信息安全等级保护的要求
PART I 法律依据
1、网络安全等级保护开展的法律依据
2017.6.1正式实施的《网络安全法》（2016.11.7）
第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；
（四）采取数据分类、重要数据备份和加密等措施；
第三十八条 关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。
第五十九条 网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。
关键信息基础设施的运营者不履行本法第三十三条、第三十四条、第三十六条、第三十八条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。
2、刑法修正案（九）第二百八十六条之一 （2015.8.29 修订增加 ）刑法修正案（九）第二百八十六条之一（新增
第二百八十六条之一：“网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门通知采取改正措施而拒绝执行，有下列情形之一的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金”：
（一）致使违法信息大量传播的；
（二）致使用户信息泄露，造成严重后果的；
（三）致使刑事犯罪证据灭失，严重妨害司法机关依法追究犯罪的；
（四）有其他严重情节的。
3、公安部条例
1）条例依据：《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安[2010]303 号）等
2）测评体系：信息安全等级保护测评体系（简称等保）
第十一条 通信网络运行单位应当落实与通信网络单元级别相适应的安全防护措施，并按照以下规定进行符合性评测：
（一）三级及三级以上通信网络单元应当每年进行一次符合性评测；
（二）二级通信网络单元应当每两年进行一次符合性评测。
第十二条 通信网络运行单位应当按照以下规定组织对通信网络单元进行安全风险评估，及时消除重大网络安全隐患：
（一）三级及三级以上通信网络单元应当每年进行一次安全风险评估；
（二）二级通信网络单元应当每两年进行一次安全风险评估。
第十六条 通信网络运行单位可以委托专业机构开展通信网络安全评测、评估、监测等工作。
4、工信部〔2014〕368号《关于加强电信和互联网行业网络安全工作的指导意见》：
认真落实《通信网络安全防护管理办法》（工业和信息化部令第11号）和通信网络安全防护系列标准，现需要对依托互联网开展电信增值业务的企业严格落实防护措施，做好定级备案，定期开展符合性评测和风险评估
PART II 网络安全等级保护制度（信息安全等级保护制度）
1、概述
a）基本要求：
- 根据信息系统在国家安全、经济建设、社会生活中的重要程度；
- 遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度；
- 将信息系统划分为不同的安全保护等级并对其实施不同的保护和监管。
b）原则：
谁拥有谁负责、谁运行谁负责；
自主定级、自主保护、监督指导
c）分级
一共5级：
- 第一级为自主保护级，主要对象为一般的信息系统，其受到破坏后，会对公民、法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建设和公共利益。
- 第二级为指导保护级，主要对象为一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成一定损害。
- 第三级为监督保护级，主要对象为涉及国家安全、社会秩序、经济建设和公共利益的信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成较大损害。
- 第四级为强制保护级，主要对象为涉及国家安全、社会秩序、经济建设和公共利益的重要信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成严重损害。
- 第五级为专控保护级，主要对象为涉及国家安全、社会秩序、经济建设和公共利益的重要信息系统的核心子系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成特别严重损害。
备注：
国家安全，一般可以参考保密要求来界定；公众影响（社会秩序、公共利益）主要指国家安全、社会稳定、机构名誉、工作秩序等，业务影响关联到比如政务系统、银行系统、运营商通信系统、广播电视系统等等公众社会生活的重要业务系统；资产损失（经济建设）很清楚，就是钱和资产了（援引：《北京市国家机关信息安全事件定级指南2005（试行）》）
