-
-
[分享]家庭和单位网络和系统安全
-
发表于: 13小时前 56
-
AI模型：Deepseek
仅供参考。
参考标准：
网络安全等级保护条例（征求意见稿）.doc
GB+17859-1999.pdf
GBT+22239-2019.pdf
GBT+22240-2020.pdf
GBT+25058-2019.pdf
GBT+25070-2019.pdf
GBT+28448-2019.pdf
GBT+28449-2018.pdf
GBT+39204-2022.pdf
关键信息基础设施安全保护条例（征求意见稿）.pdf
网络安全技术 关键信息基础设施安全检测评.pdf
一、家庭网络和系统安全：
家庭网络和系统不能直接套用附件中的等级保护、关基保护合规要求：
- 《网络安全等级保护条例（征求意见稿）》第二条明确“个人及家庭自建自用的网络除外”；
- GB/T 22239—2019 适用于“分等级的非涉密对象”的安全建设和监督管理；
- GB/T 22240—2020 适用于非涉密等级保护对象定级；
- GB/T 39204—2022 和《关键信息基础设施安全保护条例（征求意见稿）》适用于关键信息基础设施运营者。
因此，家庭网络不属于等级保护定级备案、等级测评和关基保护的强制对象。但可以借鉴这些标准中的通用安全思想，按“风险管理、纵深防护、持续运维”的思路做简化落地。
1. 先做家庭网络资产和风险梳理
可借鉴 GB/T 39204—2022 的“分析识别”和 GB/T 25058—2019 的对象分析思路：
- 列出家庭路由器/光猫、智能家居、NAS、家庭云盘、电脑、手机、摄像头等资产；
- 标出哪些设备承载重要数据或关系家庭安全，如摄像头、门锁、NAS、网银终端；
- 识别风险：默认口令、弱Wi-Fi密码、固件不更新、远程管理暴露、摄像头公网暴露、重要数据无备份等。
2. 路由器和边界防护
借鉴 GB/T 22239—2019 第一级/第二级“安全区域边界”和“安全计算环境”要求：
- 修改路由器/光猫默认管理口令，删除或禁用默认账户，避免共享账户（6.1.4.2）；
- 管理密码使用高强度、唯一密码，并定期更换；开启登录失败限制（6.1.4.1）；
- 关闭不需要的远程管理、端口映射、默认共享和高危端口，遵循最小开放原则（6.1.4.3）；
- 开启路由器防火墙，访问控制规则最小化，默认拒绝非必要入站访问（6.1.3.2）；
- 智能家居、摄像头等尽量放在独立访客网络或VLAN中，与电脑、NAS隔离。
3. Wi-Fi和无线接入安全
借鉴 GB/T 22239—2019 移动互联安全扩展要求：
- 无线接入开启认证，禁止WEP，使用WPA2/WPA3，口令长度至少8位以上，建议12位以上（6.3.2.2、7.3.2.2）；
- 关闭WPS、WEP等高风险功能，禁用不必要的SSID广播风险功能可参考第二级移动扩展要求（7.3.2.3）；
- 定期检查陌生设备接入，关闭不用的访客网络；
- 多个AP不要使用同一认证密钥（7.3.2.3.5）。
4. 终端和智能设备加固
借鉴 GB/T 22239—2019 安全计算环境要求：
- 电脑、手机、NAS、智能设备及时更新系统和固件，修补已知漏洞（6.1.9.4）；
- 安装防恶意代码软件并定期升级病毒库（6.1.4.4）；
- 遵循最小安装，关闭不需要的服务、共享和高危端口（6.1.4.3）；
- 为家人分配独立账户，不使用管理员账户日常上网，管理用户最小权限（7.1.4.2）；
- 移动应用从正规渠道安装，只允许可靠证书签名的应用运行（6.3.3.1、6.3.4.1）。
5. 数据备份和个人信息保护
借鉴 GB/T 22239—2019 数据备份恢复和个人信息保护要求：
- 重要数据做本地备份，必要时异地备份；家庭NAS/云盘重要资料定期恢复验证（6.1.4.7、7.1.4.8）；
- 重要数据加密存储，敏感文件不随意放在公共网盘；
- 智能设备仅采集必要个人信息，关闭不必要的隐私权限，禁止未授权访问和非法使用个人信息（7.1.4.10、8.1.4.11）；
- 使用家庭云服务时，关注数据存储位置、备份和隔离能力，可借鉴云计算扩展要求中数据境内、虚拟网络隔离、备份等思想（6.2、7.2）。
6. 运维、日志和应急
借鉴 GB/T 22239—2019 安全运维管理和 GB/T 25058—2019 运行维护思路：
