网络安全法与等级保护教学课件

网络安全法与等级保护12022/11/25网络安全法与等级保护12022/11/22一、网络安全法二、信息安全等级保护目录211/25/2022一、网络安全法二、信息安全等级保护目录211/22/2一、网络安全法311/25/2022一、网络安全法311/22/2022制定网络安全法的意义

《网络安全法》是我国第一部全面规范网络空间安全管理方面问题的基础性法律，是我国网络空间法治建设的重要里程碑，是依法治网、化解网络风险的法律重器，是让互联网在法治轨道上健康运行的重要保障。

《网络安全法》将近年来一些成熟的好做法制度化，并为将来可能的制度创新做了原则性规定，为网络安全工作提供切实法律保障。42022/11/25制定网络安全法的意义《网络安全法》是我国第一部全面规范网1、总体框架

共7章79条。

第一章 总 则第二章 网络安全支持与促进第三章 网络运行安全

第一节 一般规定

第二节 关键信息基础设施的运行安全第四章 网络信息安全第五章 监测预警与应急处置第六章 法律责任第七章 附 则（一）综述52022/11/251、总体框架共7章79条。（一）综述52022/112、定位是互联网领域、网络安全的基础性法律。是党的十八大以来的又一部重要法律。3、制定过程2013年下半年提上日程，2014年形成草案，15年初形成征求意见稿，15年6月一审，16年6月二审、10月31日三审、11月7日人大通过，2017年6月1日起施行。154票赞成、0票反对、1票弃权。62022/11/252、定位62022/11/22

确立了网络安全法律规范的基本原则明确了网络安全工作的重点提出制定网络安全战略，明确网络空间治理目标完善了网络安全监管体制强化了网络运行安全，重点保护关键信息基础设施完善了网络安全义务和责任将监测预警与应急处置措施制度化、规范化制定网络安全法的意义72022/11/25确立了网络安全法律规范的基本原则制定网络安全法的意义5、有关概念网络：是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统。网络安全：是指通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。82022/11/255、有关概念82022/11/22网络运营者：是指网络的所有者、管理者和网络服务提供者。网络数据：是指通过网络收集、存储、传输、处理和产生的各种电子数据。个人信息：是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。911/25/2022网络运营者：是指网络的所有者、管理者和网络服务提供者。911第二十一条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务。第三十一条国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。第三十八条关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。（等级测评）网络安全等级保护制度（上升为法律）102022/11/25第二十一条国家实行网络安全等级保护制度。网络运营者应当

（1）安全风险评估要求①具体内容：应当自行或者委托网络安全服务机构对其网络的安全性和可能风险每年至少1次检测评估；检测评估情况和改进措施报送相关负责部门。②法律责任：由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处10-100万罚款，对直接负责的主管人员处1-10万罚款。网络安全法要求及处罚112022/11/25（1）安（2）网络安全等级保护要求①具体内容：制度建设与负责人；安全防范技术措施；不少于6个月的安全日志；数据分类与备份加密。②法律责任：责令改正及警告；警告不改罚款公司1-10万，主管5千-5万。网络安全法要求及处罚122022/11/25（2）网络安全等级保护要求网络安全法要求及处罚1220（3）安全技术措施同步要求①具体内容：建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。②法律责任：由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处10万元以上100万元以下罚款，对直接负责的主管人员处1万元以上10万元以下罚款。网络安全法要求及处罚132022/11/25（3）安全技术措施同步要求网络安全法要求及处罚1320（4）采购安全保密要求①具体内容:采购网络产品和服务，应当按照规定与提供者签订安全保密协议，明确安全和保密义务与责任。②法律责任：责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处10-100万罚款，对直接负责的主管人员处1-10万罚款。网络安全法要求及处罚142022/11/25（4）采购安全保密要求网络安全法要求及处罚142022（5）信息与数据境内存储及跨境数据传输的安全评估要求①具体内容:境内运营中收集和产生的个人信息和重要数据应当在境内存储；需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。②法律责任：责令改正，给予警告，没收违法所得；处5-50万罚款，并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照；对直接负责主管和直接责任人处1-10万罚款。网络安全法要求及处罚152022/11/25（5）信息与数据境内存储及跨境数据传输的安全评估要求网（6）应急预案要求①具体内容：制定网络安全事件应急预案；在发生危害网络安全的事件时，立即启动应急预案；按照规定向有关主管部门报告。②法律责任：责令改正及警告；警告不改罚款

