▲大会现场

网络安全等级保护制度2.0

公安部网络安全保卫局祝国邦副处长详细介绍了网络安全等级保护制度2.0，并强调指出，网络安全等级保护制度是国家网络安全领域的基本政策、基本制度；是借鉴国外先进网络安全保护方法、保护技术与中国特色相结合的创举；是行业部门、企事业单位等开展网络安全保障工作的基本方法；是维护国家安全、社会秩序和公共利益的根本保障。

网络安全等级保护制度2.0标准解读

公安部信息安全等级保护评估中心马力副研究员对网络安全等级保护制度2.0标准体系及重要标准进行解读。详细剖析了网络安全等级保护2.0标准的变化：

1、名称的变化 

由《信息系统安全等级保护基本要求》改为《网络安全等级保护基本要求》，与《网络安全法》保持一致。

2、对象的变化

由信息系统改为等级保护对象。将网络基础设施（广电网、电信网、专用通信网络等）、云计算平台/系统、采用移动互联技术的系统、物联网、工业控制系统等纳入到等级保护对象范围中。

3、安全要求的变化

由安全要求改为安全通用要求和安全扩展要求。安全通用要求是不管等级保护对象形态如何都必须满足的要求，针对云计算、移动互联、物联网和工业控制系统提出了特殊要求，称为安全扩展要求。

4、章节结构的变化

以三级安全要求为例，三级要求下有安全通用要求、云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求、工业控制系统安全扩展要求。 不同的三级定级对象，使用的要求根据定级对象采用的技术不同而应用不同的扩展要求。

5、分类结构的变化

技术部分调整为：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心。

管理部分调整为：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。

6、增加了云计算安全扩展要求

云计算安全扩展要求章节针对云计算的特点提出特殊保护要求。对云计算主要增加的内容包括“基础设施的位置”、“虚拟化安全保护”、“镜像和快照保护”、“云服务商选择”和“云计算环境管理”等方面。

7、增加了移动互联安全扩展要求

移动互联安全扩展要求章节针对移动互联安全的特点提出特殊保护要求。对移动互联网络环境主要增加的内容包括“无线接入点的地理位置”、“移动终端管控”、“移动应用管控”、“移动应用软件采购”和“移动应用软件开发”等方面。

8、增加了物联网安全扩展要求

物联网安全扩展要求章节针对物联网的特点提出特殊保护要求。对物理网环境主要增加的内容包括“感知节点的物理保护”、“感知节点设备安全”、“感知网关节点设备安全”、“感知节点的管理”和“数据融合处理”等方面。

9、增加了工业控制系统安全扩展要求

工业控制系统安全扩展要求章节针对工业控制系统的特点提出特殊保护要求。对工业控制系统主要增加的内容包括“室外控制设备防护”、“工业控制系统网络架构安全”、“拨号使用控制”、“无线使用控制”和“控制设备安全”等方面。

10、增加了应用场景的说明

增加附录c描述等级保护安全框架和关键技术，增加附录d描述云计算应用场景，附录e描述移动互联应用场景，附录f描述物联网应用场景，附录g描述工业控制系统应用场景，附录h描述大数据应用场景。

等级保护2.0建设实践经验

最后，深信服安全业务总经理马程做了《深信服在等级保护2.0建设方面的实践经验》主题分享。马程表示，深信充分融合等保 “主动防御、动态防御、整体防控、精准防护”的核心思想，以构建持续保护能力作为等保建设的核心目标。主要从以下三个方面来体现：

1、安全可视

加强对资产、威胁、脆弱性、风险的可视能力，只有看得见看得懂风险才能采取有效的安全防护措施；

2、持续检测

因为组织的资产和所面临的安全环境都是在不断变化的，所以需要进行持续的检测以便及时发现安全问题；

3、协同防御

遇到安全问题时，更需要的是能协同防御的能力，也就是通过设备之间的协同联动做应急封锁，同时通过云端的平台或服务来做及时的处置，将安全事件的影响降到最低。

结合等保2.0标准的相关要求，深信服为用户建立基于等保的安全体系，包含技术、管理和运营体系三部分。其中通过深信服的apdro安全架构，集智能、防御、检测、响应、运营为基础，可以为三大体系提供能力支撑，保障技术部分、管理部分的要求落地，同时建立起一个可运营的安全体系。使得用户的整体网络具备安全可视、持续检测、协同防御的能力。

▲深信服等级保护2.0建设规划框架

深信服秉持着“面向未来，有效保护”的安全理念，在网络安全等级保护2.0的新时代下，积极参与，全情投入，践行网络安全等级保护2.0，与监管单位、测评机构和其他安全厂商一道共建生态，共同为中国广大用户的网络安全保驾护航。