等保2.0提到的通用、云、大、物a、移、工——您属于哪一种?

发布时间 2019-05-16
随着“云、大、物、移、工”等新技术的发展,等保2.0标准和重点保护对象的重新调整和修订意义非常重大,尤其是等级保护对象已从狭义的信息系统,扩展到网络基础设施、云计算平台、大数据平台、物联网、采用移动互联技术的系统以及工业控制系统等新技术领域。
 
本次重新调整可有效指导网络运营者、网络安全服务机构开展网络安全等级保护方案设计和实施,进而全面提升网络运营者的网络安全防护能力。体现了综合防御、纵深防御、主动防御思想,规定了第一级到第四级等级保护对象的安全保护要求,每个级别均由安全通用要求和安全扩展要求(云、大、物、移、工)构成。
 

等保安全框架


等保安全框架
 
等级保护对象承载的业务不同,对其的安全关注点会有所不同,有的更关注信息的安全性,即更关注对搭线窃听、假冒用户等可能导致信息泄密、非法篡改等;有的更关注业务的连续性,即更关注保证系统连续正常的运行,免受对系统未授权的修改、破坏而导致系统不可用引起业务中断。保证不同安全保护等级的对象具有相应级别的安全保护能力,是安全等级保护的核心。

通用安全

通用安全从通信网络、网络边界、局域网络内部及各种业务应用平台等各个层次落实各种安全措施,如身份鉴别、访问控制、安全审计、入侵防范等内容,提到了使用密码技术、可信技术等,提到了实现集中的安全管理、安全监控和安全审计等要求,并立足于现有的大量事件采集、数据挖掘、智能事件关联和基于业务的运维监控技术,解决海量数据处理瓶颈,通过对审计数据快速提取,满足信息处理中对于检索速度和准确性的需求,还应建立事件分析模型,发现高级安全威胁,并追查威胁路径和定位威胁源头,实现对攻击行为的有效防范和追查。

云计算安全

云计算平台/系统由设施、硬件、资源抽象控制层、虚拟化计算资源、软件平台和应用软件等组成。软件即服务(SaaS)、平台即服务(PaaS)、基础设施即服务(IaaS)是三种基本的云计算服务模式。云客户通过安全的通信网络以网络直接访问、API接口访问和WEB服务访问等方式安全访问云服务商提供的安全计算环境;云服务商对设施、硬件、资源抽象层、虚拟化计算资源层、软件平台及应用软件有不同安全要求,云计算安全扩展要求主要增加了虚拟网络之间安全隔离、虚拟化安全监测、虚拟机之间资源安全隔离、云计算环境安全管理、数据安全、剩余信息保护、镜像快照保护,对物理资源和虚拟资源按照策略做统一管理调度与分配等安全管控。

 

云安全框架


云安全框架

大数据及平台安全

大数据应用是基于大数据平台对数据的处理过程,通常包括数据采集、数据存储、数据应用、数据交换和数据销毁等环节,上述各个环节均需要对数据进行保护,通常需考虑的安全控制措施包括数据采集授权、数据真实可信、数据分类标识存储、数据交换完整性、敏感数据保密性、数据备份和恢复、数据输出脱敏处理、敏感数据输出控制以及数据的分级分类销毁机制等安全要求。
 
大数据安全框架

大数据安全框架

物联网安全

物联网通常从架构上可分为三个逻辑层,即感知层、网络传输层和处理应用层。其中感知层包括传感器节点和传感网网关节点,或RFID标签和RFID读写器,也包括这些感知设备及传感网网关、RFID标签与阅读器之间的短距离通信(通常为无线)部分;网络传输层包括将这些感知数据远距离传输到处理中心的网络,包括互联网、移动网等,以及几种不同网络的融合;处理应用层包括对感知数据进行存储与智能处理的平台,并对业务应用终端提供服务。对大型物联网来说,处理应用层一般是云计算平台和业务应用终端设备。物理网安全扩展要求涉及的控制点包括物理防护、感知网的入侵防范、感知网的接入控制、感知节点设备安全、抗数据重放、数据融合处理和感知节点的安全管理。
 
物联网安全框架

物联网安全框架

移动互联安全

采用移动互联技术的等级保护对象其移动互联部分由移动终端、移动应用和无线网络三部分组成,移动终端通过无线通道连接无线接入设备接入,无线接入网关通过访问控制策略限制移动终端的访问行为,后台的移动终端管理系统负责对移动终端的管理,包括向客户端软件发送移动设备管理、移动应用管理和移动内容管理策略等。移动互联安全扩展要求涉及的控制点包括无线接入点的物理环境、无线与有线之间的边界防范、无线接入安全管控、终端准入控制、移动端应用安全管控、移动端数据安全管控、移动应用软件采购、开发和配置的安全管理。
 
移动互联安全框架

移动互联安全框架

工控系统安全

工业控制系统(ICS)是几种类型控制系统的总称,包括数据采集与监视控制系统(SCADA)、集散控制系统(DCS)和其它控制系统,如在工业部门和关键基础设施中经常使用的可编程逻辑控制器(PLC)。工业控制系统通常用于诸如电力、水和污水处理、石油和天然气、化工、交通运输、制药、纸浆和造纸、食品和饮料以及离散制造(如汽车、航空航天和耐用品)等行业。

工业控制系统主要由过程级、操作级以及各级之间和内部的通信网络构成,对于大规模的控制系统,也包括管理级。过程级包括被控对象、现场控制设备和测量仪表等,操作级包括工程师和操作员站、人机界面和组态软件、控制服务器等,管理级包括生产管理系统和企业资源系统等,通信网络包括商用以太网、工业以太网、现场总线等,工控安全服务包括安全咨询、漏扫、风险评估等。

中国在2019年政府工作报告中首次提出了“智能+”的概念,提升生产制造业,大力推动重点行业智能制造标准,到2020年,力争建立起较为完善的智能制造标准体系,基本实现基础共性标准和关键技术标准全覆盖,并在制造业全领域推广应用。
 
工控安全架构

工控安全架构

自2016年《网络安全法》颁布后,其明确的“国家实行网络安全等级保护制度”、“关键信息基础设施,在等级保护制定的基础上,实行重点保护”等内容,为网络安全等级保护工作赋予了新的内涵。网络安全不是孤立的,而是一个生态系统,做好等保工作合理地规避或降低风险不但是为了企业本身负责,更是为了国家网络安全负责,等保无小事,责任大于天!