等保2.0体系互联网合规实践白皮书

版权声明 本白皮书版权属于白皮书编制组，并受法律保护。转载、摘编或利用任何其他方式使用白皮书文字或观点的，均应注明“来源:《等保2.0体系互联网合规实践白皮书》编制组”。违反以上声明者，编制组将保留追究其相关法律责任的权利。 编制人员 刘羽、张益、洪跃腾、黄超、郭铁涛、郑兴、华珊珊、耿琛、肖煜、姬生利、孙少波、霍珊珊、刘健、王余、练美玲、王婷、李光辉、彭成锋、刘志高、刘泽美、谢旭、朱思霖。 特别感谢 腾讯安全平台部、腾讯安全管理部、腾讯安全云鼎实验室、腾讯桌面安全产品部、腾讯产业安全运营部、腾讯云安全合规部、中国电子科技集团公司第十五研究所、深圳市网安计算机安全检测技术有限公司。 目录 版权声明............................................................................................................................1 1前言...............................................................................................................................6 2等级保护2.0技术合规要求分析和实践.................................................................8 2.1可信计算合规...................................................................................................8 2.2.1等保2.0对密码技术的要求.............................................................152.2.2等保2.0如何使用密码技术.............................................................192.2.3腾讯实践..............................................................................................21 2.3.1腾讯云操作系统等保合规实践........................................................302.3.2对操作系统等保合规实践的建议....................................................32 2.4 IPv6网络安全合规实践................................................................................33 2.4.1来自IoT+5G+IPv6新趋势下的安全算力需求............................332.4.2来自腾讯自身海量业务+全球规模的计算压力实践....................33 2.5安全管理中心应用合规................................................................................37 2.5.1安全运营中心体系建设.....................................................................382.5.2安全运营中心功能与架构................................................................39 2.6个人信息保护.................................................................................................40 2.6.1等级保护2.0个人信息保护要求....................................................412.6.2企业如何做到个人信息合规............................................................43 3等级保护2.0安全管理合规要求分析...................................................................46 安全策略.........................................................................................................46管理制度.........................................................................................................52制定和发布、评审和修订............................................................................53 岗位设置.........................................................................................................54人员配备.........................................................................................................55授权与审批.....................................................................................................55沟通与合作.....................................................................................................56审核与检查.....................................................................................................56 3.3安全管理人员.................................................................................................56 人员录用（入职前）....................................................................................56安全意识教育和培训（入职后）...............................................................57人员离岗（离职）........................................................................................58外部人员访问管理........................................................................................59 3.4安全建设管理.................................................................................................59 安全方案设计.................................................................................................60产品采购和使用............................................................................................61 自行软件开发.................................................................................................62外包开发、实施、验收、交付...................................................................63服务供应商选择............................................................................................67 环境管理.........................................................................................................68资产管理.........................................................................................................68介质管理.........................................................................................................69设备维护管理.................................................................................................69漏洞和风险管理............................................................................................70网络和系统安全管理....................................................................................71恶意代码防范管理........................................................................................72备份与恢复管理............................................................................................73安全事件处置、应急预案管理...................................................................73外包运维管理.................................................................................................76 3.6 IPv6合规