>>","27:\"12\"|40:4476"],[20,"等级保护1.0时期的主要标准如下：","27:\"14\"|40:4476|8:1"],[20,"\n","24:\"HHQu\"|40:4476|7:3|linespacing:\"150\""],[20,"信息安全等级保护管理办法（43号文件）（上位文件）","27:\"14\"|40:4476"],[20,"\n","24:\"S5Ok\"|40:4476|7:3"],[20,"计算机信息系统安全保护等级划分准则 GB17859-1999（上位标准）","27:\"14\"|40:4476"],[20,"\n","24:\"2a43\"|40:4476|7:3"],[20,"信息系统安全等级保护实施指南 GB/T25058-2008","27:\"14\"|40:4476"],[20,"\n","24:\"rmkJ\"|40:4476|7:3"],[20,"信息系统安全保护等级定级指南 GB/T22240-2008","27:\"14\"|40:4476"],[20,"\n","24:\"HhIX\"|40:4476|7:3"],[20,"信息系统安全等级保护基本要求 GB/T22239-2008","27:\"14\"|40:4476"],[20,"\n","24:\"wwA9\"|40:4476|7:3"],[20,"信息系统等级保护安全设计要求 GB/T25070-2010","27:\"14\"|40:4476"],[20,"\n","24:\"RTJk\"|40:4476|7:3"],[20,"信息系统安全等级保护测评要求 GB/T28448-2012","27:\"14\"|40:4476"],[20,"\n","24:\"T0CQ\"|40:4476|7:3"],[20,"信息系统安全等级保护测评过程指南 GB/T28449-2012","27:\"14\"|40:4476"],[20,"\n","24:\"4Jgy\"|40:4476|7:3"],[20,"No.2","27:\"14\"|40:4476|8:1"],[20,"\n","24:\"RZRo\"|40:4476|7:3|linespacing:\"150\""],[20,"等级保护2.0标准体系","27:\"14\"|40:4476|8:1"],[20,"\n","24:\"3k1P\"|40:4476|7:3|linespacing:\"150\""],[20,"2017年，《中华人民共和国网络安全法》的正式实施，标志着等级保护2.0的正式启动。网络安全法明确“国家实行网络安全等级保护制度。”（第21条）、“国家对一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。”（第31条）。上述要求为网络安全等级保护赋予了新的含义，重新调整和修订等级保护1.0标准体系，配合网络安全法的实施和落地，指导用户按照网络安全等级保护制度的新要求，履行网络安全保护义务的意义重大。","27:\"12\"|40:4476"],[20,"\n","24:\"3gl6\"|40:4476|7:3|linespacing:\"150\""],[20,"随着信息技术的发展，等级保护对象已经从狭义的信息系统，扩展到网络基础设施、云计算平台/系统、大数据平台/系统、物联网、工业控制系统、采用移动互联技术的系统等，基于新技术和新手段提出新的分等级的技术防护机制和完善的管理手段是等级保护2.0标准必须考虑的内容。关键信息基础设施在网络安全等级保护制度的基础上，实行重点保护，基于等级保护提出的分等级的防护机制和管理手段提出关键信息基础设施的加强保护措施，确保等级保护标准和关键信息基础设施保护标准的顺利衔接也是等级保护2.0标准体系需要考虑的内容。","27:\"12\"|40:4476"],[20,"等级保护2.0标准体系主要标准如下："],[20,"\n","24:\"y1J7\"|blockquote:true"],[20," "],[20,"\n","24:\"Vzik\"|blockquote:true"],[20,"网络安全等级保护条例（总要求/上位文件）"],[20,"\n","24:\"jfCQ\""],[20," 计算机信息系统安全保护等级划分准则（GB 