等级保护解决方案

等级保护2.0解决方案如何抓住等保2.0机会点等保2.0基础知识解读各机关和行业执行（一）电信、广电行业的公用通信网、

广播电视传输网等基础信息网络、经

营性公众互联网信息服务单位、互联

网接入服务单位、数据中心等单位的重要信息系统（二）铁路、银行、海关、税务、银

行、电力、

证券、保险、外交、科技、发展改革、国防科技、公安、人事劳

动和社会保障、财政、审计、商务、水利、国土资源能源、交通、文化、教育、统计、工商行政管理、邮政行

业部门的生产、调度、管理、办公等

重要信息系统由公安监督检查公通字[2004]66号：关于印发《关于信息安全等级保护工

作的实施意见》的通知•公安机关负责信息安全等级保护工作的监督、检查、指导•国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导•国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导是国家政策要求中办发[2003]27号文：加强信息安全保障工作的意见主要内容：•实行网络安全等级保护政策•重视网络安全风险评估工作•建设和完善网络安全监控体系•保证网络安全资金•健全网络安全管理责任制网络安全等级保护:对信息和信息载体按照重要性等级分级别进行保护的一种工作。等级保护覆盖范围：

.

Huaweiconfidential

3全社会

+所有保护对象等保定义4保护等级公民、法人的

合法权益社会秩序和

公共利益国家安全第一级损害否否第二级严重损害损害否第三级特别严重损

害严重损害损害第四级/严重损害严重损害第五级//特别严重损

害第一级：

信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、

社会秩序和公共利益。第二级：信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。第三级：信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。第四级：信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。第五级：信息系统受到破坏后，会对国家安全造成特别严重损害。主要依据：根据系统被破坏后，对公民、社会、国家造成的损害程度定级。等级保护的划分与评定析、文档审计、配置核查、漏洞扫描等多种方式全面深入的识别安全现状与差距。整改加固（厂家）落实规划与设计方案，进行安全加固与建设，全面提升系统整体安全。规划设计（厂家）依托资深安全专家与丰富

行业经验，基于需求调研

、差距分析，设计整体安

全方案与建设规划。等保测评（测评机构）推荐测评机构，协助客户准备测评材料,帮助客户顺利通过等保测评。测评周期：四级/半年

三级以上/1年测评分数：

60分

70①定级备案分析帮助客户准确对信息系统进行定级、填写相关备案材料，完

成信息系统在公安的备案。自主定级--

>评审流程定级等保运维（客户&厂家）持续对信息系统进行周期性的检查，以确定系统依然满足等级保护的要求。差距分析（测评机构）采用问卷调查、管理访谈、专家分管理⑤等保测评标准技术等级保护工作流程定级备案（客户&公安）③规划

设计④整改

加固⑥

等保②差距enterprise.

huaw运维 Huawei

confidential.ei.

co5HUAWEI

ENTERPRISE

ICTSOLUTIONS

A

BETTERWAY等级保护法律依据.《中华人民共和国网络安全法》

2016年11月7日发布

2017年6月1日执行。.第二十一条

明确规定国家实行网络安全等级保护制度。第三十一条

规定国家对公共通信和

信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的

关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。.网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的

…处一万元以上

十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。…不履行本法第三

十三条、

第三十四条（二十一条补充规定）

…拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，

对直接负责的主管人员处一万元以上十万元以下罚款。网络安全法第一次将网络安全写入法律！enterprise.

huawei.com

.

