信息系统等级保护定级与测评整改方案（最新版）.docxVIP

信息系统等级保护定级与测评整改方案（最新版）

本方案适用于国内所有非涉密第二级、第三级信息系统的定级备案、差距测评、整改落地、复测核验全流程工作，所有实施要求严格对标《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《信息安全技术网络安全等级保护基本要求》GB/T22239-2019、《信息安全技术网络安全等级保护测评要求》GB/T28448-2019、《网络安全等级保护条例》的相关规定，所有操作节点、参数指标均明确可落地，无需额外补充模糊规则。

第一章定级工作实施流程

一、定级对象识别梳理

1.系统边界划定规则

实施定级工作的第一步是完整划定所有需要纳入等级保护管理的信息系统边界，不得出现资产漏报、边界模糊的问题。边界划定范围包含承载业务的物理硬件集群、所有网络传输链路、配套安全设备、前端业务应用、全量数据存储区、关联的第三方接入接口，以及直接为系统提供支撑的机房供电、空调等基础设施。

对于同时承载多个业务的服务器集群，若不同业务的服务对象、数据敏感程度差异较大，必须拆分为多个独立的定级对象分别开展定级工作，不得将不同重要程度的业务强行合并为一个系统定级。

2.资产清单梳理要求

所有纳入定级对象的资产必须逐一登记造册，形成完整的资产清单，清单内容不得遗漏任何一类软硬件资产。梳理完成后要安排2名运维人员交叉核验，核验通过率达到10