新版网络安全等级保护定级指南解读（三）

旧版标准：

5.2 确定定级对象
一个单位内运行的信息系统可能比较庞大，为了体现重要部分重点保护，有效控制信息安全建设成本，优化信息安全资源配置的等级保护原则，可将较大的信息系统划分为若干个较小的、可能具有不同安全保护等级的定级对象。作为定级对象的信息系统应具有如下基本特征：
a)具有唯一确定的安全责任单位。作为定级对象的信息系统应能够唯一地确定其安全责任单位。如果一个单位的某个下级单位负责信息系统安全建设、运行维护等过程的全部安全责任，则这个下级单位可以成为信息系统的安全责任单位；如果一个单位中的不同下级单位分别承担信息系统不同方面的安全责任，则该信息系统的安全责任单位应是这些下级单位共同所属的单位。
b)具有信息系统的基本要素。作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和规则组合而成的有形实体。应避免将某个单一的系统组件，如服务器、终端、网络设备等作为定级对象。
c)承载单一或相对独立的业务应用。定级对象承载“单一”的业务应用是指该业务应用的业务流程独立，且与其他业务应用没有数据交换，且独享所有信息处理设备。定级对象承载“相对独立”的业务应用是指其业务应用的主要业务流程独立，同时与其他业务应用有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网络传输设备。

新版标准：

5.1信息系统
5.1.1定级对象的基本特征
作为定级对象的信息系统应具有如下基本特征：
a)具有确定的主要安全责任主体；
b)承载相对独立的业务应用；
c)包含相互关联的多个资源。
注1：主要安全责任主体包括但不限于企业、机关和事业单位等法人，以及不具备法人资格的社会团体等其他组织。
注2：避免将某个单一的系统组件，如服务器，终端或网络设备作为定级对象。
在确定定级对象时，云计算平台/系统、物联网、工业控制系统以及采用移动互联技术的系统在满足以上基本特征的基础上,还需分别遵循5.1.2，5.1.3，5.1.4，5.1.5的相关要求。
5.1.2云计算平台/系统
在云计算环境中，云服务客户侧的等级保护对象和云服务商侧的云计算平台/系统需分别作为单独的定级对象定级，并根据不同服务模式将云计算平台/系统划分为不同的定级对象。
对于大型云计算平台，宜将云计算基础设施和有关辅助服务系统划分为不同的定级对象。
5.1.3物联网
物联网主要包括感知,网络传输和处理应用等特征要素，需将以上要素作为一个整体对象定级，各要素不单独定级。
5.1.4工业控制系统
工业控制系统主要包括现场采集/执行、现场控制、过程控制和生产管理等特征要素。其中，现场采集/执行、现场控制和过程控制等要素需作为一个整体对象定级，各要素不单独定级；生产管理要素宜单独定级。
对于大型工业控制系统，可根据系统功能、责任主体、控制对象和生产厂商等因素划分为多个定级对象。
5.1.5采用移动互联技术的系统
采用移动互联技术的系统主要包括移动终端、移动应用和无线网络等特征要素，可作为一个整体独立定级或与相关联业务系统一起定级，各要素不单独定级。
5.2通信网络设施
对于电信网，广播电视传输网等通信网络设施，宜根据安全责任主体、服务类型或服务地域等因素将其划分为不同的定级对象。
跨省的行业或单位的专用通信网可作为一个整体对象定级，或分区域划分为若干个定级对象。

5.3数据资源
数据资源可独立定级。
当安全责任主体相同时，大数据、大数据平台/系统宜作为一个整体对象定级；当安全责任主体不同时，大数据应独立定级。

主要变化：

1、定级对象基本特征由：

a)具有唯一确定的安全责任单位；

b)具有信息系统的基本要素；

c)承载单一或相对独立的业务应用。（旧版标准）。

修改为：

a)具有确定的主要安全责任主体；

b)承载相对独立的业务应用；

c)包含相互关联的多个资源。（新版标准）。

明确了“安全责任主体”包含的范围：包括但不限于企业、机关和事业单位等法人，以及不具备法人资格的社会团体等其他组织。旧版标准中的“单位”的概念描述更接近“法人”，但在新版中明确了不具备法人资格的社会团体等其他组织也需要对自己管理的符合定级对象描述的目标进行定级。

删除了定级对象基本特征中“单一”的描述，避免将“单一”的业务应用和“单一”的系统组件混淆，后者不能作为定级对象。

“具有信息系统的基本要素”（旧版标准）修改为“包含相互关联的多个资源（新版标准）”，措辞更加严谨。

2、旧版标准中定级对象只有信息系统，新版标准中的定级对象包括：“信息系统”、“通信网络设施”、“数据资源”三大类，其中“信息系统”包括：传统信息系统、云计算平台/系统、物联网、工业控制系统、移动互联技术的系统等类型。

并且在新版标准中，根据新技术的复杂性差异，对每种类型的定级对象作为一个整体定级还是独立定级都有相应的描述。