网络安全法与等级保护培训教材(共34页).ppt

1、网络平安法与等级保护一、网络平安法二、信息平安等级保护目 录一、网络平安法制定网络平安法的意义 ?网络平安法?是我国第一部全面标准网络空间平安管理方面问题的根底性法律，是我国网络空间法治建设的重要里程碑，是依法治网、化解网络风险的法律重器，是让互联网在法治轨道上健康运行的重要保障。 ?网络平安法?将近年来一些成熟的好做法制度化，并为将来可能的制度创新做了原那么性规定，为网络平安工作提供切实法律保障。1、总体框架 共7章79条。 第一章总那么第二章网络平安支持与促进第三章网络运行平安 第一节 一般规定 第二节 关键信息根底设施的运行平安第四章网络信息平安 第五章监测预警与应急处置 第六章法律责任

2、第七章附 那么一综述2、定位是互联网领域、网络平安的根底性法律。是党的十八大以来的又一部重要法律。3、制定过程2021年下半年提上日程，2021年形成草案，15年初形成征求意见稿，15年6月一审，16年6月二审、10月31日三审、11月7日人大通过，2021年6月1日起施行。154票赞成、0票反对、1票弃权。 确立了网络平安法律标准的根本原那么 明确了网络平安工作的重点 提出制定网络平安战略，明确网络空间治理目标 完善了网络平安监管体制 强化了网络运行平安，重点保护关键信息根底设施 完善了网络平安义务和责任 将监测预警与应急处置措施制度化、标准化制定网络平安法的意义5、有关概念网络：是指由计算

3、机或者其他信息终端及相关设备组成的按照一定的规那么和程序对信息进行收集、存储、传输、交换、处理的系统。网络平安：是指通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。 网络运营者：是指网络的所有者、管理者和网络效劳提供者。 网络数据：是指通过网络收集、存储、传输、处理和产生的各种电子数据。 个人信息：是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、 号码等。第二十一条 国家实行网络平

4、安等级保护制度。网络运营者应当按照网络平安等级保护制度的要求，履行以下平安保护义务。第三十一条 国家对公共通信和信息效劳、能源、交通、水利、金融、公共效劳、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家平安、国计民生、公共利益的关键信息根底设施，在网络平安等级保护制度的根底上，实行重点保护。第三十八条 关键信息根底设施的运营者应当自行或者委托网络平安效劳机构对其网络的平安性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息根底设施平安保护工作的部门。等级测评 网络平安等级保护制度上升为法律 1平安风险评估要求 具体内

5、容：应当自行或者委托网络平安效劳机构对其网络的平安性和可能风险每年至少1次检测评估；检测评估情况和改进措施报送相关负责部门。 法律责任：由有关主管部门责令改正， 给予警告；拒不改正或者导致危害网络平安等后果的，处10-100万罚款，对直接负责的主管人员处1-10万罚款。 网络平安法要求及处分2网络平安等级保护要求 具体内容：制度建设与负责人；平安防范技术措施；不少于6个月的平安日志；数据分类与备份加密。 法律责任：责令改正及警告；警告不改罚款公司1-10万，主管5千-5万。 网络平安法要求及处分3平安技术措施同步要求 具体内容：建设关键信息根底设施应当确保其具有支持业务稳定、持续运行的性能，并

6、保证平安技术措施同步规划、同步建设、同步使用。 法律责任：由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络平安等后果的，处10万元以上100万元以下罚款，对直接负责的主管人员处1万元以上10万元以下罚款。 网络平安法要求及处分4采购平安保密要求具体内容:采购网络产品和效劳，应当按照规定与提供者签订平安保密协议，明确平安和保密义务与责任。法律责任：责令改正，给予警告；拒不改正或者导致危害网络平安等后果的，处10-100万罚款，对直接负责的主管人员处1-10万罚款。 网络平安法要求及处分5信息与数据境内存储及跨境数据传输的平安评估要求 具体内容:境内运营中收集和产生的个人信息和重要数据应

7、当在境内存储；需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的方法进行平安评估。 法律责任：责令改正，给予警告，没收违法所得；处 5-50万罚款，并可以责令暂停相关业务、停业整顿、关闭网站、撤消相关业务许可证或者撤消营业执照；对直接负责主管和直接责任人处1-10万罚款。 网络平安法要求及处分6应急预案要求 具体内容：制定网络平安事件应急预案；在发生危害网络平安的事件时，立即启动应急预案；按照规定向有关主管部门报告。 法律责任：责令改正及警告；警告不改罚款 公司1-10万，主管5千-5万。 网络平安法要求及处分二、信息平安等级保护信息平安等级保护定义 ?信息平安等级保护管理方法试行?

