等保2.0科普-阿里云开发者社区

开发者社区> 安全> 正文

等保2.0科普

简介: 等保2.0科普 市场调研: 等保2.0预计带来的新增市场需求超过200亿元。产品端:新增安全产品市场空间193亿元。从逻辑上说,等保2.0偏重于事后审计、回溯、分析,新增的产品多与此功能相关,如APT,流量回溯,堡垒机,数据库审计,集中日志审计,态势感知平台等。

等保2.0科普

市场调研:

  • 等保2.0预计带来的新增市场需求超过200亿元。产品端:新增安全产品市场空间193亿元。从逻辑上说,等保2.0偏重于事后审计、回溯、分析,新增的产品多与此功能相关,如APT,流量回溯,堡垒机,数据库审计,集中日志审计,态势感知平台等。服务端:新增服务市场空间59亿元。按照新增20%的单位选择等保咨询服务计算,对应的新增市场空间为59亿元。此外,还有云安全市场,物联网市场的需求也将提升,因此整个等保2.0带来的总新增市场需求达到271亿元。
  • 等保2.0利好全产品线的信息安全头部公司。等保2.0的定级、备案、安全建设和整改、测评、检查全过程相对比较专业,对于政府部门或企业IT人员而言,自行处理存在一定的难度,通过等保有不确定性,为了降低风险,往往会选择产品线比较全的信息安全头部公司,这些公司能够满足等保2.0对于新产品和全流程咨询服务要求,如启明星辰、360企业安全、绿盟科技、天融信、安恒信息等公司。
  • 根据公安部发布的《信息安全等级保护管理办法》(公通字[2007]43 号),信息系统的安全保护等级由低到高分为五级,主要划分依据是危害的范围和严重程度。根据我们草根调研的结果,目前一级系统不需要备案,因为影响程度很小,五级系统基本没有,只是安全概念。二级系统大概50万个左右,三级系统大概5万个,四级系统大概1000个(如中央电视台播出系统)。

什么是等级保护

  信息安全等级保护(以下简称等保)是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护,对信息系统中使用的信息安全产品实行按等级管理,对信息系统中发生的信息安全事件分等级响应、处置。

过等保的重要性

  等保不达标违法!等保不达标违法!等保不达标违法!

如何过等保

Lined_List_Energy

什么是等保2.0

  等保 2.0 就是网络安全等级保护制度 2.0 国家标准,该标准已于 5 月 13 日正式发布,并将于 2019 年 12 月 1 日正式实施。目前58%的国家已制定国家网络安全战略,主要国家和地区都已制定专门的网络立法。
dengbao

等保2.0安全设计技术要求的设计思想:

  以PPDR(以策略为中心,构建防护-检测-响应防护机制)为核心思想,以可信认证为基础、访问控制为核心,构建可信-可控-可管的立体化纵深防御体系。

  • 可信-以可信计算技术为基础,构建一个可信的业务系统执行环境,即用户、平台、程序都是可信的,确保用户无法被冒充、病毒无法执行、入侵行为无法成功。可信的环境保证业务系统永远都按照设计预期的方式执行,不会出现非预期的流程,从而保障了业务系统安全可信。
  • 可控-以访问控制技术为核心,实现主体对客体的受控访问,保证所有的访问行为均在可控范围之内进行,在防范内部攻击的同时有效防止了从外部发起的攻击行为。对用户访问权限的控制可以确保系统中的用户不会出现越权操作,永远都按系统设计的方式进行资源访问,保证了系统的信息安全可控。
  • 可管-通过构建集中管控、最小权限管理与三权分立的管理平台,为管理员创建了一个工作平台,使其可以借助于本平台对系统进行更好的管理,从而弥补了我们现在重机制、轻管理的不足,保证信息系统安全可管。

等保 2.0 的重大变化

  以“一个中心,三重防护”为网络安全技术设计的总体思路,其中一个中心即安全管理中心,三重防护即安全计算环境、安全区域边界、安全通信网络。
  安全管理中心要求在系统管理、安全管理、审计管理三个方面实现集中管控,从被动防护转变到主动防护,从静态防护转变到动态防护,从单点防护转变到整体防护,从粗放防护转变到精准防护。
  三重防护要求企业通过安全设备和技术手段实现身份鉴别、访问控制、入侵防范、数据完整性、保密性、个人信息保护等安全防护措施,实现平台的全方位安全防护。

