网络安全评估报告汇总十篇

序论：好文章的创作是一个不断探索和完善的过程，我们为您推荐十篇网络安全评估报告范例，希望它们能助您一臂之力，提升您的阅读品质，带来更深刻的阅读感受。

篇（1）

第二条 本规定所称具有舆论属性或社会动员能力的互联网信息服务，包括下列情形：

（一）开办论坛、博客、微博客、聊天室、通讯群组、公众账号、短视频、网络直播、信息分享、小程序等信息服务或者附设相应功能；

（二）开办提供公众舆论表达渠道或者具有发动社会公众从事特定活动能力的其他互联网信息服务。

第三条 互联网信息服务提供者具有下列情形之一的，应当依照本规定自行开展安全评估，并对评估结果负责：

（一）具有舆论属性或社会动员能力的信息服务上线，或者信息服务增设相关功能的；

（二）使用新技术新应用，使信息服务的功能属性、技术实现方式、基础资源配置等发生重大变更，导致舆论属性或者社会动员能力发生重大变化的；

（三）用户规模显著增加，导致信息服务的舆论属性或者社会动员能力发生重大变化的；

（四）发生违法有害信息传播扩散，表明已有安全措施难以有效防控网络安全风险的；

（五）地市级以上网信部门或者公安机关书面通知需要进行安全评估的其他情形。

第四条 互联网信息服务提供者可以自行实施安全评估，也可以委托第三方安全评估机构实施。

第五条 互联网信息服务提供者开展安全评估，应当对信息服务和新技术新应用的合法性，落实法律、行政法规、部门规章和标准规定的安全措施的有效性，防控安全风险的有效性等情况进行全面评估，并重点评估下列内容：

（一）确定与所提供服务相适应的安全管理负责人、信息审核人员或者建立安全管理机构的情况；

（二）用户真实身份核验以及注册信息留存措施；

（三）对用户的账号、操作时间、操作类型、网络源地址和目标地址、网络源端口、客户端硬件特征等日志信息，以及用户信息记录的留存措施；

（四）对用户账号和通讯群组名称、昵称、简介、备注、标识，信息、转发、评论和通讯群组等服务功能中违法有害信息的防范处置和有关记录保存措施；

（五）个人信息保护以及防范违法有害信息传播扩散、社会动员功能失控风险的技术措施；

（六）建立投诉、举报制度，公布投诉、举报方式等信息，及时受理并处理有关投诉和举报的情况；

（七）建立为网信部门依法履行互联网信息服务监督管理职责提供技术、数据支持和协助的工作机制的情况；

（八）建立为公安机关、国家安全机关依法维护国家安全和查处违法犯罪提供技术、数据支持和协助的工作机制的情况。

第六条 互联网信息服务提供者在安全评估中发现存在安全隐患的，应当及时整改，直至消除相关安全隐患。

经过安全评估，符合法律、行政法规、部门规章和标准的，应当形成安全评估报告。安全评估报告应当包括下列内容：

（一）互联网信息服务的功能、服务范围、软硬件设施、部署位置等基本情况和相关证照获取情况；

（二）安全管理制度和技术措施落实情况及风险防控效果；

（三）安全评估结论；

（四）其他应当说明的相关情况。

第七条 互联网信息服务提供者应当将安全评估报告通过全国互联网安全管理服务平台提交所在地地市级以上网信部门和公安机关。

具有本规定第三条第一项、第二项情形的，互联网信息服务提供者应当在信息服务、新技术新应用上线或者功能增设前提交安全评估报告；具有本规定第三条第三、四、五项情形的，应当自相关情形发生之日起30个工作日内提交安全评估报告。

第八条 地市级以上网信部门和公安机关应当依据各自职责对安全评估报告进行书面审查。

发现安全评估报告内容、项目缺失，或者安全评估方法明显不当的，应当责令互联网信息服务提供者限期重新评估。

发现安全评估报告内容不清的，可以责令互联网信息服务提供者补充说明。

第九条 网信部门和公安机关根据对安全评估报告的书面审查情况，认为有必要的，应当依据各自职责对互联网信息服务提供者开展现场检查。

网信部门和公安机关开展现场检查原则上应当联合实施，不得干扰互联网信息服务提供者正常的业务活动。

第十条 对存在较大安全风险、可能影响国家安全、社会秩序和公共利益的互联网信息服务，省级以上网信部门和公安机关应当组织专家进行评审，必要时可以会同属地相关部门开展现场检查。

第十一条 网信部门和公安机关开展现场检查，应当依照有关法律、行政法规、部门规章的规定进行。

第十二条 网信部门和公安机关应当建立监测管理制度，加强网络安全风险管理，督促互联网信息服务提供者依法履行网络安全义务。

发现具有舆论属性或社会动员能力的互联网信息服务提供者未按本规定开展安全评估的，网信部门和公安机关应当通知其按本规定开展安全评估。

第十三条 网信部门和公安机关发现具有舆论属性或社会动员能力的互联网信息服务提供者拒不按照本规定开展安全评估的，应当通过全国互联网安全管理服务平台向公众提示该互联网信息服务存在安全风险，并依照各自职责对该互联网信息服务实施监督检查，发现存在违法行为的，应当依法处理。

第十四条 网信部门统筹协调具有舆论属性或社会动员能力的互联网信息服务安全评估工作，公安机关的安全评估工作情况定期通报网信部门。

篇（2）

中图文分类号：TP393.08文献标识码：A文章编号：1009-3044(2008)29-0366-02

Research on Network Security Risk Assessment Appraisal Flow

XING Zhi-jun

(Railway Wagon Transport Branch Co. of China Shenhua Energy, Yulin 719316, China)

Abstract： Along with the network information age development, the Internet becomes people’s work gradually and lives the essential constituent, but also let the people face the multitudinous secret network threat at the same time. In the network security problem is not allow to neglect. This paper introduced the network security risk assessment appraisal flow in detail.

