本书以总体国家安全观为根本遵循，对网络安全评估方法进行了详细介绍，基于《中华人民网络安全法》《中华人民共和国密码法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规，网络安全等级保护2.0标准体系，以及金融、电力和广电等行业和大数据、密码应用测评等专业近年来的应用实践，系统全面地设计和构建了网络安全评估标准体系。本书面向政府、企业、行业协会、科研院所、高等院校和网络安全专业测评咨询服务机构的领导者、管理者和技术从业者，是网络安全领导者和管理者的履责指引，是网络安全测评咨询服务从业者的实战手册，也适合作为各类院校网络空间安全专业师生的教材或参考书。

推荐序 构建和使用安全可信主动免疫的网络安全评估标准 当前，网络空间已经成为继陆、海、空、天之后的第五大主权领域空间。没有网络安全就没有国家安全，安全是发展的前提。《中华人民共和国网络安全法》第十六条规定，国务院和省、自治区、直辖市人民政府应当统筹规划，加大投入，扶持重点网络安全技术产业和项目，支持网络安全技术的研究开发和应用，推广安全可信的网络产品和服务，保护网络技术知识产权，支持企业、研究机构和高等学校等参与国家网络安全技术创新项目。《国家网络空间安全战略》提出“夯实网络安全基础”，强调“尽快在核心技术上取得突破，加快安全可信的产品推广应用”。《关键信息基础设施安全保护条例》第十九条明确要求“运营者应当优先采购安全可信的网络产品和服务；采购网络产品和服务可能影响国家安全的，应当按照国家网络安全规定通过安全审查”。 为什么要特别强调使用安全可信的网络产品和服务？大家都知道，我一直强调，网络安全风险源于图灵机模型原理少攻防理念、冯·诺依曼结构缺防护部件和工程应用无安全服务等先天脆弱性缺陷。再加上人们对认知逻辑的局限性，在设计网络和信息系统时，不能穷尽所有逻辑组合，必定存在大量未处理的逻辑缺陷，从而形成了难以应对人为利用逻辑缺陷进行攻击的风险，保障网络安全也成为永远的课题。通常采用的“封堵查杀”的安全防护模式，难以应对利用逻辑缺陷的攻击，反而增加了自身的脆弱性。因此，我们要使用安全可信的网络产品和服务，其特征就是采用“在计算运算的同时进行全方位动态安全防护”的创新计算模式，即以密码为基因产生抗体，实现身份识别、状态度量、保密存储等功能，及时识别自己和非己成分，从而破坏和排斥进入机体的有害入侵，确保计算任务的逻辑组合不被利用，同时能完成预期的计算目标。这与人体免疫是类似的。这就是我一直提倡的具备安全可信主动免疫能力的可信计算技术。 《中华人民共和国网络安全法》确定了网络安全等级保护是国家网络安全保障的基本制度、基本策略和基本方法。等级保护2.0标准从当前安全形势出发，将可信计算列为其核心防御技术，并在此基础上提出了“一个中心，三重防护”的体系设计总体思路，更加注重全方位的主动防御、动态防御、精准防护和整体防控。在等级保护2.0标准体系中，根据不同等级的安全要求，从第一级到第四级的等级保护要求中均在“安全通信网络”“安全区域边界”“安全计算环境”中增加了“可信验证”控制点，针对访问控制的主体、客体、操作和执行环境进行不同完备程度的可信验证，并对三级、四级网络中的安全管理中心中提出了“可信验证策略配置”的功能要求。从本体安全的角度看，要将可信计算技术要求植入基础软硬件和网络。例如，把可信验证要求植入芯片、CPU、服务器、操作系统、数据库等基础软硬件；植入网络设备、网络安全产品，解决底层安全问题；植入安全管理中心、安全通信网络、安全区域边界和安全计算环境，实现对网络要素全覆盖；植入整机、云计算平台、物联网、工控系统、移动互联网。也就是说，所有的芯片、CPU、服务器、操作系统、数据库等基础软硬件厂商及安全产品、安全集成、安全建设厂商，都要将可信计算融入相应产品和工程服务的设计、研发、实施和交付过程。