《网络安全等级保护基本要求》（GB/T 22239-2019）标准解读

doi:10.3969/j.issn.1671-1122.2019.02.010

信息网络安全 ›› 2019, Vol. 19 ›› Issue (2): 77-84.doi: 10.3969/j.issn.1671-1122.2019.02.010

《网络安全等级保护基本要求》（GB/T 22239-2019）标准解读

马力¹(), 祝国邦², 陆磊²

1.公安部信息安全等级保护评估中心,北京 100142
2. 公安部网络安全保卫局,北京 100741

收稿日期:2019-01-15 出版日期:2019-02-10 发布日期:2020-05-11
作者简介:
作者简介：马力（1963—）,男,江苏,副研究员,硕士,主要研究方向为信息技术、网络安全、等级保护;祝国邦（1979—）,男,吉林,副研究员,硕士,主要研究方向为信息技术、网络安全、等级保护;陆磊（1976—）,女,北京,本科,主要研究方向为信息技术、网络安全、等级保护。

Baseline for Classified Protection of Cybersecurity (GB/T 22239-2019) Standard Interpretation

Li MA¹(), Guobang ZHU², Lei LU²

1.Information Classified Security Protection Evaluation Center of the Ministry of Public Security, Beijing 100142, China
2.Cyber Security Department of the Ministry of Public Security, Beijing 100741, China

Received:2019-01-15 Online:2019-02-10 Published:2020-05-11

摘要/Abstract

摘要：

《网络安全等级保护基本要求》（GB/T 22239-2019）即将正式实施。文章介绍了《GB/T 22239-2019》的修订背景和进程、与《GB/T 22239-2008》比较发生的主要变化、其安全通用要求和安全扩展要求的主要内容等,目的使用户更好地了解和掌握《GB/T 22239-2019》的内容。

关键词: 等级保护对象, 安全通用要求, 安全扩展要求

Abstract:

Baseline for Classified Protection of Cybersecurity(GB/T 22239-2019) will be formally implemented soon. This paper introduces the background and process of the revision GB/T 22239-2019, the main changes in comparison with GB/T 22239-2008, the main contents of its security general requirements and security special requirements, etc., so as to enable users to better understand and master the contents of GB/T 22239-2019.

Key words: classified protection object, security general requirements, security special requirements

中图分类号:

TP309

马力, 祝国邦, 陆磊. 《网络安全等级保护基本要求》（GB/T 22239-2019）标准解读[J]. 信息网络安全, 2019, 19(2): 77-84.

Li MA, Guobang ZHU, Lei LU. Baseline for Classified Protection of Cybersecurity (GB/T 22239-2019) Standard Interpretation[J]. Netinfo Security, 2019, 19(2): 77-84.

图/表 15

图1

表1

表2

表3

表4

表5

表6

表7

表8

表9

表10

表11

表12

表13

表14

参考文献 7

[1]	QU Jie, FAN Chunling, CHEN Guangyong, et al.Research on Establishment of Network Security Service Ability System for A New Era[J].Netinfo Security,2019,19(1):83-87.
	曲洁,范春玲,陈广勇,等. 新时代下网络安全服务能力体系建设思路[J].信息网络安全,2019,19(1):83-87.
[2]	Cybersecurity Law of the People’s Republic of China [EB/OL]. .
	中华人民共和国网络安全法[EB/OL]..
[3]	JI Hui.Controlling Information System Risk by Information Security Service[J]. Netinfo Security,2010,10(5):17-18.
	季辉. 通过信息安全服务实现信息系统风险可控[J].信息网络安全,2010,10(5):17-18.
[4]	GUO Qiquan, et al.Training Course on Cybersecurity Law and Classified Protection of Cybersecurity[M].Beijing: Publishing House of Electronics Industry,2018.
	郭启全,等.网络安全法与网络安全等级保护制度培训教程[M].北京:电子工业出版社,2018.
[5]	GB/T 22239-2008 22239-2008.Information Security Technology-Baseline for Classified Protection of Information System Security[S]. Beijing: Standards Press of China,2008.
	GB/T 22239-2008 22239-2008.信息安全技术信息系统安全等级保护基本要求[S].北京:中国标准出版社,2008.
[6]	National Information Security Standardization Technical Committee. Information Security Technology—Baseline for Classified Protection of Cybersecurity(Draft)[EB/OL].,2018-10-31.
	全国信息安全标准化技术委员会.信息安全技术网络安全等级保护基本要求(征求意见稿)[EB/OL].,2018-10-31.
[7]	National Information Security Standardization Technical Committee. Information Security Technology—Evaluation Requirement for Classified Protection of Cybersecurity(Draft)[EB/OL].,2018-10-31.
	全国信息安全标准化技术委员会.信息安全技术网络安全等级保护测评要求(征求意见稿)[EB/OL].,2018-10-31.

