当前位置:首页 - 资讯中心 - 行业新闻

山石网科杨庆华:等保2.0发布一周年,但有些人还停留在等保1.0时代

发布时间:2020-06-19

2019年5月13日,网络安全等级保护2.0系列标准中最重要的三个标准正式发布。一年以来,“等保2.0”始终是网络安全领域最热门的话题。无论是政府主管部门、厂商、行业用户、企业用户,都在宣传“等保2.0时代”已经到来。但在实际中,等保2.0的落地现状如何?业界对等保2.0的认知有哪些误区?厂商与用户又应该如何更好地实施等保2.0? 山石网科高级副总裁、首席技术专家、安全技术研究院院长杨庆华,以资深网络安全专家的视角深度解读等保2.0发布一周年来的施行情况,分析在标准落地过程中厂商与用户存在的误区与不足,指明推行等保2.0的新方向。

山石网科高级副总裁、首席技术专家安全技术研究院院长 杨庆华

  等保2.0发布一周年,您认为国内的推进现状如何?

  等保2.0是由核心的6个标准加上3个辅助的标准所构成的一个系列标准。在2020年3月,9个标准全部发布了,等保2.0的系列标准已经构建完成,但我认为等保2.0时代还没有真正的到来,整体上是雷声大雨点小。

  首先,等保2.0系列标准还没有真正开始执行。比如2020年4月28号发布的定级指南,其实还没有真正的执行和实施。其次,缺乏相关的配套政策。现在我们遵循的还是2007年开始施行的《信息安全等级保护管理办法》对等级保护的管理办法,但是那个管理办法对于现在的等保2.0的部分内容是不太适合的。并且,等保2.0测试完成的项目还较少。

  经过这一年等保2.0的实施,您对等保2.0有哪些新的认识和理解?

  等保2.0在定级领域、建设要求以及产品技术细节等方面解决了等保1.0所无法解决的问题。

  在定级范围方面,等保2.0解决了云计算、工业控制、移动互联等新领域的定级问题。

  在建设要求方面,等保2.0给“云、大、物、移、智、工业控制”这六大领域的从业者提供了明确的建设要求。

  在技术细节方面,等保2.0有很多优化和更新。在疫情期间,我们做了9期基于等保维护和运维的培训,指导用户真正的发挥安全产品的作用。

  您认为,目前业界对等保2.0的认知有哪些局限性和误区?

  目前业界对等保2.0的认知有五大误区。

  第一个误区:没有贯彻“三同步”的原则。

  等保2.0强调“同步规划,同步建设,同步运维”, 定级指南里明确要求必须过了三级系统测评之后才可以上线,但在等保1.0时期大家全是补丁思维,是系统建完之后,我为了过等保去做打补丁工作,这个误区现在依然存在。

  第二个误区:重技术,轻管理。

  在等保1.0时代,技术和管理是二大类,是分开要求的,但在等保2.0时代,不再把技术和管理分类,技术和管理同等重要地位。而问题是,不管是厂商宣传还是用户建设,大家谈的还是技术,忽略了管理。

  究其原因有三:第一是用户的能力不够、意识不够,第二是厂商不了解客户的业务和行业属性,第三是用户不愿意花这么多钱去提升管理能力,因为这是短期内见不到直接效益的。

  第三个误区:把等保的技术要求理解成产品要求。

  等保的基本要求叫技术要求,绝不是叫产品要求。不是说买了几个产品就能过等保2.0,美其名曰等保几件套,实际上等保没有任何一个要求是针对哪一个特定产品的。以边界安全里的访问控制为例,很多产品都能实现这个功能,防火墙、IPS、安全网关,甚至路由器都能做,没有要求必须用哪个特定的产品,只要能实现技术要求,用什么产品都是可以的。

