2018年2月26日悬镜安全成功入驻信安在线平台，被正式授予信息安全服务合作伙伴。双方将基于对新形势下信息安全服务发展的深入理解和探索实践，打造更加完善的安全服务交付体验和解决方案闭环，保障政企用户核心业务的安全高效运行。

​信安在线颁发信息安全服务合作伙伴牌匾

信安在线（www.cnmstl.net)是公安部第三研究所（国家网络与信息系统安全产品质量监督检验中心）的信息安全服务平台，由上海嘉韦思信息技术有限公司提供技术支持和联合运营。信安在线立足于帮助用户解决信息安全建设中投入产出的价值化问题，为用户提供权威、专业、全面、高性价比的信息安全服务，定位成为信息安全“生态型”平台，连接需求方、产品服务提供方、政府管理机构，平台设计了包括资讯中心、产品与服务、证书中心、厂商入驻、信安生态等板块，为用户提供全方位、便捷的信息安全服务。

悬镜安全（www.xmirror.cn），北京安普诺信息技术有限公司旗下基于DevSecOps【云+端】一站式安全加固解决方案的云主机安全品牌，由北京大学白帽黑客子芽发起创立，核心业务主要包括悬镜服务器卫士、云鉴漏洞扫描云平台等自主创新产品与政企安全服务，专注为企业提供创新灵活的综合安全防护解决方案。2016年5月获360企业安全集团PreA轮战略投资，目前为国家高新、中关村高新及ISO27001/20000/9001认证企业。

目前悬镜安全基于网络攻防对抗实战经验的漏洞检测、渗透测试、风险评估，安全加固等创新服务均已成功入驻信安在线平台。

厂商名片-悬镜安全

一朝天倾孙刘家,知音互话盟结佳。本次与信安在线的合作是双方战略完美的对接，是强强联合的典范。信安在线作为公安部第三研究所（国家网络与信息系统安全产品质量监督检验中心）下的权威信息安全平台，一方面需要更多技术领先的专业安全厂商为政企客户提供创新的安全解决方案，另一方面对战略合作伙伴综合能力的筛选也有着严格的要求。而悬镜安全作为云主机安全领导品牌，自身有着得天独厚的技术优势。双方无论是在信息安全服务实施和交付上，还是自动化产品智能解决方案定制研发方面，都有着高度的合作性。

2018年2月26日悬镜安全成功入驻信安在线平台，被正式授予信息安全服务合作伙伴。双方将基于对新形势下信息安全服务发展的深入理解和探索实践，打造更加完善的安全服务交付体验和解决方案闭环，保障政企用户核心业务的安全高效运行。

​信安在线颁发信息安全服务合作伙伴牌匾

信安在线（www.cnmstl.net)是公安部第三研究所（国家网络与信息系统安全产品质量监督检验中心）的信息安全服务平台，由上海嘉韦思信息技术有限公司提供技术支持和联合运营。信安在线立足于帮助用户解决信息安全建设中投入产出的价值化问题，为用户提供权威、专业、全面、高性价比的信息安全服务，定位成为信息安全“生态型”平台，连接需求方、产品服务提供方、政府管理机构，平台设计了包括资讯中心、产品与服务、证书中心、厂商入驻、信安生态等板块，为用户提供全方位、便捷的信息安全服务。

悬镜安全（www.xmirror.cn），北京安普诺信息技术有限公司旗下基于DevSecOps【云+端】一站式安全加固解决方案的云主机安全品牌，由北京大学白帽黑客子芽发起创立，核心业务主要包括悬镜服务器卫士、云鉴漏洞扫描云平台等自主创新产品与政企安全服务，专注为企业提供创新灵活的综合安全防护解决方案。2016年5月获360企业安全集团PreA轮战略投资，目前为国家高新、中关村高新及ISO27001/20000/9001认证企业。

目前悬镜安全基于网络攻防对抗实战经验的漏洞检测、渗透测试、风险评估，安全加固等创新服务均已成功入驻信安在线平台。

厂商名片-悬镜安全

一朝天倾孙刘家,知音互话盟结佳。本次与信安在线的合作是双方战略完美的对接，是强强联合的典范。信安在线作为公安部第三研究所（国家网络与信息系统安全产品质量监督检验中心）下的权威信息安全平台，一方面需要更多技术领先的专业安全厂商为政企客户提供创新的安全解决方案，另一方面对战略合作伙伴综合能力的筛选也有着严格的要求。而悬镜安全作为云主机安全领导品牌，自身有着得天独厚的技术优势。双方无论是在信息安全服务实施和交付上，还是自动化产品智能解决方案定制研发方面，都有着高度的合作性。

2017年6月1日正式实施的《网络安全法》，使得中国网络安全建设进入新的台阶。同时也让“没有网络安全就没有国家安全”这句话正在一步一步的被实施。随着《网络安全法》的颁布和实施，信息安全等级保护的工作也显得尤为重要，很多公司，特别是一些基础设施行业，如金融，P2P行业的，必须获得申请等级保护资质，才能正常运营。

很多客户合作伙伴在咨询悬镜安全关于等级保护相关的问题时，都有很多的疑问，特别是对于首次申请等级保护的客户来说，更是一头雾水。今天悬镜小编给大家分享下目前关于等级保护的那些事。

等级测评是指，测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密的信息系统的安全等级保护状况进行检测评估的活动。

1月19日，全国信息安全标准化技术委员会秘书对外发布《信息安全技术 网络安全等级保护定级指南》征求意见稿，面向社会广泛征求意见。

针对此次的定级指南，我们整理了5点定级指南内容的重大变化。

1.等级保护对象增加 

网络安全等级保护工作的作用对象，主要包括基础信息网络、工业控制系统、云计算平台、物联网、使用移动互联技术的网络、其他网络以及大数据等。新增了等保2.0覆盖的新技术新应用形态。

