等保2.0的重要变化

等保2.0的重要变化

云上信息系统纳入检测范围。

基于等保1.0的网络和信息系统，新增了云计算平台、大数据平台、物联网、移动互联技术系统、工业控制系统。充分考虑了当前企业信息系统的业务多样性和复杂性。

云上租户的信息系统成为独立的检测对象。

在等保1.0中，企业托管资源的云平台通过相应等保等级，即认为相应云上租户通过了相应等级。随着云上服务的复杂度和灵活性日渐成熟，云上租户对托管的资源具有越来越高的控制权，所以从等保2.0开始，云上租户使用云平台服务所构建的云上信息系统将作为独立的检测对象。

强调持续的安全能力构建，而非一次性检测。

等保1.0主要关注在检测当时系统的合规状态，检测完成后，系统是否能持续保持安全合规是无法监管的。等保2.0在制定过程中，将对系统的持续合规要求融入到条例中，引导并监督企业构建一个可持续保护信息系统的安全能力。以PPDR（以策略为中心，构建防护、检测和响应防护机制）为核心思想、以可信认证为基础、以访问控制为核心，构建可信、可控和可管的立体化纵深防御体系。

       等保2.0以“一个中心，三重防护”为网络安全技术设计的总体思路，其中一个中心即安全管理中心，三重防护即安全计算环境、安全区域边界和安全通信网络。

安全管理中心要求在系统管理、安全管理、审计管理三个方面实现集中管控，从被动防护转变成主动防护，从静态防护转变成动态防护，从单点防护转变成整体防护，从粗放防护转变成精准防护。

三重防护要求企业通过安全设备和技术手段实现身份鉴别、访问控制、入侵防范、数据完整性、保密性、个人信息保护等安全防护措施，实现平台的全方位安全防护。

等保1.0和2.0的差异如下表所示。

等保2.0侧重视持续的合规监管能力，且要求等保三级和等保四级均每年检测一次。但资源托管在云端，云上信息系统过等保，具体困难如下表所示。 

云上信息系统过等保的五大困难

针对以上五大困难，阿里云在配置审计服务中，为您提供免费的等保预检能力，在等保预检和整改环节为企业助力。借助云平台能力，实现持续监管

配置审计将等保2.0条例解读为云上的合规检测规则，并持续监控资源的变更，动态实时的执行合规评估，及时推送不合规告警，让企业能时刻掌握云上信息系统的合规性。