二级和三级的差别在定级报告落笔那一刻就基本锁死了。定级看两件事，破坏后侵害谁的权益、侵害到什么程度，业务信息安全和系统服务安全各算一次，取高的那一级。三级比二级多七十多项要求，多七份备案材料，测评从按需变成每年一次。定低了会在备案审核那一关被退回来重新定，之前做的测评和整改一起作废。
甲方合同里写一句“系统需通过等保二级”，是不是按二级做就行。这个问题不好直接答，因为合同里那句话常常是甲方 IT 部门随手写的。决定等级的是定级报告，报告要过公安备案审核。
另一类场景是服务商报价。同一套系统，报二级一个价，报三级另一个价，老板问差在哪。回答“三级要求更高”等于没回答。差在七十多个要求项、七份备案材料、每年一次的测评，以及几台必须新增的设备。
这篇把二级和三级拆开对照，讲清定级怎么算、差在哪些条款、钱花在哪，以及定低了会怎么返工。
一、等级是算出来的，算法写在标准里
GB/T 22240-2020 给了两个定级要素，受侵害的客体和对客体的侵害程度。客体分三类，公民法人和其他组织的合法权益、社会秩序和公共利益、国家安全。侵害程度分三档，一般损害、严重损害、特别严重损害。
然后分别算两次。业务信息被破坏算一次，得出业务信息安全保护等级。系统服务被破坏再算一次，得出系统服务安全保护等级。最终等级取两者中较高的那个。
矩阵是全国统一的，可以直接记下来。
| 受侵害的客体 | 一般损害 | 严重损害 | 特别严重损害 |
|---|---|---|---|
| 公民、法人和其他组织的合法权益 | 一级 | 二级 | 二级 |
| 社会秩序、公共利益 | 二级 | 三级 | 四级 |
| 国家安全 | 三级 | 四级 | 五级 |
这张表最容易被忽略的是第一行第三列。纯属侵害公民和法人权益的系统，哪怕损害特别严重，上限也是二级。要上三级，定级报告里必须论证损害已经及于社会秩序或公共利益。行业里流传的“个人信息超过十万人按三级”，道理就在这里，泄露范围大到一定程度，事情就不再只是用户个人的事。十万这个数字标准里没有，标准给的是判断方法，不是门槛。
判断客体有固定顺序，先看国家安全，再看社会秩序和公共利益，最后才看公民法人权益。写报告时顺序反了，容易把该定三级的系统写成二级。
二、七十多项要求差在哪些控制点
GB/T 22239-2019 的通用要求，二级是 68 个控制点、135 个要求项，三级是 71 个控制点、211 个要求项，相差 76 项。数字随 S、A、G 三个定级组合会有一两项浮动，常见的 S3A3G3 就是 211 项。
多出来的要求集中在五个地方。
- 安全管理中心。二级只有系统管理和审计管理两个控制点，三级多出安全管理和集中管控。集中管控是整章新增，要求划分安全管理区域，对分散的设备做集中管控，对日志做集中收集和汇总分析，对安全事件做集中监测。这一条决定了三级绕不开日志审计平台。
- 身份鉴别。三级要求两种或两种以上鉴别技术的组合，其中至少一种要用密码技术。落到采购上就是双因素认证、USB Key 或者动态口令。
- 安全审计。三级在二级的基础上多一条，保护审计进程，防止未授权中断。管理员不能顺手把审计服务停掉，这条要有技术手段兜住。
- 入侵防范。三级要求能检测到对重要节点的入侵行为，在严重入侵时报警。二级只要求最小安装、关闭多余端口和服务、及时补漏洞。
- 数据备份。二级要求本地备份，三级要求异地实时备份，通过通信网络把重要数据实时复制到备份场地。
- 剩余信息保护。三级新增的控制点，要求鉴别信息和敏感数据所在的存储空间在释放或重新分配前彻底清除。
