí)性要求高的特點(diǎn)調(diào)整了“漏洞和風(fēng)險(xiǎn)管理”和“惡意代碼防范管理”方面的要求。
        04控制措施分類結(jié)構(gòu)
        調(diào)整后的控制措施分類結(jié)構(gòu)如下：
        技術(shù)要求“從面到點(diǎn)”提出安全要求，“安全物理環(huán)境”主要對(duì)機(jī)房設(shè)施提出要求，“安全通信網(wǎng)絡(luò)”和“安全區(qū)域邊界”主要對(duì)網(wǎng)絡(luò)整體提出要求，“安全計(jì)算環(huán)境”主要對(duì)構(gòu)成節(jié)點(diǎn)（包括業(yè)務(wù)應(yīng)用和數(shù)據(jù)）提出要求，“安全管理中心”主要對(duì)系統(tǒng)管理、集中管控等提出要求。
        管理要求“從元素到活動(dòng)”提出安全要求，“安全管理制度”、“安全管理機(jī)構(gòu)”和“安全管理人員”主要提出了管理不可缺少的制度、機(jī)構(gòu)和人員三要素，“安全建設(shè)管理”及“安全運(yùn)維管理”主要提出了建設(shè)過(guò)程和運(yùn)維過(guò)程的安全活動(dòng)管理要求。
        安全通信網(wǎng)絡(luò)+安全區(qū)域邊界+安全管理中心的第四級(jí)在第三級(jí)的基礎(chǔ)上增加了7個(gè)條款：
        1)應(yīng)按照業(yè)務(wù)服務(wù)的重要程度分配帶寬，優(yōu)先保障重要業(yè)務(wù)；
        2)應(yīng)在通信前基于密碼技術(shù)對(duì)通信的雙方進(jìn)行驗(yàn)證或認(rèn)證；
        3)應(yīng)基于硬件密碼模塊對(duì)重要通信過(guò)程進(jìn)行密碼運(yùn)算和密鑰管理；
        4)應(yīng)能夠在發(fā)現(xiàn)非授權(quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為或內(nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為時(shí)，對(duì)其進(jìn)行有效阻斷；
        5)應(yīng)采用可信驗(yàn)證機(jī)制對(duì)接入到網(wǎng)絡(luò)中的設(shè)備進(jìn)行可信驗(yàn)證，保證接入的網(wǎng)絡(luò)設(shè)備真實(shí)可信；
        6)應(yīng)在網(wǎng)絡(luò)邊界通過(guò)通信協(xié)議轉(zhuǎn)換或通信協(xié)議隔離等方式進(jìn)行數(shù)據(jù)交換；
        7)應(yīng)保證系統(tǒng)范圍內(nèi)的時(shí)間由唯一確定的時(shí)鐘產(chǎn)生，以保證各種數(shù)據(jù)的管理和分析在時(shí)間上的一致性。
        安全計(jì)算環(huán)境的第四級(jí)在第三級(jí)的基礎(chǔ)上增加了5個(gè)條款：
        1)登錄用戶執(zhí)行重要操作時(shí)應(yīng)再次進(jìn)行身份鑒別；
        2)應(yīng)對(duì)主體、客體設(shè)置安全標(biāo)記，并依據(jù)安全標(biāo)記和強(qiáng)制訪問(wèn)控制規(guī)則確定主體對(duì)客體的訪問(wèn)；
        3)應(yīng)采用主動(dòng)免疫可信驗(yàn)證機(jī)制及時(shí)識(shí)別入侵和病毒行為，并將其有效阻斷；
        4)在可能涉及法律責(zé)任認(rèn)定的應(yīng)用中，應(yīng)采用密碼技術(shù)提供數(shù)據(jù)原發(fā)證據(jù)和數(shù)據(jù)接收證據(jù)，實(shí)現(xiàn)數(shù)據(jù)原發(fā)行為的抗抵賴和數(shù)據(jù)接收行為的抗抵賴；
        5)應(yīng)建立異地災(zāi)難備份中心，提供業(yè)務(wù)應(yīng)用的實(shí)時(shí)切換。