特别是重要行业和企业，都要把可信计算融入网络系统的规划、设计、建设和运营的生命周期全过程管理。 由此可见，可信计算是等级保护的关键支撑技术，对落实网络安全等级保护制度发挥着重要作用。等级保护2.0标准体系全面采用了具备主动免疫的可信计算3.0技术架构，针对不同等级的安全要求，在计算环境、区域边界、通信网络、安全管理中心的各计算节点上实现不同完备程度的信任传递，既符合等级保护的“适度安全”原则，又提升了工程的可实施性，落实了“常态化、体系化、实战化”的管理要求，实现了对国家关键信息基础设施、重要网络、重要数据的“动态防御、主动防御、纵深防御、精准防护、联防联控、整体防控”措施要求，将国家网络安全等级保护防御体系提升到了一个新的科学高度。 本书作者借鉴了国际核能领域在核安全领域的同行评估理念、标准、方法和成功实践，以国家网络安全等级保护2.0系列标准为基准，全面融入了金融、电力和广播电视等行业在实施等级保护2.0标准和应用可信计算技术3.0等方面的成功实践，包括金融和广电等行业的网络安全等级保护基本要求和测评要求，电力行业的电力监控系统网络安全防护评估准则和评估指南，面向政府和企事业单位的各级领导者、管理者、技术从业者、用户、产品研发和技术支持专业机构履职尽责和能力提升需求，将网络安全“三同步”原则、“三化六防”措施、基于“安全可信主动免疫”和“信创体系”的本体安全、基于“聚焦管理改进”和“打造网络安全文化”的本质安全等理念和要求，从安全领导力、安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全建设管理、安全运维管理、安全监测防护和安全管理保障等九个维度进行了全面梳理、系统设计和归类编排，构建了符合等级保护2.0标准体系与可信计算3.0技术架构要求的网络安全评估标准，这是网络安全管理方式和社会化服务体系的一种创新探索和有益实践。本书的专业性、易用性和权威性很强，值得在各单位开展网络安全测评、评估和整改提升等工作中推广使用。 沈昌祥 中国工程院院士 中央网信办专家咨询委员会顾问 国家集成电路产业发展咨询委员会委员 国家三网融合专家组成员 推荐序2 开展网络安全同行评估 提升关键信息基础设施防护能力 2017年6月1日《中华人民共和国网络安全法》正式颁布，首次在法律层面明确关键信息基础设施概念，明确要求保护关键信息基础设施免受攻击、侵入、干扰和破坏，依法惩治网络违法犯罪活动，维护网络空间安全和秩序。2021年9月1日，《关键信息基础设施网络安全保护条例》正式施行，旨在建立专门保护制度，明确各方责任，提出保障促进措施，保障关键信息基础设施安全及维护网络安全。条例第四条规定，关键信息基础设施安全保护坚持综合协调、分工负责、依法保护，强化和落实关键信息基础设施运营者主体责任，充分发挥政府及社会各方的作用，共同保护关键信息基础设施安全。 金融、能源、电力、通信、交通等领域的关键信息基础设施和重要信息系统同其领域的管理模式、生产方式等紧密相关，专业性强、技术性强。怎样通过“检测评估”又快又好地发现设施和系统存在的问题和风险，并采取有效措施，是上级部门、运营者及第三方机构等需要共同应对的挑战。同行评估是国际核电领域比较独特的、成熟的行业经验反馈与共享机制，同行评估是指受评方在组织单位的统一协调下，由受评方之外的同行专家组成的评估队，对受评方指定的评估领域，实施综合或专项评估，找出管理强项和待改进项，强项供行业共享，待改进项提交受评方作为其制定实施改进行动的输入，并根据受评方的要求对待改进领域的整改活动进行跟踪回访，从而促使受评方开展以持续改进和追求卓越为目的的行业自律管理活动。同行评估的理念、目标、方法等同样非常适用于网络安全的评估，特别是重要领域的网络安全评估，并极具领域“专业性”的突出特点。 始于2016年，中国核能行业协会网络与信息安全专题工作组在充分调研和总结的基础上，依据《中华人民共和国网络安全法》及网络安全等级保护2.0标准体系等的要求，创新性的将“同行评估”引入到国内网络安全领域。