等保3.0发布解读
等保3.0标准化台账及要求规定范本
等保3.0标准化台账及要求规定范本范本编制：朱义昆2020年11月10日编制范本依据：——公安部《信息安全等级保护管理办法》——公安部《信息系统安全等级保护实施指南》——公安部《信息系统安全等级保护定级指南》——公安部《信息系统安全等级保护基本要求》——公安部《信息系统安全等级保护测评准则》——DB11/T171-2002《党政机关信息系统安全测评规范》——ISO/IEC 17799信息安全管理标准——ISO/IEC TR 13335系列标准——信息系统安全保障理论模型和技术框架IATF——《信息安全等级保护管理办法》（公通字[2007]43号）——《GBT25070-2019信息安全技术网络安全等级保护安全设计技术要求》目录menus系统安全常规性、周期性检查记录 (4)机房人员进出管理制度 (6)机房人员进出管理记录 (8)设备资产核查记录 (9)防雷装置定期检查记录 (10)火灾报警装置及灭火器检查记录 (11)设备及机柜防静电接地情况检查记录 (12)机房温湿度标准及空调管理规范 (13)机房温湿度检查记录 (15)机房用电管理制度 (16)机房电力供应情况记录 (18)网络及安全设备操作规定 (19)网络及安全设备操作记录 (20)网络及安全设备配置记录 (21)网络及安全设备日志备份及检查记录 (22)服务器及数据库操作规范 (23)信息系统数据保存、备份、使用规范 (23)服务器及数据库操作记录 (36)服务器及数据库配置记录 (37)服务器及数据库日志备份及检查记录 (38)操作系统及软件补丁更新记录 (39)计算机日常使用操作规范 (40)漏洞检测报告模板 (47)信息系统机房管理制度 (73)系统安全常规性、周期性检查记录检查机构：贵州骏予乐科技有限公司机房人员进出管理制度１、工作人员、到访人员出入机房应先行登记。
２、禁止与机房工作无关的人员进出机房。
３、进入机房人员不得将食品、饮料以及易燃、易爆物品带入机房。
系统等保三级标准
系统等保三级标准
系统等保三级标准是中国国家信息安全等级保护评估标准（GB/T 22240-2008）中的一个级别，用于评估和确定计算机信息系统的安全等级。
系统等保三级标准要求对系统的安全性进行全面的评估和控制，涵盖了信息系统的硬件、软件、网络和管理方面的安全要求。
具体来说，系统等保三级标准要求系统具备以下特征：
1. 对系统安全需求进行全面评估和风险分析，制定相应的安全策略和安全规程。
2. 采取多层次的安全措施，包括物理安全、数据安全、网络安全、应用安全等方面的保护措施。
3. 采用有效的身份认证和访问控制机制，确保只有经过授权的用户才能进行系统访问和操作。
4. 实施强有力的安全审计和日志管理，及时发现安全事件并采取相应的措施进行处理。
5. 针对系统的关键信息和资源进行加密和备份，确保数据的保密性和完整性。
6. 建立健全的应急响应机制和恢复备份机制，能够有效应对安全事件和灾难。
系统等保三级标准是中国国家信息安全等级保护评估标准中的最高级别，适用于对国家重要信息系统和关键基础设施的保护要求。
这个标准在信息安全领域的评估和管理中起到了重要的指导作用，帮助确保计算机信息系统的安全运行。
等保三级方案
等保三级方案1. 简介等保三级是指中国国家互联网信息办公室发布的《互联网安全等级保护管理办法》中规定的网络安全等级保护的最高级别。
等保三级方案是指企业或组织为了达到等保三级标准所采取的一系列措施和规范。
本文将介绍等保三级的概念、目标和具体实施方案。
2. 动机和目标等保三级方案的动机和目标是保护企业或组织的网络系统和信息资源的安全性和完整性，防止信息泄露、数据丢失和服务中断等安全事件的发生。
具体目标包括：•构建完备的网络安全体系•确保网络系统的可用性、可靠性和稳定性•防止未经授权的访问和恶意攻击•确保信息和数据的机密性和完整性•提高应急响应和恢复能力3. 实施步骤3.1 评估和规划在开始实施等保三级方案之前，需要进行评估和规划。
评估主要是对现有网络系统和信息资源的安全状况进行全面的调查和分析，确定存在的风险和威胁。
