GB／T 22240-2025 中文版 网络安全等级保护定级指南.docxVIP

GB/T22240-2025中文版网络安全等级保护定级指南

定级是等级保护工作的起点，也是争议最多的环节。级别定低了，后续建设与测评投入不足，系统长期带病运行；级别定高了，资源过度投入，业务部门怨声载道。更麻烦的是，定级一旦备案，变更需要重新走流程，很多单位宁愿先将就着，结果留下长期隐患。

定级指南要解决的问题，是把这个系统有多重要这种模糊判断，转化为基于客体与侵害程度的可讨论结论。本文按定级要素、等级划分、定级流程、对象划分、争议处理和变更管理展开，力求让定级从拍脑袋变成讲得清。

一、定级的本质：回答两个问题

定级不是给系统贴标签，而是回答两个相互关联的问题：系统一旦出事，会侵害谁的利益；侵害到什么程度。前者决定客体，后者决定程度，两者组合形成级别。

（一）受侵害的客体

客体通常包括公民、法人和其他组织的合法权益，社会秩序、公共利益，以及国家安全。判断时要避免两个极端：把所有系统都往公共利益上靠导致级别虚高，或只看本单位损失而忽略数据汇聚后的社会影响。

（二）侵害程度

一般分为一般损害、严重损害和特别严重损害。判断要考虑业务中断时长、数据泄露规模、影响范围、恢复成本、社会舆情，而不是只看金额。同一套系统在不同业务场景下，侵害程度可能完全不同。

二、五个安全保护等级

五个等级对应不同的客体与程度组合，理解组合逻辑比记住结论更重要。

（一）第一级：自主保护

对象受到破坏后，会对