- 保留路由器、NAS、重要终端的安全日志，定期查看异常登录、异常流量；标准中“日志留存六个月”是对网络运营者的要求，家庭不强制，但可借鉴；
- 定期自查：密码是否弱、固件是否更新、是否有多余账户、是否有陌生设备；
- 制定简单应急预案：断网、改密码、恢复备份、送修前清除数据；
- 家庭成员进行基本安全教育，不点陌生链接、不随意安装来源不明应用（6.1.7.3）。
7. 物理环境和设备处置
借鉴 GB/T 22239—2019 安全物理环境要求：
- 路由器、NAS、弱电箱放置在通风、防火、防潮、不易被随意触碰的位置；
- 供电使用稳压/防雷插排，避免频繁断电损坏设备；
- 报废或转卖设备前彻底清除数据，尤其是NAS、手机、电脑存储介质。
结论
家庭网络和系统不承担等级保护或关基保护的强制义务，但可按 GB/T 22239—2019 第一级/第二级通用要求做“简化基线”：**改默认口令、强Wi-Fi认证、关闭不必要服务、及时补丁、防恶意代码、重要数据备份、隔离智能设备、定期自查和应急**。如果家庭网络用于单位业务或对外提供服务，则可能涉及单位等级保护对象边界，应按单位安全管理制度处理。
二、单位网络和系统安全：
根据附件标准，单位网络和系统保证安全的基本路径是：以网络安全等级保护制度为基础，先定级、再建设整改、持续测评自查和运维改进；如果属于关键信息基础设施，还要叠加关基重点保护要求；涉密网络再叠加保密和密码管理要求。 不能只靠买安全设备，而要按“管理+技术、一个中心三重防护、全生命周期闭环”来做。
一、先明确适用制度：一般单位走等保，关基单位叠加关基保护
1. 一般单位网络和系统：适用《网络安全等级保护条例（征求意见稿）》和 GB/T 22239—2019、GB/T 22240—2020、GB/T 25058—2019、GB/T 25070—2019、GB/T 28448—2019、GB/T 28449—2018。
- 条例第三条：国家实行网络安全等级保护制度，对网络实施分等级保护、分等级监管。
- 条例第六条：网络运营者应依法开展网络定级备案、安全建设整改、等级测评和自查等工作，采取管理和技术措施保障网络基础设施安全、运行安全、数据安全和信息安全。
2. 关键信息基础设施运营者：在等保基础上实行重点保护。GB/T 39204—2022 要求从分析识别、安全防护、检测评估、监测预警、主动防御、事件处置六个方面开展保护。关基条例征求意见稿第六条也明确“在网络安全等级保护制度基础上，实行重点保护”。
3. 涉密网络：按涉密网络分级保护、保密管理和密码管理要求执行；非涉密网络按密码管理要求使用合规密码技术和产品。
二、一般单位：按等保“定级—备案—建设整改—测评—自查—监督”闭环落实
1. 确定定级对象和安全保护等级
依据 GB/T 22240—2020：
- 先确定定级对象：应具有确定的主要安全责任主体、承载相对独立的业务应用、包含相互关联的多个资源；避免把单个服务器、终端或网络设备作为定级对象。
- 按“受侵害的客体”和“对客体的侵害程度”定级：客体包括公民法人合法权益、社会秩序公共利益、国家安全；侵害程度分一般、严重、特别严重。
- 分别确定业务信息安全保护等级和系统服务安全保护等级，取较高者作为定级对象安全保护等级。
- 第二级以上应组织专家评审；有行业主管部门的报主管部门核准；确定等级后10个工作日内到县级以上公安机关备案。第一级可自行确定，一般不进行专家评审、核准和备案审核。
- 云计算平台/系统、云服务客户侧系统分别定级；物联网、工控、移动互联按标准确定定级对象。
2. 同步规划、同步建设、同步运行安全措施
条例第四条要求网络运营者在网络建设过程中“同步规划、同步建设、同步运行网络安全保护、保密和密码保护措施”。GB/T 25058—2019 的实施流程包括：定级与备案、总体安全规划、安全设计与实施、安全运行与维护、定级对象终止。单位应：
- 在立项和规划设计阶段确定安全等级和安全需求；
- 安全方案与信息化方案同步设计、同步实施；
- 上线前开展安全性测试；第三级以上新建网络应委托等级测评机构测评，通过后方可投入运行（条例第二十二条）。
3. 技术层面：按“一个中心、三重防护”建设
GB/T 25070—2019 提出安全计算环境、安全区域边界、安全通信网络和安全管理中心的框架。GB/T 22239—2019 按安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心，以及安全管理制度、机构、人员、建设管理、运维管理提出要求。单位应至少落实：
