10個(gè)關(guān)于等級保護的認知誤區，你都了解嗎？

10個(gè)關(guān)于等級保護的認知誤區，你都了解嗎？

10個(gè)關(guān)于等級保護的認知誤區，你都了解嗎？

互聯(lián)網(wǎng)的快速發(fā)展為企業(yè)帶來(lái)了巨大的機遇，企業(yè)也將面臨著(zhù)嚴峻的挑戰；在此背景下，企業(yè)如果想要保證業(yè)務(wù)安全且穩定的運營(yíng)，就必須有效提升企業(yè)信息安全，降低信息風(fēng)險，避免網(wǎng)絡(luò )安全問(wèn)題的發(fā)生。這時(shí)網(wǎng)絡(luò )安全等級保護尤為重要，它是一個(gè)行之有效而又全面提升的整體解決方案。但說(shuō)起等級保護，很多人對它都存在認知誤區

誤區一：已經(jīng)托管了云系統，就不需要做等保

根據相關(guān)原則，該系統責任主體還是屬于網(wǎng)絡(luò )運營(yíng)者自己，還是得承擔相應的網(wǎng)絡(luò )安全責任，該進(jìn)行系統定級還是需要進(jìn)行定級，該做等保的還是得做等保。

系統上云或者托管后，并不是安全責任主體轉移，只是系統所在機房地址的變更，當然在公有云模式下，laas、Paas、Saas不同模式相應的安全責任會(huì )有些區別，但并不是沒(méi)有責任。

誤區二：系統定級越低越好

最終定級是根據受侵害的客體以及對客體侵害的程度來(lái)確定的，以事實(shí)為依據，而不是主觀(guān)隨意定級。定級低了，表面上要求更容易滿(mǎn)足，但相應的防護措施也相對不足，萬(wàn)一你的系統不小心被攻擊破壞造成一定不良影響，在主管部門(mén)進(jìn)行責任認定追查時(shí)，很有可能就會(huì )因為系統定級不合理，安全責任沒(méi)有履行到位而被處罰。

誤區三：系統定級后就有人監管了

并不是這樣的，所有非涉密系統都屬于等級保護范疇，沒(méi)有定級不代表不需要被監管，如果沒(méi)有被納入監管，反而會(huì )比較危險，哪天出了事就比較難以收拾殘局。定級后或者被監管，主管單位會(huì )在重點(diǎn)時(shí)刻對我們的重要信息系統進(jìn)行一定掃描及保護，會(huì )及時(shí)告知發(fā)現的一些問(wèn)題，避免發(fā)生網(wǎng)絡(luò )安全攻擊事件;一些重要的政策要求或者行業(yè)會(huì )議，也會(huì )通知你們過(guò)來(lái)參會(huì )，方便大家及時(shí)了解最新的網(wǎng)絡(luò )安全形勢，有利于開(kāi)展網(wǎng)絡(luò )安全工作。

誤區四：等級保護就是做個(gè)測評而已

等級保護工作不僅是一個(gè)測評，而是包含：定級、備案、測評、建設整改和監督審查五項內容，測評只是其中一項。

誤區五：等保測評做一次就可以

并不是，等保是一個(gè)持續性的工作，等保測評也是一個(gè)周期性的工作，三級系統要求每年做一次，四級系統每半年做一次，二級系統部分行業(yè)明確要求每?jì)赡曜鲆淮危瑳](méi)有明確要求的行業(yè)建議大家兩年做一次。

誤區六：只要不出事，不做等保也沒(méi)關(guān)系

錯誤!《中華人民共和國網(wǎng)絡(luò )安全法》第二十一條國家實(shí)行網(wǎng)絡(luò )安全等級保護制度。網(wǎng)絡(luò )運營(yíng)者應當按照網(wǎng)絡(luò )安全等級保護制度的要求，履行下列安全保護義務(wù)，保障網(wǎng)絡(luò )免受干擾、破壞或者未經(jīng)授權的訪(fǎng)問(wèn)，防止網(wǎng)絡(luò )數據泄露或者被竊取、篡改：(五)法律、行政法規規定的其他義務(wù)。不做等保就屬于第五個(gè)行為，國內目前已經(jīng)有公開(kāi)報道的因為沒(méi)有落實(shí)等級保護制度而被處罰的真實(shí)案例。等保要及時(shí)做，不要等。

誤區七：內網(wǎng)，無(wú)需進(jìn)行等保

所有非涉密系統都屬于等級保護范疇，和系統在外網(wǎng)還是內網(wǎng)沒(méi)有關(guān)系;在內網(wǎng)的系統往往其網(wǎng)絡(luò )安全技術(shù)措施做的并不好，甚至不少系統已經(jīng)中毒不淺，不論系統在內網(wǎng)還是外網(wǎng)都得及時(shí)開(kāi)展等保工作。

誤區八：做完等保測評，需要花費很多錢(qián)進(jìn)行整改

并不是，整改花多少錢(qián)取決于你的信息系統等級、系統現有的安全防護措施狀態(tài)以及網(wǎng)絡(luò )運營(yíng)者對測評分數的期望值，不一定要花費很多錢(qián)。

誤區九：信息系統上云就安全了

很多單位認為網(wǎng)站和信息系統上云后就安全了，等保不用做了。信息系統是否上云，安全責任主體都不會(huì )變。各類(lèi)云平臺只提供平臺和簡(jiǎn)單的安全措施，安全責任主體單位還是要按等保要求落實(shí)相應的安全工作，只是物理和環(huán)境安全等部分安全工作由云平臺承擔。

誤區十：云系統是到注冊經(jīng)營(yíng)地備案

云系統應當在系統實(shí)際運維團隊所在地市網(wǎng)安部門(mén)進(jìn)行系統備案，因為這樣方便屬地公安對系統進(jìn)行監管。