1 范圍

      本標準規定了網(wǎng)絡(luò )安全等級保護的第一級到第四級等級保護對象的安全通用要求和安全擴展要求。

      本標準適用于指導分等級的非涉密對象的安全建設和監督管理。

      注：第五級等級保護對象是非常重要的監督管理對象，對其有特殊的管理模式和安全要求，所以不在本標準中進(jìn)行描述。

2 規范性引用文件

      下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB 17859 計算機信息系統 安全保護等級劃分準則

      GB/T 22240 信息安全技術(shù) 信息系統安全等級保護定級指南

      GB/T 25069 信息安全技術(shù) 術(shù)語(yǔ)

      GB/T 31167-2014 信息安全技術(shù) 云計算服務(wù)安全指南

      GB/T 31168-2014 信息安全技術(shù) 云計算服務(wù)安全能力要求

      GB/T 32919-2016 信息安全技術(shù) 工業(yè)控制系統安全控制應用指南

3 術(shù)語(yǔ)和定義

      GB 17859、GB/T 22240、GB/T 25069、GB/T 31167-2014、GB/T 31168-2014和GB/T 32919-2016界定的以及下列術(shù)語(yǔ)和定義適用于本文件。為了便于使用，以下重復列出了（GB/T 31167-2014、GB/T 31168-2014和GB/T 32919-2016中的一些術(shù)語(yǔ)和定義。

3.1

      網(wǎng)絡(luò )安全 cybersecurity

      通過(guò)采取必要措施，防范對網(wǎng)絡(luò )的攻擊、侵入、干擾、破壞和非法使用以及意外事故，使網(wǎng)絡(luò )處于穩定可靠運行的狀態(tài)，以及保障網(wǎng)絡(luò )數據的完整性、保密性、可用性的能力。

3.2

      安全保護能力 security protection ability

      能夠抵御威脅、發(fā)現安全事件以及在遭到損害后能夠恢復先前狀態(tài)等的程度。

3.3

      云計算 cloud computing

      通過(guò)網(wǎng)絡(luò )訪(fǎng)問(wèn)可擴展的、靈活的物理或虛擬共享資源池，并按需自助獲取和管理資源的模式。注：資源實(shí)例包括服務(wù)器、操作系統、網(wǎng)絡(luò )、軟件、應用和存儲設備等。

      [GB/T 31167-2014，定義3.1］

3.4

      云服務(wù)商 cloud service provider

      云計算服務(wù)的供應方。

      注：云服務(wù)商管理、運營(yíng)、支撐云計算的計算基礎設施及軟件，通過(guò)網(wǎng)絡(luò )交付云計算的資源。

      ［GB/T 31167-2014，定義3.3］

3.5

      云服務(wù)客戶(hù) cloud service customer

      為使用云計算服務(wù)同云服務(wù)商建立業(yè)務(wù)關(guān)系的參與方。

      [GB/T 31168-2014，定義3.4］

3.6

      云計算平臺/系統 cloud computing platform/system

      云服務(wù)商提供的云計算基礎設施及其上的服務(wù)軟件的集合。

3.7

      虛擬機監視器 hypervisor

      運行在基礎物理服務(wù)器和操作系統之間的中間軟件層，可允許多個(gè)操作系統和應用共享硬件。

3.8

      宿主機 host machine

      運行虛擬機監視器的物理服務(wù)器。

3.9

      移動(dòng)互聯(lián) mobile communication

      采用無(wú)線(xiàn)通信技術(shù)將移動(dòng)終端接入有線(xiàn)網(wǎng)絡(luò )的過(guò)程。

3.10

      移動(dòng)終端 mobile device

      在移動(dòng)業(yè)務(wù)中使用的終端設備，包括智能手機、平板電腦、個(gè)人電腦等通用終端和專(zhuān)用終端設備。

3.11

      無(wú)線(xiàn)接入設備 wireless access device

      采用無(wú)線(xiàn)通信技術(shù)將移動(dòng)終端接入有線(xiàn)網(wǎng)絡(luò )的通信設備。

3.12

      無(wú)線(xiàn)接入網(wǎng)關(guān) wireless access gateway

      部署在無(wú)線(xiàn)網(wǎng)絡(luò )與有線(xiàn)網(wǎng)絡(luò )之間，對有線(xiàn)網(wǎng)絡(luò )進(jìn)行安全防護的設備。

