廖其耀，李若虹

（广西壮族自治区信息安全测评中心，南宁 530001）

1 网络与信息安全“三同步”

网络与信息安全“三同步”，指在信息系统生命周期中，网络与信息安全要实现“同步规划”、“同步建设”、“同步使用”[1]。

“三同步”是信息系统自身的要求。信息系统是为特定业务目标信息化而构建的，而信息安全是信息系统的安全保障。一般而言，信息系统生命周期包括规划、建设、使用/运营三个阶段。其中建设又包括系统分析、系统设计（概要设计/详细设计）、系统实施/编码、系统验收等阶段。只有落实“三同步”，在项目规划、建设阶段中强化落实安全要求，才能避免在后期的运营/使用阶段进行安全整改导致的业务风险大、改造难度大、投入成本高、耗时、耗力。只有落实“三同步”，才能有效形成信息系统的安全防护能力，为做好后续运维工作打下基础。

2 网络安全等级保护

《网络安全法》规定“国家实行网络安全等级保护制度”[1]。等级保护，指对信息系统按等级进行保护，对信息产品/信息安全产品按等级进行管理，对信息安全事件按等级进行应对[2]。等级保护基于“自主保护”，“重点保护”，“同步建设”，“动态调整”等原则，为系统备案单位协调信息安全与信息化工作、开展等级保护提供了指导。

当前我国等保的工作流程包括定级、备案、测评、建设/整改、监督检查共5个步骤。定级指信息系统运营/使用单位根据信息系统的重要程度、信息系统遭到破坏后的危害程度确定信息系统等级。备案指信息系统运营单位对二级以上信息系统到所在地市级以上公安机关办理备案手续。……