什么是網路安全等級保護

一、等級保護體系設計的主要作業要求

等級保護體系設計的主要作業要求包括：

（1）等級保護體系設計應包含技術和管理兩方面的內容；

（2）等級保護體系設計不僅應滿足國家相應保護等級的要求，還應滿足所在行業和領域的相應保護等級的要求；

（3）運營者應在等級保護體系設計結束后，形成設計檔案；

（4）等級保護體系設計程序中，若有變更，應執行變更管理；

（5）如委托外部機構協助開展等級保護體系設計作業的，應與外部機構簽訂保密協議，

2021最新整理網路安全/滲透測驗/安全學習/100份src技術檔案（全套視頻、大廠面經、精品手冊、必備工具包、路線）一>點我<一

二、等級保護體系設計的基礎準備作業

運營者在開始設計網路安全等級保護體系前，應首先完成等級保護物件的定級備案、安全需求分析等作業，其中：

（1）等級保護物件的定級備案：確定等級保護物件的安全保護等級，以指導等級保護體系設計時對標相應級別的安全保護要求，感興趣的讀者可參考《淺談如何規范開展等級保護定級和備案作業》一文，

（2）等級保護物件的安全需求分析：對標相應保護保護等級的安全保護要求明確運營者的網路安全等級保護需求，以在后續的等級保護體系設計時，采取有針對性的等級保護措施，感興趣的讀者可參考《淺談如何規范有序地開展網路安全需求分析》，

三、等級保護體系設計主要程序

在完成等級保護體系設計的基礎準備作業之后，正式開始等級保護體系的設計程序，等級保護體系設計主要程序如下：

3.1 確定實作目標

設計網路安全等級保護體系時，運營者應結合本單位實際情況，首先確定開展網路安全等級保護體系的設計目標，以明確后續網路安全等級保護體系的建設任務、建設內容等，

實作目標可分為總體目標和詳細目標，其中：

（1）總體目標即等級保護體系設計要達到的總體安全保護目標，

（2）詳細目標可以根據專案分期、分階段等確定具體目標，例如：

——運營者可將總體目標分解為等級保護物件各階段的具體安全目標，如開發建設階段目標、運行維護階段目標等，

——等級保護體系設計要完成的內容以專案形式分解到若干時期實作時，總體目標可分解為各專案的實作目標，

3.2 明確設計原則、依據和思路

確定實作目標后，運營者應明確遵循的設計原則、依據和思路，

3.2.1 明確設計原則

一般而言，設計原則應體現自主保護、磁區分域、重點保護、適度安全、“三同步”、動態調整、技術管理并重、標準性、成熟性、科學性、合理性、保密性等內容，

3.2.2 明確設計依據

設計依據應包含國家和行業的網路安全等級保護相關的政策、法律法規、標準規范以及系統集成、安全開發等方面的工程規范，

3.2.3 明確設計思路

設計思路是指導總體及后續詳細設計的靈魂，一般而言，應把握以下幾點：

（1）構建分域的控制體系

按照分域保護思路設計安全體系架構，從結構上劃分為不同的安全區域，以安全區域為單位進行安全防護技術措施的建設，各個安全區域內部還可根據安全需求的不同進一步劃分子安全域和三級安全域，子安全域和三級安全域的邊界也采用與一級安全域相同的邊界安全防護措施，從而構成了分域的安全控制體系，

（2）構建縱深的防御體系

按照縱深防御思路設計安全體系架構，縱深防御體系根據“一個中心”管理下的“三重保護”體系框架進行設計，從物理環境安全防護、通信網路安全防護、網路邊界安全防護、計算環境安全防護（主機設備安全防護/應用和資料安全防護）進行安全技術和措施的設計，以及通過安全管理中心對整個等級保護物件實施統一的安全技術管理，充分考慮各種技術的組合和功能的互補性，提供多重安全措施的綜合防護能力，從外到內形成縱深防御體系，

（3）保證一致的安全強度

對于部署于同一安全區域的等級保護物件采取強度一致的安全措施，并采取統一的防護策略（低級別定級物件部署在高等級安全區域時應遵循“就高保護”原則），使各安全措施在作用和功能上相互補充，形成動態的防護體系，

3.3 安全域劃分設計

一般而言，對等級保護物件進行安全保護時，不是對整個等級保護物件進行同一等級的保護，而是對等級保護物件內不同業務區域進行不同等級的保護，因此，安全域劃分是進行網路安全等級保護的重要環節，

