从现状梳理到方案设计，为用户规划全面的网络安全综合防御体系，通过建设实施、测评检查、运行维护、改进完善等后续工作，形成完整的网络安全工作闭环。
二级要求可信验证，三级要求动态可信验证二级要求个人信息保护其他均三级
等级保护安全技术设计
国务院办公厅关于印发《政府网站发展指引》的通知（国办发〔2017〕47号）政府网站是指各级人民政府及其部门、派出机构和承担行政职能的事业单位在互联网上开办的，具备信息发布、解读回应、办事服务、互动交流等功能的网站。
《政府网站系统安全指南》（修订草案）V0.1（20190225）按照国家有关电子政务发展和实施的顶层设计，政府部门将信息化建设的基本要素（如网络、主机、数据库、中间件等）形成面向服务的具有安全和运行保障的有机整体，为各级各部门建设政府门户网站、政务服务大厅等业务系统准备好所有信息化基础设施资源，集中建设和共享使用共性运行环境和公共应用，支持各级各部门仅通过部署和配置业务应用软件即可开展信息化应用，实现政府网站业务系统建设与承载环境的分离。政府网站系统分层逻辑架构如图1所示。政府网站指政府机构在互联网上开办的，实现政府信息公开、在线服务、公众互动等功能的网站。政府网站系统指政府网站及支撑其运行的物理环境、网络环境、软硬件及产生和发布的信息等。网站用户指网站的访问者，既包括来自外部、访问获取网站资源和使用网站提供服务的前台用户，也包括负责网站系统管理、内容管理的后台用户。政务移动应用指在移动智能终端上安装和运行的政务应用系统。
将取代：GB/T31506-2015《信息安全技术政府门户网站系统安全技术指南》政府门户网站政府机构利用互联网发布政务信息、提供在线服务、开展互动交流等而建立的网站，包括为用户提供展示和交互功能的页面及生成和处理页面的应用程序、中间件等。政府门户网站系统政府门户网站及支撑其运行的物理环境、网络环境、服务器操作系统和数据库系统等。网站用户网站的访问者，既包括来自外部、访问获取网站资源的前台用户，也包括负责网站系统管理、内容管理的后台用户。
通用安全设计–网络区域划分
可信验证：全面覆盖云计算安全：网站云平台（虚拟化服务器区）移动应用安全：移动APP（移动终端）大数据系统安全：网站大数据平台（虚拟化服务器区）
安全通信网络-网络架构：应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段；防护等级：属于同一安全域内的系统应互相信任，即保护需求相同。要做到每个安全域的信息资产价值相近，具有相同或相近的安全等级、安全环境、安全策略等。业务类型：不同业务类型访问对象不同，面临的风险不同，保护需求不同。在保证安全的同时，还要保障业务的正常运行和运行效率。网络功能：使整个网络变得更加结构化、简单化，便于设计防护体系。安全域划分并不是粒度越细越好，安全域数量过多过杂可能导致安全域的管理过于复杂和困难。
通用安全设计-安全通信网络
安全通信网络建设要点
网络架构a)应保证网络设备的业务处理能力满足业务高峰期需要；b)应保证网络各个部分的带宽满足业务高峰期需要；c)应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；d)应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段；e)应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性。通信传输a)应采用校验技术或密码技术保证通信过程中数据的完整性；b)应采用密码技术保证通信过程中数据的保密性。
通用安全设计-安全区域边界
安全区域边界建设要点
通用安全设计-安全计算环境
通用安全设计-安全管理中心
安全管理中心建设要点
可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。
通用安全设计-总结
依据通用安全要求，实现“一个中心，三重保护”的动态、纵深网络安全综合防御体系；实现对网络设备、计算设备及安全设备的可信验证，并对验证失败事件进行告警和日志上报；实现系统管理、审计管理、安全管理的权限分离，并通过IT运维管理、集中日志审计、堡垒机、态势感知和安全运营管理等技术平台支撑管理工作的实际落地。
云计算安全设计
移动互联安全设计
物联网安全设计
8.4.3.3抗数据重放本项要求包括：a)应能够鉴别数据的新鲜性，避免历史数据的重放攻击；b)应能够鉴别历史数据的非法修改，避免数据的修改重放攻击。
8.4.3.4数据融合处理应对来自传感网的数据进行数据融合处理，使不同种类的数据可以在同一个平台被使用。
工业控制系统安全设计
根据等保2.0要求，工业控制系统安全如图所示：考虑到控制系统的可用性，按照控制系统进行区域划分，即对于一个控制系统包含L0-L2层级，区域间即L2.5层级部署访问控制手段，对于控制系统内部，网络层面采用工业监测审计镜像底层接入交换机流量进行流量内容解析，判断操作内容、访问行为等是否正常，在主机层面采用可信操作系统及主机白名单分别针对操作系统及应用进行管控。在控制区域与非控制区域边界部署工业隔离网闸，实现对于信息网络对工业网络访问的管控，禁用信息网络的全部写操作行为。同时在运维管理区部署集中管理平台或态势感知平台，实现对全网安全设备运行状态或全网安全态势的统一管理。对于漏洞检测，则可以采用设备或服务的方式进行，具体方式根据用户实际情况确定，即停产周期短的用户如烟草可以采用设备方式，停产周期长的场景，如发电，则采用服务方式，达到经济性的最优。
