等保合规2022系列 | 一个中心+三重防护，助力企业等级保护建设更科学

上一篇短文——《等保合规2022系列 | 今年，关于等保你该了解什么？》中介绍了我国等级保护制度的相关内容，相信各位通过四个核心问题的问答能够对等级保护有了大致的了解，本文将针对2022年该怎么科学地开展等级保护建设以及等级保护建设对于企业有什么价值做进一步介绍。

一、等级保护核心建设思想

在上一篇文章中我们明确了开展等级保护建设工作的必要性，而等级保护建设的核心思想是 “一个中心，三重防护”，其主旨是要求等级保护对象的运营者建设“一个中心”管理下的“三重防护”体系，设计统一的安全管理中心分别对计算环境、区域边界、通信网络进行管理，建立以计算环境安全为基础，以区域边界安全、通信网络安全为保障，以安全管理中心为核心的网络安全整体纵深防御体系。“一个中心，三重防护”为等保建设指明了主线方向，是等保后续详细技术方案的主体框架。

二、山石等级保护2.0安全体系框架

山石网科设计的总体安全保护架构以等级保护“一个中心、三重防护”为核心指导思想，构建集技术、管理、运营于一体的全面的安全保障体系，以全面贯彻落实等级保护核心思想为目标，打造科学实用的网络安全防护能力、动态风险控制能力、可持续安全运营能力及闭环安全管理能力，切实保障用户的网络安全总体防护水平。

其中，安全管理体系：是为指引总体安全体系框架持续有效运行而采取的一系列管理措施的总和，内容主要包括建立健全网络安全管理制度、网络安全组织机构、风险管理安全策略等。

安全技术体系：是总体网络安全框架的重要抓手，是所有技术措施的总和，内容主要包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心以及核心产品自主可控安全等。

安全运营体系：是为保障管理措施和技术措施有效实现网络安全可持续运营而采取的一系列活动的总和，该体系是山石网科经过了十多年的技术积累，提出了全息、量化、智能、协同的全网可持续安全运营体系。总体思路是从被动防御变主动探查，深入内部找到潜在风险，围绕发展主线，以运营为核心，做到发展与安全并重，持续的加固网络，让用户看的全、摸得清、打得准、防得好，实现可持续安全运营。

三、2022年，从企业自身安全考虑做等保有什么价值

1、指导企业体系化构建自身网络安全能力

等级保护工作的开展很多时候都是伴随着企业合规建设需求而来，就像上篇软文所述，很多企业是为了不违法而去进行等保合规建设的，但其实作为网络的建设方，很多时候企业想要按照业务变化逐步扩建信息系统，但不知道该如何建设相应的安全防护体系，只能根据“你攻我防”的威胁现状，见招拆招，被动防御。很多企业亟需一个适用于各类网络安全建设的方法论，指导大家进行网络安全防护。

而等级保护建设正是指导企业进行完整体系化建设的最优解，事实上完成等级保护建设只是国家对于企业网络安全建设的基线要求，为企业构建了最基础的体系框架。在此基础上，企业应当针对自身实际业务情况，有针对性的进行网络安全能力增强建设，为自身业务的安全稳定运行保驾护航。

2、指引企业网络安全防护重心

在等级保护1.0时代，企业进行网络安全合规建设的时候往往选择针对易得分的安全要求进行响应，而不是针对高风险问题重点响应，这样做的后果就是导致很多企业的网络安全防护水平无法适应当前日趋严峻的网络安全形势，基于这一情况，等级保护2.0陆续出台了《网络安全等级保护测评高风险判定指引》和新版测评要求，对企业应当重点防护的方向给出了指引。

3、助力企业安全可靠的完成数字化转型

随着生产力系统发展成熟，企业数字化生产场景和生产工具的革新，新技术、新业务在发展，物联网、云计算、工控、移动、大数据等新的网络形态，使传统网络安全的范畴进一步拓展，要求网络安全体系也要随之升级。态势感知、攻防对抗、主动防御等安全理念开始流行，等级保护2.0在完美覆盖了上述场景的同时能够有效地提高企业网络安全建设的整体水平。实施网络安全等级保护制度有利于企业数字化转型过程中同步建设网络安全设施，保障网络安全与信息化建设相协调，为网络安全建设和管理提供系统性、针对性、可行性的指导和服务，有效控制网络安全建设成本，优化网络安全资源配置。