信息安全等級保護(hù)解決方案
隨著《網(wǎng)絡(luò)安全法》的正式實施和十九大即將召開，信息安全被推上了前所未有的重要地位。根據(jù)《網(wǎng)絡(luò)安全法》第二十一條提到的“國家實行網(wǎng)絡(luò)安全等級保護(hù)制度”這一明確規(guī)定，要求網(wǎng)絡(luò)經(jīng)營者應(yīng)按照網(wǎng)絡(luò)安全等級保護(hù)制度的要求。為了幫助企業(yè)用戶快速滿足等保合規(guī)的要求，景安憑借自有的快云安全產(chǎn)品的技術(shù)優(yōu)勢，聯(lián)合等保認(rèn)證合作的測評/安全咨詢機(jī)構(gòu)，為企業(yè)用戶提供一站式等保測評服務(wù)：攻擊防護(hù)、網(wǎng)站入侵防護(hù)、私密數(shù)據(jù)加密等，幫助企業(yè)用戶快速省心地通過等保合規(guī)！
信息安全等級保護(hù)知識普及 KNOWLEDGE POPULARIZATION
什么是信息安全等級保護(hù)？
信息安全等級保護(hù)（簡稱等保認(rèn)證）：是我國信息安全保障的一項基本制度，是國家通過制定統(tǒng)一的信息安全等級保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，組織公民、法人和其他組織對信息系統(tǒng)分等級實行安全保護(hù)。等級保護(hù)根據(jù)信息系統(tǒng)的重要程度由低到高劃分1到5個等級，根據(jù)安全等級實施不同的保護(hù)策略。
信息安全等級保護(hù)的五個等級是什么？
第一級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權(quán)益造成損害，但不損害國家安全、社會秩序和公共利益。
第二級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重?fù)p害，或者對社會秩序和公共利益造成損害，但不損害國家安全。
第三級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成嚴(yán)重?fù)p害，或者對國家安全造成損害。 新修訂定級指南對公民、法人和其他組織的合法權(quán)益造成特別嚴(yán)重?fù)p害。
第四級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成特別嚴(yán)重?fù)p害，或者對國家安全造成嚴(yán)重?fù)p害。
第五級，信息系統(tǒng)受到破壞后，會對國家安全造成特別嚴(yán)重?fù)p害。
《網(wǎng)絡(luò)安全法》第21條 國家實行網(wǎng)絡(luò)安全等級保護(hù)制度。網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級保護(hù)制度的要求，履行下列安全保護(hù)義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改：
（一）制定內(nèi)部安全管理制度和操作規(guī)程，確定網(wǎng)絡(luò)安全負(fù)責(zé)人，落實網(wǎng)絡(luò)安全保護(hù)責(zé)任；
（二）采取防范計算機(jī)病毒和網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等危害網(wǎng)絡(luò)安全行為的技術(shù)措施；
（三）采取監(jiān)測、記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措施，并按照規(guī)定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個月；
（四）采取數(shù)據(jù)分類、重要數(shù)據(jù)備份和加密等措施；
（五）法律、行政法規(guī)規(guī)定的其他義務(wù)。
重點(diǎn)解析：
安全管理制度
制定內(nèi)部安全管理制度和操作規(guī)程，確定網(wǎng)絡(luò)安全負(fù)責(zé)人，落實網(wǎng)絡(luò)安全保護(hù)責(zé)任；
應(yīng)對策略：
安全策略、制度和管理層人員，是保證持續(xù)安全非常重要的基礎(chǔ)。策略指導(dǎo)安全方向，制度明確安全流程，人員落實安全責(zé)任。安全策略、制度和管理層人員，需要客戶管理層根據(jù)本企業(yè)的實際情況，進(jìn)行梳理、準(zhǔn)備和落實，并形成專門的文件。
網(wǎng)絡(luò)安全行為的技術(shù)措施
計算機(jī)病毒：注意對系統(tǒng)文件、可執(zhí)行文件和數(shù)據(jù)的寫保護(hù)；使用新的計算機(jī)系統(tǒng)或軟件時，先殺毒后使用；備份系統(tǒng)和參數(shù)，建立系統(tǒng)的應(yīng)急計劃等。