规划则是基于评估结果，制定出适合企业或组织的等保三级方案实施计划和安全策略。
3.2 安全设备和软件配置根据规划中确定的安全策略，配置安全设备和软件，以增强网络系统的安全性。
这包括但不限于防火墙、入侵检测和防护系统、虚拟专用网络(VPN)、加密通信协议等。
通过合理配置和使用这些安全设备和软件，可以防御网络攻击并有效保护信息资源。
3.3 访问控制和身份验证设置合理的访问控制机制，限制不同用户或角色的访问权限。
这包括用户身份验证、访问权限管理和行为审计等措施，确保只有经过身份认证和授权的用户才能访问敏感信息和系统资源。
3.4 加密和数据保护通过合理的加密算法和技术，保护数据的安全和机密性。
加密可以应用于数据存储、数据传输和通信链路等环节，有效防止数据被窃取、篡改或泄露。
此外，应制定数据备份和灾难恢复计划，确保数据的可靠性和完整性。
3.5 培训和意识提高对企业或组织的员工进行网络安全培训，提高他们的安全意识和应急反应能力。
培训内容可以包括密码安全、社会工程学攻击防范、恶意软件识别和安全策略宣传等。
一文读懂等级保护三级
网络安全相关事件
公安网安警察执法检查（线上线下抽查）
不做等保会怎么样？
等保工作实施流程及内容（以下朝阳区为例，总体时间2-3个月）
第三部分
9 信息系统定级、备 案材料
10 信息系统定级、备案
材料
11 定级材料
12 信息系统定级
信息系统定级、备案材料
● 1.备案表 ● 2.定级报告 ● 3.专家汇报PPT ● 4.专家评审意见（签字版本和专家资质） ● 5.《网络与信息安全承诺书》 ● 6.《网络安全等级保护应急联系登记表》 ● 7.工商营业执照 ● 8.法人代表身份证 ● 9.前来交表同志身份证复印件、身份证原件 ● 10.法人授权委托书 ● 11.公司、个人房产证、租房合同复印件并加盖公章或由物业部门开具的房屋租赁或入驻证明原件 ● 12.系统拓扑图，系统使用网络IP地址 ● 13.系统服务器所在地说明，如租赁云端服务器需提供托管协议，及提供商等级保护备案证明复印件
一文读懂等级保护三级
汇报人：时代新威等级保护组
第一部分
1 什么是等保？
2 为什么要做等保？
3 4 为什么要做等保？
哪些系统和行业需
要做等保？
什么是等保？
网络安全等级保护是经公安部认证具有资质 的网络安全等级保护测评机构，依据国家网络 安全等级保护的法律法规及标准，受被测评单 位委托，按照有关管理规范和技术标准，对信 息系统网络安全状况进行检测评估。
在北京做等保，个人还是比较推荐时 代新威，他们是等级保护测评测评机 构推荐的，而且资质也还不错，喜欢 的小伙伴可以去了解一下。
信息系统备案
信息系统备案
感谢聆听！
汇报人：时代新威等级保护组
受侵害的客体
对客体的侵害程度 一般损害 严重损害 特别严重损害
等保3.0基本要求
等保3.0基本要求
等保3.0基本要求是指《信息安全技术等级保护管理办法》（以下简称《办法》）规定的信息系统等级保护基本要求，主要包括以下五个方面：
1. 安全保障措施：指采用防护、检测、恢复、加密等技术手段，保障信息系统安全的完整性、可用性、机密性和可控性。
2. 安全管理措施：指建立完善的信息安全管理制度、安全审计制度、安全培训和教育制度，及时发现和解决安全问题，并做好信息安全预案和应急响应等工作。
3. 安全技术要求：指符合国家相关安全技术标准和规范，采用防火墙、入侵检测系统、漏洞扫描和修补系统等技术，保护系统的安全。
4. 安全人员要求：指拥有专业的信息安全管理和技术人员，人员配备要求合理、有序，并具备必要的安全工作经验和知识。
5. 安全检测要求：指定期进行安全风险评估、安全审计和安全检测，在管理和技术层面不断加强安全措施，保障信息系统的安全。
三级等保 风险评估内容
三级等保风险评估内容三级等保的风险评估内容主要包括以下几个方面：1.物理安全：确保机房的安全，包括门禁系统、监控系统、报警系统等；确保通信线路的物理安全，防止线路被截断或干扰；确保服务器、网络设备、安全设备等硬件设施的物理安全，包括防火、防水、防雷等措施。