8、：信息平安等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行平安保护，对信息系统中使用的信息平安产品实行按等级管理，对信息系统中发生的信息平安事件分等级响应、处置。 ?信息平安等级保护管理方法?国家通过制定统一的信息平安等级保护管理标准和技术标准，组织公民、法人和其他组织对信息系统分等级实行平安保护，对等级保护工作的实施进行监督、管理。 第一级为自主保护级，适用于一般的信息和信息系统，其受到破坏后，会对公民、法人和其他组织的合法权益造成一定损害，但不损害国家平安、社会秩序和公共利益。 第二级为指导保护级，信息系统受到破坏后，会对

9、公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造成损害，但不损害国家平安。 划分准那么-GB 17859-1999 第三级为监督保护级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家平安造成损害。 第四级为强制保护级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家平安造成严重损害。 第五级为专控保护级，适用于涉及国家平安的重要信息和信息系统的核心子系统，其受到破坏后，会对国家平安造成特别严重损害。实施指南GB/T 25058-2021等级保护实施过程根本原那么主要过程及其活动角色、职责根本流程等级变更局部调整信息系统定级总体平安

10、规划平安设计与实施平安运行维护信息系统终止国家管理部门信息系统主管部门信息系统运营、使用单位信息平安效劳机构信息平安等级测评机构信息平安产品供给商20等级保护之十大标准 根底类 ?计算机信息系统平安保护等级划分准那么?GB 17859-1999 ?信息系统平安等级保护实施指南?GB/T 25058-2021 应用类 定级：?信息系统平安保护等级定级指南?GB/T 22240-2021 建设：?信息系统平安等级保护根本要求?GB/T 22239-2021 ?信息系统通用平安技术要求?GB/T 20271-2006 ?信息系统等级保护平安设计技术要求?GB/T 25070-2021 测评：?信息系

11、统平安等级保护测评要求?GB/T 28448-2021 ?信息系统平安等级保护测评过程指南? GB/T 28449-2021 管理：?信息系统平安管理要求?GB/T 20269-2006 ?信息系统平安工程管理要求?GB/T 20282-2006 217、系统效劳平安等级等级保护定级指南GB/T 22240保护对象受到破坏时受侵害的客体保护对象受到破坏时受侵害的客体对客体的侵害程度对客体的侵害程度一般损害一般损害严重损害严重损害特别严重损害特别严重损害公民、法人和其他组织的合法权益公民、法人和其他组织的合法权益第一级第一级第二级第二级第二级第二级社会秩序、公共利益社会秩序、公共利益第二级第二级

12、第三级第三级第四级第四级国家安全国家安全第三级第三级第四级第四级第五级第五级等级保护定级方法等级保护定级方法保护对象保护对象对客体的侵害程度对客体的侵害程度客体：社会关系客体：社会关系受侵害的客体受侵害的客体信息系统平安信息系统平安系统效劳平安系统效劳平安业务信息平安业务信息平安3、综合评定对客体的侵害程度2、确定业务信息平安受到破坏时所侵害的客体6、综合评定对客体的侵害程度5、确定系统效劳平安受到破坏时所侵害的客体4、业务信息平安等级8、定级对象的平安保护等级8MAX4，71、确定定级对象系统边界一般流程一般流程等级确定等级确定22安全保护等级信息系统定级结果的组合第一级S1A1G1第二级S

13、1A2G2，S2A2G2，S2A1G2第三级S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3第四级S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4第五级S1A5G5，S2A5G5，S3A5G5，S4A5G5，S5A4G5，S5A3G5，S5A2G5，S5A1G5根本保护要求最低保护能力对抗能力恢复能力技术要求管理要求物理、网络、主机、应用、数据制度、机构、人员、建设、运维纵深防御、互补关联、强度一致、 平台统一、集中安管业务信息平安类要求 S系统效劳保证类要求 A通用平安保护类要求 G整体平安保护能力关键控制点平安类具体要求项