17859-1999）（上位标准）"],[20,"\n","24:\"Tvg7\""],[20," 网络安全等级保护实施指南（GB/T25058-2020）"],[20,"\n","24:\"K5mH\""],[20," 网络安全等级保护定级指南（GB/T22240-2020）"],[20,"\n","24:\"IKEf\""],[20," 网络安全等级保护基本要求（GB/T22239-2019）"],[20,"\n","24:\"WFAQ\""],[20," 网络安全等级保护设计技术要求（GB/T25070-2019）"],[20,"\n","24:\"HZ37\""],[20," 网络安全等级保护测评要求（GB/T28448-2019）"],[20,"\n","24:\"ihC3\""],[20," 网络安全等级保护测评过程指南（GB/T28449-2018）"],[20,"\n","24:\"aYIl\""],[20,"关键信息基础设施标准体系框架如下："],[20,"\n","24:\"jj6s\"|blockquote:true"],[20," "],[20,"\n","24:\"xXeY\"|blockquote:true"],[20,"关键信息基础设施保护条例（征求意见稿)（总要求/上位文件）"],[20,"\n","24:\"eoOU\""],[20," 关键信息基础设施安全保护要求（征求意见稿）"],[20,"\n","24:\"GASq\""],[20," 关键信息基础设施安全控制要求（征求意见稿）"],[20,"\n","24:\"rNS4\""],[20," 关键信息基础设施安全控制评估方法（征求意见稿）"],[20,"\n","24:\"diC0\""],[20," 主要标准的特点和变化"],[20,"\n","24:\"NC6v\""],[20,"No.1"],[20,"\n","24:\"fIYU\""],[20,"标准的主要特点"],[20,"\n","24:\"25rr\""],[20,"01"],[20,"\n","24:\"Tlhg\""],[20,"将对象范围由原来的信息系统改为等级保护对象（信息系统、通信网络设施和数据资源等），对象包括网络基础设施（广电网、电信网、专用通信网络 等）、云计算平台/系统、大数据平台/系统、物联网、工业控制 系统、采用移动互联技术的系统等。"],[20,"\n","24:\"q894\""],[20,"02"],[20,"\n","24:\"wyxf\""],[20,"在1.0标准的基础上进行了优化，同时针对云计算、移动互联、物联网、工业控制系统及大数据等新技术和新应用领域提出新要求，形成了安全通用要求+新应用安全扩展要求构成的标准要求内容。"],[20,"\n","24:\"x9eE\""],[20,"03"],[20,"\n","24:\"ygsY\""],[20,"采用了“一个中心，三重防护”的防护理念和分类结构，强化了建立纵深防御和精细防御体系的思想。"],[20,"\n","24:\"jzyM\""],[20,"04"],[20,"\n","24:\"bSLJ\""],[20,"强化了密码技术和可信计算技术的使用，把可信验证列入各个级别并逐级提出各个环节的主要可信验证要求，强调通过密码技术、可信验证、安全审计和态势感知等建立主动防御体系的期望。"],[20,"\n","24:\"tBfY\""],[20,"No.2"],[20,"\n","24:\"8NM2\""],[20,"标准的主要变化"],[20,"\n","24:\"Vijz\""],[20,"01"],[20,"\n","24:\"nrGj\""],[20,"名称由原来的《信息系统安全等级保护基本要求》改为《网络安全等级保护基本要求》。等级保护对象由原来的信息系统调整为基础信息网络、信息系统（含采用移动互联技术的系统）、云计算平台/系统、大数据应用/平台/资源、物联网和工业控制系统等。"],[20,"\n","24:\"FDfe\""],[20,"02"],[20,"\n","24:\"7iEf\""],[20,"将原来各个级别的安全要求分为安全通用要求和安全扩展要求，其中安全扩展要求包括安全扩展要求云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求以及工业控制系统安全扩展要求。