政务系统做等保，第一步不是急着买设备，而是先把“定级对象、业务重要性、系统边界、受侵害影响”这四件事彻底理清，否则后面测评、整改全都会返工。
很多政务单位在等保工作启动时，第一反应是找测评机构，或者直接问“我们该买什么防火墙”，等保2.0的流程里，定级是源头，源头的方向错了，后续的备案、建设整改、等级测评、监督检查，每一步都会跟着错，本文就聚焦一个核心问题：政务系统做等保,定级阶段到底要理清哪些事。
政务系统定级前，先搞懂定级对象是谁
定级对象不是“一个网站”或“一台服务器”这么简单，政务系统往往是由多个子系统、数据库、中间件、接口平台组成的复杂集合，如果把整个大系统笼统定一个级别，很可能出现“高子系统被低级别掩盖”或“低风险系统被强行高定级”的双重尴尬。
按业务功能拆分定级对象
行业共识认为，定级对象应当以“业务系统”为基本单位，而不是以物理设备为单位，一个政务系统如果同时承担行政审批、数据共享、内部办公三种完全不同性质的业务,在定级时最好拆分成独立的定级对象进行考量。
- 行政审批类系统：面向公众，数据敏感度高，一旦被破坏直接影响政府公信力
- 数据共享交换平台：连接多家委办局，一旦泄露影响面呈网状扩散
- 内部OA办公系统：影响范围相对内部，但涉及文件流转和决策过程
拆分的关键标准是：业务是否独立、数据是否独立、网络是否可隔离，如果三个条件都满足，就应当单独定级；如果只是功能模块上的区分，但底层共库共网,则建议合并为一个定级对象。
确认系统边界和隶属关系
政务系统的边界问题特别容易混，比如一个市级政务云平台，上面跑了十几个委办局的业务系统，那定级时是云平台定一个级，还是每个业务系统各自定级？答案是：云平台作为底层基础设施单独定级，各委办局业务系统作为上层应用单独定级，两者是“承载”关系，不是“包含”关系。
这里需要理清的问题包括：
- 系统由谁主管，由谁运维，运营使用单位是谁
- 系统部署在自有机房还是政务云上
- 系统之间是否存在数据交换、单点登录等互联关系
- 是否涉及公民个人信息，数量大概什么量级
政务系统等保定几级：判断标准要卡准
定级不是拍脑袋，也不是越高越好，定级高了，安全成本成倍增加，财政资金浪费；定级低了，一旦出事责任重大，政务系统等保定几级,依据的是业务信息受到破坏时的受侵害客体和侵害程度。
先看业务信息安全等级，再看系统服务安全等级
政务系统定级分两个维度分别判定,最终等级取两者中较高者：
- 业务信息安全等级：关注数据保密性、完整性、可用性，例如社保系统里的个人身份信息、收入信息，一旦泄露侵害的是公民合法权益，严重时影响社会秩序
- 系统服务安全等级：关注系统服务的连续性，例如政务服务网如果宕机，影响的是大量公众办事，社会秩序受影响程度明显高于内部OA系统
政务系统二级还是三级：最常见的分水岭
政务系统等保二级还是三级，是实操中最常见的纠结，判断的核心指标是“受到破坏后，能否造成社会秩序严重损害”或“是否涉及大量敏感个人信息”。
- 一旦系统出问题，只影响本单位内部办公效率，一般定二级
- 一旦系统出问题，导致大范围公众无法办事、大量公民隐私泄露或关键政务数据丢失，应当定三级
实际操作中，政务外网门户、公共信用信息平台、不动产登记系统、社保系统等基本都跑不掉三级，而内部审批流转、机关后勤管理等系统,二级居多。
定级备案需要准备的材料
定级结果确定后，要编制《定级报告》和《备案表》，备案表里需要填写的内容包括系统基本情况、定级依据、责任单位、安全保护等级等，在政务系统定级备案流程中，
主管部门审核意见这一栏最容易卡住，尤其是涉及多个部门共建的系统,需要所有共建单位盖章确认。
受侵害影响分析：不要只从技术角度想
定级过程中，很多人习惯于只评估“黑客攻击造成什么损失”，却忽略了政务系统最核心的属性公共服务属性，政务系统做等保时的受侵害影响分析,应当从三个层面展开：
- 对社会秩序的影响：系统停摆多少时间会造成市民办事积压？会导致哪些线下窗口拥堵？是否有群体性事件风险？
- 对公民合法权益的影响：涉及的个人信息是仅限联系方式，还是包含银行账户、健康档案、生物识别信息等敏感数据？
- 对公共利益的影响：政务数据是政府部门运转的血液，数据被篡改可能导致错误决策，影响范围远超普通企业系统
业内专家指出，同等级别的定级要求下，政务系统的受侵害影响分析应当比企业系统更严格，因为政务系统具有强制性和排他性，公众没有“不用的选择权”。
影响分析常见的两个误判
第一个误判是“系统小，影响就小”，一个只有几十个用户的内部统计系统，如果它汇总的数据是全市经济决策的依据，数据一旦出錯，影响就是全局性的，定级看的是业务重要性,不是用户数量。
第二个误判是“有等保设备就能过三级”，三级和二级的差距不只是防火墙和日志审计设备多寡的问题，更重要的是管理制度、运维流程、灾备体系的全方位差异,设备只是其中一环。
政务系统等保定级实操中的高频问题
定级和备案的先后顺序是什么
先确定等级，再编制定级报告，然后向公安机关备案，最后才是选择测评机构进行等级测评，近年来，不少地区推行“定级备案一网通办”,但顺序逻辑没有变。
上级单位有统一标准时该怎么办
如果上级主管单位已经下发了本行业的定级指引，例如自然资源部、卫健委等都有行业定级参考目录，下级单位应当优先遵循行业指引,同时不低于地方公安要求的基准线。
定级结果会不会被推翻
会的，公安机关对定级结果有审核权，如果认为定级不准确，会要求重新定级，测评机构在测评过程中如果发现定级明显不合理，也会提出建议，定级不是一次性工作，系统发生重大变更时（例如业务范围扩大、数据量激增、网络架构重构）,需要重新定级。
Q&A：政务系统等保定级常见问答
政务系统等保定级为什么要区分定级对象和备案对象？
定级对象解决的是“这个系统该按什么标准保护”的问题，备案对象解决的是“公安机关按什么目录来监管”的问题，两者在绝大多数情况下一致，但一个政务云平台上承载多个系统时，云平台本身也需要作为独立的定级对象和备案对象来管理,此时定级对象数量大于备案表数量。
政务系统等保二级和三级在成本上差异有多大？
二级和三级在测评费用、安全设备投入、人力成本三方面的差异都比较明显，据行业内普遍共识，三级的年度测评费用通常是二级的1.5倍以上，而整改建设投入的差距更大，二级侧重合规基线，三级要求全方位防护，包括异地备份、入侵防范、安全审计等基础能力的实质性加强，更关键的是，三级的测评频率为每年一次，二级不强制每年测评,长期运维成本差距会持续拉大。
定级报告定三级了，但经费只够按二级建设怎么办？
定级是刚性要求，不能因为预算压缩而降低等级，行业通行做法是分阶段实施：第一年内先完成最核心的安全整改，解决高风险问题，达到测评通过的最低要求；后续年度逐年完善，但定级结论本身不能弹性处理，公安机关备案的等级是多少,就必须按对应要求进行建设整改。
政务系统做等保，定级工作越扎实，后续的弯路就越少，先把定级对象拆清楚，把等级判定依据写扎实，把受侵害影响分析做透，这份“地基”打好了,后面测评整改的效率会高很多。