等級保護(hù)基礎(chǔ)知識索引（等級保護(hù)的背景知識）
無國界 2020-03-05
等級保護(hù)制度是我國網(wǎng)絡(luò)安全領(lǐng)域的一項基本制度。隨著《網(wǎng)絡(luò)安全法》出臺后，等級保護(hù)制度進(jìn)入了等保2.0時代，等保2.0適用的范圍更廣，更加注重全方位主動防御、動態(tài)防御、整體防控和精準(zhǔn)防護(hù)，除了基本要求外，還增加了對云計算、移動互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制和大數(shù)據(jù)等對象全覆蓋。等保2.0標(biāo)準(zhǔn)的發(fā)布，對加強中國網(wǎng)絡(luò)安全保障工作，提升網(wǎng)絡(luò)安全保護(hù)能力具有重要意義。
公安部信息安全等級保護(hù)評估中心主任助理、網(wǎng)絡(luò)安全等級保護(hù)資深專家李明博士，詳細(xì)解讀等保2.0標(biāo)準(zhǔn)實施要點，同時準(zhǔn)備了需要了解的等級保護(hù)的背景知識——“等級保護(hù)基礎(chǔ)知識索引”，幫助大家全面了解等級保護(hù)制度的來龍去脈。
一、等級保護(hù)是什么？
【法律依據(jù)】
網(wǎng)絡(luò)安全等級保護(hù)制度是國家網(wǎng)絡(luò)安全工作的基本制度。2017 年 6 月 1 日正式實施的《中華人民共和國網(wǎng)絡(luò)安全法》，其第 21 條規(guī)定“國家實行網(wǎng)絡(luò)安全等級保護(hù)制度”。
網(wǎng)絡(luò)安全等級保護(hù)制度起源于 1994 年頒布的《中華人民共和國計算機信息系統(tǒng)安全保護(hù)條例》（國務(wù)院 147 號令）。該條例第九條規(guī)定：計算機信息系統(tǒng)實行安全等級保護(hù)。隨著信息技術(shù)的發(fā)展和國內(nèi)外網(wǎng)絡(luò)安全威脅形勢的變化，等級保護(hù)制度逐步演進(jìn)為信息安全等級保護(hù)制度（2007 年，見參考資料[3]）和網(wǎng)絡(luò)安全等級保護(hù)制度。
【基本內(nèi)涵】
簡單來說，網(wǎng)絡(luò)安全等級保護(hù)是對網(wǎng)絡(luò)1進(jìn)行分等級保護(hù)、分等級監(jiān)管。在此基礎(chǔ)上，風(fēng)險評估、安全監(jiān)測、供應(yīng)鏈安全、自主可控、通報預(yù)警、安全事件調(diào)查、綜治考核等措施也納入到新的等級保護(hù)制度中。
據(jù)網(wǎng)絡(luò)在國家安全、經(jīng)濟(jì)建設(shè)、社會生活中的重要程度，以及其一旦遭到破壞、喪失功能或者數(shù)據(jù)被篡改、泄露、丟失、損毀后，對國家安全、社會秩序、公共利益以及相關(guān)公民、法人和其他組織的合法權(quán)益的危害程度等因素，網(wǎng)絡(luò)分為五個安全保護(hù)等級。第一級最低，第五級最高。
【參考資料】
[1] 《中華人民共和國網(wǎng)絡(luò)安全法》
[2] 中華人民共和國計算機信息系統(tǒng)安全保護(hù)條例（國務(wù)院 147 號令）
[3] 信息安全等級保護(hù)管理辦法（公通字〔2007〕43 號）
[4] 《關(guān)于信息安全等級保護(hù)工作的實施意見》（公通字〔2004〕66 號）
[5] 《關(guān)于加強國家電子政務(wù)工程建設(shè)項目信息安全風(fēng)險評估工作的通知》（發(fā)改高技〔2008〕2071 號）
[6] 《關(guān)于進(jìn)一步推動中央企業(yè)信息安全等級保護(hù)工作的通知》（公通字〔2010〕70 號）
[7] 《網(wǎng)絡(luò)安全等級保護(hù)條例》（征求意見稿）
（https://www.mps.gov.cn/n2254536/n4904355/c6159136/content.html）
此處的網(wǎng)絡(luò)引用的是《網(wǎng)絡(luò)安全法》的定義，不是狹義的通信互聯(lián)網(wǎng)絡(luò)（network）。
二、哪些單位或機構(gòu)需要落實等級保護(hù)制度？
依據(jù)《網(wǎng)絡(luò)安全法》，在中華人民共和國境內(nèi)建設(shè)、運營、維護(hù)和使用的網(wǎng)絡(luò)都必須落實網(wǎng)絡(luò)安全等級保護(hù)制度。
