隨著《網(wǎng)絡(luò)安全法》的頒布，越來越多的企事業(yè)單位開始重視信息安全,信息安全等級(jí)保護(hù)工作開始走入了大眾的視野,但很多單位對(duì)等保工作還不了解，現(xiàn)針對(duì)等級(jí)保護(hù)工作中常見的問題做一個(gè)答疑解惑。
一、什么是等級(jí)保護(hù)？
答：信息安全等級(jí)保護(hù)是對(duì)信息和信息載體按照重要性等級(jí)分級(jí)別進(jìn)行保護(hù)的一種工作，是指對(duì)國家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲(chǔ)、傳輸、處理這些信息的信息系統(tǒng)分等級(jí)實(shí)行安全保護(hù)，對(duì)信息系統(tǒng)中使用的信息安全產(chǎn)品實(shí)行按等級(jí)管理，對(duì)信息系統(tǒng)中發(fā)生的信息安全事件分等級(jí)響應(yīng)、處置。
簡(jiǎn)單而言，就是將全國的信息系統(tǒng)（包括網(wǎng)絡(luò)）按照重要性和受破壞后的危害性分成五個(gè)安全保護(hù)等級(jí)（從第一級(jí)到第五級(jí)逐級(jí)增高），定級(jí)后第二級(jí)以上信息系統(tǒng)到公安機(jī)關(guān)備案，公安機(jī)關(guān)對(duì)備案材料審核合格后頒發(fā)備案證明；各單位各部門根據(jù)系統(tǒng)等級(jí)按照國家標(biāo)準(zhǔn)進(jìn)行安全建設(shè)整改，備案單位聘請(qǐng)符合國家規(guī)定的等級(jí)測(cè)評(píng)機(jī)構(gòu)進(jìn)行等級(jí)測(cè)評(píng)（第二級(jí)系統(tǒng)備案前要進(jìn)行一次測(cè)評(píng)、第三級(jí)系統(tǒng)每年要進(jìn)行一次測(cè)評(píng)）；公安機(jī)關(guān)對(duì)第二級(jí)信息系統(tǒng)進(jìn)行指導(dǎo)，對(duì)第三級(jí)、第四級(jí)信息系統(tǒng)定期開展監(jiān)督、檢查。
二、為什么要開展等級(jí)保護(hù)工作？
答：主要理由如下：1）通過等級(jí)保護(hù)工作發(fā)現(xiàn)單位信息系統(tǒng)存在的安全隱患和不足，進(jìn)行安全整改之后，提高信息系統(tǒng)的信息安全防護(hù)能力，降低系統(tǒng)被各種攻擊的風(fēng)險(xiǎn)，維護(hù)單位良好的形象。2）等級(jí)保護(hù)是我國關(guān)于信息安全的基本政策，國家法律法規(guī)、相關(guān)政策制度要求單位開展等級(jí)保護(hù)工作。如《信息安全等級(jí)保護(hù)管理辦法》和《中華人民共和國網(wǎng)絡(luò)安全法》。3）很多行業(yè)主管單位要求行業(yè)客戶開展等級(jí)保護(hù)工作，目前已經(jīng)下發(fā)行業(yè)要求文件的有：金融、電力、廣電、醫(yī)療、教育等行業(yè)，還有一些主管單位發(fā)過相關(guān)文件或通知要求去做。4）落實(shí)個(gè)人及單位的網(wǎng)絡(luò)安全保護(hù)義務(wù)，合理規(guī)避風(fēng)險(xiǎn)。
三、等級(jí)保護(hù)工作的五個(gè)環(huán)節(jié)是什么？
答：信息安全等級(jí)保護(hù)工作包括定級(jí)（用戶自主定級(jí)）、備案（到公安機(jī)關(guān)備案）、安全建設(shè)和整改、等級(jí)測(cè)評(píng)（根據(jù)定級(jí)報(bào)告中的級(jí)別測(cè)評(píng)看是否達(dá)到該級(jí)別應(yīng)達(dá)到的要求）、監(jiān)督檢查五個(gè)環(huán)節(jié)。
四、等級(jí)保護(hù)級(jí)別劃分
答：信息系統(tǒng)的安全保護(hù)等級(jí)應(yīng)當(dāng)根據(jù)信息系統(tǒng)在國家安全、經(jīng)濟(jì)建設(shè)、社會(huì)生活中的重要程度，信息系統(tǒng)遭到破壞后對(duì)國家安全、社會(huì)秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等因素確定。
