钢铁行业网络安全等级测评标准

❶ 网络安全等级保护2.0国家标准

等级保护2.0标准体系主要标准如下：1.网络安全等级保护条例2.计算机信息系统安全保护等级划分准则3.网络安全等级保护实施指南4.网络安全等级保护定级指南5.网络安全等级保护基本要求6.网络安全等级保护设计技术要求7.网络安全等级保护测评要求8.网络安全等级保护测评过程指南。
第一级（自主保护级），等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益；
第二级（指导保护级），等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；
第三级（监督保护级），等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害；
第四级（强制保护级），等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害；
第五级（专控保护级），等级保护对象受到破坏后，会对国家安全造成特别严重损害
相较于1.0版本，2.0在内容上到底有哪些变化呢？
1.0定级的对象是信息系统，2.0标准的定级的对象扩展至：基础信息网络、云计算平台、物联网、工业控制系统、使用移动互联技术的网络以及大数据平台等多个系统，覆盖面更广。
再者，在系统遭到破坏后，对公民、法人和其他组织的合法权益造成特别严重损害的由原来的最高定为二级改为现在的最高可以定为三级。
最后，等保2.0标准不再强调自主定级，而是强调合理定级，系统定级必须经过专家评审和主管部门审核，才能到公安机关备案，定级更加严格。
总结通过建立安全技术体系和安全管理体系，构建具备相应等级安全保护能力的网络安全综合防御体系，开展组织管理、机制建设、安全规划、通报预警、应急处置、态势感知、能力建设、监督检查、技术检测、队伍建设、教育培训和经费保障等工作。法律依据：《中华人民共和国网络安全法》
第二十一条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；
（四）采取数据分类、重要数据备份和加密等措施；
（五）法律、行政法规规定的其他义务。
第三十一条国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。
国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。

❷ 等保保护分为几级企业如何定级

等保测评分为五个级别，从一到五级别逐渐升高。等级越高，说明信息系统重要性越高。一般企业项目多为等保二级、三级。对网络安全有特定高要求的军工、电力、金融等单位应符合等保三级或等保四级；等保一级和等保五级（涉密）由于安全性太低或太高，单位或组织少有涉及。

等保2.0时代，等保测评中的定级对象级别必须经过专家评审和主管部门审核。定级流程为：确定定级对象→初步确定等级→主管部门审核→专家评审→公安机关备案审查（最终确定等级）。

建议运营使用单位或者其主管部门应当选择符合资质要求的第三方测评机构，比如国家网络安全等级保护工作协调小组办公室推荐测评机构-时代新威（推荐理由：1、一站式等级保护服务专家，省时省心2、做过大量各行业等保测评案例。3、从事网络安全18年），依据《网络安全等级保护测评要求》等技术标准，定期对等级保护对象开展等级测评。第三级定级对象应当每年进行一次等级测评工作，第四级定级对象应当每半年进行一次等级测评工作，第五级定级对象应当依据特殊安全需求进行等级测评。

❸ 网络安全等级保护级别

网络信息系统安全等级保护分为五级，第一级为自主保护级，第二级为指导保护级，第三级为监督保护级，第四级为强制保护级，第五级为专控保护级，五级防护水平一级最低，五级最高。
网络安全等级保护级别具体介绍？
1、第一级（自主保护级），会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益；
2、第二级（指导保护级），会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；
3、第三级（监督保护级），会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害；
4、第四级（强制保护级），会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害；
5、第五级（专控保护级），会对国家安全造成特别严重损害。
国家质量技术监督局标准规定了计算机信息系统安全保护能力的五个等级：
第一级：用户自主保护级，_第二级：系统审计保护级，第三级：安全标记保护级，第四级：结构化保护级，第五级：访问验证保护级。

信息安全等级保护，是对信息和信息载体按照重要性等级分级别进行保护的一种工作，在中国、美国等很多国家都存在的一种信息安全领域的工作。
总结网络安全等级保护的级别划分是根据网络系统在国家安全、经济建设、社会生活中的重要程度,以及网络系统遭到破坏后,对国家安全、社会秩序、公共利益及公民、法人和其他组织的合法权益
法律依据：《中华人民共和国网络安全法》第二十一条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取

