《信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求》(GB/T 22239-2008)在我國推行信息安全等級保護(hù)制度的過程中起到了非常重要的作用, 被廣泛用于各行業(yè)或領(lǐng)域, 指導(dǎo)用戶開展信息系統(tǒng)安全等級保護(hù)的建設(shè)整改、等級測評等工作。隨著信息技術(shù)的發(fā)展, 已有10年歷史的《GB/T 22239-2008》在時效性、易用性、可操作性上需要進(jìn)一步完善。2017年《中華人民共和國網(wǎng)絡(luò)安全法》實(shí)施, 為了配合國家落實(shí)網(wǎng)絡(luò)安全等級保護(hù)制度, 也需要修訂《GB/T 22239-2008》。
2014年, 全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(以下簡稱安標(biāo)委)下達(dá)了對《GB/T 22239-2008》進(jìn)行修訂的任務(wù)。標(biāo)準(zhǔn)修訂主要承擔(dān)單位為公安部第三研究所(公安部信息安全等級保護(hù)評估中心), 20多家企事業(yè)單位派人員參與了標(biāo)準(zhǔn)的修訂工作。標(biāo)準(zhǔn)編制組于2014年成立, 先后調(diào)研了國際和國內(nèi)云計算平臺、大數(shù)據(jù)應(yīng)用、移動互聯(lián)接入、物聯(lián)網(wǎng)和工業(yè)控制系統(tǒng)等新技術(shù)、新應(yīng)用的使用情況, 分析并總結(jié)了新技術(shù)和新應(yīng)用中的安全關(guān)注點(diǎn)和安全控制要素, 完成了基本要求草案第一稿。
2015年2月至2016年7月, 標(biāo)準(zhǔn)編制組在草案第一稿的基礎(chǔ)上, 廣泛征求行業(yè)用戶單位、安全服務(wù)機(jī)構(gòu)和各行業(yè)/領(lǐng)域?qū)＜业囊庖? 并按照意見調(diào)整和完善標(biāo)準(zhǔn)草案, 先后共形成7個版本的標(biāo)準(zhǔn)草案。2016年9月, 標(biāo)準(zhǔn)編制組參加了安標(biāo)委WG5 工作組在研標(biāo)準(zhǔn)推進(jìn)會, 按照專家及成員單位提出的修改建議, 對草案進(jìn)行了修改, 形成了標(biāo)準(zhǔn)征求意見稿。2017年4月, 標(biāo)準(zhǔn)編制組再次參加了安標(biāo)委WG5 工作組在研標(biāo)準(zhǔn)推進(jìn)會, 根據(jù)征求意見稿收集的修改建議, 對征求意見稿進(jìn)行了修改, 形成了標(biāo)準(zhǔn)送審稿。2017年10月, 標(biāo)準(zhǔn)編制組又一次參加了安標(biāo)委WG5 工作組在研標(biāo)準(zhǔn)推進(jìn)會, 在會上介紹了送審稿內(nèi)容, 并征求成員單位意見, 根據(jù)收集的修改建議, 對送審稿進(jìn)行了修改完善, 形成了標(biāo)準(zhǔn)報批稿。
2019年《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)基本要求》(GB/T 22239-2019)將正式實(shí)施。本文分析《GB/T 22239-2019》相較《GB/T 22239-2008》發(fā)生的主要變化, 解讀其安全通用要求和安全擴(kuò)展要求的主要內(nèi)容, 以便于讀者更好地了解和掌握《GB/T 22239-2019》的內(nèi)容。更多關(guān)于信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)的相關(guān)問題，可咨詢山東世通國際認(rèn)證有限公司，專業(yè)等級保護(hù)測評，電話：400-675-8617
1 總體結(jié)構(gòu)的變化
1.1 主要變化內(nèi)容
