等级保护定级指南(第十二期)讲解

网络安全等级保护定级指南解读《信息安全技术网络安全等级保护定级指南》是《信息安全技术信息系统安全等级保护定级指南》（GB/T 22240-2008）的修订版主要内容一．基本概念和定级要素二．定级方法三．工作流程•定级是开展网络安全等级保护工作的“基本出发点”•定级结果应当成为系统安全保护的总体安全需求之一•定级过程是找到系统最大风险的过程•《信息安全等级保护管理办法》（公通字[2007]43号“第七条信息系统的保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益；第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

”•解决了：信息系统根据什么定级？定什么级？•从信息系统对国家安全、经济建设、公共利益等方面的重要性，以及信息系统被破坏后造成危害的严重性角度对信息系统确定的等级-重要性定级•没有解决：定级的方法、流程•《信息安全技术信息系统安全等级保护定级指南》（GB/T 22240-2008）•《信息安全技术网络安全等级保护定级指南》（GB/T 22240-20**）(前者的修订版)——主要关注等级保护定级工作开展的流程及定级的方法•概念解释•安全保护等级•等级保护对象•客体•安全保护等级等级的确定是不依赖于安全保护措施的，具有一定的“客观性”，即该系统在存在之初便由其自身所实现的使命的重要程度决定了它的安全保护等级，而非由“后天”的安全保护措施决定。

•等级保护对象•网络安全等级保护工作的作用对象，主要包括基础网络设施、信息系统（如工业控制系统、云计算平台、物联网、使用移动互联技术的系统、其他系统）以及数字资源等。

2020「网络安全等级保护定级指南」最新解读，这些重点必须注意！新版《GBT 22240-2020 信息安全技术网络安全等级保护定级指南》正式发布，新的国标将于2020年11月1日正式实施。

腾讯安全平台部天幕团队联合腾讯安全专家咨询中心、云鼎实验室、安全管理部标准团队，针对新版定级指南的一些变化划重点解读，供广大企业参考。

01定级原理及流程1、安全保护等级如何划分？本部分变化较小，依旧是五个等级，从一级到五级由低到高。

现在对于定级系统的称呼统一改为等级保护对象（旧标准中称为信息系统），这也与等保2.0其他系列标准保持一致。

2、等保定级要素都有哪些？要素可以说基本没有变化，依旧沿用之前的定义。

•等级保护对象要素的两个方面：1）受侵害的客体；2）对客体的侵害程度。

•等级保护对象受侵害客体的三个方面：1）公民、法人和其他组织的合法权益；2）社会秩序、公共利益；3）国家安全。

•等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种：1）造成一般损害；2）造成严重损害；3）造成特别严重损害。

•定级要素与安全保护等级的关系之前行业内关于等保2.0基本要求的解读中，曾经提过对于公民、法人和其他组织和合法权益受到特别严重损害会定为第三级，但是从新版《指南》的官方结论，依旧按照旧版定为第二级，这里明确说明一下。

3、定级流程是怎样的？第二级及以上等级保护对象定级流程新增专家评审环节，不再自主定级，需要聘请专家认定等级保护对象的级别。

02确定定级对象1、哪些企业和机构需要定级备案？定级对象的范围相比旧标准变化较多，本次《指南》包含了云计算、物联网、工业控制系统、采用移动互联技术的系统、通信网络设施以及数据资源，我们来具体看下。

通用定级对象基本特征明确，共计三点：•具有确定的主要安全责任体；•承载相对独立的业务应用；•包含相互关联的多个资源。

从这几个特征来看，基本互联网上的系统差不多都要定级备案。

《指南》给出了有关安全责任主体的解释：包括但不限于企业、机关和事业单位等法人，以及不具备法人资格的社会团体等其他组织。

信息安全等级保护定级指南The document was finally revised on 2021附件2信息系统安全保护等级定级指南（试用稿）公安部二〇〇五年十二月目次信息系统安全保护等级定级指南1范围本指南适用于为4级及4级以下的信息系统确定安全保护等级提供指导。

有关部门根据文件确定涉及最高国家利益的重要信息系统的核心子系统，该系统的安全保护等级定为5级，不再使用本指南的方法定级。

各行业信息系统的主管部门可以根据本指南制定适合本行业或部门的具体定级方法和指导意见。

2术语和定义下列术语和定义适用于本指南。

2.1 业务信息（Business Information）为完成业务工作而通过信息系统进行采集、加工、存储、传输、检索和使用的各种信息。

2.2 业务信息安全性（Security of Business Information）保证业务信息机密性、完整性和可用性程度的表征。

2.3 业务服务保证性（Assurance of Business Service）保证信息系统完成业务使命程度的表征。

业务使命可能因信息系统无法提供服务或无法提供有效服务而不能完成或不能按照要求的目标完成。

2.4 信息系统（Information System）基于计算机或计算机网络，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索和服务的人机系统。

