等保&分保&關保&密評 四道防線守護網絡信息安全
前言
“沒有網絡安全就沒有國家安全”。近幾年，我國《網絡安全法》《密碼法》《保守國家秘密法（修訂）》《 關鍵信息基礎設施安全保護條例》 《數據安全法》 等法律法規陸續發布實施，為承載我國國計民生的重要網絡信息系統的安全提供了法律保障，正在實施的網絡安全等級保護、涉密信息系統分級保護、關鍵信息基礎設施保護、商用密碼應用安全性評估為我國重要網絡信息系統的安全構筑了四道防線。
等保
1、什么是等保
“等保”是指網絡安全等級保護。
《中華人民共和國網絡安全法》（2017年6月1日起實施）第二十一條規定：國家實行網絡安全等級保護制度。
2、等保的發展
等保1.0：
2007年6月，公安部發布《信息安全等級保護管理辦法》（公通字[2007]43號），標志著等級保護1.0的正式啟動。
等級保護1.0的主要標準是：
?《信息系統安全等級保護基本要求 GB/T22239-2008》
?《信息系統等級保護安全設計要求 GB/T25070-2010》
?《信息系統安全等級保護測評要求 GB/T28448-2012》
等保2.0：
2019年5月13日，國家市場監督管理總局、國家標準化管理委員會發布了3個網絡安全領域的國家標準（2019年12月1日起實施）：
?《信息安全技術 網絡安全等級保護基本要求》（GB/T 22239-2019）
?《信息安全技術 網絡安全等級保護安全設計技術要求》（GB/T 25070-2019）
?《信息安全技術 網絡安全等級保護測評要求》（GB/T 28448-2019）
標志著我國進入等級保護2.0時代。
3、等保的級別
根據信息系統受到破壞后，對公民、法人和其他組織的合法權益，以及對公共利益、社會秩序和國家安全的損害程度，等級保護分為五級：
第一級：自主保護級
第二級：指導保護級
第三級：監督保護級
第四級：強制保護級
第五級：專控保護級
4、等保2.0與等保1.0的差異
分保
1、什么是分保
“分保”是指涉密信息系統分級保護。
《中華人民共和國保守國家秘密法》（2010年4月29日修訂，2010年10月1日起實施）第二十三條規定：存儲、處理國家秘密的計算機信息系統（以下簡稱涉密信息系統）按照涉密程度實行分級保護。
2、分保的發展
涉密信息系統的分級保護依據 《保守國家秘密法 》 《涉及國家秘密的信息系統分級保護管理辦法》（國保發[2005]16號）等法律法規開展。
3、分保的級別
涉密信息系統的等級分為秘密級、機密級、絕密級三個級別。
《保守國家秘密法》第九條規定：下列涉及國家安全和利益的事項，泄露后可能損害國家在政治、經濟、國防、外交等領域的安全和利益的，應當確定為國家秘密：
(一) 國家事務重大決策中的秘密事項;
(二) 國防建設和武裝力量活動中的秘密事項;
(三) 外交和外事活動中的秘密事項以及對外承擔保密義務的秘密事項;
(四) 國民經濟和社會發展中的秘密事項;
(五) 科學技術中的秘密事項;
(六) 維護國家安全活動和追查刑事犯罪中的秘密事項;
(七) 經國家保密行政管理部門確定的其他秘密事項。
政黨的秘密事項中符合前款規定的，屬于國家秘密。
《保守國家秘密法》第十三條規定：中央國家機關、省級機關及其授權的機關、單位可以確定絕密級、機密級和秘密級國家秘密；設區的市、自治州一級的機關及其授權的機關、單位可以確定機密級和秘密級國家秘密。
關保
1、什么是關保
“關保”是指關鍵信息基礎設施保護。
《網絡安全法》第三十一條：國家對提供公共通信、廣播電視傳輸等服務的基礎信息網絡，能源、交通、水利、金融等重要行業和供電、供水、供氣、醫療衛生、社會保障等公共服務領域的重要信息系統，軍事網絡，設區的市級以上國家機關等政務網絡，用戶數量眾多的網絡服務提供者所有或者管理的網絡和系統（以下稱關鍵信息基礎設施），實行重點保護。關鍵信息基礎設施安全保護辦法由國務院制定。