《GB/T 22239-2019》相較于《GB/T 22239-2008》, 無論是在總體結(jié)構(gòu)方面還是在細(xì)節(jié)內(nèi)容方面均發(fā)生了變化[4]。在總體結(jié)構(gòu)方面的主要變化為：
1)為適應(yīng)網(wǎng)絡(luò)安全法, 配合落實(shí)網(wǎng)絡(luò)安全等級保護(hù)制度, 標(biāo)準(zhǔn)的名稱由原來的《信息系統(tǒng)安全等級保護(hù)基本要求》改為《網(wǎng)絡(luò)安全等級保護(hù)基本要求》。
2)等級保護(hù)對象由原來的信息系統(tǒng)調(diào)整為基礎(chǔ)信息網(wǎng)絡(luò)、信息系統(tǒng)(含采用移動互聯(lián)技術(shù)的系統(tǒng))、云計算平臺/系統(tǒng)、大數(shù)據(jù)應(yīng)用/平臺/資源、物聯(lián)網(wǎng)和工業(yè)控制系統(tǒng)等。
3)將原來各個級別的安全要求分為安全通用要求和安全擴(kuò)展要求, 安全擴(kuò)展要求包括云計算安全擴(kuò)展要求、移動互聯(lián)安全擴(kuò)展要求、物聯(lián)網(wǎng)安全擴(kuò)展要求以及工業(yè)控制系統(tǒng)安全擴(kuò)展要求。安全通用要求是不管等級保護(hù)對象形態(tài)如何必須滿足的要求; 針對云計算、移動互聯(lián)、物聯(lián)網(wǎng)和工業(yè)控制系統(tǒng)提出的特殊要求稱為安全擴(kuò)展要求。
4)原來基本要求中各級技術(shù)要求的“ 物理安全” 、“ 網(wǎng)絡(luò)安全” 、“ 主機(jī)安全” 、“ 應(yīng)用安全” 和“ 數(shù)據(jù)安全和備份與恢復(fù)” 修訂為“ 安全物理環(huán)境” 、“ 安全通信網(wǎng)絡(luò)” 、“ 安全區(qū)域邊界” 、“ 安全計算環(huán)境” 和“ 安全管理中心” ; 原各級管理要求的“ 安全管理制度” 、“ 安全管理機(jī)構(gòu)” 、“ 人員安全管理” 、“ 系統(tǒng)建設(shè)管理” 和“ 系統(tǒng)運(yùn)維管理” 修訂為“ 安全管理制度” 、“ 安全管理機(jī)構(gòu)” 、“ 安全管理人員” 、“ 安全建設(shè)管理” 和“ 安全運(yùn)維管理” [5]。
5)云計算安全擴(kuò)展要求針對云計算環(huán)境的特點(diǎn)提出。主要內(nèi)容包括“ 基礎(chǔ)設(shè)施的位置” 、“ 虛擬化安全保護(hù)” 、“ 鏡像和快照保護(hù)” 、“ 云計算環(huán)境管理” 和“ 云服務(wù)商選擇” 等。
6)移動互聯(lián)安全擴(kuò)展要求針對移動互聯(lián)的特點(diǎn)提出。主要內(nèi)容包括“ 無線接入點(diǎn)的物理位置” 、“ 移動終端管控” 、“ 移動應(yīng)用管控” 、“ 移動應(yīng)用軟件采購” 和“ 移動應(yīng)用軟件開發(fā)” 等。
7)物聯(lián)網(wǎng)安全擴(kuò)展要求針對物聯(lián)網(wǎng)的特點(diǎn)提出。主要內(nèi)容包括“ 感知節(jié)點(diǎn)的物理防護(hù)” 、“ 感知節(jié)點(diǎn)設(shè)備安全” 、“ 網(wǎng)關(guān)節(jié)點(diǎn)設(shè)備安全” 、“ 感知節(jié)點(diǎn)的管理” 和“ 數(shù)據(jù)融合處理” 等。
8)工業(yè)控制系統(tǒng)安全擴(kuò)展要求針對工業(yè)控制系統(tǒng)的特點(diǎn)提出。主要內(nèi)容包括“ 室外控制設(shè)備防護(hù)” 、“ 工業(yè)控制系統(tǒng)網(wǎng)絡(luò)架構(gòu)安全” 、“ 撥號使用控制” 、“ 無線使用控制” 和“ 控制設(shè)備安全” 等。
9)取消了原來安全控制點(diǎn)的S、A、G標(biāo)注, 增加附錄A“ 關(guān)于安全通用要求和安全擴(kuò)展要求的選擇和使用” , 描述等級保護(hù)對象的定級結(jié)果和安全要求之間的關(guān)系, 說明如何根據(jù)定級的S、A結(jié)果選擇安全要求的相關(guān)條款, 簡化了標(biāo)準(zhǔn)正文部分的內(nèi)容。
