安全牛-中小企业等保建设白皮书-2021.5-36页_7mb

中小企业等保建设白皮书总结

核心内容

《中小企业等保建设白皮书》由谷安研究院与安全牛联合发布，旨在为中小企业提供等保2.0合规建设的指导与建议。报告指出，等保2.0是网络安全等级保护制度的重大升级，不仅扩大了保护范围，还强调了综合防御、纵深防御和主动防御的理念，对政企机构特别是中小企业提出了更高的安全能力要求。

主要观点

• 等保2.0的实施背景：自2019年12月等保2.0正式实施以来，全国各政企机构面临等保合规建设的紧迫任务。
• 等保2.0的核心变化：
  • 保护范围扩大，涵盖党政机关、网络供应商、关键基础设施等。
  • 监管内容扩展，包括云计算、大数据、物联网、工业控制系统等。
  • 强调综合防御体系，从被动防御转向主动防御，实现全过程的风险管理。
  • 法规体系层级提升，等保2.0上升至《网络安全法》层面。
• 等保2.0的建设理念：以“一个中心，三重防护”为核心，包括安全计算环境、安全区域边界、安全通信网络和安全管理中心。
• 中小企业面临的挑战：
  • 信息安全投入有限，多数年投入不足30万元。
  • 缺乏专业安全人才，信息化人员兼任安全工作。
  • 领导重视程度不足，部分企业将等保视为负担。
  • 系统复杂性较低，多数为单一系统，且更新频率不高。
• 中小企业等保合规建设思路：
  • 按点部署安全产品，如防火墙、终端安全设备、审计系统等。
  • 采用“一体机”等集成设备，以满足等保合规需求，同时降低成本。
  • 建议在满足等保合规的基础上，逐步提升安全防护能力。

关键信息

等保实施流程

1. 定级：根据系统重要性及破坏后果确定安全等级。
2. 备案：向公安机关备案。
3. 建设整改：根据等级要求进行安全建设与整改。
4. 等级测评：由专业机构进行等保测评。
5. 监督检查：定期接受安全检查。

等保2.0的技术要求

• 安全通信网络：包括网络架构、通信传输、可信验证。
• 安全区域边界：包括边界防护、访问控制、入侵防范、恶意代码防范、安全审计、可信验证。
• 安全计算环境：包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据恢复备份、剩余信息保护、个人信息保护。
• 安全管理中心：包括系统管理、审计管理、安全管理员、集中管控。

等保2.0的管理要求

• 安全管理制度：制定和执行信息安全制度。
• 安全管理机构：设立专门的安全管理机构。
• 安全管理人员：配备专职或兼职的安全管理人员。
• 安全建设管理：确保系统建设过程符合安全标准。
• 安全运维管理：对系统运行进行安全监控和维护。

新华三等保建设解决方案

• “等保 +”解决方案：基于“一个中心，三重防护”理念，覆盖等保所有控制点。
• 产品组成：包括下一代防火墙（NGFW）、安管一体机等。
• 优势：
  • 设备兼容性强。
  • 能力全面，满足等保2.0技术与管理要求。
  • 产品易用性高，部署简单，适合中小企业。
• 应用案例：
  • 某中医医院：部署新华三方案，快速完成等保三级认证。
  • 某广电单位：采用“等保 +”方案，实现快速合规与安全能力提升。
  • 某矿业公司：通过新华三方案，实现安全设备快速部署与管理。

等保合规的意义

• 等保合规建设是提升企业网络安全能力的重要手段。
• 等保测评不仅是合规检查，更是对系统安全状态的量化评估。
• 对中小企业而言，等保合规建设是推动网络安全管理的重要契机，有助于建立更完善的信息安全体系。

总结

中小企业在进行等保合规建设时，需结合自身特点，采取灵活、高效的方案。新华三的“等保 +”解决方案为中小企业提供了一个可快速部署、低成本、易管理的安全建设路径，有助于中小企业实现等保合规目标，提升整体网络安全防护能力。等保2.0的实施标志着我国网络安全建设进入了一个更加系统化、标准化的新阶段，中小企业也应顺应这一趋势，逐步构建完善的网络安全体系。