等保2.0密码技术应用分析
【精华版】最详细的等保2.0基本要求解读
等级保护2.0发布后，市场上铺天盖地的出现了众多解读文章，但大部分文章只停留在总体变化的描述，缺少对等级保护2.0具体条款与等级保护1.0具体基本技术要求的区别分析。
本文以帮助企业理解等级保护2.0基本要求为导向，对等级保护2.0和1.0在基本技术要求存在的区别进行具体分析。
在等级保护2.0合规要求下，满足基本符合等级保护要求从1.0的60分提高到了2.0的75分，这无疑对企业、系统集成商和安全厂家提出了更高的要求和挑战：●采用何种安全技术手段、何种安全防护体系能够满足等级保护2.0基本要求？●如何为企业提供既能解决用户切实的需求，又合法、合规的安全解决方案？●如何帮助企业既能合理规划网络安全的费用投入，又能提高自身网络安全防护能力，达到相关等级保护级别测评要求？下面将结合等级保护1.0（三级）的具体条款和等级保护2.0（三级）的关键条款变化进行详细的解读。
（本文主要针对网络安全部分进行详细解读分析）网络安全-关键条款变化由于等级保护2.0中将整体结构进行调整，从物理安全、网络安全、主机安全、应用安全、数据安全变成安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心，所以原等级保护1.0中的“网络安全”变成“安全通信网络”。
1【精华版】最详细的等保2.0基本要求解读结构安全-详解在等级保护2.0中，在这一小节没有明显的变化，主要是将一些过于老旧的条款进行了删除，将原等级保护1.0中的c）d）g）删除。
同时增加了“应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性”的条款，并将这一小节中的“子网、网段”都统一更换成了“网络区域”。
对企业、安全厂家、系统集成商提出的要求1)企业或集成商进行网络基础建设时，必须要对通信线路、关键网络设备和关键计算设备进行冗余配置，例如关键网络设备应采用主备或负载均衡的部署方式；2)安全厂家在进行安全解决方案设计时，也应采用主备或负载均衡的方式进行设计、部署；3)强调、突出了网络区域的概念，无论在网络基础建设，还是安全网络规划，都应该根据系统应用的实际情况进行区域划分。
等保2.0主要标准-解释说明
等保2.0主要标准-概述说明以及解释1.引言1.1 概述概述随着信息技术的不断发展和日益普及，网络空间安全问题已经成为了一个全球性难题。
为了提高国家网络安全水平，我国推出了一系列的信息安全等级保护（等保）标准。
等保标准旨在规范和指导各类网络系统、设备和服务的安全建设与管理，以保护国家的核心信息基础设施和重要信息资源的安全。
在等保标准的演进过程中，等保2.0标准应运而生。
等保2.0标准是在等保1.0标准的基础上进一步完善和提升的，以适应网络安全形势的发展和应对新的威胁挑战。
本文将从等保2.0标准的角度，对其主要内容、应用与实施以及重要性进行深入探讨。
另外，还将对等保2.0标准存在的局限性进行分析，并展望其未来的发展方向。
通过阅读本文，读者可对等保2.0标准有一个全面的了解，从而更好地理解和应用这一标准，提升网络安全保障水平，推动我国网络安全事业的健康发展。
1.2 文章结构文章结构部分的内容可以包括以下几个方面：首先，简要介绍本文的组织结构。
本文主要分为三个部分，分别是引言、正文和结论。
每个部分都涵盖了等保2.0主要标准相关的内容，通过逐步展开的方式，从整体和细节两个层面深入探讨等保2.0主要标准的方方面面。
其次，详细说明引言部分的内容。
引言部分将提供该篇文章的背景信息以及对等保2.0主要标准的整体概述。
包括等保2.0标准的定义、由来和发展背景等内容，以便读者能够对本文所述的主题有一个基本的了解。
接着，阐述正文部分的内容和结构。
正文部分是本文的核心，将对等保2.0主要标准进行详细介绍。
主要分为两个子节：等保2.0标准的介绍和等保2.0标准的主要内容。
等保2.0标准的介绍将给出更具体的详细信息，包括标准的制定机构、标准的适用范围和目标等。
而等保2.0标准的主要内容将对标准的具体要求和指导进行详细解读，包括网络安全风险评估与等级划分、网络安全保护等级与技术要求等方面。
最后，简要说明结论部分的内容和意义。
等保2.0的各级别的高风险项的归纳总结
判例场景（任意）：
1）机房无短期备用电力供应设备，例如UPS、柴油发电机、应急供电车等；
2）机房现有备用电力供应无法满足定级对象短期正常运行。
5
应提供应急供电设施
机房应急供电措施缺失
高可用性的四级系统
判例场景（任意）：
1）机房未配备应急供电设施，例如柴油发电机、应急供电车等；
2）应急供电措施不可用或无法满足定级对象正常运行需求。
二级及以上系统
判例场景（任意）：
1）关键网络设备、关键安全设备、关键主机设备（包括操作系统、数据库等）的重要操作、安全事件日志可被非预期删除、修改或覆盖等；
