GB/T 22240-2020 信息安全技术 网络安全等级保护定级指南

犐犆犛３５．０４０

犔８０

／—

犌犅犜２２２４０２０２０

／—

ＧＢＴ２２２４０２００８

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狋犲犮犺狀狅犾狅—

狔犵狔

犆犾犪狊狊犻犳犻犮犪狋犻狅狀狌犻犱犲犳狅狉犮犾犪狊狊犻犳犻犲犱狉狅狋犲犮狋犻狅狀狅犳犮犫犲狉狊犲犮狌狉犻狋

犵狆狔狔

２０２００４２８２０２０１１０１

／—

犌犅犜２２２４０２０２０

目次

前言…………………………Ⅲ

引言…………………………Ⅳ

１范围………………………１

２规范性引用文件…………………………１

３术语和定义………………１

４定级原理及流程…………………………２

４．１安全保护等级………………………２

４．２定级要素……………２

４．２．１定级要素概述…………………２

４．２．２受侵害的客体…………………２

４．２．３对客体的侵害程度……………３

４．３定级要素与安全保护等级的关系…………………３

４．４定级流程……………３

５确定定级对象……………４

５．１信息系统……………４

５．１．１定级对象的基本特征…………４

／………………

５．１．２云计算平台系统４

５．１．３物联网…………………………４

５．１．４工业控制系统…………………４

５．１．５采用移动互联技术的系统……………………４

５．２通信网络设施………………………４

５．３数据资源……………５

６确定安全保护等级………………………５

６．１定级方法概述………………………５

６．２确定受侵害的客体…………………６

６．３确定对客体的侵害程度……………６

６．３．１侵害的客观方面………………６

６．３．２综合判定侵害程度……………６

６．４初步确定等级………………………７

７确定安全保护等级………………………８

８等级变更…………………８

参考文献………………………９

Ⅰ

／—

犌犅犜２２２４０２０２０

前言

本标准按照／—给出的规则起草。

ＧＢＴ１．１２００９

／—《》，

本标准代替ＧＢＴ２２２４０２００８信息安全技术信息系统安全等级保护定级指南与

／—相比，主要技术变化如下：

ＧＢＴ２２２４０２００８

———、，、、

修改了等级保护对象信息系统的定义增加了网络安全通信网络设施数据资源的术语和定

义（见第章，年版的第章）；

３２００８３

———（、）；

增加了通信网络设施和数据资源的定级对象确定方法见５．２５．３

———（）；

增加了特定定级对象定级说明见第章

７

———（，）。

修改了定级流程见４．４２００８年版的５．１

。。

请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别这些专利的责任

本标准由全国信息安全标准化技术委员会（／）提出并归口。

ＳＡＣＴＣ２６０

：、（）、、

本标准起草单位公安部第三研究所亚信科技成都有限公司阿里云计算有限公司深圳市腾讯

、、。

计算机系统有限公司启明星辰信息技术集团股份有限公司审计署计算机技术中心

：、、、、、、、、、、

本标准主要起草人曲洁尚旭光黄顺京李明黎水林张振峰郭启全葛波蔚祝国邦陆磊

、、、、、、、、、、、。

袁静任卫红朱建平马力李升刘东红孙中和王欢沈锡镛杨晓光马闽陈雪秀

本标准所代替标准的历次版本发布情况为：

———／—。

ＧＢＴ２２２４０２００８

Ⅲ

／—

犌犅犜２２２４０２０２０

引言

《》，、、、

为了配合中华人民共和国网络安全法的实施同时适应云计算移动互联物联网工业控制和大

、，／—，

数据等新技术新应用情况下网络安全等级保护工作的开展需对ＧＢＴ２２２４０２００８进行修订从等

级保护对象定义和定级流程等方面进行补充、细化和完善，形成新的网络安全等级保护定级指南标准。

与本标准相关的国家标准包括：

———／信息安全技术网络安全等级保护基本要求；

ＧＢＴ２２２３９

———／信息安全技术网络安全等级保护实施指南；

ＧＢＴ２５０５８

———／信息安全技术网络安全等级保护安全设计技术要求；

ＧＢＴ２５０７０

m

———／信息安全技术网络安全等级保护测评要求；

ＧＢＴ２８４４８

载

———／信息安全技术网络安全等级保护测评过程指南。

ＧＢＴ２８４４９o

下

c

.

供

w

提

q

q

k

w.

w

w

七

七

库

Ⅳ

／—

犌犅犜２２２４０２０２０

信息安全技术

网络安全等级保护定级指南

１范围

本标准给出了非涉及国家秘密的等级保护对象的安全保护等级定级方法和定级流程。

本标准适用于指导网络运营者开展非涉及国家秘密的等级保护对象的定级工作。

２规范性引用文件

m

载

o

。，

下列文件对于本文件的应用是必不可少的凡是注日期的引用文件仅注日期的版本适用于本文

下

c

。，（）。

件凡是不注日期的引用文件其最新版本包括所有的修改单适用于本文件

.

供

—计算机信息系统安全保护等级划分准则

ＧＢ１７８５９１９９９