2.明确了国家安全、社会秩序和公共利益的具体表现形式 侵害国家安全的事项包括以下方面：

——影响国家政权稳固和主权完整；

——影响国家统一、民族团结和社会稳定；

——影响国家经济秩序和文化实力；

——影响宗教活动秩序和反恐能力建设；

——其他影响国家安全的事项。

侵害社会秩序的事项包括以下方面：

——影响国家机关社会管理和公共服务的工作秩序；

——影响各种类型的经济活动秩序；

——影响各行业的科研、生产秩序；

——影响公众在法律约束和道德规范下的正常生活秩序等；

——其他影响社会秩序的事项。

侵害公共利益的事项包括以下方面：

——影响社会成员使用公共设施；

——影响社会成员获取公开信息资源；

——影响社会成员接受公共服务等方面；

——其他影响公共利益的事项。

侵害公民、法人和其他组织的合法权益是指由法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益等受到损害。

此次意见稿对侵害国家安全、社会秩序、公共利益及公民、法人和其他组织的合法权益的具体内容进行了一定明确和认定。方便大家更准确合理地进行系统定级。

3.对不同损害程度做了一定的定性 等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种：

a) 造成一般损害；

b) 造成严重损害；

c) 造成特别严重损害。

三种侵害程度的描述如下：

——一般损害：工作职能受到局部影响，业务能力有所降低但不影响主要功能的执行，出现较轻的法律问题，较低的财产损失，有限的社会不良影响，对其他组织和个人造成较低损害；

——严重损害：工作职能受到严重影响，业务能力显著下降且严重影响主要功能执行，出现较严重的法律问题，较高的财产损失，较大范围的社会不良影响，对其他组织和个人造成较严重损害；

——特别严重损害：工作职能受到特别严重影响或丧失行使能力，业务能力严重下降且或功能无法执行，出现极其严重的法律问题，极高的财产损失，大范围的社会不良影响，对其他组织和个人造成非常严重损害。

什么是一般损害、严重损害和特别严重损害，意见稿中给出了更明确的说明。

4.对公民、法人和其他组织的合法权益造成特别严重损害定为三级 定级要素与安全保护等级的关系如表1所示。

熟悉原来定级标准的同仁们应该知道，以前公民、法人和其他组织的合法权益造成特别严重损害，系统定级为二级，此次意见稿改为三级，表明了对公民、法人和其他组织的合法权益的重视。

5.定级流程更加规范 等级保护对象定级工作的一般流程如下：

确定定级对象–>初步确定等级–>专家评审–>主管部门审核–>公安机关备案审查

其中“专家评审”：定级对象的运营、使用单位应组织信息安全专家和业务专家等，对初步定级结果的合理性进行评审，出具专家评审意见。

“主管部门审核”：定级对象的运营、使用单位应将初步定级结果上报行业主管部门或上级主管部门进行审核。

此次意见稿中将定级流程新增“专家评审”和“主管部门审核”两个环节，这样定级过程将会变得更加规范，定级也会更加准确，有意将系统等级定低的情况将会越来越少，专家们和主管部门都要签字的，专家们在签字的时候一定要慎重，当然针对不合理定级也会提出修改意见。

所以将来的定级过程将变得更加复杂。以前定级叫“自主定级”，将来的定级可能会被称为“规范定级”。规范定级带来的最大变化就是定级更加合理，更加准确。 合理定级是开展等级保护工作最重要的一步。

悬镜安全等级保护整体解决方案

信息安全等级保护工作包括定级、备案、安全建设和整改、信息安全等级测评、信息安全检查五个阶段。

定级备案

悬镜安全通过对《信息系统安全等级保护定级指南》的全方面解读，对国家等级保护政策有着充分的理解，熟知定级的工作流程及备案流程，能够有效的解决客户在定级备案过程中遇到的问题。

说到定级备案，在这里悬镜小编提醒大家注意两点：

第一：如果是金融行业想申请等级保护资质的话，需要先获得由当地金融办颁发的相关的公告。当地金融办认为公司是合法合理正常运营的话，相关的测评单位才可以给进行等级保护的测评。比如在我国需要审批的金融牌照主要包括银行、保险、信托、券商、金融租赁、期货、基金、基金子公司、基金销售、第三方支付牌照、小额贷款等相关资质。金融行业涉及人民的钱财，在审核时比其他的行业更为严苛，只有获得了相关的牌照，才有资格进入第一步：定级备案。

第二：异地备案。有些公司运维团队在上海，但想在新疆备案，测评中心在进行测评定级备案时，需要去当地所在的公安部以及省厅去进行盖章，导致了时间周期可能会延长。所以悬镜小编建议：如果您想在短时间内获得登保的资质，建议您以运维团队所在地进行备案，可以节省很多时间。

实施

悬镜安全将从安全技术和管理两个方面分析当前系统的安全技术措施与等级保护标准要求之前的差距，为客户量体定制自查表，依据《信息系统安全保护等级定级指南》(GB/T 22240-2008）、《信息系统安全等级保护基本要求》(GB/T 22239-2008)、《信息系统安全等级保护实施指南》(GB/T 22258-2010)等进行实施。

测评

等级测评是测评机构依据《信息系统安全等级保护测评要求》等管理规范和技术标准，检测评估信息系统安全等级保护状态是否达到相应等级基本要求的过程。测评流程又分以下几个步骤：

关于每一个步骤的所涉及的文档内容，如有感兴趣，可以联系悬镜小编。

整改

测评机构测评完后，会出现不符合的选项，悬镜安全会根据第三方测评出具的整改建议方案，结合客户的实际需求，制定整改方案，补充目前缺少的安全管理制度，同时协助客户完成安全产品的选型、采购和部署，制定符合客户设备的安全策略，并进行合理配置，协助客户搭建完善的技术防护系统和安全管理系统，顺利通过测评机构的审核，确保客户信息系统的安全稳定运行。