安全通用要求是不管等级保护对象形态如何必须满足的要求。"],[20,"\n","24:\"2hGT\""],[20,"03"],[20,"\n","24:\"3D7n\""],[20,"基本要求中各级技术要求修订为“安全物理环境”、“安全通信网络”、“安全区域边界”、“安全计算环境”和“安全管理中心”；各级管理要求修订为“安全管理制度”、“安全管理机构”、“安全管理人员”、“安全建设管理”和“安全运维管理”。"],[20,"\n","24:\"8kci\""],[20,"04"],[20,"\n","24:\"grtd\""],[20,"取消了原来安全控制点的S、A、G标注，增加一个附录A“关于安全通用要求和安全扩展要求的选择和使用”，描述等级保护对象的定级结果和安全要求之间的关系，说明如何根据定级的S、A结果选择安全要求的相关条款，简化了标准正文部分的内容。增加附录C描述等级保护安全框架和关键技术、增加附录D描述云计算应用场景、附录E描述移动互联应用场景、附录F描述物联网应用场景、附录G描述工业控制系统应用场景、附录H描述大数据应用场景。"],[20,"\n","24:\"To6J\""],[20,"主要标准的框架和内容"],[20,"\n","24:\"1n1M\""],[20,"No.1"],[20,"\n","24:\"zvuU\""],[20,"标准的框架结构"],[20,"\n","24:\"lSt9\""],[20,"《GB/T 22239-2019》、《GB/T 25070-2019》和《GB/T28448-2019》三个标准采取了统一的框架结构。"],[20,"\n","24:\"DnsX\""],[20,"例如，《GB/T 22239-2019》采用的框架结构如图1所示。"],[20,"\n","24:\"bpuc\""],[20,"图1 安全通用要求框架结构"],[20,"\n","24:\"zEAS\""],[20,"安全通用要求细分为技术要求和管理要求。其中技术要求包括“安全物理环境”、“安全通信网络”、“安全区域边界”、“安全计算环境”和“安全管理中心”；管理要求包括“安全管理制度”、“安全管理机构”、“安全管理人员”、“安全建设管理”和“安全运维管理”。"],[20,"\n","24:\"NVOf\""],[20,"No.2"],[20,"\n","24:\"2Gn4\""],[20,"安全通用要求"],[20,"\n","24:\"jwG0\""],[20,"安全通用要求针对共性化保护需求提出，无论等级保护对象以何种形式出现，需要根据安全保护等级实现相应级别的安全通用要求。安全扩展要求针对个性化保护需求提出，等级保护对象需要根据安全保护等级、使用的特定技术或特定的应用场景实现安全扩展要求。等级保护对象的安全保护需要同时落实安全通用要求和安全扩展要求提出的措施。"],[20,"\n","24:\"4y5s\""],[20,"1、安全物理环境"],[20,"\n","24:\"kNDZ\""],[20,"针对物理机房提出的安全控制要求。主要对象为物理环境、物理设备和物理设施等；涉及的安全控制点包括物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护。"],[20,"\n","24:\"Shna\""],[20,"2、安全通信网络"],[20,"\n","24:\"8Oaw\""],[20,"针对通信网络提出的安全控制要求。主要对象为广域网、城域网和局域网等；涉及的安全控制点包括网络架构、通信传输和可信验证。"],[20,"\n","24:\"35Uu\""],[20,"3、安全区域边界"],[20,"\n","24:\"KRbL\""],[20,"针对网络边界提出的安全控制要求。主要对象为系统边界和区域边界等；涉及的安全控制点包括边界防护、访问控制、入侵防范、恶意代码防范、安全审计和可信验证。"],[20,"\n","24:\"z0o2\""],[20,"4、安全计算环境"],[20,"\n","24:\"c6u3\""],[20,"针对边界内部提出的安全控制要求。