10)增加附錄C描述等級保護(hù)安全框架和關(guān)鍵技術(shù)、附錄D描述云計算應(yīng)用場景、附錄E描述移動互聯(lián)應(yīng)用場景、附錄F描述物聯(lián)網(wǎng)應(yīng)用場景、附錄G描述工業(yè)控制系統(tǒng)應(yīng)用場景、附錄H描述大數(shù)據(jù)應(yīng)用場景[6, 7]。
1.2 變化的意義和作用
《GB/T 22239-2019》采用安全通用要求和安全擴(kuò)展要求的劃分使得標(biāo)準(zhǔn)的使用更加具有靈活性和針對性。不同等級保護(hù)對象由于采用的信息技術(shù)不同, 所采用的保護(hù)措施也會不同。例如, 傳統(tǒng)的信息系統(tǒng)和云計算平臺的保護(hù)措施有差異, 云計算平臺和工業(yè)控制系統(tǒng)的保護(hù)措施也有差異。為了體現(xiàn)不同對象的保護(hù)差異, 《GB/T 22239-2019》將安全要求劃分為安全通用要求和安全擴(kuò)展要求。
安全通用要求針對共性化保護(hù)需求提出, 無論等級保護(hù)對象以何種形式出現(xiàn), 需要根據(jù)安全保護(hù)等級實(shí)現(xiàn)相應(yīng)級別的安全通用要求。安全擴(kuò)展要求針對個性化保護(hù)需求提出, 等級保護(hù)對象需要根據(jù)安全保護(hù)等級、使用的特定技術(shù)或特定的應(yīng)用場景實(shí)現(xiàn)安全擴(kuò)展要求。等級保護(hù)對象的安全保護(hù)措施需要同時實(shí)現(xiàn)安全通用要求和安全擴(kuò)展要求, 從而更加有效地保護(hù)等級保護(hù)對象。例如, 傳統(tǒng)的信息系統(tǒng)可能只需要采用安全通用要求提出的保護(hù)措施即可, 而云計算平臺不僅需要采用安全通用要求提出的保護(hù)措施, 還要針對云計算平臺的技術(shù)特點(diǎn)采用云計算安全擴(kuò)展要求提出的保護(hù)措施; 工業(yè)控制系統(tǒng)不僅需要采用安全通用要求提出的保護(hù)措施, 還要針對工業(yè)控制系統(tǒng)的技術(shù)特點(diǎn)采用工業(yè)控制系統(tǒng)安全擴(kuò)展要求提出的保護(hù)措施。
2 安全通用要求的內(nèi)容
2.1 安全通用要求基本分類
《GB/T 22239-2019》規(guī)定了第一級到第四級等級保護(hù)對象的安全要求, 每個級別的安全要求均由安全通用要求和安全擴(kuò)展要求構(gòu)成。例如, 《GB/T 22239-2019》提出的第三級安全要求基本結(jié)構(gòu)為：
8 第三級安全要求
8.1 安全通用要求
8.2 云計算安全擴(kuò)展要求
8.3 移動互聯(lián)安全擴(kuò)展要求
8.4 物聯(lián)網(wǎng)安全擴(kuò)展要求
8.5 工業(yè)控制系統(tǒng)安全擴(kuò)展要求
安全通用要求細(xì)分為技術(shù)要求和管理要求。其中技術(shù)要求包括“ 安全物理環(huán)境” 、“ 安全通信網(wǎng)絡(luò)” 、“ 安全區(qū)域邊界” 、“ 安全計算環(huán)境” 和“ 安全管理中心” ; 管理要求包括“ 安全管理制度” 、“ 安全管理機(jī)構(gòu)” 、“ 安全管理人員” 、“ 安全建設(shè)管理” 和“ 安全運(yùn)維管理” 。兩者合計10大類, 如圖1所示。
2.2 技術(shù)要求
技術(shù)要求分類體現(xiàn)了從外部到內(nèi)部的縱深防御思想。對等級保護(hù)對象的安全防護(hù)應(yīng)考慮從通信網(wǎng)絡(luò)到區(qū)域邊界再到計算環(huán)境的從外到內(nèi)的整體防護(hù), 同時考慮對其所處的物理環(huán)境的安全防護(hù)。對級別較高的等級保護(hù)對象還需要考慮對分布在整個系統(tǒng)中的安全功能或安全組件的集中技術(shù)管理手段。