Huawei

confidential

6网络安全等级

保护标准体系测评要求GB/T28448-

2019测评过程指南

GB/T28449-2018网络安全等

级保护条例（总要求）基本要求GB/T22239-2019等级划分准则（GB17859-1999）定级指南

GB/T

22240设计要求GB/T25070-

2019实施指南

GB/T

25058等保2.0标准体系工业控制系统扩展要求安全通

用要求云计算

安全扩

展要求物联网安全扩展要求移动互联安全扩展要求7

1.0标准

《GB/T

22239-2008信息安全技术

信息系统安全等级保护基本要求》依据国家信息安全等级保护管理规定制定本标准

2.0标准《GB/T

22239-2019信息安全技术

网络安全等级保护基本要求》为了配合《中华人民共和国网络安全法》

的实施解读：1、名称与《网络安全法》中法律条文保持一致；2

、等级保护上升到了网络空间安全的层面；等保2.0和1.0差异一：标准名称差异HUAWEI

ENTERPRISE

ICTSOLUTIONS

A

BETTERWAY.Huawei

confidential■

82.0标准等保2.0和1.0差异二：定级划分差异1.0标准HUAWEI

ENTERPRISE

ICTSOLUTIONS

A

BETTERWAY.Huawei

confidential■

9定级对象的运营、使用单位应按照相关管理规定，将初步定级结果提交公安机关进行备案审查，审查不通过，其运营使用单位应组织重新定级；

审查通过后最终确定定级对象的安全保护等级。1.0属于“

自主定级”

，无需流程2.0新增“定级流程”包括确定受侵害的客体、侵害对客体的侵害程度以及综合判定侵害程度。第二级以上的，定级对象的运营、使用单位应组织信息安全专家和业务专家，对初步定级结果的合理性进行评审，出具专家评审意见。定级对象的运营、使用单位应将初步定级结果上报行业主管部门或上级主管部门进行审核。包括基础信息网络、工业控制系统、云计算平台、物联网、其他信息系统、大数据等。等保2.0和1.0差异三：定级流程差异enterprise.

huawei.com

.

Huawei

confidential

10HUAWEI

ENTERPRISE

ICTSOLUTIONS

A

BETTERWAY解读：保护对象范围扩大

，全面覆盖网络空间。2.0定级对象分为基础信息网络、信息系统和其他信息系统

，其中信息系统再细分为工业控制系统、物联网、大数据、移动互联以及云计算平台。物联网（IOT

）大数据应用/平台/资源采用移动互联技术

的系统等保2.0和1.0差异四：等保对象差异云计算平台/系统基础信息网络工业控制系统信息和信

息系统等保2.0等保1.0HUAWEI

ENTERPRISE

ICTSOLUTIONS

A

BETTERWAY.l

11HUAWEI

ENTERPRISE

ICTSOLUTIONS

A

BETTERWAY等保2.0和1.0差异五：测评结论差异等保1.0

等保2.090分及以上且，不存在高、中风险80分及以上且，不存在高风险60-100分之间且，不存在高风险100分没有任何安全问题70分及以上且，不存在高风险60分以下或，存在高风险70分以下或，存在高风险基本符合.l

12不符合符合优中良差•

••

••

••

••

••

••

•等保技术要求子项主要内容对应产品安全通信网络网络架构分区分域，隔离技术NGFW通信传输采用校验技术保证通信过程中数据的完整性NGFW（IPSec&SSLVPN）可信验证基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可

信验证

，并将验证结果形成审计记录送至安全管理中心网络设备自身可信启动机制安全区域边界边界防护跨越边界的访问和数据流通过边界设备提供的受控接口进行通信NGFW访问控制基于五元组的会话状态进行访问控制、策略优化NGFW入侵防范在关键网络节点处监视网络攻击行为NGFW（IPS）恶意代码防范恶意代码检测和清除，

防护机制支持升级和更新NGFW（AV）安全审计用户行为审计，安全事件审计日志审计系统可信验证边界设备基于可信根对系统进行可信引导边界设备自身可信启动机制安全计算环境身份鉴别身份唯一性、鉴别信息复杂度定期更换、登录失败处理功能、远程管理过程中防鉴别信息被

窃听主机安全加固、堡垒机+VPN访问控制用户权限管理、管理用户权限最小化主机安全加固安全审计用户行为审计日志审计系统入侵防范检测入侵行为、非使用端口关闭、管理终端限制、发现已知漏洞NGFW（IPS）、漏洞扫描恶意代码防范安装防恶意代码软件，