Key words： network security;risk assessment;appraisal flow

1 引言

网络安全风险评估就是通过对计算机网络系统的安全状况进行安全性分析，及时发现并指出存在的安全漏洞，以保证系统的安全。网络安全风险评估在网络安全技术中具有重要的地位，其基本原理是采用多种方法对网络系统可能存在的已知安全漏洞进行检测，找出可能被黑客利用的安全隐患，并根据检测结果向系统管理员提供详细可靠的安全分析报告与漏洞修补建议，以便及早采取措施，保护系统信息资源。

风险评估过程就是在评估标准的指导下，综合利用相关评估技术、评估方法、评估工具，针对信息系统展开全方位的评估工作的完整历程。对信息系统进行风险评估，首先应确保风险分析的内容与范围应该覆盖信息系统的整个体系，应包括：系统基本情况分析、信息系统基本安全状况调查、信息系统安全组织、政策情况分析、信息系统弱点漏洞分析等。

2 风险评估的准备

风险评估的准备过程是组织进行风险评估的基础，是整个风险评估过程有效性的保证。机构对自身信息及信息系统进行风险评估是一种战略性的考虑，其结果将受到机构的业务需求及战略目标、文化、业务流程、安全要求、规模和结构的影响。不同机构对于风险评估的实施过程可能存在不同的要求，因此在风险评估的准备阶段，应该完成以下工作。

1） 确定风险评估的目标

首先应该明确风险评估的目标，为风险评估的过程提供导向。支持机构的信息、系统、应用软件和网络是机构重要的资产。资产的机密性、完整信和可用性对于维持竞争优势、获利能力、法规要求和一个机构的形象是必要的。机构要面对来自四面八方日益增长的安全威胁。一个机构的系统、应用软件和网络可能是严重威胁的目标。同时，由于机构的信息化程度不断提高，对基于信息系统和服务技术的依赖日益增加，一个机构则可能出现更多的脆弱性。机构的风险评估的目标基本上来源于机构业务持续发展的需要、满足相关方的要求、满足法律法规的要求等方面。

2） 确定风险评估的范围

机构进行风险评估可能是由于自身业务要求及战略目标的要求、相关方的要求或者其他原因。因此应根据上述具体原因确定分险评估范围。范围可能是机构全部的信息和信息系统，可能是单独的信息系统，可能是机构的关键业务流程，也可能是客户的知识产权。

3） 建立适当的组织结构

在风险评估过程中，机构应建立适当的组织结构，以支持整个过程的推进，如成立由管理层、相关业务骨干、IT技术人员等组成的风险评估小组。组织结构的建立应考虑其结构和复杂程度，以保证能够满足风险评估的目标、范围。

4） 建立系统型的风险评估方法

风险评估方法应考虑评估的范围、目的、时间、效果、机构文化、人员素质以及具体开展的程度等因素来确定，使之能够与机构的环境和安全要求相适应。

5） 获得最高管理者对风险评估策划的批准

上述所有内容应得到机构的最高管理者的批准，并对管理层和员工进行传达。由于风险评估活动涉及单位的不同领域和人员，需要多方面的协调，必要的、充分的准备是风险评估成功的关键。因此，评估前期准备工作中还应签订合同和机密协议以及选择评估模式。

3 信息资产识别

资产是企业、机构直接赋予了价值因而需要保护的东西，它可能是以多种形式存在的，无形的、有形的，硬件、软件，文档、代码，或者服务、企业形象等。在一般的评估体中，资产大多属于不同的信息系统，如OA系统、网管系统、业务生产系统等，而且对于提供多种业务的机构，业务生产系统的数量还可能会很多。

资产赋值是对资产安全价值的估价，不是以资产的帐面价格来衡量的。在对资产进行估价时，不仅要考虑资产的成本价格，更重要的是要考虑资产对于机构业务的安全重要性，即由资产损失所引发的潜在的影响来决定。为确保资产估价时的一致性和准确定，机构应按照上述原则，建立一个资产价值尺度（资产评估标准），以明确如何对资产进行赋值。资产赋值包括机密性赋值、完整性赋值和可用性赋值。

4 威胁识别

安全威胁是一种对机构及其资产构成潜在破坏的可能性因素或者时间。无论对于多么安全的信息系统，安全威胁是一个客观存在的事物，它是风险评估的重要因素之一。

5 脆弱性识别

脆弱性评估也称为弱点评估，是风险评估中的重要内容。弱点是资产本身存在的，它可以被威胁利用、引起资产或商业目标的损害。弱点包括物理环境、机构、过程、人员、管理、配置、硬件、软件和信息等各种资产的脆弱性。

6 已有安全措施的确认

机构应对已采取的控制措施进行识别并对控制措施的有效性进行确认，将有效的安全控制措施继续保持，以避免不必要的工作和费用，防止控制措施的重复实施。对于那些被认为不适当的控制应核查是否应被取消，或者用更合适的控制代替。安全控制可以分为预防性控制措施和保护性控制措施两种。预防性控制措施可以降低威胁发生的可能性和减少安全脆弱性；而保护性控制措施可以减少因威胁发生所造成的影响。

7 风险识别

根据策划的机构，由评估的人员按照相应的职责和程序进行资产评估、威胁评估、脆弱性评估，在考虑已有安全措施的情况下，利用适当的方法与工具确定威胁利用资产脆弱性发生安全事件的可能性，并结合资产的安全属性受到破坏后的影响来得出资产的安全风险。

8 风险评估结果记录

根据评估实施情况和所搜集到的信息，如资产评估数据、威胁评估数据、脆弱性评估数据等，完成评估报告撰写。评估报告是风险评估结果的记录文件，是机构实施风险管理的主要依据，是对风险评估活动进行评审和认可的基础资料，因此，报告必须做到有据可查，报告内容一般主要包括风险评估范围、风险计算方法、安全问题归纳以及描述、风险级数、安全建议等。风险评估报告还可以包括风险控制措施建议、参与风险描述等。

由于信息系统及其所在环境的不断变化，在信息系统的运行过程中，绝对安全的措施是不存在的。攻击者不断有新的方法绕过或扰乱系统中的安全措施，系统的变化会带来新的脆弱点，实施的安全措施会随着时间而过时等等，所有这些表明，信息系统的风险评估过程是一个动态循环的过程，应周期性的对信息系统安全进行重新评估。

参考文献：

篇（3）

网络安全评估又叫安全评价。一个组织的信息系统经常会面临内部和外部威胁的风险。安全评估利用大量安全性行业经验和漏洞扫描的最先进技术。从内部和外部两个角度。对系统进行全面的评估。

1　网络安全评估标准

网络安全评估标准简介：

1.1　TCSEC

TCSEC标准是计算机系统安全评估的第一个正式标准，具有划时代的意义。该准则于1970年由美国国防科学委员会提出，并于1985年12月由美国国防部公布。TCSEC安全要求由策略(Policy)、保障(Assuerance)类和可追究性(Account-ability)类构成。TCSEC将计算机系统按照安全要从由低到高分为四个等级。四个等级包括D、C、B和A，每个等级下面又分为七个级别：D1、c1、c2、B1、B2、B3和A1七个类别，每一级别要求涵盖安全策略、责任、保证、文档四个方面。

TCSEC安全概念仅仅涉及防护，而缺乏对安全功能检查和如何应对安全漏洞方面问题的研究和探讨，因此TCSEC有很大的局限性。它运用的主要安全策略是访问控制机制。

1.2 1TSEC

ITSEC在1990年由德国信息安全局发起，该标准的制定，有利于欧共体标准一体化，也有利于各国在评估结果上的互认。该标准在TCSEC的基础上，首次提出了信息安全CIA概念(保密性、完整性、可用性)。1TSEC的安全功能要求从F1～F10共分为10级，其中1～5级分别于TCSEC的D-A对应，6～10级的定义为：F6：数据和程序的完整性；F7：系统可用性；F8：数据通信完整性；F9：数据通信保密性；F10：包括机密性和完整性。