2）关键网络设备、关键安全设备、关键主机设备（包括操作系统、数据库等）的重要操作、安全事件日志的留存时间不满足法律法规规定的要求（不少于六个月)
等保2.0的各级别的高风险项的归纳总结，以及对应满足条件说明
序号
层面
控制点
控制项
对应案例
适用范围
满足条件
1
安全物理环境
物理访问控制
机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员
机房出入口访问控制措施缺失
二级及以上系统
机房出入口无任何访问控制措施，例如未安装电子或机械门锁（包括机房大门处于未上锁状态）、无专人值守等。
判例场景（所有）：
1）应用系统存在SQL注入、跨站脚本、上传漏洞等可能导致敏感数据泄露、网页篡改、服务器被入侵等安全事件的发生，造成严重后果的高危漏洞；
2）未采取WEB应用防火墙、云盾等技术防护手段对高危漏洞进行防范。
判例场景（所有）：
1）应用系统无任何日志审计功能，无法对重要的用户行为和重要安全事件进行审计；
2）未采取其他审计措施或其他审计措施存在漏记、旁路等缺陷，无法对应用系统重要的用户行为和重要安全事件进行溯源。
等级保护2.0时代网络安全防护体系(等保2.0)
新型安全攻击层出不穷
震网 棱镜门事件 索尼影业被黑
乌克兰电网
tw itter3 2 0 0 万 账号密码泄漏
心脏滴血漏洞
美国西海岸
Continue
Stru ts2 漏洞
永恒之蓝
新型安全攻击层出不穷
□ A P T 攻击日益剧增
□ 具备国家和组织背景的A P T 攻击日益增多，APT结合了社会工 程学（内部威胁）、挂马、0 d a y 漏洞、深层渗透、长期潜伏、 隐蔽等特点，非常具有破坏性，是未来网络战的主要手段，也 是对网络空间安全危害最大的一种攻击方式。
针对网络安全新形势、新特点，提出了整体、动态、开放、相对、共同的 辩证网络安全观
针对全球互联网领域发展不平衡、规则不健全、秩序不合理等问题，提出 了在相互尊重、相互信任基础上合作共赢的网络安全观
□ Stuxnet蠕虫病毒（性病毒，能够利用对windows系统和 西门子SIMATIC W i n C C 系统的7个漏洞进行攻击。
□ BlackEnergy（黑暗力量）利用西门子W i n C C 系统已修复的 漏洞发动攻击。
日益增强的攻击手段
水利
广播电视
关键信息基础设施的安全保护等 水利枢纽运行及管控 长距离输水管控
电视播出管控 广播播出管控
城市水源地管控
医疗卫生
级
政府部门
医院等卫生机构运行 疾病控制
急救中心运行
信息公开 向公众服务 办公业务系统
工业制造
企业运营管理 智能制造系统
存储管控 高风险工业设施运行管控
不低于第三级。
能源
电力 石油石化 煤炭
网络安全领域基本法
国家安全五个领域 （海、陆、空、天、网） 目标：网际空间自主可控安全可靠
等保2.0时代,您需要什么样的电子门禁系统？
电子门禁系统是新型现代化安全管理系统，是解决重要区域出入口安全防范管理的必要措施，广泛应用于军械库、机要室、银行、机房、医院等各类机要部门，是我国信息化安全建设中必不可少的基础设施。
但鲜为人知的是：目前市面上大部分电子门禁系统都存在各种各样的安全隐患，比如用得最多的IC卡/M1卡电子门禁系统，早于2008年就已被破解。
为此，在2019年12月1日起正式实施的等保2.0及GMT0054-2018等相关标准中，对电子门禁系统明确了如下安全要求：
为彻底解决相关安全隐患，天津光电安辰推出了符合等保2.0 及GMT0054-2018标准要求的国密电子门禁系统。
读卡器
出门按钮
门禁控制器
电锁
读卡器
出门按钮
门禁控制器
电锁
服务中心
消防联动模块
该电子门禁系统采用了如下密码技术应用方案： 同时，该系统已通过国家密码管理局的评测，并获得国家密码管理局颁发的相关安全产品型号认证证书。
信息安全是影响国家安全的重中之重，在泄密风险无处不在的信息时代，如何采用高科技产品和技术手段来防护自身的信息安全也是一门大的学问，天津光电安辰将竭诚为您提供各种信息安全防护产品和服务，为您的信息安全保驾护航。
等保2.0政策规范解读(63页 PPT )
d) 应限制无线网络的使用，确保无线网络通过受控的边界防护设备 接入内部网络。
入侵防范
b) 应在关键网络节点处检测、防止或限制从内部发起的网络攻击行 为； (新增)
设计要求
测评要求
通用要求
云计算
物联网
移动互联
工业控制
7
。 share
等保2.0标准解读
勇 share
等级保护1.0和2.0对比
旧标准(等级保护1.0)
技术要求
物理安全 网络安全 主机安全 应用安全
管理要求
数据安全及备份恢复 安全管理制度 安全管理机构 人员安全管理 系统建设管理 系统运维管理
9
新标准(等级保护2.0)
无 入侵防范
无