- 安全物理环境：机房位置、门禁、防盗防破坏、防雷、防火、防水防潮、防静电、温湿度、电力供应、电磁防护。
- 安全通信网络：网络架构分区、重要区域隔离、通信传输完整性/保密性、可信验证；第三级以上还应带宽和硬件冗余、密码技术保证通信保密性。
- 安全区域边界：边界防护、访问控制默认拒绝、最小化规则、入侵防范、恶意代码和垃圾邮件防范、安全审计、可信验证；第三级以上要能检测内外网攻击、对远程访问和互联网行为单独审计。
- 安全计算环境：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性/保密性、数据备份恢复、剩余信息保护、个人信息保护；第三级以上要求双因子鉴别、强制访问控制、审计进程保护、重要数据密码保护、热冗余等。
- 安全管理中心：系统管理、审计管理、安全管理、集中管控；第三级以上要求集中监测、日志集中分析、安全策略/恶意代码/补丁集中管理、安全事件识别报警。
- 扩展要求：采用云计算、移动互联、物联网、工业控制系统的，还要落实 GB/T 22239—2019 相应安全扩展要求，如云平台不承载高于自身等级的业务、虚拟网络隔离、镜像快照保护、移动终端管控、感知节点接入控制、工控区域隔离和协议过滤等。
4. 管理层面：制度、机构、人员、建设、运维五位一体
按 GB/T 22239—2019 安全管理要求：
- 安全管理制度：制定总体方针和安全策略，建立管理制度、操作规程、记录表单体系，正式发布并版本控制，定期评审修订。
- 安全管理机构：设立职能部门、安全主管、系统管理员、审计管理员、安全管理员等岗位；第三级以上应成立网络安全委员会或领导小组，配备专职安全管理员，重要审批逐级审批。
- 安全管理人员：人员录用审查、安全背景审查、保密协议、岗位责任协议；人员离岗及时终止权限、收回设备；定期安全教育和技能培训；外部人员访问审批、陪同、登记、离场清权。
- 安全建设管理：定级备案、安全方案设计、产品采购、自行/外包软件开发、工程实施、测试验收、系统交付、等级测评、服务供应商管理。第三级以上外包开发要审查源代码、后门和隐蔽信道，工程实施引入第三方监理。
- 安全运维管理：环境管理、资产管理、介质管理、设备维护、漏洞和风险管理、网络和系统安全管理、恶意代码防范、配置管理、密码管理、变更管理、备份恢复、安全事件处置、应急预案、外包运维管理。
5. 测评、自查和整改
- 第三级以上网络运营者应每年至少开展一次等级测评，发现整改风险隐患，并向备案公安机关报告测评结果和整改情况（条例第二十三条）。
- 网络运营者应每年至少一次自查，发现隐患及时整改并报告（条例第二十五条）。
- 测评依据 GB/T 28448—2019 和 GB/T 28449—2018，形成单项测评、单元测评、整体测评、风险分析和结论；结论为符合、基本符合、不符合，不符合或基本符合的要整改。
- 公安机关对第三级以上网络运营者每年至少开展一次安全检查；发现隐患责令立即消除或限期整改。
6. 监测预警、应急和事件处置
- 地市级以上人民政府建立监测预警和信息通报制度；第三级以上网络运营者建立本单位监测预警和信息通报制度，向同级公安机关和行业主管部门报送预警信息、报告事件（条例第三十条）。
- 第三级以上网络运营者制定网络安全应急预案，定期演练；处置事件保护现场、记录留存、及时报告（条例第三十二条）。
- 发生案事件24小时内向属地公安机关报告；泄露国家秘密同时向保密部门报告（条例第二十条）。
7. 数据、个人信息、密码和供应链
- 建立重要数据和个人信息安全保护制度，数据收集、存储、传输、使用、提供、销毁全过程保护，重要数据异地备份（条例第三十一条）。
- 仅采集业务必需个人信息，禁止未授权访问和非法使用；落实数据分类、重要数据备份和加密。
- 按密码管理要求使用国家密码管理部门认可的密码技术、产品和服务；第三级以上网络应采用密码保护并开展密码应用安全性评估（条例第四十七条）。
- 采购网络产品和服务符合国家规定；第三级以上采用与等级相适应的产品，重要部位产品专项测试；可能影响国家安全的通过网络安全审查（条例第二十八条）。
三、关基运营者：在等保第三级基础上叠加六方面重点保护
GB/T 39204—2022 要求：
1. 分析识别：识别关键业务和外部依赖，梳理关键业务链，识别关键资产并确定防护优先级，按 GB/T 20984 开展风险识别，重大变更重新识别并更新资产清单。