1.3　CC

CC标准是由美国发起的，英国、法国、德国等国共同参与制定的，是当前信息系统安全认证方面最权威的标准。CC由三部分组成：见解和一般模型、安全功能要求和安全保证要求。CC提出了从低到高的七个安全保证等级，从EALl到EAL7。该标准主要保护信息的保密性、完整性和可用性三大特性。评估对象包括信息技术产品或系统，不论其实现方式是硬件、固件还是软件。

2　网络安全评估方法

目前网络安全评估方法有很多，有的通过定性的评价给出IT系统的风险情况，有的是通过定量的计算得到IT系统的风险值，从系统的风险取值高低来衡量系统的安全性。现在最常用的还是综合分析法，它是以上两种方式的结合，通过两种方法的结合应用，对系统的风险进行定性和定量的评价。下面介绍几种常见方法。

2.1　确定性评估(点估计)

确定性评估要求输入为单一的数据，比如50％为置信区间的上限值，假设当输入的值大于该值时，一般是表示“最坏的情况”。确定性评估应用比较简单，节省时间，在某些情况下可以采用该方法。点估计的不足在于对风险情况缺乏全面、深入的理解。

2.2　可能性评估(概率评估)

可能性评估要求输入在一个区间范围内的数据，通过该数据分布情况和概率来作出判断，其结果的准确性比较依靠评估者的能力和安全知识水平。

2.3　故障树分析法(FAT)

故障树分析法是一种树形图，也是一种逻辑因果关系图。它从顶事件逐级向下分析各自的直接原因事件，用逻辑门符号连接上下事件，从上到下开始分析直至所要求的分析深度。

3　网络安全评估工具

在信息系统的评估中，我们经常会用到问卷调查和检查列表等。这些只能用于风险评估的某些过程。目前，各大安全公司都先后推出自己的评估工具，使得信息系统的安全评估更加的自动化。常见的评估工具主要有下列几种：

3.1　Asset－1

Asset-1评估工具是以NIST SP800-26为标准制定的用于安全性自我评估的自动化工具。工具的主要功能是进行信息系统安全性的白评估，采用形式是通过用户手动操作进行自评估，达到收集系统安全性相关信息的目的，工具最终生成安全性自评估报告。最终生成的报告只能达到与用户提供的信息统计的准确性，工具并不能引导分析或验证自我评估提供信息的关联性、准确性。

根据NIST安全性自我评估向导，将安全级别分为五级：一般、策略、实施、测验、检验。此工具的每个调查问题都相当于一个命题，陈述为了确保系统的安全性应该做到的相关事项，用户对于问题的回答就是选择系统对于此项命题的安全程度为上述五级中的哪些级别。最后通过统计在某一级别上问题命题和级别选定，来统计系统的安全措施达到的安全级别。

3.2　CC评估工具

CC评估工具由NIAP，由两部分组成：CC PKB和CC ToolBox。

CC PKB是进行CC评估的支持数据库，基于Access构建。使用Access VBA开发了所有库表的管理程序，在管理主窗体中可以完成所有表的记录修改、增加、删除，管理主窗体以基本表为主，并体现了所有库表之间的主要连接关系，通过连接关系可以对其他非基本表的记录进行增删改。

CC ToolBox是进行CC评估的主要工具，主要采用页面调查形式，用户通过依次填充每个页面的调查项来完成评估，最后生成关于评估所进行的详细调查结果和最终评估报告。

CC评估系统依据CC标准进行评估，评估被测达到CC标准的程度，评估主要包括PP评估、TOE评估等。

3.3　COBRA风险管理工具

安全风险分析管理和评估是保证IT安全的一个重要方法，它是组织安全的重要基础。1991年，C＆A Systems SecurityLtd推出了自动化风险管理工具COBRA 1版本。用于风险管理评估。随着COBRA的发展，目前的产品不仅仅具有风险管理功能，还可以用于评估是否符合BS7799标准，是否符合组织自身制定的安全策略。COBRA系列工具包括风险咨询工具、ISO17799／BS7799咨询工具、策略一致性分析工具、数据安全性咨询工具。

COBRA采用调查表的形式，在PC机上使用，基于知识库，类似专家系统的模式。它评估威胁、脆弱性的相关重要性，并生成合适的改进建议。最后针对每类风险形成文字评估报告、风险等级，所指出的风险自动与给系统造成的影响相联系。

COBRA风险评估过程比较灵活，一般都包括问题表构建、风险评估、产生报告。每部分分别由问题表构建、风险评估、产生报告生成三个子系统完成。

3.4　RiskPAC评估工具

RiskPAC是CSCI公司开发的，对组织进行风险评估、业务影响分析的工具，它完成定量和定性风险评估。

RiskPAC将风险分为几个级别，即低级、中级、高级等，针对每个级别都有不同的风险描述，根据不同风险级别问题的构造和回答，完成风险评估。

RiskPAC包括两个独立的工具：问题设计器和调查管理器。其中问题表设计器进行业务分析和风险评估的调查表设计，调查管理器就是将已选定的调查表以易用的形式提供给用户，供用户选择相应答案，根据答案做出分析评估结论。

3.5　RiskWatch工具

使用RiskWatch风险分析工具，用户可以根据实际需求定制风险分析和脆弱性评估过程，而其他风险评估工具都没有提供此项功能。RiskWatch通过两个特性：定量和定性风险分析、预制风险分析模板，为用户提供这种定制功能。

4　总结

网络安全评估是在网络安全领域里最关键的问题。目前，国内外还没形成对网络设备的安全性评估的统一的标准，只是在网络安全的其他方面有所提及到，但也都不没有明确。所以说网络设备的安全性评估这个问题在今后相当长的一段时间中还需要我们网络工作人员及相关的专家在实际工作中和研究中对网络设备的安全性多多关注，以便尽早的在这一方面形成一定的评断标准，填补这方面的空白。

参考文献

篇（4）

中图分类号:TP393.08 文献标识码:A 文章编号:1674-7712 (2012) 12-0073-01

网络技术的创新越来越全面,互联网的普及程度越来越高,网络技术的某些技术被不怀好意者利用,成为人们安全上网的威胁。网络安全越来越成为信息技术发展中人们关注的焦点,成为影响人们应用新技术的障碍,网络安全威胁问题的解除迫在眉睫。

一、网络安全态势研究的概念

网络安全泛指网络系统的硬件、软件、数据信息等具有防御侵袭的能力,以免遭到恶意侵袭的情况下遗失、损坏、更改、泄露,不影响网络系统的照常运行,不间断服务。网络安全从其本质上来讲就是网络上的信息安全。从广义来说,凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。