a) 应采用校验码技术或密码技术保证通信过程中数据的完整性；
通信传输 b) 应采用密码技术保证通信过程中敏感信息字段或整个报文的保密 性。
a) 应保证跨越边界的访问和数据流通过边界防护设备提供的受控接 口进行通信；
边界防护
b) 应能够对非授权设备私自联到内部网络的行为进行限制或检 查；
3
4
6 防水和防潮
3
2
7 防静电
2
1
8 温湿度控制
1
4
9 电力供应
3
3
10 电磁防护
2
。 share
物理位置的选择
原控制项
新控制项
b）机房场地应避免设在建筑物的高层或 地下室,以及用水设备的下层或隔壁。 物理位置的选择
b）机房场地应避免设在建筑物的顶层或地下室, 否则应加强防水和防潮措施
防静电
无
等保2.0通用要求VS等保1.0(三级)技术部分要求详细对比
等保 2.0系列原则即将发布，网络安全级别保护基本规定通用规定在信息安全级别保护基本规定技术部分的基本上进行了某些调节，湖南金盾就网络安全级别保护基本规定通用规定在信息安全级别保护基本规定进行了具体对比，下面以三级为例进行一种对比。
网络安全级别保护基本规定通用规定技术部分与信息安全级别保护基本规定技术部分构造由本来的五个层面：物理安全、网络安全、主机安全、应用安全、数据安全，调节为四个部分：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全；技术规定“从面到点”提出安全规定，“物理和环境安全”重要对机房设施提出规定，“网络和通信安全”重要对网络整体提出规定，“设备和计算安全”重要对构成节点（涉及网络设备、安全设备、操作系统、数据库、中间件等）提出规定，“应用和数据安全”重要对业务应用和数据提出规定。
（标粗内容为三级和二级的变化，标红部门为新原则重要变化）
•
物理与环境安全VS本来物理安全
•
控制点未发生变化，规定项数由本来的32项调节为22项。
控制点
•
网络和通信安全VS本来网络安全
•
新原则减少了构造安全、边界完整性检查、网络设备防护三个控制
•
设备和计算安全VS本来主机安全
•
新原则减少了剩余信息保护一种控制点，在测评对象上，把网络设
•
应用和数据安全VS本来应用安全+数据安全及备份恢复
•
新原则将应用安全、数据安全及备份恢复两个层面合并成了应用和数据安全一种层面，减少了通信完整性、通信保密性和抗抵赖三个控制点，增长了个人信息保护控制点。
通信完整性和通信保密性的规定纳入了网络。
等保2.0之应用及数据层面测评
否对通信双方的内容进行了加密。
抗抵赖
要求项要（求2项） A. 应具有在请求的情况下为数据原发者或接收者提供数据原发证
据的功能； B. 应具有在请求的情况下为数据原发者或接收者提供数据接收证 据 的功能。
条条款款理理解解 该项要求强调应用系统应提供抗抵赖措施（如数字签名等），从而保证发送和接
应用安全测评方法
（二）通过检查，确认其是否具备相应安全功能和配置
· 查看应用是否具备有关的安全功能模块 · 检查应用相应的安全配置情况
（三）验证安全功能及安全配置的有效性
· 对于具备验证测试条件的系统，通过验证测
试判断安全防范能力
· 默认开放、无需配置的可通过验证的方式判
断其是否具备防护能力
· 对于在前序检查中结果不一致的项目，可通
成相互制约的关系； E. 应具有对重要信息资源设置敏感标记的功能； F. 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。
条条款款理理解解 三级系统要求访问控制的粒度达到文件、数据库表级，权限之间具有制约关系（
如：操作、管理、审计权限的三权分离），并利用敏感标记控制用户对重要信息 资源的操作； 在应用系统中应严格限制默认用户的访问权限，默认用户一般指应用系统的公共 帐户或测试帐户； 应用系统授予帐户所承担任务所需的最小权限，如某岗位只需进行查询操作，则 无需为其分配操作权限；同时，该项要求明确规定应在不同帐户之间形成相互制 约关系；
身份鉴别
要要求求项项（5） D. 应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出
等措施； E. 应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查 以 及登录失败处理功能，并根据安全策略配置相关参数。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1 等保三级要求的通用要求
等保三级从安全通信网络、安全计算环境、安全建设管理、安全运维管理四个域对密码技术与产品提出了要求，主要涉及以下八处密码技术：
通信传输
a)应采用校验技术或密码技术保证通信过程中数据的完整性；
b)应采用密码技术保证通信过程中数据的保密性。
身份鉴别
