信息系统安全等级保护定级指南 目 次1 范围 12 规范性引用文件 13 术语和定义 14 定级原理 14.1 信息系统安全保护等级 14.2 信息系统安全保护等级的定级要素 24.2.1 受侵害的客体 24.2.2 对客体的侵害程度 24.3 定级要素与等级的关系 25 定级方法 35.1 定级的一般流程 35.2 确定定级对象 45.3 确定受侵害的客体 55.4 确定对客体的侵害程度 65.4.1 侵害的客观方面 65.4.2 综合判定侵害程度 65.5 确定定级对象的安全保护等级 76 等级变更 81 范围本标准规定了信息系统安全等级保护的定级方法，适用于为信息系统安全等级保护的定级工作提供指导2 规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本凡是不注明日期的引用文件，其最新版本适用于本标准GB/T 5271.8 信息技术 词汇 第8部分：安全 GB17859-1999 计算机信息系统安全保护等级划分准则3 术语和定义GB/T 5271.8和GB17859-1999确立的以及下列术语和定义适用于本标准。
3.1等级保护对象 target of classified security信息安全等级保护工作直接作用的具体的信息和信息系统3.2客体object受法律保护的、等级保护对象受到破坏时所侵害的社会关系，如国家安全、社会秩序、公共利益以及公民、法人或其他组织的合法权益3.3客观方面objective 对客体造成侵害的客观外在表现，包括侵害方式和侵害结果等3.4系统服务 system service信息系统为支撑其所承载业务而提供的程序化过程4 定级原理4.1 信息系统安全保护等级根据等级保护相关管理文件，信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
4.2 信息系统安全保护等级的定级要素信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度4.2.1 受侵害的客体等级保护对象受到破坏时所侵害的客体包括以下三个方面：a) 公民、法人和其他组织的合法权益；b) 社会秩序、公共利益；c) 国家安全4.2.2 对客体的侵害程度对客体的侵害程度由客观方面的不同外在表现综合决定由于对客体的侵害是通过对等级保护对象的破坏实现的，因此，对客体的侵害外在表现为对等级保护对象的破坏，通过危害方式、危害后果和危害程度加以描述等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种：a) 造成一般损害；b) 造成严重损害；c) 造成特别严重损害4.3 定级要素与等级的关系定级要素与信息系统安全保护等级的关系如表1所示表1 定级要素与安全保护等级的关系受侵害的客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级5 定级方法5.1 定级的一般流程信息系统安全包括业务信息安全和系统服务安全，与之相关的受侵害客体和对客体的侵害程度可能不同，因此，信息系统定级也应由业务信息安全和系统服务安全两方面确定。
从业务信息安全角度反映的信息系统安全保护等级称业务信息安全保护等级从系统服务安全角度反映的信息系统安全保护等级称系统服务安全保护等级确定信息系统安全保护等级的一般流程如下：a) 确定作为定级对象的信息系统；b) 确定业务信息安全受到破坏时所侵害的客体；c) 根据不同的受侵害客体，从多个方面综合评定业务信息安全被破坏对客体的侵害程度；d) 依据表2，得到业务信息安全保护等级；e) 确定系统服务安全受到破坏时所侵害的客体；f) 根据不同的受侵害客体，从多个方面综合评定系统服务安全被破坏对客体的侵害程度；g) 依据表3，得到系统服务安全保护等级；h) 将业务信息安全保护等级和系统服务安全保护等级的较高者确定为定级对象的安全保护等级上述步骤如图1确定等级一般流程所示。