写成采购清单，二级通常是防火墙、杀毒、堡垒机、本地备份。三级在这个基础上要加日志审计平台、入侵检测、双因素认证、异地备份链路，管理制度还要多出一整套集中管控的流程文件。
三级项目超预算，多半超在异地备份。链路和备份存储的钱按距离和带宽算，设备台数在这里不起决定作用，报价阶段最容易漏。
三、备案材料多七份，这一关最耗时间
《信息安全等级保护管理办法》第十五条要求，二级以上系统在等级确定后 30 日内到属地公安机关备案。二级交备案表和定级报告就够。三级以上还要多交七份材料，系统拓扑结构及说明、安全组织机构和管理制度、安全保护设施设计实施方案、信息安全产品清单及其认证销售许可证明、测评报告、专家评审意见、主管部门审核意见。
这七份里最卡人的是产品清单和认证证明。清单要写清每款安全产品的名称、型号、认证证书编号，用开源软件或者白牌设备拼出来的方案，在这一步凑不齐材料。三级项目在选型阶段就要把产品的销售许可和认证证书一起要过来，等备案时再补，时间来不及。
另一份容易忽略的是专家评审意见。GB/T 22240-2020 写的是初定为二级及以上的都要组织专家评审，评审组由信息安全专家和业务专家组成。行业里流传的“只有三级要评审”是执行层面的简化，各地网安对二级的松紧程度不一样。稳妥的做法是备案前给属地网安打个电话，问清二级要不要评审意见，一个电话能省掉一次退件。
第十六条把测评报告也列进了备案材料，实际执行中不少地区允许先备案、后补报告。这一步按属地口径办，别照着条文硬套。
四、钱和时间各差多少
测评费按系统数量和等级报价，二级通常在数万元量级，三级更高，具体以测评机构报价为准。真正的差距在频次和配套。
《信息安全等级保护管理办法》第十四条规定，三级系统每年至少测评一次，四级每半年一次。二级没有全国统一的强制频次，多数地区按两年一次掌握，具体看属地要求。按三年算，三级要比二级多做一到两次测评。
配套投入的差别更大。三级要多买的东西前面列过，这里给一个定性判断。已经有堡垒机和日志平台的企业，从二级升到三级，增量主要在异地备份链路、入侵检测和双因素认证，测评费反而是小头。什么都没有的企业，三级等于一次性把安全设施配齐，前期投入会明显高于二级。
给一个粗略量级供参考。一两百人的企业，二级整改加测评，几万元到十几万元可以做完。同样的基础做三级，多数落在十几万元到几十万元区间，异地备份占比最高。这些区间只是常见范围，实际报价取决于现有差距和属地测评机构，以实际为准。
时间上，二级从定级到拿报告通常两到四个月。三级多一道专家评审和主管部门核准，备案材料也多，同样基础下要多出三到六周。
五、四种最常见的定级误判
内部系统一律按二级。 内部 OA 的数据泄露确实只影响员工个人权益，业务信息这一项到不了三级。系统服务这一项要看停机的后果。一个承载全公司付款审批的 OA，停一天业务全停，服务安全这一项会往上走，如果还连着上下游对账，影响面更大。定级报告里 S 和 A 要分开写，不能用一句“内部系统”带过。
用户少就不会是三级。 用户数量和等级没有直接关系，客体和侵害程度才有。一家给医院供货的耗材平台，用户只有几百个，但订单中断会影响医院采购和患者治疗，损害落在公共利益上，三级是正常结论。
上云了跟着云平台定。 云平台的三级是云平台自己的等级，不覆盖你的业务系统。租用公有云的企业，要对自己那套业务系统单独定级备案。私有云按所承载业务系统的最高等级定，业务系统可以独立定级。
集团定过，分公司照抄。 定级对象要有确定的安全责任主体。不同法人主体的系统不能合成一个定级对象，业务范围不同，侵害客体也不同。集团的三级报告复制到分公司，备案审核时对不上业务描述，一样要退。