网络安全态势研究的领域主要由以下三个方面组成:(1)将鱼龙混杂的信息数据进行整合并且加以处理,从而使信息的特征更加明显的反映出来。再通过可视化图形来表现出来,直观的呈现运行机制和结构,使网络管理员更加轻松的工作。(2)数据经过加工处理以后,节省了大量数据存储空间,可以利用以往的数据对网络的历史运行做出分析和判断。(3)找出挖掘数据和网络事件的内在关系,建立数据统计表,对网络管理员预测下一个阶段可能出现的网络安全问题提供信息基础,起到防范于未然的作用。

二、网络安全态势研究的主要难点

现在的网络安全技术主要有;防火墙、入侵检测、病毒检测、脆弱性扫描技术等等。网络安全态势系统的实用化水平很高,如果我们要监控整个网络的态势情况,需要考虑的难点问题有以下几个:(1)需要保证跨越几个位于不同地址的公司的网络安全。(2)网络结构变的越来越复杂。(3)网络安全同时受到多个事件的威胁。(4)需要将网络运行情况可视化。(5)对攻击的响应时间要求变高。(6)为网络超负荷运转提供空间。(7)要求防御系统有较强的系统适应能力。通过以上的对网络安全态势研究的主要内容和研究难点的分析可知,网络安全态势的研究是一个综合了多学科的复杂的过程。

三、网络安全态势现状的评价和预测

网络安全态势分析技术提供的一个功能是告知“网络运行状况是否安全”,并以网络安全态势值的形式呈现出来。网络安全态势值,主要运用数学的方法,通过网络安全态势分析模型,把网络安全信息进行合并综合处理,最终生成可视化的一组或几组数据。计算数值可以把网络运行状况反映出来,并且可以随着网络安全事件发生的频率、数量,以及网络受到威胁程度的不同,智能的做出相应的措施。管理员可以通过数值的变化来综合判断网络是否受到威胁,是否遭受攻击等。

网络安全态势分析技术还可以分析网络现在面临怎样的风险,并可以具体告知用户可能会受到那些威胁,这些情况以网络安全态势评估报告的形式呈现。网络安全态势评估,是将网络原始事件进行预处理后,把具有一定相关性,反映某些网络安全事件特征的信息提取出来,运用一定的数学模型和先验知识,对某些安全事件是否真正发生,给出一个可供参考的、可信的评估概率值。也就是说评估的结果是一组针对某些具体事件发生概率的估计。

网络安全态势评测主要有两种方法:一是将网络安全设备的报警信号进行系统处理、信息采集、实时的呈现网络运行态势;二是对以往信息进行详细分析,采用数据挖掘的手段对潜在可能的威胁进行预测。

每天有庞大的信息量从不同的网络设备中产生,而且来自不同设备的网络信息事件总有一定的联系。安全态势值属于一种整体的预警方法,安全态势评测则是把网络安全信息的内部特点和网络安全之间的联系相结合,当安全事件满足里面的条件,符合里面的规律特点时,安全态势预测体系完全可以根据这些数据和规律及时的判断出来,使网络管理员知道里面的风险由多大。再者,同一等级的风险和事故,对不同配置的服务器所造成的影响是不同的。

目前开发的网络安全评价与检测系统有蚁警网络安全态势分析系统、网络安全态势估计的融合决策模型分析系统、大规模网络安全态势评估系统等。

四、网络安全态势的研究展望

开展大规模网络态势感知可以保障网络信息安全,对于提高网络系统的应急响应能力,缓解网络攻击所造成的危害,发现潜在恶意的入侵行为、提高系统的反击能力等具有十分重要的意义。

一个完整的网络安全态势感知过程应该包括对当前的网络安全态势的掌握和对未来的网络安全态势的分析预测。目前提出的网络安全态势感知框架,较多属于即时或近即时的对当前网络安全态势的了解,不是太深入,因此并不能对未来的网络安全态势变化趋势提供真实有效的预测,网络管理人员也无法据此对网络系统的实际安全状况做出及时、前瞻性的决策。当前,网络安全态势预测一般采用回归分析预测、时间序列预测、指数法预测以及灰色预测等方法。但是在网络安全态势预测研究中,采用何种方法来预测安全态势的未来发展有待于进一步地探讨。

五、小结

随着参加网络的计算机数量迅速的增长和网络安全管理形势的日益严峻,我们对网络的安全管理需要改变被动处理威胁的局面。通过使用网络安全态势分析技术,网络管理者可以判断网络安全整体情况,这样就可以在网络遭受攻击和损失之前,提前采取防御措施,改善网络安全设备的安全策略,达到主动防卫的目的。目前网络安全态势的研究国内还处在起步阶段,需要在相关算法、体系架构、实用模型等方面作更深入的研究。

参考文献:

[1]萧海东.网络安全态势评估与趋势感知的分析研究[D].上海:上海交通大学,2007

篇（5）

众所周知，一个系统全面的计算机安全评估系统是防止黑客入侵计算机的重要保障，安全评估体系能够对整个计算机网络的安全性与防护性作出一个较为科学严谨的分析评估，而且该评估系统还会根据实际的计算机网路安全评估报告来制定相关的计算机安全使用策略。然而，在我们的计算机实际应用中，往往不注意计算机安全评估系统的构建，只注重计算机网络安全事故的预防与事后处理，平时欠缺对计算机网络安全作出及时的评估与监控，给计算机网络安全造成一定的安全隐患。

2计算机外界威胁因素

计算机网络安全事故很多是由计算机外界威胁因素造成的，这其中包括自然环境威胁、网络黑客与病毒的入侵攻击与非法访问操作。自然环境威胁一般是指计算机外在的自然条件不太完善，如各种无法预测的自然灾害、难以控制的计算机外部机器故障等因素。网络黑客与病毒的入侵攻击不但会对计算机的网络安全带来极大的破坏，还会摧毁计算机系统，对计算机自身造成极大的伤害。据估计，未来网络黑客与病毒的摧毁力度将会越来越强，而它们自身的隐蔽性与抗压性也会相应地得到提高，所以说，网络黑客与病毒的存在对计算机网络安全造成严重威胁。而非法访问操作则主要指一些未得到授权，私自越过计算机权限，或者是不法分子借助一些计算机工具去进行计算机程序的编写，从而突破该计算机的网络访问权限，入侵到他人计算机的不法操作。

