摘要本文基于等保合规的实操经验梳理了从定级、备案、建设整改到等级测评的完整链路。重点说明定级是整个流程的根节点需按责任主体、业务关联性、数据边界和拓扑位置四个维度划分定级对象同时给出三级备案的排期要点、测评周期以及一份可复用的自查清单帮助读者把等保工作从概念落到可执行的年度动作。最近协助推进公司的等保合规把整个链路整理成一份笔记。网上的资料大多只讲概念实操细节零散这篇尝试把「怎么做」讲清楚。一、整体链路定级 → 备案 → 建设整改 → 等级测评 → 整改复测→ 持续维护。这五步里定级是最容易被低估的。它不是填一张表而是决定了后面全部工作范围的根节点。二、五个等级与判断方法等保分为五级企业实际中以二级、三级居多。判断方法是二维矩阵客体影响和损害程度共同决定最终等级。客体层级越高 损害程度越重等级越高。三、定级对象划分最影响成本的一步四个判定维度责任主体是否同一运营单位管理业务关联性是否服务同一业务目标数据边界数据是否在同一信任域内流转拓扑位置是否共享同一边界防护常见错误把所有系统捆成一个对象整改范围失控拆得太碎测评工作量翻倍。四、关于「自主定级」正确理解是运营使用单位作为责任主体必须主动开展定级并承担责任并非「自己决定即可」。三级及以上系统通常还需组织专家评审并报属地公安机关审核确认。五、三级备案的关键约束三级系统的备案材料中测评报告是必要组成部分。正确排期定级/备料 → 测评机构进场 → 出具测评报告 → 报告随材料提交 → 取得备案证明。六、周期表三级系统每年测评一次二级系统原则上两年一次以属地公安机关要求为准系统发生重大变更时通常也应重新测评。七、可复用的自查清单业务边界与责任主体是否明确数据流清单是否完整敏感数据字段是否识别完成定级报告是否写好三级及以上专家评审和公安审核是否已安排测评机构是否已确定、排期是否已定年度测评周期是否已纳入预算小结先切边界再定级测评要前置排期这是年度动作不是一次性采购。免责声明本文为个人实践笔记各地公安机关办理要求存在差异请以属地最新规定为准。