公司1-10万，主管5千-5万。网络安全法要求及处罚162022/11/25（6）应急预案要求网络安全法要求及处罚162022/1

根据《网络安全法》第六章-法律责任相关条款解释：本法律处罚力度空前严格，处罚不仅涉及到企业，而且涉及到法人、管理人员、一般员工等多个层面；既有经济处罚，也有行政处罚。对于违法问题有关主管部门责令改正，给予警告；拒不改正或者情节严重的，处一万元以上一百万元以下罚款，并可以由有关主管部门责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五千元以上十万元以下罚款。尚不构成犯罪的，由公安机关没收违法所得，处五日以下拘留，可以并处五万元以上五十万元以下罚款；情节较重的，处五日以上十五日以下拘留，可以并处十万元以上一百万元以下罚款。受到治安管理处罚的人员，五年内不得从事网络安全管理和网络运营关键岗位的工作；受到刑事处罚的人员，终身不得从事网络安全管理和网络运营关键岗位的工作。依照有关法律、行政法规的规定记入信用档案，并予以公示。1711/25/2022根据《网络安全法》第六章-法律责任相关条款解释：本法

《网络安全法》自2017年6月1日正式实施，网络安全等级保护制度已经上升为法律规定的强制义务，这是我国自1994年发布实施《中华人民共和国计算机信息系统保护条例》将“等级保护”明确为我国计算机安全保护的根本制度以来，首次将其写入法律。从实施以来已经处罚腾讯微信、新浪微博、百度贴吧、boss直聘、京东、淘宝网、虾米音乐网、蘑菇街互动网等上百家的企事业单位。对于违反《网络安全法》的处罚视情节严重，处罚措施分为：1、责令改正，给予警告；2、拒不改正或者导致危害网络安全等后果的，对企业处1-100万罚款，对直接负责的主管⼈员和其他直接责任人员处1-10万罚款；3、并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照。1811/25/2022《网络安全法》自2017年6月1日正式实施，网络安全二、信息安全等级保护1911/25/2022二、信息安全等级保护1911/22/2022信息安全等级保护定义

《信息安全等级保护管理办法（试行）》：信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。《信息安全等级保护管理办法》国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。202022/11/25信息安全等级保护定义

《信息安全等级保护管理办法（试行）》：

第一级为自主保护级，适用于一般的信息和信息系统，其受到破坏后，会对公民、法人和其他组织的合法权益造成一定损害，但不损害国家安全、社会秩序和公共利益。

第二级为指导保护级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。划分准则--GB17859-1999

第三级为监督保护级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级为强制保护级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级为专控保护级，适用于涉及国家安全的重要信息和信息系统的核心子系统，其受到破坏后，会对国家安全造成特别严重损害。212022/11/25第一级为自主保护级，适用于一般的信息和信息系统，其实施指南－－GB/T25058-2010等级保护实施过程基本原则主要过程及其活动角色、职责基本流程等级变更局部调整信息系统定级总体安全规划安全设计与实施安全运行维护信息系统终止国家管理部门信息系统主管部门信息系统运营、使用单位信息安全服务机构信息安全等级测评机构信息安全产品供应商22222022/11/25实施指南－－GB/T25058-2010等级保护实施过程基等级保护之十大标准基础类《计算机信息系统安全保护等级划分准则》GB17859-1999《信息系统安全等级保护实施指南》GB/T25058-2010

应用类定级：《信息系统安全保护等级定级指南》GB/T22240-2008

建设：《信息系统安全等级保护基本要求》GB/T22239-2008

《信息系统通用安全技术要求》GB/T20271-2006

《信息系统等级保护安全设计技术要求》GB/T25070-2010

测评：《信息系统安全等级保护测评要求》GB/T28448-2012《信息系统安全等级保护测评过程指南》GB/T28449-2012管理：《信息系统安全管理要求》GB/T20269-2006

