定级五步流程
定级是等保工作的第一道工序，标准流程是：确定定级对象、初步确定等级、专家评审、主管部门核准、公安机关备案。每一步都有对应的产出文件，这些文件在后续测评与监督检查中会被反复调阅。流程本身不复杂，卡住项目的地方通常在评审组织与材料一致性上，所以要把产出物当成项目交付物来管理。
流程与产出
流程与产出
# 五步走，每步留材料
1 确定定级对象 → 系统清单、边界与业务说明
2 初步确定等级 → 定级报告初稿（含矩阵论证）
3 专家评审 → 评审意见、签到表、专家签字
4 主管部门核准 → 核准或备案材料（有主管部门时）
5 公安备案 → 备案证明（后续测评与检查的起点材料）基本信息
| 责任主体 | 系统运营使用单位；可委托咨询机构协助，但责任不转移 |
|---|---|
| 专家评审 | 二级及以上通常需组织，具体以属地要求为准 |
| 办理时限 | 等级确定后按规定时限办理备案（常见口径为 30 日内） |
| 常见周期 | 从启动到取得备案证明通常数周到数月，取决于评审与材料进度 |
| 关键风险 | 材料之间名称、等级、责任人信息不一致 |
各步骤落地要点
- 定对象：一个系统承载相对独立业务功能，边界清晰、责任明确，避免过粗或过碎
- 定等级：按客体与侵害程度矩阵论证，附用户规模、业务中断影响等支撑数据
- 组织评审：邀请熟悉行业与等保的专家，提前送审材料并保留意见与整改回复
- 报核准：有行业主管部门的按行业定级口径报批，避免自定口径与行业要求冲突
- 办备案：按属地窗口要求提交，留意线上申报渠道与材料清单差异
角色分工
| 角色 | 职责 | 交付物 |
|---|---|---|
| 业务部门 | 说明业务功能、用户范围与服务影响 | 业务说明与影响描述 |
| 安全与运维 | 牵头定级论证与材料整理 | 定级报告、系统清单 |
| 管理层 | 确认等级结论与资源投入 | 决议或审批记录 |
| 外部机构 | 协助论证与评审组织 | 咨询意见、评审记录 |
典型使用场景
- 新系统上线前：先定级备案再进入建设与采购环节
- 年度合规复查：核对系统变更后等级是否仍然适用
- 集团多单位推进：统一模板与评审口径，避免各单位结论互相矛盾
- 投标应答：向甲方说明已完成的定级与备案状态
材料一致性是审核最容易被卡的地方：定级报告、评审意见、备案表、后续测评委托书里的系统名称、等级、责任人要保持完全一致，系统改名后要同步更新。
全程交给中介但自己不留副本，检查时无法说明定级过程：定级是运营使用单位的法定义务，至少保留完整材料副本与内部确认记录。
时间线上容易踩的坑
- 立项时才想起定级：设计已完成，等级对应的条款没进方案，后期只能补丁式整改
- 评审与备案间隔过长：政策与窗口要求可能变化，材料需要重新调整
- 名称与责任人中途变更：所有已提交材料都要同步更新，否则备案与测评对不上
- 定级与采购脱钩：预算按二级编制、结论却是三级，差额要临时追加