防护机制支持升级和更新主机杀毒软件可信验证计算设备基于可信根对系统进行可信引导计算设备自身可信启动机制数据完整性数据防篡改NGFW（VPN）、WAF数据备份恢复数据本地备份和恢复、批量数据异地实时备份本地备份设备、异地备份方案剩余信息保护鉴别信息存储空间清除应用自身保障个人信息保护个人信息最小采集原则、授权使用应用自身保障安全管理中心系统管理应对系统管理员进行身份鉴别、应通过系统管理员对系统的资源和运行进行配置、控制和管

理网络管理系统、堡垒机审计管理应对安全审计员进行身份鉴别、应通过安全审计员对审计记录应进行分析，并根据分析结果

进行处理

（日志留存时间不少于6个月）日志审计系统等保2.0技术要点—等保二级

13等保技术要求子项主要内容对应产品安全通信网络网络架构

G选型合理，分区隔离，

冗余架构，高峰可用NGFW、防DDoS通信传输

G采用校验技术/密码技术保证通信过程中数据的完整性和保密性NGFW（IPSec

&

SSL

VPN）可信验证

S基于可信根对通信设备的系统引导，应用关键点动态验证，可报警、可审计网络设备可信启动机制安全区域边界边界防护

G跨边界控制，

内联设备，外联行为监测，无线网限制NGFW、网络准入控制访问控制

G五元组过滤、内容过滤、策略优化、基于应用协议和应用内容的访问控制NGFW、安全控制器入侵防范

G防外部攻击、防内部攻击、防新型未知网络攻击IPS/IDS、探针、沙箱恶意代码防范

G网络防病毒、

垃圾邮件过滤NGFW（AV）、

NGFW（防垃圾邮件）安全审计

G用户行为、安全事件审计，远程用户行为，访问互联网用户行为单独审计和数据分析堡垒机，上网行为管理、综

合日志审计系统可信验证

S基于可信根对区域设备的系统引导，应用关键点可动态验证，可报警、可审计设备自身可信启动机制等保2.0技术要点—等保三级

14等保技术要求子项主要内容对应产品安全计算环境身份鉴别

S身份唯一性、鉴别信息复杂度，

口令、密码技术、生物技术等双因子及以上认证且其中一种必须为密码技术堡垒机、认证服务器访问控制

S用户权限管理、管理用户权限最小化访问控制平台安全审计

G用户行为审计，

对审计进程保护上网行为管理、日志审计系统入侵防范

G检测入侵行为、非使用端口关闭、管理终端限制、发现已知漏洞IPS、漏洞扫描恶意代码防范G安装防恶意代码软件或免疫可信验证机制，防护机制支持升级和更新NGFW（AV）、主机防病毒

软件可信验证

S基于可信根对计算设备的系统引导，应用关键点动态验证，可报警、可审计计算设备可信启动机制保障数据完整性

S数据防篡改NGFW、VPN、WAF、网页

防篡改数据备份恢复A数据本地备份和恢复、提供异地实时备份功能、数据处理系统热冗余多活数据中心剩余信息保护

S鉴别信息、

敏感信息缓存清除应用自身机制个人信息保护S个人信息最小采集原则、访问控制应用自身机制等保2.0技术要点—等保三级15等保技术要求子项主要内容对应产品安全管理中心系统管理

