等保1.0和等保2.0的一個顯要的區別：等保2.0相關一系列標準已經由信息系統安全更名為網絡安全。
如其中的《信息系統安全等級保護基本要求》更名為《網絡安全等級保護基本要求》，通過名稱的變化，可以看出等保2.0的涉及對象的改變，定級對象由信息系統變成了等級保護對象。
覆蓋範圍變得更廣了，這也是針對新技術的發展擴大了新內容，這個後文會進行闡述。那為什麼會叫網絡安全呢？我認為自然也和2016年《網絡安全法》落地實施有所關聯，其中《網絡安全法》第二十一條明確規定：「國家實施網絡安全等級保護制度」。所以在《中華人民共和國網絡安全法》落地以後，等級保護工作已經上升到法律層面，網絡運營者不開展等級保護工作可能違法並追究網絡運營者及主管人員的法律責任。
等保2.0的落地自然會帶來新增需求，包括產品和服務兩部分。等保2.0帶來的市場增量約為54.27%，產品加服務總的新增空間為271.35億元。可見等保2.0的落地促進了一大批安全廠商和安全服務商的市場，也從側面反映出等保2.0的重要性。那麼等保2.0對比等保1.0究竟發生了怎樣的變化呢？
我們從《網絡安全等級保護基本要求》的目錄結構進行分析（如下圖）。
首先是第五章網絡安全等級保護概述中，關於等級保護對象，《網絡安全等級保護基本要求》中寫道：「等級保護對象是指網絡安全等級保護工作中的對象，通常是指由計算機或者其他信息終端及相關設備組成的按照一定的規則和程序對信息進行收集、存儲、傳輸、交換、處理的系統，主要包括基礎信息網絡、雲計算平臺／系統、大數據應用／平臺／資源、物聯網(IoT)、工業控制系統和採用移動互聯技術的系統等。等級保護對象根據其在國家安全、經濟建設、社會生活中的重要程度，遭到破壞後對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度等，由低到高被劃分為五個安全保護等級。」
這裡就涉及到如何劃分五個安全保護等級？如上圖，等保1.0提出自主定級，等保2.0就要求二級及以上系統必須經過專家評審和主管部門審核才能進行備案。其中2.0中對公民、法人和其他組織的合法權益造成特別嚴重損害的已由1.0的二級提升到了三級。
另外等保2.0還提出如果第三級及以上系統有特別重要的系統，稱之為關鍵信息基礎設施，那麼我們還需要依據關鍵信息基礎設施的標準加強保護。
網絡安全等級保護制度是我國網絡安全保障領域普適性的制度，是關鍵信息基礎設施保護的基礎，而關鍵信息基礎設施是網絡安全等級保護制度保護的重中之重。
目前關於關鍵信息基礎設施的標準還在起草過程中。網絡安全等級保護制度和關鍵信息基礎設施保護是網絡安全的兩個重要方面，不可分割。網絡運營者應當在安全保護等級為第三級（含）以上網絡中確定關鍵信息基礎設施，其安全保護等級不低於第三級。
前面提到等級保護對象明顯覆蓋範圍更加廣了，也在基本要求目錄中剩下的幾個章節可以看出。您可以清楚的發現每一章結構是一樣的，先是五個不同安全等級的安全要求，然後分別是安全通用要求、雲計算擴展要求、移動互聯安全擴展要求、物聯網安全擴展要求和工業控制系統安全擴展要求。等保1.0的標準是在2008年陸續推出，期間經過了十餘年的實踐，自然出現了許多新威脅與新技術。那麼從目錄可以看出這次針對雲計算、移動互聯、物聯網和工業控制系統都提出了安全擴展要求。類比08版的等保1.0標準，等保1.0的基本要求下直接是安全要求，然後劃分為技術要求和管理要求。而2.0的標準是安全要求，中間多了一層安全通用要求和安全擴展要求，然後分別在安全通用要求和安全擴展要求下劃分技術要求和管理要求。
如果再繼續細分，就會發現結構變化的差距更大了，主要體現在技術要求。
如下圖，如何理解這張圖，首先要先了解什麼是控制點和要求項。
舉個慄子
比如安全計算環境中有身份鑑別、訪問控制等控制點，控制點下面對應的abc不同要求就叫要求項。2.0中安全物理環境和1.0的物理安全中的控制點沒什麼差別，只是更改了部分要求項。但1.0的網絡安全可以從圖中看到，分別指向了2.0的安全通信網絡、安全區域邊界和安全計算環境，發生了比較大的變化。
具體是1.0的網絡安全中結構安全變成了2.0安全通信網絡中的網絡架構，並增加了通信傳輸和可信驗證。
1.0的網絡安全中的邊界完整性檢查對應更改為2.0中的邊界防護並增加了新的要求項，1.0的網絡安全的惡意代碼防範對應更改為了2.0中的惡意代碼和垃圾郵件防範，從控制點的變化可以看出2.0對垃圾郵件防護提出了要求。安全區域邊界中還增加了可信驗證，可信驗證是新版本的前瞻性要求。
那麼網絡設備防護和1.0中的應用安全、主機安全和數據及備份恢復都統一對應更改到了2.0的安全計算環境，並增加了可信驗證和個人信息保護。
最後1.0中的安全管理中心由原來的管理要求變成了技術要求，控制點分別為系統管理、審計管理、安全管理和集中管控。
說了這麼多變化，大家可能會產生疑問：安全通用要求和安全擴展要求到底怎麼去使用呢？
不必擔心，關於安全通用要求和安全擴展要求的選擇和使用在附錄中給大家詳細介紹了，並有針對性的對雲、移、物、工、大等應用場景進行說明。簡單舉例說明，如果某單位系統是託管於雲平臺，那麼用戶單位進行等保測評的時候，自然就是安全通用要求加上雲計算擴展要求，而且必須要求雲服務商等保安全等級大於客戶單位系統並通過等保測評。而針對不同雲計算的服務模式，如圖所示，雲服務商和雲服務客戶對計算資源擁有不同的控制範圍，控制範圍決定了安全責任的邊界。
在IaaS模式下，雲計算平臺／系統由設施、硬體、資源抽象控制層組成；
在PaaS模式下，雲計算平臺／系統包括設施、硬體、資源抽象控制層、虛擬化計算資源和軟體平臺；
在SaaS模式下，雲計算平臺／系統包括設施、硬體、資源抽象控制層、虛擬化計算資源、軟體平臺和應用軟體。
由此可知，雲服務商和雲服務客戶又會根據不同的模式在等保合規時要分開定級並進行測評。
以上就是關於等保2.0《網絡安全等級保護基本要求》的變化講解。由於新標準要求系統綜合得分75分以上才算是通過等保2.0了，並且變成了優、良、中、差四個測評結論，可以看出等保2.0的要求更加嚴格了。作為等級保護對象的我們該如何應對新標準的每個要求項新變化，從而達到等保2.0的合規建設要求?我們有機會再進行分享。