什么是等级保护？
-
基本概念
《信息安全等级保护管理办法》：国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。 -
制度要求
《中华人民共和国网络安全法》：“国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改”。 -
地位和作用
国家信息安全保障工作的基本制度、基本国策；开展信息安全工作的基本方法；促进信息化、维护国家信息安全的根本保障。
实施流程
- 1 系统定级
- 2 系统备案
- 3 建设整改
- 4 等级测评
- 5 监督检查
-
网络运营者
- 确定安全保护等级，编写定级报告
- 准备备案材料，到当地公安机关备案
- 建设符合等级要求的安全技术和管理体系
- 准备和接受测评机构测评
- 接受公安机关的定期检查
-
阿里云
- 协调第三方机构为运营单位提供辅导服务
- 协调第三方机构为运营单位提供辅导服务
- 提供符合等级要求必须的安全产品和服务
- 提供云服务商安全资质、云平台通过等保的证明材料
-
咨询机构
- 辅导运营单位准备定级报告，并组织专家评审（三级）
- 辅导运营单位准备备案材料和备案
- 辅导运营单位进行系统安全加固和制定安全管理制度
- 协助运营单位参与等级测评过程并进行整改
- 协助运营单位接受检查和进行整改
-
测评机构
- 测评机构对系统等级符合性状况进行测评
-
公安机关
- 当地公安机关审核受理备案材料
- 公安机关监督检查运营单位开展等级保护工作
等保合规套餐
购买3款及以上产品（年付）即可享受满减优
满减规则 >
满5万减5千满10万减1万最高减10万重点解读
网络与通讯安全
设备与计算安全
应用和数据安全
安全策略管理
- 网络架构应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；
- 访问控制应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；
- 通信传输应采用校验码技术或加解密技术保证通信过程中数据的完整性； 边界防护：应保证跨越边界的访问和数据流通过边界防护设备提供的受控接口进行通信；
- 入侵防范应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为；当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警；
- 安全审计应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；
- 条款解读根据服务器角色和重要性，对网络进行安全域划分；在内外网的安全域边界设置访问控制策略，并要求配置到具体的端口；在网络边界处应当部署入侵防范手段，防御并记录入侵行为；对网络中的用户行为日志和安全事件信息进行记录和审计；
-
应对策略：
Web应用防火墙
态势感知
DDoS高防
云防火墙
- 身份鉴别应对登录的用户进行身份标识和鉴别，身份标识具有唯一性；
- 访问控制应根据管理用户的角色建立不同账户并分配权限，仅授予管理用户所需的最小权限，实现管理用户的权限分离；
- 安全审计应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；
- 入侵防范应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警；
- 恶意代码防范应采用免受恶意代码攻击的技术措施或采用可信计算技术建立从系统到应用的信任链，实现系统运行过程中重要程序或文件完整性检测，并在检测到破坏后进行恢复；
- 条款解读避免账号共享、记录和审计运维操作行为是最基本的安全要求；必要的安全手段保证系统层安全，防范服务器入侵行为；
-
应对策略：
安骑士
数据库审计
堡垒机
- 身份鉴别应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，鉴别信息具有复杂度要求；
- 访问控制应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系；
- 安全审计应提供安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计；
- 数据完整性应采用校验码技术或加解密技术保证重要数据在传输过程中的完整性和保密性；
- 数据备份恢复应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地；
- 条款解读应用是具体业务的直接实现，不具有网络和系统相对标准化的特点。大部分应用本身的身份鉴别、访问控制和操作审计等功能，都难以用第三方产品来替代实现；数据的完整性和保密性，除了在其他层面进行安全防护以外，加密是最为有效的方法；数据的异地备份是等保三级区别于二级最重要的要求之一，是实现业务连续最基础的技术保障措施；
-
应对策略：
SSL证书
- 安全策略和管理制度安全策略和管理制度：应形成由安全策略、管理制度、操作规程、记录表单等构成的全面的信息安全管理制度体系；
- 安全管理机构和人员安全管理机构和人员：应成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权；
- 安全建设管理应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计，并形成配套文件；
- 安全运维管理应采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补；
- 条款解读安全策略、制度和管理层人员，是保证持续安全非常重要的基础。策略指导安全方向，制度明确安全流程，人员落实安全责任；等保要求提供了一种方法论和最佳实践，安全可以按照等保的方法论进行持续的建设和管理；
-
应对策略：
安全管家
安全合规架构
- 基础合规架构
- 增强合规架构
方案优势
-
一站式等保测评服务
甄选并联合各地服务质量优异的咨询和测评机构，提供一站式、全流程合规，大大降低运营单位投入
避免多点沟通和重复工作，减少运营单位投入效率大大提高，最快两周完成测阿里云提供云上安全和合规最佳实
-
平台合规助力租户合规
金融云通过等保四级，公共云通过等保三级，显著提高租户在阿里云上系统的测评分数
- 阿里云金融云平台通过等保四级备案和测评
- 阿里云公共云平台通过等保三级备案和测评
- 平台的高等级合规显著提高租户测评分数
-
完备的安全防护体系
通过完备的云盾安全架构，运营单位可以在阿里云上找到对应的产品，完成对不符合项的整改，全面满足等保要求
- 攻击防护：高防IP、Web应用防火墙、安骑士
- 安全审计：态势感知、堡垒机、数据库审计
- 数据加密与安全管理：SSL证书、安全管家
云上等保合规
- 合规责任共担
- 等保合规生态
合规责任共担
阿里云平台与云上租户系统分别定级和测评； 阿里云平台测评结论可供租户系统测评时复用；
阿里云可提供
- 阿里云平台等保备案证明
- 阿里云测评报告关键页
- 阿里云云盾销售许可证
- 阿里云部分测评项说明
责任分担详解
- 阿里云是全国唯一一家参与和通过云计算等保标准试点示范的云服务商；公共云、电子政务云通过等级保护三级备案和测评；金融云通过等级保护四级的备案和测评；
- 根据监管部门明确的结论复用原则，阿里云上的租户系统通过等级保护测评时，物理安全、部分网络安全和安全管理的结论可以复用，阿里云可提供说明；
- 阿里云平台完备的安全技术和管理架构，以及阿里云提供的云盾安全防护体系，更有利于租户通过等级保护测评。
等保合规生态
为了便于云上系统能够快速通过等保测评，阿里云通过建立“等保合规生态”，提供一站式等保合规解决方案。
云上等保现状
- 大部分租户对等保不了解
- 不知道等保该如何入手
- 不善于与监管部门打交道
- 安全体系落后于业务发展
等保工作分工
- 阿里云：整合服务机构能力，并提供安全产品
- 咨询厂商：提供全流程技术支撑和咨询服务
- 测评机构：提供测评服务
- 公安机关：负责备案审核和监督检查
专家解读
- “过等保”，其实不难！
- 6月1日《网络安全法》正式实施，安全等级保护制度成为衡量“安全预防做得是否到位”的重要衡量指标。对于企业来说，等保是一个安全管理的“必过标杆”。您可能会认为过等保是一个非常艰巨，需要各方沟通的过程。看完阿里云安全专家易鑫的答疑，你会发现“过等保”，其实没有那么难。
- 观看视频
×
中国站
International