《信息系统安全工程管理要求》GB/T20282-2006

23232022/11/25等级保护之十大标准基础类23232022/11/227、系统服务安全等级等级保护定级指南－－GB/T22240保护对象受到破坏时受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级等级保护定级方法保护对象对客体的侵害程度客体：社会关系受侵害的客体信息系统安全系统服务安全业务信息安全3、综合评定对客体的侵害程度2、确定业务信息安全受到破坏时所侵害的客体6、综合评定对客体的侵害程度5、确定系统服务安全受到破坏时所侵害的客体4、业务信息安全等级8、定级对象的安全保护等级8＝MAX（4，7）1、确定定级对象（系统边界）一般流程等级确定24242022/11/257、系统服务安全等级等级保护定级指南－－GB/T22240安全保护等级信息系统定级结果的组合第一级S1A1G1第二级S1A2G2，S2A2G2，S2A1G2第三级S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3第四级S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4第五级S1A5G5，S2A5G5，S3A5G5，S4A5G5，S5A4G5，S5A3G5，S5A2G5，S5A1G5基本保护要求（最低）保护能力对抗能力＋恢复能力技术要求＋管理要求物理、网络、主机、应用、数据制度、机构、人员、建设、运维纵深防御、互补关联、强度一致、

平台统一、集中安管业务信息安全类要求S系统服务保证类要求A通用安全保护类要求G整体安全保护能力关键控制点安全类具体要求项控制强度基本要求－－GB/T22239基本保护要求（最低）保护能力对抗能力＋恢复能力物理、网络、主机、应用、数据制度、机构、人员、建设、运维纵深防御、互补关联、强度一致、