监督与检查

测评通过后，根据《信息安全等级保护管理办法（公通字[2007]43号）》要求，第三级信息系统每年至少进行一次评估，第四级信息系统每半年至少进行一次评估。悬镜安全将定期为客户提供评估服务，并协助完成自查整改和系统测评工作，为客户信息系统安全提供长期保障。

悬镜安全资质

悬镜安全在行业内有诸多技术实力和项目经验，目前已经获了多项资质认证。

悬镜安全荣誉展示：

如有关于等级保护相关的问题，可以随时联系悬镜。

十三届全国人大一次会议新闻中心12日举行记者会，十二届全国人大财经委副主任委员尹中卿、教科文卫委副主任委员吴恒、环资委副主任委员袁驷、内司委委员郑功成，全国人大常委会预算工委副主任刘修文、常委会办公厅秘书局巡视员傅文杰就“人大监督工作”相关问题回答中外记者提问。

中央电视台、央视网、央视新闻移动网记者：我的这个问题是提给内司委郑功成委员。网络安全一直是社会公众广泛关注的问题，全国人大常委会为什么在网络安全法实施的当年就开展执法检查？在执法检查的过程当中又有哪些新的举措？

郑功成：我们已经生活在互联网的时代，网络安全问题已成为普遍关注的一个现实问题，不仅关系到国家的长治久安和经济社会的发展，也和人民群众的切身利益是密切相关的。

有一个认识是没有网络安全就没有国家安全，也不会有组织和个人信息的安全。 正是由于互联网应用的广泛性和网络安全的重要性，全国人大常委会高度重视网络安全的问题。在2012年12月通过了《全国人大常委会关于加强网络信息保护的决定》，2016年11月制定了网络安全法，简称为“一法一决定”。

十二届全国人大常委会在2017年8至10月份对“一法一决定”的实施情况进行了执法检查，就是您刚才讲到的开创了法律制定还不到一年就进行执法检查，我想这是表明对它的特殊重要性。

这次执法检查是由内司委牵头组织实施的，在检查过程中，除了按照以往的惯例，听取主管部门与相关部门的情况介绍，由六位副委员长分别带领检查组赴6个省、区、市进行检查，同时还委托12个省、区、市人大常委会对本行政区域进行检查外，还首次尝试了邀请第三方有序地参与检查，最新举措应该说取得了良好的成效。

为什么邀请第三方参加呢？因为网络安全的专业性很强，对于我们检查组成员来讲是非常专业的，按照传统的检查方式可能难以对法律实施的真实情况进行一个全面地了解，并且作出科学的判断，所以委托专业机构会起到提高执法检查实效的作用。

在这次执法检查过程中，我们委托的是国内很权威的一个测评中心，在检查单位不知情的情况下，对部分关键信息技术设施进行专业性的检测，从该中心出具的检测报告显示，有大约四分之一的单位的网络安全存在着这样或那样的问题，有的单位问题还比较突出。

检查还发现，攻击者可以利用网站存在的漏洞，对某地级市政府的门户网站发布的内容进行篡改、删除，还会利用某省级地方金融管理信息系统存在的漏洞，轻易地侵入该服务器管理权限，这严重地威胁了广大客户的财产安全和信息安全。

同时我们还委托中国青年报社社情民意调查中心，对网络安全法实施情况进行了民意调查，这个调查中心运用专业的社会调查手段和方法，对来自全国31个省、区、市的1万多名群众进行了调查，为检查组提供了民意调查报告。

第三方的有序参与，弥补了检查组成员在专业技术方面的不足，增强了执法检查的专业性与权威性，比如说一个单位在汇报的时候强调他们如何采取措施、防范安全隐患，但远程检测发现，这个单位的业务系统存在着多个网络安全高危漏洞，存在用户信息泄露、重要数据篡改等重大隐患，这些问题通过传统的检查方式是难以发现的。因此，第三方的有序参与较好地解决了执法检查组专业性不足的难点。

第三方的有序参与还增强了执法检查的客观性、公正性，我们在执法检查中，多数地方和单位都会在汇报中强调如何重视网络安全法的宣传，中国青年报社的社情民意调查中心的民意调查却发现，有55%的受访者对网络安全法缺乏了解，有接近15%的受访者甚至没有听说过网络安全法，有的地方连政府的一把手也不知道有网络安全法，这反映了一些地方在普法宣传中存在的问题。

民意调查报告还显示，对执法部门打击侵害公民个人信息的违法犯罪现象等问题的公共满意度不足50%，这表明法律的贯彻实施还需要加大力度。委托第三方机构参与执法检查是第十二届全国人大常委会执法检查的一次新的尝试，实践证明，这一创新对提高人大监督工作的实效是有帮助的。

以上信息来源央视新闻报道。

悬镜安全体验地址：http://www.xmirror.cn/

2017年6月1日正式实施的《网络安全法》，使得中国网络安全建设进入新的台阶。同时也让“没有网络安全就没有国家安全”这句话正在一步一步的被实施。随着《网络安全法》的颁布和实施，信息安全等级保护的工作也显得尤为重要，很多公司，特别是一些基础设施行业，如金融，P2P行业的，必须获得申请等级保护资质，才能正常运营。

很多客户合作伙伴在咨询悬镜安全关于等级保护相关的问题时，都有很多的疑问，特别是对于首次申请等级保护的客户来说，更是一头雾水。今天悬镜小编给大家分享下目前关于等级保护的那些事。

等级测评是指，测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密的信息系统的安全等级保护状况进行检测评估的活动。