G应对系统管理员进行身份鉴别、应通过系统管理员对系统的资源和运行进行配置、控制和管理网管系统、堡垒机审计管理

G应对安全审计员进行身份鉴别、应通过安全审计员对审计记录应进行分析，并根据分析结果进行处理堡垒机、综合日志审计系统、

数据库审计集中管控G特定管理分区、统一网管和检测、

日志采集和集中分析、安全事件识别告警和分析、策略补丁升级集中管理网管系统、

安全控制器、态势感知系统、补丁服务器安全管理

G应对安全管理员进行身份鉴别、应通过安全审计员对审计记录应进行分析，并根据分析结果进行处理堡垒机、日志审计系统等保2.0技术要点—等保三级

16边界防护•应限制无线

网络的使用，保证无线网

络通过受控

边界设备接入内网•对非授权终

端连接内网、

用户非授权

外联行为进

行检测和监控集中管控•等保2.0新增为技术要求，

等保1.0对应管理要求，强调集中管

控，集中监

测，集中分

析数据安全•数据备份恢

复部分，

应提供异地实

时备份功能，利用通信网

络将重要数

据实时备份

至备份场地个人信息保护•等保2.0中，

特别增加了个人信息保护的要求。

包括采集最小原则和使用需授权原则。访问控制•明确应在关键网络节点处对进出网络的数据流实现基于应用协议和应用内容的访问控制通信传输•加密传输在

网络与通信

和应用和数

据都有强调，

等保1.0在网络安全处章

节没有强调入侵防范•实现对网络攻击特别是未知的新型网络攻击的检测和分析；•应在关键网络节点处检测和限制从内部发起的网络攻击行为；恶意代码防范•应在关键网

络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新等保2.0通用要求重要变更—安全能力

17可基于可信根对边界设备系

统引导程序、系统程序、

重

要配置参数和边界防护应用

程序等进行可信验证，并在

检测到其可信性受到破坏后

进行报警,并将验证结果形成审计记录送至安全管理中可基于可信根对边界设备系

统引导程序、系统程序、

重要配置参数和边界防护应用

程序等进行可信验证，

并在

应用程序的所有环节进行动

态可信验证，在检测到其可信性受到破坏后进行报警,可基于可信根对边界设备系统引导程序、系统程序、

重要配置参数和边界防护应用程序等进行可信验证，

并在

应用程序的关键执行环节进

行动态可信验证，在检测到可基于可信根对边界设备系统引导程序、系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警等保2.0通用要求重要变更—可信验证并将验证结果形成审计记录送至安全管理中心，

并进行

动态关联感知。警,并将验证结果形成审计

记录送至安全管理中心。HUAWEI

ENTERPRISE

ICTSOLUTIONS

A

BETTERWAY其可信性受到破坏后进行报

一级

四级

三级

二级.

Huawei

confidential■

18心。执行更严标准更高范围更宽可信验证未知威胁加强审计集中管理扩大到五

个场景，按照通用

安全+扩展

要求对网络、

边界、计

算环境均

提出可信

验证要求各纵深维

度均要求

提供审计，

并要求审

计管理安全管理

中心单独

成章，并

提出集中

管控要求立法支撑

三级以上

周期一年定级流程

需审批安全强度

一致要求对网

络攻击特

别是未知

的新型网

络攻击的

检测和分析等保2.0的差异化小结19华为等保解决方案 l

201安全管理中心2安全通信网络3安全区域边界

区域边界安全防护•边界已知威胁全面防护•可信设备保护•网络架构冗余•传输信息加密

通信网络安全防护•集中管控•安全态势感知

安全管理中心•统一管理•集中审计物理环境enterprise.

huawei.

co21 Huawei

confidential.建设“一个中心”管理下的“三重防护”体系华为等保2.0解决方案，依托HiSec方案为基础，满足合规，超越合规

计算环境安全防护

•最小粒度的访问策略•主机防病毒和入侵核心信息资产•数据完整性、保密性安全•未知威胁深度防护4安全计算环境终端交换设备用户计算环境安全接入/隔离设备其它定级系统通信网络安全管理中心对定级系统的安全计算环境边界，

以及安全计算环

境与安全通信网

络之间实现连接

并实施安全策略

的相关部件。对定级系统的安

全策略及安全计

算环境、安全区

域边界和安全通

信网络上的安全

机制实施统一管

理的平台。华为等保解决方案设计模型对定级系统安全计算环境之间进行信息传输及实施安全策略的相关部件。对定级系统的信息

进行存储、处理及

实施安全策略的相

关部件。安全管理中心安全通信网络安全计算环境安全区域边界网站/应用服务器区域边界22防DDoS防火墙堡垒机WAFNAC准

入控制IPS/IDS沙箱上网行为管理区域边界态势感知运维管理平台安全管理中心综合日志审计安全管理平台数据库审计补丁/病毒库

升级服务器主机

杀毒探针认证服

务器计算环境VPN通信网络等保2.0通用要求解决方案

.