按照公安部《信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南》的要求，非涉密信息系統(tǒng)的安全保護(hù)等級(jí)分為以下五級(jí)：
第一級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益造成損害，但不損害國家安全、社會(huì)秩序和公共利益。
第二級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重?fù)p害，或者對(duì)社會(huì)秩序和公共利益造成損害，但不損害國家安全。
第三級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害，或者對(duì)國家安全造成損害。
第四級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成特別嚴(yán)重?fù)p害，或者對(duì)國家安全造成嚴(yán)重?fù)p害。
第五級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)國家安全造成特別嚴(yán)重?fù)p害。
等級(jí)測(cè)評(píng)前需對(duì)系統(tǒng)進(jìn)行定級(jí)，定級(jí)為客戶參考《信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南》進(jìn)行自主定級(jí)，定級(jí)不只有二級(jí)和三級(jí)。要分別對(duì)S(業(yè)務(wù)信息)、A（系統(tǒng)服務(wù)）進(jìn)行定級(jí)，定級(jí)有業(yè)務(wù)信息（S）和系統(tǒng)服務(wù)(A)兩個(gè)指標(biāo)的定級(jí)，以其中較高的決定。有多種組合，如二級(jí)有S2A2G2/S2A1G2/S1A2G2、三級(jí)有S3A1G3/S3A2G3/S3A3G3/S2A3G3/S1A3G3等。定級(jí)完成后需要按照定級(jí)報(bào)告模板編寫定級(jí)報(bào)告。
五、去哪里進(jìn)行信息系統(tǒng)的定級(jí)備案工作？
答：省級(jí)單位將定級(jí)資料交給市公安局網(wǎng)安支隊(duì)備案，市縣級(jí)單位將定級(jí)資料交給各自地級(jí)市的網(wǎng)安支隊(duì)備案。
六、什么是等級(jí)保護(hù)測(cè)評(píng)？
答：等級(jí)保護(hù)測(cè)評(píng)指的是用戶單位委托第三方有測(cè)評(píng)資質(zhì)的測(cè)評(píng)機(jī)構(gòu)對(duì)單位已定級(jí)備案的信息系統(tǒng)開展安全測(cè)試的過程，測(cè)試結(jié)束后出具相應(yīng)的信息系統(tǒng)測(cè)評(píng)報(bào)告。
七、選哪家單位開展等級(jí)測(cè)評(píng)工作？
答：?jiǎn)挝粦?yīng)選擇在等級(jí)保護(hù)網(wǎng)www.djbh.net中公布的《全國信息安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)推薦目錄》中的機(jī)構(gòu)進(jìn)行測(cè)評(píng)，測(cè)評(píng)單位應(yīng)當(dāng)具有信息（網(wǎng)絡(luò)）安全等級(jí)保護(hù)工作領(lǐng)導(dǎo)（協(xié)調(diào)）小組辦公室頒發(fā)的《信息安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)推薦證書》。
八、等級(jí)保護(hù)測(cè)評(píng)一般需要多長(zhǎng)時(shí)間？
答：現(xiàn)場(chǎng)測(cè)評(píng)周期一般一周左右，具體看信息系統(tǒng)數(shù)量及信息系統(tǒng)的規(guī)模，有所增減。如用戶不要求中間進(jìn)行整改，測(cè)評(píng)整體時(shí)間在1-2個(gè)月左右。具體完成時(shí)間根據(jù)實(shí)際情況而定。
九、等級(jí)保護(hù)測(cè)評(píng)多久需要測(cè)一次？
答：三級(jí)信息系統(tǒng)要求每年至少開展一次測(cè)評(píng)；二級(jí)信息系統(tǒng)一般每?jī)赡觊_展一次測(cè)評(píng)。