经充分准备，2018年11月，中国核能行业协会信息化专业委员会与核电运行分会率先针对核电厂网络安全进行了首次同行评估，评估工作从总体安全、管理安全、技术安全、运维安全和监督检查等领域开展。2019年至2021年，又先后组织开展了多次网络安全专项同行评估，效果明显、成果突出，均得到受评方的一致好评。我作为特邀专家和观察员，全程参与了2019年的同行评估，深感同行评估有六大突出特点：一是评估单位的选择系“自觉自愿”，同行评估由被评估单位自愿提出，经组织方协商确定；二是整个评估过程氛围“友好开放”，被评估单位主管领导、领域接口负责人等，畅谈业绩目标、实施的措施、痛点、难点等；三是评估过程自然有序，不搞“突然袭击”，所有观察意见都由评估队的相关人员充分与受评方沟通并确认；四是评估结果不针对个人的“绩效表现”，而是针对组织进行评审，聚焦管理改进；五是评估实施是一种帮助和经验分享，而不是检查和督查；六是所有人员将“负责保密，履行保密承诺”作为同行评估的一种文化共识。 开展网络安全同行评估暨通过业内同行评估，帮助被评运营者提升网络安全保护能力，识别待改进领域，发现强项以供其他运营者共享，待改进项提交受评运营者作为其制定实施改进行动的输入，促使评估队员和受评运营者了解同行网络安全工作的不同实践并增进沟通、交流，实现提升被评估运营者乃至整个行业的网络安全保护水平，营造共享、共治、共赢的良好局面。《关键信息基础设施条例》要求运营者设置专门的安全管理机构，并应当履行“组织推动网络安全防护能力建设，开展网络安全监测、检测和风险评估”的工作职责，网络安全同行评估恰恰是落实这一要求的有效措施，并以此指导运营者履行好条例要求，促进网络安全保护措施与关键信息基础设施同步规划、同步建设、同步使用，建立健全网络安全保护制度和责任制度，保障人力、财力、物力投入等相关工作的开展。 开展网络安全同行评估是一项政策性、技术性、规范性要求很强的工作。为更好地做好网络安全同行评估工作，作者基于其长期从事网络安全领域的研究与实践成果，结合作者亲自参加网络安全同行评估和攻防实战体会编写了本书，本书内容详实全面，专业性、实用性和可操作性都很强，为从事网络安全同行评估研究、实践的人员提供了一本实战型的教科书。在此我郑重的向广大读者推荐这本书，也希望广大网络安全工作者不忘初心、砥砺前行。 李冰 国家信息技术安全研究中心原副主任 工业控制系统产业联盟网络安全专业委员会主任委员 前言 近些年来，全球范围内网络安全事件频发，现实的挑战日益严峻。没有网络安全就没有国家安全，就没有经济社会稳定运行，广大人民群众利益也难以得到保障。网络安全作为国家安全的重要组成部分，已经受到党和国家以及社会各界的高度重视。从2017 年6月1日起《中华人民共和国网络安全法》施行以来，《中华人民共和国密码法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》《网络安全审查办法》《党委（党组）网络安全工作责任制实施办法》《中央企业负责人经营业绩考核办法》等法律法规和条例要求陆续颁布施行。 从2018年开始，贯彻落实以上网络安全法律法规和条例要求的一系列网络安全标准也相继发布。其中，《信息安全技术 网络安全等级保护基本要求》（GB/T 22239—2019）和《信息安全技术 网络安全等级保护测评要求》（GB/T 28448—2019），形成了国家网络安全等级保护2.0标准体系的核心，成为促进和支撑政府部门和各行各业有效开展网络安全等级保护定级、测评、整改和持续提升网络安全保障能力的基础标准，成为贯彻落实“网络安全三同步”“提升网络系统本体安全水平”“构建常态化实战化网络安全综合防御体系”的工作依据。