平台统一、集中安管通用安全保护类要求G关键控制点安全类252022/11/25安全保护等级信息系统定级结果的组合第一级S1A1G1第二级S等级保护的内容－十个方面业务安全物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理262022/11/25等级保护的内容－十个方面业务安全物理安全技术要求管理要求基本272022/11/25272022/11/22安全要求类层面一级二级三级四级技术要求物理安全9193233网络安全9183332主机安全6193236应用安全7193136数据安全及备份恢复24811管理要求安全管理制度371114安全管理机构492020人员安全管理7111618系统建设管理20284548系统运维管理18416270合计/85175290318级差//9011528控制项28基本要求－－GB/T22239282022/11/25安全要求类层面一级二级三级四级技术要求物理安全9193233物理位置的选择基本防护能力高层、地下室物理访问控制基本出入控制分区域管理在机房中的活动电子门禁防盗窃和防破坏存放位置、标记标识监控报警系统防雷击建筑防雷、机房接地设备防雷防火灭火设备、自动报警自动消防系统区域隔离措施防静电关键设备主要设备防静电地板电力供应稳定电压、短期供应主要设备冗余/并行线路备用供电系统电磁防护线缆隔离接地防干扰电磁屏蔽防水和防潮温湿度控制物理安全的整改要点292022/11/25物理位置的选择基本防护能力高层、地下室物理访问控制基本出入控结构安全关键设备冗余空间主要设备冗余空间访问控制访问控制设备（用户、网段）应用层协议过滤拨号访问限制会话终止安全审计日志记录审计报表边界完整性检查内部的非法联出非授权设备私自外联网络安全的整改要点子网/网段控制核心网络带宽整体网络带宽重要网段部署路由控制带宽分配优先级端口控制最大流量数及最大连接数防止地址欺骗审计记录的保护定位及阻断入侵防范检测常见攻击记录、报警恶意代码防范网络边界处防范网络设备防护基本的登录鉴别组合鉴别技术特权用户的权限分离302022/11/25结构安全关键设备冗余空间主要设备冗余空间访问控制访问控制设备身份鉴别基本的身份鉴别访问控制安全策略管理用户的权限分离特权用户的权限分离安全审计服务器基本运行情况审计审计报表剩余信息保护空间释放及信息清除主机安全的整改要点组合鉴别技术敏感标记的设置及操作审计记录的保护入侵防范最小安装原则重要服务器：检测、记录、报警恶意代码防范主机与网络的防范产品不同资源控制监视重要服务器最小服务水平的检测及报警重要客户端的审计升级服务器重要程序完整性防恶意代码软件、代码库统一管理对用户会话数及终端登录的限制312022/11/25身份鉴别基本的身份鉴别访问控制安全策略管理用户的权限分离特权身份鉴别基本的身份鉴别访问控制安全策略最小授权原则安全审计运行情况审计（用户级）审计报表剩余信息保护空间释放及信息清除应用安全的整改要点组合鉴别技术敏感标记的设置及操作审计过程的保护通信完整性校验码技术密码技术软件容错自动保护功能资源控制资源分配限制、资源分配优先级最小服务水平的检测及报警数据有效性检验、部分运行保护对用户会话数及系统最大并发会话数的限制审计记录的保护通信保密性初始化验证整个报文及会话过程加密敏感信息加密抗抵赖322022/11/25身份鉴别基本的身份鉴别访问控制安全策略最小授权原则安全审计运数据完整性鉴别数据传输的完整性备份和恢复重要数据的备份数据安全及备份恢复的整改要点各类数据传输及存储异地备份网络冗余、硬件冗余本地完全备份硬件冗余检测和恢复数据保密性鉴别数据存储的保密性各类数据的传输及存储每天1次备份介质场外存放332022/11/25数据完整性鉴别数据传输的完整性备份和恢复重要数据的备份数据安合理分域，准确定级信息系统等级保护以系统所处理信息的最高重要程度来确定安全等级在合理划分安全域边界安全可控的情况下，各安全域可根据信息的最高重要程度单独定级，实施“分域分级防护”的策略，从而降低系统建设成本和管理风险信息系统安全域之间的边界应划分明确，安全域与安全域之间的所有数据通信都应安全可控对于不同等级的安全域间通信，应实施有效的访问控制策略和机制，控制高密级信息由高等级安全域流向低等级安全域。342022/11/25合理分域，准确定级信息系统等级保护以系统所处理信息的最高安全域（第3级）安全域（第2级）监督保护级网络安全域（第3级）安全域（第2级）安全域（第2级）禁止高敏感级信息由高等级安全域流向低等级安全域分域分级防护示意352022/11/25安全域安全域监督保护级网络安全域安全域安全域禁止高敏感级等级保护相关的体系架构362022/11/25等级保护相关的362022/11/223第一层安全方针策略第二层安全管理制度第三层技术标准、规范第四层流程、表单、记录信息安全方针策略，总体安全，说明机构安全工作的总体目标、范围、原则和安全框架等。对安全管理活动中的各类管理内容建立安全管理制度，约束管理行为。规范安全管理制度的具体技术实现细节，对管理人员或操作人员执行的日常管理操作建立操作规程。安全制度、规范实施时所需履行的流程，及需填写的表单，用于记录数据、监控实施。372022/11/253第一层第二层第三层第四层信息安全方针策略，总体安全，说明机安全管理测评实施-安全管理制度3

安全管理制度（三级）管理制度制定和发布评审和修订382022/11/25安全管理测评实施-安全管理制度3安全管理制度（三级）管理安全管理测评实施-安全管理机构

安全管理机构（三级）岗位设置人员配备授权和审批沟通和合作审核和检查392022/11/25安全管理测评实施-安全管理机构安全管理机构（三级）岗位设

人员安全管理（三级）人员考核安全意识教育和培训外部人员访问管理人员离岗人员录用402022/11/25人员安全管理（三级）安外部人员访问管理40

系统建设管理（三级）系统交付系统备案等级测评安全服务商选择测试验收工程实施外包软件开发自行软件开发产品采购安全方案设计系统定级412022/11/25系统建设管理（三级）412022/11/22

系统运维管理（三级）环境管理资产管理介质管理设备管理监控和管理中心网络安全管理系统安全管理恶意代码防范管理密码管理变更管理备份与恢复管理安全事件处置应急预案管理422022/11/25系统运维管理（三级）422022/11/22介绍完毕432022/11/25介绍完毕432022/11/22网络安全法与等级保护442022/11/25网络安全法与等级保护12022/11/22一、网络安全法二、信息安全等级保护目录4511/25/2022一、网络安全法二、信息安全等级保护目录211/22/2一、网络安全法4611/25/2022一、网络安全法311/22/2022制定网络安全法的意义

