前言

12 月 1 日，等级保护 2.0 标准正式实施，不过因为是在年底，大多数企业等级测评工作已经完成，所以重头戏应该在明年，这也是国家给企业充足的学习和整改时间。那么，在这个空档期，来和大家聊聊等级保护 2.0 测评时有哪些需要关心的重点吧。

有关新老标准的变化，可以参考之前文章或三所的解读，不再重复，这里说说比较接地气的东西吧。

这里总结了一下，针对通用安全部分，三级和四级系统共有 45 条新增以及容易被忽略的要求向，如下表所示：

下面将会针对这些要求项逐条进行说明。

技术部分

安全物理环境

1.机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员

按照以前的标准，门禁系统可以不是电子系统，可以通过流程和人来管控，但在新的标准中要求必须是电子门禁系统，即使流程管控再严格也是不符合要求的。

2.重要区域应配置第二道电子门禁系统，控制、鉴别和记录进入的人员（四级）

针对四级系统的要求，通常机房中会按照区域进行划分，但是对于重要区域的二道门禁，一般机房目前并无配置，因此这点要注意，尽快安装配备相应设施。

3.应采取措施防止静电的产生，例如采用静电消除器、佩戴防静电手环等

本项其实不算大事，但是也是容易忽略的问题。往往进了机房习惯性的上机就开始操作，不做除电。这里可以在每排机柜上配备一个防静电手环，在机房制度中新增一条关于静电消除的操作规范要求，基本可以符合。

4.应设置冗余或并行的电力电缆线路为计算机系统供电

要求三级及以上系统所在的机房要具备双路并行电力线路，来自不同供电站的电缆，目前大多数自建机房应该是不符合要求，大型 IDC 和云机房通常都有相关设计。不过介于整改比较困难，应该不会作为否决项，只是扣分而已。

5.应提供应急供电设施（四级）

1000kw 柴油电（guai）机（wu）

针对四级系统的电力要求，基于三级要求，还要额外配备发电机，以应对市政停电情况。标准中并未提到双发电机的要求，但是介于冗余性考虑，有条件的可以配备。如果是大型数据中心，要配置多少台就要看实际规模了，一般是在 10-20 台的机组，采用 2N 或 N+1 的配置模式。这不是我们需要关心的，所以看看就好。

数据中心柴油发电机室

安全通信网络

1.应在通信前基于密码技术对通信的双方进行验证或认证（四级）

通常默认情况，我们 SSL/TLS 的认证是单向的，即只对服务端认证，那么对于四级系统，新标准要求必须开启双向认证，即同时对客户端也要进行认证。这里额外说明一下，根据公安三所专家的解读，通信加密所采用的算法应该基于国密算法（SM1、SM2、SM4、SM9 等），而非国际通用加密算法，不过介于目前大多企业采用的设备不支持国密算法，另一方面国密算法的推广和应用也在逐步完善，因此个人认为此项也非否决项，只是扣分项，不过未来可能会变为强制要求。（有关双向认证的细节，可参考本人之前发表的等保 2.0 个人解读安全通信网络部分）

安全区域边界

1.应能够对非授权设备私自联到内部网络的行为进行检查或限制（入侵检测）

2.应能够对内部用户非授权联到外部网络的行为进行检查或限制（行为管理）

此处两条是东西向的访问检测与限制，目前通过 IDPS 以及行为管理设备基本可以满足相应要求，测评时可能会查看策略启用效果以及检测和阻断记录，需要注意。

3.应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络

首次在标准中提到有关无线网络安全的要求，这里要求比较基础，只要各无线 AP 或无线路由均通过 AD 进行管理和控制即符合。

4.应能够在发现非授权设备私自联到内部网络的行为或内部用户非授权联到外部网络的行为时，对其进行有效阻断

这部分在等保 1.0 中也有过相关要求描述，但没有如此具体，该项要求完全从技术上解决目前基本不太可能（当然，如果企业具备将附近基站的数据和语音分离的权限，那么这想倒是可以从技术上来搞定），通常是管理为主，技术为辅的方式来控制。毕竟个人热点和无线网卡等应用，很难及时发现。建议重点在制度上入手，形成意识、管理、流程上的多方面管控，以此达到要求。