8.5.2安全通信网络8.5.2.1网络架构本项要求包括：a)工业控制系统与企业其他系统之间应划分为两个区域，区域间应采用单向的技术隔离手段；b)工业控制系统内部应根据业务特点划分为不同的安全域，安全域之间应采用技术隔离手段；c)涉及实时控制和数据传输的工业控制系统，应使用独立的网络设备组网，在物理层面上实现与其它数据网及外部公共信息网的安全隔离。
8.5.3.2拨号使用控制本项要求包括：a)工业控制系统确需使用拨号访问服务的，应限制具有拨号访问权限的用户数量，并采取用户身份鉴别和访问控制等措施；b)拨号服务器和客户端均应使用经安全加固的操作系统，并采取数字证书认证、传输加密和访问控制等措施。
大数据系统安全设计
满足等保要求的安全产品
等保一体机
基于等级保护建设生命周期的服务过程
提供覆盖全流程、综合全面的等保服务
在标准动作基础上增加自测评，自查
定级咨询服务
协助备案服务
风险评估服务
规划设计服务-等级保护方案设计框架
核心思想：1、合规是基础；2、业务保障和风险防范是目的。
主要内容：五个级别，分技术方案、管理方案。
技术方案：按照“一个中心，三重防护”的框架，不涉及安全物理环境，把安全域划分单独列出来。
管理方案：可以参考27001最佳实践（对应GB/T22080--信息技术安全技术信息安全管理体系要求）。
第一步（立项）：制定信息系统安全建设整改工作规划，对信息系统安全建设整改工作进行总体部署；
第二步（需求分析）：开展信息系统安全保护现状分析，从管理和技术两个方面确定信息系统安全建设整改需求；
第三步（方案设计）：确定安全保护策略，制定信息系统安全建设整改方案；
第四步（方案实施）：开展信息系统安全建设整改工作，建立并落实安全管理制度，落实安全责任制，建设安全设施，落实安全措施；
第五步（工程验收和等级测评验收）：开展安全自查和等级测评，及时发现信息系统中存在安全隐患和威胁，进一步开展安全建设整改工作。
安全运维保障服务
等级保护能力
等级保护第三级通用安全产品推荐
等保三级基本要求与对应产品
使用范围
基本要求
产品类型举例
安全通信网络
网络架构
NGFW（下一代防火墙）、TopRules（安全隔离与信息交换系统）、TopApp（负载均衡系统）等
通信传输
网络加密机（IPSEC/SSLVPN综合安全网关系统）或NGFW内置VPN功能模块（国密）
安全区域边界
边界防护
NGFW（下一代防火墙）、TopNAC（网络准入系统）、TopDesk(终端管理系统)、无线接入网关等
访问控制
NGFW（下一代防火墙）、TopRules（安全隔离与信息交换系统）、TopGate（应用安全网关）等
入侵防范
TopWAF（web应用安全防护系统/网页防篡改系统）、TopIDP（入侵防御系统）、TopSentry（入侵检测系统）、TopADS（异常流量管理与抗拒绝服务系统）、TopFilter（防毒墙）、TopAPT（高级威胁监测系统）、TopSA（网络安全态势感知系统）等
恶意代码和垃圾邮件防范
TopFilter（防毒墙）、TopSMG（安全邮件网关系统）等
安全审计
TA-NET（网络审计系统）、TopNTA（网络流量分析系统）、TA-DB（数据库审计系统）、TopACM（上网行为管理系统）、大数据分析平台等
安全计算环境
身份鉴别
TopUTS（集中身份管理系统）、数字证书系统、TDSM-DBGW(数据库安全网关系统)、TopSAG（运维安全审计系统）等
TopSAG（运维安全审计系统）、TDSM-DBFW（数据库安全网关）、TopScanner（脆弱性扫描与管理系统）、主机核心加固系统等
TopDesk（主机监控与审计系统）、TA-DB（数据库审计系统）、TopSAG（运维安全审计系统）等
TopNAC（网络准入系统）、TopScanner（脆弱性扫描与管理系统）、TopWAF（web应用安全防护系统）、TopSentry（入侵检测系统）、主机核心加固系统等
恶意代码防范
TopEDR（终端威胁防御系统）
数据完整性、保密性
VPN系统（IPSECVPN/SSLVPN）、TDSM-DBGW(数据库安全网关系统)、
TDSM-DSM（文档安全管理系统）等
数据备份恢复
TDSM-SBU（存储备份一体机）、TDSM-SBU（容灾一体机）
个人信息保护
TopDLP(数据防泄漏系统)、TopDM(数据脱敏系统)、TDSM-DBS(数据库透明加密系统)等
安全管理中心
系统管理
TA-L（日志收集和分析系统）、TopSAG（运维安全审计系统）、TopUTS（集中身份管理系统）、数字证书系统、网络管理系统等
审计管理
安全管理
集中管控
TA-L（日志收集和分析系统）、TSM-TopPolicy（安全策略管理系统）、TSM-TopAnalyzer（安全管理系统）、TopSA（网络安全态势感知系统）、TopDesk（主机监控与审计系统）等
可信验证
可信芯片、可信UKey、可信插卡、可信主板、可信验证系统、基于可信计算的应用程序白名单管理系统等