1月19日，全国信息安全标准化技术委员会秘书对外发布《信息安全技术 网络安全等级保护定级指南》征求意见稿，面向社会广泛征求意见。

针对此次的定级指南，我们整理了5点定级指南内容的重大变化。

1.等级保护对象增加 

网络安全等级保护工作的作用对象，主要包括基础信息网络、工业控制系统、云计算平台、物联网、使用移动互联技术的网络、其他网络以及大数据等。新增了等保2.0覆盖的新技术新应用形态。

2.明确了国家安全、社会秩序和公共利益的具体表现形式 侵害国家安全的事项包括以下方面：

——影响国家政权稳固和主权完整；

——影响国家统一、民族团结和社会稳定；

——影响国家经济秩序和文化实力；

——影响宗教活动秩序和反恐能力建设；

——其他影响国家安全的事项。

侵害社会秩序的事项包括以下方面：

——影响国家机关社会管理和公共服务的工作秩序；

——影响各种类型的经济活动秩序；

——影响各行业的科研、生产秩序；

——影响公众在法律约束和道德规范下的正常生活秩序等；

——其他影响社会秩序的事项。

侵害公共利益的事项包括以下方面：

——影响社会成员使用公共设施；

——影响社会成员获取公开信息资源；

——影响社会成员接受公共服务等方面；

——其他影响公共利益的事项。

侵害公民、法人和其他组织的合法权益是指由法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益等受到损害。

此次意见稿对侵害国家安全、社会秩序、公共利益及公民、法人和其他组织的合法权益的具体内容进行了一定明确和认定。方便大家更准确合理地进行系统定级。

3.对不同损害程度做了一定的定性 等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种：

a) 造成一般损害；

b) 造成严重损害；

c) 造成特别严重损害。

三种侵害程度的描述如下：

——一般损害：工作职能受到局部影响，业务能力有所降低但不影响主要功能的执行，出现较轻的法律问题，较低的财产损失，有限的社会不良影响，对其他组织和个人造成较低损害；

——严重损害：工作职能受到严重影响，业务能力显著下降且严重影响主要功能执行，出现较严重的法律问题，较高的财产损失，较大范围的社会不良影响，对其他组织和个人造成较严重损害；

——特别严重损害：工作职能受到特别严重影响或丧失行使能力，业务能力严重下降且或功能无法执行，出现极其严重的法律问题，极高的财产损失，大范围的社会不良影响，对其他组织和个人造成非常严重损害。

什么是一般损害、严重损害和特别严重损害，意见稿中给出了更明确的说明。

4.对公民、法人和其他组织的合法权益造成特别严重损害定为三级 定级要素与安全保护等级的关系如表1所示。

熟悉原来定级标准的同仁们应该知道，以前公民、法人和其他组织的合法权益造成特别严重损害，系统定级为二级，此次意见稿改为三级，表明了对公民、法人和其他组织的合法权益的重视。

5.定级流程更加规范 等级保护对象定级工作的一般流程如下：

确定定级对象–>初步确定等级–>专家评审–>主管部门审核–>公安机关备案审查

其中“专家评审”：定级对象的运营、使用单位应组织信息安全专家和业务专家等，对初步定级结果的合理性进行评审，出具专家评审意见。

“主管部门审核”：定级对象的运营、使用单位应将初步定级结果上报行业主管部门或上级主管部门进行审核。

此次意见稿中将定级流程新增“专家评审”和“主管部门审核”两个环节，这样定级过程将会变得更加规范，定级也会更加准确，有意将系统等级定低的情况将会越来越少，专家们和主管部门都要签字的，专家们在签字的时候一定要慎重，当然针对不合理定级也会提出修改意见。

所以将来的定级过程将变得更加复杂。以前定级叫“自主定级”，将来的定级可能会被称为“规范定级”。规范定级带来的最大变化就是定级更加合理，更加准确。 合理定级是开展等级保护工作最重要的一步。

悬镜安全等级保护整体解决方案

信息安全等级保护工作包括定级、备案、安全建设和整改、信息安全等级测评、信息安全检查五个阶段。

定级备案

悬镜安全通过对《信息系统安全等级保护定级指南》的全方面解读，对国家等级保护政策有着充分的理解，熟知定级的工作流程及备案流程，能够有效的解决客户在定级备案过程中遇到的问题。

说到定级备案，在这里悬镜小编提醒大家注意两点：

第一：如果是金融行业想申请等级保护资质的话，需要先获得由当地金融办颁发的相关的公告。当地金融办认为公司是合法合理正常运营的话，相关的测评单位才可以给进行等级保护的测评。比如在我国需要审批的金融牌照主要包括银行、保险、信托、券商、金融租赁、期货、基金、基金子公司、基金销售、第三方支付牌照、小额贷款等相关资质。金融行业涉及人民的钱财，在审核时比其他的行业更为严苛，只有获得了相关的牌照，才有资格进入第一步：定级备案。

第二：异地备案。有些公司运维团队在上海，但想在新疆备案，测评中心在进行测评定级备案时，需要去当地所在的公安部以及省厅去进行盖章，导致了时间周期可能会延长。所以悬镜小编建议：如果您想在短时间内获得登保的资质，建议您以运维团队所在地进行备案，可以节省很多时间。

实施

悬镜安全将从安全技术和管理两个方面分析当前系统的安全技术措施与等级保护标准要求之前的差距，为客户量体定制自查表，依据《信息系统安全保护等级定级指南》(GB/T 22240-2008）、《信息系统安全等级保护基本要求》(GB/T 22239-2008)、《信息系统安全等级保护实施指南》(GB/T 22258-2010)等进行实施。

测评

等级测评是测评机构依据《信息系统安全等级保护测评要求》等管理规范和技术标准，检测评估信息系统安全等级保护状态是否达到相应等级基本要求的过程。测评流程又分以下几个步骤：