二、计算机网络安全防范措施

1建立安全可靠的计算机安全防线

安全可靠的计算机安全防线是避免计算机网络不安全因素出现的最关键环节，其构建主要依靠计算机防火墙技术、数据加密技术与病毒查杀技术。防火墙控制技术主要是一种建立在各网络之间的互联设备，能够有效避免不法分子以不正当方式入侵网络内部，防止不法分子盗取计算机网络内部的信息资源，是计算机内部一道强有力的网络安全屏障。数据加密技术的主要作用就是对计算机内部的数据添加密文设置，未经授权的计算机不法分子是无法获取数据、读懂数据的，最终达到保护网络数据传输的正确性与安全性。常用的数据加密技术包括有：保证个网络节点间信息传输正确且安全的链路加密技术、确保计算机始端数据传输与终端数据接收安全的端点加密技术与保证源节点到目的节点之间传输安全可靠的节点加密技术。病毒查杀技术可谓是计算机安全网络防范最为关键的环节。病毒查杀技术一般通过杀毒软件的安装运行去运行的，在计算机安装杀毒软件以后，应当定时对杀毒软件进行实时的监测控制，定期对杀毒软件进行升级处理，按时对计算机进行杀毒扫描，以求及时将计算机内容隐藏病毒进行发现处理。

2提高计算机用户与计算机网络管理人员的安全意识

于个人计算机用户而言，必须要加强计算机网络资源管理意识，根据自己实际需要对计算机设置特殊的口令，确保计算机数据获取的合法性与安全性，避免其他计算机用户以非法手段入侵计算机内部，获取相关计算机网络数据资源，造成计算机网络安全隐患。闲时，计算机用户还必须注意对病毒进行监测清除，避免网络黑客的入侵导致计算机系统崩溃。于社会团体组织而言，必须注重提高内部计算机管理人员的网络安全意识，注意采用适当的方法去培养一批具有专业计算机技术的网络监控人员，打造精英计算机安全管理团队，能及时对网络不法攻击作出处理，构建一个系统全面的计算机网络安全管理体系，致力打造一个安全可靠的计算机网络环境。

3完善计算机网络安全制度

健全的计算机网络安全制度不但可以规范计算机网络安全使用，还能够借助法律法规等强硬手段去彻底打击计算机网络犯罪，及时对计算机网络不法分子给予相关惩处，保证了计算机网络环境的安全可靠。因此，加强并且定期完善计算机网络安全立法制度是十分必要的。

4其他管理措施

计算机网络安全防范仅仅依靠强硬的计算机安全防御系统与专业的计算机网络安全管理技术人员是远远不够的，还必须定期对计算机网络系统进行一系列的专业评估与监测控制，实时对计算机网络运行、数据传输过程进行监控，热切关注计算机内部系统是否存在一些漏洞，一旦发现漏洞，要尽早处理，避免其他计算机病毒的攻击。

篇（6）

众所周知,一个系统全面的计算机安全评估系统是防止黑客入侵计算机的重要保障,安全评估体系能够对整个计算机网络的安全性与防护性作出一个较为科学严谨的分析评估,而且该评估系统还会根据实际的计算机网路安全评估报告来制定相关的计算机安全使用策略。然而,在我们的计算机实际应用中,往往不注意计算机安全评估系统的构建,只注重计算机网络安全事故的预防与事后处理,平时欠缺对计算机网络安全作出及时的评估与监控,给计算机网络安全造成一定的安全隐患。

2计算机外界威胁因素

计算机网络安全事故很多是由计算机外界威胁因素造成的,这其中包括自然环境威胁、网络黑客与病毒的入侵攻击与非法访问操作。自然环境威胁一般是指计算机外在的自然条件不太完善,如各种无法预测的自然灾害、难以控制的计算机外部机器故障等因素。网络黑客与病毒的入侵攻击不但会对计算机的网络安全带来极大的破坏,还会摧毁计算机系统,对计算机自身造成极大的伤害。据估计,未来网络黑客与病毒的摧毁力度将会越来越强,而它们自身的隐蔽性与抗压性也会相应地得到提高,所以说,网络黑客与病毒的存在对计算机网络安全造成严重威胁。而非法访问操作则主要指一些未得到授权,私自越过计算机权限,或者是不法分子借助一些计算机工具去进行计算机程序的编写,从而突破该计算机的网络访问权限,入侵到他人计算机的不法操作。

二、计算机网络安全防范措施

1建立安全可靠的计算机安全防线

安全可靠的计算机安全防线是避免计算机网络不安全因素出现的最关键环节,其构建主要依靠计算机防火墙技术、数据加密技术与病毒查杀技术。防火墙控制技术主要是一种建立在各网络之间的互联设备,能够有效避免不法分子以不正当方式入侵网络内部,防止不法分子盗取计算机网络内部的信息资源,是计算机内部一道强有力的网络安全屏障。数据加密技术的主要作用就是对计算机内部的数据添加密文设置,未经授权的计算机不法分子是无法获取数据、读懂数据的,最终达到保护网络数据传输的正确性与安全性。常用的数据加密技术包括有:保证个网络节点间信息传输正确且安全的链路加密技术、确保计算机始端数据传输与终端数据接收安全的端点加密技术与保证源节点到目的节点之间传输安全可靠的节点加密技术。病毒查杀技术可谓是计算机安全网络防范最为关键的环节。病毒查杀技术一般通过杀毒软件的安装运行去运行的,在计算机安装杀毒软件以后,应当定时对杀毒软件进行实时的监测控制,定期对杀毒软件进行升级处理,按时对计算机进行杀毒扫描,以求及时将计算机内容隐藏病毒进行发现处理。

2提高计算机用户与计算机网络管理人员的安全意识

于个人计算机用户而言,必须要加强计算机网络资源管理意识,根据自己实际需要对计算机设置特殊的口令,确保计算机数据获取的合法性与安全性,避免其他计算机用户以非法手段入侵计算机内部,获取相关计算机网络数据资源,造成计算机网络安全隐患。闲时,计算机用户还必须注意对病毒进行监测清除,避免网络黑客的入侵导致计算机系统崩溃。于社会团体组织而言,必须注重提高内部计算机管理人员的网络安全意识,注意采用适当的方法去培养一批具有专业计算机技术的网络监控人员,打造精英计算机安全管理团队,能及时对网络不法攻击作出处理,构建一个系统全面的计算机网络安全管理体系,致力打造一个安全可靠的计算机网络环境。

3完善计算机网络安全制度

健全的计算机网络安全制度不但可以规范计算机网络安全使用,还能够借助法律法规等强硬手段去彻底打击计算机网络犯罪,及时对计算机网络不法分子给予相关惩处,保证了计算机网络环境的安全可靠。因此,加强并且定期完善计算机网络安全立法制度是十分必要的。

4其他管理措施

篇（7）

这个时期内，在微软Windows上共发现了39处漏洞，其中12个属高优先级或严重级。微软修复这些漏洞的平均时间仅为21天，而Linux操作系统在2006年下半年共曝露了208处漏洞，修复这些漏洞平均耗时58天。

该报告涵盖了2006年后半年发现的数量庞大的一系列安全漏洞。 但是这种以发现安全漏洞数量的多少和修复漏洞时间的长短为依据来判定安全与否，是否是惟一答案？

中科红旗产品经理王旭认为，关于安全漏洞是不可避免，但评价漏洞对安全影响多少要综合起来看漏洞问题和所带来的实际危害。Linux系统的安全漏洞大部分被社区发现，而相反，Windows漏洞大部分都是被黑客发现而进行恶意攻击和利用，所以并不能单靠哪个系统发现的漏洞多少和修复时间长短来判定哪个系统是最安全。

