信息安全等級保護工作十大誤區(qū)
信息安全等級保護，是對信息和信息載體按照重要性等級分級別進行保護的一種工作，在中國、美國等很多國家都存在的一種信息安全領域的工作。
在中國，信息安全等級保護廣義上為涉及到該工作的標準、產(chǎn)品、系統(tǒng)、信息等均依據(jù)等級保護思想的安全工作；狹義上一般指信息系統(tǒng)安全等級保護。
信息安全等級保護工作包括定級、備案、安全建設和整改、信息安全等級測評、信息安全檢查五個階段。
信息系統(tǒng)安全等級測評是驗證信息系統(tǒng)是否滿足相應安全保護等級的評估過程。信息安全等級保護要求不同安全等級的信息系統(tǒng)應具有不同的安全保護能力，一方面通過在安全技術和安全管理上選用與安全等級相適應的安全控制來實現(xiàn)；另一方面分布在信息系統(tǒng)中的安全技術和安全管理上不同的安全控制，通過連接、交互、依賴、協(xié)調(diào)、協(xié)同等相互關聯(lián)關系，共同作用于信息系統(tǒng)的安全功能，使信息系統(tǒng)的整體安全功能與信息系統(tǒng)的結構以及安全控制間、層面間和區(qū)域間的相互關聯(lián)關系密切相關。因此，信息系統(tǒng)安全等級測評在安全控制測評的基礎上，還要包括系統(tǒng)整體測評。
1、云系統(tǒng)到哪里進行系統(tǒng)定級備案？
背景：云系統(tǒng)由于部署在各類云平臺上面，而云平臺的實際物理地址往往和云系統(tǒng)網(wǎng)絡運營者不在同一地址，大型云平臺還有許多物理節(jié)點，很難確定云平臺的具體物理地址，那么這種情況下云系統(tǒng)到底到云平臺所在注冊地址進行系統(tǒng)備案，還是到自己所在注冊地址進行備案，如果自己的運維團隊和注冊經(jīng)營地址不一致怎么辦？到底去哪里備案？不少人以為是到注冊經(jīng)營地進行備案。
答：云系統(tǒng)應當在系統(tǒng)實際運維團隊所在地市網(wǎng)安部門進行系統(tǒng)備案，因為這樣方便屬地公安對系統(tǒng)進行監(jiān)管。
擴展：在云計算環(huán)境中，應將云服務方側的云計算平臺單獨作為定級對象定級，云租戶側的等級保護對象也應作為單獨的定級對象定級。
2、我的系統(tǒng)已經(jīng)上云或者系統(tǒng)托管到其他地方，系統(tǒng)就不歸我管了，就不用做等保了？
背景：系統(tǒng)上云的情況越來越多，不論是公有云（阿里云、騰訊云、亞馬遜云等）還是各類私有云（政務云、內(nèi)部云平臺等）或者就是直接托管到IDC機房，一些客戶認為系統(tǒng)已經(jīng)不在自己機房了，所以系統(tǒng)的相應安全運維就不歸自己管了，自然等保工作就不需要做了。
答：根據(jù)“誰運營誰負責，誰使用誰負責，誰主管誰負責”的原則，該系統(tǒng)責任主體還是屬于網(wǎng)絡運營者自己，所以還是得承擔相應的網(wǎng)絡安全責任，該進行系統(tǒng)定級的還是得定級，該做等保的還是得做等保。
3、系統(tǒng)定級越低越好？
背景：一些客戶擔心系統(tǒng)定級定高了后期給自己工作增加麻煩，一方面等級高了，技術要求高了，需要做的工作多了；另一方面三級系統(tǒng)需要每年都做測評，也覺得麻煩。所以想著系統(tǒng)定個二級就可以了，自己省事。
答：首先系統(tǒng)到底定幾級是根據(jù)受侵害的客體以及對客體侵害的程度來確定的，是以事實為根據(jù)，而不是拍腦袋決定的。系統(tǒng)等級定低了，乍一看可能工作上是容易做了，但是反而是我們沒有落實好網(wǎng)絡安全保護義務的直接表現(xiàn)，系統(tǒng)等級低了相應的安全防護要求也低了，那么萬一你的系統(tǒng)不小心被攻擊破壞造成一定不良影響，在主管部門進行責任認定追查時，很有可能就會因為系統(tǒng)定級不合理，安全責任沒有履行到位而被處罰。得不償失，還是安安穩(wěn)穩(wěn)把自己該做的工作做好。
4、系統(tǒng)定完級就有人來管了
背景：一些客戶會覺得系統(tǒng)定了級以后相關主管單位就會不時地來安全檢查了，給自己的工作增加了麻煩，被人管的感覺很不好。
答：所有非涉密系統(tǒng)都屬于等級保護范疇，沒有定級不代表不需要被監(jiān)管，相反如果沒有被納入監(jiān)管，反而會比較危險，哪天出了事就比較難收拾殘局。定級后或者被監(jiān)管，主管單位會在重點時刻對我們的重要信息系統(tǒng)進行一定掃描及保護，會及時告知發(fā)現(xiàn)的一些問題，避免發(fā)生網(wǎng)絡安全攻擊事件；同時一些重要的政策要求或者行業(yè)會議，也會通知你們過來參會，方便大家及時了解最新的網(wǎng)絡安全形勢，有利于大家開展好網(wǎng)絡安全工作。
