2027高项专题储备·原课程第13讲：等级保护2.0：定级依据与项目落地

本文取自2027版高项72讲课程第13讲，编号仅表示原课程位置。当前作为免费专题储备，暂不安排公众号或博客发布日期；文中的上下讲、作业和封面数字均沿用原课程编号。

本次全文免费公开。 本文保留完整课程、练习和解析，供同学按顺序学习。

【虚构案例声明】 本课程中的"美好家园"物业集团、"清华园社区"、"智慧邻里2.0"项目及全部人物均为教学所用的虚拟项目与虚构人物，详见第 01 讲首次声明。

一、上节作业讲评

1.1 刘副主任的三个问题

上一讲的核心作业：数据治理小组第一次开会，街道办刘副主任提出，清华园涉及人脸等生物识别信息和业主个人信息，集团平台上线前必须通过网络安全等级保护测评，否则街道不给二期的社区服务对接。周总问你三个问题：等级保护是什么、我们该定几级、定级以后要做什么。

先给你一个一分钟版本的答案，本讲后面再逐条展开。

等级保护是什么：国家把信息系统、通信网络设施和数据资源按"被破坏以后会伤害谁、伤害到什么程度"分成五个等级，等级越高，要求的安全保护能力越强。这不是行业自律，是《网络安全法》确立的制度，教材 4.2.3 节专门讲。

该定几级：定级看两件事，一是被破坏后侵害的对象是公民法人的合法权益、还是社会秩序和公共利益、还是国家安全；二是侵害程度是一般损害、严重损害还是特别严重损害。清华园一期单小区系统，主要影响业主个人权益，二级的可能性大；集团平台服务五十个小区、对接街道的社区服务，涉及社会秩序和公共利益，三级的可能性大。这些只能是待论证的初步假设。运营、使用单位应结合对象边界、被侵害客体和侵害程度提出等级，履行适用的专家评审、主管部门审核及备案审核程序；小区数量或有人脸数据都不能单独决定等级。

定级以后做什么：按定下来的等级，对照 GB/T 22239 基本要求补齐技术和管理两方面的差距，再请测评机构做等级测评，测评通过才算过关。这件事要写进二期的工作分解结构和预算，不能上线以后再补。

周总听完会问第四个问题："要多少钱、多长时间？"这个问题本讲第七节回答。

二、一道绕不过去的门：本讲目标

2.1 为什么项目经理必须懂等保

第 7 讲讲了信息安全的技术，防火墙、入侵检测、加密、态势感知，那是"能不能防住"。第 12 讲讲了数据安全的管理，等级划分、访问控制、安全审计，那是"管不管得住"。本讲讲的是第三层："国家认不认"。运营者应落实等级保护义务，并结合对象、等级、行业和接入要求安排备案、建设整改及测评。不能把所有系统都概括成必须取得同一种“上线许可证”。刘副主任所说“不通过不对接”在这里是虚构项目的接入条件，不能推广为所有项目的全国统一规则。

高项考试对这一节的要求不高也不低：CIA 三要素几乎年年考，等保五级和能力四级 2025、2026 连续两年考，信息安全管理体系的活动清单偶尔考"不属于"。但对项目经理的实际工作来说，这一节是模块二里最贵的一节，等保整改和测评的投入，往往占到项目安全预算的大头。

本讲要拿下三件事：

第一，教材 4.2.3 节的三块内容：CIA 三要素及其局限性、信息安全管理体系十一项活动与安全管理机构五步、网络安全等级保护的五级划分与四级能力。

第二，等保背后的三部法律和它们的生效日期，以及 2026 年起《网络安全法》修订的变化。

第三，把等保变成"智慧邻里2.0"集团平台的一份定级推演和一个工作包，回答周总"多少钱多长时间"的问题。

2.2 本讲任务地图

三、核心内容精讲：CIA 三要素与信息安全管理体系

3.1 CIA 三要素与它的局限

教材口径：CIA 三要素是保密性、完整性和可用性三个词的缩写。CIA 是系统安全设计的目标。保密性、完整性和可用性是信息安全最为关注的三个属性，因此这三个特性也经常被称为信息安全三元组。

