2025年网络安全等级保护测评新版报告重大风险清单

一、从高风险项到重大风险隐患

随着2025年3月8日《关于进一步做好网络安全等级保护有关工作的函》正式发布，重大风险隐患管理要求发生以下重要变化：

  1. 监管升级：新增"重大风险隐患"清单，明确33项重大风险
  2. 评估深化：引入渗透测试、互联网暴露面管理等综合风险评估维度
  3. 场景扩展：强化云计算、工控、物联网等新兴领域的安全基线

二、重大风险隐患清单核心详情

1. 清单框架重构

维度重大风险隐患清单原高风险指引
总项数33项28项
测评条款对应项26项100%对应
综合类新增项7项-
领域覆盖5大类6大类

2. 核心变化要点

  1. 结构重组
    • 保留安全物理环境、安全通信网络、安全区域边界、安全计算环境等基础领域（占比78%）
    • 新增综合类条款（占比21%）聚焦：
      ✓ 供应链安全审查
      ✓ 0day漏洞未修复
      ✓ 互联网暴露面过大
  2. 技术要求升级
    • 工控系统新增5项专属条款：条款类型示例场景协议安全Modbus协议未加密控制设备安全PLC固件3年未更新网络隔离工控网与办公网直连

三、风险治理实施建议

  1. 双重对标：同时参照高风险判定指引与重大风险隐患清单
  2. 动态监控：建立互联网暴露面资产测绘平台
  3. 专项加固：重点排查工控协议加密、云API接口防护等新增项