等保1.0 等保2.0
事前预防、事中响应、事后审计的纵深防御思路。 在“一个中心、三重防护”的理念基础商,注重全方位主动防御、安全可信、动态感知和全面审计。
60分以上基本符合,三级系统每年一次,四级系统每半年一次。 75分以上基本符合,三级、四级每年一次。

对加密管理提出了严格要求

  等保 2.0 明确要求,从建设初期设计和采购阶段就应该考虑加密需求,同时在网络通信传输、计算环境的身份鉴别、数据完整性、数据保密性明确了使用加密技术实现安全防护的要求,另外,云上还特别提出镜像和快照的加固和完整性校验保护要求,以及对密码应用方案的国密化提出了明确的采购标准要求。

确立了可信计算技术的重要地位

  这是等保 2.0 文件中特别强调的安全特性,不仅要求对配置文件及参数的可信执行进行验证,同时检测到完整性问题时也应进行报警和应对。云计算安全扩展要求,针对云计算的特点提出特殊保护要求。对云计算环境主要增加的内容包括:基础设施的位置、虚拟化安全保护、镜像和快照保护、云服务商选择和云计算环境管理等方面。

公有云开展等级保护的两个部分:

  一、云平台本身。在等保2.0里面明确提出:对于公有云定级流程为云平台先定级测评,在提供云服务。
  二、云租户信息系统。比如某政府单位门户网站系统,在嵌入公有云平台后,还需要对这个门户网站独立定级备案、进行等保测评。其中,涉及云平台部分的内容可以不重复测评,测评结论直接引用即可。

不同云计算服务模式需要采取不同职责划分方式:

  • IaaS基础设置服务模式:云服务商的职责范围包括虚拟机监视器和硬件,云租户的职责反问包括操作系统、中间件和应用数据。
  • PaaS平台即服务的服务模式:云服务商的职责范围包括硬件、虚拟机监视器、操作系统和中间件。云租户的职责范围为应用和数据。
  • SaaS软件服务模式:云服务商的职责范围包括硬件、虚拟机监视器、操作系统、中间件和应用,云租户的职责范围包括部分应用职责及用户使用职责。

阿里云配置审计服务如何帮助用户过等保

  配置审计服务即将推出针对等保2.0的独立预审场景,从资源层面出发,对企业用户在阿里云上的产品配置进行等保一键预检,同时对不合规的条款给出整改办法,助力企业过等保,同时会针对适用于资源维度的配置信息进行持续评估,为您的企业对外和对内的审计工作提供支持。传送门:https://www.aliyun.com/product/config

业内声音

华为5G引发的安全思考

  • 万物互联的时代,网络安全防护的边界在哪里?

  我们痛苦于边界的模糊,本质上痛苦于无法区分哪些是可信的,哪些是不可信的。在5G时代,安全的边界已不再固定,他只依附于业务本身。业务变了,边界就变了。

  • 极速的网络环境,如何快速有效的发现和处置安全风险?

  安全威胁不可避免,关键是如何应对和处置,韧性是关键!

工行面临的安全风险和挑战

  • 安全性要求高
  • 连续性要求高
  • 防护面广
  • 防护链条长
  • 网络边界模糊
  • 新产品迭代频繁

公安部第三研究所集中管控

  • 特定的管理区域
  • 管理数据的安全传输
  • 全面的集中监控
  • 日志的集中分析
  • 恶意代码、补丁升级等安全相关事项的集中管理
  • 各类安全事件进行识别、报警和分析
  • 所有记录的统一时钟源

安奇信零信任架构

  • 以身份为中心
  • 业务安全访问
  • 持续信任评估
  • 动态访问控制

深信服等保2.0带来云等保建设新需求

  • 从单一标准到n个标准,云平台合规到租户/业务合规。

备注

  • 等保2.0二级系统:145项。
  • 等保2.0三级系统:231项。
  • 等保2.0四级系统:241项。

参考文献:

  • 市场调研摘自【计墨社】分析文章

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
+ 订阅

云安全开发者的大本营

其他文章