金融等保各系统等级怎么定：核心、渠道与后台分开看
金融行业的定级题，难点通常不在"要不要做"，而在于一家机构手上有十几个甚至上百个系统，该拆成几个定级对象、每个对象报几级。把整家机构打包成一个对象去报的单位不少，材料写得厚，评审却难过——整改责任落不到具体系统上，测评也没法按对象出结论。
下面按"先拆对象、再定等级、最后排节奏"的顺序讲，重点放在核心、渠道、后台三类系统上。
一、定级之前，先决定拆成几个对象
定级对象划得粗，后续整改就是一笔糊涂账；划得过细，备案数量成倍增长，运维台账也撑不住。实操中通常按三条线切分：
- 业务独立：能独立完成一类完整业务闭环的系统，单独作为一个对象，比如信贷审批、支付结算。
- 责任主体独立：由不同部门或不同法人主体运营、管理的，分开定级。
- 边界清晰：有独立的网络区域、独立的运维团队、独立的数据集，能单独实施保护措施的，可以切成独立对象。
按这三条切下来，一家中型城商行常见的定级对象在 10 到 25 个之间。拆分的结论要写进定级报告，并说明为什么这样切——这是评审时被追问最多的一处。
二、判断依据：国标给矩阵，行标给落地要求
等级判定本身用的是 GB/T 22240-2020《网络安全等级保护定级指南》的两维矩阵：先看系统遭到破坏后受侵害的客体（公民法人和其他组织的合法权益、社会秩序与公共利益、国家安全），再看侵害程度（一般损害、严重损害、特别严重损害），交叉确定一级到五级。
金融行业在这个矩阵之外还要叠一层行业要求。2020 年 11 月 11 日，中国人民银行发布并实施了 JR/T 0071.1—0071.6《金融行业网络安全等级保护实施指引》六个部分，以及 JR/T 0072—2020《金融行业网络安全等级保护测评指南》，同时废止 2012 版。这套行标以 GB/T 22239-2019 和 GB/T 25070-2019 为基础，把通用要求翻译成金融机构可以直接执行的条款，覆盖岗位能力、培训、审计等环节。
两句话概括分工：国标决定"几级"，行标决定"这个级别在金融场景下要做到什么程度"。数据侧可参照 JR/T 0197-2020《金融数据安全 数据安全分级指南》，先把数据分级弄清再回推系统等级。
三、逐个系统看：常见等级与理由
下面这张清单是行业里比较普遍的做法，属于经验区间，不是强制结论。最终等级仍要过专家评审、行业主管部门核准和公安机关审核，各地口径存在差异，以属地要求为准。
| 系统类型 | 常见等级 | 主要理由 |
|---|---|---|
| 核心账务、存款、贷款、支付结算 | 三级 | 直接处理资金与大量客户身份、账户信息，出问题会造成财产损失 |
| 网上银行、手机银行、直销银行等渠道 | 三级 | 互联网暴露面大、是交易入口，被攻破的影响等同于核心系统 |
| 与清算机构、支付系统对接的接口 | 随所对接系统定级，一般不低于三级 | 一旦中断或篡改，影响跨机构资金流转 |
| 信贷审批、风控、反欺诈 | 三级居多 | 承载征信与授信数据，敏感度高，决策结果直接影响客户 |
| 客服、官网、营销活动页 | 二级居多 | 有客户信息但一般不含交易与账户核心数据 |
| 办公 OA、人事、邮件 | 二级居多 | 内部使用，泄露影响范围可控，但常作为进入生产网的跳板 |
| 开发测试、数据仓库、灾备 | 按承载数据定，常见与生产同级 | 测试库常含生产数据副本，灾备直接承接业务连续性 |
有两个判断习惯值得养成。一是看数据不看名字：叫"报表系统"却存了全量客户流水，就不能按二级处理。二是看关联：一个系统自身影响不大，但它挂掉会连带核心交易，等级要往上抬。
四、三类最容易在评审环节被退回的写法
定级报告被退回，多数不是等级报错，而是理由没写透。
- 只写业务信息，漏了系统服务。两条线要分别判断受侵害客体和程度，取较高者。很多报告只写数据泄露的影响，服务中断那一侧空着。
- 用形容词代替数量。"影响重大""涉及大量客户"没有说服力，要落到用户规模、日均交易笔数、影响地域、恢复时间这些可核对的口径。
- 云上系统的责任边界没交代。要说明服务模式、哪些控制项由云平台承担、哪些由本机构承担，否则测评阶段会出现"这一项谁负责"的争议。
五、定完之后：备案、测评与整改的节奏
二级以上系统，应在安全保护等级确定后 30 日内到所在地设区的市级以上公安机关办理备案；新建系统在投入运行后 30 日内办理。备案材料一般包括备案表、系统拓扑与说明、定级报告，三级及以上通常还需提供风险评估相关材料，具体要求各地略有差别。
测评节奏上，三级系统原则上每年至少一次，二级系统通常两年一次，部分行业与属地要求更严。被认定为关键信息基础设施的系统另有一条硬线：《关键信息基础设施安全保护条例》（国务院令第 745 号，2021 年 9 月 1 日施行）第十七条要求运营者自行或委托网络安全服务机构每年至少进行一次网络安全检测和风险评估，发现问题及时整改并按保护工作部门要求报送。这一条对应的罚则不轻——第三十九条第八项规定，未开展检测评估或未按要求报送的，责令改正、给予警告；拒不改正或导致危害网络安全后果的，处 10 万元以上 100 万元以下罚款，直接负责的主管人员处 1 万元以上 10 万元以下罚款。
费用与周期只能给区间：二级系统测评费用通常在数万元区间，三级更高，整改投入取决于现状差距，从启动到复测完成一般在三到六个月。具体金额与时限以属地要求及测评机构报价为准。
六、给一个可执行的起点
不要从填表开始，从画边界图开始：把业务系统、数据流向、网络区域、运维责任四张图画出来，对象自然就分开了；再对照清单逐个定级，用专家评审把争议项定下来。
需要更细的流程与材料，可以接着看站内的等保定级流程、备案材料清单和等级测评实施要点；进入整改阶段后，整改方案怎么写与费用怎么算可以顺着读。金融行业的整体推进思路另见金融行业等保定级怎么划。