2.5 业务子系统（Business Subsystem）由信息系统的一部分组件构成，是信息系统中能够承载某项业务工作的子系统。

3定级对象如果信息系统只承载一项业务，可以直接为该信息系统确定等级，不必划分业务子系统。

如果信息系统承载多项业务，应根据各项业务的性质和特点，将信息系统分成若干业务子系统，分别为各业务子系统确定安全保护等级，信息系统的安全保护等级由各业务子系统的最高等级决定。

信息系统是进行等级确定和等级保护管理的最终对象。

3.1 信息系统的划分一个组织机构内可能运行一个或多个信息系统，这些信息系统的安全保护等级可以是相同的，也可以是不同的。

等级保护政策理解与解读● 等级保护的五级划分根据对信息系统受到破坏的程度来划分，将信息系统的安全保护等级分为Ø 具有唯一确定的安全责任单位作为定级对象的信息系统应能够唯一地确定其安全责任单位。

如果一个单位的某个下级单位负责信息系统安全建设、运行维护等过程的全部安全责任，则这个下级单位可以成为信息系统的安全责任单位；如果一个单位中的不同下级单位分别承担信息系统不同方面的安全责任，则该信息系统的安全责任单位应是这些下级单位共同所属的单位。

Ø 具有信息系统的基本要素作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和规则组合而成的有形实体。

应避免将某个单一的系统组件，如服务器、终端、网络设备等作为定级对象。

Ø 承载单一或相对独立的业务应用定级对象承载“单一”的业务应用是指该业务应用的业务流程独立，且与其他业务应用没有数据交换，且独享所有信息处理设备。

定级对象承载“相对独立”的业务应用是指其业务应用的主要业务流程独立，同时与其他业务应用有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网络传输设备。

● 不同等级的安全保护能力●等级保护定级的要素和方法信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。

等级保护对象受到破坏时所侵害的客体包括以下三个方面：Ø 公民、法人和其他组织的合法权益；Ø 社会秩序、公共利益；Ø 国家安全。

对客体的侵害程度由客观方面的不同外在表现综合决定。

由于对客体的侵害是通过对等级保护对象的破坏实现的，因此，对客体的侵害外在表现为对等级保护对象的破坏，通过危害方式、危害后果和危害程度加以描述。

等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种： Ø 造成一般损害；Ø 造成严重损害；Ø 造成特别严重损害。

两个定级要素与等级的关系如下表所示。

档案信息系统安全等级保护定级工作指南国家档案局2013年7月目录1.工作背景 (2)2.适用范围 (2)3.编制依据 (2)4.档案信息系统类型的划分 (3)5.档案信息系统的定级 (4)5.1档案信息系统的定级原则 (4)5.2档案信息系统安全保护等级的划分 (5)5.2.1受侵害客体 (5)5.2.2对客体侵害程度的划分 (5)5.2.3档案信息系统安全等级的划分 (6)5.3档案信息系统安全保护等级确定的方法 (6)5.3.1确定定级对象 (7)5.3.2确定受侵害的客体 (7)5.3.3确定对客体的侵害程度 (7)5.3.4确定档案信息系统的安全保护等级 (8)5.3.5编制定级报告 (10)6.评审 (10)7.备案与报备 (11)8.等级变更 (11)附录1《信息系统安全等级保护定级报告》模版 (12)附录2《信息系统安全等级保护备案表》 (14)1.工作背景1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》规定，计算机信息系统实行安全等级保护，公安部主管全国计算机信息系统安全保护工作。

近年来，公安部会同有关部门组织制订了一系列有关计算机信息系统安全等级保护的规章和标准，加强了对重点行业信息系统安全等级保护工作的监督、检查和指导，并于2011年建立了54个行业主管部门参加的等级保护联络员制度，档案行业为其中之一。

随着档案信息化进程的不断加快，档案部门通过档案信息系统管理的数字档案资源越来越多，提高档案信息系统的安全防护能力和水平，已经成为加强档案信息安全管理、促进档案事业健康发展的一项重要内容。

为做好档案信息系统安全等级保护工作，国家档案局编制《档案信息系统安全等级保护定级工作指南》（以下简称《指南》），以指导档案信息系统安全等级保护的定级工作。

2.适用范围本《指南》是档案信息系统安全等级保护定级工作的操作规范，适用于省级（含计划单列市、副省级市，下同）及以上档案行政管理部门及国家综合档案馆非涉密信息系统安全等级保护定级工作。