擴展：做了等保后，主管單位并不一定會對你們單位做相關安全檢查，單位很多，重要的系統(tǒng)很多，主管單位也有自己的一些統(tǒng)一安排，到底會不會對你們檢查取決于很多因素，但是一般單位可以不需要有這些顧慮。來檢查是好事，可以及時發(fā)現(xiàn)問題，督促指導大家開展好網(wǎng)絡安全工作。
5、等級保護工作就是做個測評就可以？
背景：一些人以為等級保護工作主要就是對系統(tǒng)進行定級備案，然后做個測評就可以了。
答：等級保護工作不僅是一個測評而是包含：定級、備案、測評、建設整改和監(jiān)督審查五項內(nèi)容，測評只是其中一項。
擴展：測評只是開始，更重要的是我們通過測評尋找出差距，分析出目前我們的系統(tǒng)存在的風險，及時查漏補缺，進行安全建設整改，提高信息系統(tǒng)的安全防護能力，降低系統(tǒng)受到攻擊破壞的概率。
6、等保測評做過一次就可以了，以后隨便做不做？
背景：一些客戶以為等保測評只要做過一次就行了，以后就不用做了。把等保工作當成一個形式當成應付工程去做。
答：等保工作是一個持續(xù)的工作，等保測評也是一個周期性的工作，三級系統(tǒng)要求每年做一次，四級系統(tǒng)每半年做一次，二級系統(tǒng)部分行業(yè)明確要求每兩年做一次，沒有明確要求的行業(yè)建議大家兩年做一次測評。
擴展：做等保測評不應當抱著應付的心態(tài)去做，如果大家的系統(tǒng)真能按照等級保護的要求去做好，那么你的系統(tǒng)安全防護水平還是很高的。做了等保，一方面是合規(guī)，更多的是切切實實協(xié)助我們做好單位的網(wǎng)絡安全工作。
7、不做等保沒關系，只要不出事就行？
背景：一些用戶以為做不做等保不要緊，關揵的是不要出網(wǎng)絡安全事件，只要不出事都沒問題。
答：《中華人民共和國網(wǎng)絡安全法》第二十一條 國家實行網(wǎng)絡安全等級保護制度。網(wǎng)絡運營者應當按照網(wǎng)絡安全等級保護制度的要求，履行下列安全保護義務，保障網(wǎng)絡免受干擾、破壞或者未經(jīng)授權的訪問，防止網(wǎng)絡數(shù)據(jù)泄露或者被竊取、篡改：（五）法律、行政法規(guī)規(guī)定的其他義務。不做等保就屬于第五個行為，國內(nèi)目前已經(jīng)有公開報道的因沒有落實等級保護制度而被處罰的真實案例。所以等保及時去做，不要等。
擴展：網(wǎng)絡安全技術發(fā)展日新月異，什么叫安全？買什么產(chǎn)品做什么服務就能安全？絕對的安全是不可能的，我們不能百分百保證我們的系統(tǒng)是安全的，但是我們得把我們能做的工作及時做到位，該做的工作做到了，自然也就相對安全了。
8、系統(tǒng)在內(nèi)網(wǎng)，就不需要做等保了？
背景：不少用戶的系統(tǒng)都在單位內(nèi)網(wǎng)或者專網(wǎng)中，覺得系統(tǒng)不對外相對安全，所以就可以不做等保了。
答：首先所有非涉密系統(tǒng)都屬于等級保護范疇，和系統(tǒng)在外網(wǎng)還是內(nèi)網(wǎng)沒有關系；其次在內(nèi)網(wǎng)的系統(tǒng)往往其網(wǎng)絡安全技術措施做的并不好，甚至不少系統(tǒng)已經(jīng)中毒不淺。所以不論系統(tǒng)在內(nèi)網(wǎng)還是外網(wǎng)都得及時開展等保工作。
擴展：內(nèi)網(wǎng)不代表安全，而且現(xiàn)在純粹的物理內(nèi)網(wǎng)很少了，大部分或多或少都與互聯(lián)網(wǎng)有些連接。內(nèi)網(wǎng)一旦中毒，擴散很快，而且很難清除，因為很多技術措施都沒有，幾乎在裸奔狀態(tài)，一旦中毒很容易就垮了。
9、給我們單位整體做一個等保測評？
背景：一些用戶或者同行搞不清等保到底是個什么情況，以為是按照整個單位去做，天真地認為一個單位做一個等保測評就可以。
答：等保測評是按照信息系統(tǒng)來的，以一個信息系統(tǒng)為測評整體，并不是按照一個單位去做的。
擴展：一個完整的信息系統(tǒng)包括承載其的物理機房、服務器、主機、應用、數(shù)據(jù)庫、網(wǎng)絡設備及安全設備等，測評除了這些具體的實體對象，還包括相對應的安全管理制度。
10、等保測評做完就得花很多錢去整改？
背景：一些客戶有疑慮：測評是沒有多少錢，但是測評后需要進行安全建設整改，需要花很多錢。
答：整改花多少錢取決于你的信息系統(tǒng)等級、系統(tǒng)現(xiàn)有的安全防護措施狀況以及網(wǎng)絡運營者對測評分數(shù)的期望值，不一定要花很多錢甚至不花錢。
擴展：整改的內(nèi)容大體分為：安全制度完善、安全加固等安全服務以及安全設備的添置。在安全制度及安全加固上網(wǎng)絡運營者自己可以做很多整改工作或者委托系統(tǒng)集成方進行加固，往往這是不需要額外付費的或者是包含在你和系統(tǒng)集成方合同約定中的，這兩塊內(nèi)容整改好，加上你有一定的安全技術措施，基本上是可以達到基本符合的結論的。所以花多少錢看你怎么去做或者你的期望值是多少。
