烟台办理网络安全等级保护基础要求

　《信息安全技术信息系统安全等级保护基本要求》(GB/T 22239-2008)在我国推行信息安全等级保护制度的过程中起到了非常重要的作用, 被广泛用于各行业或领域, 指导用户开展信息系统安全等级保护的建设整改、等级测评等工作[1]。随着信息技术的发展, 已有10年历史的《GB/T 22239-2008》在时效性、易用性、可操作性上需要进一步完善。2017年《中华人民共和国网络安全法》[2]实施, 为了配合国家落实网络安全等级保护制度[3], 也需要修订《GB/T 22239-2008》。

　　2014年, 全国信息安全标准化技术委员会(以下简称安标委)下达了对《GB/T 22239-2008》进行修订的任务。标准修订主要承担单位为公安部第三研究所(公安部信息安全等级保护评估中心), 20多家企事业单位派人员参与了标准的修订工作。标准编制组于2014年成立, 先后调研了国际和国内云计算平台、大数据应用、移动互联接入、物联网和工业控制系统等新技术、新应用的使用情况, 分析并总结了新技术和新应用中的安全关注点和安全控制要素, 完成了基本要求草案第一稿。

　　2015年2月至2016年7月, 标准编制组在草案第一稿的基础上, 广泛征求行业用户单位、安全服务机构和各行业/领域专家的意见, 并按照意见调整和完善标准草案, 先后共形成7个版本的标准草案。2016年9月, 标准编制组参加了安标委WG5 工作组在研标准推进会, 按照专家及成员单位提出的修改建议, 对草案进行了修改, 形成了标准征求意见稿。2017年4月, 标准编制组再次参加了安标委WG5 工作组在研标准推进会, 根据征求意见稿收集的修改建议, 对征求意见稿进行了修改, 形成了标准送审稿。2017年10月, 标准编制组又一次参加了安标委WG5 工作组在研标准推进会, 在会上介绍了送审稿内容, 并征求成员单位意见, 根据收集的修改建议, 对送审稿进行了修改完善, 形成了标准报批稿。

　　2019年《信息安全技术网络安全等级保护基本要求》(GB/T 22239-2019)将正式实施。本文分析《GB/T 22239-2019》相较《GB/T 22239-2008》发生的主要变化, 解读其安全通用要求和安全扩展要求的主要内容, 以便于读者更好地了解和掌握《GB/T 22239-2019》的内容。