中国建设银行网站外汇,网站开发前后台整个流程,电子商务网站的实施包括哪些步骤,wordpress 亲子Q1#xff1a;什么是等级保护#xff1f; 答#xff1a;等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护#xff0c;对信息系统中使用的信息安全产品实行按等级管理#xff0c;对信息系统…Q1什么是等级保护 答等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护对信息系统中使用的信息安全产品实行按等级管理对信息系统中发生的信息安全事件分等级响应、处置。 Q2什么是等级保护2.0 答“等级保护2.0”或“等保2.0”是一个约定俗成的说法指按新的等级保护标准规范开展工作的统称。通常认为是《中华人民共和国网络安全法》颁布实行后提出以2019年12月1日网络安全等级保护基本要求、测评要求和设计技术要求更新发布新版本为象征性标志。 Q3“等保”与“分保”有什么区别 答指等级保护与分级保护主要不同在监管部门、适用对象、分类等级等方面。 监管部门不一样等级保护由公安部门监管分级保护由国家保密局监管。 适用对象不一样等级保护适用非涉密系统分级保护适用于涉及国家密秘系统。 等级分类不同等级保护分5个级别一级(自主保护)、二级(指导保护)、三级(监督保护)、四级(强制保护)、五级(专控保护)分级保护分3个级别秘密级、机密级、绝密级。 Q4“等保”与“关保”有什么区别 答指等级保护与关键信息基础设施保护“关保”是在网络安全等级保护制度的基础上实行重点保护。《中华人民共和国网络安全法》第三章第二节规定了关键信息基础设施的运行安全包括关键信息基础设施的范围、保护的主要内容等。 目前《信息安全技术 关键信息基础设施网络安全保护基本要求》正在报批中相关试点工作已启动。 Q5什么是等级保护测评 答指测评机构依据国家信息安全等级保护制度规定按照有关管理规范和技术标准对非涉及国家秘密网络安全等级保护状况进行检测评估的活动。 Q6等级保护是否是强制性的,可以不做吗 答《中华人民共和国网络安全法》第二十一条规定网络运营者应当按照网络安全等级保护制度的要求履行相关的安全保护义务。同时第七十六条定义了网络运营者是指网络的所有者、管理者和网络服务提供者。 等级保护相关标准虽然为非强制性的推荐标准但网络个人与家庭网络除外运营者必需按网络安全法开展等级保护工作。 Q7做等级保护要多少钱 答开展等级保护工作会包含针对业务系统开展测评的费用以及按等级保护要求开发、购买或部署安全防护产品成本开展安全日常运维等人力成本。总体投入的费用与网络运营者对等级保护测评结果分数的预期以及业务系统安全防护能力建设与整改的情况而定相应的费用投入会差距很大。 为避免盲目投入这个误区建议咨询专业安全服务咨询机构制订最高性价比的解决方案来满足合规要求又达到业务系统安全保障要求。 Q8等级保护测评一般多长时间能测完 答一个二级或三级的系统整体持续周期1-2个月。 现场测评周期一般1周左右具体时间还要根据信息系统数量及信息系统的规模以及测评方与被测评方的配合情况等有所增减。 小规模安全整改管理制度、策略配置技术整改2-3周出具报告时间1周。 Q9等级保护测评多久做一次 答根据《网络安全等级保护条例》征求意见稿第二十三条规定第三级以上网络的运营者应当每年开展一次网络安全等级测评。二级信息系统建议每两年开展一次测评部分行业是明确要求每两年开展一次测评。 Q10是否系统定级越低越好 答不是。可根据实际业务系统的情况参照定级标准进行定级采用“定级过低不允许、定级过高不可取”的原则。当出现网络安全事件进行追责的时候如因系统定级过低需承担系统定级不合理、安全责任没有履行到位的风险。 Q11定级备案了是否就被监管了 答没有定级备案并不代表不需被监管应尽快履行网络运营者的安全责任进行备案。定级备案后监管部门会在重要时候开展安全检查或发布一些针对性的安全预警有利于网络运营者开展网络安全工作降低风险。 