等级保护是什么意思

等级保护，全称是信息安全等级保护，是我国网络安全领域的基本国策和基本制度，是《网络安全法》规定的必须强制执行的，以保障公民、社会、国家利益的重要工作。它是对信息和信息载体按照重要性等级分级别进行保护的一种工作，具体包括对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

一、为什么要做等级保护？

1. 法律法规要求《网络安全法》明确规定信息系统运营、使用单位应当按照网络安全等级保护制度要求，履行安全保护义务，如果拒不履行，将会受到相应处罚。第二十一条：国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

2. 行业要求在金融、电力、广电、医疗、教育等行业，主管单位明确要求从业机构的信息系统（APP）要开展等级保护工作。

3. 企业系统安全的需求信息系统运营、使用单位通过开展等级保护工作可以发现系统内部的安全隐患与不足之处，可通过安全整改提升系统的安全防护能力，降低被攻击的风险。简单来说，《网络安全法》一直对网站、信息系统、APP有等级保护要求，中小型企业通常是行业要求才意识到问题。

二、等级保护的流程

简单来说，等级保护就像是我们为家中的不同区域和物品设置不同的安全保护措施一样。想象一下，你的家（代表一个组织或单位）里有很多重要的东西，比如保险箱（存储重要数据的服务器）、门窗（网络边界）、以及日常使用的电器和家具（各种信息系统和应用）。为了保护这些东西不被坏人破坏或偷走，你需要根据它们的重要性和价值来制定不同的安全策略。

1、等级保护就是这样一个过程：

（1）识别重要程度：首先，你要弄清楚家里哪些东西最重要（比如保险箱里的钱和文件），哪些次之（比如客厅的电视），哪些相对不那么重要（比如书房里的旧书）。在信息系统领域，这意味着对信息和信息系统进行重要性和敏感性的评估，确定它们应该属于哪个保护等级。

（2）制定保护措施：接下来，根据东西的重要程度，你会安装不同的门锁（访问控制）、设置监控摄像头（安全审计）、购买保险（数据备份和恢复计划）等。对于信息系统，这意味着根据等级保护的要求，实施相应的物理安全、网络安全、主机安全、应用安全和数据安全等保护措施。

（3）定期检查和维护：就像你会定期检查家里的门窗是否牢固、监控摄像头是否正常工作一样，信息系统也需要定期进行安全检测和评估，以确保保护措施仍然有效，并及时发现并修复潜在的安全漏洞。

（4）应对安全事件：如果家里发生了小偷入侵或其他安全问题（比如网络攻击），你需要迅速响应，采取适当的措施来减少损失，并防止类似事件再次发生。在信息系统领域，这意味着对发生的信息安全事件进行等级响应和处置，以最小化影响和恢复系统正常运行。

三、等级保护的五个等级

（1）自主保护级（1级）：就像是为家里的普通房间设置门锁一样，这个等级的保护主要关注基本的访问控制，适用于对公民、法人和其他组织的合法权益有一定影响但不涉及国家安全、社会秩序和公共利益的信息系统。

（2）指导保护级（2级）：类似于为客厅和卧室增加监控摄像头和报警系统，这个等级的保护除了基本的安全控制外，还需要对系统操作行为进行记录和审计，适用于大部分政府机关、企事业单位的信息系统。

（3）监督保护级（3级）：这个等级的保护更加严格，类似于为保险箱所在的房间设置多重门锁和监控，适用于涉及国家安全、社会稳定以及公民权益的重要信息系统。

（4）强制保护级（4级）：这是非常高的保护等级，类似于为国家的核心机密设置严密的防护网，适用于关键信息基础设施和重要领域的核心系统。

（5）专控保护级（5级）：这是最高级别的保护，专门针对涉及国家安全和社会稳定的关键核心系统，要求能够对抗国家级背景下的高强度攻击。

 四、对受侵害客体的侵害程度：

定级的要素：受到侵害后，对受侵害客体的侵害程度。

受侵害的客体分为三类：公民、法人、其他组织等；公共秩序、公共利益；国家安全。

第一级（自主保护级），会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级（指导保护级），会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序 和公共利益造成损害，但不损害国家安全。

第三级（监督保护级），会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级（强制保护级），会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级（专控保护级），会对国家安全造成特别严重损害。

信息安全等级保护在中国具有重要的战略意义。它不仅是保障国家安全、社会稳定和公共利益的重要手段，也是促进信息化健康发展、提升国家整体安全水平的基础性工作。通过实施信息安全等级保护，可以有效降低信息系统面临的安全风险，提高信息系统的安全防护能力和自救能力，确保信息系统在遭受攻击或破坏时能够迅速恢复并正常运行。