Huaweiconfidential

23Poweredby

Huawei

SDSec网页防

篡改双链路

冗余漏洞扫描分支机构运维管理无线网络internet23IAM•

选型合理：保证路由器、交换机、防火墙等设备业务处理

能力和带宽满足业务高峰期需要；•

分区分域：划分不同的网络区域，并按照方便管理和控制

的原则为各网络区域分配地址；重要网络区域与

其他网络区域之间应采取可靠的技术隔离手段；•

加密通信：采用校验技术或密码技术保证通信过程中数据

的完整性及保密性•

冗余架构：提供通信线路、关键网络设备的硬件冗余。•

可信验证：基于可信根对通信设备的系统引导，应用关键

点动态验证，可报警、可审计。双链路冗余防DDoS防火墙VPN通信网络安全管理中心计算环境边界防御合规要点等保2.0通用要求方案-通信网络 24Poweredby

Huawei

SDSec分支机构无线网络运维管理internet24•

访问控制：跨边界、非授权设备接入、非授权用户外联、无线设备接入、联接行为检查、应用协议和内容检查，优化访问控制规则。•

入侵防范：内/外部发起的攻击，对网络行为进行分析，未

知的新型网络攻击；•恶意代码和垃圾邮件在关键网络节点处对

恶意代码/垃圾邮件,进行检测和清除，并维护其升级和更新；•

安全审计覆盖到用户，审计用户行为，重要安全事件，记录需备份，内/外部用户行为审计和数据分析；•

可信验证：基于可信根对边界设备的系统引导，应用关键点

动态验证，可报警、可审计防DDoSNGFWVPN堡垒机WAFNACIPS/IDS沙箱上网行为管理区域边界安全管理中心计算环境通信网络合规要点等保2.0通用要求方案-区域边界 25Poweredby