3.13

      移動(dòng)應用軟件 mobile application

      針對移動(dòng)終端開(kāi)發(fā)的應用軟件。

3.14

      移動(dòng)終端管理系統 mobile device management system

      用于進(jìn)行移動(dòng)終端設備管理、應用管理和內容管理的專(zhuān)用軟件，包括客戶(hù)端軟件和服務(wù)端軟件。

3.15

      物聯(lián)網(wǎng) internet of things

      將感知節點(diǎn)設備通過(guò)互聯(lián)網(wǎng)等網(wǎng)絡(luò )連接起來(lái)構成的系統。

3.16

      感知節點(diǎn)設備 sensor node

      對物或環(huán)境進(jìn)行信息采集和/或執行操作，并能聯(lián)網(wǎng)進(jìn)行通信的裝置。

3.17

      感知網(wǎng)關(guān)節點(diǎn)設備 sensor layer gateway

      將感知節點(diǎn)所采集的數據進(jìn)行匯總、適當處理或數據融合，并進(jìn)行轉發(fā)的裝置。

3.18

      工業(yè)控制系統 industrial control system

      工業(yè)控制系統（ICS）是一個(gè)通用術(shù)語(yǔ)，它包括多種工業(yè)生產(chǎn)中使用的控制系統，包括監控和數據采集系統（SCADA）、分布式控制系統（DCS）和其他較小的控制系統，如可編程邏輯控制器（PLC），現已廣泛應用在工業(yè)部門(mén)和關(guān)鍵基礎設施中。

      ［GB/T 32919-2016，定義3.1］

4 縮略語(yǔ)

      下列縮略語(yǔ)適用于本文件。

      AP：無(wú)線(xiàn)訪(fǎng)問(wèn)接入點(diǎn)（Wireless Access Point）

      DCS：集散控制系統（Distributed Control System）

      DDoS：拒絕服務(wù)（Distributed Denial of Service）

      ERP：企業(yè)資源計劃（Enterprise Resource Planning）

      FTP：文件傳輸協(xié)議（File Transfer Protocol）

      HMI：人機界面（Human Machine Interface）

      IaaS：基礎設施即服務(wù)（Infrastructure-as-a-Service）

      ICS：工業(yè)控制系統（Industrial Control System）

      IoT：物聯(lián)網(wǎng)（Internet of Things）

      IP：互聯(lián)網(wǎng)協(xié)議（Internet Protocol）

      IT：信息技術(shù)（Information Technology）

      MES：制造執行系統（Manufacturing Execution System）

      PaaS：平臺即服務(wù)（Platform-as-a-Service）

      PLC：可編程邏輯控制器（Programmable Logic Controller）

      RFID：射頻識別（Radio Frequency Identification）

      SaaS：軟件即服務(wù)（Software-as-a-Service）

      SCADA：數據采集與監視控制系統（Supervisory Control and Data Acquisition System）

      SSID：服務(wù)集標識（Service Set Identifier）

      TCB：可信計算基（Trusted Computing Base）

      USB：通用串行總線(xiàn)（Universal Serial Bus）

      WEP：有線(xiàn)等效加密（Wired Equivalent Privacy）

      WPS：WiFi保護設置（WiFi Protected Setup）

5 網(wǎng)絡(luò )安全等級保護概述

5.1 等級保護對象

      等級保護對象是指網(wǎng)絡(luò )安全等級保護工作中的對象，通常是指由計算機或者其他信息終端及相關(guān)設備組成的按照一定的規則和程序對信息進(jìn)行收集、存儲、傳輸、交換、處理的系統，主要包括基礎信息網(wǎng)絡(luò )、云計算平臺/系統、大數據應用/平臺/資源、物聯(lián)網(wǎng)（IoT）、工業(yè)控制系統和采用移動(dòng)互聯(lián)技術(shù)的系統等。等級保護對象根據其在國家安全、經(jīng)濟建設、社會(huì )生活中的重要程度，遭到破壞后對國家安全、社會(huì )秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度等，由低到高被劃分為五個(gè)安全保護等級。