第 7 讲已经按教材 2.1.4 节把三个属性的定义讲透了，这里补 4.2.3 节新增的两句话。

第一句，广义的信息安全有五个属性。教材口径：从广义上来说，凡是涉及网络上信息的保密性、完整性、可用性、真实性和可核查性的相关技术和理论都属于信息安全的研究领域。三要素之外的真实性和可核查性，就是第 7 讲讲数字签名时说的"来源可信"和"不可抵赖"，考试出"不属于 CIA 三要素"时，真实性、可核查性、不可抵赖性都是正确答案的候选。2023 年下半年第 1 批第 30 题的答案就是"不可抵赖性"，2024 年上半年第 1 批第 69 题直接问三要素是哪三个，答案是保密性、完整性、可用性。

第二句，CIA 有局限。教材口径：CIA 关注的重心在信息，虽然这是大多数信息安全的核心要素，但对于信息系统安全而言，仅考虑 CIA 是不够的。教材说 CIA"可以作为规划、实施量化安全策略的基本原则，但是我们也应该认识到它的局限性"。这句话是判断题的常客，把"CIA 涵盖了信息系统安全的全部要求"作为错误选项。为什么不够？因为 CIA 说的是信息的三个属性，没说人、组织、制度、法律，而等级保护恰恰是从"组织和制度"这一头来管安全的。

教材第 4 章课后练习第 5 题问"确保所传输的数据只被其预定的接收者读取"是哪个属性，答案是保密性。这道题和第 7 讲讲的三属性原句对应：保密性是不被未授权者知晓。

3.2 信息安全管理体系十一项活动

教材口径：信息系统安全管理是对一个组织机构中信息系统的生存周期全过程实施符合安全等级责任要求的管理，主要包括十一项：落实安全管理机构及安全管理人员，明确角色与职责，制定安全规划；开发安全策略；实施风险管理；制订业务持续性计划和灾难恢复计划；选择与实施安全措施；保证配置、变更的正确与安全；进行安全审计；保证维护支持；进行监控、检查，处理安全事件；安全意识与安全教育；人员安全管理。

注意定义里那句"符合安全等级责任要求"，信息安全管理和等级保护在教材里是一体的：先定等级，再按等级的责任要求来管。

十一项怎么记？按"人、策、险、备、措、变、审、维、监、教、员"十一个字，或者按项目经理的语言分成四组：

第一组是"建班子、定方向"：落实机构和人员、开发安全策略。这是第 9 讲治理的思路，安全也要先有人负责。

第二组是"算风险、留后路"：实施风险管理、制订业务持续性计划和灾难恢复计划。这两项和第 11 讲的服务连续性管理接上，风险管理在模块五第 47 讲展开。

第三组是"上手段、管改动"：选择与实施安全措施、保证配置和变更的正确与安全。第 7 讲的技术手段在这里落地，第 11 讲的变更管理和配置管理在这里有了安全的要求。

第四组是"查、修、盯、教、管人"：安全审计、维护支持、监控检查处理事件、安全意识与教育、人员安全管理。第 7 讲作业里小陈周日晚上导出业主联系方式那件事，就落在"监控、检查，处理安全事件"和"人员安全管理"两项上。

十一项活动在本课程里的落点，我给你一张对照表，复习时按表回看：

考试出这一段，多半是"不属于信息系统安全管理主要内容的是"，混进来的错误选项常常是纯技术活动，比如"部署防火墙""开发加密算法"。判断方法：十一项全是管理动作，带"管理、计划、策略、审计、教育"这类词；纯技术动作不在其中。

3.3 安全管理机构怎么建：五个步骤

教材口径：在组织机构中应建立安全管理机构，不同安全等级的安全管理机构逐步建立自己的信息系统安全组织机构管理体系，参考步骤包括五步：配备安全管理人员；建立安全职能部门；成立安全领导小组；主要负责人出任领导；建立信息安全保密管理部门。

五步的细节各有一个考点：配备安全管理人员，要求"管理层中应有一人分管信息系统安全工作"，并配备专职或兼职的安全管理人员；建立安全职能部门，可以新建也可以明确一个现有部门监管信息安全工作作为其关键职责之一；成立安全领导小组，对覆盖全国或跨地区的组织机构，要在总部和下级单位建立各级领导小组，基层至少要有一位专职安全管理人员；主要负责人出任领导，由组织机构的主要负责人出任信息系统安全领导小组负责人；建立信息安全保密管理部门，或者对原有保密部门明确信息安全保密管理责任。

