定级指南管什么
GB/T 22240-2020《网络安全等级保护定级指南》规范的是「怎么定级」：以受侵害的客体和对客体造成侵害的程度两个要素判定等级，流程上经过初步定级、专家评审、主管部门核准（有主管部门时）与公安机关备案。它的产出是定级报告与等级结论，这两份材料会贯穿后续的备案、测评与监督检查，一旦定错范围或等级，后面所有工作都要返工。
基本信息
| 标准号 | GB/T 22240-2020 |
|---|---|
| 定级要素 | 受侵害的客体 + 对客体造成侵害的程度 |
| 定级对象 | 信息系统、云平台、物联网系统、工业控制系统、数据中心等 |
| 配套动作 | 专家评审、主管部门核准、公安机关备案 |
| 产出 | 定级报告（含论证）与等级结论 |
| 关联文件 | 《信息安全等级保护管理办法》（公通字〔2007〕43 号） |
定级判断顺序
定级判断顺序
# 六步走，每步都有材料产出
1 识别定级对象：明确系统边界、承载业务与使用者范围
2 判断受侵害客体：合法权益 / 社会秩序与公共利益 / 国家安全
3 判断侵害程度：一般 / 严重 / 特别严重，并按矩阵得等级
4 组织专家评审：归档评审意见、签到与签字材料
5 报主管部门核准：有行业主管部门的按行业要求报批
6 到公安机关备案：等级确定后按规定时限办理定级对象怎么划
- 按业务功能划分：一个系统承载相对独立的业务功能，避免把整个机房当一个对象
- 按边界划分：同一安全保护等级、相互之间边界清晰的可以合并为一个对象
- 云平台单独定级：云服务商的基础设施与云上租户业务分别定级
- 工控与物联网单独定级：涉及生产控制、设备采集的场景叠加对应扩展要求
评审与核准关注点
| 环节 | 关注点 | 常见退回原因 |
|---|---|---|
| 专家评审 | 定级论证是否充分、客体判断是否合理 | 论证只有结论没有推理过程 |
| 主管部门核准 | 是否符合行业定级口径 | 与行业内同类系统等级差异过大 |
| 公安机关备案 | 材料一致性与时限 | 报告、备案表、测绘信息相互矛盾 |
| 等级复核 | 业务变化后是否调级 | 系统扩容或对外开放后未重评 |
典型使用场景
- 新建系统立项：定级结论决定建设预算与条款范围，越早做越省成本
- 多系统统一治理：先分组定级，再按等级分组采购与整改
- 行业对标检查：提交定级报告与备案证明作为合规起点材料
- 系统重大变更：业务范围、数据规模或对外服务方式变化时重新论证
定级不是一锤定音：业务扩展、对外服务开放、数据类型变化都可能改变受侵害客体与程度，建议每年结合年度测评一起复核一次。
等级定低在测评阶段会被判不符合并要求重新定级，前期建设投入可能白做；等级定高则长期维护成本上升。定级报告要经得起追问。
定级报告通常需要包含系统概述与边界、业务与用户描述、受侵害客体分析、侵害程度论证、矩阵查表结论与专家评审情况；论证部分越具体，评审与备案越顺畅。