❹ 网络安全等级保护等级分为几级

信息系统的安全保护等级分为以下五级：

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序 和公共利益造成损害，但不损害国家安全。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

中华人民共和国人民警察法》第六条第十二款规定，人民警察履行“监督管理计算机信息系统的安全保护工作”的职责。

1994年《中华人民共和国计算机信息系统安全保护条例》（国务院令第147号）第九条明确规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”。

2008年国务院“三定”方案，赋予公安部“监督、检查、指导信息安全等级保护工作”法定职责。

❺ 网络安全等级保护测评相关问题|总结等保三级需要哪些设备

等保即网络安全等级保护，“三级等保”顾名思义就是安全等级保护三级。是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息在存储、传输、处理这些信息时分等级实行安全保护；对信息系统中使用的信息安全产品实行按等级管理；对信息系统中发生的信息安全事件分等级响应、处置。

三级等保、等保的评审流程：

系统定级→系统备案→整改实施→系统测评→运维检查

①系统定级：编写定级报告、填写定级备案表。

②系统备案：定级备案表填写完整后，将定级材料提交至公安机关进行备案审核。

③整改实施：对系统进行调研，开展差距评估，依照国家相关标准进行方案设计，完成相应设备采购及调整、策略配置调试、完善管理制度等工作。

④系统测评：请当地测评机构，对系统进行全方面测评，测评评分合格后获得合格测评报告，并最终获得等级保护备案证。

⑤运维检查：系统持续运维与优化，并按照相关要求进行年检。

一般在进行等保测评时，会遇到相关问题，我整理了几个常见问题，找专业人士（等保测评机构-时代新威提供）做了解答：

1、网站不做等保，出了问题将承担什么责任？

①网络运营者不履行《中华人民共和国网络安全法》【第二十一条】规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。

②关键信息基础设施的运营者不履行《中华人民共和国网络安全法》【第三十四条】规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。

2、哪些行业需要做等保？

金融行业、游戏行业、教育行业、电商行业、网贷行业、通讯行业、能源行业、运输行业等。

3、递交的备案资料都包括哪些内容？

①《信息系统安全等级保护备案表》（一式两份）

②《信息系统安全等级保护定级报告》（一个系统一份）

③《系统定级评审意见》（或上级主管部门定级审核意见）

④相关电子数据等

4、整改会不会涉及到要购置设备？如果有些不符合项目不能马上关闭能不能通过备案？

根据《GB T22239-2008信息安全技术信息系统安全等级保护基本要求》，三级系统有如下要求：

①应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性；

②应建立备用供电系统；

以上检查项需要购置设备，对二级系统没有此要求，但在二级系统中，构成系统网络安全的必要硬件则必须有；

5、整个周期是多长？其中现场测评时间多长？

①整个测评周期包括前期调研、现场测评、后期报告编写等，一般情况下一个二级系统会占用3~4周，一个三级系统会占用4~5周（指初次测评，不包括整改和加固时间）；

② 其中现场测评（指在被测系统单位现场的测评）的时间根据系统的数量而定：一般一个二级系统会占用3~4个工作日，一个三级系统会占用5~6个工作日（两组同时进行，每组两人）。

6、等保测评检查周期是多长？

二级系统每2年进行一次测评检查，三级系统每年检查一次。

更多问题可直接去时代新威官网查看。

❻ 网络安全等级保护等级分为几级

五级。

1、第一级（自主保护级），会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

2、第二级（指导保护级），会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

3、第三级（监督保护级），会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

4、第四级（强制保护级），会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

5、第五级（专控保护级），会对国家安全造成特别严重损害。

基本原则：

自主保护原则：信息系统运营、使用单位及其主管部门按照国家相关法规和标准，自主确定信息系统的安全保护等级，自行组织实施安全保护。

重点保护原则：根据信息系统的重要程度、业务特点，通过划分不同安全保护等级的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统。

同步建设原则：信息系统在新建、改建、扩建时应当同步规划和设计安全方案，投入一定比例的资金建设信息安全设施，保障信息安全与信息化建设相适应。

动态调整原则：要跟踪信息系统的变化情况，调整安全保护措施。由于信息系统的应用类型、范围等条件的变化及其他原因，安全保护等级需要变更的，应当根据等级保护的管理规范和技术标准的要求，重新确定信息系统的安全保护等级，根据信息系统安全保护等级的调整情况，重新实施安全保护。

