信息系统等级保护（等保）政策法规、分类及备案流程

什么是信息系统等级保护（等保）

信息系统等级保护是指对国家秘密信息、法人或其他组织及公民专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级进行响应、处置。

等级保护（等保）政策法规

1994年《中华人民共和国计算机信息系统安全保护条例》(国务院147号令)：第一次提出“计算机信息系统实行安全等级保护”概念。

1999年《计算机信息系统 安全等级保护划分准则》（GB17859）：国家发布关于计算机信息系统安全保护等级划分准则强制性标准。

2008年《信息安全技术 信息系统安全等级保护基本要求》（GB/T 22239-2008）：明确对于各等级信息系统的安全保护基本要求。

2017年《中华人民共和国网络安全法》：第二十一条明确国家实行等级保护制度，落实等级保护制度已经上升到法律层面。

2019年5月《信息安全技术 网络安全等级保护基本要求》、《信息安全技术网络安全等级保护测评要求》等核心标准正式发布。

等级保护（等保）分类/定级

共划分为五个级别，安全能力从第一级到第五级逐渐增强。各部门、各单位应当依照等级保护实施指南及相关标准进行相关等级备案证明申请。

第一级（用户自主保护级），信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。

第二级（系统审计保护级），信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。国家信息安全监管部门对该级信息系统安全等级保护工作进行指导。

第三级（安全标记保护级），信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行监督、检查。

第四级（结构化保护级），信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行强制监督、检查。

第五级（访问验证保护级），信息系统受到破坏后，会对国家安全造成特别严重损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行专门监督、检查。

等级保护（等保）备案流程

1.系统定级，企业/单位，确定安全保护等级，编写定级报告

2.系统备案，企业/单位，准备相关材料，到当地公安机关备案；公安机关，当地公安机关审核受理备案材料

3.建设整改，企业/单位，建设符合等级要求的安全技术和管理体系

4.等级测评，企业/单位，准备和接受测评机构测评；测评机构，对系统等级符合性状况进行测评，评测机构对系统评测，得分

5.监督检查，企业/单位，接受公安机关的定期检查；公安机关，监督检查运营单位开展等级保护工作

备案应准备材料

1.系统安全组织机构、三员审查表(系统开发建设人员、维护人员、及管理人员)、管理制度及应急预案。（安全组织机构包括机构名称、负责人、成员、职责分工等。管理制度包括安全管理规范、章程等，需有单位签章及电子版））

2.系统安全保护设施设计实施方案或者改建实施方案，系统拓扑结构说明，安全产品清单及证书。（简要的安全建设、整改方案，需有单位签章及电子版）

3.《信息系统安全等级保护备案表》（以下简称《备案表》），纸质材料，一式两份。包括：《单位基本情况》（表一）、《信息系统情况》（表二）、《信息系统定级情况》（表三）和《第三级以上信息系统提交材料情况》（表四）。第二级以上信息系统备案时需提交《备案表》中的表一、二、三；第三级以上信息系统还应当在系统整改、测评完成后30日内提交《备案表》表四及其有关材料（需有单位签章及电子版）。

4.《信息系统安全等级保护定级报告》（以下简称《定级报告》），纸质材料，一式两份。每个备案的信息系统均需提供对应的《定级报告》，《定级报告》参照模版格式填写（需有单位签章及电子版）