5.应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化

新要求，重点是要定期优化和清理 ACL 以及策略路由等配置，测评时会查看当前安全策略配置以及规则优化和清理的记录。

6.应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为

这里是对策略进行双向（in/out）应用，强调东西双向控制。

7.应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析

强调对于 APT 和 0day 一类的攻击检测和防护能力，介于目前态势感知和威胁平台的水平，实现起来很难，而且不是每家都有这么强实力的安全团队。所以，如果你又某某家的态势感知产品，通常测评中心不会为难你。对于新型攻击，可以从人的角度（应急团队、安全团队）来强化管控和预警能力。

8.应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析

即对外接口的用户行为以及内部访问互联网的用户进行单独审计，如果在同一套审计平台中可以建立不同的审计任务，那么是可以满足要求的。如果不行，可能就要搭建两套审计平台来实现。不过也不是必须要达到的，属于扣分项。

安全计算环境

1.应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞

定期漏洞扫描工作，这次不是只扫描就 OK 了，对于发现的漏洞要进行验证，确认漏洞的真实性，然后对于真实漏洞进行整改。很刺激对吧，要验证了哦。

2.应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警

这明显说的就是 IDPS 嘛，同行 NGFW 也具备同样能力。什么？你们没有防火墙，抱歉，我只能帮你到这里了，自求多福吧。这条可以直接否了你的本次测评。

3.应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地

在老标准的基础上，等保 2.0 标准明确提出实时备份至异地，不过好在是对于重要数据，这点各家根据实际情况来权衡吧。没有的话肯定是 GG 了，有的话看情况，不能做到实时，但是有异地备份，这算是基本符合，不会被判定否决，可以后期列入整改计划，逐渐完善。

中小企业或者云上系统，可以把这锅甩给云供应商；大型企业和自建机房/私有云的公司，建议尽可能完善，不求有功，但求无过。其实基本上等同于双活，只是没提切换延时的要求。

4.应仅采集和保存业务必需的用户个人信息

5.应禁止未授权访问和非法使用用户个人信息

这两条都是关于个人信息保护的要求，基本就如字面意思。稍微解释一下，一方面是采集个人信息时，只能采集所需的必要信息，对于这类信息你可以收集，但是若未授权不得随意访问和修改信息，也就是说，信息可以放在你们这，但是我不同意，你就不能看，除非协助公安和相关部门处理特殊事宜时的强制配合。

另一方面，信息收集过来后，不可以随便向其收集发送各种推销、广告以及恶意链接，这些操作都不可以。也就是说，对于一些常规流氓操作进行了约束和控制，虽然不知道效果如何，但起码提出了相应要求。这方面，对于那些需要采集个人信息的系统，是比较难搞的一项要求。靠技术展示基本不大可能，所以就要尽可能的解释，从管理制度、操作规范、员工培训、惩罚制度、保密协议、流程管控方面来说明，你们做得如何好，基本这样就差不多了。但是，未来几年，数据安全是趋势，信息安全和隐私保护都在立法阶段，后续的监控也会越来越严，因此建议还是要从实际出发，不要只考虑眼前的测评，多想想以后怎么跟监管解释吧。

安全管理中心

1.应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求

2.应能对网络中发生的各类安全事件进行识别、报警和分析

这两条要求是对日志留存的要求，等保 2.0 标准不再对日志留存时间进行要求了，但是对于全流量以及安全事件日志必须留存。那么是不是可以不用再存放 6 个月了呢？

请看这里：

网络安全法第二十一条：

（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。

大家懂了吧，所以以前怎么干的，还怎么干。

管理部分

安全管理制度

1.应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架等

2.应形成由安全策略、管理制度、操作规程、记录表单等构成的全面的安全管理制度体系

3.应定期对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的安全管理制度进行修订

这三条要求中，等保 2.0 标准均有所变化，尤其最后一条，要对合理性和适用性进行论证，那些模板的东西已经没用了。

那么怎么来改呢？方针和策略一般公司都会有，如果没有的话，尽快制定 2020 的 IT 和安全规划，目标和策略其实可以很简单，好比阿里的三句话策略。但是要贴合实际，不要胡扯。