2.网络安全：对网络架构进行风险评估，确保网络设备的配置和网络拓扑结构符合安全要求；对网络协议进行安全评估，确保协议的配置和数据传输的安全性；对网络边界进行安全评估，防止未经授权的访问和数据泄露。
3.系统安全：对操作系统进行安全评估，包括用户权限管理、文件系统安全、网络安全等；对数据库进行安全评估，包括数据库的访问控制、数据加密、备份恢复等；对应用系统进行安全评估，包括应用程序的安全性、数据传输的安全性等。
4.应用安全：对Web应用程序进行安全评估，包括输入验证、输出编码、会话管理等方面；对API接口进行安全评估，包括访问控制、数据验证等方面；对文件上传功能进行安全评估，防止文件被恶意利用。
5.安全管理：制定完善的安全管理制度，包括安全培训、安全检查、应急预案等；建立安全审计机制，对系统的访问日志、操作记录等进行监控和分析；建立技术支持体系，及时响应和处理安全事件。
6.风险评估：对系统进行全面的风险评估，包括资产识别、威胁分析、脆弱性分析等方面；根据风险评估结果，制定相应的安全措施和应对策略。
7.安全审计：对系统的访问日志、操作记录等进行审计，确保操作的合法性和安全性；对系统的漏洞进行扫描和测试，确保系统的安全性符合要求。
8.技术支持：提供及时的技术支持，解决用户在使用过程中遇到的问题；提供必要的技术培训，提高用户对系统的使用和维护能力。
等保三级解读
等保三级又被称为国家信息安全等级保护三级认证，是中国最权威的信息产品安全等级资格认证，由公安机关依据国家信息安全保护条例及相关制度规定，按照管理规范和技术标准，对各机构的信息系统安全等级保护状况进行认可及评定。
等保三级一般适用于地市级以上国家机关、企业、事业单位内部重要的信息系统，例如涉及工作秘密、商业秘密、敏感信息的办公系统和管理系统；跨省或全国联网运行的用于生产、调度、管理、指挥、作业、控制等方面的重要信息系统以及这类系统在省、地市的分支系统；中央各部委、省（区、市）门户网站和重要网站；跨省连接的网络系统等。
网络安全等保三级
网络安全等保三级
网络安全等保三级是国家对网络安全能力要求最高的等级之一，具有非常重要的意义。
网络安全等保三级包括了多项安全措施和要求，涵盖了网络安全的各个方面，旨在确保系统的完整性、可用性和保密性。
首先，在网络安全等保三级中，对系统的安全运维提出了严格要求。
运维人员必须具备专业的知识和技能，能够及时发现并应对各种安全威胁。
此外，系统的日常运维工作也需要满足一定的标准，包括安全巡检、漏洞管理、应急响应等。
其次，在网络安全等保三级中，对身份认证和访问控制提出了严格要求。
只有经过身份认证的用户才能够访问系统的敏感信息和资源。
同时，系统还需要具备严密的访问控制机制，确保不同用户之间的信息和操作得到有效隔离，防止未授权的用户获取敏感信息。
此外，在网络安全等保三级中，对系统安全日志的收集和分析也提出了要求。
系统需要能够自动记录安全相关的事件和操作，并能够及时分析和报警。
通过对安全日志的分析，可以及时发现异常行为和潜在威胁，进而采取相应的措施进行应对。
最后，在网络安全等保三级中还对应急响应和灾备保障提出了要求。
系统需要具备应急响应能力，能够及时处理安全事件和威胁。
此外，系统还需要建立完善的灾备机制，确保在遭受灾难性事件时能够快速恢复运行并保证数据的完整性。
综上所述，网络安全等保三级是国家对网络安全能力的高级要求，要求系统在安全运维、身份认证与访问控制、安全日志管理、应急响应与灾备保障等方面做出有效的措施和保障，以确保系统的安全性和稳定性。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
You can Be like God
You can Be like God
You can Be like God
（二）主动免疫、积极防御
等级 一级
按级监管 自主保护
保护级（GB17859) 自主访问
二级
指导保护
审计（自主访问）
三级
监督检查
标记（强制访问）
四级 强制监督检查
结构化保证
五级 专门监督检查
GB/T25070-2010修订
计算环境
感知计算域
RFID 标签