1)安全物理環(huán)境
安全通用要求中的安全物理環(huán)境部分是針對物理機(jī)房提出的安全控制要求。主要對象為物理環(huán)境、物理設(shè)備和物理設(shè)施等; 涉及的安全控制點(diǎn)包括物理位置的選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應(yīng)和電磁防護(hù)。
承載高級別系統(tǒng)的機(jī)房相對承載低級別系統(tǒng)的機(jī)房強(qiáng)化了物理訪問控制、電力供應(yīng)和電磁防護(hù)等方面的要求。例如, 四級相比三級增設(shè)了“ 重要區(qū)域應(yīng)配置第二道電子門禁系統(tǒng)” 、“ 應(yīng)提供應(yīng)急供電設(shè)施” 、“ 應(yīng)對關(guān)鍵區(qū)域?qū)嵤╇姶牌帘巍?等要求。
2)安全通信網(wǎng)絡(luò)
安全通用要求中的安全通信網(wǎng)絡(luò)部分是針對通信網(wǎng)絡(luò)提出的安全控制要求。主要對象為廣域網(wǎng)、城域網(wǎng)和局域網(wǎng)等; 涉及的安全控制點(diǎn)包括網(wǎng)絡(luò)架構(gòu)、通信傳輸和可信驗(yàn)證。
高級別系統(tǒng)的通信網(wǎng)絡(luò)相對低級別系統(tǒng)的通信網(wǎng)絡(luò)強(qiáng)化了優(yōu)先帶寬分配、設(shè)備接入認(rèn)證、通信設(shè)備認(rèn)證等方面的要求。例如, 四級相比三級增設(shè)了“ 應(yīng)可按照業(yè)務(wù)服務(wù)的重要程度分配帶寬, 優(yōu)先保障重要業(yè)務(wù)” , “ 應(yīng)采用可信驗(yàn)證機(jī)制對接入網(wǎng)絡(luò)中的設(shè)備進(jìn)行可信驗(yàn)證, 保證接入網(wǎng)絡(luò)的設(shè)備真實(shí)可信” , “ 應(yīng)在通信前基于密碼技術(shù)對通信雙方進(jìn)行驗(yàn)證或認(rèn)證” 等要求。
3)安全區(qū)域邊界
安全通用要求中的安全區(qū)域邊界部分是針對網(wǎng)絡(luò)邊界提出的安全控制要求。主要對象為系統(tǒng)邊界和區(qū)域邊界等; 涉及的安全控制點(diǎn)包括邊界防護(hù)、訪問控制、入侵防范、惡意代碼防范、安全審計和可信驗(yàn)證。
高級別系統(tǒng)的網(wǎng)絡(luò)邊界相對低級別系統(tǒng)的網(wǎng)絡(luò)邊界強(qiáng)化了高強(qiáng)度隔離和非法接入阻斷等方面的要求。例如, 四級相比三級增設(shè)了“ 應(yīng)在網(wǎng)絡(luò)邊界通過通信協(xié)議轉(zhuǎn)換或通信協(xié)議隔離等方式進(jìn)行數(shù)據(jù)交換” , “ 應(yīng)能夠在發(fā)現(xiàn)非授權(quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為或內(nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為時, 對其進(jìn)行有效阻斷” 等要求。
4)安全計算環(huán)境
安全通用要求中的安全計算環(huán)境部分是針對邊界內(nèi)部提出的安全控制要求。主要對象為邊界內(nèi)部的所有對象, 包括網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器設(shè)備、終端設(shè)備、應(yīng)用系統(tǒng)、數(shù)據(jù)對象和其他設(shè)備等; 涉及的安全控制點(diǎn)包括身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范、可信驗(yàn)證、數(shù)據(jù)完整性、數(shù)據(jù)保密性、數(shù)據(jù)備份與恢復(fù)、剩余信息保護(hù)和個人信息保護(hù)。