序号	控制点	一级	二级	三级	四级
1	物理位置的选择	0	2	2	2
2	物理访问控制	1	1	1	2
3	防盗窃和防破坏	1	2	3	3
4	防雷击	1	1	2	2
5	防火	1	2	3	3
6	防水和防潮	1	2	3	3
7	防静电	0	1	2	2
8	温湿度控制	1	1	1	1
9	电力供应	1	2	3	4
10	电磁防护	0	1	2	2

序号	控制点	一级	二级	三级	四级
1	网络架构	0	2	5	6
2	通信传输	1	1	2	4
3	可信验证	1	1	1	1

序号	控制点	一级	二级	三级	四级
1	边界防护	1	1	4	6
2	访问控制	3	4	5	5
3	入侵防范	0	1	4	4
4	恶意代码防范	0	1	2	2
5	安全审计	0	3	4	3
6	可信验证	1	1	1	1

序号	控制点	一级	二级	三级	四级
1	身份鉴别	2	3	4	4
2	访问控制	3	4	7	7
3	安全审计	0	3	4	4
4	入侵防范	2	5	6	6
5	恶意代码防范	1	1	1	1
6	可信验证	1	1	1	1
7	数据完整性	1	1	2	3
8	数据保密性	0	0	2	2
9	数据备份与恢复	1	2	3	4
10	剩余信息保护	0	1	2	2
11	个人信息保护	0	2	2	2

序号	控制点	一级	二级	三级	四级
1	系统管理	2	2	2	2
2	审计管理	2	2	2	2
3	安全管理	0	2	2	2
4	集中管控	0	0	6	7

《网络安全等级保护基本要求》（GB/T 22239-2019）标准解读

Baseline for Classified Protection of Cybersecurity (GB/T 22239-2019) Standard Interpretation

RichHTML

PDF (PC)

可视化

摘要/Abstract

引用本文

使用本文

图/表 15

参考文献 7

相关文章 2

编辑推荐

Metrics

本文评价

序号	控制点	一级	二级	三级	四级
1	安全策略	0	1	1	1
2	管理制度	1	2	3	3
3	制定和发布	0	2	2	2
4	评审和修订	0	1	1	1

序号	控制点	一级	二级	三级	四级
1	岗位设置	1	2	3	3
2	人员配备	1	1	2	3
3	授权和审批	1	2	3	3
4	沟通和合作	0	3	3	3
5	审核和检查	0	1	3	3

序号	控制点	一级	二级	三级	四级
1	人员录用	1	2	3	4
2	人员离岗	1	1	2	2
3	安全意识教育和培训	1	1	3	3
4	外部人员访问管理	1	3	4	5

序号	控制点	一级	二级	三级	四级
1	定级和备案	1	4	4	4
2	安全方案设计	1	3	3	3
3	安全产品采购和使用	1	2	3	4
4	自行软件开发	0	2	7	7
5	外包软件开发	0	2	3	3
6	工程实施	1	2	3	3
7	测试验收	1	2	2	2
8	系统交付	2	3	3	3
9	等级测评	0	3	3	3
10	服务供应商管理	2	2	3	3

序号	控制点	一级	二级	三级	四级
1	环境管理	2	3	3	4
2	资产管理	0	1	3	3
3	介质管理	1	2	2	2
4	设备维护管理	1	2	4	4
5	漏洞和风险管理	1	1	2	2
6	网络和系统安全管理	2	5	10	10
7	恶意代码防范管理	2	3	2	2
8	配置管理	0	1	2	2
9	密码管理	0	2	2	3
10	变更管理	0	1	3	3
11	备份与恢复管理	2	3	3	3
12	安全事件处置	2	3	4	5
13	应急预案管理	0	2	4	5
14	外包运维管理	0	2	4	4

序号	控制点	一级	二级	三级	四级
1	基础设施位置	1	1	1	1
2	网络架构	2	3	5	8
3	网络边界的访问控制	1	2	2	2
4	网络边界的入侵防范	0	3	4	4
5	网络边界的安全审计	0	2	2	2
6	集中管控	0	0	4	4
7	计算环境的身份鉴别	0	0	1	1
8	计算环境的访问控制	2	2	2	2
9	计算环境的入侵防范	0	0	3	3
10	镜像和快照保护	0	2	3	3
11	数据安全性	1	3	4	4
12	数据备份恢复	0	2	4	4
13	剩余信息保护	0	2	2	2
14	云服务商选择	3	4	5	5
15	供应链管理	1	2	3	3
16	云计算环境管理	0	1	1	1

序号	控制点	一级	二级	三级	四级
1	无线接入点的物理位置	1	1	1	1
2	无线和有线网络之间的边界防护	1	1	1	1
3	无线和有线网络之间的访问控制	1	1	1	1
4	无线和有线网络之间的入侵防范	0	5	6	6
5	移动终端管控	0	0	2	3
6	移动应用管控	1	2	3	4
7	移动应用软件采购	1	2	2	2
8	移动应用软件开发	0	2	2	2
9	配置管理	0	0	1	1

序号	控制点	一级	二级	三级	四级
1	感知节点的物理防护	2	2	4	4
2	感知网的入侵防范	0	2	2	2
3	感知网的接入控制	1	1	1	1
4	感知节点设备安全	0	0	3	3
5	网关节点设备安全	0	0	4	4
6	抗数据重放	0	0	2	2
7	数据融合处理	0	0	1	2
8	感知节点的管理	1	2	3	3

序号	控制点	一级	二级	三级	四级
1	室外控制设备防护	2	2	2	2
2	网络架构	2	3	3	3
3	通信传输	0	1	1	1
4	访问控制	1	2	2	2
5	拨号使用控制	0	1	2	3
6	无线使用控制	2	2	4	4
7	控制设备安全	2	2	5	5
8	产品采购和使用	0	1	1	1
9	外包软件开发	0	1	1	1

[1]	马力. 网络安全等级保护测评中结论产生的定量计算方法研究[J]. 信息网络安全, 2020, 20(3): 1-8.
[2]	陈广勇, 祝国邦, 范春玲. 《信息安全技术网络安全等级保护测评要求》（GB/T 28448-2019）标准解读[J]. 信息网络安全, 2019, 19(7): 1-8.