信息安全技术 网络安全等级保护定级指南（GB-T 22240-2020）

信息安全技术网络安全等级保护定级指南（GB/T22240-2020）说明：本文件为等保2.0定级核心标准，替代旧版GB/T22240-2008；适用于非涉密网络、信息系统、平台、云系统、工控系统等定级工作；涉密信息系统不适用本标准。1.标准基础信息标准号：GB/T22240-2020；标准全称：信息安全技术网络安全等级保护定级指南；发布：2020-04-28，实施：2020-11-01；归口：全国网络安全标准化技术委员会；定位：规定定级对象识别、定级要素、定级矩阵、定级流程、等级变更规则，是等保定级备案的法定依据。2.术语与定义等级保护对象：网络安全等级保护的对象，包括信息系统、通信网络、数据资源、云平台、工业控制系统等；可由多个子系统组合构成；业务信息安全：业务数据（用户信息、业务数据、隐私数据等）被篡改、泄露、丢失、破坏对应的安全影响；系统服务安全：系统功能、业务服务中断、瘫痪、不可用对应的安全影响；侵害客体：公民/法人及其他组织合法权益、社会秩序与公共利益、国家安全三类；侵害程度：一般损害、严重损害、特别严重损害。3.安全保护五个等级（GB17859）等级保护强度核心描述备案要求第一级自主保护级系统被破坏后，仅对公民、法人和其他组织合法权益造成一般损害，不危害公共利益、国家安全运营者自行定级，不需要备案第二级指导保护级破坏后对合法权益造成严重损害；或对社会秩序、公共利益造成一般损害自主定级→专家评审→主管部门审核→公安备案第三级监督保护级破坏后对社会秩序、公共利益造成严重损害，或对国家安全造成一般损害定级评审、主管核准、备案、定期测评（每年至少1次）第四级强制保护级破坏后对社会秩序、公共利益造成特别严重损害，或对国家安全造成严重损害严格审批、重点监管、高频测评、关键信息基础设施常见于此级第五级专控保护级破坏后对国家安全造成特别严重损害国家专门管控，极少民用项目定级结论：取业务信息安全等级、系统服务安全等级二者较高值，作为该对象最终保护等级。4.定级两大核心矩阵（标准原文矩阵）表1业务信息安全保护等级矩阵受侵害客体一般损害严重损害特别严重损害公民、法人和其他组织合法权益一级二级二级社会秩序、公共利益二级三级四级国家安全三级四级五级表2系统服务安全保护等级矩阵受侵害客体一般损害严重损害特别严重损害公民、法人和其他组织合法权益一级二级二级社会秩序、公共利益二级三级四级国家安全三级四级五级5.定级对象识别规则（重点）独立定级对象判定：具备独立业务边界、独立管理主体、独立安全责任、独立部署运维，应单独定级；合并定级：关联紧密、不可分割、统一管理、同安全责任主体，可合并为一个定级对象；拆分定级：一个大平台内不同业务模块影响范围、安全责任差异大，应当拆分为多个定级对象；云平台说明：云平台本身、租户业务系统分开定级；云服务商负责云平台定级，租户负责自己云上业务系统定级；工控、物联网：现场控制单元、采集网络、后台业务系统，按影响范围判断合并/拆分；数据资源：单独的数据服务平台、数据中台，可作为独立定级对象。6.标准定级工作流程第一步：确定定级对象。梳理系统边界、组成、业务范围、责任单位、管理负责人，形成系统说明材料；第二步：识别受侵害客体。分别分析：业务信息遭到破坏侵害谁；系统服务中断侵害谁（三类客体）；第三步：判定侵害程度。分别评估业务信息、系统服务对应的损害等级（一般/严重/特别严重）；第四步：初定安全等级。查表得到业务信息等级、系统服务等级，取高值作为初步等级；第五步：专家评审（≥2级必须）。邀请网络安全、业务专家开展定级评审，出具定级评审意见；一级不需要评审；第六步：主管部门核准。行业主管单位审核定级结论；无上级主管单位由运营单位自行核准；第七步：公安备案。持定级报告、评审意见、备案表到属地网安部门完成等级保护备案，获取备案证明；第八步：后续建设、测评、整改。按GB/T22239基本要求建设安全措施，委托测评机构开展等级测评。7.定级报告必备内容（提交备案标准模板要素）定级对象概况：系统名称、建设单位、运维单位、网络拓扑、功能模块、部署方式（本地/云）；业务描述：承载业务、用户规模、数据类型；安全责任主体；侵害场景分析：数据泄露、篡改、系统瘫痪对应的影响分析；客体与损害程度判定说明；业务信息安全等级判定、系统服务安全等级判定；定级结论；专家评审意见、主管部门意见；附件：拓扑图、资产清单、评审签到表。8.等级变更规则出现以下情形，重新定级：业务范围、服务规模发生重大变化；存储、处理的数据敏感等级显著提升；系统架构、核心功能重大改造；外部监管要求、业务影响发生变化；发生重大安全事件，证明原有定级偏低。等级变更后，重新走评审、核准、备案变更流程。9.常见易错要点错误：整个单位所有IT系统打包定为三级。纠正：边界清晰、业务独立的系统应当分开定级；错误：只看数据，忽略系统服务中断影响。纠正：业务信息、系统服务两条线都要评估，取高等级；错误：二级系统不用专家评审。纠正：二级及以上均需要专家评审；错误：云租户把云平台责任算到自己定级范围。纠正：云平台与租户业务系统分别定级、责任划分清晰；错误：涉密系统按本标准定级。纠正：涉密系统执行涉密分级保护体系，不适用GB/T22240-2020。10.配套等保2.0标准清单GB17859-1999计算机信息系统安全保护等级划