当前，无论是政府各部门，还是企事业各单位，无论是“一把手”“分管领导”“网络安全部门负责人”“网络安全从业人员”，还是“单位内部IT用户”“数字化产品和网络安全产品的研发者、供应商和服务商”“网络安全咨询和技术服务的专业机构”，面对日新月异的新技术应用和新安全挑战，如何站在国家安全、社会安全、企业安全和人民利益安全的高度，全面掌握和有效应用等级保护2.0系列标准及重要行业或新技术领域中的有效实践，尽到“谁主管谁负责、谁建设谁负责、谁供货谁负责、谁使用谁负责”的网络安全防护责任和义务，构建各司其职、有效协同的网络安全生态，已经变得十分必要和重要。 在长期的网络安全管理和工作实践中，笔者深切感受到“依法治网”“依标强网”和落实“网络安全三同步”原则以及“三化六防”措施的必要性和紧迫性。当前，“网络安全领导力不足、网络安全管理体系不完善、技术体系和措施执行不到位、重技术轻管理、重投产后修补加固轻本体安全源头设计、重当前头痛医头轻持续能力提升、重数字化建设轻网络安全建设和常态化监测运营”等，已经成为“持续守住打赢”的共性顽症。笔者借鉴国际核能领域开展核安全同行评估的最佳实践，结合网络安全工作的特点和规律，这些年一直坚持在实战中学习磨炼，不断探索总结，提出了网络安全同行评估的工作体系、标准、流程、工具和方法，并作为评估队的领队或队长，完成了多次评估实战，获得了受评方以及业界专家的充分肯定。其中，最核心的实战成果，就是基于业绩目标导向的网络安全评估标准及其使用指引。 基于业绩目标导向的网络安全评估标准，应该明确网络安全领域所追求的管理绩效目标，符合国家法律法规和条例要求，满足网络安全核心技术标准，融合领先行业最佳管理实践，具有权威性、专业性和易用性。本书以总体国家安全观为根本遵循，以贯彻落实《中华人民共和国网络安全法》《中华人民共和国密码法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规为基本要求，以《关键信息基础设施安全保护条例》和行业主管部门相关指导意见为基本指引，针对网络安全领域存在的共性顽症，提出了网络安全领导力、网络安全分级业绩目标与责任制、从“止于合规”到“持续守住打赢”的网络安全工作目标及实战化驱动的网络安全能力评估等新理念、新方法和新措施。以《信息安全技术 网络安全等级保护基本要求》（GB/T 22239—2019）第四级基本要求为主体架构，集成应用《信息安全技术 网络安全等级保护测评要求》《信息安全技术 信息系统密码应用基本要求》《信息安全技术 网络安全等级保护大数据基本要求》和相关高风险判定指引，充分融合国内金融、电力和广电等行业及大数据、密码应用测评等专业在网络安全领域的领先实践，面向领导者、管理者、技术从业者、用户、产品研发和技术支持专业机构的责任与能力要求，进行了全面梳理、系统设计和归类编排，构建权威、专业、有效且易于使用的网络安全评估标准体系。图0-1列示了本书的内容框架。 图0-1 《网络安全评估标准实用手册》内容框架 笔者发自内心地期望本书的探索、实践和总结，能够为政府各部门和企事业单位的网络安全与数字化转型工作领导者、管理者和网络安全技术从业者，各行业协会学会、咨询公司和专业机构从事网络安全规划、咨询、测评、评估等相关从业者，高等院校网络空间安全专业的教师、研究生和本专科学生，以及其他涉及或关注网络安全工作的所有同行者，提供一套更系统地认识、更有效地评估和更从容地应对网络安全挑战的思维方式、业绩目标、评估准则和使用指引。由于作者水平有限，恳请各位同行积极反馈您的宝贵意见，以便再版时充实补正，在此深表感谢。 邹来龙 2022年5月于上海