Q12等级保护工作就是做个测评吗 答等级保护工作包括定级、备案、测评、建设整改、监督审查测评只是其中一项。测评不是等保工作的结束重要的是通过测评查漏补缺不断改进提升安全防护能力降低安全风险。 Q13等级保护测评做一次要多少钱 答等级保护工作属于属地化管理测评收费非全国统一价测评费用每个省都有一个参考报价标准。因业务系统规模大小及是否涉及扩展功能测试不同总体测评费用也有所差异。 如某省的参考报价为二级系统测评费5万三级系统测评费9万。 Q14等保测评后就要花很多钱做整改吗 答不一定。整改工作可根据网络运营者对测评结果分数的期望和现有安全防护措施的实际效果是否能保障业务抵抗风险的需求按需开展。整改内容也有很多不同方向除安全设备或服务外安全管理制度、安全策略调整的整改成本并不高同样也能快速提升安全保障能力。 Q15过等保要花多少钱能包过吗 答等级保护采用备案与测评机制而非认证机制不存在包过的说法盲目采纳服务商包过的产品与服务套餐往往不是最高性价比的方案。网络运营者可结合自身实际安全需求与等保测评预期得分咨询专业的第三方安全咨询服务机构来开展等建设工作与测评机构的选择。 Q16做了等级测评之后是否会给发合格证书 答测评后无合格证书。等级保护采用备案与测评机制而非认证机制公安机关只对信息系统的备案情况进行审核对符合等级保护要求的颁发信息系统安全等级保护备案证明发现不符合有关标准的通知备案单位予以纠正发现定级不准的通知备案单位重新审核确定。 Q17如何快速理解等保2.0测评结果 答等级保护2.0测评结果包括得分与结论评价得分为百分制及格线为70分结论评价分为优、良、中、差四个等级。 1、优:被测对象中存在安全问题,但不会导致被测对象面临中、高等级安全风险,且系统综合得分90分以上,包含90分; 2、良:被测对象中存在安全问题,但不会导致被测对象面临高等级安全风险,且系统综合得分80分以上包含80分; 3、中:被测对象中存在安全问题,但不会导致被测对象面临高等级安全风险,且系统综合得分 70分以上包含 70分 4、差:被测对象中存在安全问题,而且会导致达测对象面临高等级安全风险,或被测对象综合得分低于 70分。
Q18多长时间能拿到备案证明 答全国各省网警管理有所差异一般提交备案流程后如资料完备三级系统要求含测评报告顺利通过审核后15个工作日即可拿到备案证明。 Q19不同公司的业务系统整合后是否可以算一个系统 答如果两个业务系统整合后功能高度融合后台统一可以认为是一个系统只是业务功能增加按业务系统更变申请复测即可。 Q20如何判定属于移动安全扩展要求 答当业务系统要满足具有专用APP、通过特定网络连接、具备专用移动终端时参照移动互联扩展要求。 Q21如何选择等级保护备案所在地 答建议根据被测评业务系统的经营主体与法人注册地优先向当地公安网警公共信息网络安全监察局备案并找本地测评机构测评。或可选择IT运维团队所在地进行备案与测评。 Q22如何选择测评机构开展测评 答选择有测评资质的测评公司优先考虑本地测评公司。可参照中国网络安全等级保护网http://djbh.net的《全国网络安全等级保护测评机构推荐目录》选中几家进行邀请投标同时关注该网站公布的国家网络安全等级保护工作协调小组办公室的不定期整改公告中是否涉及相关测评公司。 Q23如何确定业务系统属于等保几级 答可参照等级保护定级指南从业务系统安全和系统服务安全两个方面评价当业务系统被破坏时对客体的影响程度取两个方面较高的等级。 当确定系统级别后可开展专家评审对系统定级合理性进行审核。如有行业主管部门制订的定级依据可直接参照采纳行业定级标准定级。 Q24买/用哪些安全产品能过等保 答可根据实际情况如考虑等保测评结果分数与等级、业务系统风险与防护要求等综合考虑安全通信网络防护、安全区域边界防护、安全计算环境防护、安全管理中心、安全建设与运维等投入。建议咨询专业的安全咨询服务机构定制解决方案。 