关于每一个步骤的所涉及的文档内容，如有感兴趣，可以联系悬镜小编。

整改

测评机构测评完后，会出现不符合的选项，悬镜安全会根据第三方测评出具的整改建议方案，结合客户的实际需求，制定整改方案，补充目前缺少的安全管理制度，同时协助客户完成安全产品的选型、采购和部署，制定符合客户设备的安全策略，并进行合理配置，协助客户搭建完善的技术防护系统和安全管理系统，顺利通过测评机构的审核，确保客户信息系统的安全稳定运行。

监督与检查

测评通过后，根据《信息安全等级保护管理办法（公通字[2007]43号）》要求，第三级信息系统每年至少进行一次评估，第四级信息系统每半年至少进行一次评估。悬镜安全将定期为客户提供评估服务，并协助完成自查整改和系统测评工作，为客户信息系统安全提供长期保障。

悬镜安全资质

悬镜安全在行业内有诸多技术实力和项目经验，目前已经获了多项资质认证。

悬镜安全荣誉展示：

如有关于等级保护相关的问题，可以随时联系悬镜。

十三届全国人大一次会议新闻中心12日举行记者会，十二届全国人大财经委副主任委员尹中卿、教科文卫委副主任委员吴恒、环资委副主任委员袁驷、内司委委员郑功成，全国人大常委会预算工委副主任刘修文、常委会办公厅秘书局巡视员傅文杰就“人大监督工作”相关问题回答中外记者提问。

中央电视台、央视网、央视新闻移动网记者：我的这个问题是提给内司委郑功成委员。网络安全一直是社会公众广泛关注的问题，全国人大常委会为什么在网络安全法实施的当年就开展执法检查？在执法检查的过程当中又有哪些新的举措？

郑功成：我们已经生活在互联网的时代，网络安全问题已成为普遍关注的一个现实问题，不仅关系到国家的长治久安和经济社会的发展，也和人民群众的切身利益是密切相关的。

有一个认识是没有网络安全就没有国家安全，也不会有组织和个人信息的安全。 正是由于互联网应用的广泛性和网络安全的重要性，全国人大常委会高度重视网络安全的问题。在2012年12月通过了《全国人大常委会关于加强网络信息保护的决定》，2016年11月制定了网络安全法，简称为“一法一决定”。

十二届全国人大常委会在2017年8至10月份对“一法一决定”的实施情况进行了执法检查，就是您刚才讲到的开创了法律制定还不到一年就进行执法检查，我想这是表明对它的特殊重要性。

这次执法检查是由内司委牵头组织实施的，在检查过程中，除了按照以往的惯例，听取主管部门与相关部门的情况介绍，由六位副委员长分别带领检查组赴6个省、区、市进行检查，同时还委托12个省、区、市人大常委会对本行政区域进行检查外，还首次尝试了邀请第三方有序地参与检查，最新举措应该说取得了良好的成效。

为什么邀请第三方参加呢？因为网络安全的专业性很强，对于我们检查组成员来讲是非常专业的，按照传统的检查方式可能难以对法律实施的真实情况进行一个全面地了解，并且作出科学的判断，所以委托专业机构会起到提高执法检查实效的作用。

在这次执法检查过程中，我们委托的是国内很权威的一个测评中心，在检查单位不知情的情况下，对部分关键信息技术设施进行专业性的检测，从该中心出具的检测报告显示，有大约四分之一的单位的网络安全存在着这样或那样的问题，有的单位问题还比较突出。

检查还发现，攻击者可以利用网站存在的漏洞，对某地级市政府的门户网站发布的内容进行篡改、删除，还会利用某省级地方金融管理信息系统存在的漏洞，轻易地侵入该服务器管理权限，这严重地威胁了广大客户的财产安全和信息安全。

同时我们还委托中国青年报社社情民意调查中心，对网络安全法实施情况进行了民意调查，这个调查中心运用专业的社会调查手段和方法，对来自全国31个省、区、市的1万多名群众进行了调查，为检查组提供了民意调查报告。

第三方的有序参与，弥补了检查组成员在专业技术方面的不足，增强了执法检查的专业性与权威性，比如说一个单位在汇报的时候强调他们如何采取措施、防范安全隐患，但远程检测发现，这个单位的业务系统存在着多个网络安全高危漏洞，存在用户信息泄露、重要数据篡改等重大隐患，这些问题通过传统的检查方式是难以发现的。因此，第三方的有序参与较好地解决了执法检查组专业性不足的难点。

第三方的有序参与还增强了执法检查的客观性、公正性，我们在执法检查中，多数地方和单位都会在汇报中强调如何重视网络安全法的宣传，中国青年报社的社情民意调查中心的民意调查却发现，有55%的受访者对网络安全法缺乏了解，有接近15%的受访者甚至没有听说过网络安全法，有的地方连政府的一把手也不知道有网络安全法，这反映了一些地方在普法宣传中存在的问题。

民意调查报告还显示，对执法部门打击侵害公民个人信息的违法犯罪现象等问题的公共满意度不足50%，这表明法律的贯彻实施还需要加大力度。委托第三方机构参与执法检查是第十二届全国人大常委会执法检查的一次新的尝试，实践证明，这一创新对提高人大监督工作的实效是有帮助的。

以上信息来源央视新闻报道。

悬镜安全体验地址：http://www.xmirror.cn/

说到网站安全，不得不说一下信息安全，信息安全与技术的关系可以追溯到远古。埃及人在石碑上镌刻了令人费解的象形文字,斯巴达人使用一种称为密码棒的工具传达军事计划，罗马时代的凯撒大帝是加密函的古代将领之一，”凯撒密码”据传是古罗马凯撒大帝用来保护重要军情的加密系统。它是一种替代密码，通过将字母按顺序推后3位起到加密作用，如将字母 A 换作字母 D， 将字母 B 换作字母 E。英国计算机科学之父阿兰·图灵在英国布莱切利庄园帮助破解了德国海军的 Enigma 密电码，改变了二次世界大战的进程，足以可见信息安全事关重大。

