等级保护测评认证三级等保标准怎么才能达到？
来源：本站
作者：中联信科
日期：2021-09-08 11:11:17
浏览：
742
随着等保2.0一系列标准的出台，等级保护成了很多企业的刚需，一些企业还必须有三级等保认证才能成功备案。整体的网络安全主要表现在以下几个方面：网络的物理安全、网络拓扑结构安全、网络系统安全、应用系统安全和网络管理的安全等，而三级等保的技术要求包括物理、网络、主机、应用、数据5个方面。今天中联信科就跟大家分享一下：如何做好网络安全？如何才能达到三级等保标准？
一、如何才能保证网络的物理安全？
物理安全是保护计算机网络设备、设施以及其他媒体免遭地震、水灾、火灾等环境事故(如电磁污染等〉及人为操作失误或错误及各种计算机犯罪行为导致的破坏。物理安全是整个计算机信息系统安全的前提。为了获得完全的保护，物理安全措施是计算系统中必需的。
物理安全主要包括三个方面：
1、场地安全(环境安全)：是指系统所在环境的安全，主要是场地与机房；
2、设备安全：主要指设备的防盗、防毁、防电磁信息辐射、泄露、防止线路截获、抗电磁干扰及电源保护等)；
3、介质安全（媒体安全）：包括媒体的数据的安全及媒体本身的安全。
1、场地安全
为了有效合理地对计算机机房进行保护，应对计算机机房划分出不同的安全等级，把应地提供不同的安全保护措施，根据GB9361-1988，计算机机房的安全等级分为A类、B类、C类三个基本类别。
A级机房：对计算机机房的安全有严格的要求，有完善的计算机计算机安全措施，具有最高的安全性和可靠性。
B级机房：对计算机机房的安全有严格的要求，有较完善的计算机计算机安全措施，安全性和可靠性介于A、C级之间。
C级机房：对计算机机房的安全有基本的要求，有基本的计算机计算机安全措施，C级机房具有最低限度的安全性和可靠性。
在实际的应用中，可根据使用的具体情况进行机房等级的设置，同一机房也可以对不同的设备(如电源、主机)设置不同的级别。
2、设备安全
设备安全包括设备的防盗和防毁，防止电磁信息泄露，前止线路截获、抗电磁干扰一级电源的保护。其主要内容包括:
①设备防盗
可以使用一定的防盗手段(如移动报警器、数字探测报警和部件上锁〉保护计算机系统设备和部件，以提高计算机信息系统设备和部件的安全性。
②设备防毁
一是对抗自然力的破坏，如使用接地保护等措施保护计算机信息系统设备和部件。二是对抗人为的破坏，如使用防砸外壳等措施。
③防止电磁信息泄露
为防止计算机信息系统中的电磁信息油露，提高系统内敏感信息的安全性，通常使用防止电磁信息泄露的各种涂料、材料和设备等。
④防止线路截获
主要防止对计算机信息系统通信线路的截获与干扰。重要技术可归纳为4 个方面：预防线路截获(使线路截获设备无法正常工作)；扫描线路截获(发现线路截获并报警)；定位线路截获(发现线路截获设备工作的位置)；对抗线路截获(阻止线路截获设备的有效使用)。
⑤抗电磁干扰
防止对计算机信息系统的电磁干扰，从而保护系统内部的信息。
⑥电源保护
计算机信息系统设备的可靠运行提供能源保障，可归纳为两个方面：对工作电源的工作连续性的保护(如使用不间断电源)和对工作电源的工作稳定性的保护。
3、介质安全
介质安全是指介质数据和介质本身的安全。介质安全目的是保护存储在介质上的信患。包括介质的前盗：介质的防毁，如防霉和防砸等。
介质数据的安全是指对介质数据的保护。介质数据的安全删除和介质的安全销毁是为了前止被删除或销毁的敏感数据被他人恢复。包括介质数据的防盗(如防止介质数据被非法复制);介质数据的销毁，包括介质的物理销毁(如介质粉碎等)和介质数据的彻底销毁(如消磁等)，防止介质数据删除或销毁后被他人恢复而准露信息：介质数据的防毁，防止意外或故意的破坏使介质数据丢失。
二、如何保证网络拓朴结构和系统的安全？
网络安全系统主要依靠防火墙、网络防病毒系统等技术在网络层构筑一道安全屏障，并通过把不同的产品集成在同一个安全管理平台上实现网络层的统一、集中的安全管理。
1、网络层安全平台
选择网络层安全平台时主要考虑这个安全平台能否与其他相关的网络安全产品集成，能否对这些安全产品进行统一的管理，包括配置各相关安全产品的安全策略、维护相关安全产品的系统配置、检查并调整相关安全产品的系统状态等。
一个完善的网络安全平台至少需要部署以下产品：
①防火墙、网络的安全核心提供边界安全防护和访问权限控制；
②网络防病毒系统、杜绝病毒传播提供全网同步的病毒更新和策略设置提供全网杀毒。