美好家园照这五步走：赵副总分管信息系统安全，信息部配一名专职安全管理员；信息部明确为安全职能部门；集团成立信息安全领导小组，五十个小区所在的每个区域公司设分组，每个小区至少一名专职或兼职安全员；周总出任领导小组负责人；集团办公室的保密职责扩展到信息安全保密。你会发现，这个小组和第 9 讲的 IT 治理委员会、第 12 讲的数据治理小组，成员高度重叠。实际操作里三个组可以合署，一套人马三块牌子，但三块牌子的职责要分清：治理委员会管方向和投资，数据治理小组管数据标准和质量，安全领导小组管安全等级和责任。

四、核心内容精讲：网络安全等级保护

4.1 从等保 1.0 到等保 2.0

教材口径：国家市场监督管理总局、国家标准化管理委员会宣布网络安全等级保护制度 2.0 相关的若干国家标准正式发布，并于 2019 年 12 月 1 日开始实施。

教材把 1.0 和 2.0 的差别说得很清楚。等保 1.0 体系"以信息系统为对象，确立了五级安全保护等级，并从信息系统安全等级保护的定级方法、基本要求、实施过程、测评工作等方面入手"，形成了一套涵盖制度与技术要求的规范体系。等保 2.0 的变化是，教材口径：等保 2.0 将"信息系统安全"的概念扩展到了"网络安全"，其中所谓"网络"是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统。

这段有两个考点。一是日期，2019 年 12 月 1 日；二是对象的扩展，从"信息系统"到"网络"，而"网络"的定义很宽，云平台、物联网、大数据平台都算。清华园一期的门禁、停车、报修三套系统加上云上的集团平台，按 2.0 的口径都是等保对象，不能说"我们只是个物业系统不用做等保"。

4.2 定级指南：五级怎么分

教材口径：GB/T 22240《信息安全技术 网络安全等级保护定级指南》定义了等级保护对象，为网络安全等级保护工作直接作用的对象，主要包括信息系统、通信网络设施和数据资源等。

三类对象里的"数据资源"值得注意：人脸库、业主主数据本身就是等保对象，不只是承载它们的系统。第 12 讲讲的数据安全等级划分，和这里接上了。

定级依据什么？教材口径：根据等级保护对象在国家安全、经济建设、社会生活中的重要程度，以及一旦遭到破坏、丧失功能或数据被篡改、泄露、丢失、损毁后，对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的侵害程度等因素。两个维度：侵害谁，侵害多重。五级的划分教材原文如下，我把它排成表：

这张表的记法是"三个对象、三个程度、错位上升"。三个对象从低到高：公民法人权益、社会秩序公共利益、国家安全。三个程度从轻到重：损害（危害）、严重、特别严重。规律是：对低一级对象的严重侵害，和对高一级对象的一般侵害，落在同一个等级。第二级是"公民权益严重或特别严重"等于"社会秩序一般危害"；第三级是"社会秩序严重"等于"国家安全一般"；第四级是"社会秩序特别严重"等于"国家安全严重"；第五级只剩"国家安全特别严重"。

考试给一段侵害描述让你判级，先找对象，再找程度，对表。比如"某系统被破坏后会对社会秩序和公共利益造成严重危害"，对象是社会秩序，程度是严重，第三级。

4.3 基本要求：四级安全保护能力

教材口径：GB/T 22239《信息安全技术 网络安全等级保护基本要求》规定了不同级别的等级保护对象应具备的基本安全保护能力。

四级能力教材各写了一段，第五级"略"。我把每级拆成"防谁、防什么灾、能不能发现、坏了怎么恢复"四个要素排成表：

四级的递进看四个词的升级：威胁源从个人到小型组织到有组织团体到国家级别；灾难从一般到较为严重到严重；发现能力从无到发现漏洞到及时监测；恢复从部分到较快绝大部分到迅速全部。第三级和第四级前面多了"在统一安全策略下"，这是三级以上的标志。