十、等級(jí)保護(hù)測(cè)評(píng)的費(fèi)用是多少？
答：測(cè)評(píng)的費(fèi)用是按照信息系統(tǒng)的數(shù)量和來計(jì)算，不同等級(jí)的測(cè)評(píng)費(fèi)用不一樣，也會(huì)系統(tǒng)規(guī)模的大小有區(qū)別。
十一、等級(jí)保護(hù)測(cè)評(píng)的主要內(nèi)容？
答：主要包括物理（機(jī)房）、網(wǎng)絡(luò)（網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備）、主機(jī)（操作系統(tǒng)、數(shù)據(jù)庫）、應(yīng)用（應(yīng)用軟件、中間件）、數(shù)據(jù)五個(gè)層面。還需進(jìn)行工具測(cè)試和滲透測(cè)試（如有特殊原因，客戶可以選擇不進(jìn)行，但需簽署自愿放棄驗(yàn)證聲明）。
十二、等級(jí)保護(hù)測(cè)評(píng)的工作方法和流程？
答：等級(jí)測(cè)評(píng)方法主要有訪談、檢查、測(cè)試三種、測(cè)評(píng)流程分為項(xiàng)目準(zhǔn)備階段、方案編制階段、現(xiàn)場(chǎng)測(cè)評(píng)階段和報(bào)告編制階段四個(gè)階段。
十三、等級(jí)保護(hù)測(cè)評(píng)依據(jù)的標(biāo)準(zhǔn)？
答：等級(jí)測(cè)評(píng)主要依據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》GB/T22239和《信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求》GB/T28448，兩個(gè)標(biāo)準(zhǔn)是配套使用的，基本要求是寫的各級(jí)別測(cè)評(píng)的具體要求有哪些，測(cè)評(píng)要求主要寫的是這個(gè)要求具體要怎么去測(cè)。但一些特定行業(yè)出了等保的行業(yè)標(biāo)準(zhǔn)，需要依據(jù)行業(yè)標(biāo)準(zhǔn)進(jìn)行測(cè)評(píng)，如金融、證券、廣電、電力、醫(yī)院、電子政務(wù)外網(wǎng)、稅務(wù)等。
十四、等級(jí)保護(hù)測(cè)評(píng)結(jié)論判定方法？
答：等級(jí)測(cè)評(píng)結(jié)論為三個(gè)，符合、基本符合和不符合，報(bào)告采用風(fēng)險(xiǎn)分析和打分機(jī)制，判定標(biāo)準(zhǔn)為：
1、100分結(jié)果為符合
2、60分以上且無高風(fēng)險(xiǎn)，結(jié)果為基本符合
3、60分以下或存在高風(fēng)險(xiǎn)，結(jié)果判定為不符合
為避免測(cè)評(píng)結(jié)論為不符合且能獲得較高分?jǐn)?shù)，請(qǐng)先對(duì)系統(tǒng)進(jìn)行基礎(chǔ)加固和整改。其中包括機(jī)房整改、網(wǎng)絡(luò)結(jié)構(gòu)調(diào)整、采購安全設(shè)備、網(wǎng)絡(luò)設(shè)備和服務(wù)器操作系統(tǒng)、數(shù)據(jù)庫、中間件的策略加固、應(yīng)用整改和漏洞修復(fù)等。具體加固內(nèi)容參考加固規(guī)范。
十五、什么是等保2.0？
答：等級(jí)保護(hù)已經(jīng)進(jìn)入2.0時(shí)代，除了傳統(tǒng)信息系統(tǒng)，云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)也被納入了等級(jí)保護(hù)的范圍。新標(biāo)準(zhǔn)針對(duì)云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)提出了安全擴(kuò)展要求。傳統(tǒng)信息系統(tǒng)需要滿足安全通用要求，云計(jì)算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)在安全通用要求的基礎(chǔ)上還需要實(shí)現(xiàn)安全擴(kuò)展要求。