安全域是指同一系統內根據資訊性質、使用主體、安全目標和策略等元素的不同來劃分不同邏輯子網，每一個邏輯區域有相同的安全保護需求，具有相同的安全訪問控制和邊界控制策略，區域內具有相互信任關系，同一安全域共享同樣的安全策略，簡單來說，安全域是指具有相同或相近的安全需求、相互信任的網路區域或網路物體的集合，

3.3.1 安全域劃分原則

安全域劃分的基本原則如下：

3.3.2 安全域劃分方式

安全域劃分需考慮網路中業務系統訪問終端與業務主機的訪問關系以及業務主機間的訪問關系，若業務主機間沒有任何訪問關系，則單獨考慮各業務系統安全域的劃分；若業務主機間有訪問關系，則幾個業務系統一起考慮安全域的劃分，

一個物理網路區域可以對應多個安全區域，而一個安全區域一般只對應一個物理網路區域，

3.3.3 局域網安全域劃分

局域網內部安全域劃分是安全域劃分的重點，可以依據業務的安全策略進行劃分，主要參考在各業務的業務功能、安全等級以及局域網網路結構三方面因素，

（1）根據業務功能特點劃分

不改變當前業務邏輯，可以使用兩級三層結構進行劃分：

（2）根據安全等級要求劃分

網路安全等級保護是通過安全域劃分將資訊系統劃分為多個子系統，實施等級保護時，一定會落實到每一個安全域中去，

等級保護的物件其實是安全域，在重要資訊系統進行網路安全等級保護定級作業后，將相同安全等級的應用業務系統部署在相同的安全域，

（3）根據VLAN劃分

局域網內部安全域劃分的技識訓礎是VLAN，同一個VLAN內部的成員可以視為具有相同安全策略的物件，相互信任，VLAN邊界可以視為網路邊界，在VLAN之間使用相應的安全策略，便實作了簡單的安全域劃分，

3.3.4 安全域劃分的隔離措施

安全域進行劃分后主要采用邊界隔離、邊界訪問控制等技術手段，將不同安全域的網路依據不同安全策略，實施必要的安全技術措施，

VLAN邏輯隔離是在同一臺交換機內，建立不同的VLAN，承載不同的安全域，此方法對于現有網路支持較好，易于實施，但網路安全風險較大，

IP邏輯隔離是在VLAN邏輯隔離的基礎上，不同安全域使用不同IP子網地址，實作資料鏈路層隔離和網路層隔離，此方式對現有網路改動較大，網路安全風險一般，

物理隔離是不同安全域完全使用單獨網路基礎設施，包括網線、交換機、路由器等設備，并且相互間沒有任何邏輯或物理連接，此方式投資相對較大，對現有網路改動很大，但網路安全風險最小，

3.3.5 安全域劃分后的安全技術措施

安全域劃分最主要的目的是落實安全策略，由于安全域邊界通常是基于網路劃分，所以通常的方式是，在管理層面根據安全策略制定制度和要求，技術層面通過部署安全設備，使用相應的安全技術，實作安全域劃分后的安全要求，

3.3.6 安全域劃分示例

某運營者根據安全域劃分的原則和一般劃分方式，將本單位的安全域做出如下表的等級劃分：

3.4 確定各安全域的保護強度

根據等級保護物件的定級情況和安全域劃分情況，分別確定各安全域的防護強度，例如：

——某運營者劃分了“核心域”用來統一部署核心的業務系統，核心的業務系統的保護等級被定為三級，則“核心域”確定按照第三級保護等級要求設計防護強度，

3.5 設計安全技術體系

運營者在實作安全域合理劃分、確定各安全域的保護強度的基礎上，進行等級保護安全技術體系設計，

3.5.1 安全技術體系架構設計

由于不同運營者的具體目標不同、使用技術不同、應用場景不同等因素，等級保護物件會以不同的形態出現，表現形式可能稱之為基礎資訊網路、資訊系統（包括采用移動互聯等技術的系統），云計算平臺/系統、大資料平臺/系統、物聯網、工業控制系統等，

由于形態不同的等級保護物件面臨的威脅有所不同，安全保護需求也有所差異，為了便于描述實作對不同網路安全保護級別和不同形態的等級保護物件的共性化和個性化保護，基于通用和特定應用場景說明等級保護安全技術體系設計，其中：

（1）通用等級保護安全技術設計內容針對等級保護物件實行網路安全等級保護時的共性化保護需求提出，等級保護物件無論以何種形式出現，都應根據安全保護等級，實作相應級別的安全技術要求，