主要对象为边界内部的所有对象，包括网络设备、安全设备、服务器设备、终端设备、应用系统、数据对象和其他设备等；涉及的安全控制点包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份与恢复、剩余信息保护和个人信息保护。"],[20,"\n","24:\"nvj9\""],[20,"5、安全管理中心"],[20,"\n","24:\"gA2T\""],[20,"针对整个系统提出的安全管理方面的技术控制要求，通过技术手段实现集中管理；涉及的安全控制点包括系统管理、审计管理、安全管理和集中管控。"],[20,"\n","24:\"YtUq\""],[20,"6、安全管理制度"],[20,"\n","24:\"kNDb\""],[20,"针对整个管理制度体系提出的安全控制要求，涉及的安全控制点包括安全策略、管理制度、制定和发布以及评审和修订。"],[20,"\n","24:\"Oked\""],[20,"7、安全管理机构"],[20,"\n","24:\"om3P\""],[20,"针对整个管理组织架构提出的安全控制要求，涉及的安全控制点包括岗位设置、人员配备、授权和审批、沟通和合作以及审核和检查。"],[20,"\n","24:\"GG2C\""],[20,"8、安全管理人员"],[20,"\n","24:\"cXFb\""],[20,"针对人员管理提出的安全控制要求，涉及的安全控制点包括人员录用、人员离岗、安全意识教育和培训以及外部人员访问管理。"],[20,"\n","24:\"4AhI\""],[20,"9、安全建设管理"],[20,"\n","24:\"n2xc\""],[20,"针对安全建设过程提出的安全控制要求，涉及的安全控制点包括定级和备案、安全方案设计、安全产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、等级测评和服务供应商管理。"],[20,"\n","24:\"JvTI\""],[20,"10、安全运维管理"],[20,"\n","24:\"fIM8\""],[20,"针对安全运维过程提出的安全控制要求，涉及的安全控制点包括环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理和外包运维管理。"],[20,"\n","24:\"QIwL\""],[20,"No.3"],[20,"\n","24:\"bK64\""],[20,"安全扩展要求"],[20,"\n","24:\"earr\""],[20,"安全扩展要求是采用特定技术或特定应用场景下的等级保护对象需要增加实现的安全要求。包括以下四方面："],[20,"\n","24:\"0eHf\""],[20,"1.云计算安全扩展要求是针对云计算平台提出的安全通用要求之外额外需要实现的安全要求。主要内容包括“基础设施的位置”、“虚拟化安全保护”、“镜像和快照保护”、“云计算环境管理”和“云服务商选择”等。"],[20,"\n","24:\"0H8X\""],[20,"2.移动互联安全扩展要求是针对移动终端、移动应用和无线网络提出的安全要求，与安全通用要求一起构成针对采用移动互联技术的等级保护对象的完整安全要求。主要内容包括“无线接入点的物理位置”、“移动终端管控”、“移动应用管控”、“移动应用软件采购”和“移动应用软件开发”等。"],[20,"\n","24:\"O9c0\""],[20,"3.物联网安全扩展要求是针对感知层提出的特殊安全要求，与安全通用要求一起构成针对物联网的完整安全要求。主要内容包括“感知节点的物理防护”、“感知节点设备安全”、“网关节点设备安全”、“感知节点的管理”和“数据融合处理”等。"],[20,"\n","24:\"8ZPx\""],[20,"4.工业控制系统安全扩展要求主要是针对现场控制层和现场设备层提出的特殊安全要求，它们与安全通用要求一起构成针对工业控制系统的完整安全要求。主要内容包括“室外控制设备防护”、“工业控制系统网络架构安全”、“拨号使用控制”、“无线使用控制”和“控制设备安全”等。"]]">“净网2020”是公安部为了打击整治网络违法犯罪活动，深入整顿网上秩序，进一步营造安全、清朗、有序的网络环境而开展的专项行动。
“净网2020”专项行动中，认真贯彻落实了习近平总书记重要批示指示精神，进一步强化对网络违法犯罪打击和网络空间秩序整治力度，坚决打掉网络黑灰产业链，整治网络违法犯罪生态，遏制了网络犯罪高发势头。
发起背景
