等保相关国家标准与行业政策

首先盘点一下等级保护2.0的国家标准：

行业等保整改建设新思路

为了兼顾国家标准和行业特性要求，各行业等级保护建设不能脱离业务需求来空谈网络安全，必须紧密结合核心业务、重要数据、关键网络的实际安全需求，并结合用户当前所处的建设阶段，有序地推进等级保护整改建设工作。

按照等级保护建设的几个阶段，各行业可以按照高风险加固、完整规划、等保+的整改建设思路逐步推进等保整改建设：

1、高风险加固

高风险项是安全建设、等级测评、执法检查关注的重点，消减高风险项则是合规的基线，因此高风险加固是行业等保建设首当其冲的任务。

等级保护2.0标准除通用要求调整外，对于测评结果也调整为优、良、中、差的评定方式，根据分值计算公式结合权重得出最终得分。70以下为差，即不合格。而《等级测评报告模板2019版》中则明确指出：“如果存在高风险安全问题则直接判定等级测评结论为‘差’”，即不合格。

《网络安全等级保护测评高风险判定指引》中规定了80个高风险，分布于等级保护9个控制类37个控制点，基本涵盖了等级保护要求中所有重要要求项。通过技术和管理措施进行高风险项的安全加固，是等级保护测评通过的基础，同时消减高风险有利于保障业务的可用性、有利于应对主管部门检查。

具体80个高风险清单如下：

2、完整规划

等级保护2.0相对于1.0新增和加强了许多安全要求，结合新要求，各行业应当健全技术、管理体系，全面重构和强化网络安全整体架构。

其中等级保护2.0在对抗外部威胁和风险、标准适用性、时效性、易用性、可操作性等方面较等级保护1.0做了很多扩展和增强。充分体现“一个中心、三重防护”的思想，完成了从等级保护1.0标准被动防御的安全体系向事前预防、事中响应、事后审计的动态保障体系转变。等级保护2.0新增或增强的安全控制点，从本质上也反映了近年来勒索软件攻击事件频发、APT攻击组织和影响增多的趋势。

从技术和管理方面梳理等级保护2.0新增或增强要求，完整规划技术和管理体系建设的内容，有利于契合国家标准的基本要求，重构和强化整体安全架构，增强网络安全整体防护水平和能力。

汇总等级保护2.0技术新增或增强技术和管理要求如下表所示：

3、“等保+”建设

脱离业务谈安全和脱离安全谈业务都是不现实的。各行业业务、数据、网络均具有特殊性，针对核心业务、重要数据、关键网络需要进行重点保护，并通过运营推动安全效果的有效落地。

以教育行业为例，校园网站作为核心业务需实现7*24H持续监测、并对网站集群进行整体安全动态防护，出现安全事件需要能够实现及时告警、处置及响应。

针对校园网络核心数据的保护，进行重要业务数据全生命周期的操作审计、设备和网络传播途径的审计，并实现数据流转轨迹可视，业务内部威胁全局分析， 做到敏感数据外泄风险可及时发现，泄密事件追溯取证。

校园统一安全接入（含校园APP接入）作为其关键接入网络之一，除需满足等级保护2.0安全通用要求中各安全层面的控制点、要求项以外，还需满足校园APP接入的移动互联安全要求，统一安全接入平台为教师、学生在外网环境访问业务系统提供单点登录、一站式体验等功能。

最后，通过持续的安全运营，实现资产、脆弱性、威胁和事件的全面监测与感知，并保障技术设备、技术措施和人员、流程及制度的落地。

深信服等级保护2.0解决方案从用户自身核心业务、重要数据、关键网络的防护需求出发，以消减高风险为基础，全面重构和强化等级保护2.0安全技术和管理体系建设，并通过“等保+”建设，为行业用户带来“持续保护、不止合规”的安全价值。