【等保百科】第9期：等级保护对象如何定级？
网络和数据安全服务
数据治理和数据服务
合规管理和咨询服务
网络安全等级测评
关键信息基础设施安全测评
数据安全分类分级
数据安全风险评估
DSMM数据安全能力成熟度评估
个人信息保护合规审计
个人信息保护影响评估
网络和数据安全综合监管服务平台 (行业 /区域)
网络安全等级保护管理平台
信创系统等级测评
信息安全风险评估
第三方安全性测试
工业信息安全测评
商用密码应用安全性测评
网络安全合规咨询
数据安全合规咨询
DCMM数据管理能力评估
河南省大数据产业综合服务平台
售前在线工作时间为，工作日8:30-17:30
填写联系方式，我们会安排专人在1-3个工作日内与您联系
根据等级保护对象在国家安全、经济建设、社会生活中的重要程度，以及一旦遭到破坏、丧失功能或者数据被篡改、泄露、丢失、损毁后，对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的侵害程度等因素，等级保护对象的安全保护等级分为以下五级：
第一级： 等级保护对象受到破坏后，会对相关公民、法人和其他组织的合法权益造成损害，但不危害国家安全、社会秩序和公共利益；
第二级： 等级保护对象受到破坏后，会对相关公民、法人和其他组织的合法权益造成严重损害或特别严重损害，或者对社会秩序和公共利益造成危害，但不危害国家安全；
第三级： 等级保护对象受到破坏后，会对社会秩序和公共利益造成严重危害，或者对国家安全造成危害；
第四级： 等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重危害，或者对国家安全造成严重危害；
第五级： 等级保护对象受到破坏后，会对国家安全造成特别严重危害。
定级对象主要包括信息系统、信息网络、数据资源、云计算平台、工业控制系统、物联网、移动互联、智能制造系统等，作为定级对象的信息系统应具有以下基本特征：
➤ 具有确定的主要安全责任主体，包括但不限于企业、机关和事业单位等法人，以及不具备法人资格的社会团体等其他组织；
➤ 承载相对独立的业务应用，避免将某个单一的系统组件,如服务器、终端或网络设备作为定级对象。
➤ 包含相互关联的多个资源。
注：在确定定级对象时，云计算平台/系统、物联网、工业控制系统以及采用移动互联技术的系统在满足以上基本特征的基础上，还需分别遵循其他相关要求。
定级对象的安全主要包括业务信息安全和系统服务安全，与之相关的受侵害客体和对客体的侵害程度可能不同，因此，安全保护等级由业务信息安全和系统服务安全两方面确定。从业务信息安全角度反映的定级对象安全保护等级称为业务信息安全保护等级，从系统服务安全角度反映的定级对象安全保护等级称为系统服务安全保护等级。
等级方法流程示意图
定级対象的初步安全保护等级由业务信息安全保护等级和系统服务安全保护等级的较髙者决定。
业务信息安全保护等级矩阵表
系统服务安全保护等级矩阵表
➤ 对于通信网络设施、云计算平台/系统等定级对象，需根据其承载或将要承载的等级保护对象的重要程度确定其安全保护等级，原则上不低于其承载的等级保护对象的安全保护等级
➤ 对于数据资源，综合考虑其规模、价值等因素，及其遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的侵害程度确定其安全保护等级。涉及大量公民个人信息以及为公民提供公共服务的大数据平台/系统，原则上其安全保护等级不低于第三级。
安全保护等级初步确定为第二级及以上的，定级对象的网络运营者需组织网络安全专家和业务专家对定级结果的合理性进行评审，并出具专家评审意见。
有行业主管（监管）部门的，还需将定级结果报请行业主管（监管）部门核准，并出具核准意见。
网络运营者按照相关管理规定，将《网络安全等级保护定级报告》、《网络安全等级保护备案表》提交公安机关进行备案审核。审核不通过，网络运营者需组织重新定级，审核通过后最终确定定级对象的安全保护等级，并获得公安机关颁发的《网络安全等级保护备案证明》。
《网络安全等级保护备案证明》有效期为三年。2025年1月1日前备案的，有效期自2025年1月1日起算。完成等级测评后有效期自动延长一年。期满需要延期的，应当于期满前三个月内向受理备案的公安机关申请延期。
等级保护对象的等级并非一成不变的，当等级保护对象所处理的业务信息和系统服务范围发生变化，可能导致业务信息安全或系统服务安全受到破坏后的受侵害客体和对客体的侵害程度发生变化时，需重新确定定级对象和安全保护等级。
国家互联网信息办公室
中华人民共和国公安部
国家市场监督管理总局
网络安全等级保护网
CNCERT国家互联网应急中心
全国网络安全标准化委员会
数据管理能力成熟度评估服务平台
中国电子信息行业联合会
全国标准信息公共服务平台