事实上，近两年Linux系统的应用越来越广泛，这也要求客户在实际应用中应采用适当的安全机制，那么基于Linux系统的网络安全策略和保护措施都有哪些？

中科红旗副总裁郑忠源告诉我们，有下面几点是需要特别考虑的，一是身份验证是否收到保护;二是对安全管理员而言，对其自主访问用户的控制;三是网络上的安全细节，比如对其端口保护等;四是审计监督，即什么用户，在什么时候进行登录，都要有所记录，Windows日志也会跟综这方面的登录信息，但经常有高明黑客能很容易删除日志，所以也很难发现黑客痕迹。

微软在Vista的宣传资料中所说，Vista是目前为止微软推出的最安全的操作系统。微软承诺说，历经了5年开发而成的Vista将让桌面用户进入一个可信计算的新世界，在这个世界里，电脑将更可靠、使用者得到更好的体验、臭名昭著的恶意软件将成为过去。

篇（8）

为切实履行通信网络安全管理职责，提高通信网络安全防护水平，依据《中华人民共和国电信条例》，工业和信息化部起草了《通信网络安全防护监督管理办法(征求意见稿)》，现予以公告，征求意见。请于2009年9月4日前反馈意见。

联系地址:北京西长安街13号工业和信息化部政策法规司(邮编:100804)

电子邮件:wangxiaofei@miit.gov.cn

附件:《通信网络安全防护监督管理办法(征求意见稿)》

通信网络安全防护监督管理办法

(征求意见稿)

第一条(目的依据)为加强对通信网络安全的管理，提高通信网络安全防护能力，保障通信网络安全畅通，根据《中华人民共和国电信条例》，制定本办法。

第二条(适用范围)中华人民共和国境内的电信业务经营者和互联网域名服务提供者(以下统称“通信网络运行单位”)管理和运行的公用通信网和互联网(以下统称“通信网络”)的网络安全防护工作，适用本办法。

本办法所称互联网域名服务，是指设置域名数据库或域名解析服务器，为域名持有者提供域名注册或权威解析服务的行为。

本办法所称网络安全防护工作，是指为防止通信网络阻塞、中断、瘫痪或被非法控制等以及通信网络中传输、存储、处理的数据信息丢失、泄露或被非法篡改等而开展的相关工作。

第三条(管辖职责)中华人民共和国工业和信息化部(以下简称工业和信息化部)负责全国通信网络安全防护工作的统一指导、协调、监督和检查，建立健全通信网络安全防护体系，制订通信网络安全防护标准。

省、自治区、直辖市通信管理局(以下简称“通信管理局”)依据本办法的规定，对本行政区域内通信网络安全防护工作进行指导、协调、监督和检查。

工业和信息化部和通信管理局统称“电信管理机构”。

第四条(责任主体)通信网络运行单位应当按照本办法和通信网络安全防护政策、标准的要求开展通信网络安全防护工作，对本单位通信网络安全负责。

第五条(方针原则)通信网络安全防护工作坚持积极防御、综合防范的方针，实行分级保护的原则。

第六条(同步要求)通信网络运行单位规划、设计、新建、改建通信网络工程项目，应当同步规划、设计、建设满足通信网络安全防护标准要求的通信网络安全保障设施，并与主体工程同时进行验收和投入运行。

已经投入运行的通信网络安全保障设施没有满足通信网络安全防护标准要求的，通信网络运行单位应当进行改建。

通信网络安全保障设施的规划、设计、新建、改建费用，应当纳入本单位建设项目预算。

第七条(分级保护要求)通信网络运行单位应当按照通信网络安全防护标准规定的方法，对本单位已正式投入运行的通信网络进行单元划分，将各通信网络单元按照其对国家和社会经济发展的重要程度由低到高分别划分为一级、二级、三级、四级、五级。

通信网络单元的分级结果应由接受其备案的电信管理机构组织专家进行评审。

通信网络运行单位应当根据实际情况适时调整通信网络单元的划分和级别。通信网络运行单位调整通信网络单元的划分和级别的，应当按照前款规定重新进行评审。

第八条(备案要求1)通信网络运行单位应当按照下列规定在通信网络投入运行后30日内将通信网络单元向电信管理机构备案:

(一)基础电信业务经营者集团公司直接管理的通信网络单元，向工业和信息化部备案；基础电信业务经营者各省(自治区、直辖市)子公司、分公司负责管理的通信网络单元，向当地通信管理局备案。

(二)增值电信业务经营者的通信网络单元，向电信业务经营许可证的发证机构备案。

(三)互联网域名服务提供者的通信网络单元，向工业和信息化部备案。

第九条(备案要求2)通信网络运行单位办理通信网络单元备案，应当提交以下信息:

(一)通信网络单元的名称、级别、主要功能等。

(二)通信网络单元责任单位的名称、联系方式等。

(三)通信网络单元主要负责人的姓名、联系方式等。

(四)通信网络单元的拓扑架构、网络边界、主要软硬件及型号、关键设施位址等。

前款规定的备案信息发生变化的，通信网络运行单位应当自变更之日起15日内向电信管理机构变更备案。

第十条(备案审核)电信管理机构应当自收到通信网络单元备案申请后20日内完成备案信息审核工作。备案信息真实、齐全、符合规定形式的，应当予以备案；备案信息不真实、不齐全或者不符合规定形式的，应当通知备案单位补正。

第十一条(符合性评测要求)通信网络运行单位应当按照通信网络安全防护标准的要求，落实与通信网络单元级别相适应的安全防护措施，并自行组织进行符合性评测。评测方法应当符合通信网络安全防护标准的有关规定。

三级及三级以上通信网络单元，应当每年进行一次符合性评测；二级通信网络单元，应当每两年进行一次符合性评测。通信网络单元的级别调整后，应当及时重新进行符合性评测。

符合性评测结果及整改情况或者整改计划应当于评测结束后30日内报送通信网络单元的备案机构。

第十二条(风险评估要求)通信网络运行单位应当对通信网络单元进行经常性的风险评估，及时消除重大网络安全隐患。风险评估方法应当符合通信网络安全防护标准的有关规定。

三级及三级以上通信网络单元，应当每年进行一次风险评估；二级通信网络单元，应当每两年进行一次风险评估；国家重大活动举办前，三级及三级以上通信网络单元应当进行风险评估。

