必看干货|等保测评(网络安全等级保护)五问五答

企业内哪些系统需要做等保?

根据《信息安全技术 网络安全等级保护定级指南》等相关标准的规定,针对于备案单位而言,以下内容都属于实施等保的对象:

(1)起支撑、传输作用的信息网络(包括专网、内网、外网、网管系统),如某汽车局域网信息系统,某IDC机房等保三级业务系统;

(2)用于生产、调度、管理、作业、指挥、办公等目的的各类业务系统,要按照不同业务类别单独实施等保,不以系统是否进行数据交换、是否独享设备为必要条件。如企业内部的OA系统、人力资源管理系统以及ERP系统,某法院智能信息审判系统,某医院的信息化系统,某水电厂监控系统;

(3)各单位网站、邮件系统要作为独立的等保对象。如果网站的后台数据库管理系统安全级别较高,以及网上运行的信息系统,都要作为独立的等保对象。如企业内部/对外网站系统、某银行征信中心网站系统,12306火车票售票网站等;

(4)云平台、大数据、工业控制系统、物联网、移动互联网、卫星系统等,都属于等保对象的范围。

不实施等保2.0会有哪些法律后果?

根据《信息安全技术 网络安全等级保护定级指南》等相关标准的规定,针对于备案单位而言,以下内容都属于实施等保的对象:

(1)起支撑、传输作用的信息网络(包括专网、内网、外网、网管系统),如某汽车局域网信息系统,某IDC机房等保三级业务系统;

(2)用于生产、调度、管理、作业、指挥、办公等目的的各类业务系统,要按照不同业务类别单独实施等保,不以系统是否进行数据交换、是否独享设备为必要条件。如企业内部的OA系统、人力资源管理系统以及ERP系统,某法院智能信息审判系统,某医院的信息化系统,某水电厂监控系统;

(3)各单位网站、邮件系统要作为独立的等保对象。如果网站的后台数据库管理系统安全级别较高,以及网上运行的信息系统,都要作为独立的等保对象。如企业内部/对外网站系统、某银行征信中心网站系统,12306火车票售票网站等;

(4)云平台、大数据、工业控制系统、物联网、移动互联网、卫星系统等,都属于等保对象的范围。

等保测评是否做一次就可以?

等保工作是一个持续的工作,等保测评也是一个周期性的工作,三级系统要求每年做一次,四级系统每半年做一次,二级系统部分行业明确要求每两年做一次,没有明确要求的行业建议大家两年做一次测评。

做等保测评不应当抱着应付的心态去做,如果大家的系统真能按照等级保护的要求去做好,那么系统的安全防护水平还是很高的。做了等保,一方面是合规,更多的是切切实实协助我们做好单位的网络安全工作。

网络安全技术发展日新月异的今天,既然我们不能百分百保证系统的安全,那我们就从合规做起,把我们能做的工作及时做到位。该做的工作做到了,自然也就相对安全了。

单位的系统已经上云或者系统托管到其他地方,是否需要做等保?

系统上云的情况越来越多,不论是公有云(阿里云、腾讯云、亚马逊云等)还是各类私有云(政务云、内部云平台等)或者就是直接托管到IDC机房,一些备案单位认为既然系统已经不在自己的机房,那么系统的相应安全运维就不归自己管了,自然等保工作就无限延后。

而实际上,根据"谁运营谁负责,谁使用谁负责,谁主管谁负责"的原则,该系统责任主体还是属于网络运营者自己,所以还是得承担相应的网络安全责任,该进行系统定级的还是得定级,该做等保的还是得做等保。

因为,系统上云或托管后,并不是安全责任主体转移,只是系统所在机房地址的变更,当然在公有云模式下,Iaas、Paas、Saas不同模式相应的安全责任会有些区别,但是并不是没有责任。

第三方咨询机构能为备案单位提供哪些帮助?

专业律所、技术公司等第三方咨询机构,可以在等保对象梳理、定级、备案、网络安全建设等阶段,为备案单位提供全方位的协助,具体如下:

(1)等保对象梳理

工作内容:梳理备案单位现有网络系统,确定定级对象,制定等保工作计划。

参与方:专业律所、技术公司等咨询机构。

(2)定级

工作内容:确定各定级对象的网络安全等级,组织专家评审并报请主管部门核准。

参与方:专业律所、技术公司等咨询机构/评审专家、主管部门。

(3)备案

工作内容:填写定级备案表,准备定级报告等保安材料,提交至当地公安机关网安部门。

参与方:专业律所、技术公司等咨询机构、公安机关。

(4)网络安全建设

工作内容:依据等保要求,制定网络安全建设或整改计划,建设符合等保要求的信息安全设施,安全管理组织和管理体系。

参与方:专业律所、技术公司等咨询机构。

(5)等保测评

工作内容:协助邀请并配合等级测评机构对等保对象进行测评。

参与方:测评机构、公安机关、专业律所、技术公司等咨询机构。

(6)安全运维

工作内容:定期开展安全自查工作,网络发生重大变化时,变更网络安全保护等级,配合公安机关的监督检查工作。

参与方:专业律所、技术公司等咨询机构、公安机关。

相关推荐
薄荷椰果抹茶1 小时前
【网络安全基础】第一章---引言
安全·网络安全
zskj_zhyl2 小时前
智绅科技:以科技为翼,构建养老安全守护网
人工智能·科技·安全
zsq2 小时前
【网络与系统安全】域类实施模型DTE
网络·安全·系统安全
缘友一世5 小时前
网安系列【4】之OWASP与OWASP Top 10:Web安全入门指南
安全·web安全
HMS Core6 小时前
HarmonyOS免密认证方案 助力应用登录安全升级
安全·华为·harmonyos
Gauss松鼠会7 小时前
GaussDB权限管理:从RBAC到精细化控制的企业级安全实践
大数据·数据库·安全·database·gaussdb
小赖同学啊9 小时前
基于区块链的物联网(IoT)安全通信与数据共享的典型实例
物联网·安全·区块链
安全系统学习16 小时前
网络安全之SQL RCE漏洞
安全·web安全·网络安全·渗透测试
聚铭网络21 小时前
案例精选 | 某省级税务局AI大数据日志审计中台应用实践
大数据·人工智能·web安全
GLAB-Mary21 小时前
AI会取代网络工程师吗?理解AI在网络安全中的角色
网络·人工智能·web安全