14、控制强度根本保护要求最低保护能力对抗能力恢复能力物理、网络、主机、应用、数据制度、机构、人员、建设、运维纵深防御、互补关联、强度一致、 平台统一、集中安管通用平安保护类要求 G关键控制点平安类等级保护的内容十个方面业务平安物理平安技术要求管理要求根本要求网络平安主机平安应用平安数据平安平安管理机构平安管理制度人员平安管理系统建设管理系统运维管理安全要求类安全要求类层面层面一级一级二级二级三级三级四级四级技术要求技术要求物理安全物理安全9 9191932323333网络安全网络安全9 9181833333232主机安全主机安全6 6191932323636应用安全应用安全7 7191931313

15、636数据安全及备份恢复数据安全及备份恢复2 24 48 811 11管理要求管理要求安全管理制度安全管理制度3 37 711 111414安全管理机构安全管理机构4 49 920202020人员安全管理人员安全管理7 711 1116161818系统建设管理系统建设管理2020282845454848系统运维管理系统运维管理1818414162627070合计合计/ /8585175175290290318318级差级差/ / /90901151152828控制项26根本要求根本要求GB/T 22239GB/T 22239物理位置的选择物理位置的选择根本防护能力高层、地下室高层、地下室物理访

16、问控制物理访问控制根本出入控制分区域管理分区域管理在机房中的活动电子门禁电子门禁防盗窃和防破坏防盗窃和防破坏存放位置、标记标识监控报警系统监控报警系统防雷击防雷击建筑防雷、机房接地设备防雷设备防雷防火防火灭火设备、自动报警自动消防系统自动消防系统区域隔离措施区域隔离措施防防静电静电关键设备主要设备主要设备防静电地板防静电地板电力供给电力供给稳定电压、短期供给主要设备主要设备冗余冗余/并行线路并行线路备用供电系统备用供电系统电磁防护电磁防护线缆隔离接地防干扰接地防干扰电磁屏蔽电磁屏蔽防水和防潮防水和防潮温湿度控制温湿度控制物理平安的整改要点结构平安结构平安关键设备冗余空间主要设备冗余空间主要设备

17、冗余空间访问控制访问控制访问控制设备用户、网段应用层协议过滤应用层协议过滤拨号访问限制会话终止会话终止平安审计平安审计日志记录审计报表审计报表边界完整性检查边界完整性检查内部的非法联出非授权设备私自外联非授权设备私自外联网络平安的整改要点子网/网段控制核心网络带宽整体网络带宽整体网络带宽重要网段部署重要网段部署路由控制路由控制带宽分配优先级带宽分配优先级端口控制端口控制最大流量数及最大连接数最大流量数及最大连接数防止地址欺骗防止地址欺骗审计记录的保护审计记录的保护定位及阻断定位及阻断入侵防范入侵防范检测常见攻击记录、报警记录、报警恶意代码防范恶意代码防范网络边界处防范网络边界处防范网络设备防护

18、网络设备防护根本的登录鉴别组合鉴别技术组合鉴别技术特权用户的权限别离特权用户的权限别离身份鉴别身份鉴别根本的身份鉴别访问控制访问控制平安策略管理用户的权限别离管理用户的权限别离特权用户的权限别离平安审计平安审计效劳器根本运行情况审计审计报表审计报表剩余信息保护剩余信息保护空间释放及信息去除主机平安的整改要点组合鉴别技术组合鉴别技术敏感标记的设置及操作审计记录的保护审计记录的保护入侵防范入侵防范最小安装原那么重要效劳器：检测、记录、报警重要效劳器：检测、记录、报警恶意代码防范恶意代码防范主机与网络的防范产品不同主机与网络的防范产品不同资源控制资源控制监视重要效劳器监视重要效劳器最小效劳水平的检测及报警最小效劳水平的检测及报警重要客户端的审计重要客户端的审计升级效劳器重要程序完整性重要程序完整性防恶意代码软件、代码库统一管理对用户会话数及终端登录的限制身份鉴别身份鉴别根本的身份鉴别访问控制访问控制平安策略最小授权原那么平安审计平安审计运行情况审计用户级审计报表审计报表剩余信息保护剩余信息保护空间释放及信息去除应用平安的整改要点组合鉴别技术组合鉴别技术敏感标记的设置及操作审计过程的保护审计过程的保护通信完整性通信完整性校验码技术密码技术密码技术软件容错软件容错自动