公安部信息安全等級保護評估中心的專家馬力，為我們深入解讀了網絡安全等級保護2.0（簡稱“等保2.0”）體系中的主要標準，特別是在網絡與信息安全軟件開發(fā)領域的應用與要求。等保2.0標志著我國網絡安全保護工作進入了一個新的階段，其標準體系更加全面、系統(tǒng)，對技術、管理和運維提出了更高、更具體的要求。
一、等保2.0標準體系的重大轉變
等保2.0的核心標準，包括《信息安全技術 網絡安全等級保護基本要求》（GB/T 22239-2019）、《信息安全技術 網絡安全等級保護安全設計技術要求》（GB/T 25070-2019）和《信息安全技術 網絡安全等級保護測評要求》（GB/T 28448-2019）等，實現(xiàn)了從“信息安全”到“網絡安全”的視角擴展。它不再局限于傳統(tǒng)的計算機信息系統(tǒng)，而是覆蓋了云計算、大數(shù)據(jù)、物聯(lián)網、工業(yè)控制系統(tǒng)等新技術、新應用，實現(xiàn)了全覆蓋。這一轉變對軟件開發(fā)，尤其是安全軟件開發(fā)，提出了貫穿全生命周期的合規(guī)性要求。
二、對網絡與信息安全軟件開發(fā)的核心要求
在等保2.0框架下，安全軟件的開發(fā)不再僅僅是功能實現(xiàn)，更是安全能力的構建。主要標準要求體現(xiàn)在以下幾個方面：
- 安全設計與開發(fā)過程合規(guī)：等保2.0強調“安全左移”，要求安全需求在軟件設計階段就必須被明確和融入。開發(fā)過程需遵循安全開發(fā)生命周期（SDLC），進行威脅建模、安全編碼、代碼審計和漏洞管理。對于高等級（第三級及以上）的系統(tǒng)，標準明確要求對關鍵代碼進行安全審查。
- 數(shù)據(jù)安全與隱私保護：標準對數(shù)據(jù)的安全性，包括數(shù)據(jù)的采集、傳輸、存儲、處理、交換和銷毀的全生命周期保護，提出了分級分類的嚴格要求。安全軟件開發(fā)必須內置數(shù)據(jù)加密、訪問控制、脫敏、完整性校驗等機制，并滿足《個人信息保護法》等相關法律法規(guī)的合規(guī)要求。
- 自身安全性與抗攻擊能力：作為安全產品，其自身必須具有高強度的安全防護能力。這包括但不限于：具備完善的身份鑒別、訪問控制、安全審計功能；軟件自身需防范注入攻擊、緩沖區(qū)溢出等常見漏洞；對于云安全軟件、終端安全軟件等，還需具備防篡改、防逆向分析的能力。
- 可審計與可追溯：等保2.0強化了安全審計的要求。安全軟件必須能夠記錄詳細的安全日志，包括用戶行為、系統(tǒng)事件、異常告警等，并保證日志的完整性、保密性和可追溯性，以滿足事后審計和取證的需求。
- 與等級保護對象的協(xié)同防護：安全軟件作為整個信息系統(tǒng)安全防護體系的一部分，其部署和運行必須符合該信息系統(tǒng)所定等級的整體安全要求。例如，在三級系統(tǒng)中，安全軟件的管理后臺訪問應啟用雙因素認證，其通信傳輸應進行加密。
三、對軟件開發(fā)者的啟示與行動指南
馬力專家指出，等保2.0不僅是監(jiān)管要求，更是指導安全軟件高質量發(fā)展的技術藍圖。對于軟件開發(fā)者而言，應：
- 樹立合規(guī)開發(fā)意識：將等保2.0的相關標準要求作為產品研發(fā)的基線要求，融入產品規(guī)劃和設計文檔。
- 構建安全開發(fā)流程：建立或完善覆蓋需求、設計、編碼、測試、部署、運維的全流程安全管理體系。
- 加強安全測試與驗證：引入自動化安全測試工具，定期進行滲透測試和漏洞掃描，確保產品上線前符合相應等級的安全要求。
- 關注供應鏈安全：對使用的第三方組件、開源軟件進行安全管理，避免引入已知高危漏洞。
- 準備等級測評：了解等級測評的流程與要求，在產品設計和開發(fā)階段就為未來的測評做好準備，確保軟件能夠順利通過測評并支撐所在系統(tǒng)定級。
網絡安全等級保護2.0為標準下的網絡與信息安全軟件開發(fā)指明了方向。開發(fā)者需要深入理解標準內涵，將安全能力深度植入軟件基因，才能構建出真正可靠、合規(guī)、有效的網絡安全產品，為我國網絡空間的安全穩(wěn)固貢獻力量。
