网络安全等级保护

一、网络安全等级保护核心概念

1. 定义与目标

   • 定义：根据网络系统的重要性和受损后的危害程度，分等级实施安全保护与监管的国家基本制度。
   • 目标：保障国家安全、社会秩序、公共利益及公民合法权益，优化安全资源配置，推动安全与信息化协调发展。

2. 等级划分标准

   • 五个等级（从低到高）：

     等级	破坏后影响	示例场景
     一级	损害公民、法人权益	普通企业官网
     二级	严重损害公民权益或社会秩序	地市级政务系统、二甲医院
     三级	严重损害社会秩序或国家安全	金融系统、三甲医院
     四级	特别严重损害国家安全	国家级能源系统
     五级	特别严重损害国家安全	国防核心系统

   • 定级依据：受破坏的客体（公民权益、社会秩序、国家安全）及侵害程度。

二、等级保护实施流程

1. 五大阶段：

   • 定级：自主确定系统等级（三级及以上需专家评审）。
   • 备案：向属地公安机关提交《定级备案表》。
   • 建设整改：按《基本要求》部署安全设备（防火墙、IPS等）并制定管理制度。
   • 等级测评：由具备资质的测评机构检测系统合规性（二级建议两年一次，三级每年一次）。
   • 监督检查：公安机关定期核查安全措施落实情况。

2. 技术要求（以三级为例）：

   • 物理安全：机房防雷、防火、门禁监控。
   • 网络安全：边界防护（防火墙）、入侵检测（IDS/IPS）。
   • 数据安全：加密存储、备份恢复（3-2-1原则）。
   • 扩展要求：云计算、物联网等场景需满足额外安全标准（如虚拟化安全、感知节点防护）。

3. 管理要求：

   • 安全制度：制定应急预案、日志审计规范。
   • 人员管理：职责分离、定期安全培训。
   • 运维监控：7×24小时安全值守，定期漏洞扫描。

三、等级保护2.0核心变化

1. 覆盖范围扩大：
   • 新增云计算、物联网、工业控制系统等场景。
   • 将互联网企业、大数据中心纳入监管。
2. 标准体系升级：
   • 核心标准：《网络安全等级保护基本要求》（GB/T 22239-2019）包含安全通用要求与扩展要求。
   • 测评要求：强化对新技术应用的测评（如区块链、5G）。
3. 法律责任明确：
   • 《网络安全法》第二十一条规定未履行等保义务的单位将面临罚款。

四、练习题

1. 题目（定级标准）：

   某省级医保系统被破坏后可能导致大量患者隐私泄露，其等级应定为？
   A. 二级 B. 三级 C. 四级

   • 答案：B
   • 解析：泄露患者隐私属于“对社会秩序造成严重损害”，符合三级定义。

2. 题目（测评周期）：

   等保三级系统的等级测评周期要求是？
   A. 每半年一次 B. 每年一次 C. 每两年一次

   • 答案：B
   • 解析：三级系统需每年测评，四级需半年一次。

3. 题目（扩展要求）：

   云计算平台需额外满足的等保要求包括？
   ① 虚拟化安全 ② 镜像快照保护 ③ 数据跨境传输管理

   • 答案：①②
   • 解析：云计算扩展要求包含虚拟化安全、镜像保护等，数据跨境属于数据安全通用要求。