风险评估结果及隐患处理情况或者处理计划应当于风险评估结束后30日内上报通信网络单元的备案机构。

第十三条(灾难备份要求)通信网络运行单位应当按照通信网络安全防护标准的要求，对通信网络单元的重要线路、设备、系统和数据等进行备份。

第十四条(演练要求)通信网络运行单位应当定期或不定期组织演练检验通信网络安全防护措施的有效性，并参加电信管理机构组织开展的演练。

第十五条(监测要求)通信网络运行单位应当对本单位通信网络的安全状况进行自主监测，按照通信网络安全防护标准建设和运行通信网络安全监测系统。

通信网络运行单位的监测系统应当按照电信管理机构的要求，与电信管理机构的监测系统互联。

第十六条(CNCERT职责)工业和信息化部委托国家计算机网络应急技术处理协调中心建设和运行互联网网络安全监测系统。

第十七条(安全服务规范)通信网络运行单位委托其他单位进行安全评测、评估、监测等工作的，应当加强对受委托单位的管理，保证其服务符合通信网络安全防护标准及有关法律、法规和政策的要求。

第十八条(监督检查)电信管理机构应当根据本办法和通信网络安全防护政策、标准，对通信网络运行单位开展通信网络安全防护工作的情况进行监督检查。

第十九条(检查措施)电信管理机构有权采取以下措施对通信网络安全防护工作进行监督检查:

(一)查阅通信网络运行单位的符合性评测报告和风险评估报告。

(二)查阅通信网络运行单位的有关文档和工作记录。

(三)向通信网络运行单位工作人员询问了解有关情况。

(四)查验通信网络运行单位的有关设施。

(五)对通信网络进行技术性分析和测试。

(六)采用法律、行政法规规定的其他检查方式。

第二十条(委托检查)电信管理机构可以委托网络安全检测专业机构开展通信网络安全检测活动。

第二十一条(配合检查的义务)通信网络运行单位对电信管理机构及其委托的专业机构依据本办法开展的监督检查和检测活动应当予以配合，不得拒绝、阻挠。

第二十二条(规范检查单位)电信管理机构及其委托的专业机构对通信网络安全防护工作进行监督检查和检测，不得影响通信网络的正常运行，不得收取任何费用，不得要求接受监督检查的单位购买指定品牌或者指定生产、销售单位的安全软件、设备或者其他产品。

第二十三条(规范检查人员)电信管理机构及其委托的专业机构的监督检查人员应当忠于职守、坚持原则，不得泄漏监督检查工作中知悉的国家秘密、商业秘密、技术秘密和个人隐私。

第二十四条(对专业机构的要求)电信管理机构委托的专业机构进行检测时，应当书面记录检查的对象、时间、地点、内容、发现的问题等，由检查单位和被检查单位相关负责人签字盖章后，报委托方。

第二十五条(罚则1)违反本办法第六条、第七条、第八条、第九条、第十一条、第十二条、第十三条、第十四条、第十五条、第十七条、第二十一条规定的，由电信管理机构责令改正，给予警告，并处5000元以上3万元以下的罚款。

篇（9）

        0  引言

        如何保证合法网络用户对资源的合法访问以及如何防止网络黑客的攻击，已经成为网络安全的主要内容。

        1  网络安全威胁

        1.1 网络中物理的安全威胁  例如空气温度、湿度、尘土等环境故障、以及设备故障、电源故障、电磁干扰、线路截获等。

        1.2 网络中信息的安全威胁  ①蠕虫和病毒。计算机蠕虫和病毒是最常见的一类安全威胁。蠕虫和病毒会严重破坏业务的连续性和有效性。随着病毒变得更智能、更具破坏性，其传播速度也更快，甚至能在片刻间使信息处理处于瘫痪状态，而要清除被感染计算机中的病毒所要耗费的时一间也更长。②黑客攻击。“黑客”一词由英语hacker英译而来，原意是指专门研究、发现计算机和网络漏洞的计算机爱好者。现如今主要用来描述那些掌握高超的网络计算机技术窃取他人或企业部门重要数据从中获益的人。黑客攻击主要包括系统入侵、网络监听、密文破解和拒绝服务（dts）攻击等。

        2  网络安全技术

        为了消除上述安全威胁，企业、部门或个人需要建立一系列的防御体系。目前主要有以下几种安全技术：

        2.1 密码技术  在信息传输过程中，发送方先用加密密钥，通过加密设备或算法，将信息加密后发送出去，接收方在收到密文后，用解密密钥将密文解密，恢复为明文。如果传输中有人窃取，也只能得到无法理解的密文，从而对信息起到保密作用。

        2.2 身份认证技术  通过建立身份认证系统可实现网络用户的集中统一授权，防止未经授权的非法用户使用网络资源。在网络环境中，信息传至接收方后，接收方首先要确认信息发送方的合法身份，然后才能与之建立一条通信链路。身份认证技术主要包括数字签名、身份验证和数字证明。

        2.3 病毒防范技术  计算机病毒实际上是一种恶意程序，防病毒技术就是识别出这种程序并消除其影响的一种技术。从防病毒产品对计算机病毒的作用来讲，防病毒技术可以直观地分为病毒预防技术、病毒检测技术和病毒清除技术。   

        ①病毒预防技术。计算机病毒的预防是采用对病毒的规则进行分类处理，而后在程序运作中凡有类似的规则出现则认定是计算机病毒。病毒预防技术包括磁盘引导区保护、加密可执行程序、读写控制技术和系统监控技术等。②病毒检测技术。它有两种：一种是根据计算机病毒的关键字、特征程序段内容、病毒特征及传染方式、文件长度的变化，在特征分类的基础上建立的病毒检测技术；另一种是不针对具体病毒程序的自身校验技术，即对某个文件或数据段进行检验和计算并保存其结果，以后定期或不定期地以保存的结果对该文件或数据段进行检验，若出现差异，即表示该文件或数据段完整性己遭到破坏，感染上了病毒，从而检测到病毒的存在。③病毒清除技术。计算机病毒的清除技术是计算机病毒检测技术发展的必然结果，是计算机病毒传染程序的一个逆过程。目前，清除病毒大都是在某种病毒出现后，通过对其进行分析研究而研制出来的具有相应解毒功能的软件。这类软件技术发展往往是被动的，带有滞后性。而且由于计算机软件所要求的精确性，杀毒软件有其局限性，对有些变种病毒的清除无能为力。

        2.4 入侵检测技术  入侵检测技术是一种能够及时发现并报告系统中未授权或异常现象的技术，也是一种用于检测计算机网络中违反安全策略行为的技术。

        入侵检测系统所采用的技术可分为特征检测与异常检测两种。

        ①特征检测的假设是入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。它可以将己有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。②异常检测的假设是入侵者活动异常于正常主体的活动。根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。异常检测的难题在于如何建立“活动简档”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。

        2.5 漏洞扫描技术  漏洞扫描就是对系统中重要的数据、文件等进行检查，发现其中可被黑客所利用的漏洞。漏洞检测技术就是通过对网络信息系统进行检查，查找系统安全漏洞的一种技术。它能够预先评估和分析系统中存在的各种安全隐患，换言之，漏洞扫描就是对系统中重要的数据、文件等进行检查，发现其中可被黑客所利用的漏洞。随着黑客人侵手段的日益复杂和通用系统不断发现的安全缺陷，预先评估和分析网络系统中存在的安全问题已经成为网络管理员们的重要需求。漏洞扫描的结果实际上就是系统安全性能的评估报告，它指出了哪些攻击是可能的，因此成为网络安全解决方案中的一个重要组成部分。