2019年，全国公安机关网安部门主要针对严重影响公共秩序、网络安全的违法犯罪，频繁为网络诈骗、赌博等突出犯罪“输血供粮”的黑灰产犯罪，活动猖獗、手段隐蔽、追踪困难的暗网违法犯罪，作案迅速、危害严重的网络相约犯罪，网络犯罪团伙及窝点大面积向境外转移等违法犯罪活动，展开了强有力的专项打击，全年共侦破网络犯罪案件5.9万起，抓获犯罪嫌疑人8.8万名。
行动目的
开展“净网2020”专项行动，严厉打击淫秽色情信息，坚决清除文化垃圾，目标是着力维护青少年身心健康，切实维护人民群众文化权益，有力构建良好网络秩序、清朗网络空间。
下一步，将毫不懈怠，下更大气力推进行动，坚决营造和守护风清气正的网络空间。 [2]
严打内容
警方将严打黑客攻击破坏、侵犯公民个人信息、电信网络诈骗、套路贷等新型网上违法犯罪，以及网上贩枪、涉毒、色情、赌博、传销等传统违法犯罪。同时，依法打击为各类网络犯罪提供推广营销、技术支持、网络账号买卖、支付结算等非法利用信息网络、帮助信息网络犯罪活动的行为。
战果总结
2020年上半年全国共查处网络“扫黄打非”案件1800余起，取缔非法不良网站1.2万余个，处置淫秽色情等有害信息840余万条。
针对群众反映强烈的网上“软色情”现象，全国“扫黄打非”办公室协调公安、网信、工信、文旅、市场监管、广电、新闻出版等有关部门，研究治理对策，密切协作配合，形成监管合力，部署开展专项清理整治工作。
除了快速整治网络“软色情”问题，“扫黄打非”部门还积极回应网民和舆论关切，快速处置了网传所谓“国内版N号房网站”“滴滴司机直播性侵女乘客”“五一宜家门”等多起网上突发传播案事件。通过查办多起案件，对不法分子形成震慑。
典型案例
案例一
浙江兰溪“麻克文学”微信公众号传播淫秽物品牟利案
2020年5月，根据群众报警线索，兰溪市公安局侦查破获一起通过微信公众号传播淫秽物品牟利案件，犯罪嫌疑人开设淫秽小说网站并通过微信公众号进行引流，非法获利达1000余万元。公安机关已抓获网站负责人员、技术维护人员、推广代理人员等犯罪嫌疑人15名。
案例二
广西柳州审结孙某某传播淫秽物品牟利案
经查，被告人孙某某通过租用境外服务器架设网站，以盗链方式获取大量淫秽色情视频、图片、文字，其中淫秽图片2万余张，通过在其网站的广告招租方式收取广告费用牟取非法利益。柳州市中级人民法院二审判处其有期徒刑12年。
案例三
辽宁盘锦“11·22”制作、贩卖、传播淫秽物品牟利案
盘锦警方网络巡查发现一个淫秽视频由某摄影工作室拍摄传播，经周密侦查、顺藤摸瓜，一举破获一个在境内通过摄影工作室组织客户定制拍摄、传播淫秽视频的犯罪团伙。该团伙制作淫秽视频达800部，非法获利55万余元。该案已有16人以涉嫌制作、贩卖、传播淫秽物品罪移送检察机关提起公诉，其他涉案人员在进一步核查中。
案例四
安徽滁州“6·07”利用网络传播淫秽物品案
2020年6月，安徽滁州凤阳县文化部门网络巡查发现某网站存在大量涉黄内容的线索，经多部门密切配合，成功捣毁一个工作室，抓获犯罪嫌疑人5名。经查，嫌疑人通过抖音、微信等平台散布低俗信息推广微信号和黄色网站，利用微信兜售淫秽视频或吸引用户进入黄色网站付费观看淫秽视频。该案查明涉案淫秽视频2.5万部，涉案金额2000余万元。
净网2020 网络安全等级保护2.0标准解读
等级保护标准体系
No.1
等级保护1.0标准体系
2007年，《信息安全等级保护管理办法》（公通字[2007]43号）文件的正式发布，标志着等级保护1.0的正式启动。等级保护1.0规定了等级保护需要完成的“规定动作”，即定级备案、建设整改、等级测评和监督检查，为了指导用户完成等级保护的“规定动作”，在2008年至2012年期间陆续发布了等级保护的一些主要标准，构成等级保护1.0的标准体系。>>>等级保护1.0时期的主要标准如下：
信息安全等级保护管理办法（43号文件）（上位文件）
计算机信息系统安全保护等级划分准则 GB17859-1999（上位标准）
信息系统安全等级保护实施指南 GB/T25058-2008
信息系统安全保护等级定级指南 GB/T22240-2008
信息系统安全等级保护基本要求 GB/T22239-2008
信息系统等级保护安全设计要求 GB/T25070-2010
信息系统安全等级保护测评要求 GB/T28448-2012
信息系统安全等级保护测评过程指南 GB/T28449-2012
No.2
等级保护2.0标准体系
