網(wǎng)站建設(shè)等保怎樣做？
時(shí)間: 2020-5-21 分享新聞到
一、什么是三級等保？等保的定義介紹
等保即信息安全等級保護(hù)，“三級等保”顧名思義就是安全等級保護(hù)三級。是指對國家重要信息、法人和其他組織及公民的專有信息以及公開信息在存儲(chǔ)、傳輸、處理這些信息時(shí)分等級實(shí)行安全保護(hù)；對信息系統(tǒng)中使用的信息安全產(chǎn)品實(shí)行按等級管理；對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應(yīng)、處置。二、法律對等保的要求：
《中華人民共和國網(wǎng)絡(luò)安全法》【第三十一條】 國家對公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域，以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露，可能嚴(yán)重危害國家安全、國計(jì)民生、公共利益的關(guān)鍵信息基礎(chǔ)設(shè)施，在網(wǎng)絡(luò)安全等級保護(hù)制度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)。關(guān)鍵信息基礎(chǔ)設(shè)施的具體范圍和安全保護(hù)辦法由國務(wù)院制定。
三、《等級保護(hù)測評要求》的測評方法：
①檢查關(guān)鍵應(yīng)用系統(tǒng)，查看應(yīng)用系統(tǒng)是否具有對人機(jī)接口輸入或通信接口輸入的數(shù)據(jù)進(jìn)行有效性檢驗(yàn)的功能。
②測試關(guān)鍵應(yīng)用系統(tǒng)，可通過對人機(jī)接口輸入的不同長度或格式的數(shù)據(jù)，查看系統(tǒng)的反應(yīng)，驗(yàn)證系統(tǒng)人機(jī)接口有效性檢驗(yàn)功能是否正確。
③滲透測試主要應(yīng)用系統(tǒng)，進(jìn)行試圖繞過訪問控制的操作，驗(yàn)證應(yīng)用系統(tǒng)的訪問控制功能是否不存在明顯的弱點(diǎn)。
2、針對數(shù)據(jù)庫系統(tǒng)：
①、檢查關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)，查看匿名/默認(rèn)帳戶的訪問權(quán)限是否已被禁用或者限制，是否刪除了系統(tǒng)中多余的、過期的以及共享的帳戶。
②、檢查關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)的權(quán)限設(shè)置情況，查看是否依據(jù)安全策略對用戶權(quán)限進(jìn)行了限制。
③、檢查關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)的補(bǔ)丁是否得到了及時(shí)更新。
④、檢查關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)帳戶列表，查看管理員用戶名分配是否唯一。
⑤、檢查關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)，查看是否提供了身份鑒別措施，其身份鑒別信息是否具有不易被冒用的特點(diǎn)，如對用戶登錄口令的最小長度、復(fù)雜度和更換周期進(jìn)行要求和限制。
⑥、檢查關(guān)鍵數(shù)據(jù)庫服務(wù)器的數(shù)據(jù)庫管理員與操作系統(tǒng)管理員是否由不同管理員擔(dān)任。
系統(tǒng)定級→系統(tǒng)備案→整改實(shí)施→系統(tǒng)測評→運(yùn)維檢查
①、系統(tǒng)定級：編寫定級報(bào)告、填寫定級備案表。
②、系統(tǒng)備案：定級備案表填寫完整后，將定級材料提交至公安機(jī)關(guān)進(jìn)行備案審核。
③、整改實(shí)施：對系統(tǒng)進(jìn)行調(diào)研，開展差距評估，依照國家相關(guān)標(biāo)準(zhǔn)進(jìn)行方案設(shè)計(jì)，完成相應(yīng)設(shè)備采購及調(diào)整、策略配置調(diào)試、完善管理制度等工作。
④、系統(tǒng)測評：請當(dāng)?shù)販y評機(jī)構(gòu)，對系統(tǒng)進(jìn)行全方面測評，測評評分合格后獲得合格測評報(bào)告，并最終獲得等級保護(hù)備案證。
⑤、運(yùn)維檢查：系統(tǒng)持續(xù)運(yùn)維與優(yōu)化，并按照相關(guān)要求進(jìn)行年檢。
五、等保常見問題：
1、網(wǎng)站不做等保，出了問題將承擔(dān)什么責(zé)任？
①、網(wǎng)絡(luò)運(yùn)營者不履行《中華人民共和國網(wǎng)絡(luò)安全法》【第二十一條】規(guī)定的網(wǎng)絡(luò)安全保護(hù)義務(wù)的，由有關(guān)主管部門責(zé)令改正，給予警告；拒不改正或者導(dǎo)致危害網(wǎng)絡(luò)安全等后果的，處一萬元以上十萬元以下罰款，對直接負(fù)責(zé)的主管人員處五千元以上五萬元以下罰款。
②、 關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者不履行《中華人民共和國網(wǎng)絡(luò)安全法》【第三十四條】規(guī)定的網(wǎng)絡(luò)安全保護(hù)義務(wù)的，由有關(guān)主管部門責(zé)令改正，給予警告；拒不改正或者導(dǎo)致危害網(wǎng)絡(luò)安全等后果的，處十萬元以上一百萬元以下罰款，對直接負(fù)責(zé)的主管人員處一萬元以上十萬元以下罰款。
2、哪些行業(yè)需要做等保？
金融行業(yè)、游戲行業(yè)、教育行業(yè)、電商行業(yè)、網(wǎng)貸行業(yè)、通訊行業(yè)、能源行業(yè)、運(yùn)輸行業(yè)等。
3、遞交的備案資料都包括哪些內(nèi)容？
①、《信息系統(tǒng)安全等級保護(hù)備案表》（一式兩份）
②、《信息系統(tǒng)安全等級保護(hù)定級報(bào)告》（一個(gè)系統(tǒng)一份）
③、《系統(tǒng)定級評審意見》（或上級主管部門定級審核意見）
④、相關(guān)電子數(shù)據(jù)等
4、整改會(huì)不會(huì)涉及到要購置設(shè)備？如果有些不符合項(xiàng)目不能馬上關(guān)閉能不能通過備案？
根據(jù)《GB T22239-2008信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基本要求》，三級系統(tǒng)有如下要求：
①、應(yīng)提供主要網(wǎng)絡(luò)設(shè)備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的高可用性；
②、應(yīng)建立備用供電系統(tǒng)；
以上檢查項(xiàng)需要購置設(shè)備，對二級系統(tǒng)沒有此要求，但在二級系統(tǒng)中，構(gòu)成系統(tǒng)網(wǎng)絡(luò)安全的必要硬件則必須有；
5、整個(gè)周期是多長？其中現(xiàn)場測評時(shí)間多長？
①、整個(gè)測評周期包括前期調(diào)研、現(xiàn)場測評、后期報(bào)告編寫等，一般情況下一個(gè)二級系統(tǒng)會(huì)占用3~4周，一個(gè)三級系統(tǒng)會(huì)占用4~5周（指初次測評，不包括整改和加固時(shí)間）；
②、 其中現(xiàn)場測評（指在被測系統(tǒng)單位現(xiàn)場的測評）的時(shí)間根據(jù)系統(tǒng)的數(shù)量而定：一般一個(gè)二級系統(tǒng)會(huì)占用3~4個(gè)工作日，一個(gè)三級系統(tǒng)會(huì)占用5~6個(gè)工作日（兩組同時(shí)進(jìn)行，每組兩人）。
6、等保測評檢查周期是多長？
二級系統(tǒng)每2年進(jìn)行一次測評檢查，三級系統(tǒng)每年檢查一次。
粵公網(wǎng)安備 44010602006226號(hào)
