2019年12月1日，网站等保2.0正式实施。等级定级相比老标准，保护标准最直观的网站变化是"定级对象"从"信息系统"扩展到了"网络基础设施、云计算平台、等级定级大数据平台、保护标准物联网、网站工业控制系统"等。等级定级但很多人没注意，保护标准新标准里藏着一条硬杠杠：一旦系统被定为第三级，网站每年至少测评一次，等级定级且必须由具备资质的保护标准第三方机构来做。这条规定让不少单位预算表上凭空多出几十万支出——我见过一家做电商的网站创业公司，因为没搞清定级规则，等级定级把自己的保护标准交易系统定成三级，结果测评费比服务器租金还贵。

定级标准的核心逻辑其实就一句话：看系统被攻破后，对社会秩序、公共利益、公民权益的损害程度。它分五个级别，从第一级的"自主保护"到第五级的"专控保护"。现实中90%以上的系统都落在二级和三级。二级意味着"一般损害"，比如某个企业内部OA被黑，最多影响自己办公；三级对应"严重损害"，像政务服务平台、大型医院的挂号系统，一旦瘫痪会导致大范围社会功能失灵。有个判断技巧很实用：如果系统里存着超过100万条公民个人信息，基本跑不了三级。

定级过程不是技术部门单方面拍脑袋。标准里明确要求"定级对象的安全保护等级，由行业主管部门组织专家评审确定"。说白了，你觉得自己系统是二级没用，得让监管方点头。我接触过一个案例：某高校的教务系统，校方自认为内部使用定二级，但省教育厅直接驳回，理由是系统关联学籍学历信息，属于"教育行业重要数据"，必须升三级。这种争议在金融、医疗、能源领域尤其常见。

定级标准里最容易被忽略的是"定级要素"中的"系统服务范围"。同样一个OA系统，只在公司内网跑是二级，但如果通过互联网向公众提供服务，损害范围就变了。比如某市公积金查询网站，后台数据一模一样，就因为接入了互联网，从二级直接跳到三级。很多单位栽在这上面——他们以为"系统本身没变，级别就不变"，完全没意识到网络边界变了，风险面就变了。

还有个反直觉的点：系统越"老"越难定级。等保2.0要求定级必须基于"当前系统实际运行状态"，而不是设计文档。我见过一个运行了八年的老旧ERP系统，原以为定二级稳妥，结果测评机构发现它存在大量第三方插件接口，数据流向完全失控，最终被建议升三级。这提醒所有IT负责人：定级不是一次性的，每逢系统升级、架构调整、业务范围变化，都得重新评估。

最现实的问题是钱。二级测评通常两到五万，三级测评动辄十万起步，再加上整改费用，小单位根本扛不住。但标准就是这样——它不跟你商量。与其抱怨成本，不如在系统设计早期就把定级需求考虑进去。比如架构上做分区隔离，把核心业务和外围服务分开，让核心部分定三级，外围定二级，能省下大量测评费用。这招我在多家企业验证过，合规且实用。

说到底，定级标准不是束缚，而是给安全投入画了一条底线。它逼着每个单位认真想清楚：我的系统值多少钱，被攻击后损失有多大，该花多少成本去保护。想明白这些，定级表填起来就不难了。