網(wǎng)站攻擊：設(shè)置強(qiáng)有力的安全保障體系，在網(wǎng)絡(luò)中層層設(shè)防，使每一層都成為一道關(guān)卡，從而讓攻擊者無隙可鉆、無計可使！
入侵防范：應(yīng)能夠檢測到對重要節(jié)點(diǎn)進(jìn)行入侵的行為，并在發(fā)生嚴(yán)重入侵事件時提供報警。
應(yīng)對策略：
采用必要的安全手段保證系統(tǒng)層安全，防范服務(wù)器網(wǎng)絡(luò)攻擊、入侵行為等，推薦使用專業(yè)的網(wǎng)絡(luò)安全產(chǎn)品，能有效防御任何類型的DDoS攻擊、CC攻擊、7X24小時實時防御網(wǎng)站數(shù)據(jù)，提供專業(yè)網(wǎng)站防護(hù)服務(wù)、頁面篡改防護(hù)服務(wù)、防黑客和內(nèi)容過濾服務(wù), 為您的網(wǎng)站提供一套完善的安全防護(hù)解決方案。
建立自身的網(wǎng)絡(luò)日志存儲
網(wǎng)絡(luò)日志存儲：網(wǎng)絡(luò)經(jīng)營者采取監(jiān)測、記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措施，并按照規(guī)定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個月。
應(yīng)對策略：
日志的存儲對于云服務(wù)提供商非常重要，不但是對于安全法的要求，對于公司內(nèi)部的安全性以及出現(xiàn)網(wǎng)絡(luò)安全事件后協(xié)助公安排查都顯得必不可少！我們作為國內(nèi)重要的IDC服務(wù)提供商以及云計算服務(wù)商，擁有10余年的數(shù)據(jù)中心管理經(jīng)驗及成熟的網(wǎng)絡(luò)日志抓取及分析能力，并已經(jīng)形成自己完善的日志管理系統(tǒng)。日志管理系統(tǒng)可達(dá)到每秒百G級別的流量數(shù)據(jù)實時抓取以及PB級別的日志存儲能力，基本能夠滿足各類企業(yè)對日志系統(tǒng)的使用需求。
重要數(shù)據(jù)備份、加密
身份鑒別：應(yīng)對登錄的用戶進(jìn)行身份標(biāo)識和鑒別，身份標(biāo)識具有唯一性，鑒別信息具有復(fù)雜度要求；
數(shù)據(jù)完整性：應(yīng)采用校驗碼技術(shù)或加解密技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性和保密性；
數(shù)據(jù)備份恢復(fù)：應(yīng)提供異地實時備份功能，利用通信網(wǎng)絡(luò)將重要數(shù)據(jù)實時備份至備份場地；
應(yīng)對策略：
推薦使用SSL證書，實現(xiàn)HTTPS，確保數(shù)據(jù)在傳輸?shù)倪^程中保持處于加密狀態(tài)；數(shù)據(jù)備份，推薦使用異地容災(zāi)自動實現(xiàn)數(shù)據(jù)備份，亦可以將數(shù)據(jù)庫備份文件手工同步到其他地區(qū)的服務(wù)器。
信息安全等級保護(hù)的實施流程 IMPLEMENTING PROCESS
第一階段：系統(tǒng)定級
信息系統(tǒng)運(yùn)營使用單位按照《信息安全等級保護(hù)管理辦法》和《網(wǎng)絡(luò)安全等級保護(hù)定級指南》，初步確定定級對象的安全保護(hù)等級，起草《網(wǎng)絡(luò)安全等級保護(hù)定級報告》；三級以上系統(tǒng)，定級結(jié)論需要進(jìn)行專家評審。
第二階段：系統(tǒng)備案
信息系統(tǒng)安全保護(hù)等級為第二級以上時，備案時應(yīng)當(dāng)提交《網(wǎng)絡(luò)安全等級保護(hù)備案表》和定級報告；第三級以上系統(tǒng)，還需提交專家評審意見、系統(tǒng)拓?fù)浜驼f明、安全管理制度、安全建設(shè)方案等。
第三階段： 建設(shè)整改
依據(jù)《網(wǎng)絡(luò)安全等級保護(hù)基本要求》，利用自有或第三方的安全產(chǎn)品和專家服務(wù)，對信息系統(tǒng)進(jìn)行安全建設(shè)和整改，同時制定相應(yīng)的安全管理制度；
第四階段：等級測評
運(yùn)營使用單位應(yīng)當(dāng)選擇合適的測評機(jī)構(gòu)，依據(jù)《網(wǎng)絡(luò)安全等級保護(hù)測評要求》等技術(shù)標(biāo)準(zhǔn)，定期對信息系統(tǒng)安全等級狀況開展等級測評。
第五階段：監(jiān)督檢查
公安機(jī)關(guān)及其他監(jiān)管部門會在整個過程中，履行相應(yīng)的監(jiān)管、審核和檢查等職責(zé)。
