我經常在和人探討等級保護時會注意區(qū)別等級保護制度和等級保護測評之間的關系。因為,社會上或者說市場上,大家把等級保護測評等同于等級保護的人太多了,所以在這里有必要再做一次區(qū)分。
首先,我們要知道等級保護制度是以公安機關為主導的一項國家基本國策,而在1.0時代,我們知道關于等級保護相關政策文件,都是以國信辦、公安部、國家密碼管理、國家保密局四家單位聯合發(fā)布!缎畔踩燃壉Wo管理辦法》中也明確了,等級保護涵蓋三個大方向的內容,即公安機關監(jiān)管的非涉密信息系統(tǒng)、國家保密局監(jiān)管的涉密信息系統(tǒng)以及國家密碼管理監(jiān)管的密碼方向。所以,在1.0時代這三者共同組成了我們的1.0時代的等級保護。
而到了2.0時代,《網絡安全法》第二十一條明確了國家實行網絡安全等級保護制度。在歷史沿革中,我們常常用信息安全,經《網絡安全法》確定后“信息安全”屬于上改為“網絡安全”,有歷史原因,但是這二者是同質異名,而網絡安全的范疇更廣了。網絡安全法對該制度的名稱作了調整,改為網絡安全等級保護制度,對其主要內容作了規(guī)定。國務院有關部門應當根據本法完善相關配套規(guī)定,確保網絡安全等級保護制度落到實處。
回到今天的主題,其實大家接觸密碼評估是近兩年的事情,很多朋友對這個的理解和前幾年對等級保護的理解是一樣的,總認為這事情是突然一聲炸雷一下,蹦出來的事務。其實不然,在《信息安全等級保護管理辦法》是2007年6月22日發(fā)布,而國家密碼管理局同年11月27日發(fā)布了《信息安全等級保護商用密碼管理辦法》,而這個管理辦法的制定依據是《信息安全等級保護管理辦法》《商用密碼管理條例》,再次以文件的形式明確密碼管理是等級保護的一部分,當然也再次否定所謂做測評就是過等級保護這個誤解。
等級保護工作要求“三同步”,在規(guī)劃之初就需要考慮滿足等級保護相關政策和標準要求,大家在落實等級保護過程中,是落實等級保護制度要求,所以在這里需要考慮滿足非涉密系統(tǒng)(以非涉密系統(tǒng)為例)的技術和管理要求,所以需要在規(guī)劃之初考慮《信息安全技術 網絡安全等級保護基本要求》《信息安全技術 信息系統(tǒng)密碼應用基本要求》等國家標準,根據要求依據對應的技術標準考慮如何實現對應的要求,在方案里予以明確,依據國家標準進行安全建設。