等保2.0定级指南正式实施 企业如何定级看这里

首页 / 业界 / 政策 /  正文
来源:安全419
发布于:7个月前
自从2019年12月1日网络安全等级保护2.0国家标实施以来,我国网络安全等级保护制度进入新时代。作为国家等级保护标准体系的核心标准之一的GB/T 22240-2020《信息安全技术  网络安全等级保护定级指南》(以下简称“指南”)已于2020年4月28日发布,并于2020年11月1日开始实施生效。


指南规定了非涉及国家秘密的等级保护对象的定级方法和流程,通过指导网络运营者合理划分定级对象和准确地确定安全保护等级,为后续的安全建设整改、等级测评等工作奠定良好的基础。

那么,哪些企业需要开展等级保护定级工作?哪些系统/平台可以定二级,哪些需要定三级?定级的流程是什么样的?安全419综合梳理以下关键信息点,供开展等保工作的企业参考。

1、哪些企业和机构需要定级备案?

指南明确了通用定级对象的三个基本特征:具有确定的主要安全责任主体;承载相对独立的业务应用;包含相互关联的多个资源。其中关于安全责任主体的解释是:包括但不限于企业、机关和事业单位等法人,以及不具备法人资格的社会团体等其他组织。从以上特征来看,基本互联网上的系统都需要定级备案。

指南同时还细化了定级对象的类型,主要包括:信息系统、通信网络设施和数据资源,其中信息系统包括工业控制系统、云计算平台、物联网、采用移动互联技术的系统。

这些系统在满足三大基本特征的基础上,还需要满足以下要求。

云计算平台/系统:云上租户和云服务商的等级保护对象要分开定级,根据云上服务模式再分别定级。比如云服务商对外提供SaaS、PaaS、IaaS三种服务模式,那么就分为三个对象来分别定级。对于大型云计算平台,宜将云计算基础设施和有关辅助服务系统划分为不同的定级对象。

物联网:主要包括感知层、网络传输层和处理应用层等,需将以上要素作为一个整体对象进行定级,各要素不建议单独定级。

工业控制系统:将现场采集/执行、现场控制和过程控制等要素需作为一个整体对象进行定级,各要素也不建议单独定级,但是生产管理要素建议单独定级。而对于大型工业控制系统,可根据系统功能、责任主体、控制对象和生产厂商等因素划分为多个定级对象。

采用移动互联技术的系统:包括移动终端(手机、平板、笔记本)、移动应用和无线网络等特征要素的系统,应将所有移动技术整合,作为一个整体来定级。

通信网络设施:主要是通信和广电行业的核心网络,可根据安全责任主体、服务类型或服务地域划分不同的定级对象。跨省的行业或单位的专用通信网可作为一个整体对象定级,或分区域划分为若干个定级对象。

数据资源:可独立定级。当安全责任主体相同时,大数据、大数据平台/系统宜作为一个整体对象定级;当安全责任主体不同时,大数据应独立定级。涉及到大量公民个人信息以及为公民提供公共服务的大数据平台/系统,原则上其安全保护等级不低于第三级。

2、怎么确定安全保护等级?

根据“受侵害的客体”和“对客体的侵害程度”这两个要素,可以判定相应的安全保护等级,比如,一个系统遭受到破坏后对社会秩序和公共利益造成严重损害,那么这个系统应当定为第三级,具体的对应关系见下表。


对于通用系统的定级方式没有明显变化,依旧根据对业务信息的影响和对系统服务的影响来评判,二者取最高级别。

确定受侵害的客体与以往相比,有一些新增变化。侵害国家安全事项方面:新增影响海洋权益完整的侵害;新增影响国家社会主义经济秩序和文化实力的侵害。侵害社会秩序事项方面:明确提出影响企事业单位、社会团体生产秩序、医疗卫生秩序的侵害;新增影响公共交通秩序的侵害;新增影响人民群众生活的侵害。

关于“受侵害的客体”和“侵害程度”的判断标准,指南均给出了比较客观的描述,文末点击指南原文即可查看。

3、定级流程是怎么样的?

指南提到,安全保护等级初步确定为第二级及以上的等级保护对象,其网络运营者依据本标准组织进行专家评审、主管部门核准和备案审核,最终确定其安全保护等级。这样的定级流程更加严谨,避免系统定级过高或过低的问题,让网络运营者更好的履行其安全义务。定级流程如下图:
专家评审:定级对象的运营、使用单位应组织信息安全专家和业务专家等,对初步定级结果的合理性进行评审,并出具专家评审意见 。

主管部门审批:定级对象的运营、使用单位应将初步定级结果定级结果报请行业主管(监管)部门核准,并出具核准意见。

公安机关审核:定级对象的运营、使用单位应按照相关管理规定,将初步定级结果提交公安机关进行备案审查,审查不通过,其运营使用单位应组织重新定级;审查通过后最终确定定级对象的安全保护等级。

总体而言,新版指南相比旧版范围更广、要求更加细致,企业在开展定级工作时,应当明确定级对象的基本特征,若属于工控、云计算、物联网、大数据等特定领域的,在系统建设、运维、管理中还应符合其领域相关的要求。安全保护等级确定为第二级及以上的定级对象,应及时到当地网监进行备案,并依据《网络安全法》及其配套法规的规定履行相应的等级保护测评义务。

点击查看 GB/T 22240-2020《信息安全技术  网络安全等级保护定级指南》