《网络安全法》是我国第一部全面规范网络空间安全管理方面问题的基础性法律，是我国网络空间法治建设的重要里程碑，是依法治网、化解网络风险的法律重器，是让互联网在法治轨道上健康运行的重要保障。

《网络安全法》将近年来一些成熟的好做法制度化，并为将来可能的制度创新做了原则性规定，为网络安全工作提供切实法律保障。472022/11/25制定网络安全法的意义《网络安全法》是我国第一部全面规范网1、总体框架

共7章79条。

第一章 总 则第二章 网络安全支持与促进第三章 网络运行安全

第一节 一般规定

第二节 关键信息基础设施的运行安全第四章 网络信息安全第五章 监测预警与应急处置第六章 法律责任第七章 附 则（一）综述482022/11/251、总体框架共7章79条。（一）综述52022/112、定位是互联网领域、网络安全的基础性法律。是党的十八大以来的又一部重要法律。3、制定过程2013年下半年提上日程，2014年形成草案，15年初形成征求意见稿，15年6月一审，16年6月二审、10月31日三审、11月7日人大通过，2017年6月1日起施行。154票赞成、0票反对、1票弃权。492022/11/252、定位62022/11/22

确立了网络安全法律规范的基本原则明确了网络安全工作的重点提出制定网络安全战略，明确网络空间治理目标完善了网络安全监管体制强化了网络运行安全，重点保护关键信息基础设施完善了网络安全义务和责任将监测预警与应急处置措施制度化、规范化制定网络安全法的意义502022/11/25确立了网络安全法律规范的基本原则制定网络安全法的意义5、有关概念网络：是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统。网络安全：是指通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。512022/11/255、有关概念82022/11/22网络运营者：是指网络的所有者、管理者和网络服务提供者。网络数据：是指通过网络收集、存储、传输、处理和产生的各种电子数据。个人信息：是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。5211/25/2022网络运营者：是指网络的所有者、管理者和网络服务提供者。911第二十一条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务。第三十一条国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。第三十八条关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。（等级测评）网络安全等级保护制度（上升为法律）532022/11/25第二十一条国家实行网络安全等级保护制度。网络运营者应当

（1）安全风险评估要求①具体内容：应当自行或者委托网络安全服务机构对其网络的安全性和可能风险每年至少1次检测评估；检测评估情况和改进措施报送相关负责部门。②法律责任：由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处10-100万罚款，对直接负责的主管人员处1-10万罚款。网络安全法要求及处罚542022/11/25（1）安（2）网络安全等级保护要求①具体内容：制度建设与负责人；安全防范技术措施；不少于6个月的安全日志；数据分类与备份加密。②法律责任：责令改正及警告；警告不改罚款公司1-10万，主管5千-5万。网络安全法要求及处罚552022/11/25（2）网络安全等级保护要求网络安全法要求及处罚1220（3）安全技术措施同步要求①具体内容：建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。②法律责任：由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处10万元以上100万元以下罚款，对直接负责的主管人员处1万元以上10万元以下罚款。网络安全法要求及处罚562022/11/25（3）安全技术措施同步要求网络安全法要求及处罚1320（4）采购安全保密要求①具体内容:采购网络产品和服务，应当按照规定与提供者签订安全保密协议，明确安全和保密义务与责任。②法律责任：责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处10-100万罚款，对直接负责的主管人员处1-10万罚款。网络安全法要求及处罚572022/11/25（4）采购安全保密要求网络安全法要求及处罚142022（5）信息与数据境内存储及跨境数据传输的安全评估要求①具体内容:境内运营中收集和产生的个人信息和重要数据应当在境内存储；需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。②法律责任：责令改正，给予警告，没收违法所得；处5-50万罚款，并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照；对直接负责主管和直接责任人处1-10万罚款。网络安全法要求及处罚582022/11/25（5）信息与数据境内存储及跨境数据传输的安全评估要求网（6）应急预案要求①具体内容：制定网络安全事件应急预案；在发生危害网络安全的事件时，立即启动应急预案；按照规定向有关主管部门报告。②法律责任：责令改正及警告；警告不改罚款