也就是說，無論網(wǎng)絡(luò)運營者的單位性質(zhì)是政府機關(guān)，還是事業(yè)單位，或者是互聯(lián)網(wǎng)企業(yè)；無論網(wǎng)絡(luò)的形態(tài)是通信網(wǎng)絡(luò)設(shè)施，還是云計算平臺、工業(yè)控制系統(tǒng)或者是采用移動互聯(lián)技術(shù)的信息系統(tǒng)；也不論是一般信息系統(tǒng)，或者是重要的關(guān)鍵信息基礎(chǔ)設(shè)施，只要是境內(nèi)的網(wǎng)絡(luò)都必須開展等級保護(hù)工作（個人及家庭自建自用的網(wǎng)絡(luò)除外）。
三、網(wǎng)絡(luò)安全等級保護(hù)工作內(nèi)容是什么？
網(wǎng)絡(luò)安全等級保護(hù)工作包括 5 個規(guī)定動作：定級、備案、安全建設(shè)、等級測評和監(jiān)督檢查。
定級：網(wǎng)絡(luò)運營者對所運營的網(wǎng)絡(luò)進(jìn)行梳理和劃分，確定定級對象，并依據(jù)重要性和遭受破壞后的危害性初步確定其網(wǎng)絡(luò)的安全保護(hù)等級。
備案：第二級以上網(wǎng)絡(luò)的運營者到公安機關(guān)網(wǎng)安部門備案，公安機關(guān)審核通過后頒發(fā)備案證明。
安全建設(shè)：網(wǎng)絡(luò)運營者根據(jù)備案的安全保護(hù)等級，按照國家標(biāo)準(zhǔn)開展網(wǎng)絡(luò)安全建設(shè)整改。
等級測評：網(wǎng)絡(luò)運營者或其主管部門選擇符合國家要求的測評機構(gòu)2開展等級測評。
監(jiān)督檢查：公安機關(guān)網(wǎng)安部門對網(wǎng)絡(luò)安全等級保護(hù)工作開展監(jiān)督、檢查，按照級別對網(wǎng)絡(luò)實施不同強度的監(jiān)管，對測評機構(gòu)及網(wǎng)絡(luò)安全產(chǎn)品進(jìn)行分等級管理，對網(wǎng)絡(luò)安全事件分等級響應(yīng)和處置。
全國網(wǎng)絡(luò)安全等級保護(hù)測評機構(gòu)推薦目錄可從“中國網(wǎng)絡(luò)安全等級保護(hù)網(wǎng)”（http://www.djbh.net）的“測評機構(gòu)”欄目中檢索到。
四、網(wǎng)絡(luò)安全等級保護(hù)工作可參考哪些標(biāo)準(zhǔn)/規(guī)范
限于篇幅，列出主要標(biāo)準(zhǔn)如下：
【定級】
[1] GA/T 1389—2017《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)定級指南》
[2] 《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)定級指南》（GB/T 22240 報批稿）
【安全建設(shè)/整改】
[1] GB/T 22239—2019《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)基本要求》3
[2] GB/T 25070—2019《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)安全設(shè)計技術(shù)要求》
[3] GB/T 25058—2019《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)實施指南》
【等級測評】
[1] GB/T 28448—2019《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)測評要求》
[2] GB/T 28449—2018《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)測評過程指南》
[3] GB/T 36959—2018《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)測評機構(gòu)能力要求和評估規(guī)范》
相關(guān)國家標(biāo)準(zhǔn)可在“國家標(biāo)準(zhǔn)全文公開系統(tǒng)”中檢索，網(wǎng)址為：http://openstd.samr.gov.cn。
五、不開展網(wǎng)絡(luò)安全等級保護(hù)工作可能承擔(dān)的法律責(zé)任
不落實網(wǎng)絡(luò)安全等級保護(hù)制度是違法行為，可能面臨“責(zé)令改正，給予警告；罰款；暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、關(guān)閉網(wǎng)站、吊銷相關(guān)業(yè)務(wù)許可證或者吊銷營業(yè)執(zhí)照”等處罰；構(gòu)成違反治安管理行為的，依法給與治安管理處罰；構(gòu)成犯罪的，依法追究刑事責(zé)任（有期徒刑、拘役或者管制，并處或者單處罰金）。