2017年，《中华人民共和国网络安全法》的正式实施，标志着等级保护2.0的正式启动。网络安全法明确“国家实行网络安全等级保护制度。”（第21条）、“国家对一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。”（第31条）。上述要求为网络安全等级保护赋予了新的含义，重新调整和修订等级保护1.0标准体系，配合网络安全法的实施和落地，指导用户按照网络安全等级保护制度的新要求，履行网络安全保护义务的意义重大。
随着信息技术的发展，等级保护对象已经从狭义的信息系统，扩展到网络基础设施、云计算平台/系统、大数据平台/系统、物联网、工业控制系统、采用移动互联技术的系统等，基于新技术和新手段提出新的分等级的技术防护机制和完善的管理手段是等级保护2.0标准必须考虑的内容。关键信息基础设施在网络安全等级保护制度的基础上，实行重点保护，基于等级保护提出的分等级的防护机制和管理手段提出关键信息基础设施的加强保护措施，确保等级保护标准和关键信息基础设施保护标准的顺利衔接也是等级保护2.0标准体系需要考虑的内容。等级保护2.0标准体系主要标准如下：
网络安全等级保护条例（总要求/上位文件）
计算机信息系统安全保护等级划分准则（GB 17859-1999）（上位标准）
网络安全等级保护实施指南（GB/T25058-2020）
网络安全等级保护定级指南（GB/T22240-2020）
网络安全等级保护基本要求（GB/T22239-2019）
网络安全等级保护设计技术要求（GB/T25070-2019）
网络安全等级保护测评要求（GB/T28448-2019）
网络安全等级保护测评过程指南（GB/T28449-2018）
关键信息基础设施标准体系框架如下：
关键信息基础设施保护条例（征求意见稿)（总要求/上位文件）
关键信息基础设施安全保护要求（征求意见稿）
关键信息基础设施安全控制要求（征求意见稿）
关键信息基础设施安全控制评估方法（征求意见稿）
主要标准的特点和变化
No.1
标准的主要特点
01
将对象范围由原来的信息系统改为等级保护对象（信息系统、通信网络设施和数据资源等），对象包括网络基础设施（广电网、电信网、专用通信网络 等）、云计算平台/系统、大数据平台/系统、物联网、工业控制 系统、采用移动互联技术的系统等。
02
在1.0标准的基础上进行了优化，同时针对云计算、移动互联、物联网、工业控制系统及大数据等新技术和新应用领域提出新要求，形成了安全通用要求+新应用安全扩展要求构成的标准要求内容。
03
采用了“一个中心，三重防护”的防护理念和分类结构，强化了建立纵深防御和精细防御体系的思想。
04
强化了密码技术和可信计算技术的使用，把可信验证列入各个级别并逐级提出各个环节的主要可信验证要求，强调通过密码技术、可信验证、安全审计和态势感知等建立主动防御体系的期望。
No.2
标准的主要变化
01
名称由原来的《信息系统安全等级保护基本要求》改为《网络安全等级保护基本要求》。等级保护对象由原来的信息系统调整为基础信息网络、信息系统（含采用移动互联技术的系统）、云计算平台/系统、大数据应用/平台/资源、物联网和工业控制系统等。
02
将原来各个级别的安全要求分为安全通用要求和安全扩展要求，其中安全扩展要求包括安全扩展要求云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求以及工业控制系统安全扩展要求。安全通用要求是不管等级保护对象形态如何必须满足的要求。
03
基本要求中各级技术要求修订为“安全物理环境”、“安全通信网络”、“安全区域边界”、“安全计算环境”和“安全管理中心”；各级管理要求修订为“安全管理制度”、“安全管理机构”、“安全管理人员”、“安全建设管理”和“安全运维管理”。
04
取消了原来安全控制点的S、A、G标注，增加一个附录A“关于安全通用要求和安全扩展要求的选择和使用”，描述等级保护对象的定级结果和安全要求之间的关系，说明如何根据定级的S、A结果选择安全要求的相关条款，简化了标准正文部分的内容。增加附录C描述等级保护安全框架和关键技术、增加附录D描述云计算应用场景、附录E描述移动互联应用场景、附录F描述物联网应用场景、附录G描述工业控制系统应用场景、附录H描述大数据应用场景。
主要标准的框架和内容
No.1
标准的框架结构