那么策略、制度、规程、表单（ISO 27001 的四级文档）就会配套进行修订，形成一套体系，如果已通过 ISO 27001 认证的，可以以此来证明自己已有安全管理制度体系。没有的，要尽快建立一套贴合业务和 IT 现状的制度，可以简单点，只要能落地就好。

最后，关于合理性和适用性，一般是对于制度和流程的落地试点情况。体系比较完善的企业，在制度发布或修订时会进行内部评审，通过后才可正式发布。没有相关流程的企业，可以将此作为缺失的环节，在后续制度体系中增加或完善相应管理。

安全管理机构

1.应成立指导和管理网络安全工作的委员会或领导小组，其最高领导由单位主管领导担任或授权

这点很多公司都没做好，主要体现在两个方面。一是，领导小组架构和职责很明确，但是岗位责任人是职位（如总经理、安全部总监）而不是人名，这样就无法做到责任落实，不符合领导小组的初衷；二是，组长的任命是空口说的，没有正式的任命函或董事会级别的正式通知。这两点如果都能做好，基本就没太大问题了。

2.应针对系统变更、重要操作、物理访问和系统接入等事项执行审批过程，对重要活动建立逐级审批制度

老生常谈的事情，凡是和安全相关的过程记录都要留存（纸质或电子记录均可），这种东西一般不太好凭空去造，所以还是建议踏踏实实的去建流程，落实制度。流程可以不够全面，但是一定要能落地，能运行起来。

3.应定期进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等

等保 2.0 标准强制要求，定期进行全面安全检查，不只是技术层面，也包括制度层面。通管局、工信部的安全检查是监管，不属于要求中提到的检查，要各企业自行组织开展，并形成报告、对发现的问题整改、复测整改情况等。今年没做，明年要至少进行一次检查工作，类似银保监的安全自查评估。

4.应制定安全检查表格实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结果进行通报

结合前一项要求，除了自评估安全检查，还要制定检查表，检查过程的现状调研和检查结果记录表单也要汇总保留。有点类似于风险评估，包括资产、威胁、脆弱性。这里提一句，某些厂商坑爹的评估也称为风险评估，希望各位多去看看 GB/T 20984，好好了解下什么叫风评，不要随便测测出个报告就叫风评。

安全管理人员

1.应定期对不同岗位的人员进行技能考核

首次提出针对技能进行考核，也就是针对不同岗位（运维、安全、开发、测试等），进行相关技能培训与考核。可以不用针对每一个 IT 相关岗位，但是要有一定的覆盖度，比如今年我们主要侧重运维和安全，明年主要侧重开发和测试，同时在制度和培训考核计划中也要有体现。

安全建设管理

1.应组织相关部门和有关安全技术专家对定级结果的合理性和正确性进行论证和审定

2.应组织相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论证和审定，经过批准后才能正式实施

等保 2.0 标准开始，不再提倡自主定级，改为由专家进行定级。一般就是由测评机构或者知名安全厂商来进行定级，出具定级报告，其中包括评审和论证环节。可以是会议记录，也可以是最终的评审报告或定级报告。

3.应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计，设计内容应包含密码技术相关内容，并形成配套文件

本项要求其实是对三同步的要求，即同步规划、同步建设、同步使用。本项不再多说，已经很熟悉了。

（1）同步规划

在业务规划的阶段，应当同步纳入安全要求，引入安全措施。如同步建立信息资产管理情况检查机制，指定专人负责信息资产管理，对信息资产进行统一编号、统一标识、 统一发放，并及时记录信息资产状态和使用情况等安全保障措施。

（2）同步建设

在项目建设阶段，通过合同条款落实设备供应商、厂商和其他合作方的责任，保证相关安全技术措施的顺利准时建设。保证项目上线时，安全措施的验收和工程验收同步，外包开发的系统需要进行上线前安全检测，确保只有符合安全要求的系统才能上线。