本地收录的2026年上半年第1批回忆版第4题给出“防御免受来自外部发起的恶意攻击”的简写，回忆答案为第三级。但仅“外部”一词不足以区分第二级与第三级；还应核对是否有组织、资源与恢复能力等完整条件。教材给出的第三级特征是"外部有组织的团体"是第三级的原文。2026 年考了能力等级，2027 年很可能换成考定级的五级，两张表都要记。

再看一道更活的题。2025 年上半年第 6 题：某高校教务系统定级三级，网络升级改造时哪个做法正确？四个选项分别是把标注了设备型号和地址分配的网络拓扑图共享到内部技术群、对无线接入设备放宽身份鉴别、部署入侵检测系统来控制应用层协议命令、选用有冗余处理能力的设备并按历史流量规划带宽。答案是最后一个。这道题不考条文，考的是你有没有三级的安全思维：拓扑图是敏感信息不能随意共享，所有接入设备都要一致地做身份鉴别，入侵检测系统只监测告警不做控制（第 7 讲的决策表），冗余和带宽规划保障可用性。这类题的答法是：把三级"在统一安全策略下、能及时发现监测、较快恢复"这三句话当尺子，逐个选项量。

4.4 定级与能力判断练习

考试对这两张表的考法只有一种：给描述，判等级。我给你八个描述，先自己判，再看答案。前四个判定级，后四个判能力。

1. 某小区业主自建的邻里二手交易小程序，被破坏后部分业主的交易信息泄露，不涉及社会秩序。（对象是公民权益，程度一般，第一级）
2. 某市医保结算系统，被破坏后全市参保人无法结算，社会秩序受到严重影响。（对象是社会秩序公共利益，程度严重，第三级）
3. 某企业内部办公系统，被破坏后员工个人信息大量泄露，对员工权益造成严重损害，但不影响社会秩序。（对象是公民权益，程度严重，第二级）
4. 某省级电力调度系统，被破坏后对国家安全造成严重危害。（对象是国家安全，程度严重，第四级）
5. 系统能防护来自外部小型组织的攻击，能发现重要漏洞和处置事件，损害后一段时间内恢复部分功能。（第二级安全保护能力）
6. 系统在统一安全策略下能防护国家级别敌对组织的攻击，损害后迅速恢复所有功能。（第四级安全保护能力）
7. 系统只能防护个人发起的攻击和一般自然灾难，损害后能恢复部分功能。（第一级安全保护能力）
8. 系统在统一安全策略下能防护外部有组织团体的攻击，能及时发现监测攻击行为，损害后较快恢复绝大部分功能。（第三级安全保护能力）

两个判断题陷阱也提前给你。第一个，"等级保护对象只包括信息系统"，错，定级指南写的是信息系统、通信网络设施和数据资源。第二个，"第三级安全保护能力要求在自身遭到损害后迅速恢复所有功能"，错，那是第四级，第三级是较快恢复绝大部分功能。这两个陷阱都是把相邻等级的措辞互换，防的办法就是把表里的动词记准：一级恢复部分、二级一段时间内恢复部分、三级较快恢复绝大部分、四级迅速恢复所有。

标准适用核验（2026年10月25日）。 国家标准平台列示基本要求现行版本和定级指南现行版本。前者用于核基本保护要求，后者用于核对象与等级。标准名称带“推荐性”不等于等级保护法律义务可自愿取消；反过来，也不能只凭标准编号就认定某个具体系统必须三级。项目还需结合行业和属地适用要求。

4.5 三部法律的底座

等级保护不是标准自己说了算，它的效力来自法律。教材第 24 章讲了两部，我补第三部：

两个提醒。第一，《网络安全法》在 2025 年 10 月 28 日完成首次修订，2026 年 1 月 1 日起施行，强化了法律责任并新增了人工智能和算法安全方面的监管内容；作答须先辨别题干问原法施行还是修正决定施行，不能看到“生效日期”四个字就忽略版本。核验来源：国家网信办公布的修改决定。第二，三部法律的分工：《网络安全法》管网络和系统，等级保护制度由它确立；《数据安全法》管数据，第 12 讲的数据分类分级由它要求；《个人信息保护法》管个人信息，人脸门禁的合法性由它约束。三部法律的详细条款和著作权、招投标法规放在第 65 讲。

