等级对照
| 等级 | 保护级别名称 | 监管强度 |
|---|---|---|
| 一级 | 自主保护级 | 运营使用单位自主保护，无强制周期要求 |
| 二级 | 指导保护级 | 公安机关指导，二级以上需备案 |
| 三级 | 监督保护级 | 定期测评（每年至少一次）、监督检查 |
| 四级 | 强制保护级 | 强制测评（每半年至少一次）、重点监管 |
| 五级 | 专控保护级 | 专门管控，按特殊安全需求确定 |
五个等级意味着什么
等级反映的是信息系统一旦被破坏，会侵害什么客体、侵害到什么程度，从而决定监管强度：一级由运营使用单位自主保护，二级起纳入备案管理，三级进入每年测评与监督检查的重点范围，四级要求更频繁的测评与更强的强制措施，五级面向关系国家安全、国计民生的特殊系统。等级不是安全投入的绝对值，而是要求强度的刻度。
等级速记
等级速记
# 五个词，一句话记住顺序
一级 自主 / 二级 指导 / 三级 监督 / 四级 强制 / 五级 专控
# 常见落点
多数企业内部系统：二级
涉及大量个人信息或对外公共服务：三级
监管重点：三级及以上（测评与检查频度明显更高）基本信息
| 定级依据 | GB/T 22240-2020 与 GB/T 22239-2019 |
|---|---|
| 备案要求 | 二级以上信息系统需办理备案 |
| 测评要求 | 三级每年至少一次，四级每半年至少一次 |
| 等级复核 | 业务、数据或对外服务方式变化时应重新论证 |
典型使用场景
- 项目立项：按等级确定条款范围与安全预算
- 合规检查：说明本单位系统的等级结论与依据
- 多系统分组：把同类等级系统分组，共用整改资源
- 跨单位协作：与上下游系统对接时确认各系统等级与边界
等级高不等于风险高，等级低也不等于可以不投入：等级决定的是要求的门槛，实际风险还要结合业务与资产情况另行评估。
不要认为所有系统都该按三级建设：等级由定级论证决定，按对应等级的要求建设即可，过度建设会增加长期运维负担且无合规收益。