一文读懂网络安全等级保护定级流程

文章来源: 全云在线 https://www.cloudallonline.com/?jr66

【重点】根据我国网络安全等级保护正常规定，三级信息系统要求每年至少开展一次测评。

最近有很多人想了解一下等级保护定级的流程，我这边为大家整理了一下，希望对大家有所帮助；

等级保护的整体流程大概为：定级—备案—初测—建设整改—复测—监督检查；建议大家记在心中；

2020年4月28日，国家市场监督管理总局和国家标准化管理委员会发布了《GBT 22240-2020 信息安全技术 网络安全等级保护定级指南》，新的国家标准，新的国标于2020年11月1日正式实施。

等保定级

一、以下是关于等级保护定级新标准的重点内容解读：

1、确定定级对象基本特征

1、具有确定的主要安全责任主体；

2、承载相对独立的义务应用；

3、包含相互关联的多个资源。

对于有扩展性要求的系统，确定定级对象还要参考：云计算平台/系统、物联网、工业控制系统、采用移动互联网技术系统的定级要求。

2、网络安全等级保护对象

网络安全等级保护对象主要包括：信息系统、通信网络设施（对于电信网 、广播电视传输网等通信网络设施，宜根据安全责任主体 、服务类型或服务地域等因素 将其划分为不同的定级对象）和数据资源（安全责任主体不同，需要单独定级）等。

3、等级保护定级要素与安全保护等级的关系

这里需要注意的是当公民、法人和其他组织的合法权益造成特别严重损害时是二级，原先在征求意见稿中是第三级。

4、等级保护定级工作一般流程

定级流程

5、确定安全等级保护等级

安全保护等级初步确定为第二级及以上的，定级对象的网络运营者需组织信息安全专家和业务专家对定级结果的合理性进行评审，并出具专家评审意见 。其网络运营者依据本标准组织专家评审、主管部门核准和备案审核，最终确定其安全等级。初步确定为第一级的等级保护对象，可不进行专家家评审、主管部门核准和备案审核。

6、对于大型云计算平台，宜将云计算基础设施和有关辅助服务系统划分为不同的定级对象。

7、工业控制系统中现场采集/执行、现场控制和过程控制等要素需作为一个整体进行系统定级，各要素不单独定级；生产管理要素宜单独定级。

8、对于电信网、广播电视传输网等通信网络设施，宜根据安全责任主体、服务类型或服务地域等因素将其划分为不同的定级对象。跨省的行业或单位的专用通信网可作为一个整体对象定级，或分区域划分为若干个定级对象。

9、数据资源可独立定级。当安全责任主体相同时，大数据、大数据平台/系统宜作为一个整体对象定级；当安全责任主体不同时，大数据应独立定级。涉及到大量公民个人信息以及为公民提供公共服务的大数据平台/系统，原则上其安全保护等级不低于三级。

二、等保三级系统多久测评一次?

根据我国网络安全等级保护正常规定，三级信息系统要求每年至少开展一次测评。简单来说等保三级测评需要每年做一次。等保三级70分以上才算及格，90分以上算优秀。