重大风险隐患触发项参照表

序号安全类安全子类测评项重大风险隐患触发项安全问题描述
1安全物理环境物理访问控制机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。机房出入口访问控制措施缺失1）机房出入口无任何访问控制措施，例如未安装电子或机械门锁（包括机房大门处于未上锁状态），且机房门口无专人值守等； 2）其他。
2室外控制设备物理防护室外控制设备应放置于采用铁板或其他防火材料制作的箱体或装置中并紧固；箱体或装置具有透风、散热、防盗、防雨和防火能力等。室外控制设备防护缺失1）室外控制设备裸露放置、无固定措施，无法做到防水、防盗和防火； 2）放置控制设备的箱体或装置不具有相关检测验收报告，不具有透风、散热、防盗、防雨和防火能力； 3）其他。
3安全通信网络网络架构应保证网络设备的业务处理能力满足业务高峰期需要。网络设备业务处理能力不足1）网络设备、安全设备等网络链路上的关键设备性能无法满足高峰期需求； 2）其他。
4应实现不同云服务客户虚拟网络之间的隔离。云计算平台虚拟网络隔离措施缺失1）云计算平台未采取网络隔离技术实现不同云服务客户虚拟网络之间的隔离； 2）其他。
5应具有根据云服务客户业务需求提供通信传输、边界防护、入侵防范等安全机制的能力。云计算平台未提供安全防护能力1）云计算平台无法提供满足云服务客户业务需要的通信传输、边界防护、入侵防范等安全机制； 2）其他。
6工业控制系统与企业其他系统之间应划分为两个区域，区域间应采用单向的技术隔离手段。工业控制系统网络隔离措施缺失1）工业控制系统与企业其他系统之间未划分单独的网络区域； 2）数据交互未采用单向隔离装置或单向隔离装置未配置有效的访问控制策略； 3）其他。
7工业控制系统内部应根据业务特点划分为不同的安全域，安全域之间应采用技术隔离手段。工业控制系统所在网络区域划分不当，访问控制措施缺失1）工业控制系统所在的生产网络未根据不同工业控制系统业务特点划分不同安全域； 2）不同安全域之间无任何访问控制措施或访问控制措施无效； 3）其他。
8通信传输在工业控制系统内使用广域网进行控制指令或相关数据交换的应采用加密认证技术手段实现身份认证、访问控制和数据加密传输。工业控制系统广域网传输控制指令防护措施缺失1）未使用基于密码技术的身份鉴别技术； 2）未使用密码技术保证数据传输过程中的完整性和保密性； 3）其他。
9安全区域边界边界防护应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。网络边界接入设备或端口不可控1)    网络边界链路接入设备未配置明确的上联链路端口； 2)    网络边界链路接入设备端口IP及路由策略不明确； 3)    网络边界链路接入设备未关闭不使用的端口； 4）其他。
10应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络。无线网络管控措施缺失1）内部重要网络与无线网络互联，且不通过任何受控的边界设备或边界设备访问控制策略设置不当； 2）其他。
11访问控制应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信。重要网络区域边界访问控制措施缺失或配置不当1）重要网络区域与其他网络区域之间（包括内部区域边界和外部区域边界）访问控制设备缺失或访问控制措施失效； 2）其他。
12应在工业控制系统与企业其他系统之间部署访问控制设备，配置访问控制策略，禁止任何穿越区域边界的E-Mail、 WEB、Telnet、Rlogin、 FTP等通用网络服务。工业控制系统与企业其他系统之间未对通用网络服务进行限制1）工业控制系统与企业其他系统之间未部署访问控制设备； 2）工业控制系统与企业其他系统之间未对任何通用的网络服务如E-Mail、WEB、Telnet、Rlogin、FTP等进行限制； 3）其他。  
13入侵防范应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为。外部网络攻击防御措施缺失1）关键网络节点无任何网络攻击行为检测手段和防护手段； 2）网络攻击行为检测措施的策略库/规则库半年及以上未更新； 3）其他。
14应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为。内部网络攻击防御措施缺失1）关键网络节点无任何网络攻击行为检测手段和防护手段； 2）网络攻击行为检测措施的策略库/规则库半年及以上未更新； 3）其他。
15应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析。网络行为分析措施缺失1）关键网络节点对新型网络攻击行为网络访问行为无任何分析手段，例如未部署抗APT系统、全流量分析系统、沙箱系统、具备行为分析功能的态势感知系统、威胁情报系统等； 2）基于威胁情报、行为分析模型进行行为分析的安全措施，半年及以上未更新威胁情报库、事件分析模型，无法满足防护需求； 3）其他。
16应能检测到云服务客户发起的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等。云计算平台网络攻击防御措施缺失1）云计算平台对云服务客户发起的网络攻击行为无任何检测手段； 2）网络攻击行为检测措施的策略库/规则库半年及以上未更新； 3）其他。
17接入控制应保证只有授权的感知节点可以接入。非授权感知节点设备能够接入网络中1）感知节点设备（例如感知节点接入网关、传感器等设备）未经授权可以接入网络； 2）其他。
18安全计算环境  身份鉴别应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。存在空口令、弱口令、通用口令或无身份鉴别措施1）存在可登录的空口令账户、无身份鉴别措施或身份鉴别措施可被绕过等； 2）存在可登录的弱口令账户，如长度在6位以下，或存在单个、相同、连续数字/字母/字符及常见字典等易猜测的口令； 3）多个不同被测对象的管理账户口令相同、或同一被测对象中多个不同管理账户口令相同； 4）其他。
19应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现。未采用两种或两种以上组合身份鉴别技术1）未采用两种或两种以上组合鉴别技术对用户进行身份鉴别； 2）其他。
20访问控制应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。访问控制策略存在缺陷或不完善，存在越权访问可能1）业务应用系统/平台访问控制策略存在缺陷或不完善，可非授权访问系统功能模块或查看、操作其他用户的数据； 2）数据库管理系统访问控制策略存在缺陷或不完善，存在数据库的超级管理员权限被授予非数据库管理员用户、或数据库的默认超级管理员账户被用于非数据库管理用途； 3）操作系统访问控制策略存在缺陷或不完善。存在以操作系统超级管理员权限运行的数据库、中间件、应用程序等非操作系统级进程或服务； 4）其他。
21入侵防范应关闭不需要的系统服务、默认共享和高危端口。开启多余的系统服务、默认共享和高危端口1）开启多余的系统服务、默认共享和高危端口，且可被远程访问； 2）其他。
22应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。存在可被利用的高危安全漏洞1）通过互联网管理或访问的系统或设备，存在外界披露的可被利用的高危安全漏洞； 2）通过非互联网等公共通信网络管理或访问的系统或设备，经测试验证确认存在缓冲区溢出、越权访问、远程代码执行等可被利用的高危安全漏洞； 2）其他。
23恶意代码防范应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。恶意代码防范措施缺失1）未采取恶意代码检测和清除措施； 2）恶意代码防范产品授权已过期； 3）恶意代码特征库、规则库等一个月以上未更新； 4）其他。
24数据保密性应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。重要数据明文传输1）鉴别信息、重要个人信息或重要业务数据等以明文的方式在网络环境中传输； 2）其他。
25应采用密码技术保证重要数据在存储过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等。重要数据明文存储1）鉴别信息、重要个人信息、具有保密性需求的重要业务数据以明文的方式存储； 2）其他。
26数据备份恢复应提供重要数据的本地数据备份与恢复功能。重要数据无本地备份措施1）重要数据未提供任何数据备份措施； 2）重要数据备份到互联网网盘或相关存储环境； 3）其他。
27综合类————获取被测系统关联系统权限1）获取了最高管理员权限或子管理员权限或普通用户权限； 2）其他。
28————获取被测系统权限1）获取了被测系统权限； 2）其他。
29————互联网暴露面过宽1）大型专网未能有效收口； 2）移动应用后台接口成为新的暴露点； 3）应用私搭乱建，管理不到位，存在防护盲区； 4）违规打通内网与互联网连接； 5）第三方接入缺乏安全管理与整体管控； 6）其他。
30————数据管理不规范1）违背最小化原则信息量泄露过多； 2）数据传输、存储、备份不规范； 3）其他。
31————“神经中枢”系统缺乏重点加固1）集权系统鉴别机制存在缺陷； 2）管理后台自身架构存在漏洞； 3）集权系统支撑环境存在漏洞； 4）域控系统缺乏重点防护措施； 5）其他。
32————安全管理运维水平不足1）供应链管控不力，成为迂回攻击跳板； 2）网络资产底数不清晰，老旧资产、测试系统未下线； 3）基层单位安全防护能力薄弱，极易成为攻击突破口； 4）员工安全意识不足，易被社工攻击利用； 5）公开漏洞未修复； 6）0Day漏洞攻击难以监测发现； 7）网络安全监测存在盲点导致难以及时发现隐蔽入侵行为，缺乏对攻击监测数据的分析； 8）其他。
33其他（可自行补充）————