信息安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。本文以问答的形式解读等保2.0，以便深入了解国家网络安全等级保护的基本要求。
2007年，《信息安全等级保护管理办法》（公通字[2007]43号）文件的正式发布，标志着等级保护1.0的正式启动。等级保护1.0规定了等级保护需要完成的“规定动作”，即定级备案、建设整改、等级测评和监督检查，为了指导用户完成等级保护的“规定动作”，在2008年至2012年期间陆续发布了等级保护的一些主要标准，构成等级保护1.0的标准体系。
等级保护1.0时期的主要标准如下：
信息安全等级保护管理办法（43号文件）（上位文件）
计算机信息系统安全保护等级划分准则 GB17859-1999（上位标准）
信息系统安全等级保护实施指南 GB/T25058-2008
信息系统安全保护等级定级指南 GB/T22240-2008
信息系统安全等级保护基本要求 GB/T22239-2008
信息系统等级保护安全设计要求 GB/T25070-2010
信息系统安全等级保护测评要求 GB/T28448-2012
信息系统安全等级保护测评过程指南 GB/T28449-2012
等级保护2.0标准体系
2017年，《中华人民共和国网络安全法》的正式实施，标志着等级保护2.0的正式启动。网络安全法明确“国家实行网络安全等级保护制度。”（第21条）、“国家对一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。”（第31条）。上述要求为网络安全等级保护赋予了新的含义，重新调整和修订等级保护1.0标准体系，配合网络安全法的实施和落地，指导用户按照网络安全等级保护制度的新要求，履行网络安全保护义务的意义重大。
随着信息技术的发展，等级保护对象已经从狭义的信息系统，扩展到网络基础设施、云计算平台/系统、大数据平台/系统、物联网、工业控制系统、采用移动互联技术的系统等，基于新技术和新手段提出新的分等级的技术防护机制和完善的管理手段是等级保护2.0标准必须考虑的内容。关键信息基础设施在网络安全等级保护制度的基础上，实行重点保护，基于等级保护提出的分等级的防护机制和管理手段提出关键信息基础设施的加强保护措施，确保等级保护标准和关键信息基础设施保护标准的顺利衔接也是等级保护2.0标准体系需要考虑的内容。
等级保护2.0标准体系主要标准如下：
网络安全等级保护条例（总要求/上位文件）
计算机信息系统安全保护等级划分准则（GB 17859-1999）
（上位标准）
网络安全等级保护实施指南（GB/T25058-2020）
网络安全等级保护定级指南（GB/T22240-2020）
网络安全等级保护基本要求（GB/T22239-2019）
网络安全等级保护设计技术要求（GB/T25070-2019）
网络安全等级保护测评要求（GB/T28448-2019）
网络安全等级保护测评过程指南（GB/T28449-2018）
>>>关键信息基础设施标准体系框架如下：
关键信息基础设施保护条例（征求意见稿)（总要求/上位文件）
关键信息基础设施安全保护要求（征求意见稿）
关键信息基础设施安全控制要求（征求意见稿）
关键信息基础设施安全控制评估方法（征求意见稿）
1、什么是等保2.0?
等保，即信息安全技术网络安全等级保护要求，是我国信息安全保障的一项基本制度，国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护。
等保2.0：《中华人民共和国网络安全法》第二十一条明确规定：“国家实行网络安全等级保护制度。”为了贯彻落实《中华人民共和国网络安全法》，适应云计算、移动互联、物联网、工业控制和大数据等新技术、新应用情况下网络安全等级保护工作，2019年5月正式发布《信息安全技术网络安全等级保护基本要求》，正式开启了等保2.0的时代。一般认为等保2.0是指《信息安全技术网络安全等级保护基本要求》及其配套标准。
2、等保2.0的变化
标准的名称由“信息安全技术 信息系统安全等级保护基本要求”变更为“信息安全技术 网络安全等级保护基本要求”。
调整分类为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。
调整各个级别的安全要求为安全通用要求、云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求和工业控制系统安全扩展要求。
取消了原来安全控制点的S、A、G标注，增加一个附录A描述等级保护对象的定级结果和安全要求之间的关系，说明如何根据定级结果选择安全要求。
3、等保的对象
由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统，被称为等级保护的对象，这些系统都要遵守等保2.0的相关标准。
等级保护对象，主要包括基础信息网络、云计算平台/系统、大数据应用/平台/资源、物联网、工业控制系统和采用移动互联技术的系统等。
4、谁要遵守等级保护2.0标准
根据“谁主管、谁运营，谁负责”的原则，网络运营者成为等级保护的责任主体。
企业需要对其建设、掌管、运营的各类系统的等保负责。
Q：我单位有对外门户网站，该门户网站部署于从云服务商处租赁的虚拟云服务器之上，云服务商对其云服务器已经完成等保定级及测评等，那我单位是否还需要进行等保等工作?
