等保定级与备案流程：定级要素、定级方法、定级报告撰写、备案材料准备与提交

好，咱们正式开始第2章的内容。等保合规这条路，第一步也是最关键的一步，就是定级与备案。这一步要是走偏了，后面所有的安全建设、测评、整改都可能白忙活。

说白了，定级就是回答一个问题：我这个系统到底有多重要？你想想看，一个内部OA和一个核心交易系统，保护力度肯定不一样。级别定低了，安全保护不够，容易出大事故；级别定高了，投入成本翻倍，老板肯定不乐意。

2.1 定级要素与标准

定级到底看什么？我个人习惯从两个核心维度去判断：

• 受侵害的客体：系统出问题，影响的是谁？是公民个人、法人组织，还是社会秩序、公共利益，甚至是国家安全？
• 侵害程度：一旦出问题，后果有多严重？是一般损害、严重损害，还是特别严重损害？

这两个要素一交叉，等级就出来了。我在2019年帮一个省级政务云平台做定级时，就发现他们一开始把自己定成了二级。但根据这个平台承载的多个委办局核心业务，一旦中断会严重影响社会管理和公共服务，侵害客体是“社会秩序和公共利益”，程度是“严重损害”，所以最后调整为三级。你看，这个判断逻辑很重要。

受侵害客体	一般损害	严重损害	特别严重损害
公民、法人和其他组织的合法权益	第一级	第二级	第三级
社会秩序、公共利益	第二级	第三级	第四级
国家安全	第三级	第四级	第五级

2.2 定级方法与步骤

定级不是一步到位，我一般会分成四步走：

1. 确定定级对象：一个独立的、具有唯一安全责任边界的信息系统。千万别把一堆子系统的定级对象搞混了。
2. 确定受侵害的客体：问自己，这个系统停摆或数据泄露，首先伤害谁的利益？
3. 确定对客体的侵害程度：用“后果影响”和“波及范围”两个维度来评估。
4. 确定安全保护等级：根据前面两步的结果，对照标准表格确定最终等级。

这里面有一个常见的坑。我曾经见过一个单位，把一个简单的员工考勤系统和核心财务系统放在一个定级报告里，结果会计到一半发现，考勤系统是二级，财务系统是三级，根本没法合并评审。嗯，这里要注意，定级对象必须边界清晰。

2.3 定级报告撰写

定级报告是给公安网安部门看的，也是将来接受测评的重要依据。报告写得怎么样，直接体现你们单位的合规能力。

一份完整的定级报告，至少要包含以下几个部分：

• 系统描述：系统名称、承载业务、网络拓扑、用户规模、数据量。
• 定级依据：引用国标条款，说明为什么定这个级。
• 定级结果：明确等级，比如“第三级”。
• 专家评审意见：三级以上需要组织3名以上专家进行评审。

2.4 备案材料准备与提交

定级报告评审通过后，接下来就是向公安机关的备案了。二级及以上系统需要在确定等级后的30日内完成备案。

备案材料这块，我列个清单，你按这个准备基本不会漏：

材料名称	说明	备注
定级报告	经专家评审通过的最终版本	需盖章
备案表（格式）	需登录“网络安全等级保护备案系统”填写下载	一式两份
系统拓扑图	清晰展示网络架构、安全域、关键设备	电子版+纸质版
安全管理制度	至少包含安全管理机构和人员管理制度	三级以上需额外提供
专家评审意见	附评审专家名单、签名	三级以上必须

提交方式通常是线上提交+线下窗口递交。线上系统可能有点老，我在2021年帮客户备案时，遇到过信息填错后不让修改的问题，只能撤回重报。所以我的习惯是，先在模板上全部填写无误，再复制到系统里。

2.5 整体流程可视化

为了让理解更直观，我用一张图把定级备案的全过程串起来。请仔细看这张SVG流程图：

这张图的路线很清晰：从系统识别开始，到最终完成备案提交。每一步都需要严谨执行，不可跳跃。尤其是“专家评审”这个环节，在三级系统中是强制要求，千万别忽略。

2.6 避坑指南与实战总结

最后，我总结几个过去项目里最常碰到的问题：

• 避坑1：定级对象拆分不合理。我曾经见过一个大型医疗系统，把HIS、LIS、PACS全部作为子模块放在一个定级报告里，结果业务关联太复杂，测评时无法单独验证。正确做法是，每个独立的信息系统（有独立的安全责任边界）单独定级。
• 避坑2：定级材料缺章少页。备案表的单位盖章、法人签字经常漏掉，到了窗口才发现。我的习惯是准备一个材料审核清单，提交前逐项打勾确认。
• 避坑3：忽略业务影响分析。很多人只看技术因素来定级，比如这个系统存了多少用户数据。但安全等级的核心是业务影响，而不是数据量多少。哪怕只有100条客户数据，如果这些数据涉及商业秘密，其侵害后果就可能达到三级。

好了，定级和备案的完整逻辑就讲到这里。你只要按这张流程图一步步走，再对照我强调的避坑点，基本不会出大问题。这部分底子打好了，后续的安全建设才能有的放矢。