為什么要開展等級保護工作?
1)通過等級保護工作發(fā)現(xiàn)單位信息系統(tǒng)存在的安全隱患和不足,進行安全整改之后,提高信息系統(tǒng)的信息安全防護能力,降低系統(tǒng)被各種攻擊的風險,維護單位良好的形象。
2)等級保護是我國關于信息安全的基本政策,國家法律法規(guī)、相關政策制度要求單位開展等級保護工作。如《信息安全等級保護管理辦法》和《中華人民共和國網(wǎng)絡安全法》。
3)很多行業(yè)主管單位要求行業(yè)客戶開展等級保護工作,目前已經(jīng)下發(fā)行業(yè)要求文件的有:金融、電力、廣電、醫(yī)療、教育等行業(yè),還有一些主管單位發(fā)過相關文件或通知要求去做。
4)落實個人及單位的網(wǎng)絡安全保護義務,合理規(guī)避風險。
網(wǎng)絡安全等級保護是國家信息安全保障的基本制度、基本策略、基本方法。網(wǎng)絡安全等級保護工作是對信息和信息載體按照重要性等級分級別進行保護的一種工作。信息系統(tǒng)運營、使用單位應當選擇符合國家要求的測評機構,依據(jù)《信息安全技術網(wǎng)絡安全等級保護基本要求》等技術標準,定期對信息系統(tǒng)開展測評工作。
接下來從法律要求、安全要求、行業(yè)要求三個層面說明為什么要做等保。
法律要求層面等級保護制度可謂歷史悠久,早在1994年國務院頒布的《計算機信息系統(tǒng)安全保護條例 》中就規(guī)定計算機信息系統(tǒng)實行安全等級保護,隨后有多部法規(guī)、國家標準對信息安全進行了規(guī)定。
2017年《網(wǎng)絡安全法》生效,生效后等級保護由“信息安全”等級保護轉變?yōu)椤熬W(wǎng)絡安全”等級保護。從“信息”到“網(wǎng)絡”的轉變,從側面反映出保護對象從硬件中的信息拓展至信息的載體。同時,在《網(wǎng)絡安全法》生效后,國家大力開展“凈網(wǎng)行動”,就有大量因未履行等級保護義務而受到處罰的執(zhí)法案例。
2018年11月,上海某不銹鋼管有限公司互聯(lián)網(wǎng)信息系統(tǒng)發(fā)生重大網(wǎng)絡安全事件,并對公共互聯(lián)網(wǎng)安全產生嚴重威脅。市通信管理局依據(jù)《網(wǎng)絡安全法》、工業(yè)和信息化部《公共互聯(lián)網(wǎng)網(wǎng)絡安全威脅監(jiān)測與處置辦法》等有關要求,組織相關網(wǎng)絡接入服務單位對涉事系統(tǒng)采取停止服務和屏蔽措施,及時阻斷網(wǎng)絡安全威脅的擴散;同時,責令涉事單位暫停相關系統(tǒng)的互聯(lián)網(wǎng)信息服務,限期落實網(wǎng)絡安全整改,在整改工作完成之前,涉事系統(tǒng)及其關聯(lián)平臺不得上線。
2019年1月,宜賓學院因網(wǎng)絡安全責任意識淡薄、聯(lián)網(wǎng)備案制度和網(wǎng)絡安全等級保護制度落實不到位,導致“移動圖書館館藏書目查詢平臺”的頁面被攻擊篡改。宜賓市翠屏區(qū)公安分局網(wǎng)安大隊依據(jù)《網(wǎng)絡安全法》,對宜賓學院作出罰款80000元,對直接負責的主管人員作出罰款10000元的處罰;依據(jù)《計算機信息網(wǎng)絡國際聯(lián)網(wǎng)安全保護管理辦法》,對學院“移動圖書館館藏書目查詢平臺”未履行備案職責,作出停機整頓六個月的處罰。
2019年4月,江蘇某通信技術公司因安全責任意識淡薄、網(wǎng)絡安全等級保護制度落實不到位、管理制度和技術防護措施嚴重缺失,導致該公司業(yè)務管理系統(tǒng)遭受攻擊破壞。南京警方依據(jù)《網(wǎng)絡安全法》第21條、第59條規(guī)定,對該公司予以罰款10000元,對法人袁某(男,66歲,南京人)予以罰款5000元,同時責令限期整改,落實網(wǎng)絡安全等級保護制度。
從諸多案例中可以看到,大量執(zhí)法案例的發(fā)生圍繞著等級保護制度,并且大多是在網(wǎng)站發(fā)生安全事故以后,被公安部門所處罰,而且不乏對企業(yè)負責人的處罰?!毒W(wǎng)絡安全法》與等級保護已經(jīng)不僅是需要IT或者安全部門關注的事項,同樣成為企業(yè)法務、合規(guī)工作中不可回避的問題。
安全要求層面等級保護制度可有效保護基礎信息網(wǎng)絡和關系國家安全、經(jīng)濟命脈、社會穩(wěn)定的重要信息系統(tǒng)的安全,維護國家信息安全,有效提高企業(yè)信息和信息系統(tǒng)安全建設的整體水平,有效控制企業(yè)信息安全建設成本,有利于企業(yè)明確國家、法人和其他組織、公民的信息安全責任,加強企業(yè)信息安全管理。
以新明確的等級保護對象物聯(lián)網(wǎng)為例,新標準中對于物聯(lián)網(wǎng)的等級保護,依據(jù)物聯(lián)網(wǎng)架構的三個邏輯層次,即感知層、網(wǎng)絡傳輸層和處理應用層,提出了具體的技術要求。
而利用安徽靈狐網(wǎng)絡科技推出的網(wǎng)絡安全等級保護測評服務,即可按照感知層、傳輸層、應用層的體系框架,針對安全通用要求和物聯(lián)網(wǎng)安全擴展要求,制定立體性、先進性和綜合性的物聯(lián)網(wǎng)等保合規(guī)解決方案。
行業(yè)要求層面
在金融、電力、廣電、醫(yī)療、教育等行業(yè),主管單位明確要求從業(yè)機構的信息系統(tǒng)要開展等級保護工作。
各行業(yè)的管理辦法無不透露一點:等保已成為許多行業(yè)的必需品。同時,等保測評是監(jiān)管機構指定的備案材料,是監(jiān)管檢查的依據(jù),也是國家發(fā)改委等一些單位項目驗收的必要步驟。
開展網(wǎng)絡安全等級保護工作是保護信息化發(fā)展、維護網(wǎng)絡安全的保障,是網(wǎng)絡安全防護工作中國家意志的體現(xiàn)。安徽靈狐科技推出的網(wǎng)絡安全等級保護測評,幫助工作人員完成等級保護建設工作的同時,切實提升網(wǎng)絡安全防護能力,使客戶信息系統(tǒng)或網(wǎng)絡滿足國家等級保護基本要求,全方位助力互聯(lián)網(wǎng)安全發(fā)展。