高級別系統(tǒng)的計算環(huán)境相對低級別系統(tǒng)的計算環(huán)境強(qiáng)化了身份鑒別、訪問控制和程序完整性等方面的要求。例如, 四級相比三級增設(shè)了“ 應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進(jìn)行身份鑒別, 且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實(shí)現(xiàn)” , “ 應(yīng)對主體、客體設(shè)置安全標(biāo)記, 并依據(jù)安全標(biāo)記和強(qiáng)制訪問控制規(guī)則確定主體對客體的訪問” , “ 應(yīng)采用主動免疫可信驗(yàn)證機(jī)制及時識別入侵和病毒行為, 并將其有效阻斷” 等要求。
5)安全管理中心
安全通用要求中的安全管理中心部分是針對整個系統(tǒng)提出的安全管理方面的技術(shù)控制要求, 通過技術(shù)手段實(shí)現(xiàn)集中管理。涉及的安全控制點(diǎn)包括系統(tǒng)管理、審計管理、安全管理和集中管控。
高級別系統(tǒng)的安全管理相對低級別系統(tǒng)的安全管理強(qiáng)化了采用技術(shù)手段進(jìn)行集中管控等方面的要求。例如, 三級相比二級增設(shè)了“ 應(yīng)劃分出特定的管理區(qū)域, 對分布在網(wǎng)絡(luò)中的安全設(shè)備或安全組件進(jìn)行管控” , “ 應(yīng)對網(wǎng)絡(luò)鏈路、安全設(shè)備、網(wǎng)絡(luò)設(shè)備和服務(wù)器等的運(yùn)行狀況進(jìn)行集中監(jiān)測” , “ 應(yīng)對分散在各個設(shè)備上的審計數(shù)據(jù)進(jìn)行收集匯總和集中分析, 并保證審計記錄的留存時間符合法律法規(guī)要求” , “ 應(yīng)對安全策略、惡意代碼、補(bǔ)丁升級等安全相關(guān)事項進(jìn)行集中管理” 等要求。
2.3 管理要求
管理要求分類體現(xiàn)了從要素到活動的綜合管理思想。安全管理需要的“ 機(jī)構(gòu)” 、“ 制度” 和“ 人員” 三要素缺一不可, 同時還應(yīng)對系統(tǒng)建設(shè)整改過程中和運(yùn)行維護(hù)過程中的重要活動實(shí)施控制和管理。對級別較高的等級保護(hù)對象需要構(gòu)建完備的安全管理體系。
1)安全管理制度
安全通用要求中的安全管理制度部分是針對整個管理制度體系提出的安全控制要求, 涉及的安全控制點(diǎn)包括安全策略、管理制度、制定和發(fā)布以及評審和修訂。
2)安全管理機(jī)構(gòu)
安全通用要求中的安全管理機(jī)構(gòu)部分是針對整個管理組織架構(gòu)提出的安全控制要求, 涉及的安全控制點(diǎn)包括崗位設(shè)置、人員配備、授權(quán)和審批、溝通和合作以及審核和檢查。
3)安全管理人員
安全通用要求中的安全管理人員部分是針對人員管理模式提出的安全控制要求, 涉及的安全控制點(diǎn)包括人員錄用、人員離崗、安全意識教育和培訓(xùn)以及外部人員訪問管理。
4)安全建設(shè)管理
安全通用要求中的安全建設(shè)管理部分是針對安全建設(shè)過程提出的安全控制要求, 涉及的安全控制點(diǎn)包括定級和備案、安全方案設(shè)計、安全產(chǎn)品采購和使用、自行軟件開發(fā)、外包軟件開發(fā)、工程實(shí)施、測試驗(yàn)收、系統(tǒng)交付、等級測評和服務(wù)供應(yīng)商管理。
5)安全運(yùn)維管理
安全通用要求中的安全運(yùn)維管理部分是針對安全運(yùn)維過程提出的安全控制要求, 涉及的安全控制點(diǎn)包括環(huán)境管理、資產(chǎn)管理、介質(zhì)管理、設(shè)備維護(hù)管理、漏洞和風(fēng)險管理、網(wǎng)絡(luò)和系統(tǒng)安全管理、惡意代碼防范管理、配置管理、密碼管理、變更管理、備份與恢復(fù)管理、安全事件處置、應(yīng)急預(yù)案管理和外包運(yùn)維管理。
