张冬乐

【关键词】国有企业;信息系统;安全等级保护;等保2.0

《中国人民共和国网络安全法》明确了网络空间的主权原则，将网络安全工作提高到法律高度，体现了网络安全作为国家战略的决策，也为等保2.0建设提供了法治基础，标志着我国全面进入信息安全2.0时代。等保2.0要求国有企业从被动防御转向主动防范风险，网络安全不再是一次性安全设施投入，“合规”将成为常态需求。在新的等保要求下，国有投资企业只有构建感知、检测、响应、预防的闭环管理才能实现网络安全风险全生命周期管理。

《中国人民共和国网络安全法》已经将等级保护制度上升为法律，等级保护从传统的信息系统层面上升到了网络空间安全的层面，等保2.0的定级方式更加规范化，等保2.0的定级并不是1.0标准下的用户自主定級，而是需要参照定级指南进行定级，确保等保工作更加规范化。除了满足等保1.0时代定级、备案、建设整改、等级测评和监督检查五个规定流程外，等保2.0把风险评估、安全监测、通报预警、事件调查等措施全部纳入等级保护制度并加以实施，保护对象也从传统的网络和信息系统向“云大物智移”扩展[1]。

（一）信息安全问题表现形式复杂化

投资型国有企业可以被看成是金融行业的一个分支，因此面临的网络攻击类型相对集中，主要包括恶意扫码、网络攻击、木马蠕虫和拒绝服务攻击。安全攻击频次高，攻击来源集中。特别是投资行业的业务链条较长，涉及多个线上线下相结合的复杂业务场景，影响投资型公司信息安全的风险因素较多，风险管控复杂。……