《關鍵信息基礎設施安全保護條例》（2021年7月30日國務院令第745號公布，2021年9月1日起施行）第二條規定：本條例所稱關鍵信息基礎設施，是指公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務、國防科技工業等重要行業和領域的，以及其他一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的重要網絡設施、信息系統等
2、關保的發展
2017年7月10日，國家互聯網信息辦公室發布《關鍵信息基礎設施安全保護條例（征求意見稿）》；
2019至2021年，《關鍵信息基礎設施安全保護條例》連續三年納入國家立法計劃；
2021年4月27日，經國務院第133次常務會議通過；
2021年7月30日，國務院總理李克強簽署中華人民共和國國務院令第745號公布，自2021年9月1日起施行。
3、關保的內容
《關鍵信息基礎設施安全保護條例》第五條規定：國家對關鍵信息基礎設施實行重點保護，采取措施，監測、防御、處置來源于中華人民共和國境內外的網絡安全風險和威脅，保護關鍵信息基礎設施免受攻擊、侵入、干擾和破壞，依法懲治危害關鍵信息基礎設施安全的違法犯罪活動。
“關保”由國家網信部門統籌協調；國務院公安部門負責指導監督關鍵信息基礎設施安全保護工作；國務院電信主管部門和其他有關部門依照本條例和有關法律、行政法規的規定，在各自職責范圍內負責關鍵信息基礎設施安全保護和監督管理工作；省級人民政府有關部門依據各自職責對關鍵信息基礎設施實施安全保護和監督管理。
密評
1、什么是密評
“密評”是指商用密碼應用安全性評估。
《中華人民共和國密碼法》（2020年1月1日起實施）所述的密碼，是指采用特定變換的方法對信息等進行加密保護、安全認證的技術、產品和服務。
商用密碼用于保護不屬于國家秘密的信息。
《中華人民共和國密碼法》第二十七條規定：法律、行政法規和國家有關規定要求使用商用密碼進行保護的關鍵信息基礎設施，其運營者應當使用商用密碼進行保護，自行或者委托商用密碼檢測機構開展商用密碼應用安全性評估。商用密碼應用安全性評估應當與關鍵信息基礎設施安全檢測評估、網絡安全等級測評制度相銜接，避免重復評估、測評。
2、密評的發展
《商用密碼應用安全性評估管理辦法（試行）》（2017年4月22日起施行）
《信息系統密碼應用基本要求》（GM/T 0054-2018 ）
3、密評的對象
商用密碼應用安全性評估的對象包括：
? 基礎信息網絡：電信網、廣播電視網、互聯網；
? 涉及國計民生和基礎信息資源的重要信息系統：能源、教育、公安、測繪地理、社保、交通、衛生計生、金融等信息系統；
? 重要工業控制系統：核設施、航空航天、先進制造、石油石化、油氣管網、電力系統、交通運輸、水利樞紐、城市設施等工業控制系統；
? 面向社會服務的政務信息系統：黨政機關和使用財政性資金的事業單位和團體組織使用的面向社會服務的信息系統。
關鍵信息基礎設施、網絡安全等級保護第三級及以上的信息系統，密碼應用安全性評估每年至少一次。
4、密評的內容
對采用商用密碼技術、產品和服務集成建設的網絡和信息系統，對其密碼應用的合規性、正確性、有效性進行評估。
密碼應用合規性：
?使用的密碼算法、密碼技術符合法律法規和國家標準、行業標準的有關要求；
?使用的密碼產品、密碼模塊通過國家密碼管理部門核準；
?使用的密碼服務符合國家密碼管理要求；
密碼應用正確性：
?密碼算法、密碼協議、密鑰管理、密碼產品和服務使用正確；
?系統中采用標準的密碼算法、協議、密鑰管理，按照國家和行業標準進行正確的設計和實現；
?自定義密碼協議、密鑰管理機制的設計和實現正確，符合標準要求；
?密碼保障系統建設改造過程中密碼產品和服務的部署和應用正確；
密碼應用有效性：
系統中采用的密碼協議、密鑰管理系統、密碼應用子系統和密碼安全防護機制設計合理，在系統運行過程中能夠發揮密碼作用，保障信息的機密性、完整性、真實性、不可否認性。
商用密碼應用安全性評估主要從：總體要求、物理和環境、網絡和通信、設備和計算、應用和數據、密鑰管理以及安全管理七個方面進行評估。