Huawei

SDSec分支机构运维管理无线网络internet25•

双因素认证：采用口令、密码技术、生物技术等两种或两种以

上组合的鉴别技术对用户进行身份鉴别，且其中一

种鉴别技术至少应使用密码技术来实现;•

管理通道加密传输：远程管理时，应采取必要措施，防止鉴别信息在

网络传输过程中被窃听；•

弱点和漏洞处理删除默认账号/过期账号/默认口令，要求密码复

杂度、密码定期更换；关闭无需服务、高危端口，

修复已知系统漏洞；•

主机安全识别并阻断入侵和病毒；•

数据安全采用校验技术或密码技术保证重要数据在传输（存储）

过程中的完整性（保密性）；数据备份方案、剩余数据处理、个人信息保护。•

可信验证：基于可信根对计算设备的系统引导，应用关键点主机

杀毒探针认证服务器计算环境安全管理中心通信网络区域边界合规要点等保2.0通用要求方案--计算环境动态验证，可报警、可审计 26Poweredby

Huawei

SDSec网页防

篡改数据库审计漏洞扫描分支机构运维管理无线网络internet26VPNIAM•

分权分角色：包括系统管理员、审计管理员、安全管理员;•

集中监测：网络链路、安全设备、网络设备和服务器等的运

行状况；•

集中管理：对安全策略、恶意代码、补丁升级等安全相关事

项进行集中管理；对系统的资源和运行进行配置、

控制和管理；•

集中审计对分散在各个设备上的审计数据进行收集汇总和

集中分析；•

态势感知对网络中发生的各类安全事件进行识别、报警和

分析。安全管理中心态势感知安全管理平台运维管理中心综合日志审计数据库审计堡垒机补丁/病毒库

升级服务器区域边界计算环境通信网络合规要点等保2.0通用方案—安全管理中心 27Poweredby

Huawei

SDSec无线网络分支机构运维管理internet27•

合规要求：可基于可信根对边界设备系统引导程序、系统程

序、重要配置参数和边界防护应用程序等进行可信验

证，并在应用程序的关键执行环节进行动态可信验证，

在检测到其可信性受到破坏后进行报警,并将验证结

果形成审计记录送至安全管理中心。可信根：华为设备采用自研海思CPU芯片，完全自主可控，硬件可信根固化在CPU内部，完成最基础的启动验证，

验证引导程序完整性；可信启动：启动过程由硬件可信根开始并逐级向后校验，确保

启动过程中的信任链。硬件信任根在上电第一时间执行，BIOS阶段使用数字签名验证下一阶段的完整性，以此类推，每个阶段启动完成后都要对下一个启动阶段进行完整性校验，如果验证不通过，启动过程中止。应用关键环节可信验证：对应用软件版本升级前，补丁和插件加载前，将使

用数字签名对软件包进行完整性校验；BOOTROOM 华为可信根密钥

自研CPU芯片APP应用程序BootLoader引导程序OS系统程序安全管理中心等保2.0方案新增关键点—可信验证远程证明动态

可信服务器方案特点告警日志与远程证明：规划中。

.

Huaweiconfidential

28•

合规要求：应采取技术措施对网络行为进行分析，实现对

网络攻击特别是未知的新型网络攻击的检测和分析；•

主动诱捕低成本布防探针，可手动或自动设置诱捕陷阱，

诱导攻击者攻击诱捕器，诱捕器通过交互确认攻击并产生告警、记录交互过程。•

大数据分析华为CIS网络安全智能系统，基于机器学习样本

分析，采用大数据分析方法检测威胁，实现的是对APT等高级威胁检测，其核心思想是以持续检测应对持续攻击；•

联动阻断对流量和威胁日志的进行采集，通过大数据分

析，网络与安全联动闭环，实现APT威胁的自动阻断隔离。29 Huawei

confidential.等保2.0方案新增关键点—未知威胁方案特点网络安全智能分

析系统CIS文件日志流量enterprise.

huaei.

coPoweredby

Huawei

SDSec流量探针诱捕沙箱日志探针29华为等保二、三级方案包

.

