二、网络安全等级保护制度的前世今生

一、开展网络安全等级保护工作的法律依据
1994年《计算机信息系统安全保护条例》（第147号）第九条明确规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门规定”。该条明确了三方面的内容：一是确立等级保护是计算机信息系统安全保护的一项制度；二是出台配套规章和标准；三是明确公安部在等级保护工作中的牵头地位。
2017年《网络安全法》第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。第三十一条，国家关键信息基础设施在网络安全等级保护制度的基础上，实行重点保护。
二、网络安全等级保护制度的主要内容
首先，公安、国家保密、国家密码管理、技术监督、信息产业等国家有关信息网络安全的行政主管部门要在国家信息化领导小组的统一领导下，制定我国开展信息网络安全等级保护工作的发展政策，统一制定针对不同安全保护等级的管理规定和技术标准，对不同信息网络确定不同安全保护等级和实施不同的监督管理措施。公安机关作为计算机信息网络安全保护工作的主管部门，代表国家依法履行对计算机信息网络安全等级保护工作的监督管理和服务保障职能，依据管理规定和技术标准的具体等级，对单位、企业、个人计算机信息网络的安全保护状况进行监督和检查，并为落实等级保护制度提供指导和服务保障。国家保密、密码管理、技术监督、信息产业等部门也要根据各自职能，在等级保护中各自发挥重要作用。　
其次，等级保护坚持“谁主管、谁负责，谁经营、谁负责，谁建设、谁负责，谁使用、谁负责”的原则。计算机信息网络的建设和使用单位要依照等级保护管理规定，根据单位在国民经济和社会发展中的地位作用、信息网络依赖程度和重要程度、信息内容或数据的重要程度、系统遭到攻击破坏后造成的危害程度等因素，科学、准确地设定其安全保护等级，开展安全等级保护设施和制度建设，落实安全管理措施和相关责任。重要领域和重点要害信息网络的上级主管部门对所属信息网络的安全负起领导和管理责任，提高自主管理、自我保护能力。　　
第三，等级保护实行“国家主导、重点单位强制、一般单位自愿；高保护级别强制、低保护级别自愿”的监管原则。计算机信息网络安全涉及国家安全、国家利益和社会稳定，信息网络安全等级保护是国家安全战略的重要组成部分。国家根据信息网络的重要程度和保护价值实行分等级逐步加重的保护措施。涉及国家安全和利益的重要信息网络，按照管理规定设定相应的安全保护制度，并由国家主管部门予以核准；其他信息网络自行设定安全等级，报国家主管部门备案。重要信息网络按照国家有关法规和技术标准建设安全保护设施和进行安全保护管理，国家主管部门依法对其进行监督和检查；一般使用单位自愿按照国家制度的标准，在国家主管部门的制度或帮助下，实施自我保护和共同保护。　　
第四，信息系统安全状况等级的检测评估是等级保护的重点。信息系统的安全等级基本要求是信息系统安全状况等级的主要指标，由国家授权的测评机构通过访谈、检查、测试等手段来进行评定。测评机构在取得国家主管部门的资质和授权后，从事信息系统安全等级保护的测评工作，其结果报送国家主管部门。国家主管部门根据测评报告和其他安全检查的结果对信息系统的安全保护进行监督管理，并对等级测评机构进行监管。　　
第五，等级保护制度为信息网络安全产品的普及使用提供了广阔的市场和发展空间。通过等级保护，引导国内外信息技术和信息安全产品研发企业根据国家有关法规和技术标准，积极研发和推广使用适合不同安全保护等级的产品。由于国家强制采用符合安全等级的产品，特别是重要领域要求采用我国自主开发的安全产品，必将带动和促进自主信息网络安全产品的开发、研制、生产和使用，使我国自主的信息安全产业化，尽快缩短与发达国家的差距，既能推动我国民族信息产业的进一步发展，也为保障我国的信息网络安全打下更坚实的基础。
三、网络信息系统等级划分与保护　
2007年6月22日由公安部、国家保密局、国家密码管理局和国信办联合下发《信息安全等级保护管理办法》（43号文件），以下简称《管理办法》，规范了信息安全等级保护的管理。信息系统的安全保护等级根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。将信息系统的安全保护等级分为以下五级：
第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
信息系统运营、使用单位依据《管理办法》和相关技术标准对信息系统进行保护，国家有关信息安全监管部门对其信息安全等级保护工作进行监督管理。
第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。
第二级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行指导。
第三级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行监督、检查。
第四级信息系统运营、使用单位应当依据国家有关管理规范、技术标准和业务专门需求进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行强制监督、检查。
第五级信息系统运营、使用单位应当依据国家管理规范、技术标准和业务特殊安全需求进行保护。国家指定专门部门对该级信息系统信息安全等级保护工作进行专门监督、检查。