      保護對象的安全保護等級確定方法見(jiàn)GB/T 22240。

5.2 不同級別的安全保護能力

      不同級別的等級保護對象應具備的基本安全保護能力如下：

      第一級安全保護能力：應能夠防護免受來(lái)自個(gè)人的、擁有很少資源的威脅源發(fā)起的惡意攻擊、一般的自然災難，以及其他相當危害程度的威脅所造成的關(guān)鍵資源損害，在自身遭到損害后，能夠恢復部分功能。

      第二級安全保護能力：應能夠防護免受來(lái)自外部小型組織的、擁有少量資源的威脅源發(fā)起的惡意攻擊、一般的自然災難，以及其他相當危害程度的威脅所造成的重要資源損害，能夠發(fā)現重要的安全漏洞和處置安全事件，在自身遭到損害后，能夠在一段時(shí)間內恢復部分功能。

      第三級安全保護能力：應能夠在統一安全策略下防護免受來(lái)自外部有組織的團體、擁有較為豐富資源的威脅源發(fā)起的惡意攻擊、較為嚴重的自然災難，以及其他相當危害程度的威脅所造成的主要資源損害，能夠及時(shí)發(fā)現、監測攻擊行為和處置安全事件，在自身遭到損害后，能夠較快恢復絕大部分功能。

      第四級安全保護能力：應能夠在統一安全策略下防護免受來(lái)自國家級別的、敵對組織的、擁有豐富資源的威脅源發(fā)起的惡意攻擊、嚴重的自然災難，以及其他相當危害程度的威脅所造成的資源損害，能夠及時(shí)發(fā)現、監測發(fā)現攻擊行為和安全事件，在自身遭到損害后，能夠迅速恢復所有功能。

      第五級安全保護能力：略。

5.3 安全通用要求和安全擴展要求

      由于業(yè)務(wù)目標的不同、使用技術(shù)的不同、應用場(chǎng)景的不同等因素，不同的等級保護對象會(huì )以不同的形態(tài)出現，表現形式可能稱(chēng)之為基礎信息網(wǎng)絡(luò )、信息系統（包含采用移動(dòng)互聯(lián)等技術(shù)的系統）、云計算平臺/系統、大數據平臺/系統、物聯(lián)網(wǎng)、工業(yè)控制系統等。形態(tài)不同的等級保護對象面臨的威脅有所不同，安全保護需求也會(huì )有所差異。為了便于實(shí)現對不同級別的和不同形態(tài)的等級保護對象的共性化和個(gè)性化保護，等級保護要求分為安全通用要求和安全擴展要求。

      安全通用要求針對共性化保護需求提出，等級保護對象無(wú)論以何種形式出現，應根據安全保護等級實(shí)現相應級別的安全通用要求；安全擴展要求針對個(gè)性化保護需求提出，需要根據安全保護等級和使用的特定技術(shù)或特定的應用場(chǎng)景選擇性實(shí)現安全擴展要求。安全通用要求和安全擴展要求共同構成了對等級保護對象的安全要求。安全要求的選擇見(jiàn)附錄A，整體安全保護能力的要求見(jiàn)附錄B和附錄C。

      本標準針對云計算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統提出了安全擴展要求。云計算應用場(chǎng)景參見(jiàn)附錄D，移動(dòng)互聯(lián)應用場(chǎng)景參見(jiàn)附錄E，物聯(lián)網(wǎng)應用場(chǎng)景參見(jiàn)附錄F，工業(yè)控制系統應用場(chǎng)景參見(jiàn)附錄G，大數據應用場(chǎng)景參見(jiàn)附錄H。對于采用其他特殊技術(shù)或處于特殊應用場(chǎng)景的等級保護對象，應在安全風(fēng)險評估的基礎上，針對安全風(fēng)險采取特殊的安全措施作為補充。

6 第一級安全要求

6.1 安全通用要求

6.1.1 安全物理環(huán)境

6.1.1.1 物理訪(fǎng)問(wèn)控制

      機房出入口應安排專(zhuān)人值守或配置電子門(mén)禁系統，控制、鑒別和記錄進(jìn)入的人員。

以上為標準部分內容，也可點(diǎn)擊下方鏈接下載標準原文：

下載地址：《GB/T 22239-2019 信息安全技術(shù) 網(wǎng)絡(luò )安全等級保護基本要求》