等级保护与分级保护概述
该文本主要介绍了信息安全等级保护制度与分级保护的相关内容。首先明确了计算机信息系统安全等级保护的基本概念及其作用范围，并按照重要性和危害性将信息系统划分为五级安全保护等级（从第一级到第五级）。其中第五级对国家安全造成特别严重损害需要专门监督；第四级则会对社会秩序和公共利益造成特别严重损害或对国家安全造成严重损害；第三级涉及对国家安全或公共利益的重大损害；第二级则可能导致公民权益重大损害或社会秩序受破坏；第一级仅影响公民权益但不威胁国家安全和社会秩序。
此外还介绍了国家信息安全等级保护管理办法规定的五种安全标记保护级别及其功能特点，并详细说明了信息安全等级保护的“定级、备案、整改、测评、审批”等五个规定动作及分级保护的对象范围及防护要求标准（如秘密级不低于三级要求机密级不低于四级要求等）。
一、等级保护概述
1、等级保护简介
等级保护制度：
信息系统安全等级保护旨在对国家秘密信息、法人及其关联组织、公民个人的专用信息以及公开信息进行分类管理，并根据这些信息的特点和处理需求划分为不同级别的保护措施；对于系统内部采用的信息安全产品，则需要建立相应的分级管理制度；在发生信息安全事件时，则应当按照事件的严重程度实施分级响应和处理。
等级保护的定位和作用：
作为信息安全工作的核心制度与根本国策，在国家意志中得到充分彰显。它为开展信息安全工作提供了基础方法论指导，并构成了促进信息化进程的重要基础保障。
保护等级：
将我国及网络系统的全部信息系统划分为五个安全防护级别（依据其重要属性及其遭受破坏后所导致的风险程度进行分级划分），这些级别的划分是自一级至五级依次提高的。
《信息安全等级保护管理办法》将信息系统的安全保护等级分为以下五级：
第一级：信息系统遭受破坏后会对其承载的公民、法人和其他组织的合法权益造成影响但绝不会危及国家安全和社会秩序以及公共利益相关领域的发展。对于承担第一级信息系统的运营和使用职责的单位须严格遵循国家制定的相关管理规范和技术标准来实施相应的防护措施。
第二级 ：信息系统遭受破坏后可能会造成对公民、法人和其他组织的合法权益造成重大伤害或对社会秩序和公共利益造成影响，并不会威胁到国家安全。对于该类信息系统的运营者或使用者应当按照国家有关管理规范和技术标准实施相应的防护措施。国家信息安全监管部门应对该类信息系统的安全等级保护工作提供必要的指导和支持。
第三级：信息系统遭受破坏后（改动此处词汇），会对社会秩序和公共利益造成重大影响（将"造成严重损害"改为"造成重大影响"），也可能威胁国家安全（用"可能"替代"会"）。第三级信息系统的管理单位应当按照国家相关管理规范和技术标准执行保护措施（将"运营、使用单位"改为"管理单位"并增加了具体性）。国家信息安全监管部门负责监督和检查工作（将动词组替换为名词+动词形式）
当第四级信息系统遭受攻击时（原句）可能会导致社会秩序和公共利益出现极为严重的损害（原句），也可能威胁到国家安全的严重性（原句）。第四级信息系统的运营者与使用者应当依据国家有关管理规范、技术标准与业务特定需求来采取相应的防护措施（原句）。国家信息安全监管部门必须依法对本级别的安全等级保护工作进行强制性的监督与检查（原句）。
第五级
等级保护制度：
GB17859-1999标准规定了计算机系统安全保护能力的五个等级：
用户自主保护级
- 自主管理类
- 审核机制类
- 安全标识类
- 标准化管理类
- 权限控制机制类 protecting level
1）用户自主保护级
采用数据隔离策略，在保障系统安全性的同时赋予用户自主的安全防护能力。通过实施严格的访问权限管理措施，
防止其他用户进行非法的数据读写操作，并保障系统的完整性。
在计算机信息系统中，在首次执行的过程中必须要求用户提供其身份信息并采用保护机制（如口令）进行身份验证以防止非授权用户的未经授权访问身份验证数据
2）系统审计保护级
该系统依靠登录规范、审查与安全相关的操作记录以及专用的安全隔离设备来确保用户对自身的行为 bears 责任。