❼ 网络安全分为几个级别

网络安全级别按安全级别由高到低分为A、B、C、D四个级别。这些安全级别不是线性的，而是成倍增加的。

1、D1 级

这是计算机安全的最低级别。整个计算机系统不可信，硬件和操作系统容易受到攻击。D1级计算机系统标准规定对用户没有认证，即任何人都可以无障碍地使用计算机系统。系统不需要用户注册（需要用户名）或密码保护（需要用户提供唯一的访问字符串）。任何人都可以坐在电脑前开始使用它。

2、C1 级

C1级系统要求硬件具有一定的安全机制（如硬件锁定装置和使用计算机的密钥），用户在使用前必须登录系统。C1级系统还需要完全的访问控制能力，这应该允许系统管理员为某些程序或数据建立访问权限。C1级保护的缺点是用户直接访问操作系统的根目录。C1级不能控制用户进入系统的访问级别，用户可以任意移动系统数据。

3、C2 级

C1级C2级的一些缺点强化了几个特点。C2级引入了受控访问环境（用户权限级）的增强功能。此功能不仅基于用户权限，而且还进一步限制用户执行某些系统指令。授权层次结构允许系统管理员对用户进行分组，并授予他们访问某些程序或层次目录的权限。

另一方面，用户权限授权用户访问程序驻留在单个单元中的目录。如果其他程序和数据在同一目录中，则会自动授予用户访问这些信息的权限。指挥控制级系统也采用系统审计。审计功能跟踪所有“安全事件”，如登录（成功和失败），以及系统管理员的工作，如更改用户访问权限和密码。

4、B1 级

B1级系统支持多级安全，多级是指这一安全保护安装在不同级别的系统中(网络、应用程序、工作站等)，它对敏感信息提供更高级的保护。例如安全级别可以分为解密、保密和绝密级别。

5、B2 级

这一级别称为结构化的保护(Structured Protection)。B2 级安全要求计算机系统中所有对象加标签，而且给设备(如工作站、终端和磁盘驱动器)分配安全级别。如用户可以访问一台工作站，但可能不允许访问装有人员工资资料的磁盘子系统。

6、B3 级

B3级要求用户工作站或终端通过可信任途径连接网络系统，这一级必须采用硬件来保护安全系统的存储区。

7、A 级

这是橙色书籍中最高级别的安全性，有时被称为验证设计(verified design)。与以前的级别一样，此级别包含其较低级别的所有功能。A级还包括安全系统监控的设计要求，合格的安全人员必须分析并通过设计。此外，必须采用严格的形式化方法来证明系统的安全性。在A级，构成系统的所有组件的来源必须得到保护，这些安全措施还必须确保这些组件在销售过程中不会损坏。例如，在A级设置中，磁带驱动器从生产工厂到计算机室都会被密切跟踪

❽ 信息安全等级保护十三大重要标准是什么

计算机信息系统安全等级保护划分准则 （GB 17859-1999） （基础类标准）
信息系统安全等级保护实施指南 （GB/T 25058-2010） （基础类标准）
信息系统安全保护等级定级指南 （GB/T 22240-2008） （应用类定级标准）
信息系统安全等级保护基本要求 （GB/T 22239-2008） （应用类建设标准）
信息系统通用安全技术要求 （GB/T 20271-2006） （应用类建设标准）
信息系统等级保护安全设计技术要求 （GB/T 25070-2010） （应用类建设标准）
信息系统安全等级保护测评要求 （GB/T 28448-2012）（应用类测评标准）
信息系统安全等级保护测评过程指南 （GB/T 28449-2012）（应用类测评标准）
信息系统安全管理要求 （GB/T 20269-2006） （应用类管理标准）
信息系统安全工程管理要求 （GB/T 20282-2006） （应用类管理标准）
信息安全技术网络安全等级保护基本要求（GB/T 22239-2019）（基础类标准）
信息安全技术网络安全等级保护安全设计技术要求（GB/T 25070-2019）（应用类建设标准）
信息安全技术网络安全等级保护测评要求（GB/T 28448-2019）（应用类测评标准）