等保 GBT 学习记录

定级->备案->安全建议整改->等级测评->监督检查

最早GB 17859-1999 计算机信息系统安全保护等级划分准则规划了5个等级

• 第一级:用户自主保护级
• 第二级:系统审计保护级
• 第三级:安全标记保护级
• 第四级:结构化保护级
• 第五级:访问验证保护级

‍

GBT 阅读顺序

GBT 22240-2020信息安全技术网络安全等级保护定级指南

安全保护等级

根据等级保护对象在国家安全、经济建设、社会生活中的 重要程度，以及一旦遭到破坏、丧失功能或者数据被篡改、泄露、丢失、损毁后，对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的侵害程度等因素，等级保护对象的安全保护等级分为以下五级:

• 第一级，等级保护对象受到破坏后，会对相关公民、法人和其他组织的合法权益造成一般损害，但不危害国家安全、社会秩序和公共利益;
• 第二级，等级保护对象受到破坏后，会对相关公民、法人和其他组织的合法权益造成严重损害或特别严重损害，或者对社会秩序和公共利益造成危害，但不危害国家安全;
• 第三级，等级保护对象受到破坏后，会对社会秩序和公共利益造成严重危害，或者对国家安全造成危害;
• 第四级，等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重危害，或者对国家安全造成严重危害;
• 第五级 ，等级保护对象受到破坏后，会对国家安全造成特别严重危害 。

定级

等级保护对象的定级要素包括:

• 受侵害的客体

  • 公民、法人和其他组织的合法权益
  • 社会秩序 、公共利益
  • 国家安全

• 对客体的侵害程度

  • 一般损害
  • 严重损害
  • 特别严重损害

‍

GBT 22239-2019 信息安全技术网络安全等级保护基本要求

通用要求框架

技术/管理大类	分类	安全控制点
安全技术要求	安全物理环境	物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护
	安全通信网络	网络架构、通信传输、可信验证
	安全区域边界	边界防护、访问控制、入侵防范、可信验证、恶意代码防范、安全审计
	安全计算环境	身份鉴别、访问控制、安全审计、可信验证、入侵防范、恶意代码防范、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护、系统管理
	安全管理中心	系统管理、审计管理、安全管理、集中管控
安全管理要求	安全管理制度	安全策略、管理制度、制定和发布、评审和修订
	安全管理机构	岗位设置、人员配备、授权和审批、沟通和合作、审核和检查
	安全管理人员	人员录用、人员离岗、安全意识教育和培训、外部人员访问管理
	安全建设管理	定级和备案、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、等级测评、服务供应商管理
	安全运维管理	环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络与系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理、外包运维管理

安全拓展要求

• 云计算安全扩展要求
• 移动互联安全扩展要求
• 物联网安全扩展要求
• 工业控制系统安全扩展要求

具体看国标

GBT 25070-2019 信息安全技术网络安全等级保护安全设计技术要求

通用等级保护安全技术设计框架

云安全等级保护安全技术设计框架

移动互联等级保护安全技术设计框架

物联网等级保护安全技术设计框架

工业控制系统等级保护安全技术设计框架

‍

GBT 28448-2019 信息安全技术网络安全等级保护测评要求

GBT 28449-2018 信息安全技术 信息系统安全等级保护测评过程指南

内容太多，看就完了。需要用在找出来看。项目地址

‍