文章总结： 本文介绍等级保护中的定级与备案工作。定级需遵循自主定级、专家评审等原则，依据受侵害客体及侵害程度分为五级。定级步骤包括摸底调查、确定对象、评审及公安机关审核。备案要求二级以上系统在确定等级后30日内到公安机关办理，公安机关负责审核与监管，确保系统安全合规。 综合评分： 85 文章分类： 政策法规,安全建设,技术标准

19_等保系列之定级工作和备案工作介绍

原创

0xSecDebug 0xSecDebug

0xSecDebug

2026年1月28日 13:02 中国香港

19_等保系列之定级工作和备案工作介绍

    请勿利用文章内的相关技术从事非法渗透测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具和内容均来自网络，仅做学习和记录使用，安全性自测，如有侵权请联系删除。

定级工作和备案工作介绍

定级工作

工作原则

    信息系统定级工作应按照“自主定级、专家评审、主管部门审批、公安机关审核”的原则进行。定级工作的主要内容包括:确定定级对象、确定信息系统安全保护等级、组织专家评审、主管部门审批、公安机关审核。各信息系统运营使用单位和主管部门是信息安全等级保护的责任主体，根据所属信息系统的重要程度和遭到破坏后的危害程度，确定信息系统的安全保护等级。

    同时，按照所定等级，依照相应等级的管理规范和技术标准，建设信息安全保护设施，建立安全制度，落实安全责任，对信息系统进行保护。在等级保护工作中，信息系统运营使用单位和主管部门按照“谁主管谁负责，谁运营谁负责”的原则开展工作，并接受信息安全监管部门对开展等级保护工作的监管。

信息系统安全保护等级

    信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。信息系统的安全保护等级分为五级，从第一级到第五级逐级增高。

定级要素

    信息系统的安全保护等级由两个定级要素决定:等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。

1. 受侵害的客体

• 公民、法人和其他组织的合法权益
• 社会秩序、公共利益
• 国家安全

1. 对客体的侵害程度:由客观方面的不同外在表现综合决定。对客体的侵害外在表现为对等级保护对象的破坏，通过危害方式、危害后果和危害程度加以描述。

• 造成一股损害
• 造成严重损害
• 造成特别严重损害
• 

五级含义

• 第一级信息系统:一般适用于小型私营、个体企业、中小学，乡镇所属信息系统、县级单位中一般的信息统。
• 第二级信息系统:一股适用于县级其些单位中的重要信息系统;地市级以上国家机关、企事业单位内部一般的信息系统。例如非涉及工作秘密、商业秘密、敏感信息的办公系统和管理系统等。
• 第三级信息系统:一股适用于地市级以上国家机关、企业、事业单位内部重要的信息系统，例如涉及工作秘密、商业秘密、敏感信息的办公系统和管理系统;跨省或全国联网运行的用于生产、调度、管理、指挥、作业、控制等方面的重要信息系统以及这类系统在省、地市的分支系统;中央各部委、省(区、市)门户网站和重要网站;跨省连接的网络系统等。
• 第四级信息系统:一般适用于国家重要领域、重要部门中的特别重要系统以及核心系统。例如电力、电信、广电、铁路、民航、银行、税务等重要、部门的生产、调度、指挥等涉及国家安全、国计民生的核心系统。
• 第五级信息系统:一股适用于国家重要领域、重要部门中的极端重要系统。

五级保护和监管

    信息系统运营、使用单位依据国家信息安全等级保护政策和相关技术标准对信息系统进行保护，国家信息安全监管部门对其信息安全等级保护工作进行监督管理。

主要步骤

    信息系统定级是等级保护工作的首要环节和关键环节，是开展信息系统备案、建设整改、等级测评、监督检查等工作的重要基础。这里先明确一个概念，信息系统包括起支撑、传输作用的基础信息网络和各类应用系统。信息系统安全级别定级不准，系统备案、建设整改、等级测评等后续工作都会失去基础，信息系统安全就没有保证。定级工作可以按照下列步骤进行。

1. 开展摸底调查:按照《定级工作通知》确定的定级范围，各单位、各部门可以组织开展对所属信息系统进行摸底调查，摸清信息系统的业务类型、应用或服务范围、系统结构等基本情况
2. 确定定级对象

• 起支撑、传输作用的信息网络(包括专网、内网、外网、网管系统)要作为定级对象。但不是将整个网络作为一个定级对象，而是要从安全管理和安全责任的角度将基础信息网络划分成若干个最小安全域或最小单元去定级。
• 用于生产、调度、管理、作业、指挥、办公等目的的各类业务系统，要按照不同业务类别单独确定为定级对象
• 各单位网站要作为独立的定级对象。如果网站的后台数据库管理系统安全级别高，也要作为独立的定级对象
• 确认负责定级的单位是否对所定级系统负有业务主管责任
• 具有信息系统的基本要素