本级在自主访问控制的基础上控制访问权限扩散。
基于为用户提供唯一标识的机制下，计算机信息系统可信计算基赋予了用户对其行为的责任感。该系统不仅能够提供独特的身份识别能力，还特别具备将身份标识与其所有可审计的行为进行关联的能力。
3）安全标记保护级
该可信计算基础具备系统审计保护级的所有功能。另外,该基础还包含安全策略模型、数据标记以及主体对客体强制访问控制的非形式化描述;能够准确地标记输出信息;能够消除通过测试发现的所有错误。
本级的核心特性是计算机信息系统可信计算基对所有主体及其所控制的客体（如进程、文件、段、设备）赋予强制访问权限。
为此类主体及客体标注敏感标记（分为等级分类与非等级类别），这些标记作为执行强制访问控制的基础依据。
计算机信息系统可信计算基支持由两种或更多组成部分构成的安全级别。
4）结构化保护级
基于第三方实施的自主和强制访问控制框架基础上，向各类主体及客体进行扩展。
5）访问验证保护级
当前系统的计算机信息系统可信计算基础能够满足访问监控器的需求。
作为抗篡改设计的核心组件之一，在规模上适当且具备自我检测与应对能力。
相较于第四级的安全防护层级，在策略制定上采用基于用户的设定或默认策略来实现对目标对象的全面防护。
规定动作 ：
“定级、备案、安全建设整改、等级测评、检查” 五个规定动作。
1）系统定级
2）信息系统备案
3）信息系统建设整改
二、分级保护概述
1、分级保护简介
涉密信息系统分级保护承担的对象是所有涉及国家秘密的信息系统。
重点负责的是党政机关、军队以及军工单位。
各级保密工作部门依据涉密信息系统具体的保护等级实施监督管理。
该制度旨在确保实现系统的全生命周期安全运行。
同时防止国家秘密被泄露或遭受侵害。
当前正被实施的两种分级管理的国家保密标准包括BMB17《涉及国家秘密的信息系统分级保护技术要求》和BMB20《涉及国家秘密的信息系统分级保护管理规范》。
根据其涉密信息系统处理信息的最高密级划分原则, 涉密信息系统安全分级保护可划分为秘密级、普通机要级、加强机要级（最高）以及绝密级四个等级：
（1）保密等级为秘密级时,其防护水平应达到或超过信息安全三级防护标准。（2）保密级别定为机密级时,其防护水平必须达到或超过信息安全四级防护标准。
机密级（增强）的规定：主要使用单位为一级以上的主要负责人及其所属机构，并包括国防、外交、国家安全等部门以及其他关键部门。
（3）最高机密文档的防护水平须达到或超过国家信息安全等级保护标准（五级）的要求，并不得连接至城域网或广域网。
信息安全等级保护制度下的管理流程划分为八个具体阶段；包括系统定级阶段、安全规划方案设计阶段、安全工程实施阶段、信息系统测评 phase（评估环节）、系统审批 phase（审批环节）、安全运行及维护 phase（运维保障环节）、定期评测与检查 phase（监控优化环节）以及系统隐退终止 phase（ retired stage）。
1）涉密信息系统的定级
在进行涉密信息系统的等级评估时，应综合分析资产、威胁遭受破坏后的后果以及基于使用单位的信任度等因素进行整体评估。
2）安全规划方案设计的设施与调整
在涉密信息系统设计方案中需遵循分级保护原则，并结合实际应用情况制定详细的技术方案。具体实施过程中应先对各项安全风险进行全面评估，并根据评估结果动态调整部分防护措施，在确保信息安全防护水平不发生降低的前提下实现必要的优化改造。在实际工作中如果遇到现有防护标准无法满足实际安全保障需求的情况时应视具体情况可适当降低防护标准并采取相应技术措施；而对于明显超出实际保障能力范围的安全保护要求则可在不影响系统核心功能的前提下适当放宽保障强度以达到提升系统安全性的同时减少资源消耗的目的
3）安全运行与维护
系统的运行与维护过程存在高度的不确定性以及一定的自由度，在信息安全防护体系中往往成为影响涉密信息系统正常运转的重要制约因素。主要采用系统运行管理与控制措施和变更管理与控制手段，在实时监控安全状态的基础上快速响应和处理各类安全事件，并从流程层面规范系统运行与维护工作以确保信息安全