我说等保之“管理” | 三分技术七分管理，践行等保2.0制度

国家网络安全等级保护制度实施十年来，已经成为了国家的网络安全基本制度、基本国策。信息技术发展日新月异，为适应新技术的发展，解决云计算、物联网、移动互联和工控领域信息系统的信息安全问题，网络安全等级保护制度进入2.0时代，被赋予了更高的期望。

管理体系建设  践行等保2.0主抓的着力点

现在的信息安全技术环境下，攻击成本越来越小，防御成本越来越大，网络安全建设的成熟度不意味着完全依靠全新技术手段来实现，也不能用网络安全产品数量和种类的堆叠来代表，而是应该秉承“三分技术、七分管理”的理念，从管理体系建设入手，在安全策略和管理制度、安全管理机构和人员、安全建设管理、安全运维管理这四个方面合理规划、合理建设，技管并重，把资源和建设能力投放到如何抵御新时代网络安全风险上，做好主动防御安全体系的建设，及时发现安全隐患并在第一时间阻断各种攻击，确保信息系统的安全。

本期“我说等保”特邀北京神州绿盟信息安全科技股份有限公司政府事业部技术总监—— 张智南为大家分享“做好等保，三分技术七分管理”的一些心得。

张 智 南 

博士

北京神州绿盟信息安全科技股份有限公司

政府事业部技术总监 

从事网络安全行业工作15年，先后参与了国家242信息安全计划、国家核高基重大专项、国家自然科学基金重大项目、发改委信息安全专项等安全基础研究工作；参与了等级保护2.0云计算安全相关标准的起草工作，具有丰富的网络安全理论和实践经验。 

南哥是个很擅长方法论的人，在访谈的前期交流中总能快速挖掘出等保管理体系建设相关的高效、有用的学习技巧。下面就分享几段让你折服的干货。

南哥说——关于等保管理体系建设

等保2.0在控制措施分类结构上发生了明显的变化，安全策略和管理制度方面应该建立一套自上而下的安全制度体系，围绕它建立相应的策略、制度、流程、表单，形成一整套的四级制度文件。关于安全建设管理，实际上是围绕信息系统的整个建设生命周期，在设计阶段就要考虑安全需求，在上线前着重做好安全代码审计，安全漏洞扫描、配置检查以及渗透测试，保证系统在上线过程中是一个安全的系统。至于安全运维管理，是指系统上线后形成一整套预警、防护、检测和响应的安全闭环体系，实现主动防御避免出现安全事件。即使出现了安全事件也能够在第一时间得到处理，将损失控制到最小。

南哥还说——关于等保人才培养和储备

北京神州绿盟信息安全科技股份有限公司作为国内网络安全的领军企业，一方面为初次开展等级保护工作的客户提供咨询服务，协助完成资产识别、系统等级、差距分析、整改建设，进而辅助客户通过等保测评。另一方面不同客户的信息系统和网络架构是完全不一样的，需要提供定制的等级保护解决方案，尤其是现在云计算技术在行业中开始全面应用，等级保护也提出了对应的安全扩展要求，方案也要及时将云等保要求及时落地。无论是第一种咨询服务还是第二种提供解决方案，都需要等保人才的支撑。具备职业技能、等保基础理论常识及专业素养的人才，已经成为等保工作顺利、稳定进行的重要元素。e安在线的等保培训恰好满足了绿盟等安全企业对等保人才培养的需求，相信这种方式也必然是会成为人才培养和储备的趋势。

	请点击屏幕右上方“…” 关注绿盟科技公众号 NSFOCUS-weixin

↑↑↑长按二维码，下载绿盟云APP