GB/T 22240-2020 网络安全等级保护定级指南
定级需要说明对象受到破坏后会侵害谁、达到什么程度。业务规模、服务器数量或领导关注程度可以提供背景，不能直接替代定级依据。官方标准信息列明：2020年4月28日发布，2020年11月1日实施。
先识别完整的保护对象
形成对象名称、责任主体、承载业务、服务范围、数据、网络边界和依赖清单。边界应能与实际业务和技术架构对应，避免按部门、数据库或采购项目机械拆分，也避免用一个过大的对象掩盖独立业务差异。
云上业务需分清云平台与租户对象，共享身份、网络、数据库等依赖需在定级说明中体现。上述为组织定级材料的方法；具体对象识别、级别确定及定级程序以标准全文和适用制度为准。
受侵害客体与程度的关系
以下为等级关系速查，不替代个案影响分析。等级定义可参见政府公开说明，标准名称和版本以官方标准页为准。
| 受侵害客体 | 一般损害或危害 | 严重损害或危害 | 特别严重损害或危害 |
|---|---|---|---|
| 公民、法人和其他组织合法权益 | 一级 | 二级 | 二级 |
| 社会秩序和公共利益 | 二级 | 三级 | 四级 |
| 国家安全 | 三级 | 四级 | 五级 |
分析业务信息安全与系统服务安全受破坏的后果，形成有事实支持的等级判断；不能只考虑停机时长而遗漏数据被泄露、篡改产生的影响。涉及多个客体和后果时，核对相应定级规则，不能取平均值降低保护等级。
把结论写成可复核的论证
| 论证项 | 需要回答 | 支撑材料示例 |
|---|---|---|
| 对象与边界 | 哪些系统共同承担业务，哪些依赖在范围外 | 架构、接口、资产及责任主体 |
| 破坏场景 | 信息或服务的哪些属性受损 | 泄露、篡改、中断等具体场景 |
| 受侵害客体 | 影响限于特定主体，还是涉及公共利益或国家安全 | 服务性质、影响范围、依赖关系 |
| 侵害程度 | 为什么是一般、严重或特别严重 | 可替代性、恢复条件、用户和业务影响分析 |
| 等级与程序 | 推导结果如何形成、由谁审定、是否需备案 | 定级说明、评审及适用程序记录 |
不要把“影响很大”作为唯一论据。系统自身收入高，不必然证明对社会秩序的危害程度；内部系统也可能支撑具有重要外部影响的业务。
推导示例与反例
假设示例。 某系统承载对外公共服务，业务信息受损的已论证后果对应二级；服务中断被论证为对社会秩序和公共利益造成严重危害，对应三级。定级应继续依据标准形成相应等级结论，不能因数据库不含敏感字段就只按信息一侧确定为二级。
示例中的“严重危害”是推导前提，必须由实际业务事实支持，并非对任何公共服务系统直接定三级。反过来，一个小型内部工具若影响确实限于单位合法权益，也不能仅因部署在核心机房就自动套用其他系统等级。
变更后复核什么
业务范围、服务对象、影响地域、数据规模、集中化依赖和系统架构等变化后，重新核对定级依据是否仍成立。建议保存旧范围、新范围、影响分析、调整或不调整的理由，以及必要备案变更记录。
验收采用双向对账：从生产资产找对象，识别遗漏；从定级对象找生产架构，识别失真。备案清单、建设基线和测评范围保持可解释的对应关系。