2. 安全防护：落实等保制度；制定网络安全保护计划并每年至少修订一次；成立网络安全工作委员会或领导小组，明确首席网络安全官、专门安全管理机构、每个关基的安全管理责任人；关键岗位专人并2人以上共同管理，每年教育培训不少于30学时；通信线路“一主双备”多运营商多路由，宜双节点冗余；建立不同等级、不同业务、不同区域、不同运营者系统之间的安全互联策略；边界严格控制互操作、数据交换和信息流向，动态发现管控未授权设备；网络审计日志留存不少于6个月；重要业务操作动态身份鉴别或多因子，重要数据资源基于安全标记访问控制；提升APT入侵防范和主动阻断；用自动化工具管理账户、配置、漏洞、补丁、病毒库；建设改造升级落实“三同步”；运维地点境内，境外运维合规，运维工具登记备案和恶意代码检测；供应链安全保护包括合格供应方目录、采购国家检测认证产品、网络安全审查、安全保密协议、源代码安全检测、重大风险报告；数据安全防护包括分类分级、境内存储、出境评估、加密脱敏去标识化、异地备份、退役废弃数据处理。
3. 检测评估：建立检测评估制度，每年至少一次自行或委托机构检测评估并整改；多运营者定期组织或参加跨运营者检测评估；内容覆盖制度落实、机构人员经费、教育培训、等保落实、商用密码评估、技术防护、数据安全、供应链、云服务安全评估、风险评估、应急演练、攻防演练等；重大变化后检测评估并整改后方可上线；经批准可模拟网络攻击检测防护响应能力；配合抽查检测并提供资料。
4. 监测预警：建立常态化监测预警和信息通报制度，明确预警分级、监测策略和流程；部署攻击监测设备；对关键业务系统监测，建立通信流量/事态模型减少误报漏报；全面收集日志，构建违规操作、攻击入侵、异常行为模型；自动化整合分析安全态势；关联审计日志、物理访问、供应链和人员信息；根据态势调整安全策略。
5. 主动防御：收敛暴露面，减少IP、端口、应用服务暴露，压缩互联网出口，减少组织架构、邮箱、通信录等内部信息暴露，不在公共存储空间存放拓扑图、源代码、IP规划等技术文档；分析攻击方法，针对DDoS等制定防护策略，设置多道防线，采取捕获、干扰、阻断、封控、加固，切断攻击路径；开展溯源和攻击者画像；关联分析攻击意图、技术过程并改进策略；定期组织攻防演练，跨组织跨地域参加实网演练，不适合实网则沙盘推演，将核心供应链和上下游纳入演练；建立内外部威胁情报共享机制。
6. 事件处置：建立事件管理制度、分类分级、处置流程和应急预案；建立应急支撑队伍和专家队伍；按规定参与应急演练、应急处置、案件侦办；预案明确关键业务功能、恢复时间，与业务连续性计划、灾备计划、外部服务者应急计划协调；每年至少1次应急演练，跨组织跨地域定期组织或参加；事件报告、通报、处置恢复、取证分析、总结改进；根据发现隐患和风险变化重新识别业务、资产和风险，更新安全策略。
关基检测评估方法编制说明还提出“基线检测评估+实战化检测评估+极限生存检测评估”三层框架，并明确关基检测评估应复用等级测评结果，避免重复测评。
四、单位落地时建议抓住的关键点
1. 先定级，不要漏定级对象：特别是云平台、物联网、工控、移动互联、大数据平台等要分别分析。
2. 按等级选要求：第一级做基本自主保护；第二级做审计、客体重用、自主访问控制等；第三级做双因子、强制访问控制、集中管控、密码保护、热冗余、每年测评；第四级做结构化保护、形式化安全策略模型、所有执行环节可信验证等。不要低配，也不宜盲目超配。
3. 技术与管理并重：等保测评不只看设备，也看制度、机构、人员、建设运维记录。
4. 持续运维：漏洞修补、配置核查、日志审计、变更审批、备份恢复演练、应急预案演练、供应链管理要常态化。
5. 关基单位要额外做：关键业务链梳理、资产清单和优先级、年度检测评估、监测预警、主动防御、攻防演练、供应链和数据安全、事件处置和重新识别。
6. 涉密和密码：涉密网络按保密规定和标准做分级保护、方案审查、设备产品选型、测评审查和风险评估；非涉密网络按密码管理要求使用合规密码产品，第三级以上开展密码应用安全性评估。
总结： 单位网络和系统保证安全，一般单位应走“定级备案—同步建设—落实一个中心三重防护—管理制度机构人员建设运维—等级测评和自查整改—监测应急”的等保闭环；关基运营者在此基础上叠加“分析识别、安全防护、检测评估、监测预警、主动防御、事件处置”重点保护；涉密网络再叠加保密和密码管理。这样既满足附件标准的合规要求，也能形成持续的安全保护能力。
赞赏
|