五、核心内容精讲：智慧邻里2.0 的等保工作

5.1 集团平台定级推演

按定级指南的两个维度，把"智慧邻里2.0"拆开推演。这是一份你带去定级评审会的草稿，不是结论，结论要评审会和属地公安机关认可。

对象一：清华园一期系统。 门禁、停车、报修三套系统，服务 1860 户 5800 人。被破坏后的后果：门禁失灵业主进不了门，人脸数据泄露侵犯业主隐私，停车缴费数据被篡改造成财产损失。侵害的对象主要是公民的合法权益，程度可以到严重（人脸泄露不可逆）。若已论证为公民合法权益受到严重损害而不涉及更高客体，按教学条件可初拟第二级，不能仅因户数就下结论。

对象二：集团数字化平台。 服务五十余个小区、几十万业主，二期起对接街道的社区服务，人脸库集中存储。被破坏后的后果：几十万人的门禁同时失效、大规模个人信息泄露、街道政务服务中断。这已经不只是公民个人权益，而是"社会秩序和公共利益"受到影响，程度可能到严重。对表，第三级的可能性大。

对象三：人脸数据资源。 按定级指南，数据资源本身是等保对象。人脸是《个人信息保护法》的敏感个人信息，集中存储几十万条，泄露后果不可逆。是否单独作为定级对象，应先判断其独立业务、责任主体和资源边界；不得因“人脸”二字就自动拆成另一个对象，也不能直接套用平台等级。数据本身的分类分级与系统等级保护是相互衔接的两项工作。

推演到这里，你给周总的话是："先形成一期系统和集团平台的对象边界、影响分析与初步定级材料；可以比较二级和三级要求的投入差异，但建设基线须以完成适用程序后的定级结果确定。人脸库是否单独定级另行论证。三级意味着要在统一安全策略下，能及时发现和监测攻击，出了事较快恢复绝大部分功能。第 7 讲那套数据中心架构，正是照着这个能力设计的。"

这里我要提醒一句分寸。2026 版课程里我曾经把定级写得很肯定，还给了备案时限、材料清单、设备型号。2027 版我把那些删了，原因有两个：一是教材只讲到定级五级和能力四级，流程细节不在考试范围；二是备案、测评的具体要求各地公安机关有差异且会更新，写死了反而误导你。项目经理该做的，是带着推演草稿去问属地的网络安全保卫部门和有资质的测评机构，而不是背一份两年前的清单。

5.2 等保工作怎么进项目计划

实践中，等级保护工作一般按定级、备案、建设整改、等级测评、监督检查几个环节推进。这几个环节不出自教材，考试不考它们的顺序，我讲它是为了让你把等保放进二期的计划里。每个环节的具体要求以属地公安机关和测评机构的最新规定为准。

把它变成项目动作：

第一，在工作分解结构里单设"等保合规"工作包。 二期的范围说明书里，除了功能，要写明“按经确认的定级结果落实适用的建设、整改和测评要求”，避免把尚未确认的三级写成既定验收事实，工作分解结构里单列一个工作包，下面是定级评审、备案、差距分析、技术整改、管理制度建设、测评、整改复测七项活动。第 32 讲范围管理会讲怎么分解。

第二，把测评放在上线之前，不是之后。 刘副主任说"不通过不对接"，意味着等级测评是二期上线的前置条件。进度计划里，测评和整改复测要排在试运行之前，并且留出整改复测的缓冲，根据已识别的差距和整改风险估算缓冲，不能假设所有项目首测都通不过。第 34 讲进度管理会讲关键路径，是否处于关键路径要按活动依赖和工期计算确认。

第三，预算里单列安全投入。 第 7 讲给周总的安全预算表里，合规与运营占了约两成，其中就含等级保护测评。技术整改的投入取决于差距分析的结果：第 7 讲那套架构如果已经按三级设计，整改主要是补日志留存、补管理制度、补应急演练；如果一期是按"能用就行"建的，整改就是一笔真金白银。所以定级要早，差距分析要早，晚了就是变更。

第四，管理制度是等保里最容易被低估的一半。 等保基本要求分技术和管理两大类，第 7 讲讲的是技术，本讲 3.2 节的十一项活动和 3.3 节的五步就是管理那一半的骨架。安全策略、风险评估报告、业务持续性和灾难恢复计划、变更和配置的安全记录、审计记录、安全培训记录，这些文档测评时都要看。第 10 讲说过"审计查的是痕迹"，等保测评同样如此。

