等級保護2.0标準發布後,爲了更好地提升全國等級保護測評體(tǐ)系的技術能力,統一(yī)測評機構對網絡安全風險的評判尺度,由中(zhōng)關村(cūn)信息安全測評聯盟組織,上海市信息安全測評認證中(zhōng)心主筆,杭州安信檢測技術有限公司、江蘇金盾檢測技術有限公司、深圳市網安計算機安全檢測技術有限公司、合肥天帷信息安全技術有限公司、山東新潮信息技術有限公司、成都安美勤信息技術股份有限公司、甘肅安信信息安全技術有限公司等機構共同參與編寫了等保測評行業指引性文件——《網絡安全等級保護測評高風險判定指引》(簡稱“判定指引”)。
《判定指引》的适用範圍:
1、用于指導測評機構在測評活動中(zhōng)對高風險問題的判定;
2、用于行業主管部門開(kāi)展的安全檢查;
3、作爲“負面清單”供運營單位在按照等級保護2.0标準開(kāi)展系統設計、開(kāi)發、建設、維護等過程中(zhōng)參考。
在具體(tǐ)風險判定中(zhōng),應根據被測對象的實際情況來綜合确定該風險嚴重程度是否爲“高”。如初步符合“适用範圍”、“需滿足的條件”後,還需根據“補償措施”所引申的方向思考是否可降低風險嚴重程度;鼓勵根據實際情況對于補償措施中(zhōng)未涉及但确實能起到降低風險等級的安全措施進行深入分(fēn)析。要根據實際情況進行合理判定,切勿死搬硬套。
本篇文章的主要内容爲《網絡安全等級保護測評高風險判定指引》的附表:基本要求與判例對應表中(zhōng)技術部分(fēn)高危風險。
一(yī)、安全物(wù)理環境高危風險
二、安全通信網絡高危風險
三、安全區域邊界高危風險
四、安全計算環境高危風險
五、安全區域邊界(集中(zhōng)管理中(zhōng)心)高危風險
以上高危風險項目大(dà)家可以各自進行對照,避免自己的系統有以上的風險,高危風險在等保測評中(zhōng)是擁有一(yī)票(piào)否決權的,即使其他方面做得很好,一(yī)旦出現高危風險,則測評結論将直接從不符合(差)開(kāi)始。