（2）特定應用場景針對云計算、移動互聯、物聯網、工業控制系統的個性化保護需求提出，針對特定應用場景，實作相應網路安全保護級別的安全技術要求，

安全技術體系架構由從外到內的縱深防御體系構成，縱深防御體系根據等級保護的體系框架設計，

其中：

（1）“物理環境安全防護”保護服務器、網路設備以及其他設備設施免遭地震、火災、水災、盜竊等事故導致的破壞；

（2）“通信網路安全防護”保護暴露于外部的通信線路和通信設備；

（3）“網路邊界安全防護”對等級保護物件實施邊界安全防護，內部不同級別定級物件盡量分別部署在相應保護等級的內部安全區域，低級別定級物件部署在高等級安全區域時應遵循“就高保護”原則；

（4）“計算環境安全防護”即內部安全區域將實施“主機設備安全防護”和“應用和資料安全防護”，

（5）“安全管理中心”對整個等級保護物件實施統一的安全技術管理，

等級保護物件的安全技術體系架構見下圖：

（1）規定不同級別定級物件的物理環境的安全保護技術措施

運營者根據《資訊安全技術 網路安全等級保護基本要求》（GB/T 22239-2019）、行業基本要求（不同行業的網路安全等級保護規范性檔案）、安全需求等，提出不同級別定級物件物理環境的安全保護策略和安全技術措施，定級物件物理環境安全保護策略和安全技術措施提出時應考慮不同級別的定級物件共享物理環境的情況，如果不同級別的定級物件共享同一物理環境，物理環境的安全保護策略和安全技術措施應滿足最高級別定級物件的等級保護基本要求，

（2）規定不同級別定級物件的通信網路的安全保護技術措施

運營者根據《資訊安全技術 網路安全等級保護基本要求》（GB/T 22239-2019）、行業基本要求（不同行業的網路安全等級保護規范性檔案）、安全需求等，提出通信網路的安全保護策略和安全技術措施，通信網路的安全保護策略和安全技術措施提出時應考慮網路線路和網路設備共享的情況，如果不同級別的定級物件通過通信網路的同一線路和設備傳輸資料，線路和設備的安全保護策略和安全技術措施應滿足最高級別定級物件的等級保護基本要求，

（3）規定不同級別定級物件的網路邊界保護技術措施

運營者根據《資訊安全技術 網路安全等級保護基本要求》（GB/T 22239-2019）、行業基本要求（不同行業的網路安全等級保護規范性檔案）、安全需求等，提出不同級別定級物件的網路邊界的安全保護策略和安全技術措施，如果不同級別的定級物件共享同一設備進行邊界保護，則該邊界設備的安全保護策略和安全技術措施應滿足最高級別定級物件的等級保護基本要求，

（4）規定不同級別定級物件的內部安全保護技術措施

運營者根據《資訊安全技術 網路安全等級保護基本要求》（GB/T 22239-2019）、行業基本要求（不同行業的網路安全等級保護規范性檔案）、安全需求等，提出不同級別定級物件內部網路平臺、系統平臺、業務應用和資料的安全保護策略和安全技術保護措施，如果低級別定級物件部署在高級別定級物件的網路區域，則低級別定級物件的系統平臺、業務應用和資料的安全保護策略和安全技術措施應滿足高級別定級物件的等級保護基本要求，

（5）規定定級物件之間互聯的安全保護技術措施

運營者根據《資訊安全技術 網路安全等級保護基本要求》（GB/T 22239-2019）、行業基本要求（不同行業的網路安全等級保護規范性檔案）、安全需求等，提出跨局域網互聯的定級物件之間的資訊傳輸保護策略要求和具體的安全技術措施，包括同級互聯的策略、不同級別互聯的策略等，提出局域網內部互聯的定級物件之間的資訊傳輸保護策略要求和具體的安全技術保護措施，包括同級互聯的策略、不同級別互聯的策略等，

（6）規定云計算、移動互聯等新技術的安全保護技術措施

運營者根據《資訊安全技術 網路安全等級保護基本要求》（GB/T 22239-2019）、行業基本要求（不同行業的網路安全等級保護規范性檔案）、安全需求等，提出云計算、移動互聯等新技術的安全保護策略和安全技術措施，云計算平臺應至少滿足其承載的最高級別定級物件的等級保護其本要求，

將骨干網或城域網、通過骨干網或城域網的定級物件互聯、局域網內部的定級物件互聯、定級物件的邊界、定級物件內部各類平臺，機房以及其他方面的安全保護策略和安全技術措施進行整理、匯總，形成等級保護物件的安全技術體系結構，

