网络安全等级保护2.0-定级指南解读.pdf

网络安全等级保护2.0是基于《网络安全法》的法律规定，旨在强化网络安全管理和防护。该制度明确了国家实行网络安全等级保护，并对关键信息基础设施实行重点保护。等级保护的对象不再局限于传统的信息系统，而是扩大到了工业控制系统、云计算平台、物联网以及使用移动互联技术的网络和大数据等新兴领域。 网络安全等级保护2.0的定级指南主要涉及以下几个方面： 1. **定级对象**：定级对象包括基础信息网络、工业控制系统、云计算平台、物联网和大数据等。基础信息网络如电信网、互联网等，关键信息基础设施则涉及国家安全、国计民生和公共利益的重要网络系统。大数据平台是指支持大数据应用安全高效运行的软硬件集合。 2. **定级原则与流程**：定级分为三级，第三级的定义是对象破坏后会对公民、法人和其他组织的权益、社会秩序和公共利益甚至国家安全造成严重损害。定级流程包括确定定级对象、初步确定等级、专家评审、主管部门审核和公安机关备案审查。 3. **定级方法**：确定定级对象时，要考虑承载的业务应用、网络资源的关联性，以及安全责任主体。例如，基础信息网络可以按服务类型、地域和服务责任主体划分；工业控制系统则按功能、责任主体、控制对象和生产厂商等因素划分。 4. **云计算与物联网的定级**：云计算环境中的云服务方和云租户侧的平台都需单独定级，大型云计算平台的基础设施和辅助服务系统应划分不同对象。物联网的感知、网络传输和处理应用等要素作为一个整体对象定级。 5. **标准体系**：GA/T 1389-2017等标准提供了等级保护定级、基本要求、设计要求、测评要求和实施指南，增强了标准的适用性和可操作性，适应了新的网络安全形势。 网络安全等级保护2.0的实施，意味着对网络安全的重视程度不断提升，要求各个领域的网络系统必须依据相应的等级保护要求进行建设和维护，以确保国家网络安全和公民个人信息的安全。同时，随着技术的发展，新的定级对象和标准将持续更新，以应对不断变化的威胁和挑战。