本文为您解读等保2.0的具体内容,介绍配置审计的等保预检能力。

什么是等保2.0

等保2.0是指网络安全等级保护制度2.0国家标准,该标准已于2019年5月13日正式发布,并于2019年12月1日正式实施。目前58%的国家已制定国家网络安全战略,主要国家和地区都已制定专门的网络立法。等保2.0的发展和演进史如下图所示。

阿里云2000元代金券免费领,最新优惠1折抢购,2核4G云服务器仅799元/3年,新老用户同享,立即抢购>>>

等保2.0解读_等保预检_配置审计

等保2.0的重要变化

  • 云上信息系统纳入检测范围。

    基于等保1.0的网络和信息系统,新增了云计算平台、大数据平台、物联网、移动互联技术系统、工业控制系统。充分考虑了当前企业信息系统的业务多样性和复杂性。

  • 云上租户的信息系统区别于云平台成为独立的检测对象。

    在等保1.0中,企业托管资源的云平台通过相应等保等级,即认为相应云上租户通过了相应等级。随着云上服务的复杂度和灵活性日渐成熟,云上租户对托管的资源具有越来越高的控制权,所以从等保2.0开始,云上租户使用云平台服务所构建的云上信息系统将作为独立的检测对象。

  • 强调持续的安全能力构建,而非一次性检测。
    等保1.0主要关注在检测当时系统的合规状态,检测完成后,系统是否能持续保持安全合规是无法监管的。等保2.0在制定过程中,将对系统的持续合规要求融入到条例中,引导并监督企业构建一个可持续保护信息系统的安全能力。以PPDR(以策略为中心,构建防护、检测和响应防护机制)为核心思想、以可信认证为基础、以访问控制为核心,构建可信、可控和可管的立体化纵深防御体系。

    分类 说明
    可信 以可信计算技术为基础,构建一个可信的业务系统执行环境,即用户、平台、程序都是可信的,确保用户无法被冒充、病毒无法执行、入侵行为无法成功。可信的环境保证业务系统永远都按照设计预期的方式执行,不会出现非预期的流程,从而保障了业务系统安全可信。
    可控 以访问控制技术为核心,实现主体对客体的受控访问,保证所有的访问行为均在可控范围之内进行,在防范内部攻击的同时有效防止了从外部发起的攻击行为。对用户访问权限的控制可以确保系统中的用户不会出现越权操作,永远都按系统设计的方式进行资源访问,保证了系统的信息安全可控。
    可管 通过构建集中管控、最小权限管理与三权分立的管理平台,为管理员创建了一个工作平台,使其可以借助于本平台对系统进行更好的管理,从而弥补了我们现在重机制、轻管理的不足,保证信息系统安全可管。
    等保2.0以“一个中心,三重防护”为网络安全技术设计的总体思路,其中一个中心即安全管理中心,三重防护即安全计算环境、安全区域边界和安全通信网络。

    • 安全管理中心要求在系统管理、安全管理、审计管理三个方面实现集中管控,从被动防护转变到主动防护,从静态防护转变到动态防护,从单点防护转变到整体防护,从粗放防护转变到精准防护。
    • 三重防护要求企业通过安全设备和技术手段实现身份鉴别、访问控制、入侵防范、数据完整性、保密性、个人信息保护等安全防护措施,实现平台的全方位安全防护。
等保1.0和2.0的差异如下表所示。

等保1.0 等保2.0
事前预防、事中响应、事后审计的纵深防御思路。 在“一个中心、三重防护”的理念基础上,注重全方位主动防御、安全可信、动态感知和全面审计。
0分以上基本符合。等保三级每年检测一次,等保四级每半年检测一次。 75分以上基本符合,等保三级和四级每年检测一次。

云上信息系统过等保的五大困难

等保2.0侧重视持续的合规监管能力,且要求等保三级和等保四级均每年检测一次。但资源托管在云端,云上信息系统过等保,具体困难如下表所示。

困难 说明
云上检测范围不明确 虚拟化IT设施与传统IT的部分概念不同,面对复杂的云上配置,无从下手。
无集中的资源管理 云平台如果不提供配置管理数据库(CMDB)能力,在等保的反复检测和整改过程中,仅向检测结构举证和演示云上系统详情,操作就非常繁琐。
自己不掌握系统数据 资源托管在云端,等保2.0要求举证管理行为的日志和合规情况,需要依赖云平台对审计数据的输出。
无法自建自动化检测 通常云下企业都有自己的配置管理数据库CMDB(Configuration Management Database),只要合规和要求明确,完全可以自己写脚本扫描配置完成自检和监控。现在资源托管在云上,如果想通过脚本实现自检,则需要持续同步云上配置到云下,仅配置同步就消耗巨大的成本。
混合云截断成两部分 混合云的技术选型导致同一个业务系统部分在云上,部分在云下,无论是自检、扫描、监控或检测,都必须分开两次,人力和时间成本巨大。

借助云平台能力,实现持续监管

针对以上五大困难,阿里云在配置审计服务中,为您提供免费的等保预检能力,在等保预检和建设整改环节为企业助力。

配置审计将等保2.0条例解读为云上的合规检测规则,并持续监控资源的变更,动态实时的执行合规评估,及时推送不合规告警,让企业能时刻掌握云上信息系统的合规性。等保2.0解读_等保预检_配置审计

功能特性

配置审计中等保2.0的功能特性如下:

  • 等保2.0条例解读为检测规则:将云上等保2.0条例实现为一组监控规则,只需一键即可启动持续的等保预检,为正式检测做好准备。
  • 动态、持续、可控的检测:通过持续追踪资源的变更,实时地触发相关联规则的评估。等保2.0要求达到75分即可通过,所以支持停止或忽略规则操作,避免持续出现无需关注的不合规告警。
  • 不合规告警与修正:可以订阅等保2.0检测的不合规告警,收到告警后上云进行整改,或为具体的条例设置修正逻辑,在不合规发生时自动修正。
  • 下载检测报告:可将检测结果下载到本地,便于云下分配任务并跟进整改,也可作为向检测机构举证时的辅助素材。