等保2.0合规建设实操培训

20XX/XX/XX等保2.0合规建设实操培训汇报人:XXXCONTENTS目录01

等保2.0基础概述02

等保2.0核心合规要求03

等保2.0合规建设流程04

等保2.0落地实操要点05

明确企业合规边界06

培训总结与答疑等保2.0基础概述01网络环境变化移动互联、云计算等新技术新应用普及，原有等保1.0标准已无法适配新的安全防护需求。安全威胁升级近年来网络攻击频次大幅提升，数据泄露事件频发，亟需升级防护标准筑牢网络安全防线。政策合规要求《网络安全法》正式实施后，明确要求落实网络安全等级保护制度，配套标准需同步更新。等保2.0出台背景企业合规的意义

01降低安全风险落实等保2.0合规要求，可帮助企业提前排查网络安全隐患，减少数据泄露、系统被入侵的概率。

02满足监管要求等保2.0是我国网络安全领域的基本制度，企业合规能符合监管规定，避免违规处罚。

03提升用户信任完成等保2.0合规建设，能向客户证明企业的信息安全能力，增强客户对企业数据保护的信任。

04增强应急能力合规建设要求企业完善应急处置机制，遭遇网络安全事件时，能更快响应恢复减少损失。等保2.0核心合规要求02安全通用要求要点安全物理环境要求对机房物理访问、环境防护、设备防护等做规范，阿里数据中心配备多层门禁与温感监控符合标准。安全区域划分要求按业务风险划分网络区域，腾讯通过防火墙隔离办公区与核心业务区满足要求。身份鉴别管理要求对登录主体实现多因素身份鉴别，工商银行企业网银采用密码加U盾验证符合该要求。云计算扩展要求云服务商身份合规要求要求云服务商具备合规资质，需通过权威机构的安全评估，比如阿里云通过了国内等保2.0三级认证。租户数据隔离保护要求需实现不同租户间数据安全隔离，腾讯云通过虚拟化隔离技术，避免租户数据越权访问泄露。云服务镜像安全要求要求对云平台公共镜像进行安全检测，华为云会对公共镜像提前查杀恶意程序保障安全。大数据扩展要求大数据安全监测大数据平台需建立多维度监测机制，实时识别数据异常访问、窃取等违规操作行为。数据全生命周期防护规范大数据从采集、存储到销毁各环节操作，符合用户个人信息保护相关合规要求。大数据脱敏管理对脱敏规则制定、脱敏效果验证全流程管控，保障数据开放共享中的内容安全。不同级别差异要求

安全通信网络差异要求一级不做强制网络隔离要求，三级要求划分安全域并实现域间隔离，五级需定制化隔离防护。

安全管理中心差异要求一级仅需基础日志记录，三级需建设集中安全管理平台，五级要求实时动态监测响应。

物理环境安全差异要求一级仅需基础门禁管控，三级需设置防盗报警与多人门禁审批，五级需24小时专人值守监控。等保2.0合规建设流程03自主定级由系统运营使用单位依据等保2.0定级指南，结合业务影响自行确定网络安全保护等级。专家评审针对定级为三级及以上的系统，组织行业专家对初步定级结果开展合规性论证审核。主管部门核准将定级与评审材料提交本行业主管部门，完成定级结果的核准确认工作。公安机关备案运营单位携带定级材料等备案资料，到属地网安部门完成备案流程，获取备案证明。系统定级与备案差距评估与方案设计

现有安全措施差距梳理对照等保2.0对应级别要求，逐项盘点企业当前网络安全防护、管理的短板。

合规整改方案框架搭建根据差距梳理结果，结合企业业务实际，明确整改的整体方向和核心模块。

具体整改方案细化落地针对每个差距项制定对应整改措施，明确责任主体与工期，形成可执行方案。测评整改与验收

测评实施第三方测评机构依据等保2.0标准，对目标信息系统逐项开展安全测评，出具测评报告。

问题整改建设单位根据测评报告指出的安全问题，针对性调整安全配置，修补系统漏洞。

验收备案完成整改后提交验收申请，通过后将测评报告、验收材料提交网信部门完成备案。等保2.0落地实操要点04资产梳理与分类

资产范围全量摸排对企业网络、硬件、数据、业务系统全量摸排，避免遗漏边缘终端、影子系统。

资产分级标注参照等保2.0要求，按资产重要性分为五级，明确核心资产与一般资产边界。

资产台账动态更新建立可实时编辑的资产台账，每月更新变更信息，保障资产信息和实际情况一致。技术防护体系搭建网络区域划分与访问控制按业务安全需求划分不同安全域，通过防火墙配置访问规则，阻断非授权跨区域访问。数据加密与完整性保护对存储和传输中的敏感用户数据采用国密算法加密，定期校验数据完整性，防止数据篡改泄露。安全审计系统部署在网络、主机、应用各层面部署审计策略，留存日志不少于六个月，支持安全事件溯源分析。管理制度体系建设

安全责任分工制度明确等保2.0建设中各岗位安全职责，比如企业划分运维、管理、技术岗的不同防护责任。

定期安全审查制度按等保2.0要求设定审查周期，国内不少互联网企业每季度开展一次合规性安全审查。

安全事件应急制度规范安全事件处置流程，某头部银行依托该制度完成了多次用户信息泄露事件的处置。日常运维与应急响应常态化监控与日志管理等保2.0要求对核心系统持续监控，留存日志满六个月，像国内大型银行都按要求搭建了日志审计平台。数据备份与恢复实操按照等保2.0要求需定期开展全量备份与恢复演练，比如阿里云为用户提供了分级备份的合规方案。安全事件应急处置发生安全事件后需按等保要求先止损再溯源上报，某互联网企业遭攻击后按流程处置，顺利通过合规检查。定期自查与复测自查范围与内容梳理

依据等保2.0要求梳理资产、权限及漏洞，政企单位常按系统分级明确不同自查侧重点。问题整改闭环管理

对自查发现的不合规问题建立整改台账，互联网企业会按优先级推进，逐项销号保障合规。第三方复测流程规范

由具备资质的测评机构开展合规复测，金融机构会按要求每两年完成一次官方复测备案。明确企业合规边界05企业决策管理层负责审批等保2.0合规建设整体方案，统筹资源投入，对合规建设最终结果负责。安全管理执行层制定等保合规具体落地流程，推进日常防护整改，定期开展合规自查与记录上报。一线业务运维层落实岗位安全操作规范，及时上报业务系统的安全隐患，配合完成合规整改工作。外部第三方服务机构为企业提供等保测评、安全咨询服务，出具合规测评报告，协助企业完成整改优化。不同角色责任划分合规红线界定

数据泄露责任红线违反等保2.0数据保护要求造成数据泄露，企业会面临百万级罚款，相关责任人需承担法律责任。

核心系统定级红线等保2.0要求企业核心信息系统必须准确定级，未按要求定级会被监管部门责令整改。

测评整改时效红线等保2.0规定三级以上系统每年需完成测评整改，逾期未完成会被纳入合规异常名录。培训总结与答疑06常见问题答疑

等保2.0对中小企业的成本要求多数中小