云鉴漏洞扫描云平台体检地址：http://www.x-check.cn/随着互联网技术的不断发展，网络信息的安全性愈发受到重视，保护信息安全更要做到防患于未然。对于网站的信息安全，进行网站安全检测就是一个有效的方法。

网站安全检测，也称网站安全评估、网站漏洞测试、Web安全检测等。它是通过技术手段对网站进行漏洞扫描，检测网页是否存在漏洞、网页是否挂马、网页有没有被篡改、是否有欺诈网站等，提醒网站管理员及时修复和加固，保障web网站的安全运行。

检测内容包括：

1)注入攻击。

2) XSS跨站脚本。

3)网页挂马。

4)缓冲区溢出。

5)上传漏洞。

6)源代码泄露。

7)隐藏目录泄露。

8)数据库泄露。

9)弱口令。

10)管理地址泄露。

等等……

随着网络技术的不断发展和改进，对于私人信息、保密信息的利用手段越加丰富，网站信息安全面临的风险也在不断增加。尤其是政企、教育、金融、电商等网站，更是信息安全的敏感地带，现在网站风险主要有一下几类：

(1) 信息泄露:信息被泄露或透露给某个非授权的实体。

(2) 破坏信息的完整性:数据被非授权地进行增删、修改或破坏而受到损失。

(3) 拒绝服务:对信息或其他资源的合法访问被无条件地阻止。

(4) 非法使用(非授权访问):某一资源被某个非授权的人，或以非授权的方式使用。

(5) 窃听:用各种可能的合法或非法的手段窃取系统中的信息资源和敏感信息。例如对通信线路中传输的信号搭线监听，或者利用通信设备在工作过程中产生的电磁泄露截取有用信息等。

(6) 业务流分析:通过对系统进行长期监听，利用统计分析方法对诸如通信频度、通信的信息流向、通信总量的变化等参数进行研究，从中发现有价值的信息和规律。

(7) 假冒:通过欺骗通信系统(或用户)达到非法用户冒充成为合法用户，或者特权小的用户冒充成为特权大的用户的目的。黑客大多是采用假冒攻击。

(8) 旁路控制:攻击者利用系统的安全缺陷或安全性上的脆弱之处获得非授权的权利或特权。例如，攻击者通过各种攻击手段发现原本应保密，但是却又暴露出来的一些系统”特性”，利用这些”特性”，攻击者可以绕过防线守卫者侵入系统的内部。

(9) 授权侵犯:被授权以某一目的使用某一系统或资源的某个人，却将此权限用于其他非授权的目的，也称作”内部攻击”。

(10)特洛伊木马:软件中含有一个觉察不出的有害的程序段，当它被执行时，会破坏用户的安全。这种应用程序称为特洛伊木马(Trojan Horse)。

(12)抵赖:这是一种来自用户的攻击，比如:否认自己曾经发布过的某条消息、伪造一份对方来信等。

(13)重放:出于非法目的，将所截获的某次合法的通信数据进行拷贝，而重新发送。

(14)计算机病毒:一种在计算机系统运行过程中能够实现传染和侵害功能的程序。

(15)人员不慎:一个授权的人为了某种利益，或由于粗心，将信息泄露给一个非授权的人。

(16)业务欺骗:某一伪系统或系统部件欺骗合法的用户或系统自愿地放弃敏感信息等等。

那我们如何选择专业的网站安全检测产品呢？一般来讲它必须具备以下几个标准：

1、开发商是否通过各种权威机构认证

目前国家对安全产品进行认证工作的权威部门包括公安部信息安全产品测评中心、国家信息安全产品测评中心等，民间机构有赛可达实验室等。悬镜安全获得了由信息安全认证中心颁发的具备国家认可的风险评估资质，以及由信息安全测评中心颁发的安全工程资质，旗下云鉴漏洞扫描云平台曾获得赛可达之星奖项。质量过硬，安全可靠。

2、漏洞数量和升级速度

漏洞数量是考查漏洞扫描器的重要指标，最新漏洞的数量、漏洞更新和升级的方法以及升级方法是否能够被非专业人员掌握，使得漏洞库升级的频率显得更为重要。

3、产品本身的可用性

扫描产品运行的操作系统平台是否安全以及产品本身的抗攻击性能如何都是用户应该需要考虑的因素。比如云鉴漏洞扫面云平台，上手快，功能全面，只需输入提交待检测的URL即可自动扫描。

4、是否具备证明效力

其目的是帮助完成应对上级检查，满足甲方需要，完成安全目标等多项目标，云鉴漏洞扫描云平台可提供PDF专业报告，可以在线阅读，也可以加盖印章并邮寄，助您应对各种严格考验。

那说到底，云鉴漏洞扫描云平台到底是一个什么样的产品呢？悬镜安全团队根据实际安全项目的实施过程中发现的种种问题，自主研发了云鉴漏洞扫描云平台，是业内第一家提出三合一漏扫平台的安全厂商。可以针对系统漏洞，web网站、app安全存在的安全漏洞进行自动化检测，操作简单，使用方便，同时悬镜安全结合悬镜服务器卫士多年服务器安全防护经验，融合悬镜大数据智能检测云平台海量漏洞数据，对漏洞进行全方位、深层次检测。帮助企业客户提前发现漏洞，同时轻松应对上级各种严苛检查。

云鉴漏洞扫描云平台体检地址：http://www.x-check.cn/

特别提醒的是：如果您已经在悬镜官网上注册了账号，可以直接在云鉴上进行登录。

1.点击“添加检测网站”