（3）同步使用

安全验收后的日常运营维护中，应当保持系统处于持续安全防护水平，且运营者每年对关键信息基础设施需要进行一次安全检测评估。

4.应制定代码编写安全规范，要求开发人员参照规范编写代码

5.应在软件开发过程中对安全性进行测试，在软件安装前对可能存在的恶意代码进行检测

等保 2.0 标准首次提出安全开发流程的要求，可以理解为 SDL 体系。这里明确指出在编码阶段和测试阶段的安全性要求，均为上线前安全管控。以上两条是针对自研软件。

如果没有建立 SDL 流程的企业，可以先解决安全编码部分的问题，编码规范应该都会有的。上线前的安全测试，这块内容目前大多都会去做，如果没做，那我敬你是个好汉。

6.应在软件交付前检测其中可能存在的恶意代码

7.应保证开发单位提供软件源代码，并审查软件中可能存在的后门和隐蔽信道

这两条是对外包软件安全的要求，也是首次提出要外包开发商提供上线前安全测试报告、代码审计报告以及源代码。这下甲方开心坏了吧，可以更理直气壮的怼乙方了，虽然以前一直都是。但是介于刚刚实施这么靠谱的要求，很多乙方是不接受的，一开始可以双方一起来进行安全测试；代码审计一般不会要求严格意义的代码审计报告，可以用扫描加人工验证的方式来进行；而对于源代码，很对乙方是说死不给的，可以先提交一部分源码。但这些都是应对本次测评的准备，从长远来看，以后对于外包开发要求会规范化，标准化，强制化。SDL 体系建立会成为趋势。

8.应通过第三方工程监理控制项目的实施过程

那么，除了以上这些，乙方觉得没事了么，呵呵。

明年开始，外包项目需要聘请第三方监理，对整个项目过程质量进行把控和监督，并实时汇报和协调。也就是说，除了甲方怼你，以后还有一个第三方监理也要怼你，爽不爽？

9.应进行上线前的安全性测试，并出具安全测试报告, 安全测试报告应包含密码应用安全性测试相关内容

乙方的兄弟，你先别吐血，还没说完呢，这回不是你自己，甲方也要一样受苦，是不是好受一些了？这条要求也是首次提出，要求系统上线前的安全测试中应包含密码应用安全性测试。

那么，这个密码应用安全性测试又是个什么玩意呢。这是我在查阅了相关制度和材料得出的结果：

商用密码应用安全性评估

指对采用商用密码技术、产品和服务集成建设的网络和信息系统密码应用的合规性、正确性、有效性进行评估。按照商用密码应用安全性评估管理的要求，在系统规划阶段，可组织专家或委托测评机构进行评估；在系统建设完成后以及运行阶段，由测评机构进行评估。

哪些系统要做密评

《密码法》（《密码法草案》已于 2019 年 6 月 10 日经国务院常务会议讨论通过）要求「国家对关键信息基础设施的密码应用安全性进行分类分级评估，按照国家安全审查的要求对影响或者可能影响国家安全的密码产品、密码相关服务和密码保障系统进行安全审查」。《信息安全等级保护商用密码管理办法》规定：「国家密码管理局和省、自治区、直辖市密码管理机构对第三级及以上信息系统使用商用密码的情况进行检查」。在国家密码管理局印发的《信息安全等级保护商用密码管理办法实施意见》中规定「第三级及以上信息系统的商用密码应用系统，应当通过国家密码管理部门指定测评机构的密码测评后方可投入运行」。这些制度明确了信息安全等级保护第三级及以上信息系统的商用密码应用和测评要求。此外，在新版《网络安全等级保护条例》（征求意见稿）明确要求在规划、建设、运行阶段开展密码应用安全性评估。

