等级保护分为几个等级

```html

等级保护一共分五级。等级这事很多人记成三级或者四级，保护其实《信息安全技术 网络安全等级保护基本要求》里写得明明白白，等级从第一级到第五级，保护挨个排下来。等级我见过不少刚入行的保护朋友，一开口就说“等保三级”，等级好像三级就是保护天花板了。不是等级。三级只是保护大多数企业系统要过的坎，往上还有两级，等级只是保护平常碰不到。

第一级叫“用户自主保护级”。等级听着挺绕口，保护说白了就是等级你自己管好自己。系统被破坏了，影响的是公民、法人和其他组织的合法权益，但不损害社会秩序和公共利益。举个例子，我早年给一家小咖啡店弄过会员管理系统，存了几百个手机号和积分。这种系统按第一级备案就行，公安机关也不怎么查。但注意，第一级也要做定级备案，只是流程简单到填张表就完事。很多小老板压根不知道这回事，以为没数据就不管了。

第二级是“系统审计保护级”。到了这一级，破坏后果就上升到“严重损害公民、法人和其他组织的合法权益”，或者“损害社会秩序和公共利益”。比如一个县级医院的挂号系统，或者一个普通中学的教务管理平台。我帮一个区图书馆做过等保二级，他们的借阅系统被黑了，读者信息泄露，虽然不至于影响社会稳定，但几千人的姓名、身份证号流出去，也够喝一壶的。二级要求里明确有审计功能，谁登录了、改了什么，都得留痕。很多单位卡在这一级，因为日志保存六个月这条就做不到——服务器硬盘不够，或者压根没开日志。

第三级是“安全标记保护级”。这是绝大多数互联网公司和政府系统的标配。破坏后果是“严重损害社会秩序和公共利益”，或者“损害国家安全”。注意，这里出现了“国家安全”四个字。所以像省级政务平台、大型电商、银行核心系统、三甲医院的HIS系统，全是三级。我参与过一个市级医保系统的等保测评，光测评项就三百多条，从物理机房的防盗门厚度到应用层的SQL注入防护，查得底朝天。三级要求里有一条硬杠杠：必须做异地备份。很多公司卡在钱上——异地机房租金一年几十万，老板拍桌子说“我数据丢了认栽”，但等保不过，业务就上不了线。去年有个做在线教育的客户，因为三级没过，应用商店直接下架，急得连夜找我改架构。

第四级是“结构化保护级”。破坏后果是“特别严重损害社会秩序和公共利益”，或者“严重损害国家安全”。这一级普通人基本接触不到。比如国家电网的调度系统、四大行的核心交易系统、省级公安的警务云。我有个前同事在银行做等保，他说四级测评要请国家级的测评机构，光现场检查就得两周，连机房空调的冗余管路都要查。四级要求“强制访问控制”，意思是每个数据包都要打安全标签，不同密级的数据不能混着跑。这成本高得吓人，一套下来没几千万打不住。所以全国过四级的系统，掰着手指头数得过来。

第五级是“访问验证保护级”。破坏后果是“特别严重损害国家安全”。这一级基本是理论上的，公开资料里找不到哪个民用系统过了五级。有人说是核电站控制中心，有人说是军用指挥系统，但谁也没见过证书。我判断，五级更多是留给未来极端场景的——比如国家级量子通信骨干网，或者战时指挥链路。真到了那个级别，等保标准已经不够用了，得叠加保密条例和军队标准。

说个容易搞混的点：等保级别不是你自己想定几级就定几级。得先定级，再备案，再测评。定级错了，后面全白干。我见过一个创业公司，做的是社区团购，非说自己要过三级，结果测评师一看，用户就几千人，影响范围连个街道都出不去，最后老老实实按二级走。反过来，也有头铁的，明明做的是全省社保查询，硬按二级备案，被网信办通报整改。所以别拍脑袋，找专业机构做定级报告，该几级就几级。

最后提一嘴：等保一级和二级是“备案+自查”，三级以上是“备案+测评+整改”。三级每年要测评一次，二级系统推荐两年一次，但很多地方要求也是每年。别想着糊弄，现在公安的通报机制越来越严，去年光我们省就处罚了四十多家单位，全是等保没做到位。该花的钱省不了。