等保測(cè)評(píng)有多重要？
【時(shí)間】2021-02-19
【編輯】Admin
【瀏覽量】
【等級(jí)保護(hù)QQ交流群】881590869
入行DJBH已有數(shù)年，從入行實(shí)習(xí)第一個(gè)月被某單位信息化負(fù)責(zé)人指責(zé)過(guò)“等保測(cè)評(píng)不重要”，到后來(lái)成為一名“老測(cè)評(píng)師”后，依稀會(huì)聽(tīng)到“等保測(cè)評(píng)不重要”之類(lèi)的言辭。在入行幾年里，從學(xué)著如何開(kāi)展測(cè)評(píng)工作，到了解等級(jí)保護(hù)相關(guān)政策、標(biāo)準(zhǔn)以及等級(jí)保護(hù)的發(fā)展歷程，再到如何應(yīng)用等級(jí)保護(hù)相關(guān)要求，始終在琢磨一個(gè)問(wèn)題：等保測(cè)評(píng)到底有多重要？
雖說(shuō)等級(jí)保護(hù)是網(wǎng)絡(luò)安全的基本要求，是一類(lèi)基線(xiàn)類(lèi)的合規(guī)檢查工作，等級(jí)測(cè)評(píng)工作“入行門(mén)檻不高，且容易上手”，但并不意味著“等保測(cè)評(píng)是最低要求”，也不能講“等保測(cè)評(píng)不重要”。“等級(jí)保護(hù)”一詞自1994年被提出，歷時(shí)16年的發(fā)展，從起初的“一無(wú)所有”到等保標(biāo)準(zhǔn)體系建設(shè)完善化，再到“有法可依”的等保2.0時(shí)代，是一代等保前輩在逐步推進(jìn)，同時(shí)也凝聚了一代人的心血。國(guó)家的大力支持、主管部門(mén)的積極推動(dòng)以及等保逐步產(chǎn)業(yè)化，使得國(guó)家網(wǎng)絡(luò)安全行業(yè)有了迅速地發(fā)展。等級(jí)測(cè)評(píng)作為開(kāi)展等級(jí)保護(hù)工作的核心內(nèi)容，豈能講“等保測(cè)評(píng)不重要”呢？等保2.0從2019年的正式實(shí)施，到后續(xù)推廣、落地，其適用性與可行性也逐步被論證；隨著“新基建、數(shù)字經(jīng)濟(jì)、人工智能、5G”等一系列新興技術(shù)產(chǎn)業(yè)的發(fā)展，DJBH行業(yè)從業(yè)者應(yīng)考慮如何秉承等保前輩們鉆研、探索的精神積極推動(dòng)等保工作的發(fā)展，為等級(jí)保護(hù)“正名”。
我國(guó)《標(biāo)準(zhǔn)化法實(shí)施條例》第20條規(guī)定：標(biāo)準(zhǔn)實(shí)施后，制定標(biāo)準(zhǔn)的部門(mén)應(yīng)當(dāng)根據(jù)科學(xué)技術(shù)的發(fā)展和經(jīng)濟(jì)建設(shè)的需要適時(shí)進(jìn)行復(fù)審，標(biāo)準(zhǔn)復(fù)審周期一般不超過(guò)5年。等級(jí)保護(hù)是我國(guó)關(guān)于信息安全的基本政策，自1994年147號(hào)令首次提出計(jì)算機(jī)信息系統(tǒng)實(shí)行安全等級(jí)保護(hù)，到2007年43號(hào)文確立推進(jìn)等級(jí)保護(hù)相關(guān)事宜，再到2017年網(wǎng)絡(luò)安全法正式實(shí)施，等級(jí)保護(hù)制度上升到法律高度。網(wǎng)絡(luò)安全法律法規(guī)體系是國(guó)家網(wǎng)絡(luò)安全保障體系的重要組成部分，維護(hù)網(wǎng)絡(luò)安全，需充分發(fā)揮法律的強(qiáng)制性規(guī)范作用?！毒W(wǎng)絡(luò)安全法》是網(wǎng)絡(luò)安全工作的基礎(chǔ)性法律框架，是一項(xiàng)“基本法”，其解決了以下幾個(gè)問(wèn)題:
-
明確了部門(mén)、企業(yè)、社會(huì)組織和個(gè)人的權(quán)利、義務(wù)和責(zé)任；
-
規(guī)定了國(guó)家網(wǎng)絡(luò)安全工作的基本原則、主要任務(wù)和重大指導(dǎo)思想、理念；
-
將成熟的政策規(guī)定和措施上升為法律,為政府部門(mén)的工作提供了法律依據(jù),體現(xiàn)了依法行政、依法治國(guó)要求；
-
建立了國(guó)家網(wǎng)絡(luò)安全的一系列基本制度,這些基本制度具有全局性、基礎(chǔ)性特點(diǎn),是推動(dòng)工作、夯實(shí)能力、防范重大風(fēng)險(xiǎn)所必需。
