定级矩阵怎么用
定级矩阵出自 GB/T 22240-2020，是定级论证的核心工具：先判断定级对象受破坏时会侵害哪一类客体（公民与组织的合法权益、社会秩序与公共利益、国家安全），再判断侵害程度（一般、严重、特别严重），两个维度交叉查表得到等级。它的作用是让「为什么定这个级」有可复述的推理链，而不是靠感觉或类比。
定级矩阵
| 受侵害客体 | 侵害程度 | 等级 |
|---|---|---|
| 公民、法人和其他组织的合法权益 | 一般损害 | 一级 |
| 公民、法人和其他组织的合法权益 | 严重损害 | 二级 |
| 公民、法人和其他组织的合法权益 | 特别严重损害 | 二级 |
| 社会秩序、公共利益 | 一般损害 | 二级 |
| 社会秩序、公共利益 | 严重损害 | 三级 |
| 社会秩序、公共利益 | 特别严重损害 | 三级 |
| 国家安全 | 一般损害 | 三级 |
| 国家安全 | 严重损害 | 四级 |
| 国家安全 | 特别严重损害 | 五级 |
基本信息
| 依据 | GB/T 22240-2020 网络安全等级保护定级指南 |
|---|---|
| 两个要素 | 受侵害的客体 + 对客体造成侵害的程度 |
| 产出 | 定级报告（含论证章节）与等级结论 |
| 后续动作 | 专家评审、主管部门核准（如有）、公安机关备案 |
| 常见落点 | 多数企业业务系统落在二级，涉及大量个人信息或公共服务常落三级 |
矩阵用法
矩阵用法
# 两问定位，一步查表
问 1：系统受破坏后，首先影响谁？（用户与组织 / 社会与公共利益 / 国家安全）
问 2：影响程度有多大？（一般 / 严重 / 特别严重）
# 交叉查表得到等级，写进定级报告的论证章节
# 论证要点：说清受影响用户规模、业务中断范围、数据敏感程度，支撑程度判断定级论证材料
- 业务说明：系统承载的业务、服务对象、日均交易或访问规模
- 受侵害客体分析：影响的是本单位用户、公共服务还是国家安全领域
- 侵害程度论证：以用户规模、业务中断时长、数据敏感度、社会影响举证
- 同类系统对标：参考同行业、同区域已备案系统的等级与理由，差异要能解释
典型使用场景
- 新系统立项：在建设方案评审前完成初步定级，避免按错误等级设计
- 等级复核：业务范围或数据规模变化后重新对照矩阵确认是否要调级
- 多系统打包定级：同一平台下关系紧密的子系统可合并作为一个定级对象论证
- 投标应答：甲方要求说明本项目系统的等级判断依据与条款覆盖范围
常见分歧点：对外提供公共服务的系统即使数据量不大，也可能因「社会秩序、公共利益」维度落三级；判断时以受破坏后的影响面为准，而不是以系统技术复杂程度为准。
等级定低测评时会直接判不符合并要求重新定级，前期工作全部重做；等级定高则建设与测评成本上升，且后续要长期按高等级维护，所以论证材料必须能站得住。