1 范圍

      本標準規定了網絡安全等級保護的第一級到第四級等級保護對象的安全通用要求和安全擴展要求。

      本標準適用于指導分等級的非涉密對象的安全建設和監督管理。

      注：第五級等級保護對象是非常重要的監督管理對象，對其有特殊的管理模式和安全要求，所以不在本標準中進行描述。

2 規范性引用文件

      下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB 17859 計算機信息系統 安全保護等級劃分準則

      GB/T 22240 信息安全技術 信息系統安全等級保護定級指南

      GB/T 25069 信息安全技術 術語

      GB/T 31167-2014 信息安全技術 云計算服務安全指南

      GB/T 31168-2014 信息安全技術 云計算服務安全能力要求

      GB/T 32919-2016 信息安全技術 工業控制系統安全控制應用指南

3 術語和定義

      GB 17859、GB/T 22240、GB/T 25069、GB/T 31167-2014、GB/T 31168-2014和GB/T 32919-2016界定的以及下列術語和定義適用于本文件。為了便于使用，以下重復列出了（GB/T 31167-2014、GB/T 31168-2014和GB/T 32919-2016中的一些術語和定義。

3.1

      網絡安全 cybersecurity

      通過采取必要措施，防范對網絡的攻擊、侵入、干擾、破壞和非法使用以及意外事故，使網絡處于穩定可靠運行的狀態，以及保障網絡數據的完整性、保密性、可用性的能力。

3.2

      安全保護能力 security protection ability

      能夠抵御威脅、發現安全事件以及在遭到損害后能夠恢復先前狀態等的程度。

3.3

      云計算 cloud computing

      通過網絡訪問可擴展的、靈活的物理或虛擬共享資源池，并按需自助獲取和管理資源的模式。注：資源實例包括服務器、操作系統、網絡、軟件、應用和存儲設備等。

      [GB/T 31167-2014，定義3.1］

3.4

      云服務商 cloud service provider

      云計算服務的供應方。

      注：云服務商管理、運營、支撐云計算的計算基礎設施及軟件，通過網絡交付云計算的資源。

      ［GB/T 31167-2014，定義3.3］

3.5

      云服務客戶 cloud service customer

      為使用云計算服務同云服務商建立業務關系的參與方。

      [GB/T 31168-2014，定義3.4］

3.6

      云計算平臺/系統 cloud computing platform/system

      云服務商提供的云計算基礎設施及其上的服務軟件的集合。

3.7

      虛擬機監視器 hypervisor

      運行在基礎物理服務器和操作系統之間的中間軟件層，可允許多個操作系統和應用共享硬件。

3.8

      宿主機 host machine

      運行虛擬機監視器的物理服務器。

3.9

      移動互聯 mobile communication

      采用無線通信技術將移動終端接入有線網絡的過程。

3.10

      移動終端 mobile device

      在移動業務中使用的終端設備，包括智能手機、平板電腦、個人電腦等通用終端和專用終端設備。

3.11

      無線接入設備 wireless access device

      采用無線通信技術將移動終端接入有線網絡的通信設備。

3.12

      無線接入網關 wireless access gateway

      部署在無線網絡與有線網絡之間，對有線網絡進行安全防護的設備。

3.13

      移動應用軟件 mobile application

      針對移動終端開發的應用軟件。

3.14

      移動終端管理系統 mobile device management system

      用于進行移動終端設備管理、應用管理和內容管理的專用軟件，包括客戶端軟件和服務端軟件。

3.15

      物聯網 internet of things

      將感知節點設備通過互聯網等網絡連接起來構成的系統。

3.16

      感知節點設備 sensor node

      對物或環境進行信息采集和/或執行操作，并能聯網進行通信的裝置。

3.17

      感知網關節點設備 sensor layer gateway

      將感知節點所采集的數據進行匯總、適當處理或數據融合，并進行轉發的裝置。

3.18

      工業控制系統 industrial control system

      工業控制系統（ICS）是一個通用術語，它包括多種工業生產中使用的控制系統，包括監控和數據采集系統（SCADA）、分布式控制系統（DCS）和其他較小的控制系統，如可編程邏輯控制器（PLC），現已廣泛應用在工業部門和關鍵基礎設施中。