密评关注哪些方面

为规范商用密码应用安全性评估工作，国家密码管理局制定了《商用密码应用安全性评估管理办法》、《商用密码应用安全性测评机构管理办法》等有关规定，对测评机构、网络运营者、管理部分三类对象提出了要求，对评估程序、评估方法、监督管理等进行了明确。同时，组织编制了《信息系统密码应用基本要求》《信息系统密码测评要求》等标准，及《商用密码应用安全性评估测评过程指南（试行）》《商用密码应用安全性评估测评作业指导书（试行）》等指导性文件，指导测评机构规范有序开展评估工作。其中，《信息系统密码应用基本要求》从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、密钥管理以及安全管理六个方面提出密码应用安全性评估指标。

密评工作当前的进展

现阶段，商用密码应用安全性评估试点工作正在有序开展。经过层层评审，截止 2018 年 6 月第一批共有 10 家测评机构符合测评机构能力要求，具备独立承担并规范开展试点测评任务的能力。中科院 DCS 中心作为首批通过的优秀测评机构，正在积极参与密码应用安全性评估的各项试点工作，为我国密码事业的发展贡献自己的力量。

个人感觉，这项要求类似可信计算，在标准实施初期不做强制要求，以鼓励方式建议企业开展，但在后期随着技术和要求的成熟，会逐渐成为强制要求项。所以，明年各位可以不用太担心，先了解一下就好。

安全运维管理

1.应编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容

2.应根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施

对于资产的管理要求，当前大多数企业拥有自己的管控平台，对于 IT 资产进行统一管理。主要就是资产梳理和分级分类。如果没有这类平台，可以用堡垒机临时替代一下，起码这里不会被扣成零分。

3.应对信息分类与标识方法做出规定，并对信息的使用、传输和存储等进行规范化管理

这里是对数据治理提出要求，在管理制度中明确对于信息资产的分类和标识依据和规范。目前大多企业属于空白领域，明年有关数据安全和数据治理会很热门，因为明年 3 月 DSMM 会正式发布。本项要求其实不用很在意，明年测评时除了一些大厂，大家基本同一起跑线，你没做我也没做，没关系，列入后续的工作计划中。

4.应采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补

这里的要求同前边安全管理中心的全面安全检查可以结合到一起来看，因为最终目的相一致，过程也相似。

5.应严格控制远程运维的开通，经过审批后才可开通远程运维接口或通道，操作过程中应保留不可更改的审计日志，操作结束后立即关闭接口或通道

等保 2.0 标准首次提出对于远程运维的要求，原则上不开通远程运维接口。注意，这里是说远程运维，而不是远程用户接入。通常运维人员一般都应该在机房或办公环境内操作，除非特殊情况，会进行远程运维操作，按照要求以后此类操作要事先审批，通过后开通临时接口，操作完成后关闭接口。

如果没有远程运维需求的企业，这点不用关心。有些企业受业务所限，必须远程操作，那么就要按照要求把相关制度规定，流程，审批记录，操作记录，接口关闭记录都留存好，以备现场检查。

6.对造成系统中断和造成信息泄漏的重大安全事件应采用不同的处理程序和报告程序（信息泄露应急预案）

7.应定期对系统相关的人员进行应急预案培训，并进行应急预案的演练（出演练外，要组织应急预案的专项培训）

这两条放在一起来说，都是新要求。先说第一条关于信息泄露重大安全事件，要建立独立处理和报告程序，不能同 BCP 程序一样。个人观点，可能除了应急处理外，大公司（阿里、腾讯）还要考虑对外公告和说明情况的流程。这部分，因为没有先例，所以不知道什么样的流程算标准方案。建议各家可以交流讨论下，也可以借鉴一下国外的预案。

第二条比较好理解，也是新要求，说的是要针对应急预案每年进行培训，不是演练，是培训哦！测评时会查看培训的 PPT，以及培训签到记录（可以是电子记录）和培训计划。

最后

OK，以上是我认为等级保护 2.0 中新增的一些重点以及测评时要注意的内容，希望对各位能有所帮助。最后，祝贺等级保护 2.0 制度顺利实施，也预祝各位能早日通过新标准下的测评。文章只代表个人观点，仅供参考。

*本文原创作者：宇宸，本文属FreeBuf原创奖励计划，未经许可禁止转载