d)应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。
数据完整性
a)应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等；
b)应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。
数据保密性
a)应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等；
b)应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。
安全方案设计
b)应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计，设计内容应包含密码技术相关内容，并形成配套文件；
产品采购和使用
b)应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求；
测试验收
b)应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用安全性测试相关内容。
密码管理
b)应使用国家密码管理主管部门认证核准的密码技术和产品。
2等保与0054标准中对密码技术的要求分析
将等保中对密码技术与产品的要求，细化映射到《GM/T 0054-2018 信息系统密码应用基本要求》标准（简称“0054标准”）中对密码的技术要求，如下表所示：
1等保与0054标准对数据完整性的密码技术要求分析
等保在安全通信网络、安全计算环境中提出，可以采用密码技术来保证数据的完整性，其中主要保护的主体是安全通信网络中通信数据、安全计算环境中包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息。
映射到0054标准中三级要求的物理与环境安全、网络与通信
安全，设备与计算的安全中，主要保护的数据就是电子门禁系统进出记录、视频监控音像记录、通信中的数据、资源访问控制信息、重要信息资源敏感标记日志记录、访问控制策略/信息/重要信息资源敏感标记、重要数据、日志记录等数据。
这些数据应采用密码技术进行保护，保证数据的完整性，主要的密码技术实现方式可采用消息鉴别码（MAC）或数字签名。
2等保与0054标准对身份鉴别中的密码技术要求分析
等保中在安全计算环境中对身份鉴别中的密码技术提出要求，要求身份鉴别中至少要使用一种密码技术，模糊原来等保中的物理与环境安全、网络与通信安全，设备与计算的安全、应用与数据安全的概念。
0054标准继续沿用等保，仍从物理与环境、设备与计算、网络与通信，设备与计算的安全、应用与数据安全，对信息系统中的网络设备以及用户的登录都做了详细的密码技术要求，从而保证四大层面上网络设备的边界接入、管理员、审计员、操作用户的身份的真实性。
主要的密码技术实现方式可采用对称加密、动态口令、数字签名等。
3等保与0054标准对数据保密性的密码技术要求分析
等保中安全计算环境对数据的保密性也提出了要求，映射到0054标准的网络与通信安全，设备与计算的安全、应用与数据安全三大层面中，即是对数据的机密性要求。
即设备与计算中敏感信息数据字段或整个报文、网络与通信身份鉴别信息、应用与数据安全重要数据，都需要密码技术来保证机密性，主要的密码技术实现方式为加密。
4等保与0054标准对不可否认性的密码技术要求分析
此外，0054标准中对不可否认性也要做了要求，主要保证的是网络和信息系统中所有需要无法否认行为，包括发送、接收、审批、创建、修改、删除、添加、配置等操作。
主要的密码技术实现方式为数字签名等。
5等保与0054标准对密码产品与服务的要求分析
等保中对产品采购、密码管理中要求密码产品与服务的采购和使用符合国家密码管理主管部门的要求，0054标准的总体要求中对密码算法、密码技术、密码产品、密码服务都做出要求，具体如下：
密码算法信息系统中使用的密码算法应当符合法律、法规的规定和密码相关国家标准、行业标准的有关要求。
密码技术信息系统中使用的密码技术应遵循密码相关国家标准和行业标准。
密码产品信息系统中使用的密码产品与密码模块应通过国家密码管理部门核准。
密码服务信息系统中使用的密码服务应通过国家密码管理部门许可。
以上要求可以看出，0054标准中要求信息系统密码应用中所使用的算法、技术、产品、服务也都需要遵循国家密码管理主管部门的要求。
6等保与0054标准对密码方案及测评验收要求分析
等保对密码方案及测评验收的要求，映射到0054标准的实施中密码方案的规划、信息系统的建设、运行，如等级保护第三级信息系统中要求：
信息系统规划阶段，责任单位应依据密码相关标准，制定密码应用方案，组织专家进行评审，评审意见作为项目规划立项的重要材料。
通过专家审定后的方案应作为建设、验收和测评的重要依据。