        漏洞扫描技术主要分为被动式和主动式两种：

        ①被动式是基于主机的检测，对系统中不合适的设置、脆弱的口令以及其他同安全规则相抵触的对象进行检查。②主动式则是基于对网络的主动检测，通过执行一些脚本文件对系统进行攻击，并记录它的反应，从而发现其中的漏洞。

篇（10）

第二条　中华人民共和国境内的电信业务经营者和互联网域名服务提供者(以下统称通信网络运行单位)管理和运行的公用通信网和互联网(以下统称通信网络)的网络安全防护工作，适用本办法。

本办法所称互联网域名服务，是指设置域名数据库或者域名解析服务器，为域名持有者提供域名注册或者权威解析服务的行为。

本办法所称网络安全防护工作，是指为防止通信网络阻塞、中断、瘫痪或者被非法控制，以及为防止通信网络中传输、存储、处理的数据信息丢失、泄露或者被篡改而开展的工作。

第三条　通信网络安全防护工作坚持积极防御、综合防范、分级保护的原则。

第四条　中华人民共和国工业和信息化部(以下简称工业和信息化部)负责全国通信网络安全防护工作的统一指导、协调和检查，组织建立健全通信网络安全防护体系，制定通信行业相关标准。

各省、自治区、直辖市通信管理局(以下简称通信管理局)依据本办法的规定，对本行政区域内的通信网络安全防护工作进行指导、协调和检查。

工业和信息化部与通信管理局统称电信管理机构。

第五条　通信网络运行单位应当按照电信管理机构的规定和通信行业标准开展通信网络安全防护工作，对本单位通信网络安全负责。

第六条　通信网络运行单位新建、改建、扩建通信网络工程项目，应当同步建设通信网络安全保障设施，并与主体工程同时进行验收和投入运行。

通信网络安全保障设施的新建、改建、扩建费用，应当纳入本单位建设项目概算。

第七条　通信网络运行单位应当对本单位已正式投入运行的通信网络进行单元划分，并按照各通信网络单元遭到破坏后可能对国家安全、经济运行、社会秩序、公众利益的危害程度，由低到高分别划分为一级、二级、三级、四级、五级。

电信管理机构应当组织专家对通信网络单元的分级情况进行评审。

通信网络运行单位应当根据实际情况适时调整通信网络单元的划分和级别，并按照前款规定进行评审。

第八条　通信网络运行单位应当在通信网络定级评审通过后三十日内，将通信网络单元的划分和定级情况按照以下规定向电信管理机构备案：

(一)基础电信业务经营者集团公司向工业和信息化部申请办理其直接管理的通信网络单元的备案;基础电信业务经营者各省(自治区、直辖市)子公司、分公司向当地通信管理局申请办理其负责管理的通信网络单元的备案;

(二)增值电信业务经营者向作出电信业务经营许可决定的电信管理机构备案;

(三)互联网域名服务提供者向工业和信息化部备案。

第九条　通信网络运行单位办理通信网络单元备案，应当提交以下信息：

(一)通信网络单元的名称、级别和主要功能;

(二)通信网络单元责任单位的名称和联系方式;

(三)通信网络单元主要负责人的姓名和联系方式;

(四)通信网络单元的拓扑架构、网络边界、主要软硬件及型号和关键设施位置;

(五)电信管理机构要求提交的涉及通信网络安全的其他信息。

前款规定的备案信息发生变化的，通信网络运行单位应当自信息变化之日起三十日内向电信管理机构变更备案。

通信网络运行单位报备的信息应当真实、完整。

第十条　电信管理机构应当对备案信息的真实性、完整性进行核查，发现备案信息不真实、不完整的，通知备案单位予以补正。

第十一条　通信网络运行单位应当落实与通信网络单元级别相适应的安全防护措施，并按照以下规定进行符合性评测：

(一)三级及三级以上通信网络单元应当每年进行一次符合性评测;

(二)二级通信网络单元应当每两年进行一次符合性评测。

通信网络单元的划分和级别调整的，应当自调整完成之日起九十日内重新进行符合性评测。

通信网络运行单位应当在评测结束后三十日内，将通信网络单元的符合性评测结果、整改情况或者整改计划报送通信网络单元的备案机构。

第十二条　通信网络运行单位应当按照以下规定组织对通信网络单元进行安全风险评估，及时消除重大网络安全隐患：

(一)三级及三级以上通信网络单元应当每年进行一次安全风险评估;

(二)二级通信网络单元应当每两年进行一次安全风险评估。

国家重大活动举办前，通信网络单元应当按照电信管理机构的要求进行安全风险评估。

通信网络运行单位应当在安全风险评估结束后三十日内，将安全风险评估结果、隐患处理情况或者处理计划报送通信网络单元的备案机构。

第十三条　通信网络运行单位应当对通信网络单元的重要线路、设备、系统和数据等进行备份。

第十四条　通信网络运行单位应当组织演练，检验通信网络安全防护措施的有效性。

通信网络运行单位应当参加电信管理机构组织开展的演练。

第十五条　通信网络运行单位应当建设和运行通信网络安全监测系统，对本单位通信网络的安全状况进行监测。

第十六条　通信网络运行单位可以委托专业机构开展通信网络安全评测、评估、监测等工作。

工业和信息化部应当根据通信网络安全防护工作的需要，加强对前款规定的受托机构的安全评测、评估、监测能力指导。

第十七条　电信管理机构应当对通信网络运行单位开展通信网络安全防护工作的情况进行检查。

电信管理机构可以采取以下检查措施：

(一)查阅通信网络运行单位的符合性评测报告和风险评估报告;

(二)查阅通信网络运行单位有关网络安全防护的文档和工作记录;

(三)向通信网络运行单位工作人员询问了解有关情况;

(四)查验通信网络运行单位的有关设施;

(五)对通信网络进行技术性分析和测试;

(六)法律、行政法规规定的其他检查措施。

第十八条　电信管理机构可以委托专业机构开展通信网络安全检查活动。

第十九条　通信网络运行单位应当配合电信管理机构及其委托的专业机构开展检查活动，对于检查中发现的重大网络安全隐患，应当及时整改。

第二十条　电信管理机构对通信网络安全防护工作进行检查，不得影响通信网络的正常运行，不得收取任何费用，不得要求接受检查的单位购买指定品牌或者指定单位的安全软件、设备或者其他产品。

第二十一条　电信管理机构及其委托的专业机构的工作人员对于检查工作中获悉的国家秘密、商业秘密和个人隐私，有保密的义务。