等级保护到底是什么？

在了解等级保护三级之前，我们首先需要知道等级保护是什么。

1994年《中华人民共和国计算机信息系统安全保护条例》(国务院147号令)： 第一次提出“等级保护”概念。

1999年《计算机信息系统安全等级保护划分准则》（GB17859）：国家发布关于等级保护强制性标准。

2008年《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008）：明确对于各等级信息系统的安全保护基本要求。

2017年《中华人民共和国网络安全法》：第二十一条明确国家实行等级保护制度，落实等级保护制度已经上升到法律层面。

等级保护全称“网络安全等级保护”，指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

我国实行网络安全等级保护制度，等级保护对象分为五个级别，由一到五级别逐渐升高，每一个级别的要求存在差异，级别越高，要求越严格。

从定级要素来看，等保三级，是指等级保护对象受到破坏，对社会秩序、公共利益造成严重损害，或对国家安全造成危害的情况下做出的响应和处置。

信息系统经过定级、备案这一流程之后，确定为第三级的信息系统，那么就需要做三级等保。在我国，“三级等保”是对非银行机构的最高等级保护认证。这一认证由公安机关依据国家信息安全保护条例及相关制度规定，按照管理规范和技术标准，对各机构的信息系统安全等级保护状况进行认可及评定。

根据《信息系统安全等级保护基本要求》，三级等保的测评内容涵盖等级保护安全技术要求的5个层面和安全管理要求的5个层面，包含信息保护、安全审计、通信保密等在内的近300项要求，共涉及测评分类73类。通过“三级等保”认证，表明企业的信息安全管理能力达到国内最高标准。

等保三级可以保障等保对象能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起恶意攻击、较为严重的自然灾害、以及其他相当危害程度威胁所造成的主要资源损害，能够发现安全漏洞和安全时间，在系统遭受损害后，能够较快恢复绝大部分功能。

三级的等保流程，包括定级、备案、建设整改、等级测评、监督检查五个阶段。