公司1-10万，主管5千-5万。网络安全法要求及处罚592022/11/25（6）应急预案要求网络安全法要求及处罚162022/1

根据《网络安全法》第六章-法律责任相关条款解释：本法律处罚力度空前严格，处罚不仅涉及到企业，而且涉及到法人、管理人员、一般员工等多个层面；既有经济处罚，也有行政处罚。对于违法问题有关主管部门责令改正，给予警告；拒不改正或者情节严重的，处一万元以上一百万元以下罚款，并可以由有关主管部门责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五千元以上十万元以下罚款。尚不构成犯罪的，由公安机关没收违法所得，处五日以下拘留，可以并处五万元以上五十万元以下罚款；情节较重的，处五日以上十五日以下拘留，可以并处十万元以上一百万元以下罚款。受到治安管理处罚的人员，五年内不得从事网络安全管理和网络运营关键岗位的工作；受到刑事处罚的人员，终身不得从事网络安全管理和网络运营关键岗位的工作。依照有关法律、行政法规的规定记入信用档案，并予以公示。6011/25/2022根据《网络安全法》第六章-法律责任相关条款解释：本法

《网络安全法》自2017年6月1日正式实施，网络安全等级保护制度已经上升为法律规定的强制义务，这是我国自1994年发布实施《中华人民共和国计算机信息系统保护条例》将“等级保护”明确为我国计算机安全保护的根本制度以来，首次将其写入法律。从实施以来已经处罚腾讯微信、新浪微博、百度贴吧、boss直聘、京东、淘宝网、虾米音乐网、蘑菇街互动网等上百家的企事业单位。对于违反《网络安全法》的处罚视情节严重，处罚措施分为：1、责令改正，给予警告；2、拒不改正或者导致危害网络安全等后果的，对企业处1-100万罚款，对直接负责的主管⼈员和其他直接责任人员处1-10万罚款；3、并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照。6111/25/2022《网络安全法》自2017年6月1日正式实施，网络安全二、信息安全等级保护6211/25/2022二、信息安全等级保护1911/22/2022信息安全等级保护定义

《信息安全等级保护管理办法（试行）》：信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。《信息安全等级保护管理办法》国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。632022/11/25信息安全等级保护定义

《信息安全等级保护管理办法（试行）》：

第一级为自主保护级，适用于一般的信息和信息系统，其受到破坏后，会对公民、法人和其他组织的合法权益造成一定损害，但不损害国家安全、社会秩序和公共利益。

第二级为指导保护级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。划分准则--GB17859-1999

第三级为监督保护级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级为强制保护级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级为专控保护级，适用于涉及国家安全的重要信息和信息系统的核心子系统，其受到破坏后，会对国家安全造成特别严重损害。642022/11/25第一级为自主保护级，适用于一般的信息和信息系统，其实施指南－－GB/T25058-2010等级保护实施过程基本原则主要过程及其活动角色、职责基本流程等级变更局部调整信息系统定级总体安全规划安全设计与实施安全运行维护信息系统终止国家管理部门信息系统主管部门信息系统运营、使用单位信息安全服务机构信息安全等级测评机构信息安全产品供应商65652022/11/25实施指南－－GB/T25058-2010等级保护实施过程基等级保护之十大标准基础类《计算机信息系统安全保护等级划分准则》GB17859-1999《信息系统安全等级保护实施指南》GB/T25058-2010

应用类定级：《信息系统安全保护等级定级指南》GB/T22240-2008

建设：《信息系统安全等级保护基本要求》GB/T22239-2008

《信息系统通用安全技术要求》GB/T20271-2006

《信息系统等级保护安全设计技术要求》GB/T25070-2010

测评：《信息系统安全等级保护测评要求》GB/T28448-2012《信息系统安全等级保护测评过程指南》GB/T28449-2012管理：《信息系统安全管理要求》GB/T20269-2006

