生物安全等级没有一级为什么生物安全等级又划分为BSL1，BSL2，BSL3，BSL4?

笑看风云

来源：知乎
生物安全等级没有一级为什么生物安全等级又划分为BSL1，BSL2，BSL3，BSL4?
原文地址：https://www.zhihu.com/question/432006746

同花顺

等级保护目的是保护信息系统免受一般性质的侵害。
1、为什么要做等级保护？
因为等级保护是国家规定的法律，不做等级保护工作，就属于违法行为。一旦出事，会受到法律的惩罚以及予以警告，拒不整改者停机整顿。
2、等级保护分为五个流程，五个流程分别是：
定级备案、建设整改、等级测评、监督检查。
定级：其中定级又分为五个等级，五个等级为：自主保护（1级）、指导保护（2）级、监督保护（3级）、强制保护（4级）、专控保护（5级）。
定级的要素：受到侵害后，对受侵害客体的侵害程度。
受侵害的客体分为三类：公民、法人、其他组织等；公共秩序、公共利益；国家安全。
对受侵害客体的侵害程度：
第一级：等级保护对象受到破坏后，会对公民、法人、其他组织的合法权益造成损害，但不危害国家安全、公共秩序和公共利益；
第二级：等级保护对象受到破坏后，会对公民、法人、其他组织的合法权益造成严重损害，或者对公共秩序和公共利益造成危害，但不危害国家安全；
第三级：等级保护对象受到破坏后，会对公共秩序和公共利益造成严重危害，或者对国家安全造成危害；
第四级：等级保护对象受到破坏后，会对公共秩序和公共利益造成特别严重危害，或者对国家安全造成严重危害；
第五级：等级保护对象受到破坏后，会对国家安全造成特别严重危害。
3、侵害程度分类：
一般损害：工作职能受到局部影响，业务能力有所降低但不影响主要功能的执行，出现较轻的法律问题，较低的财产损失，有限的社会不良影响，对其他组织和个人造成较低损害；
严重损害：工作职能受到严重影响，业务能力显著下降且严重影响主要功能执行，出现严重的法律问题，较高的财产损失，较大范围的社会不良影响，对其他组织和个人造成比较严重损害。
特别严重损害：工作职能受到严重影响或丧失行使能力，业务能力严重下降且或功能无法执行，出现极其严重的法律问题，极高的财产损失，大范围的社会不良影响，对其他组织和个人造成非常严重损害。
4、定级的流程：
1.确定定级对象
2.初步确定定级对象
3.专家评审
4.主管部门核准
5.备案审核
5、作为定级对象的信息系统应具有如下基本特征：
具有确定的主要安全责任主体；
承载具有相对独立的业务应用
包含相互关联的多个资源
工业控制系统主要包括现场采集/执行、现场控制、过程控制和生产管理等特征要素。
其中，现场采集/执行、现场控制和过程控制等要素应作为一个整体对象定级，各要素不单独定级；生产管理要素可单独定级。
对于大型工业控制系统，可根据系统功能、责任主体、控制对象和生产厂商等因素划分为多个定级对象。
6、等级保护就像人要做体检一样。
有的人偶尔做一次体检，有的人一年、两年、三年、甚至五年做一次，你不能说人做的频率越高出现问题的几率越多吧，肯定是做的频率越高出现问题的几率越小。这就涉及到不同的人对身体的健康要求一样。
对应的三级业务系统等保测评每年做一次，二级业务系统测评每两年做一次。
这和对网络安全性要求特别高、极高、较高、一般、较差是一样的，体检的多了，及时发现问题，及早解决问题。
然后，体检的时候我们肯定会查心肝脾肺肾对应着我们等保的物理、应用、数据、主机、网络等，你不能说这些不重要吧，所以重要程度可想而知。
7、为什么要做等保？这和你为什么要体检是一样的道理。
你担心自己的身体出问题，所以你要花钱主动体检。那等保呢，等保是国家明文规定你要进行体检，不体检就是违反法律，违反法律就是要受处罚，处罚完还是要去进行体检。
工作流程：预约挂号(预测评前期工作)---见到医生描述清楚症状特征（信息系统整理）----医生根据描述判断症状（专家评审环节）----有什么问题去哪哪做检查（测评机构看看问题出在哪里）---建立病历（出局测评报告）----是否要住院观察（差距整改阶段）-------出院（复评阶段）。
8、通过等保后会有一个年度测评备案证
从某年某月某天至某年某月某天对某单位2级或者3级信息系统进行年度等级测评
测评结论为基本符合（公安部盖章）
备案证和年度测评备案证有公安部盖章，个人无法在网上查询自己的备案及测评情况。只能委托测评公司进行查询。
网闸性能较差，替代方案通过防火墙做双nat进行隔离
ddos、流量清洗设备（大单位）
邮件安全系统（邮件安全网关设备）
无线安全网关（无线区域边界安全）
综合日志审计（审重要设备的审计，过多的设备，可能承载不了）
APT 高级威胁分析
探针 搜集恶意流量
集中管理防病毒（分服务端、客户端），服务端需要有服务器
