現在越來越多的用戶單位將自己的服務器或者應用進行托管，有的托管在電信機房，有的托管在電子政務中心，有的托管在阿里云。托管完之后很多人自認為終于把包袱扔出去了，省了很多事，不用再擔心系統出問題了，出了問題也不是自己的事。其實不然，根據等保里面“誰主管誰負責、誰運營誰負責、誰使用誰負責”的原則，只要這個應用不是托管方直接提供的，我們都需要對這個應用系統負責，對這個系統的安全負責。云越來越多，越來越方便，但是我們不得不理清里面的具體情況。
等級保護測評第一步就是系統定級，可是究竟如何定級呢？怎樣定級最合理合規合適呢？不得不等今天就詳細的和大家交流下心得。
首先我們來看下定級指南里對信息系統等級的劃分：
根據等級保護相關管理文件，信息系統的安全保護等級分為以下五級：
第一級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會秩序和公共利益。
第二級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。
第三級，信息系統受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害。
第四級，信息系統受到破壞后，會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。
第五級，信息系統受到破壞后，會對國家安全造成特別嚴重損害。
可以看出系統等級越高，系統越重要，造成的損害越嚴重。
我們再來看看定級的兩個要素：
信息系統的安全保護等級由兩個定級要素決定：等級保護對象受到破壞時所侵害的客體和對客體造成侵害的程度。
-
受侵害的客體
等級保護對象受到破壞時所侵害的客體包括以下三個方面：
a) 公民、法人和其他組織的合法權益；
b) 社會秩序、公共利益；
c) 國家安全。
-
對客體的侵害程度
對客體的侵害程度由客觀方面的不同外在表現綜合決定。由于對客體的侵害是通過對等級保護對象的破壞實現的，因此，對客體的侵害外在表現為對等級保護對象的破壞，通過危害方式、危害后果和危害程度加以描述。
等級保護對象受到破壞后對客體造成侵害的程度歸結為以下三種：
a) 造成一般損害；
b) 造成嚴重損害；
c) 造成特別嚴重損害。
定級要素與等級的關系
定級要素與信息系統安全保護等級的關系如下表所示。
|
受侵害的客體 |
對客體的侵害程度 |
||
|
一般損害 |
嚴重損害 |
特別嚴重損害 |
|
|
公民、法人和其他組織的合法權益 |
第一級 |
第二級 |
第三級 |
|
社會秩序、公共利益 |
第二級 |
第三級 |
第四級 |
|
國家安全 |
第三級 |
第四級 |
第五級 |
看了定級要素和對應的要素關系，我們可以總結為對受侵害的客體造成的損害越大那么等級就越高，可是看完這個我們還是有點模糊特別是對第一次想開展這塊工作的伙伴們來說更是霧里看花。
縣級重要的信息系統，地市級和省級的一般信息系統，這里的一般信息系統指的是不涉及敏感信息、重要信息的信息系統，這些系統都可以定為二級系統；省級門戶網站和地市級及以上重要的業務網站需要定為三級，地市級及以上內部涉及到工作秘密、敏感信息、重要信息的辦公系統，管理系統需要定到三級，跨省的用于生產、調度、管理、指揮等在省、市的分支系統需要定為三級，跨省聯結的網絡系統要定為三級(這個一般都是全國運營的專網系統）。當然在這里我也提出一點：現在江蘇很多區縣雖然是區縣，但是實際經濟總量和人口已經遠遠大于中西部一些地市，所以我們在系統定級的時候還是要結合系統的重要性去實際定級，切勿死搬硬套，例如我們在某區一個系統里面存儲了全區上百萬的人口信息，住房信息等等敏感信息，這樣的系統就得定到三級。定級不合理，將來不小心出了事情都是自己的事情，沒必要把這樣的風險全抗在自己肩膀上。另外補充一點如果行業有要求就按照行業要求來，這樣辦事省心省力。總結成一句話就是：信息系統涉及到工作秘密、敏感信息的，信息泄露出去或者被非法篡改、破壞后造成比較大的影響的系統，建議定到三級，其他系統定到二級。
經過這么一說，大家會不會更明白些自己的系統到底是幾級呢？
