加载失败
头部
加载失败
头部
加载失败
什么是等级保护?
加载失败
根据信息系统应用业务重要程度及其实际安全需求,实行分级、分类、分阶段实施保护,保障信息安全和系统安全正常运行,维护国家利益、公共利益和社会稳定。 等级保护的核心是对信息系统特别是对业务应用系统安全分等级、按标准进行建设、管理和监督。国家对信息安全等级保护工作运用法律和技术规范逐级加强监管力度。突出重点,保障重要信息资源和重要信息系统的安全。
加载失败
等级保护是网络运营者的法律义务
加载失败
中华人民共和国网络安全法
第二十一条
国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求,履行下列安全保护义务保障网络免受干扰、破坏或者未经授权的访问,防止网络数据泄露或者被窃取、篡改。
加载失败
中华人民共和国网络安全法
第三十一条
国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域,以及其他一旦遭到破坏、丧失功能或者数据泄露,在网络安全等级保护制度的基础上,实行重点保护。
加载失败
中华人民共和国网络安全法
第五十九条
网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的,由有关主管部门给予警告;拒不改正或者导致危害网络安全等后果的,处一万元以上十万元以下罚款。
法律法规与主要标准
加载失败
法律法规
LAWS AND REGULATIONS
《中华人民共和国网络安全法》(2017年6月1日)
国务院第147号令《中华人民共和国计算机信息系统安全保护条例》
《国家信息化领导小组关于加强信息安全保障工作的意见》
《关键信息基础设施安全保护条例》征求意见稿
《电力行业信息安全等级保护管理办法》国能安全[2014]318号
公安部《信息安全等级保护管理办法》公通字[2007]43号
公安部《网络安全等级保护条例》征求意见稿
加载失败
加载失败
主要标准
THE MAIN CRITERIA
计算机信息系统安全保护等级划分准则(GB 17859-1999)
网络安全等级保护实施指南(GB/T25058)
网络安全等级保护定级指南(GB/T22240)
网络安全等级保护基本要求(GB/T22239-2019)
网络安全等级保护设计技术要求(GB/T25070-2019)
网络安全等级保护测评要求(GB/T28448-2019)
网络安全等级保护测评过程指南(GB/T28449-2018)
加载失败
服务内容
爱思考一站式等保解决方案包含等保咨询、整改、测评服务,能帮助单位顺利完成等保建设工作。
一站式等保解决方案优势
省心省力,保姆式贴心服务
更高性价比,提供专业的整改解决方案+优质的云安全产品+贴心的服务能力+权威的测评认证,提供混合云场景的等保服务。
加载失败
交付效率高
爱思考等保建设工程师超过百个系统的等保落地经验,咨询、整改可同步进行,大大缩短了客户通过等保建设的时间。
加载失败
节约资金
一站式等保解决方案费用比单独选择咨询、测评以及整改服务更具优势,单位也无需投入大量公司人力参与到等保建设中,节约了公司的人力成本。
加载失败
一站式等保服务流程
加载失败 系统定级
加载失败 系统备案
加载失败 建设整改
加载失败 等级测评
加载失败 监督检查(项目后)
《网络安全等级保护基本要求》关键项分析
安全物理环境
安全通信网络&区域边界
安全计算环境
安全管理中心
安全管理制度
安全物理环境
物理位置选择
机房场地应选择在具有防震、防风和防雨等能力的建筑内
防盗窃和放破坏
应设置机房防盗报警系统或设置有专人值守的视频监控系统
物理访问控制
机房出入口应配置电子门禁系统,控制、鉴别和记录进入的人员
电力供应
应设置冗余或并行的电力电缆线路为计算机系统供电
基础实施位置
应确保云计算基础设施位于中国境内
安全通信网络&区域边界
网络架构
根据云租户业务需求自主设置安全策略集,包括定义访问路径、选择安全组件、配置安全策略
访问控制
在不同等级的网络区域边界部署访问控制机制,设置访问控制规则
通信传输
应采用校验码技术或加解密技术保证通信过程中数据的完整性
边界防护