Huaweiconfidential

30Poweredby

Huawei

SDSec30NGFW【必配】

：融合传统防火墙安全策略、入侵防御、防病毒功能、VPN功能。解决安全区域边界、通信网络加密传输要求【主机杀毒软件】【必配】

：解决安全计算环境要求【日志审计系统】【必配】

：解决安全管理中心要求【数据库审计】【必配】：解决安全管理中心审计要求方案说明华为等保解决方案——二级基础版

计算环境

管理中心

NGFW日志审计

系统InternetNGFW（IPS/VPN/AV）通信网络

区域边界主机杀毒软件

数据库

审计 l

31【NGFW】【必配】

：融合传统防火墙安全策略、防病毒功能、VPN功能。解决安全区域边界要求【

IPS

】【必配】

：解决安全区域边界-

>入侵防御要求【主机杀毒软件】【必配】

：解决安全计算环境要求【日志审计系统】【必配】

：解决安全管理中心审计要求【数据库审计】【必配】

：解决安全管理中心审计要求【漏洞扫描】【必配】；解决计算环境

入侵防范要求【堡垒机】【选配】；【WAF】【选配】；【抗DDoS

】【选配】：计算环境IPSWAF通信网络

&区域边界防DDoSNGFW（IPS/VPN/AV）数据库审计NGFW日志审计系统方案说明华为等保解决方案——二级增强版Internet主机杀毒软件 l

32管理中心漏洞扫描堡垒机【接入边界NGFW】【必配】：融合防火墙安全策

略、访问控制功能。解决安全区域边界要求

，并开启AV模块功能；

配置网络接入控制功能（802.1X）

；

配置SSLVPN功能；【分区边界NGFW】【必配】

：用于解决安全分区边界的访问控制问题【主机杀毒软件】【必配】

：解决安全计算环境要求【日志审计系统】【必配】

：解决安全管理中心要求

【堡垒机】【必配】

：解决集中管控、安全审计要求

【数据库审计】【必选】

：解决数据库操作行为和内容等进行细粒度的审计和管理

，需要根据系统内是否包含数据库业务系统选择【漏洞扫描】【必配】;【上网行为管理】【必选】；【WAF】【选配】；计算环境WAFVPN/IPS/AV/NAC管理中心

堡垒机数据库审计日志审计系统

漏洞扫描整体方案说明华为等保解决方案——三级基础版Internet杀毒软件

杀毒软件NGFW(

)通信网络

&区域边界

.

Huaweiconfidential

33上网行

为管理NGFWNGFW

整体方案说明

【NGFW】（必选）

；开启VPN

，AV特性【IPS】（必选）

；解决区域边界入侵防御

【Anti-DDoS】【必选】;【APT沙箱】【必选】：新型网络攻击行为【上网行为管理】【必选】；【日志审计系统】（必选）；【数据库审计系统】（必选）；【漏洞扫描】（必选）；【主机杀毒软件】（必选）；【态势感知】【必选】;【WAF应用防火墙】【必选】；【运维堡垒机】【必选】；【网络准入控制系统】【必选】；【认证服务器】【必选】；【网页防篡改】【可选】；【主机入侵防御HIPS】【可选】；【DLP数据防泄漏】【可选】；【IAM身份鉴别平台】【可选】；【态势感知探针】【可选】

：可复用NGFW的能力管理中心运维审计堡垒机数据库审计日志审计系统漏洞扫描认证服务器区域边界（VPN/AV）APT沙箱IPS防毒墙一防毒墙探针NGFW网页防WAFDLPHIPS/HIDS通信网络 Anti-DDOS华为等保解决方案——三级增强版Internet

.

Huaweiconfidential

34篡改上网行为管理计算环境态势感知杀毒软件准入控制NGFWNGFW探针IAMIPS核心交换机互联网业务发布区WAFNGFWWAF网页防篡改WEB应用服务器三级业务应用服务器统一认证管理系统二级业务应用服务器外网办公区准入控制普通终端办公用户终端杀毒软件NGFWASG无线

环境互联网接入区Anti-DDOSNGFW（VPN/AV）APT沙箱安全管理区网络管理平台安全控制平台堡垒机漏洞扫描日志审计系统态势感知内部核心业务区WEB应用服务器E-mail服务器NGFW数据库审计35政府行业业务全网等保方案——三级高级增强版外前置机网闸内网终端办公用户终端杀毒软件远程办公分支机构、办事处数据库服务器数据库审计内网办公区公众用户内前置机NGFWVPNVPNISP1ISP2SSLIPS网络准入控制安全计算环境终端杀毒软件NGFW（VPN/AV）安全区域边界网闸（仅政务内外网隔离）安全管理中心安全控制平台安全通信网络一个三级等保可以卖很多安全产品，这是做大安全项目的机会

36政府行业三级等保方案产品列表大数据安全态势感知运维审计堡垒机NGFW（VPN）上网行为管理网络管理平台日志审计系统数据库审计认证服务器网页防篡改HIPS/HIDS漏洞扫描APT沙箱抗DDoSWAFIPSIPS全面参与等保2.0（云等保）标准制定.

GB/T22239.2019网络安全等级保护基本要求.

GB/T

25070.2019网络安全等级保护安全设计技术要求.

GW0013-2017政务云安全要求.

GW0202-2014安全接入平台技术规范.

GW0203-2014安全监测体系技术规范与实施指南.

GW0204-2014安全管理系统技术要求与接口规范…………国家网络安全主管管理部门:.

公安部网络安全保卫局.

网信办信息化推进局.

网信办安全协调局.

国家密码管理局.

