在和很多客户交流的过程中，很多客户会问一个问题:网络安全如何建设才能安全？其实这个问题很难回答。网络安全是动态的，攻击手段日新月异，防护措施也在升级。网络安全需要系统的建设，持续的投入，长期的投入。那么问题来了，既然网络安全的建设没有止境，那么起点是什么呢？答案出来了。
等级保护从安全技术和安全管理两个方面为网络运营商提供安全建设指导，为不同规模的客户设定最低的安全基线。安全建设的起点是等待保险合规。
本文主要记录等级保护学习过程中的笔记和思考。后续会更新不同行业级别的保护要求，文中提到的文件可以留言获取。
1.等级保护的发展过程
1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》首次提出等级保护，其中“第九条计算机信息系统实行安全等级保护。安全等级划分的标准和安全等级保护的具体办法，由公安部会同有关部门制定。”第三章安全监管还指出“计算机信息系统安全保护工作”应当接受公安部门的监督、检查和指导，第四章法律责任指出公安机关的执法内容。
因为没有配套的实施细则，147号令自颁布以来并没有得到很好的执行。在随后的几年里，一些文件陆续发表:
1999年，公安部提出清北与中科院联合编制《计算机信息系统安全保护等级划分标准》GB17859-1999，首次提出等级保护分为五个等级；
2003年，中央办公厅、国务院办公厅印发《国家加强信息安全领导小组意见》，明确指出“实行信息安全等级保护”；
2006年，四部委签署《关于印发信息安全等级保护管理办法的通知》；
2007年，四部门联合发布了《信息安全等级保护管理办法》，规定了等级保护制度的基本内容、流程和工作要求，信息系统等级的实施和管理，备案，安全建设的整改，等级评估，信息安全产品和评估机构的选择等。为信息安全等级保护的发展提供了规范保障。
2007年，四部门联合发布《关于开展国家重要信息系统安全等级保护和分级工作的通知》；
2008年，公安部信息安全等级保护测评中心起草发布了《信息安全技术与信息系统安全等级保护基本要求》及相关配套标准，等级保护的实施有了技术支撑。
2010年，公安部发布了《关于推进信息安全等级保护评估体系建设和开展等级评估工作的通知》，提出了等级保护工作的阶段性目标。
至此，信息安全等级保护在国内正式实施和推广。
随着信息化水平的不断提高，云、物移等新技术如雨后春笋般涌现，原有的平等保护标准在很多技术和场景中并不适用。
2016年10月10日，第五届全国信息安全等级保护技术大会召开。公安部网络安全保卫局郭启全总工程师指出，“国家对网络安全等级保护制度提出了新的要求，等级保护制度进入2.0时代”。
同年，《中华人民共和国网络安全法》正式颁布。“第二十一条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保护网络不受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改”。《网络安全法》的颁布，标志着等级保护进入了一个新的时代，也有了我们经常听到的口号:“不等保，违法。”
2017年1-2月，校长标准委发布了网络安全等级保护技术要求系列标准和评估要求系列标准；5月，公安部发布《网络安全等级保护与分级指南》；6月1日，《中华人民共和国网络安全法》正式生效。
经过多次内部修改调整，《信息安全技术网络安全等级保护基本要求》于2019年5月13日正式发布，并于同年12月1日正式实施。同年还发布了配套标准。
2021年6月，等级保护评价标准发生变化，主要体现在综合得分计算公式上；11月，不再发布等级保护评价机构推荐目录，等级保护评价机构资质认证纳入国家认证体系。
2.等级保护的五个过程
2007年，四部门联合发布的《信息安全等级保护管理办法》规定了等级保护的五个标准动作，一直沿用至今。在五个标准动作的基础上，平等保护2.0增加了风险评估等动作。这次主要记录了我所知道的五个标准动作的内容。
2.1分级
在分级的实施过程中，主要涉及两个维度:S业务信息安全等级和A系统服务安全等级。根据对不同对象的侵害程度，分为1-5个等级。s，A是分开评分的，就高不就低的原则。还有一个参数G:通用安全服务级别。
在实际操作过程中，由于对国家、社会等客体的侵害程度难以界定，一般要求符合行业要求或同行业、同规模客户的分级。
二级是自评，三级是初步分级后需要组织专家评审和主管部门审核。专家评审组至少由三名信息安全专家和业务专家组成，其中一名应为等级保护高级鉴定人。信息安全专家一般从当地网络安全专家库中选取。
分级的一般过程如下:
2.2归档
根据信息安全等级保护和备案实施细则:
1)地市级以上公安机关公共信息网络安全监管部门受理辖区内备案单位的备案。
2)属于省级备案单位，其跨地网运行的信息系统由省级公安机关公共信息网络安全监管部门受理备案。
3)中央所属在京单位跨省或全国联网并由主管部门分级管理的信息系统，由公安部公共信息网络安全监察局受理并备案，其他信息系统由北京市公安局公共信息网络安全监管处受理并备案。
4)中央所属非京单位信息系统由所在地省级公安机关公共信息网络安全监管部门受理备案。
5)由主管部门统一分级的跨省或全国联网的信息系统运行应用的子系统，由所在地市级以上公安机关公共信息网络安全监管部门受理并备案。
备案过程中应准备以下材料:
1)附件1: xx系统安全等级保护记录表
2)附件2: XX系统网络安全等级保护分级报告
3)附件3: XX系统拓扑结构及说明
4)附件4: XX系统安全组织管理体系
5)附件5:5:XX系统安全防护设施设计实施方案或改造实施方案
6)附件6:6:XX系统使用的信息安全产品清单及其认证和销售许可证书。
7)附件7:7:XX系统安全防护等级专家评审意见
8)附件8:主管部门对信息系统安全保护等级的审批意见。
9)附件9: XX系统安全等级评估报告
10)附件10:XX单位网络安全等级保护工作组名单
整个流程完成后，公安机关会发放登记证，有的地方只有通过保评后才会发放登记证。
2.3施工/整改
等级保护施工可参照安全生产厂家的建议，或参照评估公司的预测、评估、整改报告进行。
二级推荐产品:防火墙、日志审计、堡机、主机杀毒。
三等推荐产品:防火墙、在线行为管理、日志审计、堡垒机器、数据库审计、主机杀毒、漏洞扫描和态势感知。
2.4评估
根据国家网络安全等级保护协调小组办公室推荐名单，按照《信息安全等级保护测评机构非现场备案实施细则》的要求，等级保护测评机构的工作应在推荐区域内开展。在推荐区域外开展水平评估项目的，应当在评估地办理备案手续。
根据国家网络安全等级保护协调小组最新要求，今后不再公布推荐名单，等级保护测评机构资质认证纳入国家认证体系。
2021年6月起保险公估评分办法有所变化，各地执行情况不一，但会陆续按此标准执行。评分公式如下:
与2019版“最短距离法”相比，主要发生以下变化
2021版公式改为缺陷扣除法；
等级保护管理部门可以通过给予关注系数来调整技术和管理的比例；
评价指标细分为一般、重要和关键。关键评价指标不符合扣3倍基准分，重要评价指标不符合扣2倍基准分。
从网络与信息系统运营者的角度来看，本次平等保险评价模板修订的主要关注点是关键评价指标、重要评价指标以及如何评价数据资源。三级通用标准共211项指标，其中关键指标137项，占65%；71项重要指标，占34%；一般指标3个，占1%。综合来看，超过三分之一的关键指标不符合要求，评价可能得“0”分。此次修订在已确定的137项关键指标的基础上，结合等保建设中客户的实际情况，在等保建设中突出了以下几个方面:态势感知、高级威胁检测、数据库安全等。
2.5监督和检查
公安部门将牵头开展检查。
3.平等保险1.0和2.0的主要区别
与Isoinsurance 1.0相比，Isoinsurance 2.0有五大变化:
3.1名称变更
名称由“信息系统安全等级保护”变更为“网络安全等级保护”。
3.2不同的法律效力
《网络安全法》第二十一条规定“国家实行网络安全等级保护制度，要求网络运营者按照网络安全等级保护制度的要求履行安全保护义务”。实施网络安全等级保护制度已成为法定义务。
3.3保护对象被扩展。
平等保护1.0主要是一个信息系统。平等保护2.0包括网络基础设施、云计算平台/系统、使用移动互联网技术的系统、物联网、工业控制系统等。纳入分级保护对象范围。
3.4对不同的控制措施进行分类。
宝1.0按照技术和管理五个方面的要求进行分类。技术要求包括物理安全、网络安全、主机安全、应用安全、数据安全和备份恢复。管理要求包括安全管理制度、安全管理组织、人员安全管理、系统建设管理和系统运维管理。
等到了2.0就有很大的变化了。技术需求分为安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心，管理需求分为安全管理体系、安全管理组织、安全人员管理、安全建设管理和安全运维管理。另外，等保2.0的安全设计基本要求、评估要求、技术要求的框架是一致的，即“一个中心，三重保护”。
3.5内容有所扩充。
保1.0有五个规定动作，包括定级、备案、施工整改、等级评定、监督检查。除了分级、备案、建设整改、等级评定和监督检查，等保2.0新增了风险评估、安全监控、通报预警、案件调查、数据保护、灾难备份和应急响应等功能。
