《等保2.0系列（三）：定级方法与第二级详解——从“影响一群人”到“S和A”》

在上一章中我们了解了等保2.0第一级别的划分详情在这篇文章中我们来了解一下等保2.0的划分条件和详情。等保2.0中对于第二级别的定级原则是会对公民、法人和其他组织的合法权益造成严重损害或特别严重损害或者对社会秩序和公共利益造成危害但不危害国家安全。值得注意的是第二级别属于指导保护级第二级要求定级备案向公安机关提交材料但不强制要求进行等级测评即由第三方机构出具正式报告。也就是说如果系统划分达到第二等级那么需要像公安机关提交定级报告和备案表证明系统定级合规。但是不强制要求进行等级测评。虽然不要求强制测试不会造成更高级别测试—不合格整改—再测试的循环中但是安全无小事公安机关的网安会随时抽查不合格的会面临行政处罚。在等保2.0中测评通常是指第三方测评即必须由具备国家认证资质持有《网络安全等级保护测评机构推荐证书》的独立机构来执行的测评而自我测评不包含在内。那么那些系统属于第二级别的划分呢典型对象就是如普通高校教务系统、区县级医院信息系统、中小企业的ERP系统等的大部分普通企事业单位业务系统。这么说大家可能会很疑惑因为从第二级别开始划分就变得复杂化了而且等保2.0中第二级别以上定级不在由自己说了算是由所以这次我们不能从具体系统代表来讲了。首先请大家记住一点等保2.0中第二级别以上的定级有一整套完整的流程包括但不限于专家评审和备案审核所以现在我们从等保2.0划分的核心原则系统损害后受影响面来理解。作为损害后受影响面由系统数据和服务两个方面构成请记住第一章中就高不就低的原则所以数据和服务无论哪个超出第二级别的划分系统都会升级为更高的等级。系统数据方面主要分为系统损害后数据所有者的范围和数据的敏感性这两者我将对照等保2.0一至四个等级设立S1-S4四个等级。S1数据所有者是谁仅个人。数据敏感性如何任意类型。泄露或篡改后后果多大对个人合法权益造成一般损害。一句话判断数据是你自己的丢了只影响你自己。S2数据所有者是谁公司内部员工或有限客户群体。数据敏感性如何一般敏感手机号、邮箱、地址、订单记录等。泄露或篡改后后果多大对个人合法权益造成严重损害或特别严重损害。一句话判断数据涉及一批人但不危害社会。S3数据所有者是谁不特定公众或海量用户。数据敏感性如何高度敏感身份证、银行卡、病历、行踪轨迹、人脸指纹、儿童信息等。泄露或篡改后后果多大对社会秩序和公共利益造成严重危害。一句话判断数据涉及公众泄露会导致社会性灾难。S4数据所有者是谁国家安全范畴。数据敏感性如何国家秘密或核心敏感数据。泄露或篡改后后果多大对国家安全造成严重危害。一句话判断数据涉及国家安全底线中的底线。根据2025年实施的《网络数据安全管理条例》和相关国标敏感数据的判定可参考下表敏感等级数据类型定级影响高度敏感身份证、银行卡、病历、行踪轨迹、人脸指纹、儿童信息存储即可能三级一般敏感手机号、邮箱、地址、订单记录通常二级超过1万人需评审低敏感/公开公司公开信息、产品介绍一级或二级系统服务方面就要简单一些主要分为就是系统服务面对谁提供服务以及如果服务损害受影响有多大这方面我同样按照等保2.0分为A1—A4四个方面。A1服务面对谁仅个人。服务中断后影响多大只影响个人可忍受。一句话判断系统停了只有你自己不方便。A2服务面对谁公司内部员工或有限客户群体。服务中断后影响多大影响公司正常运营或损害客户权益但不危害社会。一句话判断系统停了公司内部乱一阵社会无感知。A3服务面对谁不特定公众或全社会。服务中断后影响多大严重影响社会秩序或公共利益。一句话判断系统停了社会公众跟着遭殃。A4服务面对谁国家安全相关领域。服务中断后影响多大严重危害国家安全。一句话判断系统停了国家安全受威胁。因此只要一个系统的数据类型属于S1或S2不涉及高度敏感的公众数据且服务范围属于A1或A2不面向不特定公众它就不会超过第二级。两者取最高值就是系统的最终等级。由此可判断等保2.0中第二级别的划分公式为S2A2 即系统数据所有者为公司内部员工或有限客户群体且数据敏感性为一般敏感手机号、邮箱、地址、订单记录。服务面对公司内部员工或有限客户群体。服务中断后影响公司正常运营或损害客户权益但不危害社会。下一篇文章我们来看看等保2.0中第三级别的划分要求。//注好像明天要上课去而且好像也没有必要了S和A的定级也把剩下的都说完了我看看吧。