如果是集成平台，需要考虑服务器的点位来进行防护。
医疗：
医疗内网无线需要考虑安全设备、无线准入认证。mac地址绑定。
c/s架构可用waf旁挂。
胖AP瘦AP客户端
前置机服务器需要加防火墙
9、等级保护是什么？
等级保护是对业务系统或者说是系统服务所处的网络环境做等级保护。总的来说重要的信息系统重点保护。
明确一个观点等级保护不分内外网，无论业务系统或者系统服务处于哪种网络都要做等级保护。涉密网络除外，涉密网络需要做分级保护。
分级保护分3个级别：秘密级、机密级、绝密级。
分级保护与等级保护对应关系：秘密级对应三级、机密级对应四级、绝密级对应五级。
分级保护是由国家保密局发起的，推广带有强制性的。等级保护是公安部门发起的，执行力相对分保要弱一点。
等级保护的主管部门：
1. 公安机关：等级保护工作的主管部门，负责信息安全等级保护工作的监督、检查、指导
2. 国家保密工作部门、国家密码管理部门：负责等级保护工作中有关保密工作和密码工作的监督、检查、指导
3. 国信办及地方信息化领导小组办事机构：负责等级保护工作部门间的协调，涉及国家秘密信息系统的等级保护监督管理工作由国家保密工作部门负责
分级保护的主管部门：
1. 国家保密局及地方各级保密局：监督，检查，指导
2. 中央和国家机关(本部门)：主管和指导
3. 建设使用单位：具体实施。
网络环境包括：
物理环境：物理环境的选择，具备防风、防雨、抗震、抗静电、灭火、电力供应、电磁防护、访问控制（门禁）和机房访问人员登记表。
等级保护有五个流程，定级、备案、整改、等级测评、监督检查。
如果系统数量比较庞大，那么优先选择重要系统做等级保护。
10、定级是根据信息系统遭到破坏后产生的影响来进行判断的？
1、内网、外网（物理隔离（完全隔离，不接触）、逻辑隔离（有设备联接））外网常见的都是防火墙或者路由器作为出口设备。（网络设备：路由器、交换机）
2、接入层、汇聚层、核心层
3、办公区、服务器区（数据中心）、呼叫中心 可以理解为公司的财务部、综合部、业务部职能部门。
4、设备在拓扑图中的表示方法。（NGFW、FW）交换机（接口比较多）业务系统的名称、几级、安全设备的名称。
5、设备功能的简介：
日志审计（对关键设备的日志进行审计，网络设备、安全设备）
数据库审计（对数据库操作的日志进行审计，常常会遇到客户说自己的数据库服务器可以保存日志，为什么还要有一台专门的数据库服务器呢，可以这么回答。我们的数据库服务器有可能是两到三个人来维护，中间万一出现些问题，维护人员可以直接从数据库日志中删除日志，追溯不到源头，不知道是谁。数据库审计抗抵赖性）
下一代防火墙（信任区、非信任区、DMZ区（非军事化区））
web应用防火墙（B/S架构，访问方式：通过浏览器访问服务）
堡垒机（先登录堡垒机输入账号密码，通过验证后再去输入服务器的账户密码，登录到堡垒机后堡垒机会对用户进行日志记录，也会对用户行为进行监控、录屏等。）
终端准入控制系统（终端需要安装客户端才能上网，安装客户端的工作量是单位人数，人数多量大）
网络准入（对ip地址和mac地址做管控）
IPS（入侵防御系统）
IDS（入侵检测系统）
主机防病毒（网络版）个人版对勒索病毒防范不强，病毒库不够强大。
态势感知 对未知威胁事件发生做识别、分析、预警、防御。
网闸（物理隔离，只允许自己设定的协议通过）
SSL VPN（在外出差的人员，有想获取公司内部文件或者资料时使用）
上网行为管理（员工上网的行为做一个管理，比如上班时间不能炒股，玩网页游戏等，通过策略去做管控）
二级：主机防病毒、堡垒机、下一代防火墙、IPS、日志审计、终端准入控制或者网络准入控制
三级：主机防病毒、堡垒机、下一代防火墙、IPS、日志审计、终端准入控制或者网络准入控制、waf（B/S根据业务系统架构来定）、上网行为管理、态势感知、无线控制器、数据库审计、IDS、抗ddos、网闸。
在网络规划与实施中应注意老化的链路和设备是否可以进行迁移、关机等工作，避免带来不必要的风险。
前期预测评应根据客户实际情况来进行规划设计、如医疗、教育、政府、能源应严格根据等级保护基本要求进行网络规划设计；普通行业：如企业、地级市应根据实际预算去考虑到基本防护。
11、混合云：应判定客户的业务系统属于以下哪种情况？
业务在云，本地也有相关业务存在：考虑两套防护措施，云上一套、物理机房一套。
业务全部在云，本地只是起到备份的作用：只需要在云上进行防护，本地配置基本防护即可（下一代防火墙、主机防病毒）。
IAAS基础设施及服务 将基础设施
PAAS平台及服务 无需关注底层
SAAS软件及服务 无需关注硬件设施、软件平台等，不需要投入人员进行开发、维护。
基本要求+扩展要求，基本要求就是技术+管理，扩展要求就是云平台、物联网、移动互联网、大数据。