《GB/T 22239-2019》、《GB/T 25070-2019》和《GB/T28448-2019》三个标准采取了统一的框架结构。
例如，《GB/T 22239-2019》采用的框架结构如图1所示。
图1 安全通用要求框架结构
安全通用要求细分为技术要求和管理要求。其中技术要求包括“安全物理环境”、“安全通信网络”、“安全区域边界”、“安全计算环境”和“安全管理中心”；管理要求包括“安全管理制度”、“安全管理机构”、“安全管理人员”、“安全建设管理”和“安全运维管理”。
No.2
安全通用要求
安全通用要求针对共性化保护需求提出，无论等级保护对象以何种形式出现，需要根据安全保护等级实现相应级别的安全通用要求。安全扩展要求针对个性化保护需求提出，等级保护对象需要根据安全保护等级、使用的特定技术或特定的应用场景实现安全扩展要求。等级保护对象的安全保护需要同时落实安全通用要求和安全扩展要求提出的措施。
1、安全物理环境
针对物理机房提出的安全控制要求。主要对象为物理环境、物理设备和物理设施等；涉及的安全控制点包括物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护。
2、安全通信网络
针对通信网络提出的安全控制要求。主要对象为广域网、城域网和局域网等；涉及的安全控制点包括网络架构、通信传输和可信验证。
3、安全区域边界
针对网络边界提出的安全控制要求。主要对象为系统边界和区域边界等；涉及的安全控制点包括边界防护、访问控制、入侵防范、恶意代码防范、安全审计和可信验证。
4、安全计算环境
针对边界内部提出的安全控制要求。主要对象为边界内部的所有对象，包括网络设备、安全设备、服务器设备、终端设备、应用系统、数据对象和其他设备等；涉及的安全控制点包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份与恢复、剩余信息保护和个人信息保护。
5、安全管理中心
针对整个系统提出的安全管理方面的技术控制要求，通过技术手段实现集中管理；涉及的安全控制点包括系统管理、审计管理、安全管理和集中管控。
6、安全管理制度
针对整个管理制度体系提出的安全控制要求，涉及的安全控制点包括安全策略、管理制度、制定和发布以及评审和修订。
7、安全管理机构
针对整个管理组织架构提出的安全控制要求，涉及的安全控制点包括岗位设置、人员配备、授权和审批、沟通和合作以及审核和检查。
8、安全管理人员
针对人员管理提出的安全控制要求，涉及的安全控制点包括人员录用、人员离岗、安全意识教育和培训以及外部人员访问管理。
9、安全建设管理
针对安全建设过程提出的安全控制要求，涉及的安全控制点包括定级和备案、安全方案设计、安全产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、等级测评和服务供应商管理。
10、安全运维管理
针对安全运维过程提出的安全控制要求，涉及的安全控制点包括环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理和外包运维管理。
No.3
安全扩展要求
安全扩展要求是采用特定技术或特定应用场景下的等级保护对象需要增加实现的安全要求。包括以下四方面：
1.云计算安全扩展要求是针对云计算平台提出的安全通用要求之外额外需要实现的安全要求。主要内容包括“基础设施的位置”、“虚拟化安全保护”、“镜像和快照保护”、“云计算环境管理”和“云服务商选择”等。
2.移动互联安全扩展要求是针对移动终端、移动应用和无线网络提出的安全要求，与安全通用要求一起构成针对采用移动互联技术的等级保护对象的完整安全要求。主要内容包括“无线接入点的物理位置”、“移动终端管控”、“移动应用管控”、“移动应用软件采购”和“移动应用软件开发”等。
3.物联网安全扩展要求是针对感知层提出的特殊安全要求，与安全通用要求一起构成针对物联网的完整安全要求。主要内容包括“感知节点的物理防护”、“感知节点设备安全”、“网关节点设备安全”、“感知节点的管理”和“数据融合处理”等。
4.工业控制系统安全扩展要求主要是针对现场控制层和现场设备层提出的特殊安全要求，它们与安全通用要求一起构成针对工业控制系统的完整安全要求。主要内容包括“室外控制设备防护”、“工业控制系统网络架构安全”、“拨号使用控制”、“无线使用控制”和“控制设备安全”等。