周总的第四个问题"多少钱多长时间"，现在可以答了：钱看差距分析，时间看测评排期，两者都要在二期立项时就启动，我建议把定级评审会开在二期章程批准后的第一个月。

5.3 同一件事讲给三种人听

第 8 讲讲过"一张架构图讲给三种人听"，等保也一样，三个人三种讲法。

给周总讲，只讲"资格"和"账"：不过等保测评，平台没有对接街道服务的资格，二期一半的价值落不了地；投入分两块，技术整改看差距分析，测评费按等级和系统数量算，都要在立项时列进预算，晚了就是变更加钱。周总要的是一句话结论，你给他“先核定级、满足接入条件、预算单列”的项目安排。

给李经理讲，只讲"清华园要配合什么"：一期系统要补的多半是管理动作，安全制度、岗位职责、培训记录、应急演练，这些要清华园的人参与；测评机构进场会访谈客服和运维人员，问他们知不知道制度，所以培训不能走过场。李经理开口会问"要不要我们出钱"，你答"一期整改在集团预算里，清华园出人不出钱"。

给刘副主任讲，只讲"依据"和"进度"：集团平台先完成对象和影响分析，三级只是待论证的方案，依据是定级指南对受侵害客体与程度的判断标准，定级评审会请街道派人参加；测评安排在试运行前，测评报告出来第一时间报街道。刘副主任怕担责，你给他的是"程序合规、有据可查、进度可控"，他就有了向上汇报的材料。

三种讲法，教材内容一个字没变，变的是取哪一句、用谁的语言。等保这件事，技术上是安全部门的活，组织上是项目经理的活，你的价值就在把它翻译给不同的人并推动他们动起来。

5.4 2026 年案例题的安全度量接口

2026 年上半年第 1 批案例题讲了一个市级人工智能市政规划数据安全监管平台项目：例会上提到过"数据脱敏不彻底""人工智能识别模型存在被攻击漏洞""第三方接口不稳定"，团队把问题派给开发就没下文了；整个过程跟踪了进度、成本、功能完成率，但没有监控安全相关的度量指标；第三次迭代交付前，第三方检测机构发现大量未脱敏隐私数据和模型可被攻击，项目暂停整改，延期两个月、多花两百多万。三问分别是从风险管理角度提改进方案、结合度量绩效域设计至少两个安全类度量指标（含定义、计算方式、用途）、结合不确定性绩效域说明如何应对人工智能系统的模糊性。

这道题和本讲的接口在第二问。项目经理跟踪进度成本却不跟踪安全，就是把等保当上线后的事。安全度量指标可以这样设计：一是敏感数据脱敏覆盖率，等于已完成脱敏的敏感字段数除以敏感字段总数，用于每个迭代交付前判断是否满足脱敏要求；二是模型对抗测试通过率，等于对抗攻击测试中防御成功的用例数除以测试用例总数，用于判断模型是否具备上线所需的抗攻击能力。再补一个和等保直接相关的：等保差距整改完成率，等于已整改完成的差距项数除以差距分析发现的总项数，用于测评前判断能不能进测评。三个指标的写法都是"分子除以分母加用途"，和第 12 讲数据准确性指标是一个套路。

案例题对绩效域的考法，模块七讲绩效域时会系统训练。这里你先记住一个判断：安全度量指标必须在项目执行中就跟踪，等第三方检测发现才补救，就是这道题里那个项目经理的错误。

六、考点锚定

本讲对应教材第 4 版 4.2.3 节信息安全管理，法律部分对应第 24 章 24.1.7 和 24.1.8。近年真题落点如下：

本讲考法总结，五句话：

1. CIA 是保密性、完整性、可用性，广义五属性再加真实性和可核查性；CIA 是系统安全设计的目标，但有局限，仅考虑 CIA 对信息系统安全不够。
2. 信息系统安全管理是"生存周期全过程实施符合安全等级责任要求的管理"，十一项活动全是管理动作；安全管理机构五步：配人员、建部门、成立领导小组、主要负责人任领导、建保密管理部门。
3. 等保 2.0 标准 2019 年 12 月 1 日实施，对象从信息系统扩展到网络；定级指南 GB/T 22240，对象是信息系统、通信网络设施和数据资源；基本要求 GB/T 22239。
4. 定级五级看"侵害谁、多重"错位上升：公民权益一般损害是一级，公民权益严重或社会秩序一般是二级，社会秩序严重或国家安全一般是三级，社会秩序特别严重或国家安全严重是四级，国家安全特别严重是五级。
5. 能力四级看"威胁源、灾难、发现、恢复"四词升级：个人到小型组织到有组织团体到国家级别；三级以上在统一安全策略下，三级能及时发现监测并较快恢复绝大部分功能。