传感器 智能/ 节点 m-m终端
读写器
传感器 接入网关
应用计算域
智能 电网
智能 物流
智能 医疗
智能 交通
计算节点
应用基础设施
智能 家居
环境 控制
前置处理
通信网络
接入网 核心网
通信网络域
区域边界
可信计算环境
智智 应用 能 能 服务 电 物
能，及时识别“自己”和“非己”成分，从而破坏与排斥 进入机体的有害物质，相当于为网络信息系统培育了免疫 能力。
建 立 免 疫、 反 腐 败 子 系 统 安全可信的计算节点双体系结构
可信计算环境
可信应用 计算 可信 节点 节点
主动免疫三重防护框架
可
信 边
可信网络通信
用户 终端
界
非授权者重要 信息拿不到
实时监控
可信保障 基础软件可信 应用程序验证 执行动态度量 实时关联感知
智能处置
一级 二级
三级
四级
设计 策略
所有计算 所有计算节点 所有计算节点都应基
节点可基 都应基于可信 于可信根实现开机到
于可信根 根实现开机到 操作系统启动，再到
实现开机 操作系统启动， 应用程序启动的可信
到操作系 再到应用程序 验证，并在应用程序
化领导小组关于加强信息安全保障工作的意见》（中办发 [2003]27号）要求“抓紧建立信息安全等级保护制度”； 近年来国有关部委多次联合发文，明确国家重点工程的验 收要求必须通过信息安全等级保护的测评和验收。
我国网络安全等级保护制度具有科学性，创新性和前瞻性
，已经超越了国外等级保护做法。创造了世界5个第一：
公钥密码身份识别、对称密码加密存储
智能控制与安全执行双重体系结构 环境免疫抗病毒原理 数字定义可信策略对用户透明
可信1.0（主机） 可信2.0（PC）
特性 对象 结构 机理 形态
主机可靠性 计算机部件 冗余备份 故障诊查 容错算法
节点安全性 PC单机为主
功能模块 被动度量 TPM+TSS
世界容错组织为代表
国家电网电力调度系统安全架构
二
（一）网络安全等级保护创新发展
我国的等级保护工作是有序推进的。在80年代兴起了计算 机信息系统安全保护研究基础上，1994年国务院发布《中 华人民共和国计算机信息系统安全保护条例》（国务院令 第147号）；1999年发布《计算机信息系统安全保护等级
划分准则》强制性标准；2003年中办发布《国家信息
（5）第一个实行定级（风险感知）、建设（防护）、测评（整改）、 监督检查和应急恢复全过程防护。2014年NIST按奥马巴总统令修订的 《美国增强关键基础设施网络安全框架》与其结构相同。
（1）法律支撑层面
（2）科学技术层面，由分层被动防护发展到了科学安全框 架下的主动免疫安全可信防护体系 （3）工程应用层面，由传统的计算机信息系统防护转向了 新型计算环境下的网络空间主动防御体系建设。等保2.0时 代重点对云计算、移动互联、物联网、工业控制以及大数据 安全等进行全面安全防护，确保关键信息基础设施安全
可信计算广泛应用于国家重要信息系统，如：增值税防伪 、彩票防伪、二代居民身份证安全系统，已成为国家法律 、战略、等级保护制度要求，推广应用。
PCI USB
1）中央电视台可信制播环境建设
经受住了永恒之蓝勒索病毒攻击的 考验，胜利完成了一带一路世界峰会的 保障任务。
中央电视台电视节目生产、存储、编排和播出流程 可信环境建设示意图
统启动的 启动的可信验 的关键执行环节对其
可信验证。 证。并将验证 执行环境进行可信验
结果形成审计 证，主动抵御入侵行
纪录。
为。并将验证结果形
成审计纪录，送到管
理中心。
所有计算节点都应基于 可信计算技术实现开机 到操作系统启动，再到 应用程序启动的可信验 证，并在应用程序的所 有执行环节对其执行环 境进行可信验证，主动 抵御入侵行为。并将验 证结果形成审计纪录， 送到管理中心， 进行动国家
2、网络空间极其脆弱
网
络
空 间
是
极
其
脆弱
计算科学问题
图灵计算模型 （少攻防理念）
体系结构问题
冯诺伊曼架构 （缺防护部件）
计算模式问题
重大工程应用 （无安全服务）
主动免疫的安全目标：
主动免疫可信计算是指计算运算的同时进行安全防护， 以密码为基因实施身份识别、状态度量、保密存储等功
网流 计算 计算节点 资源 基础设施