【參考資料】
[1] 《中華人民共和國網(wǎng)絡(luò)安全法》
[2] 《中華人民共和國治安管理處罰法》
[3] 《中華人民共和國刑法修正案（九）》
公安部信息安全等級保護(hù)評估中心主任助理、網(wǎng)絡(luò)安全等級保護(hù)資深專家李明博士，詳細(xì)解讀等保2.0標(biāo)準(zhǔn)實施要點，同時準(zhǔn)備了需要了解的等級保護(hù)的背景知識——“等級保護(hù)基礎(chǔ)知識索引”，幫助大家全面了解等級保護(hù)制度的來龍去脈。
一、等級保護(hù)是什么？
【法律依據(jù)】
網(wǎng)絡(luò)安全等級保護(hù)制度是國家網(wǎng)絡(luò)安全工作的基本制度。2017 年 6 月 1 日正式實施的《中華人民共和國網(wǎng)絡(luò)安全法》，其第 21 條規(guī)定“國家實行網(wǎng)絡(luò)安全等級保護(hù)制度”。
網(wǎng)絡(luò)安全等級保護(hù)制度起源于 1994 年頒布的《中華人民共和國計算機信息系統(tǒng)安全保護(hù)條例》（國務(wù)院 147 號令）。該條例第九條規(guī)定：計算機信息系統(tǒng)實行安全等級保護(hù)。隨著信息技術(shù)的發(fā)展和國內(nèi)外網(wǎng)絡(luò)安全威脅形勢的變化，等級保護(hù)制度逐步演進(jìn)為信息安全等級保護(hù)制度（2007 年，見參考資料[3]）和網(wǎng)絡(luò)安全等級保護(hù)制度。
【基本內(nèi)涵】
簡單來說，網(wǎng)絡(luò)安全等級保護(hù)是對網(wǎng)絡(luò)1進(jìn)行分等級保護(hù)、分等級監(jiān)管。在此基礎(chǔ)上，風(fēng)險評估、安全監(jiān)測、供應(yīng)鏈安全、自主可控、通報預(yù)警、安全事件調(diào)查、綜治考核等措施也納入到新的等級保護(hù)制度中。
據(jù)網(wǎng)絡(luò)在國家安全、經(jīng)濟(jì)建設(shè)、社會生活中的重要程度，以及其一旦遭到破壞、喪失功能或者數(shù)據(jù)被篡改、泄露、丟失、損毀后，對國家安全、社會秩序、公共利益以及相關(guān)公民、法人和其他組織的合法權(quán)益的危害程度等因素，網(wǎng)絡(luò)分為五個安全保護(hù)等級。第一級最低，第五級最高。
【參考資料】
[1] 《中華人民共和國網(wǎng)絡(luò)安全法》
[2] 中華人民共和國計算機信息系統(tǒng)安全保護(hù)條例（國務(wù)院 147 號令）
[3] 信息安全等級保護(hù)管理辦法（公通字〔2007〕43 號）
[4] 《關(guān)于信息安全等級保護(hù)工作的實施意見》（公通字〔2004〕66 號）
[5] 《關(guān)于加強國家電子政務(wù)工程建設(shè)項目信息安全風(fēng)險評估工作的通知》（發(fā)改高技〔2008〕2071 號）
[6] 《關(guān)于進(jìn)一步推動中央企業(yè)信息安全等級保護(hù)工作的通知》（公通字〔2010〕70 號）
[7] 《網(wǎng)絡(luò)安全等級保護(hù)條例》（征求意見稿）
（https://www.mps.gov.cn/n2254536/n4904355/c6159136/content.html）
此處的網(wǎng)絡(luò)引用的是《網(wǎng)絡(luò)安全法》的定義，不是狹義的通信互聯(lián)網(wǎng)絡(luò)（network）。
二、哪些單位或機構(gòu)需要落實等級保護(hù)制度？
依據(jù)《網(wǎng)絡(luò)安全法》，在中華人民共和國境內(nèi)建設(shè)、運營、維護(hù)和使用的網(wǎng)絡(luò)都必須落實網(wǎng)絡(luò)安全等級保護(hù)制度。
也就是說，無論網(wǎng)絡(luò)運營者的單位性質(zhì)是政府機關(guān)，還是事業(yè)單位，或者是互聯(lián)網(wǎng)企業(yè)；無論網(wǎng)絡(luò)的形態(tài)是通信網(wǎng)絡(luò)設(shè)施，還是云計算平臺、工業(yè)控制系統(tǒng)或者是采用移動互聯(lián)技術(shù)的信息系統(tǒng)；也不論是一般信息系統(tǒng)，或者是重要的關(guān)鍵信息基礎(chǔ)設(shè)施，只要是境內(nèi)的網(wǎng)絡(luò)都必須開展等級保護(hù)工作（個人及家庭自建自用的網(wǎng)絡(luò)除外）。