七、论文跨界一段

等级保护在论文里最适合放进风险管理和整合管理。如果论文题是"论信息系统项目的风险管理"，可以这样接：

本项目在识别风险阶段，我把网络安全等级保护合规列为最高优先级的合规风险。平台集中存储数十万业主的人脸等敏感个人信息并对接街道政务服务，按定级指南推演应按第三级保护对象准备，而一期系统按"可用即可"建设，与第三级要求存在明显差距，若在上线后才启动测评，将面临整改返工和无法对接政务服务的双重后果。我在项目章程批准后的第一个月组织了定级评审，在工作分解结构中单设等保合规工作包，将差距分析、技术整改、管理制度建设和等级测评排入关键路径并预留整改复测缓冲，安全投入在预算中单列。项目最终在试运行前通过了等级测评，合规风险从"高概率高影响"降为已关闭。

一段话，把定级推演、工作包、关键路径、预算四个动作变成了风险应对的证据。第 47 讲风险管理会把这段接下去。

八、课后作业

第 1 题，联系生活（对应定级五级）。 找三个你日常使用的系统：你们单位的考勤系统、你常用的手机银行、你所在城市的政务服务应用。用"侵害谁、多重"两个维度，各推演一个等级，并说明理由。不要求答案唯一，要求推演过程用教材的两个维度。

第 2 题，案例思考（对应能力四级与三级做法）。 假设经适用程序已确认一期为第二级、集团平台为第三级，仅在这个教学条件下比较两级要求。请你列出从二级升到三级，"防谁、防什么灾、发现处置、恢复"四个要素各要补什么能力，并对照第 7 讲的数据中心架构，说出至少三项已经具备、两项需要补充的措施。

第 3 题，高级项目经理视角（核心作业，下一讲讲评）。 信息安全领导小组成立后，赵副总提了一个问题："治理委员会、数据治理小组、安全领导小组，三个组的成员一大半是同一批人，每个月开三次会，区域公司总经理都在抱怨。集团到底要一个什么样的信息化组织？"周总让你两周内拿一份集团信息化组织方案。请你回答：三个组能不能合并、怎么合并；集团信息部和区域公司之间信息化的职责怎么分；这份方案应该放在集团的什么战略文件里。提示：下一讲讲组织级战略、组织架构和人财知通用管理，你先用第 9 讲的"治理定方向、管理定过程"想。

九、老孙总结与下讲预告

三个心智模型：

模型一：安全有三层，技术、管理、国家认可。 考点是 CIA 三要素及局限、十一项管理活动、机构五步。高项认知是防得住、管得住、还要过得了关。

模型二：定级看侵害谁多重，能力看防谁恢复多少。 考点是定级五级的错位上升和能力四级的四词升级。高项认知是带着推演草稿去评审会，结论交给评审会和属地公安机关。

模型三：等保是一个工作包，不是一个盖章。 考点是等保 2.0 的日期和对象扩展、三部法律的生效日期。高项认知是单设工作包、测评前置、预算单列、管理制度和技术各占一半。

下讲预告： 第 14 讲《"美好家园"集团的顶层设计与通用管理》。今天作业里赵副总问"集团到底要一个什么样的信息化组织"，答案在教材第 23 章组织通用管理：组织战略怎么定、组织架构怎么设、人力资源、财务和知识怎么管。这一章 2024 年上半年第 1 批第 70 题考过战略实施回顾里的创新改进要素，2025 年上半年第 8 题考过数字化转型组织架构的四个层次。三个小组怎么合、集团和区域怎么分，下一讲用教材给出答案。

文中的下讲预告对应原课程内容顺序，专题公开日期另行安排。

#高项 #信息系统项目管理师 #软考