六、定级报告怎么写才站得住
定级报告有固定结构，公安部有模板，第一部分写系统描述，第二部分分别论证 S 和 A，最后取高。决定成败的是论证部分。模板填得全，论证站不住，一样退。
系统描述要写清三件事，谁是安全责任主体、系统的边界在哪、承载的是什么业务。边界最容易出问题，把办公网、业务系统、测试环境混成一个对象，后面所有论证都跟着虚。
S 的论证分四步。业务信息里有什么，破坏后侵害哪个客体，侵害到什么程度，落到矩阵哪一格。四步要能一路推下来，中间不能跳。常见的写法是直接写“本系统涉及大量个人信息，侵害社会秩序”，没有说明为什么是大量、为什么及于社会秩序，这种报告在备案审核时最容易被退。
A 的论证同理，要写服务范围、服务对象、中断后的影响面和持续时间。有行业主管部门的，还要把主管部门的核准意见一起报。
定级对象的划分按三个特征判断，有确定的主要安全责任主体、承载相对独立的业务、包含相互关联的多个资源。同一法人主体、统一入口、统一运维的几个模块，可以合成一个对象，不同法人不能合。合得太大，边界说不清，拆得太碎，备案数量和测评费用都上去。这个度按实际运维边界来定，比按部门来定稳。
七、定级错了会怎么返工
分三个阶段看。
备案审核阶段被退，代价最小。公安机关收到材料后 10 个工作日内审核，发现定级不准会通知重新确定。这时候只是改报告、重新提交，损失的是时间，通常两周到一个月。
测评做完被监督检查判低，代价最大。要从定级那一步重新走一遍，备案和测评都跟着重来，前面的报告作废，整改过的技术措施可能要按三级标准重做一遍。两级之间的差距如果落在架构上，比如没有独立的安全管理区域、没有异地备份场地，返工就不是补设备能解决的。
定高了不会被处罚，但要一直按高等级维持。每年一次测评、每年一次自查，设备要续保，制度要留痕。有些企业想事后降级，实践中很难，降级同样要走重新论证和备案，还要解释当初为什么定高。定级阶段的正确做法是按标准算，算完拿不准，就在论证里把影响面写足，不要靠拍脑袋往上加一级。
八、常见问题
二级到底要不要每年测评？ 全国层面的文件只对三级以上规定了强制频次，二级没有统一要求。多数地区按两年一次掌握，部分行业主管单位另有规定。以属地网安和行业要求为准。
三级能不能只买设备不改制度？ 不能。三级多出来的要求里有相当一部分在安全管理部分，包括集中管控的流程、制度文件的制定和修订记录、外包运维的审批记录。设备到位而制度缺失，测评时同样判不符合。
系统定完级，业务扩张了要重新定吗？ 要。GB/T 22240-2020 明确，业务信息或系统服务的范围发生变化，导致侵害客体或侵害程度变化的，要重新定级。用户量翻倍、新增对外服务、并入集团系统，都属于要重新评估的情形。
测评机构和整改服务商能不能是同一家？ 不能。测评机构出报告，整改方做实施，两家必须分开，否则报告不具备效力。
二级系统要不要做渗透测试？ 渗透测试不是等保的强制项。测评会核查漏洞扫描和修补记录，有条件的每年做一次，对结论有帮助。
定级花的时间不多，一份报告通常一两周能写完，但它决定了后面所有投入的基准。等级定低了，整改、测评、备案全部要重来一遍，定高了，每年多花的钱会一直跟着。
如果你不确定现有系统该定几级，可以先看我们的网络安全整体方案和数据备份与容灾方案，也可以联系我们，按定级要素把系统过一遍再决定。等保的完整流程见中小企业等保测评全流程，日志集中留存这一项见日志留存六个月怎么落地，更多内容在技术分享栏目。