      ［GB/T 32919-2016，定義3.1］

4 縮略語

      下列縮略語適用于本文件。

      AP：無線訪問接入點（Wireless Access Point）

      DCS：集散控制系統（Distributed Control System）

      DDoS：拒絕服務（Distributed Denial of Service）

      ERP：企業資源計劃（Enterprise Resource Planning）

      FTP：文件傳輸協議（File Transfer Protocol）

      HMI：人機界面（Human Machine Interface）

      IaaS：基礎設施即服務（Infrastructure-as-a-Service）

      ICS：工業控制系統（Industrial Control System）

      IoT：物聯網（Internet of Things）

      IP：互聯網協議（Internet Protocol）

      IT：信息技術（Information Technology）

      MES：制造執行系統（Manufacturing Execution System）

      PaaS：平臺即服務（Platform-as-a-Service）

      PLC：可編程邏輯控制器（Programmable Logic Controller）

      RFID：射頻識別（Radio Frequency Identification）

      SaaS：軟件即服務（Software-as-a-Service）

      SCADA：數據采集與監視控制系統（Supervisory Control and Data Acquisition System）

      SSID：服務集標識（Service Set Identifier）

      TCB：可信計算基（Trusted Computing Base）

      USB：通用串行總線（Universal Serial Bus）

      WEP：有線等效加密（Wired Equivalent Privacy）

      WPS：WiFi保護設置（WiFi Protected Setup）

5 網絡安全等級保護概述

5.1 等級保護對象

      等級保護對象是指網絡安全等級保護工作中的對象，通常是指由計算機或者其他信息終端及相關設備組成的按照一定的規則和程序對信息進行收集、存儲、傳輸、交換、處理的系統，主要包括基礎信息網絡、云計算平臺/系統、大數據應用/平臺/資源、物聯網（IoT）、工業控制系統和采用移動互聯技術的系統等。等級保護對象根據其在國家安全、經濟建設、社會生活中的重要程度，遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度等，由低到高被劃分為五個安全保護等級。

      保護對象的安全保護等級確定方法見GB/T 22240。

5.2 不同級別的安全保護能力

      不同級別的等級保護對象應具備的基本安全保護能力如下：

      第一級安全保護能力：應能夠防護免受來自個人的、擁有很少資源的威脅源發起的惡意攻擊、一般的自然災難，以及其他相當危害程度的威脅所造成的關鍵資源損害，在自身遭到損害后，能夠恢復部分功能。

      第二級安全保護能力：應能夠防護免受來自外部小型組織的、擁有少量資源的威脅源發起的惡意攻擊、一般的自然災難，以及其他相當危害程度的威脅所造成的重要資源損害，能夠發現重要的安全漏洞和處置安全事件，在自身遭到損害后，能夠在一段時間內恢復部分功能。

      第三級安全保護能力：應能夠在統一安全策略下防護免受來自外部有組織的團體、擁有較為豐富資源的威脅源發起的惡意攻擊、較為嚴重的自然災難，以及其他相當危害程度的威脅所造成的主要資源損害，能夠及時發現、監測攻擊行為和處置安全事件，在自身遭到損害后，能夠較快恢復絕大部分功能。

      第四級安全保護能力：應能夠在統一安全策略下防護免受來自國家級別的、敵對組織的、擁有豐富資源的威脅源發起的惡意攻擊、嚴重的自然災難，以及其他相當危害程度的威脅所造成的資源損害，能夠及時發現、監測發現攻擊行為和安全事件，在自身遭到損害后，能夠迅速恢復所有功能。

      第五級安全保護能力：略。

5.3 安全通用要求和安全擴展要求

      由于業務目標的不同、使用技術的不同、應用場景的不同等因素，不同的等級保護對象會以不同的形態出現，表現形式可能稱之為基礎信息網絡、信息系統（包含采用移動互聯等技術的系統）、云計算平臺/系統、大數據平臺/系統、物聯網、工業控制系統等。形態不同的等級保護對象面臨的威脅有所不同，安全保護需求也會有所差異。為了便于實現對不同級別的和不同形態的等級保護對象的共性化和個性化保護，等級保護要求分為安全通用要求和安全擴展要求。

      安全通用要求針對共性化保護需求提出，等級保護對象無論以何種形式出現，應根據安全保護等級實現相應級別的安全通用要求；安全擴展要求針對個性化保護需求提出，需要根據安全保護等級和使用的特定技術或特定的應用場景選擇性實現安全擴展要求。安全通用要求和安全擴展要求共同構成了對等級保護對象的安全要求。安全要求的選擇見附錄A，整體安全保護能力的要求見附錄B和附錄C。

      本標準針對云計算、移動互聯、物聯網、工業控制系統提出了安全擴展要求。云計算應用場景參見附錄D，移動互聯應用場景參見附錄E，物聯網應用場景參見附錄F，工業控制系統應用場景參見附錄G，大數據應用場景參見附錄H。對于采用其他特殊技術或處于特殊應用場景的等級保護對象，應在安全風險評估的基礎上，針對安全風險采取特殊的安全措施作為補充。

6 第一級安全要求

6.1 安全通用要求

6.1.1 安全物理環境

6.1.1.1 物理訪問控制

      機房出入口應安排專人值守或配置電子門禁系統，控制、鑒別和記錄進入的人員。

以上為標準部分內容，如需看標準全文，請到相關授權網站購買標準正版。