高校信息系统等保定几级：教务、学工与科研平台
高校的信息系统数量多、归属部门分散，真正动手做等保时，第一道卡口往往不是整改，而是定级——同一个教务系统，有人主张二级，有人主张三级，谁也说服不了谁。其实教育行业有专门的定级参考口径，把学校类别和系统类别对上表，结论就清楚了大半。
先确定学校属于哪一类
教育部办公厅印发的《教育行业信息系统安全等级保护定级工作指南（试行）》（教技厅函〔2014〕74号）把信息系统分为教育行政部门及其直属事业单位的"部门信息系统"和"学校信息系统"两类，两者分别定级。学校信息系统又按办学规模和社会影响力分为三类：Ⅰ类为设有硕士点的高等学校、高职高专国家级示范院校；Ⅱ类为其他高等学校，以及学生数在 5000 人及以上的中等职业学校；Ⅲ类为其余中等职业学校、中小学、幼儿园及其他类型学校。
也就是说，同一套教务系统在本科高校和在中专学校，建议等级并不相同。定级第一步不是讨论系统，而是先把本校归入哪一类确认下来。指南同时明确，实际定级时所定等级原则上不应低于建议等级；确有需要降级的，按多地教育行政部门与公安部门联合发布的实施细则，通常要提交书面说明。
高校常见系统的建议等级
按指南附件中的学校信息系统安全保护等级建议表，Ⅰ类学校（重点建设类高校）里，建议等级为第三级的主要有：教学科研类下的科研项目管理、科研情报管理；招生就业类下的招生录取管理；综合服务类下的门户网站、论坛与社区类网站、校园一卡通。
其余大多数系统建议为第二级，包括：校务管理类的办公与事务处理、公文与信息交换、人事管理、财务管理、资产管理、后勤管理、学生教育工作管理、学生体质健康数据管理、档案管理、党务管理；教学科研类的教学改革管理、学科与专业管理、教务教学管理、教学资源管理、教学质量评估与保障；招生就业类的学生就业管理；综合服务类的数字图书馆、电子邮件、视频服务、安防监控、内网门户与身份认证、公共数据库、运维管理。
这里有两个容易被忽略的点。第一，教务教学管理系统的建议等级是二级而非三级，不少高校凭直觉把它提到三级，会连带拉高后续的测评与整改工作量。第二，Ⅱ类学校同一栏的建议等级普遍比Ⅰ类低一级，例如科研管理在Ⅰ类为三级、Ⅱ类为二级，招生录取管理同理。
多业务合一的系统按最高等级定
指南给出的规则是：承载复杂业务的信息系统，安全保护等级可以高于建议等级；承载多个业务的信息系统，应以所承载业务中的最高建议等级定级。
这条规则在高校里最常见的情形是"大平台"。比如一个统一身份认证平台同时承载门户、教务、一卡通的登录，或者一个数据中心把公共数据库、教学资源、运维监控打包在一起，那么整体应按其中最高的一档来定。反过来，如果能把边界切清楚，让科研管理独立成系统、一卡通独立成系统，各自的等级反而可以分开算，测评范围也更可控。这也是为什么建议在定级之前先做一轮系统梳理和边界划分，相关做法可参考站内的等保定级栏目。
从自主定级到备案要走几步
流程上大致是四步。第一步自主定级：主管单位按"谁主管谁负责、谁运维谁负责、谁使用谁负责"的原则组织梳理，参考建议等级确定安全保护等级。第二步专家评审：拟确定为第四级及以上的信息系统，由教育部邀请国家信息安全等级保护专家评审委员会评审；其他等级可由定级责任主体自行聘请专家评审并形成意见。第三步主管部门审核批准：填写定级报告、备案表和专家评审意见等材料，按隶属关系报送所属教育行政部门或有关部门审批。第四步公安机关备案：经审核批准的二级以上系统，由主管单位到所在地设区的市级以上公安机关办理备案手续。
高校还要留意一个行业专属动作。按教育部办公厅《关于开展信息系统安全等级保护工作的通知》（教办厅函〔2009〕80号），高校及地市级以上教育行政部门中三级以上的信息系统，需要在教育部教育管理信息中心和当地公安部门同时办理备案手续。这是教育行业比一般单位多出来的环节，实际操作中容易被漏掉。
时间上，二级以上系统应在安全保护等级确定后 30 日内办理备案。指南还要求定级工作应在信息系统设计阶段完成、与系统建设同步实施，也就是说新建系统不要等到上线之后再补做。
三个常见误区
- 凭系统重要程度拍脑袋：定级的依据是受侵害客体与侵害程度，不是"这套系统我们很重视"。重视程度可以提高整改投入，但不能直接推高等级。
- 定完就一劳永逸：系统运行状态变化导致受侵害对象或侵害程度发生较大变化时，应当重新定级并变更等级。高校合并院系、系统大版本改造、业务上线新场景，都属于触发情形。
- 只备案不测评：二级以上系统备案之后还要按周期开展等级测评，三级系统通常每年一次。测评与整改的安排可参考站内的等级测评与等保整改相关内容，备案材料的准备清单另见等保备案。
需要说明的是，上述建议等级来自 2014 年发布的行业指南，其定级依据引用的是 GB/T 22240-2008，现行版本已更新为 GB/T 22240-2020，各省教育行政部门与公安部门也陆续出台了本地实施细则（如专家论证的人数要求、降级说明的报送路径等）。动手前建议先向属地公安网安部门和上级教育主管部门确认口径，以属地要求为准。