前 置 处 理
网 关 接 入
（
（
可
可
信
信
安 全 边 界 ）
可信通信网络
安 全 边 界 ）
感知计算环境
物体对象 计算节点 传感控制
系统
安全
审计
可信安全管理中心
演播 室可 信区 域边
界
演播室系统 可信计算环境
媒资 可信 区域
边界
媒资系统 可信计算环境
播出 可信 区域
边界
播出系统 可信计算环境
可信管理中心
可信管理中心
可信管理中心
网络制播系统统一可信管理中心
2）国家电网电力调度系统安全防护建设
发改委14号令决定以可信计算架构实现等级保护四级
电力可信计算密码平台已在三 十四个省级以上调度控制中心 使用，覆盖上千套地级以上电 网调度控制系统，涉及十几万 个节点，约四万座变电站和一 万座发电厂，确保了运行安全
系统和信息 改不了
攻击行为 赖不掉
攻击者进不去 窃取保密信息看不懂 系统工作瘫不成
（二）用可信计算3.0突破高等级安全防护核心技术
中国可信计算源于1992年立项研制的可信计算综合安全防护系统（智 能安全卡），于1995年2月底通过测评和鉴定。经过长期军民融合攻关应用， 形成了自主创新安全可信体系，开启了可信计算3.0时代。
，通过将系统中数据信息加密，使数据变得不可用，借机勒索 钱财。病毒席卷近150个国家，教育、交通、医疗、能源网络 成为本轮攻击的重灾区。
2018年8月3日，台积电遭到 勒索病毒入侵，几个小时之内 ，台积电在中国台湾地区的北 、中、南三个重要生产基地全 部停摆，造成约十几亿美元的 营业损失，最近的5.4侠盗版 危害极大。
TCG为代表
容错组织
TCSEC TCG
可信3.0（网络）
公钥、对称双密码主动系统免疫 终端、服务器、存储系统体系可信
宿主+可信双节点平行架构 基于网络可信服务验证 动态度量实时感知
中国为代表 中国可信 计算创新
计算科学、体系结构的发展
《国家中长期科学技术发展（2006-2020年）》明确提 出“以发展高可信网络为重点，开发网络安全技术及相 关产品，建立网络安全技术保障体系”
（1）第一个以国务院条例立法。我国1994年发布国务院第147号令 ，美国1998年发布第63号总统令安全防护政策；
（2）第一个提出信息系统安全保护，世界上CC标准等都是计算部件 保护；
（3）第一个提出分五级保护，美国于2003年发布《保护网络空间国 家战略》提出五级保护 ；
（4）第一个提出从业务信息和系统服务两个维度来定级，符合现在网 络空间的定义；
TCM TPCM 检验软件
可信 宿主
静态可信验证基础软件可信
BIOS 引导OS，装载系统 一级
建链检验 应用程序可信
应用加载
二级
可信软件基（TSB）
动态度量 执行环境
应用执行 三级
实时感知 关联态势
所有执行
四级
You can Be like God
You can Be like God
可信防护体系框架
重启可信革命 夯实网络安全等级保护基础
目录
一 二
一
“没有网络安全就 没有国家安全，没 有信息化就没有现 代化”
案例一：2016年10月21日，美国东海岸（世界最发达地
区）发生世界上瘫痪面积最大（大半个美国）、时间最长（6 个多小时）的分布式拒绝服务（DDoS）攻击。
物联网破坏者
杭州制造
案例二：2017年5月12日爆发的“WannaCry”的勒索病毒
第十六条 服务
《网络安全法》
推广安全可信的网络产品和
《国家网络空间安全战略》 信的产品 国家等级保护制度2.0
加快安全可 安全可信
（一）科学的网络安全观
1、网络威胁是永远主题
网络空间极大威胁：有利可图、全方位攻击
网络： 资产财富
病毒
谋 财
攻击源： 黑客群体
基础设施
APT
暴 恐
敌对势力
国家主权
网络战
交换系统
可信计算环境
可信 通信 网络
可信 网络 边界
可信 区域 边界
私 有 协 对 议对 外内 接接 口口
可信 通信 网络
制作类系统
节目 管理 可信 区域 边界
节目管理系统 可信计算环境
节目 制作 可信 区域
边界
节目制作系统 可信计算环境
可信 通信 网络
播出类系统
播出 整备 可信 区域
边界
播出整备系统 可信计算环境