        惡意代碼防范，從一級(jí)到四級(jí)主要做了如下要求：
        第一級(jí)：應(yīng)安裝防惡意代碼軟件或配置具有相應(yīng)功能的軟件，并定期進(jìn)行升級(jí)和更新防惡意代碼庫(kù)。
        第二級(jí)：應(yīng)安裝防惡意代碼軟件或配置具有相應(yīng)功能的軟件，并定期進(jìn)行升級(jí)和更新防惡意代碼庫(kù)。
        第三級(jí)：應(yīng)采用免受惡意代碼攻擊的技術(shù)措施或主動(dòng)免疫可信驗(yàn)證機(jī)制及時(shí)識(shí)別入侵和病毒行為，并將其有效阻斷。
        第四級(jí)：應(yīng)采用主動(dòng)免疫可信驗(yàn)證機(jī)制及時(shí)識(shí)別入侵和病毒行為，并將其有效阻斷。
        從標(biāo)準(zhǔn)控制措施整體看，對(duì)可信控制點(diǎn)有所增加，各個(gè)級(jí)別和層面均增加了可信驗(yàn)證控制點(diǎn)，從第一級(jí)到第四級(jí)均在“安全通信網(wǎng)絡(luò)”、“安全區(qū)域邊界”和“安全計(jì)算環(huán)境”中增加了“可信驗(yàn)證”控制點(diǎn)，并且從第二級(jí)開始，增加了安全管理中心技術(shù)要求。
        最后，等級(jí)保護(hù)測(cè)評(píng)方面，對(duì)等級(jí)保護(hù)符合性評(píng)價(jià)方法較之前有了很大不同，新的測(cè)評(píng)要求增加了“重點(diǎn)測(cè)評(píng)項(xiàng)”和“常規(guī)測(cè)評(píng)項(xiàng)”（由于當(dāng)天培訓(xùn)內(nèi)容較多，已經(jīng)記不清專家老師怎么描述的了，我在這里暫且將此劃分稱為“重點(diǎn)測(cè)評(píng)項(xiàng)”和“常規(guī)測(cè)評(píng)項(xiàng)” ）的劃分，“重點(diǎn)測(cè)評(píng)項(xiàng)”實(shí)行“一票否決制”。也就是說(shuō)，測(cè)評(píng)要求中列出的對(duì)應(yīng)級(jí)別的“重點(diǎn)測(cè)評(píng)項(xiàng)”中任意一項(xiàng)不符合，整體將判定為不符合，無(wú)需再進(jìn)行“常規(guī)測(cè)評(píng)項(xiàng)”的測(cè)評(píng)，“重點(diǎn)測(cè)評(píng)項(xiàng)”優(yōu)先通過(guò)測(cè)評(píng)后，才進(jìn)行“常規(guī)測(cè)評(píng)項(xiàng)”的測(cè)評(píng)。目前公安部正研究并整理各保護(hù)級(jí)別的“重點(diǎn)測(cè)評(píng)項(xiàng)”列表。
        05結(jié)束語(yǔ)
        網(wǎng)絡(luò)安全等級(jí)保護(hù)是我國(guó)信息安全保障的基本制度性工作，是網(wǎng)絡(luò)空間安全保障體系的重要支撐，也是應(yīng)對(duì)強(qiáng)敵APT攻擊的有效措施。在法律支撐層面，我國(guó)的計(jì)算機(jī)系統(tǒng)等級(jí)保護(hù)條例提升為國(guó)家基礎(chǔ)性法律制度，即“網(wǎng)絡(luò)安全法”中的網(wǎng)絡(luò)安全等級(jí)保護(hù)制度；在科學(xué)技術(shù)層面，由分層被動(dòng)防護(hù)發(fā)展到了科學(xué)安全框架下的主動(dòng)免疫防護(hù)；在工程應(yīng)用層面，由傳統(tǒng)的計(jì)算機(jī)信息系統(tǒng)防護(hù)轉(zhuǎn)向了新型計(jì)算環(huán)境下的網(wǎng)絡(luò)空間主動(dòng)防御體系建設(shè)。等保2時(shí)代重點(diǎn)對(duì)云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制以及大數(shù)據(jù)安全等進(jìn)行全面安全防護(hù)，確保關(guān)鍵信息基礎(chǔ)設(shè)施安全。