📘 等级保护 · 安全义务

第21条 — 第23条
🔒 网络安全法 ⚙️ 一般规定 🛡️ 等保2.0
§21

等级保护制度

国家实行网络安全等级保护制度。网络运营者应当按照等级保护制度要求，履行下列安全保护义务：

  • 制定内部安全管理制度和操作规程
  • 采取防范计算机病毒、网络攻击、侵入等危害网络安全行为的技术措施
  • 采取记录、追踪网络运行状态，留存日志不少于6个月
  • 数据分类、重要数据备份与加密
  • 法律、行政法规规定的其他义务
关键合规动作：
▶ 定级备案 → 安全建设 → 等级测评 → 安全整改
▶ 日志留存 ≥ 6个月（含访问日志、操作记录）
§22

产品与服务安全

网络产品、服务应当符合相关国家标准的强制性要求。不得设置恶意程序；发现安全缺陷、漏洞应当立即补救并告知用户。

  • 持续提供安全维护，直至产品/服务停止提供
  • 向用户明示安全功能、配置方法、风险提示
  • 若产品/服务涉及收集用户信息，应取得用户同意
⚠️ 合规红线： 不得在网产品中植入后门或非法控制功能。
§23

关键设备安全

网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求，由具备资格的机构安全认证或检测。

  • 未通过安全认证/检测的，不得销售或提供
  • 国家网信办、工信部、公安部联合发布设备目录
  • 每年更新认证检测要求
✅ 典型设备：防火墙、入侵检测、VPN、交换机、路由器等。
🔄 等保2.0 核心义务流 第21-23条 联动架构
📋 定级备案 安全等级 1-5 🛠️ 安全建设 技术+管理措施 (产品安全·§22) 🔍 等级测评 合规检测·§23 🔄 持续 合规 日志·审计 📌 第21条(等级保护) · 第22条(产品安全) · 第23条(设备认证) 三位一体
条款核心义务典型合规动作责任主体
第21条等级保护制度定级、备案、建设、测评、日志留存网络运营者
第22条产品/服务安全漏洞补救、安全维护、用户告知网络产品/服务提供者
第23条关键设备认证安全检测/认证，设备目录合规销售者 & 使用者
📁 日志留存规范 根据《网络安全法》第21条(3) 及《等保2.0》要求： 
▶ 网络日志留存不少于6个月
▶ 内容包括：登录日志、访问控制日志、操作审计日志、异常事件
▶ 建议部署日志审计系统 & 定期备份
▶ 关键设备（§23）日志需满足专项检测要求
📚 课程资料 · 网络安全法关键条款逐条拆解与应对