安徽等保测评：带您了解等级保护2.0
什么是等级保护？
是我国实施信息安全管理的一项法定制度。根据信息系统在国家安全、经济建设、社会生活中的重要程度；遭到破坏后的危害程度，将信息系统划分为不同的安全保护等级并对其实施不同的保护和监管；从1994年147号令、2003年27号文件、2004年66号文件都明确规定信息系统安全实施等级化保护和等级化管理。
等级保护的实行范围？
等级保护涉及所有行业，除家庭自用的无线网外，只要有信息系统的单位都在等级保护覆盖范围（涉密系统除外）。
等级保护的主管部门是谁？
公安机关是等级保护工作的主管部门，负责信息安全等级保护工作的监督、检查、指导；国家保密工作部门、国家密码管理部门负责等级保护工作中有关保密工作和密码工作的监督、检查、指导，国信办及地方信息化领导小组办事机构负责等级保护工作部门间的协调。
我们是否需要做等保，该怎么做？
单位存在办公网络、应用及系统的都需要开展等级保护工作。
等级保护开展的流程如下：
(1) 定级（明确定级对象，确定被定级对象对客体的侵害程度，确定业务系统的安全保护等级，专家评审确定定级级别，主管部门批准）
(2) 备案（二级以上系统到县级以上公安机关办理备案手续）
(3) 建设整改（依据等级保护相应级别要求，开展安全建设）
(4) 等级测评（开展等级测评工作，就安全建设情况进行评测）
(5) 业务运行、运维（测评合格，则由单位运维人员开展安全运维工作）
为什么需要备案？
备案是实施国家监督、网络安全检查和安全问责的需要。通过备案可以是国家网络安全管理部门知晓信息系统在哪里？由何人运营着？何等重要程度的信息系统，为国家风险管理提供了详实的基础数据。只有摸清底数才能为国家网络安全风险管控奠定基础。
为什么要进行测评？
等级测评是依据安全保护的等级保护的国家标准或行业标准，采用特定的方法对所采用的安全技术和管理控制措施实现的有效性进行验证的过程。
能够为运营使用单位发现系统漏洞和存在的安全隐患，还可全面揭示风险并提出整改意见。
等级保护2.0相对于等级保护1.0有哪些主要变化？
(1) 名称变化：《信息安全技术信息系统安全等级保护基本要求》变为《信息安全技术网络安全等级保护基本要求》，由信息系统概念上升至网络空间概念。
(2) 定级对象变化：由1.0的“信息系统”变为“信息系统、基础信息网络、云计算平台、大数据平台、物联网系统、工业控制系统、移动互联网”等。
(3) 安全要求变化：由“安全通用要求”变为“安全通用要求+安全扩展要求”，必须同时满足安全通用要求和扩展要求才可符合。
(4) 控制措施分类结构变化：由“（物理、网络、主机、应用、数据）+管理”变为“（物理环境、一中心三防护）+管理”。
(5) 内容变化：由“1.0规定的5个动作”变为“1.0规定的5个动作+新的安全要求”；新的安全要求包括：风险评估、安全监测、通报预警、事件调查、数据防护、灾难备份、应急处置、自主可控、供应链安全、效果评价、综治考核等这些与网络安全密切相关的措施都将全部由等级保护制度实行。