继续前进

为什么《血疫》中说生物安全级别没有一级

卡卡

因为编辑词条的人将“村规”跟国际常用规定混在一起介绍，又不说清楚，后续编辑词条的人没有注意到，“参与审核的专家”也一样。

• 你可以在这词条的历史记录里看到，在2016年12月7日的版本里，有用户添加了所谓“由于某些原因并没有1级”的描述，并将正文里的BSL-1改为所谓“BSL-0”；在2017年1月6日的版本里，另一用户将“BSL-0”改回BSL-1，但并没有改掉“由于某些原因并没有1级”的描述；此后历次编辑都没有人发现这个问题。
  
• 在国际范围内，并没有所谓“BSL-0”的说法。我国的生物安全实验室也是和国际接轨的。
  
• 这就是百度百科的日常情况。
  

BSL-1、BSL-2、BSL-3、BSL-4是美国疾病控制与预防中心(CDC)对生物实验室安全水平的划分，即“在封闭的实验室环境中隔离病原体所需的生物安全防护措施的严格程度”，按照这些规定来建立生物安全实验室。这不是对病原体危险程度的直接描述，许多在全世界无双割草过的病原体列在BSL-1、BSL-2。
CDC描述病原体危险度的Biohazard Level并无“安全”字样，内容也和题目里的图片大相径庭。
<hr/>生物安全等级一