Q25现在还没做等保还来得及吗有什么影响 答来得及。种一棵树最好的时间是十年前其次是现在。可先根据定级备案要求和流程先向公安递交定级备案文件测评与整改预算提上日程在经费未落实前可以先进行系统定级、差距分析、整改计划制订等工作。 Q26业务系统在云上安全是云平台负责的吧 答根据《信息安全技术 网络安全等级保护基本要求》GB/T 22239-2019附录D云服务商根据提供的IaaS、PaaS、SaaS模式承担不同的平台安全责任。业务系统上云后云租户与云平台服务商之间应遵循责任分担矩阵共同承担相应的安全责任。 Q27做完等级保护测评后整改周期是多久 答无明确规定。可优先把高危风险及最急需整改的内容先整改不强制要求一次或一年内全部整改到位安全建设及整改是一个持续性的工作。另外安全建设和安全整改本来就是日常安全工作的一部分内容而不是因为做了等保测评才需要去做的。 Q28等级保护有哪些规范标准 答等级保护涉及面广相关的安全标准、规范、指南还有很多正在编制或修订中。常用的规范标准包括但不限于如下几个 · GB/T 31167-2014 信息安全技术 云计算服务安全指南 · GB/T 31168-2014 信息安全技术 云计算服务安全能力要求 · GB/T 36326-2018 信息技术 云计算云服务运营通用要求 · GB/T 25058-2010 信息安全技术 信息系统安全等级保护实施指南 · GB/T 25070-2019信息安全技术 网络安全等级保护安全设计技术要求 · GB/T 28448-2019信息安全技术 网络安全等级保护测评要求 · GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求 · GB/T 22240-2008信息安全技术 信息系统安全等级保护定级指南 · GB/T 36958-2018 信息安全技术 网络安全等级保护安全管理中心技术要求 · GM/T 0054-2018 信息系统密码应用基本要求 · GB/T 35273-2020 信息安全技术 个人信息安全规范 Q29等级保护步骤或流程是什么样的 答根据信息系统等级保护相关标准等级保护工作总共分五个阶段分别为信息系统定级、是信息系统备案、是系统安全建设、是信息系统开始等级测评、主管单位定期开展监督检查。 Q30有哪些情况系统定级无需专家评审 答信息系统运营使用单位有上级主管部门且对信息系统的安全保护等级有定级指导意见或审核批准的可无需在进行等级专家评审。 主管部门一般指行业的上级主管部门或监管部门。如果是跨地域联网运营使用的信息系统则必须由上级主管部门审批确保同类系统或分支系统在各地域分别定级的一致性。 Q31业务系统在内/专网还需要做等保吗 答需要。内网与专网的非涉密系统都属于等级保护范畴虽然内/专网相对于互联网业务系统的用户比较明确或可控但内网不代表安全。 Q32等级保护测评结论不符合是不是等级保护工作就白做了 答不是。等级保护测评结论不符合表示目前该信息系统存在高危风险或整体安全性较差不符合等保的相应标准要求。但是这并不代表等级保护工作白做了即使你拿着不符合的测评报告主管单位也是承认你们单位今年的等级保护工作已经开展过了只是目前的问题较多没达到相应的标准。 Q33拿什么证明开展过等级保护工作 答备案证明或测评报告即加盖测评机构公章或测评专用章的测评报告以及有主管部门公章的系统备案证明或系统定级备案资料。 Q34系统在云上还要做等保吗 答要做。业务上云有多种情况如在公有云、私有云、专有云等不同属性的云上并采用IaaS、PaaS、SaaS、IDC托管等不同服务虽然安全责任边界发生了变化但网络运营者的安全责任不会转移。根据“谁运营谁负责、谁使用谁负责、谁主管谁负责”的原则应承担网络安全责任进行等级保护工作。 Q36业务在云上到哪里进行定级备案 答可在业务系统运维团队或其公司主体经营注册地向公安网警进行备案与业务系统在云上的资源物理节点的地点无关。