等級(jí)保護(hù)制度作為國(guó)家網(wǎng)絡(luò)安全的一項(xiàng)基本制度，其從整個(gè)信息和網(wǎng)絡(luò)系統(tǒng)全局出發(fā)，強(qiáng)化夯實(shí)網(wǎng)絡(luò)安全防護(hù)能力，盡可能地規(guī)避等級(jí)保護(hù)對(duì)象可能面臨的風(fēng)險(xiǎn)。等級(jí)測(cè)評(píng)是等級(jí)保護(hù)的核心工作，是具有法律意義的一項(xiàng)工作，豈能講“等保測(cè)評(píng)不重要”呢？等級(jí)保護(hù)基本要求維持安全技術(shù)+安全管理的體系模式，從技術(shù)和管理兩個(gè)維度提出相應(yīng)的安全要求，保障網(wǎng)絡(luò)和信息系統(tǒng)盡可能地安全。等級(jí)保護(hù)技術(shù)層面從等保1.0“分層防護(hù)、縱深防御”的體系到等保2.0“一個(gè)中心、三重防護(hù)”的縱深防御體系也是在吸收國(guó)際網(wǎng)絡(luò)安全先進(jìn)安全體系和安全理念。等級(jí)保護(hù)系列標(biāo)準(zhǔn)成體系化，2019年等級(jí)保護(hù)基本要求、設(shè)計(jì)要求、測(cè)評(píng)要求三大標(biāo)準(zhǔn)同時(shí)發(fā)布、同步執(zhí)行，將等級(jí)保護(hù)工作與“三同步”融合，即在信息系統(tǒng)的“規(guī)劃、建設(shè)、運(yùn)營(yíng)/使用”三階段生命周期，形成等級(jí)保護(hù)與“三同步”的結(jié)合點(diǎn)。在網(wǎng)絡(luò)和信息系統(tǒng)上線(xiàn)前后基于等級(jí)測(cè)評(píng)可發(fā)現(xiàn)其存在的安全隱患，及時(shí)整改，保證系統(tǒng)上線(xiàn)后安全、穩(wěn)定、合規(guī)的運(yùn)行。等級(jí)保護(hù)整個(gè)體系涉及面廣，基本涵蓋網(wǎng)絡(luò)安全所需的各項(xiàng)能力。因等級(jí)保護(hù)的“定位和作用”，使得其有點(diǎn)“廣而不深”，即等保基本性要求并未在某些安全層面細(xì)化，但其對(duì)系統(tǒng)安全體系建設(shè)存在一定的指導(dǎo)作用，豈能講“等保測(cè)評(píng)不重要”呢？等保測(cè)評(píng)的嚴(yán)謹(jǐn)性“任何一門(mén)學(xué)科如果不引入數(shù)學(xué), 就無(wú)法成為科學(xué)?！钡缺y(cè)評(píng)的測(cè)評(píng)結(jié)果分析與報(bào)告編制階段積極嘗試進(jìn)行量化，通過(guò)“定性+定量”的方式使得結(jié)果更具有科學(xué)性、更加的合理性，保證等級(jí)測(cè)評(píng)的嚴(yán)謹(jǐn)性。雖然等級(jí)測(cè)評(píng)工作的復(fù)雜程度以及科學(xué)程度沒(méi)有密碼學(xué)對(duì)于“數(shù)學(xué)”的理論性要求強(qiáng)，但等保測(cè)評(píng)也在積極推動(dòng)量化工作，多指標(biāo)、多層次的量化工作并非易事，也希望DJBH行業(yè)從業(yè)者能夠積多人之力，實(shí)現(xiàn)量化方法更加合理化?！八惴úo(wú)錯(cuò)與對(duì)，只有優(yōu)與不優(yōu)”，等保2.0中計(jì)算公式可能在理解、使用時(shí)存在一定的出入，但其依據(jù)“最優(yōu)距離法、平均法”的數(shù)學(xué)理論，也保證了一定的“科學(xué)性”。等級(jí)測(cè)評(píng)結(jié)論基于風(fēng)險(xiǎn)的定性分析和測(cè)評(píng)結(jié)論的量化結(jié)果綜合進(jìn)行判定，測(cè)評(píng)結(jié)論如何合理的引導(dǎo)也是論證“等保測(cè)評(píng)非常重要”這一命題的有力支撐，用戶(hù)也無(wú)須擔(dān)憂(yōu)“測(cè)評(píng)分?jǐn)?shù)”是“拍腦袋”得到的。業(yè)內(nèi)習(xí)慣稱(chēng)“等級(jí)測(cè)評(píng)”為“過(guò)等?！?，落實(shí)等級(jí)保護(hù)制度，開(kāi)展等級(jí)保護(hù)工作需進(jìn)行定級(jí)、備案、建設(shè)整改、等級(jí)測(cè)評(píng)、監(jiān)督檢查一系列工作。用戶(hù)在積極落實(shí)等級(jí)保護(hù)工作過(guò)程中，等級(jí)測(cè)評(píng)僅僅是其中的一部分工作內(nèi)容，等級(jí)測(cè)評(píng)結(jié)論為差，只能說(shuō)明等級(jí)保護(hù)對(duì)象安全防護(hù)能力暫未達(dá)到等級(jí)保護(hù)基本要求，還需繼續(xù)推進(jìn)整改工作。等級(jí)測(cè)評(píng)結(jié)論為差與不落實(shí)、開(kāi)展等級(jí)保護(hù)工作是兩個(gè)不同層面的事情，前者只需接受監(jiān)督管理、持續(xù)改進(jìn)，盡快滿(mǎn)足等級(jí)保護(hù)基本要求，后者則在違法網(wǎng)絡(luò)安全法，需要接受監(jiān)管部門(mén)的處罰。等級(jí)測(cè)評(píng)非常重要，“0元過(guò)等保”可能存在誤導(dǎo)，用戶(hù)自身還需結(jié)合業(yè)務(wù)和實(shí)際網(wǎng)絡(luò)環(huán)境仔細(xì)落實(shí)。