目录 第1章 网络安全评估标准设计和使用说明 1 1.1　网络安全评估标准设计原则 3 1.2　网络安全评估标准设计要点 4 1.3　网络安全评估标准总体结构 16 1.4　网络安全评估标准使用要点 21 第2章 网络安全领导力评估准则及使用指引 25 2.1　网络安全观和承诺SL1 26 2.2　网络安全组织与责任SL2 28 2.3　网络安全综合防御体系SL3 30 2.4　网络安全支持和促进SL4 32 2.5　网络安全文化SL5 34 2.6　网络安全规划与能力建设SL6 35 第3章 安全物理环境评估准则及使用指引 38 3.1　物理位置选择PE1 38 3.2　物理访问控制PE2 43 3.3　机房物理防护PE3 45 3.4　电力供应PE4 50 第4章 安全通信网络评估准则及使用指引 53 4.1　网络架构SN1 54 4.2　云计算网络架构SN2 57 4.3　工业控制系统网络架构SN3 60 4.4　通信传输SN4 63 4.5　可信验证SN5 66 4.6　大数据安全通信网络SN6 67 第5章 安全区域边界评估准则及使用指引 69 5.1　边界防护RB1 70 5.2　边界访问控制RB2 72 5.3　入侵、恶意代码和垃圾邮件防范RB3 76 5.4　边界安全审计和可信验证RB4 79 5.5　云计算边界入侵防范RB5 82 5.6　移动互联边界防护和入侵防范RB6 84 5.7　物联网边界入侵防范和接入控制RB7 86 5.8　工业控制系统边界防护RB8 88 第6章 安全计算环境评估准则及使用指引 91 6.1　身份鉴别CE1 92 6.2　访问控制CE2 97 6.3　安全审计和可信验证CE3 101 6.4　入侵和恶意代码防范CE4 105 6.5　数据完整性和保密性CE5 111 6.6　数据备份恢复CE6 118 6.7　剩余信息和个人信息保护CE7 121 6.8　云计算环境镜像和快照保护CE8 126 6.9　移动终端和应用管控CE9 127 6.10　物联网设备和数据安全CE10 129 6.11　工业控制系统控制设备安全CE11 133 6.12　大数据安全计算环境CE12 135 第7章 安全建设管理评估准则及使用指引 143 7.1　定级备案和等级测评SC1 144 7.2　方案设计和产品采购SC2 146 7.3　软件开发SC3 151 7.4　工程实施与测试交付SC4 154 7.5　服务供应商的选择SC5 157 7.6　移动应用安全建设扩展要求SC6 161 7.7　工业控制系统安全建设扩展要求SC7 162 7.8　大数据安全建设扩展要求SC8 163 第8章 安全运维管理评估准则及使用指引 165 8.1　环境管理SO1 166 8.2　资产和配置管理SO2 168 8.3　设备维护和介质管理SO3 170 8.4　网络和系统安全管理SO4 173 8.5　漏洞和恶意代码防范SO5 178 8.6　密码管理SO6 180 8.7　变更管理SO7 184 8.8　备份与恢复管理SO8 186 8.9　外包运维管理SO9 188 8.10　物联网感知节点管理SO10 189 8.11　大数据安全运维管理SO11 191 第9章 安全监测防护评估准则及使用指引 194 9.1　安全管理中心MP1 195 9.2　集中管控MP2 197 9.3　云计算集中管控MP3 200 9.4　安全事件处置MP4 202 9.5　应急预案管理MP5 204 9.6　情报收集与利用MP6 207 9.7　值班值守MP7 208 9.8　实战演练MP8 210 9.9　研判整改MP9 211 第10章 安全管理保障评估准则及使用指引 213 10.1　安全策略和管理制度SM1 214 10.2　岗位设置和人员配备SM2 217 10.3　授权审批和沟通合作SM3 221 10.4　安全检查和审计监督SM4 223 10.5　人员录用和离岗SM5 225 10.6　安全教育和培训SM6 228 10.7　外部人员访问管理SM7 230 附录A 网络安全评估领域代码对照表 233 附录B 网络安全评估领域及各子领域业绩目标汇总表 234 附录C 网络安全评估准则评估项与等级保护基本要求条款详细对照表 242 参考文献 249 致谢