三、網(wǎng)絡(luò)安全等級保護(hù)工作內(nèi)容是什么？
網(wǎng)絡(luò)安全等級保護(hù)工作包括 5 個規(guī)定動作：定級、備案、安全建設(shè)、等級測評和監(jiān)督檢查。
定級：網(wǎng)絡(luò)運營者對所運營的網(wǎng)絡(luò)進(jìn)行梳理和劃分，確定定級對象，并依據(jù)重要性和遭受破壞后的危害性初步確定其網(wǎng)絡(luò)的安全保護(hù)等級。
備案：第二級以上網(wǎng)絡(luò)的運營者到公安機關(guān)網(wǎng)安部門備案，公安機關(guān)審核通過后頒發(fā)備案證明。
安全建設(shè)：網(wǎng)絡(luò)運營者根據(jù)備案的安全保護(hù)等級，按照國家標(biāo)準(zhǔn)開展網(wǎng)絡(luò)安全建設(shè)整改。
等級測評：網(wǎng)絡(luò)運營者或其主管部門選擇符合國家要求的測評機構(gòu)2開展等級測評。
監(jiān)督檢查：公安機關(guān)網(wǎng)安部門對網(wǎng)絡(luò)安全等級保護(hù)工作開展監(jiān)督、檢查，按照級別對網(wǎng)絡(luò)實施不同強度的監(jiān)管，對測評機構(gòu)及網(wǎng)絡(luò)安全產(chǎn)品進(jìn)行分等級管理，對網(wǎng)絡(luò)安全事件分等級響應(yīng)和處置。
全國網(wǎng)絡(luò)安全等級保護(hù)測評機構(gòu)推薦目錄可從“中國網(wǎng)絡(luò)安全等級保護(hù)網(wǎng)”（http://www.djbh.net）的“測評機構(gòu)”欄目中檢索到。
四、網(wǎng)絡(luò)安全等級保護(hù)工作可參考哪些標(biāo)準(zhǔn)/規(guī)范
限于篇幅，列出主要標(biāo)準(zhǔn)如下：
【定級】
[1] GA/T 1389—2017《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)定級指南》
[2] 《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)定級指南》（GB/T 22240 報批稿）
【安全建設(shè)/整改】
[1] GB/T 22239—2019《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)基本要求》3
[2] GB/T 25070—2019《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)安全設(shè)計技術(shù)要求》
[3] GB/T 25058—2019《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)實施指南》
【等級測評】
[1] GB/T 28448—2019《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)測評要求》
[2] GB/T 28449—2018《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)測評過程指南》
[3] GB/T 36959—2018《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)測評機構(gòu)能力要求和評估規(guī)范》
相關(guān)國家標(biāo)準(zhǔn)可在“國家標(biāo)準(zhǔn)全文公開系統(tǒng)”中檢索，網(wǎng)址為：http://openstd.samr.gov.cn。
五、不開展網(wǎng)絡(luò)安全等級保護(hù)工作可能承擔(dān)的法律責(zé)任
不落實網(wǎng)絡(luò)安全等級保護(hù)制度是違法行為，可能面臨“責(zé)令改正，給予警告；罰款；暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、關(guān)閉網(wǎng)站、吊銷相關(guān)業(yè)務(wù)許可證或者吊銷營業(yè)執(zhí)照”等處罰；構(gòu)成違反治安管理行為的，依法給與治安管理處罰；構(gòu)成犯罪的，依法追究刑事責(zé)任（有期徒刑、拘役或者管制，并處或者單處罰金）。
【參考資料】
[1] 《中華人民共和國網(wǎng)絡(luò)安全法》
[2] 《中華人民共和國治安管理處罰法》
[3] 《中華人民共和國刑法修正案（九）》