3.5.2 提出實作等級保護技術體系的安全技術措施

根據《資訊安全技術 網路安全等級保護基本要求》（GB/T 22239-2019）、行業基本要求（不同行業的網路安全等級保護規范性檔案）、安全需求等，提出等級保護物件需要實作的安全技術措施，形成運營者特定的等級保護物件安全技術體系架構，用以指導等級保護的具體實作，

將安全技術體系中要求實作的安全策略、安全技術體系結構、安全措施和要求落實到產品功能或物理形態上，提出能夠實作的產品或組件及其具體規范，

對于新建的等級保護物件，運營者可根據網路安全相應等級保護要求提出的安全控制點內容進行逐項安全技術措施的設計，

對于改建、擴建等級保護物件的，運營者可根據網路安全相應等級保護要求提出的安全控制點內容，對等級保護物件新增或改變的部分進行安全技術措施的設計，

運營者從安全物理環境、安全區域邊界、安全通信網路、安全計算環境（主機安全/應用和資料安全）、安全管理中心五個方面進行詳細設計，提出具體應采用的安全技術措施，例如：

——網路安全等級保護第三級安全通用要求的“安全區域邊界”的“訪問控制”提出以下要求：

基于如上要求，運營者根據本單位實際情況，設計使用防火墻做如下部署：

設計使用防火墻做如下策略配置：

3.6 設計安全管理體系

運營者根據安全保護相應等級對安全管理制度的要求，結合本單位實際情況，設計安全管理體系，

安全管理體系由安全策略、安全管理制度、操作規程、記錄表單等構成，

一般而言，安全管理體系設計包括設計方法，體系框架設計，內容設計，安全管理制度的制修訂、評審、發布、執行、檢查與廢棄作業機制設計等內容，

感興趣的讀者可參考《淺談關鍵資訊基礎設施運營者如何制修訂安全管理制度》一文，

3.7 設計安全組織體系

根據網路安全保護相應等級對安全組織的要求，結合本單位實際情況，設計安全組織體系，

一般而言，安全組織設計包括組織機構、崗位及職責設計、安全從業人員管理作業機制設計等內容，具體而言：

（1）根據安全組織體系設計提出的設計內容，對崗位職責設計不合理的，明確應如何重塑職責；

（2）缺乏相應崗位的，明確應新設哪些崗位，相應的職責內容以及可能存在的崗位重組情況；

（3）從人員審查、人員篩選、人員調動、人員離職、職責分離以及安全意識教育、專業技能培訓等方面詳細設計安全從業人員的管理作業機制，

感興趣的讀者可參考《淺談關鍵資訊基礎設施運營者專門安全管理機構的組建》一文，

3.8 梳理等級保護建設清單

根據安全技術體系、安全管理體系、安全組織體系具體實作所需要的各項建設內容，梳理形成建設清單，

3.9 形成專案分期規劃

等級保護是系統工程，涉及政策、預算、技術、管理、人才、資源等多方面因素，在開展等級保護相關作業時，運營者可能無法“畢其功于一役”完成一系列保護措施的落地與執行，因此，運營者應通過專案形式科學、合理、務實的分期分批開展等級保護物件保護相關作業，

等級保護建設專案規劃的主要步驟包括：確定專案分期目標、規劃專案分期建設內容以及形成專案分期規劃，

（1）確定專案分期目標

運營者結合本單位網路安全和資訊化建設的中長期發展規劃，網路安全建設的預算投入、資金狀況，待解決安全問題的優先級等因素，綜合確定專案分期的安全實作目標，

（2）規劃專案分期建設內容

運營者在制定專案分期目標后，可根據專案分期目標和建設清單，規劃分期分批的主要建設內容，并將建設內容根據實際需要組合成不同的專案，同時闡明專案之間的依賴或促進關系等，以指導分期建設專案的持續推進和加強對分期建設專案的管理，

（3）形成專案分期規劃

運營者根據專案分期目標和建設內容，結合時間、解決問題的優先級和預算經費等情況，對建設清單進行總體考慮，將建設清單分配到不同的時期和階段，統籌安排建設順序，進行投資估算，

運營者梳理專案分期目標、建設內容等檔案，形成等級保護物件專案分期規劃，

3.10 分析預期建設成效

按照等級保護體系設計，分析按專案分期建設完成后的預期建設成效，包括社會效益、經濟效益等，

小結

本文描述了網路安全等級保護體系設計的通用實踐，運營者可參考本文，結合本單位實際情況，對本單位的網路安全等級保護體系進行設計或調整，若有不成熟的地方，敬請指正，