从定级要素到等级结论：二级与三级的判断路径

定级会上最常见的一幕：业务部门说"我们这个系统就是个内部审批，二级够了"，安全部门说"上面挂着客户信息，得三级"。两边都有道理，但都没说到点上——等级不是拍出来的，是按定级要素一步步推出来的。

《信息安全技术 网络安全等级保护定级指南》（GB/T 22240-2020）给的路径其实很短：确定定级对象，分别判断业务信息安全和系统服务安全被破坏后侵害的客体，评定侵害程度，查矩阵得等级，取两者较高者。真正容易出错的，是前面两步。

第一步：先划清定级对象是谁

等级挂在对象上，不挂在单位上。标准要求定级对象具备三个特征：有确定的主要安全责任主体、承载相对独立的业务应用、包含相互关联的多个资源。

反过来说，一台服务器、一个数据库实例、一台防火墙，都不构成定级对象。抱着机房设备清单去定级，是常见的起点错误，后面的评审和备案都会被退回来重做。

云上的划分更明确：云服务客户侧的系统与云服务商侧的云平台，分别作为单独的定级对象。也就是说，你用的是公有云，平台由服务商定级备案，你自己那套业务系统仍要单独定级、单独备案，两边各备各的，不能拿平台的备案证明顶自己的。

物联网、工业控制系统则相反：感知、传输、处理，或者现场采集、现场控制、过程控制，要作为一个整体定级，不能拆开各定各的；工控系统的生产管理要素可以单独定级。这类系统一拆，边界就乱了。

第二步：客体从高往低问，别从"我们是民企"起判

定级要素只有两个：受侵害的客体、对客体的侵害程度。客体的判断有规定顺序，很多人跳过它，直接落到最低一档。

标准要求先判断是否侵害国家安全，再判断是否侵害社会秩序、公共利益，最后才判断是否侵害公民、法人和其他组织的合法权益。顺序不能倒。

为什么强调这一点？因为企业的所有制性质决定不了客体，系统承载的业务影响面才决定客体。一个面向社会公众的预约、缴费、报名、票务系统，一旦中断或数据出错，影响到的是不特定多数人的日常活动，客体就落在社会秩序、公共利益这一档。反过来，纯内部、只服务本单位员工的办公系统，影响不出单位围墙，客体通常就是公民、法人和其他组织的合法权益。

这一档之差，结果差一级：客体是公民法人合法权益，即便严重损害也只到二级；客体是社会秩序、公共利益，严重损害就是三级。大量"该三级却定了二级"的争议，根子都在这里。

第三步：侵害程度看影响面，不看数据条数

标准的表述是综合评定，落到实操可以拆成三问：

• 工作职能受影响的程度：局部影响、主要功能仍能执行，属一般损害；主要功能执行受到严重影响、业务能力显著下降，属严重损害；职能丧失行使能力、功能无法执行，属特别严重损害。
• 法律后果：较轻的法律问题、较严重的法律问题、极其严重的法律问题，三档与上面一一对应。
• 财产与社会影响：较高的财产损失、较大范围的社会不良影响对应严重损害；极高的财产损失、大范围社会不良影响对应特别严重损害。

"综合"两个字的分量在于：三项里有一项到了严重档，整体通常就不能按一般损害算。行业另有细则的按行业细则走，金融、医疗、教育等部门给出的口径，常把某些后果直接锚定到某一档。

数据条数只是佐证之一，不能单独用来定档。十万条低敏感访问日志和五千条诊疗记录，后者对客体的侵害明显更重。

第四步：两个维度分别算，取较高者

业务信息安全与系统服务安全要分开评。一个系统的数据可能不敏感，但服务一停，全城用户都受影响；也可能服务可有可无，数据却是几万人的身份信息。两种情况落点完全不同，合并成一次判断必然出错。

两个维度各自对照同一张矩阵：

各查一次，取高者。业务信息二级、系统服务三级，整体就是三级；反过来也一样；两个都是二级，才是二级。定级报告里常见的 S2A3、S3A2 写法，说的就是这个过程。

几种容易被判低的情形

• 承载大量公民个人信息、为公众提供公共服务的大数据平台或系统：标准写明原则上不低于第三级，这条常被忽略。
• 云平台、通信网络设施等支撑型对象：等级原则上不低于其承载的对象，倒挂就是错。
• 行业主管部门有指导定级文件的：按行业口径执行，通常严于通用标准。
• 只按上线时的状态定级，不看三年后的数据量和接入范围：这是最隐蔽的判低，属于该重新定级却没做。

判完之后还有三道关

初步定到二级及以上，不是自己说了算：要组织专家评审并出具评审意见；有行业主管（监管）部门的，还要报请核准并取得核准意见；最后提交公安机关备案审核，审核不通过就要重新定级。

时限和频次上，二级以上系统应在等级确定后 30 日内办理备案，一级不需要备案、自主保护；测评方面，三级原则上每年至少一次，二级原则上每两年一轮，具体以属地要求为准。二级与三级的投入差距不小，常见口径相差一倍上下，实际费用以属地要求与系统规模为准，可对照等保二级和三级费用差距看分项。

定级报告怎么写、备案要交哪些材料，可以按等保定级报告要素清单和等保备案材料清单逐项核；定完级要配多少控制点、整改做到什么程度，等保通用要求框架里十个层面的差别本质就是等级之差。测评结束后报告怎么读，另见拿到测评报告先看哪几页。

二级还是三级，答案不在会上，在"对象划没划清、客体问没问到位"这两件事上。这两个前提对了，矩阵只是查表。