2、安全网络拓扑结构划分
防火墙主要是防范不同网段之间的攻击和非法访问。由于攻击的对象主要是各类计算机，所以要科学地划分计算机的类别来细化安全设计。在整个内网当中，根据用途可以将计算机划分为三类：内部使用的工作站与终端、对外提供服务的应用服务器以及重要数据服务器。这三类计算机的作用不同，重要程度不同，安全需求也不同。
①重点保护各种应用服务器特别是要保证数据库服务的代理服务器的绝对安全不能允许用户直接访问。对应用服务器则要保证用户的访问是受到控制的要能够限制能够访问该服务器的用户范围使其只能通过指定的方式进行访问。
②数据服务器的安全性要大于对外提供多种服务的WWW服务器、E-mail服务器等应用服务器。所以数据库服务器在防火墙定义的规则上要严于其他服务器。
③内部网络有可能会对各种服务器和应用系统的直接的网络攻击，所以内部办公网络也需要和代理服务器、对外服务器、WWW、E-mail等隔离开。
④不能允许外网用户直接访问内部网络。
上述安全需求需要通过划分出安全的网络拓扑结构，并通过VLAN划分、安全路由器配置和防火墙网关的配置来控制不同网段之间的访问控制。划分网络拓扑结构时，一方面要保证网络的安全；另一方面不能对原有网络结构做太大的更改。为此建议采用以防火墙为核心的支持非军事化区的三网段安全网络拓扑结构。
三、如何才能达到三级等保标准？
国家等级保护认证是中国最权威的信息产品安全等级资格认证，“三级等保”是对非银行机构的最高等级保护认证。这一认证由公安机关依据国家信息安全保护条例及相关制度规定，按照管理规范和技术标准，对各机构的信息系统安全等级保护状况进行认可及评定。
根据《信息系统安全等级保护基本要求》，三级等保的测评内容涵盖等级保护安全技术要求的5个层面和安全管理要求的5个层面，包含信息保护、安全审计、通信保密等在内的近300项要求，共涉及测评分类73类。通过“三级等保”认证，表明企业的信息安全管理能力达到国内最高标准。
如何才能达到三级等保标准呢？以安全技术要求为例，三级等保需要做到：
1、物理安全部分
①机房应区域划分至少分为主机房和监控区两个部分；
②机房应配备电子门禁系统、防盗报警系统、监控系统；
③机房不应该有窗户，应配备专用的气体灭火、ups供电系统；
2、网络安全部分
①应绘制与当前运行情况相符合的拓扑图；
②交换机、防火墙等设备配置应符合要求，例如应进行Vlan划分并各Vlan逻辑隔离，应配置Qos流量控制策略，应配备访问控制策略，重要网络设备和服务器应进行IP/MAC绑定等；
③应配备网络审计设备、入侵检测或防御设备；
④交换机和防火墙的身份鉴别机制要满足等保要求，例如用户名密码复杂度策略，登录访问失败处理机制、用户角色和权限控制等；
⑤网络链路、核心网络设备和安全设备，需要提供冗余性设计。
3、主机安全部分
①服务器的自身配置应符合要求，例如身份鉴别机制、访问控制机制、安全审计机制、防病毒等，必要时可购买第三方的主机和数据库审计设备；
②服务器（应用和数据库服务器）应具有冗余性，例如需要双机热备或集群部署等；
③服务器和重要网络设备需要在上线前进行漏洞扫描评估，不应有中高级别以上的漏洞（例如windows系统漏洞、apache等中间件漏洞、数据库软件漏洞、其他系统软件及端口漏洞等）；
④应配备专用的日志服务器保存主机、数据库的审计日志。
4、应用安全部分
①应用自身的功能应符合等保要求，例如身份鉴别机制、审计日志、通信和存储加密等；
②应用处应考虑部署网页防篡改设备；
③应用的安全评估（包括应用安全扫描、渗透测试及风险评估），应不存在中高级风险以上的漏洞（例如SQL注入、跨站脚本、网站挂马、网页篡改、敏感信息泄露、弱口令和口令猜测、管理后台漏洞等）；
④应用系统产生的日志应保存至专用的日志服务器。
5、数据安全备份
①应提供数据的本地备份机制，每天备份至本地，且场外存放；
②如系统中存在核心关键数据，应提供异地数据备份功能，通过网络等将数据传输至异地进行备份。
以安全管理要求为例，三级等保还需要在以下五个方面做出努力：1、安全管理制度；2、安全管理机构；3、人员安全管理；4、系统建设管理；5、系统运维管理。
最后，企业可以寻找专业的测评机构来进行测评，看看自己是否已经达到三级等保标准，离三级等保要求还有哪些差距。测评机构测评结束以后会出具测评报告，企业根据测评报告，可以自己进行整改或者寻找第三方来进行整改。最终成功通过等保测评的企业，就可以得到三级等保认证证书。