提醒：针对大批量的自动化网站检测，可以进行批量导入网址，最大可一次性添加100个，文档格式支持txt、excel。

然后进行网站认证即可，点击提交检测：

检测完之后，可以下载报告，也可以在线查看：

云鉴漏洞扫描云平台体检地址：http://www.x-check.cn/

说到网站安全，不得不说一下信息安全，信息安全与技术的关系可以追溯到远古。埃及人在石碑上镌刻了令人费解的象形文字,斯巴达人使用一种称为密码棒的工具传达军事计划，罗马时代的凯撒大帝是加密函的古代将领之一，”凯撒密码”据传是古罗马凯撒大帝用来保护重要军情的加密系统。它是一种替代密码，通过将字母按顺序推后3位起到加密作用，如将字母 A 换作字母 D， 将字母 B 换作字母 E。英国计算机科学之父阿兰·图灵在英国布莱切利庄园帮助破解了德国海军的 Enigma 密电码，改变了二次世界大战的进程，足以可见信息安全事关重大。

云鉴漏洞扫描云平台体检地址：http://www.x-check.cn/随着互联网技术的不断发展，网络信息的安全性愈发受到重视，保护信息安全更要做到防患于未然。对于网站的信息安全，进行网站安全检测就是一个有效的方法。

网站安全检测，也称网站安全评估、网站漏洞测试、Web安全检测等。它是通过技术手段对网站进行漏洞扫描，检测网页是否存在漏洞、网页是否挂马、网页有没有被篡改、是否有欺诈网站等，提醒网站管理员及时修复和加固，保障web网站的安全运行。

检测内容包括：

1)注入攻击。

2) XSS跨站脚本。

3)网页挂马。

4)缓冲区溢出。

5)上传漏洞。

6)源代码泄露。

7)隐藏目录泄露。

8)数据库泄露。

9)弱口令。

10)管理地址泄露。

等等……

随着网络技术的不断发展和改进，对于私人信息、保密信息的利用手段越加丰富，网站信息安全面临的风险也在不断增加。尤其是政企、教育、金融、电商等网站，更是信息安全的敏感地带，现在网站风险主要有一下几类：

(1) 信息泄露:信息被泄露或透露给某个非授权的实体。

(2) 破坏信息的完整性:数据被非授权地进行增删、修改或破坏而受到损失。

(3) 拒绝服务:对信息或其他资源的合法访问被无条件地阻止。

(4) 非法使用(非授权访问):某一资源被某个非授权的人，或以非授权的方式使用。

(5) 窃听:用各种可能的合法或非法的手段窃取系统中的信息资源和敏感信息。例如对通信线路中传输的信号搭线监听，或者利用通信设备在工作过程中产生的电磁泄露截取有用信息等。

(6) 业务流分析:通过对系统进行长期监听，利用统计分析方法对诸如通信频度、通信的信息流向、通信总量的变化等参数进行研究，从中发现有价值的信息和规律。

(7) 假冒:通过欺骗通信系统(或用户)达到非法用户冒充成为合法用户，或者特权小的用户冒充成为特权大的用户的目的。黑客大多是采用假冒攻击。

(8) 旁路控制:攻击者利用系统的安全缺陷或安全性上的脆弱之处获得非授权的权利或特权。例如，攻击者通过各种攻击手段发现原本应保密，但是却又暴露出来的一些系统”特性”，利用这些”特性”，攻击者可以绕过防线守卫者侵入系统的内部。

(9) 授权侵犯:被授权以某一目的使用某一系统或资源的某个人，却将此权限用于其他非授权的目的，也称作”内部攻击”。

(10)特洛伊木马:软件中含有一个觉察不出的有害的程序段，当它被执行时，会破坏用户的安全。这种应用程序称为特洛伊木马(Trojan Horse)。

(12)抵赖:这是一种来自用户的攻击，比如:否认自己曾经发布过的某条消息、伪造一份对方来信等。

(13)重放:出于非法目的，将所截获的某次合法的通信数据进行拷贝，而重新发送。

(14)计算机病毒:一种在计算机系统运行过程中能够实现传染和侵害功能的程序。

(15)人员不慎:一个授权的人为了某种利益，或由于粗心，将信息泄露给一个非授权的人。

(16)业务欺骗:某一伪系统或系统部件欺骗合法的用户或系统自愿地放弃敏感信息等等。

那我们如何选择专业的网站安全检测产品呢？一般来讲它必须具备以下几个标准：

1、开发商是否通过各种权威机构认证

目前国家对安全产品进行认证工作的权威部门包括公安部信息安全产品测评中心、国家信息安全产品测评中心等，民间机构有赛可达实验室等。悬镜安全获得了由信息安全认证中心颁发的具备国家认可的风险评估资质，以及由信息安全测评中心颁发的安全工程资质，旗下云鉴漏洞扫描云平台曾获得赛可达之星奖项。质量过硬，安全可靠。

2、漏洞数量和升级速度

漏洞数量是考查漏洞扫描器的重要指标，最新漏洞的数量、漏洞更新和升级的方法以及升级方法是否能够被非专业人员掌握，使得漏洞库升级的频率显得更为重要。

3、产品本身的可用性

扫描产品运行的操作系统平台是否安全以及产品本身的抗攻击性能如何都是用户应该需要考虑的因素。比如云鉴漏洞扫面云平台，上手快，功能全面，只需输入提交待检测的URL即可自动扫描。

4、是否具备证明效力

其目的是帮助完成应对上级检查，满足甲方需要，完成安全目标等多项目标，云鉴漏洞扫描云平台可提供PDF专业报告，可以在线阅读，也可以加盖印章并邮寄，助您应对各种严格考验。

