等保2.0宣贯会

      5月16日，由公安部第三研究所、公安部第一研究所主办，深信服承办的网络安全等级保护制度2.0国家标准宣贯会在北京举行。等保1.0已经实行多年，但是网络技术却也在不断发展，网络空间的领域更是在不断扩展延伸，等保2.0正是国家对持续变化的网络环境与攻防迭代做出的回应。

      这次发布的等保2.0包括了最为核心的三个标准：基本要求、设计要求和测评要求。在这三个核心标准之上，相比等保1.0，马力副研究员介绍了等保2.0的三大特点和十大变化。

         第一大特点是等保2.0标准覆盖了新的技术和应用场景，将云计算、物联网等技术都纳入了等保范围之内。由于技术的多样性以及非完全的泛用性，等保2.0采用了通用要求+新型应用安全扩展要求的设计。不同的组织和机构，在满足通用要求的基础上，根据自身的信息技术环境，满足扩展要求。

         第二大特点则是等保2.0采用了一中心三重防御（安全管理中心+安全通讯网络、安全区域边界、安全计算环境）的统一安全架构，将安全标准作为一个完整的体系进行落地。

         第三大特点就是将可信验证加入了标准范围之内，从一级到四级都提出了可信验证空间。在会上，马力也提到，在标准的试用期期间，对于可信验证的落地确实遇到了一点困难，他也希望相关的硬件厂商、软件厂商、安全服务商能够共同努力，把可信验证、可信计算这方面的产品产业化，从而更有效地支撑新标准。

根据这三大特点，等保2.0与等保1.0有着以下的十大特点：

      1. 1.0标准的名称在2.0时期全部调整为网络安全等级保护，比如网络安全等级保护基本要求，网络安全等级保护而且要求，网络安全等级保护测评要求，2.0标准全部以网络安全等级保护命名。

      2. 1.0的等保对象称之为信息系统，2.0标准使用的名称叫等级保护对象。这些等级保护对象基本上全囊括了所有计算机控制的相关系统。

      3. 通用要求与扩展要求相结合。共性化保护需求称之为通用要求，个性化保护需求称之为扩展要求或者叫特殊要求。因此标准的使用，是通用要求+扩展要求。

      4. 目录架构发生了变化。等保1.0第三级要求底下分技术要求、管理要求；而等保2.0在第三级分类下分通用要求和扩展领域要求。在等保1.0环境，三级系统需要技术要求和管理要求的全实现，而在等保2.0需要去选择自己适合的扩展领域要求去满足。

      5. 形成一中心三重防护加上安全物理环境的技术分类结构，以及由安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理的管理分类结构。

      6. 增加了云计算安全扩展要求，主要增加内容包括 “基础设施位置”、“虚拟化安全保护”、“镜像和快照保护”、“云服务商选择” 和 “云计算环境管理” 等方面。

      7. 增加了移动互联安全扩展要求，包括无线网关，无线通讯，移动终端，移动APP等方面。

      8. 增加了物联网安全扩展要求，主要增加内容包括 “感知节点的物理防护”、“感知节点设备安全”、“感知网关节点设备安全”、“感知节点的管理” 和 “数据融合处理” 等方面。

      9. 增加了工业控制系统安全扩展要求，主要增加内容包括 “室外控制设备防护”、“工业控制系统网络架构安全”、“拨号使用控制”、“无线使用控制” 和 “控制设备安全” 等方面。

     10. 增加了应用场景的说明，对于不同的技术增加了应用场景的说明，其中附录H描述了大数据应用场景（以及安全扩展要求）。

这些新的改变构成了等保2.0对组织和机构网络安全能力的更进一步的要求，使得组织和机构需要更进一步地建设有效的网络安全防线，真正落实 “没有网络安全，就没有国家安全”。

另一方面，在今后，将有另外两个标准被发布，分别是实施指南与定级指南，帮助企业更好地落地等保2.0要求。