醫院系統等級保護如何定級

定級對象的網絡運營者需組織網絡安全專家和業務專家對定級結果的合理性進行評審，并出具專家評審意見。有行業主管（監管）部門的，還需將定級結果報請行業主管（監管）部門核準，并出具核準意見。最后，網絡運營者按照相關管理規定，將定級結果提交公安機關進行備案審核。

初步確定等級

定級方法

定級對象的定級方法按照以下描述進行。對于通信網絡設施、云計算平臺/系統等起支撐作用的定級對象和數據資源。

定級對象的安全主要包括業務信息安全和系統服務安全,與之相關的受侵害客體和對客體的侵害程度可能不同，因此，安全保護等級由業務信息安全和系統服務安全兩方面確定。從業務信息安全角度反 映的定級對象安全保護等級稱為業務信息安全保護等級；從系統服務安全角度反映的定級對象安全保護 等級稱為系統服務安全保護等級。定級方法如圖1所示：

圖1

定級方法流程說明如下：

a) 確定受到破壞時所侵害的客體

• 確定業務信息受到破壞時所侵害的客體。

• 確定系統服務受到破壞時所侵害的客體。

• 確定業務信息安全保護等級確定系統服務安全保護等級。

b) 確定對客體的侵害程度

• 根據不同的受侵害客體，分別評定業務信息安全被破壞對客體的侵害程度。

• 根據不同的受侵害客體，分別評定系統服務安全被破壞對客體的侵害程度。

c) 確定安全保護等級

• 確定業務信息安全保護等級；

• 確定系統服務安全保護等級；

• 將業務信息安全保護等級和系統服務安全保護等級的較高者確定為定級對象的安全保護等級。

綜合判定等級

綜合判定等級根據業務信息安全被破壞時所侵害的客體以及對相應客體的侵害程度，依據表1可得到業務信息安全保護等級。

表1 業務信息安全保護等級矩陣表

根據系統服務安全被破壞時所侵害的客體以及對相應客體的侵害程度，依據表2可得到系統服務安全保護等級。

表2 系統服務安全保護等級矩陣表

定級對象的安全保護等級由業務信息安全保護等級和系統服務安全保護等級的較高者決定。

確定安全保護等級

安全保護等級初步確定為第二級及以上的，定級對象的網絡運營者需組織網絡安全專家和業務專家對定級結果的合理性進行評審，并出具專家評審意見。有行業主管（監管）部門的，還需將定級結果報請行業主管（監管）部門核準，并出具核準意見。最后，網絡運營者按照相關管理規定，將定級結果提交公安機關進行備案審核。審核不通過，其網絡運營者需組織重新定級；審核通過后最終確定定級對象 的安全保護等級。

對于通信網絡設施、云計算平臺/系統等定級對象，需根據其承載或將要承載的等級保護對象的重 要程度確定其安全保護等級，原則上不低于其承載的等級保護對象的安全保護等級。

對于數據資源，綜合考慮其規模、價值等因素，及其遭到破壞后對國家安全、社會秩序、公共利益 以及公民、法人和其他組織的合法權益的侵害程度確定其安全保護等級。涉及大量公民個人信息以及為 公民提供公共服務的大數據平臺/系統，原則上其安全保護等級不低于第三級。