  第四个误区:等保建设的目的是通过测评。

  测评只是一个检查的手段,不是等保的目的。等保1.0在评分的时候只有基本符合和不符合,而等保2.0测评的结果分为优良中差,90分以上是优,70分以下就是差,差就是不合格,这样大家就有了明确的好和不好的区分,看到还可以提升的差距在哪里。

  第五个误区:只要过了等保、拿到检测证书,以后就不需要整改了。

  拿到检测证书之后,根据评分,还有很多问题是需要整改的。就像我们考试一样,60分及格,你考了61分,但你还有39分是不懂的,这些知识就会影响你后面的其他的学习。这些差距你要补,如果你不补,后面就可能出问题,但是这部分工作好像没人去做。

  如何更好的实施2.0?您认为哪些方面是必须要注意的?请提最重要的三点。

  第一,必须坚持三同步原则。

  即安全要与业务系统同步规划、同步建设、同步运维,而不是系统建设完毕后再考虑安全部分,为了过等保而过等保。

  第二,等保2.0不能简单依靠产品和技术的堆砌。

  等保绝不是买一堆产品,也不是单纯靠技术,甚至一个等保一体机就能解决的问题。应该结合运维管理、客户业务、行业属性等进行系统建设,如果一个产品就能解决等保所有的问题,那么等保2.0几百页的标准意义何在?

  第三,等保2.0是一个规划、建设与运维、测评、整改的循环过程。

  等保测评不是目的,是检验的一个手段。等保是一个PDCA(戴明环)这样的循环过程,即规划、建设与运维、测评、整改,然后将合格的纳入运行,不合格的留待下一循环去解决。

  对于等保2.0,您还有什么想补充说明的?

  我再谈一下安全服务和应急演练的重要性,面对问题的态度,安全意识的提升,重视等保建设本质这几个方面。

  首先,等保建设要重视安全服务。

  比如等保测评实际上就是一种安全服务,还有漏洞发现、漏洞通报、漏洞情报共享、漏洞验证等安全服务,用户要充分利用安全服务以检验自身存在的安全威胁和风险。

  其次,应急演练一定要做。

  应急演练十分重要,第一要有非常详细的应急预案,第二是定时做应急演练。比如汶川512地震的时候,就有一个最牛小学校长,他每年搞两次所有学生规定动作的应急演练,所以地震那天,他们学校所有的孩子在4分钟内都到了操场,而且没有出现踩踏,到了操场之后,每个班谁站在哪个位置都是固定好的,这种应急演练的效果不言而喻。

  同时,应急预案中灾难恢复的优先级规则十分有价值,可以在受到攻击的时候及时取证,再按照预案先恢复什么,再恢复什么,既不会误操作毁灭证据,又能以最快的速度恢复业务。

  第三,敢于面对问题,承认问题,减少应付,多点实干。

  比如说每年国家的护网行动的初衷,是为了检验各个行业、各个系统,第一有没有问题,第二出了问题怎么去解决,逼着用户去把安全做好。但是很多单位护网期间减少甚至关闭自己的业务,把安全隐患藏起来,以逃避自己的网络和业务出问题,就像卫生大检查的时候,把所有的厕所都锁上,不让它用,导致护网行动流于形式,问题没能得到解决。

  第四,需要整体增强大家的网络安全意识。

  包括领导、管理员、普通员工的意识。在等保标准中,有非常重要的一条,叫做人员的安全意识教育和培训。现实中,这一条的执行情况往往并不理想。如果单位里的所有人都认为买个防火墙只是IT部门的一个采购的话,那就说明没有人把安全建设上升到安全理念的高度,网络安全意识还比较淡薄。

  最后,厂商做生意的同时,要真正帮助国家搞等保建设。

  很多中国厂商的功利心重,借着等保的时机,不是想着怎么把等保建设好,怎么把政策落实好,怎么把这个重视网络安全的精神发扬光大,而只是想着怎么基于这个政策带来的巨大利好去大幅捞钱,这是不可取的。

   (本文转载于网络,如有侵权请联系我们)

全国服务热线:
021-52550099