1. 初步确定信息系统等级

• 定级责任主体:各信息系统运营使用单位和主管部门是信息系统定级的责任主体
• 定级要素:等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度
• 对各类系统定级的处理方法:单位自建的信息系统，单位自主定级，以及跨省或者全国统一联网运行的信息系统，可以由主管部门统一确定安全保护等级
• 新建系统的定级工作:按照信息系统等级，同步规划、同步设计、同步实施安全保护技术措施和管理措施

1. 信息系统等级评审:为了保证定级合理、准确，可以聘请专家进行评审，并出具专家评审意见
2. 信息系统等级的审批:信息系统运营使用单位参考专家定级评审意见，最终确定信息系统等级，形成《定级报告》
3. 公安机关审核:公安机关收到信息系统运营使用单位备案材料后，应对信息系统定级的准确性进行审核

备案工作

    信息安全等级保护备案工作包括信息系统备案、受理、审核和备案信息管理等工作。信息系统运营使用单位和受理备案的公安机关应按照《信息安全等级保护备案实施细则》的要求办理信息系统备案工作。

备案

    第二级以上信息系统，在安全保护等级确定后30日内，由备案单位到所在地设区的市级以上公安机关办理备案手续。办理备案手续时，应当首先到公安机关指定的网址下载并填写备案表，准备好备案文件，然后到指定的地点备案。

受理备案

    地市级以上公安机关公共信息网络安全监察部门受理本辖区内备案单位的备案。隶属于省级的备案单位，其跨地(市)联网运行的信息系统，由省级公安机关公共信息网络安全监察部门受理备案。

    隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由公安部公共信息网络安全监察局受理备案，其他信息系统由北京市公安局公共信息网络安全监察部门受理备案。

备案信息管理

    公安部组织开发了重要信息系统安全监察管理系统，配发给各地，搭建一个部、省、市三级公安机关等级保护综合管理平台，为全国信息系统定级、备案和监督检查工作提供支持。

备案要求

1. 受理备案的公安机关公共信息网络安全监察部门应该设立专门的备案窗口，配备必要的设备和警力，专门负责受理备案工作，受理备案地点、时间、联系人和联系方式等应向社会公布。
2. 接收备案材料后，公安机关应当对下列内容进行审核:备案材料填写是否完整，是否符合要求，其纸质材料和电子文档是否一致;信息系统所定安全保护等级是否准确。
3. 公安机关收到备案单位提交的备案材料后，对属于本级公安机关受理范围且备案材料齐全的，应当向备案单位出具《信息系统安全等级保护备案材料接收回执》;备案材料不齐全的，应当当场或者在五日内一次性告知其补正内容;对不属于本级公安机关受理范围的，应当书面告知备案单位到有管辖权的公安机关办理。
4. 经审核符合等级保护要求的，公安机关应当自收到备安材料之日起的十个工作日内，将加盖本级公安机关印章(或等级保护专用章)的《备案表》一份反馈备案单位，一份存档;对不符合等级保护要求的，公安机关公共信息网络安全监察部门应当在十个工作日内通知备安单位进行整改，并出具《信息系统安全等级保护备案审核结果通知》。
5. 经审核合格的，公安机关出具《信息系统安全等级保护备案证明》(以下简称《备案证明》)。《备案证明》由公安部统一监制。
6. 受理备案的公安机关公共信息网络安全监察部门应当建立管理制度，对备案材料按照等级进行严格管理，严格遵守保密制度，未经批准不得对外提供查询。

对定级不准以及不备案情况的处理

1. 公安机关对定级不准的备案单位，在通知整改的同时，应当建议备案单位组织专家进行重新定级评审，并报上级主管部门审批。
2. 备案单位仍然坚持原定等级的，公安机关可以受理其备案，但应当书面告知其承担由此引发的责任和后果，经上级公安机关同意后，同时通报备案单位上级主管部门。
3. 对拒不备案的，公安机关应当根据《中华人民共和国计算机信息系统安全保护条例》等其他有关法律、法规规定，责令限期整改。逾期仍不备案的，予以警告，并向其上级主管部门通报。向中央和国家机关通报的，应当报经公安部同意。

总结

√定级工作

√备案工作

💻 威胁情报推送群

  如果师傅们想要第一时间获取到最新的威胁情报，可以添加下面我创建的钉钉漏洞威胁情报群，便于师傅们可以及时获取最新的IOC。

 如果师傅们想要获取网络安全相关知识内容，可以添加下面我创建的网络安全全栈知识库，便于师傅们的学习和使用：

    覆盖渗透、安服、运营、代码审计、内网、移动、应急、工控、AI/LLM、数据、业务、情报、黑灰产、SOC、溯源、钓鱼、区块链等  方向，内容还在持续整理中……。

点分享

点收藏

点在看

点点赞

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：0xSecDebug 0xSecDebug 0xSecDebug《19_等保系列之定级工作和备案工作介绍》