logo

中文|English|客服热线:4008107766

售后服务
4008107766
当前位置:首页 > 新闻中心 > 企业新闻
企业新闻

等保2.0等级测评新体系浅析

时间:2019-06-26
网御星云研究等级保护对象在移动互联、云计算、物联网、工业控制系统的应用方式和适用场景,分析新环境和新技术下等级保护对象存在形态、部署方式和安全组件的等级保护情况,有力支撑网络安全体系建设整改。

1.等级测评体系

网络安全等级保护测评体系框架横向是测评管理,包括定级指南、设计要求、基本要求及测评要求四个阶段;纵向是测评领域,包括通用安全、云计算安全、移动互联安全、物联网安全、工业控制系统安全及大数据安全六大方面要求。测评指标分为十类,即安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。等级测评活动中涉及测评力度,包括测评广度(覆盖面)和测评深度(强弱度)。

安全保护等级较高的测评实施应选择覆盖面更广的测评对象和更强的测评手段,可以获得可信度更高的测评证据,每个级别测评要求都包括安全测评通用要求、云计算安全测评扩展要求、移动互联安全测评扩展要求、物联网安全测评扩展要求和工业控制系统安全测评扩展要求等,大数据安全扩展要求可参考。等级测评新体系框架如下图所示:


等级测评新体系框架图

2.等级测评技术

网络安全等级测评综合分析安全保护能力有没有缺失、是否能够对抗相应等级的安全威胁及是否具备相应等级的恢复能力等,安全措施实现方式的多样性、评价方法与检测要求的不断变化等决定了等级测评的复杂度。等级测评技术提升如下图所示:


等级测评技术提升图

3.等级测评过程

网御星云辅助用户单位和测评机构开展等级自查与测评实施,实施过程采用访谈、核查、测试和风险分析等方法,包括四个基本过程:测评准备、方案编制、现场测评、报告编制。规范等级测评过程如下表所示:


4.等级测评结论

等级测评报告中应对整体测评之后单项测评结果中的不符合项或部分符合项进行风险分析和评价。

采用风险分析的方法对单项测评结果中存在的不符合项或部分符合项,分析所产生的安全问题被威胁利用的可能性,判断其被威胁利用后对业务信息安全和系统服务安全造成影响的程度,综合评价这些不符合项或部分符合项对定级对象造成的安全风险,考虑有效的风险处置,提出具有可操作性的合理化整改建议,对整改加固的效果进行检验,提升安全防护能力。

等级测评报告应给出等级保护对象的等级测评结论,确认等级保护对象达到相应等级保护要求的程度。

应结合各类的测评结论和对单项测评结果的风险分析给出等级测评结论:

符合:定级对象中未发现安全问题,等级测评结果中所有测评项的单项测评结果中部分符合和不符合项的统计结果全为0,综合得分为100分。

基本符合:定级对象中存在安全问题,部分符合和不符合项的统计结果不全为0,但存在的安全问题不会导致定级对象面临高等级安全风险,且综合得分不低于阈值。

不符合:定级对象中存在安全问题,部分符合项和不符合项的统计结果不全为0,而且存在的安全问题会导致定级对象面临高等级安全风险,或者中低风险所占比例超过阈值。

5.小结

第三级以上系统每年开展风险分析、等级测评和整改加固,是检验网络安全风险、提升网络防护能力的必要措施。网御星云依据法规、执行标准、采纳意见、调整模式、应对风险和对抗威胁,以持续探索未来网络安全发展方向,为客户创造价值。

关于我们
公司简介
合作伙伴
核心技术
团队风采
推荐型号
LA-DAP-1600-UR
TS-SC-E1010
LA-OS-3600-M
网御KingGuard-9648J万兆防火墙
服务与下载
支持与服务
在线升级
联系我们
二维码