电子政务外网管理中心华为是极少数全程参与等保2.0标准编写，助力标准规范化与标准管理部门良性互动 l

37上海市电子政务云北京市电子政务云江西省电子政务云天津市电子政务云山东省电子政务云甘肃省电子政务云教育部数据中心国家体育馆无线场馆国防科大云数据中心

中山大学国家超算中心

北京同仁医院复旦大学附属中医院上海市政务云项目云南省教育厅北京市地铁浙江海事局民航局清算中心广州铁路局网管区广州市电子政务云

深圳市电子政务云

西安市电子政务云

哈尔滨电子政务云

南宁市电子政务云华为等保方案建设实践北京市政务云项目政务云 l

38其他………等保2.0市场拓展策略 l

39中国进入等保2.0时代，国家史无前例的重视网络安全

2018年6月GAB组织护网行动，百

家以上大型企事业单位

参与2016年“4.19讲话”没有网络安全，就没有国家安全2019年5月13日《网络安全等级保护2.0》

正式发布2017年6月1日网络安全法正式实施4.19讲话 l

40

等级保护对象扩展了随着云计算、移动互联、大数据、物联网、人工智能等新技术不断涌现，计算机信息系统的概念已经不能涵盖全部，特别是互联网快速发展带来大数据价值的凸显，等保保护对象的外延将不断拓展。

等级保护要求提高了在定级、备案、建设整改、等级测评和监督检查等规定动作基础上，

2.0时代风险评估、安全监测、通报预警、案事件调查、数据防

护、灾难备份、应急处置、自主可控、供应链安全、效果评价、综治

考核等这些与网络安全密切相关的措施都将全部纳入等级保护制度并

加以实施。

等级保护测评更严了2.0时代，主管部门将继续制定出台一系列政策法规和技术标准，

确保测试的严格性。测评机构不仅要审查安全产品是否部署，还要检查策略是否开启。>所有客户都要花更多的钱部署安全产品>过去很多应付的客户逐步提高重视>觉悟高的客户不满足现有等保2.0要求，

希望构筑更安全的IT基础设施防护体系抓住等保的热潮，

学会如何和客户交流等保，

掌握

怎么讲华为自

己的方案和故

事，拉开我们

和友商的差距，

在新增的市场实现份额领先等保2.0带动未来3年中国市场安全空间每年增长高达30%.l

41政务外网、海关、税务、国土等多个领域均发布等保建设指导意见<金融行业信息系统信息安全等级保护实施指引>明确等保建设原则《教育部、公安部关于全面推进教育行业信息安全等级保护工作的通

知》211、985，互联网+教育重要系统必须过等保<卫生行业信息安全等级保护工作的指导意见>三级医院核心系统必须等保三级，非核心系统二级电力监控系统安全等级保护实施指南《铁路信息系统技术审查管理规定》《民用航空信息系统安全等级保护管理规范》等范围扩大看行业：涉及国家基础设施所有行业，并扩展云计算、移动互联、工控、物联网领域，形成大量新建或者安全加固市场云计算移动互联

工控系统物联网等保2.0通用系统等保2.0涉及行业等保1.0

.

Huaweiconfidential

42通用信息系统金融教育政府医疗电力交通抓住等保2.0的这波浪潮，需要和测评机构合作1、测评机构能提供什么？>提供测评服务，完善等保解决方案>提供等保项目机会点>

安全圈子活动站台、等保类会议活动牵头组织>

2、安全渠道聚焦什么？>安全虚拟团队中技术、方案、客户交流的主体，华为负责提供资源>聚焦安全项目，主力运作安全中小型项目，华为负责能力培训、机会点等支撑>扩大华为安全品牌在最终客户侧影响3、华为能提供什么？>

每个区域发展几家测评机构、安全集成商进行深度合作，华为负责拉通渠道参与进来>将测评机构的测评服务纳入到华为解决方案中，方便渠道给客户提供整体的等保解决方案>

华为牵头，共同组织测评机构、安全集成商、渠道、客户的安全圈子活动，提升华为安全品牌★

1、等保机构比厂商先看到机会点

.

Huaweiconfidential

432、等保测评机构可以向客户推荐华为项目运作难度极大厂家运作为主项目运作