《信息系统安全工程管理要求》GB/T20282-2006

66662022/11/25等级保护之十大标准基础类23232022/11/227、系统服务安全等级等级保护定级指南－－GB/T22240保护对象受到破坏时受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级等级保护定级方法保护对象对客体的侵害程度客体：社会关系受侵害的客体信息系统安全系统服务安全业务信息安全3、综合评定对客体的侵害程度2、确定业务信息安全受到破坏时所侵害的客体6、综合评定对客体的侵害程度5、确定系统服务安全受到破坏时所侵害的客体4、业务信息安全等级8、定级对象的安全保护等级8＝MAX（4，7）1、确定定级对象（系统边界）一般流程等级确定67672022/11/257、系统服务安全等级等级保护定级指南－－GB/T22240安全保护等级信息系统定级结果的组合第一级S1A1G1第二级S1A2G2，S2A2G2，S2A1G2第三级S1A3G3，S2A3G3，S3A3G3，S3A2G3，S3A1G3第四级S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4第五级S1A5G5，S2A5G5，S3A5G5，S4A5G5，S5A4G5，S5A3G5，S5A2G5，S5A1G5基本保护要求（最低）保护能力对抗能力＋恢复能力技术要求＋管理要求物理、网络、主机、应用、数据制度、机构、人员、建设、运维纵深防御、互补关联、强度一致、

平台统一、集中安管业务信息安全类要求S系统服务保证类要求A通用安全保护类要求G整体安全保护能力关键控制点安全类具体要求项控制强度基本要求－－GB/T22239基本保护要求（最低）保护能力对抗能力＋恢复能力物理、网络、主机、应用、数据制度、机构、人员、建设、运维纵深防御、互补关联、强度一致、

平台统一、集中安管通用安全保护类要求G关键控制点安全类682022/11/25安全保护等级信息系统定级结果的组合第一级S1A1G1第二级S等级保护的内容－十个方面业务安全物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理692022/11/25等级保护的内容－十个方面业务安全物理安全技术要求管理要求基本702022/11/25272022/11/22安全要求类层面一级二级三级四级技术要求物理安全9193233网络安全9183332主机安全6193236应用安全7193136数据安全及备份恢复24811管理要求安全管理制度371114安全管理机构492020人员安全管理7111618系统建设管理20284548系统运维管理18416270合计/85175290318级差//9011528控制项71基本要求－－GB/T22239712022/11/25安全要求类层面一级二级三级四级技术要求物理安全9193233物理位置的选择基本防护能力高层、地下室物理访问控制基本出入控制分区域管理在机房中的活动电子门禁防盗窃和防破坏存放位置、标记标识监控报警系统防雷击建筑防雷、机房接地设备防雷防火灭火设备、自动报警自动消防系统区域隔离措施防静电关键设备主要设备防静电地板电力供应稳定电压、短期供应主要设备冗余/并行线路备用供电系统电磁防护线缆隔离接地防干扰电磁屏蔽防水和防潮温湿度控制物理安全的整改要点722022/11/25物理位置的选择基本防护能力高层、地下室物理访问控制基本出入控结构安全关键设备冗余空间主要设备冗余空间访问控制访问控制设备（用户、网段）应用层协议过滤拨号访问限制会话终止安全审计日志记录审计报表边界完整性检查内部的非法联出非授权设备私自外联网络安全的整改要点子网/网段控制核心网络带宽整体网络带宽重要网段部署路由控制带宽分配优先级端口控制最大流量数及最大连接数防止地址欺骗审计记录的保护定位及阻断入侵防范检测常见攻击记录、报警恶意代码防范网络边界处防范网络设备防护基本的登录鉴别组合鉴别技术特权用户的权限分离732022/11/25结构安全关键设备冗余空间主要设备冗余空间访问控制访问控制设备身份鉴别基本的身份鉴别访问控制安全策略管理用户的权限分离特权用户的权限分离安全审计服务器基本运行情况审计审计报表剩余信息保护空间释放及信息清除主机安全的整改要点组合鉴别技术敏感标记的设置及操作审计记录的保护入侵防范最小安装原则重要服务器：检测、记录、报警恶意代码防范主机与网络的防范产品不同资源控制监视重要服务器最小服务水平的检测及报警重要客户端的审计升级服务器重要程序完整性防恶意代码软件、代码库统一管理对用户会话数及终端登录的限