你真的了解网络安全等级保护吗？

《网络安全法》第二十一条规定“国家实行网络安全等级保护制度。”将网络安全等级保护制度上升为网络安全的一项基本国策，但是很多人对网络安全等级保护（以下简称“等保”）制度还是比较陌生，所以来谈谈几个网络安全等级保护工作的情况。

网络安全等级保护制度的发展历程

网络安全等级保护制度是2003年公安部开始探索和实践计算机保护的一项工作，叫信息安全等级保护工作。2007年，在实践基础上公安部会同国家保密局、国家密码管理局、国务院信息化工作办公室等四部委发布了《信息安全等级保护管理办法》，将信息安全等级保护工作写入法规中。同年，浙江省发布了《浙江省信息安全等级保护管理办法》，细化信息安全等级保护工作要求。2017年随着《网络安全法》的实施，信息安全等级保护制度改为网络安全等级保护制度。2018年6月，公安部向社会发布了《网络安全等级保护条例（征求意见稿）》公开征求意见。网络安全等级保护的法律法规体系正在逐步完善。

网络安全等级保护的工作内容

很多人对网络安全等级保护的工作存在误解，以为网络安全等级保护的工作就是等保备案和等保测评。这种认识完全本末倒置，网络安全等级保护的工作是根据信息系统遭到破坏后带来对客体的侵害程度分成五个保护等级，每个保护等级落实相应的安全工作要求，等保备案和等保测评仅仅是监督这项工作的落实的法定程序。网络安全等级保护制度要求信息系统责任主体落实信息系统的安全策略和管理制度、安全管理机构和人员、物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、安全建设管理、安全运维管理等系统安全各个维度的工作要求。等保测评并不是落实这些维度的安全措施，而是一个医生给病人把脉诊断的过程，同时给出治疗建议。至于病人吃什么药，做什么改进，是信息系统责任主体权衡多方因素后进行整改和安全加固。

网络安全等级保护制度的适应性

网络安全等级保护制度从2007年实施到现在，已经走过十一年，它具有强大的适应性，依然能够跟上日新月异的技术发展。首先，它的等保定级是以被破坏后对国家安全、社会稳定和公共利益侵害程度为导向，无论以后出现多少新技术、新应用都不影响等保定级工作。其次，是等保测评的评分机制，达到60分就能基本符合，并不要求信息系统所有子项目都达标，毕竟信息系统在现实应用中各种环境和需求各不相同，受各种因素干扰，避免不计成本的安全投入。再次，测评的技术标准可以根据时代发展和需求进行修改，等保2.0的测评体系在扩展要求部分增加云机关安全、移动互联安全、物联网安全、工业控制系统安全等新技术新应用的需求。

网络安全等级保护制度的现实意义

网络安全等级保护制度的实施为信息系统安全工作开辟了一条可落地可操作的道路。从国家层面看，对所有信息系统都要落实安全措施，但没有绝对安全，不计成本的投入，追求绝对安全是错误的。网络安全等级保护制度恰恰体系化的指导各信息系统根据各自责任落实相应技术措施，避免安全工作的不作为、或乱作为。从信息系统责任主体单位看，为落实信息系统安全工作提供方向和依据，一般单位的信息系统安全工作分两步，先是落实合法合规的安全工作要求，再落实业务特殊的安全需求。网络安全等级保护制度就是明确法律法规要求，让安全工作有法可依。从公民个人层面来看，网络安全等级保护制度落实是个人安居乐业的必要保障，保障那些生活深度依赖的信息系统服务不断，保障水电交通等基础设施平稳运行，保障个人信息、资金等安全保管。

网络安全等级保护制度的几个认识误区

最后来谈谈对网络安全等级保护制度的几个认识误区。一是信息系统物理隔离就不用落实等保工作。这是最常见的误区，所有信息系统都要落实，即使物理隔离的信息系统也要落实等保工作。一般物理隔离的信息系统，都是因为重要才隔离，定级会比较高，反而是等保工作的重点。二是企业信息系统瘫痪只影响企业利益，等保定级可以比较低。等保定级一般分系统服务安全和业务信息安全两个维度，企业大多数系统服务受破坏只影响企业业务，定级要求不高。但是涉及公民个人信息的企业，业务信息安全就相对较高，特别是近几年来数据价值被越来越重视，各企业收集数据的行为越来越多，意味着企业手中数据价值越来越大，带来的安全责任当然也是越来越大，一些企业等保定级甚至可以达到4级。三是信息系统上云就安全了。很多单位认为网站和信息系统上云后就安全了，等保不用做了。信息系统是否上云，安全责任主体都不会变。各类云平台只提供平台和简单的安全措施，安全责任主体单位还是要按等保要求落实相应的安全工作，只是物理和环境安全等部分安全工作由云平台承担。

作者：许勣，杭州市网络安全专家库成员