四、信息安全等级保护工作中的角色责任和义务
2007年由公安部颁布了《信息系统安全等级保护实施指南》（信安字【2007】10号），以下简称《实施指南》。该标准详细规定了等级保护工作中涉及的各类角色和职责如下：

1. 国家管理部门
   公安机关负责信息安全等级保护工作的监督、检查、指导；国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导；国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导；涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理；国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。
2. 信息系统主管部门
   负责依照国家信息安全等级保护的管理规范和技术标准，督促、检查和指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。
3. 信息系统运营、使用单位
   负责依照国家信息安全等级保护的管理规范和技术标准，确定其信息系统的安全保护等级，有主管部门的，应当报其主管部门审核批准；根据已经确定的安全保护等级，到公安机关办理备案手续；按照国家信息安全等级保护管理规范和技术标准，进行信息系统安全保护的规划设计；使用符合国家有关规定，满足信息系统安全保护等级需求的信息技术产品和信息安全产品，开展信息系统安全建设或者改建工作；制定、落实各项安全管理制度，定期对信息系统的安全状况、安全保护制度及措施的落实情况进行自查，选择符合国家相关规定的等级测评机构，定期进行等级测评；制定不同等级信息安全事件的响应、处置预案，对信息系统的信息安全事件分等级进行应急处置。
4. 信息安全服务机构
   负责根据信息系统运营、使用单位的委托，依照国家信息安全等级保护的管理规范和技术标准，协助信息系统运营、使用单位完成等级保护的相关工作，包括确定其信息系统的安全保护等级、进行安全需求分析、安全总体规划、实施安全建设和安全改造等。
5. 信息安全等级测评机构
   负责根据信息系统运营、使用单位的委托或根据国家管理部门的授权，协助信息系统运营、使用单位或国家管理部门，按照国家信息安全等级保护的管理规范和技术标准，对已经完成等级保护建设的信息系统进行等级测评；对信息安全产品供应商提供的信息安全产品进行安全测评。
6. 信息安全产品供应商
   负责按照国家信息安全等级保护的管理规范和技术标准，开发符合等级保护相关要求的信息安全产品，接受安全测评；按照等级保护相关要求销售信息安全产品并提供相关服务。
   五、网络安全等级保护的主要工作环节
   网络安全等级保护制度分为以下五个主要的工作环节：信息系统定级、信息系统备案、安全建设整改、安全等级测评和安全监督检查（CSDN学院搜索：网络安全等级保护2.0实践体系课程）。
7. 信息系统定级。
   信息系统定级按照自主定级、专家评审、主管部分审批、公安机关审核的流程进行。信息系统运营使用单位按照《管理办法》和《网络安全等级保护定级指南》(GB/T22240-2020)，以下简称《定级指南》。自主确定信息系统的安全保护等级。为保证信息系统定级准确，可以组织专家进行评审。有上级主管部门的，应当经上级主管部门审批，跨省或全国统一联网运行的信息系统可以由其主管部门统一确定安全保护等级。最后，至公安机关审核把关，合理确定信息系统安全保护等级。
8. 信息系统备案
   第二级以上信息系统，由信息系统运营使用单位到所在地区的市级以上公安机关网络安全保卫部门办理备案手续。公安机关按照《信息安全等级保护备案实施细则》(公信安【2007】1360号)要求，对备案材料进行审核，定级准确、材料符合要求的颁发由公安部统一监制的备案证明。
9. 安全建设整改
   信息系统安全保护等级确定后，运营使用单位按照《管理办法》、《关于开展信息系统等级保护安全建设整改工作的指导意见》(公信安【2009】1429号)等有关管理规范和技术标准，选择《管理办法》要求的信息安全产品，制定并落实安全管理制度。落实安全责任，建设安全设施，落实安全技术措施。
10. 安全等级测评
    信息系统建设整改完成后，运营使用单位选择符合要求的测评机构，依据《管理办法》和《网络安全等级保护测评要求》和《网络安全等级保护测评过程指南》标准，对信息系统安全保护状况开展等级测评，按照《网络安全等级测评报告模版》(公信安【2019】)编写等级测评报告。
11. 安全监督检查
    公安机关依据《管理办法》和《公安机关信息安全等级保护检查工作规范(试行)》(公信安【2008】736号)，监督检查运营使用单位开展等级保护工作，定期对第三级以上的信息系统进行安全检查。运营使用单位应当接受公安机关的安全监督、检查、指导，如实向公安机关提供有关材料。
    各基础信息网络和重要信息系统，按照“准确定级、严格审批、及时备案、认真整改、科学测评”的要求完成等级保护的定级、备案、整改、测评等工作。公安机关和保密、密码工作部门要及时开展监督检查，严格审查信息系统所定级别，严格检查信息系统开展备案、整改、测评等工作。对故意将信息系统安全级别定低，逃避公安、保密、密码部门监管，造成信息系统出现重大安全事故的，要追究单位和相关人员的责任。