3 安全擴(kuò)展要求的內(nèi)容
安全擴(kuò)展要求是采用特定技術(shù)或特定應(yīng)用場景下的等級保護(hù)對象需要增加實(shí)現(xiàn)的安全要求。《GB/T 22239-2019》提出的安全擴(kuò)展要求包括云計算安全擴(kuò)展要求、移動互聯(lián)安全擴(kuò)展要求、物聯(lián)網(wǎng)安全擴(kuò)展要求和工業(yè)控制系統(tǒng)安全擴(kuò)展要求。
3.1 云計算安全擴(kuò)展要求
采用了云計算技術(shù)的信息系統(tǒng)通常稱為云計算平臺。云計算平臺由設(shè)施、硬件、資源抽象控制層、虛擬化計算資源、軟件平臺和應(yīng)用軟件等組成。云計算平臺中通常有云服務(wù)商和云服務(wù)客戶/云租戶兩種角色。根據(jù)云服務(wù)商所提供服務(wù)的類型, 云計算平臺有軟件即服務(wù)(SaaS)、平臺即服務(wù)(PaaS)、基礎(chǔ)設(shè)施即服務(wù)(IaaS)3種基本的云計算服務(wù)模式。在不同的服務(wù)模式中, 云服務(wù)商和云服務(wù)客戶對資源擁有不同的控制范圍, 控制范圍決定了安全責(zé)任的邊界。
云計算安全擴(kuò)展要求是針對云計算平臺提出的安全通用要求之外額外需要實(shí)現(xiàn)的安全要求。云計算安全擴(kuò)展要求涉及的控制點(diǎn)包括基礎(chǔ)設(shè)施位置、網(wǎng)絡(luò)架構(gòu)、網(wǎng)絡(luò)邊界的訪問控制、網(wǎng)絡(luò)邊界的入侵防范、網(wǎng)絡(luò)邊界的安全審計、集中管控、計算環(huán)境的身份鑒別、計算環(huán)境的訪問控制、計算環(huán)境的入侵防范、鏡像和快照保護(hù)、數(shù)據(jù)安全性、數(shù)據(jù)備份恢復(fù)、剩余信息保護(hù)、云服務(wù)商選擇、供應(yīng)鏈管理和云計算環(huán)境管理。
3.2 移動互聯(lián)安全擴(kuò)展要求
采用移動互聯(lián)技術(shù)的等級保護(hù)對象, 其移動互聯(lián)部分通常由移動終端、移動應(yīng)用和無線網(wǎng)絡(luò)3部分組成。移動終端通過無線通道連接無線接入設(shè)備接入有線網(wǎng)絡(luò); 無線接入網(wǎng)關(guān)通過訪問控制策略限制移動終端的訪問行為; 后臺的移動終端管理系統(tǒng)(如果配置)負(fù)責(zé)對移動終端的管理, 包括向客戶端軟件發(fā)送移動設(shè)備管理、移動應(yīng)用管理和移動內(nèi)容管理策略等。
移動互聯(lián)安全擴(kuò)展要求是針對移動終端、移動應(yīng)用和無線網(wǎng)絡(luò)提出的特殊安全要求, 它們與安全通用要求一起構(gòu)成針對采用移動互聯(lián)技術(shù)的等級保護(hù)對象的完整安全要求。移動互聯(lián)安全擴(kuò)展要求涉及的控制點(diǎn)包括無線接入點(diǎn)的物理位置、無線和有線網(wǎng)絡(luò)之間的邊界防護(hù)、無線和有線網(wǎng)絡(luò)之間的訪問控制、無線和有線網(wǎng)絡(luò)之間的入侵防范, 移動終端管控、移動應(yīng)用管控、移動應(yīng)用軟件采購、移動應(yīng)用軟件開發(fā)和配置管理。
3.3 物聯(lián)網(wǎng)安全擴(kuò)展要求
物聯(lián)網(wǎng)從架構(gòu)上通?？煞譃?個邏輯層, 即感知層、網(wǎng)絡(luò)傳輸層和處理應(yīng)用層。其中感知層包括傳感器節(jié)點(diǎn)和傳感網(wǎng)網(wǎng)關(guān)節(jié)點(diǎn)或RFID標(biāo)簽和RFID讀寫器, 也包括感知設(shè)備與傳感網(wǎng)網(wǎng)關(guān)之間、RFID標(biāo)簽與RFID讀寫器之間的短距離通信(通常為無線)部分; 網(wǎng)絡(luò)傳輸層包括將感知數(shù)據(jù)遠(yuǎn)距離傳輸?shù)教幚碇行牡木W(wǎng)絡(luò), 如互聯(lián)網(wǎng)、移動網(wǎng)或幾種不同網(wǎng)絡(luò)的融合; 處理應(yīng)用層包括對感知數(shù)據(jù)進(jìn)行存儲與智能處理的平臺, 并對業(yè)務(wù)應(yīng)用終端提供服務(wù)。對大型物聯(lián)網(wǎng)來說, 處理應(yīng)用層一般由云計算平臺和業(yè)務(wù)應(yīng)用終端構(gòu)成。