所有特性都已清楚的病原体，不会导致研究人员患病。
例如犬传染性肝炎病毒（不会感染人）、杆状病毒（不会感染人）、豚鼠疱疹病毒（不会感染人）、松鼠猴疱疹病毒（不会感染人）、金黄地鼠白血病病毒（不会感染人）、小鼠白血病病毒（不会感染人）、大鼠白血病病毒（不会感染人）、小鼠乳腺瘤病毒（不会感染人）、核型多角体病毒（不会感染哺乳类）、腺相关病毒1型到4型（不会引起疾病）。
以上是指进行病毒培养需要的生物安全等级为1，这包括的操作是病毒的分离、培养、滴定、中和试验、活病毒及其蛋白纯化、病毒冻干、产生活病毒的重组实验等。活病毒所感染的细胞及其细胞提取物在不经灭活的情况下进行的生化分析、血清学检测、免疫学检测等也视作病毒培养。
对于麻疹病毒和腮腺炎病毒，在正常情况下，研究人员已通过疫苗或自然感染对其免疫，可以列为生物安全等级一。也有些国家将它们列为生物安全等级二。
生物安全等级一并不代表该病毒弱小。麻疹病毒是尚未灭绝的病毒里历史累计杀人数量最多的，2019年末还在刚果（金）杀害了五千多人。各种核型多角体病毒可以对各自针对的昆虫造成毁灭性打击，以至于能用做杀虫剂。上面列出的写着“白血病”或“乳腺瘤”的家伙也就是对其针对的物种造成其写着的疾病。
生物安全等级二

传染力中等的病原体，与一些常见人类疾病相关，有潜在的危险性。
例如甲肝病毒、乙肝病毒、丙肝病毒、甲型流感病毒、副流感病毒、呼吸道合胞病毒、人偏肺病毒、EB病毒、BK多瘤病毒、巨细胞病毒、腺病毒、单纯疱疹病毒1型和2型、诺如病毒、风疹病毒、水痘-带状疱疹病毒、寨卡病毒。
将人乳头瘤病毒放在生物安全等级二还是三，在国际上是有分歧的。
生物安全等级二的病毒给人类造成了大量的伤害、失能、畸形、死亡。市面上有许多针对它们的疫苗和药物。不过，一旦这里面的病毒的特定毒株造成重大损害或表现出高致命性，人们会将其待遇升级为生物安全等级三，例如1918年H1N1、H5N1、H7N9。
生物安全等级三

传染力高（可在实验室经吸入或意外刺伤等传染）、发病可致命的病原体，需要专业防护。
例如SARS冠状病毒、MERS冠状病毒、新冠病毒、艾滋病毒、西尼罗河脑炎病毒、委内瑞拉马脑炎病毒、东部马脑炎病毒、裂谷热病毒、黄热病毒、屈曲病毒、弗莱克索病毒、实验室中的汉坦病毒。
上述病毒的疫苗株通常视为生物安全等级二。
生物安全等级四

传染力高、发病高概率致命或大量特性还不清楚的病原体，需要高规格的防护。目前还没有管用的疫苗或治疗方法。
例如阿根廷出血热病毒、刚果出血热病毒、埃博拉病毒、瓜纳瑞托病毒、动物感染的汉坦病毒、B疱疹病毒、亨德拉病毒、立百病毒、马尔堡病毒、萨比亚病毒、拉沙出血热病毒、科萨努尔森林病毒、蜱传脑炎病毒、卢约病毒、马丘波病毒、克里米亚-刚果出血热病毒、鄂木斯克出血热病毒。
将天花病毒放在生物安全等级三还是四，在国际上是有分歧的。天花疫苗是有效的，但现代有数十亿人没有接种过。不过，现在只有2个设施能合法储存天花病毒。
实验中的阿根廷出血热病毒疫苗株可视为生物安全等级二。

病毒以外的细菌、支原体、衣原体、立克次体等病原体也使用这套安全等级。