应保证跨越边界的访问和数据流通过边界防护设备提供的受控接口进行通信
入侵防范
应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为;当检测到攻击行为时,记录攻击源IP、攻击类型、攻击目的、攻击时间,在发生严重入侵事件时应提供报警
建设策略
1.推荐安全组、网络ACL通过设置基本的访问控制策略,对进出安全区域边界的数据信息进行控制,阻止非授权及越权访问 2.推荐VPN、安全证书服务,采取加密措施,防止数据在传输过程中遇到破坏、窃取等各种攻击 3.推荐DDoS高防,云WAF服务,针对日渐增多的DDoS、Web攻击进行防御,精准有效地实现对流量型攻击和应用层攻击的全面防护
安全计算环境
身份鉴别
当进行远程管理时,管理终端和云计算平台边界设备之间建立双向身份验证机制
安全审计
根据云服务方和云租户的职责划分,收集各自控制部分的审计数据并实现集中审计
入侵防范
虚拟机之间的资源隔离失效,并进行告警
恶意代码防范
应能够检测恶意代码感染及在虚拟机间蔓延的情况,并提出告警
数据完整性和保密性
应采用校验码技术或加解密技术保证重要数据在传输/存储过程中的完整性和保密性
建设策略
1.推荐堡垒机、数据库安全服务对服务器和数据库的运维及操作行为进行审计 2.管理员使用各自的账户进行管理,管理员的权限仅分配其所需的最小权限,在制定好的访问控制策略下进行操作,杜绝越权非法操作 3.推荐主机安全服务,防止各类具有针对性的入侵威胁,发现常见操作系统存在的各种安全漏洞,及时更新恶意代码库
安全管理中心
系统管理
通过安全管理中心对被保护系统和安全管理中心自身的运行状态进行监控
审计管理
通过部署安全管理中心、业务安全审计平台,对被保护系统和安全管理中心的相关重要安全事件和用户操作行为进行审计
安全管理
通过部署安全管理中心、业务安全审计平台,并对安全管理员进行身份鉴别,对主体进行授权,配置可信验证策略等
集中管控
通过部署安全管理中心、业务安全审计平台、APT威胁检测系统,并对分布在网络中的安全设备、网络设备和服务器等的运行状况进行集中监测与管控
建设策略
1.通过安全事件管理等模块协助实施应急响应机制 2.确保用户行为的可追溯性,及时发现异常的安全行为,同时为综合分析提供数据支撑 3.数据收集、安全策略、恶意代码、补丁升级等安全相关事项和各类安全事件进行集中管理,分析
安全管理制度
安全管理制度
应形成由安全策略、管理制度、操作规程、记录表单等构成的全面的信息安全管理制度体系
安全管理机构
应成立指导和管理信息安全工作的委员会或领导小组,其最高领导由单位主管领导委任或授权
安全管理人员
人员录用、人员离岗、人员考核、安全意识教育及培训、外部人员访问管理
安全建设管理
应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计,并形成配套文件
安全运维管理
应采取必要的措施识别安全漏洞和隐患,对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补 应设置冗余或并行的电力电缆线路为计算机系统供电
建设策略
1.企业应制定完善的安全管理制度,根据基本要求设置安全管理机构,梳理管理文件,明确组织人员的岗位职责,定期进行全面安全检查,特别是系统日常运行、系统漏洞和数据备份等 2.推荐漏洞扫描服务、安全体检服务,检测租户站点的漏洞,提前防范黑客利用漏洞进行攻击,防止利益损失和数据泄露
等保合规安全解决方案
等保合规架构
为客户提供一站式安全技术方案,帮助客户快速、低成本完成安全整改,轻松应对等保2.0合规测评
等保2.0基本要求
安全管理制度
主要包括安全策略、安全管理制度与流程规范、人员组织、安全管理基线
安全管理中心
主要包括系统管理、审计管理、安全管理、集中管控
安全计算环境
主要包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、数据完整性和保密性、数据备份恢复
安全通信网络&区域边界
主要包括网络架构、边界防护、访问控制、通信传输、入侵防范、安全审计
安全物理环境
主要包括物理位置选择,物理位置访问控制
加载失败
Document