A：是需要的，云服务所在的数据中心的业务系统由云服务商运营，云服务商须负责其建设、运营系统的等保工作，而对外门户网站是贵单位建设、运营的，仍需按规定进行等保工作。云服务商可以配合客户开展等级测评工作，提供云服务商侧的等级保护测评材料。
5、等保2.0中的安全通用要求和扩展要求都应适用吗?
安全通用要求针对共性化保护需求提出，等级保护对象无论以何种形式出现，必须根据安全保护等级实现相应级别的安全通用要求;安全扩展要求针对个性化保护需求提出，需要根据安全保护等级和使用的特定技术或特定的应用场景选择性实现安全扩展要求。
标准针对云计算、移动互联、物联网、工业控制系统提出了安全扩展要求，除应符合安全通用要求外，还应符合对应的安全扩展要求。
对于采用其他特殊技术或处于特殊应用场景的等级保护对象，应在安全风险评估的基础上，针对安全风险采取特殊的安全措施作为补充。
6、如何做等级保护工作?
等保2.0一般有如下5个步骤，定级、备案、建设和整改、等级测评和检查。
定级，为等级保护对象定级，按照信息的重要程度由低到高分为5个等级，1级为最低、5级为高级别。如果定了1级，不需要做等级测评，自助进行保护即可;网络运营者通过自主+专家评审+主管部门环节定级。
备案，网络运营者需要去运营地区的网安部门办理备案手续。等级测评：测试师对信息系统进行安全测评，测评通过后出具《等级保护测试报告》。
7、企业不做等保的相关处罚
除非另有规定，企业应当执行网络安全等级保护的相关工作。根据《中华人民共和国网络安全法》相关规定，如不履行网络安全等级保护的要求，主管机关将给予警告，对单位处以一万以上十万以下罚款，以及直接负责的主管人员五千元以上五万元以下的罚款。
《中华人民共和国网络安全法》
第二十一条国家实行网络安全等级保护制度。
第五十九条网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告;拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。
8、大数据的平台和系统也需要符合等保2.0的标准吗?
标准中将采用了大数据技术的信息系统，称为大数据系统。大数据系统通常由大数据平台、大数据应用以及处理的数据集合构成，大数据系统的特征是数据体量大、种类多、聚合快、价值高，受到破坏、泄露或篡改会对国家安全、社会秩序或公共利益造成影响，大数据安全涉及大数据平台的安全和大数据应用的安全。
大数据平台是为大数据应用提供资源和服务的支撑集成环境，包括基础设施层、数据平台层和计算分析层。大数据应用是基于大数据平台对数据的处理过程，通常包括数据采集、数据存储、数据应用、数据交换和数据销毁等环节，上述各个环节均需要对数据进行保护，大数据系统除按照等保2.0的标准要求进行保护外，还需要考虑其特点，参照标准附录补充和完善安全控制措施。
9、等保2.0和关键基础设施的保护是什么关系?
关键基础设施，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施。
国家在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。
即如果您的业务系统属于关键基础设施，除需符合等级保护的要求外，还应按照关键基础设备的具体安全保护办法来保护。
标题名称：网络安全等级保护2.0标准是什么
转载注明：
http://cdxtjz.com/article/sodhhp.html