對物聯(lián)網(wǎng)的安全防護(hù)應(yīng)包括感知層、網(wǎng)絡(luò)傳輸層和處理應(yīng)用層。由于網(wǎng)絡(luò)傳輸層和處理應(yīng)用層通常由計算機(jī)設(shè)備構(gòu)成, 因此這兩部分按照安全通用要求提出的要求進(jìn)行保護(hù)。物聯(lián)網(wǎng)安全擴(kuò)展要求是針對感知層提出的特殊安全要求, 它們與安全通用要求一起構(gòu)成針對物聯(lián)網(wǎng)的完整安全要求。
物聯(lián)網(wǎng)安全擴(kuò)展要求涉及的控制點(diǎn)包括感知節(jié)點(diǎn)的物理防護(hù)、感知網(wǎng)的入侵防范、感知網(wǎng)的接入控制、感知節(jié)點(diǎn)設(shè)備安全、網(wǎng)關(guān)節(jié)點(diǎn)設(shè)備安全、抗數(shù)據(jù)重放、數(shù)據(jù)融合處理和感知節(jié)點(diǎn)的管理。
3.4 工業(yè)控制系統(tǒng)安全擴(kuò)展要求
工業(yè)控制系統(tǒng)通常是可用性要求較高的等級保護(hù)對象。工業(yè)控制系統(tǒng)是各種控制系統(tǒng)的總稱, 典型的如數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)(SCADA)、集散控制系統(tǒng)(DCS)等。工業(yè)控制系統(tǒng)通常用于電力, 水和污水處理, 石油和天然氣, 化工, 交通運(yùn)輸, 制藥, 紙漿和造紙, 食品和飲料以及離散制造(如汽車、航空航天和耐用品)等行業(yè)。
工業(yè)控制系統(tǒng)從上到下一般分為5個層級, 依次為企業(yè)資源層、生產(chǎn)管理層、過程監(jiān)控層、現(xiàn)場控制層和現(xiàn)場設(shè)備層, 不同層級的實(shí)時性要求有所不同, 對工業(yè)控制系統(tǒng)的安全防護(hù)應(yīng)包括各個層級。由于企業(yè)資源層、生產(chǎn)管理層和過程監(jiān)控層通常由計算機(jī)設(shè)備構(gòu)成, 因此這些層級按照安全通用要求提出的要求進(jìn)行保護(hù)。
工業(yè)控制系統(tǒng)安全擴(kuò)展要求是針對現(xiàn)場控制層和現(xiàn)場設(shè)備層提出的特殊安全要求, 它們與安全通用要求一起構(gòu)成針對工業(yè)控制系統(tǒng)的完整安全要求。工業(yè)控制系統(tǒng)安全擴(kuò)展要求涉及的控制點(diǎn)包括室外控制設(shè)備防護(hù)、網(wǎng)絡(luò)架構(gòu)、通信傳輸、訪問控制、撥號使用控制、無線使用控制、控制設(shè)備安全、產(chǎn)品采購和使用以及外包軟件開發(fā)。
4 結(jié)束語
《GB/T 22239-2019》在結(jié)構(gòu)上和內(nèi)容上相較于《GB/T 22239-2008》均發(fā)生了較大變化, 這些變化給網(wǎng)絡(luò)安全等級保護(hù)的建設(shè)整改、等級測評等工作均帶來了一定的影響。如何基于新標(biāo)準(zhǔn)形成安全解決方案, 如何基于新標(biāo)準(zhǔn)開展等級保護(hù)測評等, 都需要仔細(xì)研讀新標(biāo)準(zhǔn), 基于新標(biāo)準(zhǔn)找到開展網(wǎng)絡(luò)安全等級保護(hù)工作的新思路和新方法。
以上標(biāo)準(zhǔn)解讀來源于網(wǎng)絡(luò)。
搜索
客戶案例
世通新官網(wǎng)
