等级保护2.0技术合规要求分析和实践
可信计算合规
等保2.0将安全防护从被动防御转变为主动防御、动态防御，可信计算成为重要落地方案。标准强化了可信计算安全技术要求的使用，要求对系统中应用和配置文件、参数进行验证，保障系统在可信环境下运行。腾讯内部实践场景主要面向服务器层面，通过供应链方案和自研安全方案解决可信计算应用中的挑战，并持续优化测试和部署。
密码技术合规
等保2.0对密码技术的应用和管理进行了强化，包括通信传输、数据存储、身份鉴别、产品采购、使用和密钥管理中均有密码相关的要求。密码技术主要解决身份鉴别、传输通道的通信安全、存储过程的数据安全、使用过程的抗抵赖安全四类问题。腾讯云打造了基于云平台的云数据安全中台架构，实现了端到端的云数据全生命周期安全体系，并落地了面向云平台以及云租户的密码技术应用服务。企业应遵循《密码法》相关规定以及等保2.0的相关要求，对关键信息系统采用商用密码进行保护，并进行密码安全性评估。
操作系统镜像等保合规
等保2.0对操作系统等保合规提出了更细致的要求，但标准中仅提供了较粗的技术参数要求，缺乏可落地的执行建议。腾讯云构建了多个主流操作系统等保合规基线，实现了工具化批量配置，可快速帮助用户摆脱复杂操作和配置的困扰。同时，腾讯云内部参考专业测评机构指导以及自身实践，构建并持续维护一套默认符合等保测评要求的系统镜像，覆盖CentOS/Ubuntu/Windows等主流操作系统。
IPv6网络安全合规实践
IoT、5G、IPv6等新技术新应用对网络安全提出了更高的要求，安全算力成为关键。腾讯在安全算力方面持续深耕细作，并在众多算力需求巨大的场景实践中发挥出积极效应。IPv6网络带来了新的安全问题，如传统安全问题依然存在、报文监听、应用层攻击、泛洪攻击、分片攻击、地址欺骗、网络架构问题、海量地址“造福”攻击者、影子IT更难于管理等。企业应积极响应IPv6规模部署行动计划，建立针对IPv6网络的安全评估和应急预案等文档体系。
等级保护2.0安全管理合规要求分析
等保2.0安全管理部分的核心偏向于上层建筑，类似国际安全体系中的IT治理，主要是定目标、出战略、树文化。标准对安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理、IPv6合规等方面提出了明确要求。企业应建立完善的安全管理制度体系，明确安全管理机构职责和人员配备，加强安全人员管理，做好安全建设管理和运维管理，并积极响应IPv6规模部署行动计划。
腾讯等级保护2.0合规体系建设和腾讯云等级保护解决方案实践
腾讯公司一直将等级保护作为网络安全的基线认真对待，公司在等级保护合规体系建设工作上分为合规运营、体系完善和生态赋能三个阶段。腾讯云基于国内等级保护要求，并紧随不同行业、领域、国家的合规要求，建立起一套融合的云安全合规体系。腾讯安全专家咨询中心将腾讯公司自有重要信息系统的等级保护的经验和腾讯安全产品与解决方案结合，形成了一套可覆盖等级保护建设与测评全生命周期的标准化服务产品，并通过对外输出等级保护最佳实践经验来赋能企事业单位等级保护建设。