那说到底，云鉴漏洞扫描云平台到底是一个什么样的产品呢？悬镜安全团队根据实际安全项目的实施过程中发现的种种问题，自主研发了云鉴漏洞扫描云平台，是业内第一家提出三合一漏扫平台的安全厂商。可以针对系统漏洞，web网站、app安全存在的安全漏洞进行自动化检测，操作简单，使用方便，同时悬镜安全结合悬镜服务器卫士多年服务器安全防护经验，融合悬镜大数据智能检测云平台海量漏洞数据，对漏洞进行全方位、深层次检测。帮助企业客户提前发现漏洞，同时轻松应对上级各种严苛检查。

云鉴漏洞扫描云平台体检地址：http://www.x-check.cn/

特别提醒的是：如果您已经在悬镜官网上注册了账号，可以直接在云鉴上进行登录。

1.点击“添加检测网站”

提醒：针对大批量的自动化网站检测，可以进行批量导入网址，最大可一次性添加100个，文档格式支持txt、excel。

然后进行网站认证即可，点击提交检测：

检测完之后，可以下载报告，也可以在线查看：

云鉴漏洞扫描云平台体检地址：http://www.x-check.cn/

本文转载自中国经济网

原标题： 全国政协委员周鸿祎：建议强化网络安全漏洞管理

在今年全国两会上，全国政协委员、360集团董事长兼CEO周鸿祎提交了《关于强化网络安全漏洞管理的提案》。周鸿祎在提案中表示，从我国情况看，网络安全漏洞管理方面存在对漏洞不重视、修复不及时，缺少具体的漏洞修复管理细则和处罚机制等问题，建议从建立漏洞管理全流程监督处罚制度、强制召回存在重大网络安全漏洞产品等方面提高我国网络安全防护能力。

关于强化网络安全漏洞管理的提案

漏洞是网络安全的“命门”。软硬件系统漏洞使得攻击者可以利用漏洞窃取信息或者控制、破坏目标系统，从而引发各种网络安全问题。例如，2010年伊朗核设施遭受“震网病毒”攻击，2016年美国东海岸大面积断网事件，以及2017年肆虐全球的“WannaCry”勒索病毒事件，都是由于网络安全漏洞引发的。

更值得注意的是，网络是一个整体，任何一个单位、任何一个系统存在漏洞，都会成为犯罪分子和敌对势力攻击的跳板，成为整个网络的薄弱环节。作为中国最大的网络安全公司，360集团一年新发现的网络安全漏洞就超过8万个。从我国情况看，网络安全漏洞管理方面存在以下问题：

1、对漏洞不重视、修复不及时现象普遍存在

据360补天漏洞响应平台统计，25.6%的漏洞未进行修复，一些行业漏洞平均修复时间长达数月之久。去年5月12日“WannaCry”勒索病毒事件爆发，其实微软公司早在3月份就已发布了相应安全漏洞补丁，但我国很多单位却一直没有打补丁，导致近30万台主机和电脑被感染。直到今天，360公司还能监测到我国每天仍有近千台电脑感染此勒索病毒。

2、缺少具体的漏洞修复管理细则和处罚机制

《网络安全法》已经正式实施，规定了网络运营者的安全义务以及相应的追责。但对网络安全漏洞管理还没有执行细则。如，对于安全漏洞的修复时间等还缺少具体规定，导致很多单位修复周期过长，有时长达数周甚至数月，给攻击者留下机会。此外，缺少严格的监督执行和处罚机制，对未及时修复安全漏洞的单位无法及时发现和予以处罚。

为强化网络安全漏洞管理，降低被攻击风险，提高我国网络安全防护能力，建议：

“一、建立漏洞管理全流程监督标处罚制度”

尽快制定覆盖网络安全漏洞发现、审核、披露、通报、修复、追责等全流程的管理细则，强制要求漏洞必须及时修复，对漏洞修复时间以及违规处罚措施予以明确规定。此外，应建立监督检查机制和力量，及时发现未及时修复漏洞的行为，并追究相关单位和责任人责任。

“二、强制执行重要信息系统上线前漏洞检测”

对涉及国计民生、国家关键信息基础设施的重大信息系统工程和项目，一方面在其上线运行或交付使用之前，应强制要求进行网络安全漏洞的自检和备案，尤其应加强源代码层面的安全缺陷和漏洞检测。另一方面，国家网络安全主管部门应对上线系统进行抽检，发现问题及时整改。同时，应引导和鼓励软硬件系统开发企业加强安全开发规范和流程，尽量在源头避免网络安全漏洞的出现。

“三、强制召回存在重大网络安全漏洞产品”

对存在严重网络安全漏洞，可能导致大规模用户隐私泄露、人身伤害或者影响民生服务、关键基础设施正常运行的软硬件产品，尤其是物联网、智能汽车等产品，应借鉴汽车行业的做法，对存在重大网络安全漏洞产品的实施强制召回，避免造成更大的损失。

“四、鼓励政企单位采用众测众包方式发现和收集漏洞”

网络安全漏洞的挖掘和发现具有一定的偶然性，需要集合民间智慧。建议借鉴美国在安全漏洞收集和挖掘方面的做法。一方面，加强政企单位与专业网络安全企业的深度合作，充分利用网络安全企业的漏洞挖掘能力和情报优势，帮助政企单位及早发现和修复漏洞。另一方面，在安全可控的前提下，鼓励政企单位采用众测众包方式，充分发动民间安全研究力量发现和收集漏洞，提高网络安全整体防护能力。

 为保障2018年“两会”期间广大政企客户的云主机系统和网站系统能够安全、稳定的运行，悬镜安全推出7*24小时云主机系统安全保障服务以及应急响应服务。 

悬镜安全体验地址：http://www.xmirror.cn/