在探讨工信部 2018 年通报的七家违规企业网站属于等级保护中的几级信息系统前，得说明下信息系统安全等级保护有五个级别，不同级别有着不同的安全保护要求。下面来逐步探究这七家企业网站在等级保护中的归属。

网站安全基础考量

对企业网站进行等级保护定级要考量很多基础因素，像网站收集的信息重要性，如果企业处理的是个人敏感信息、商业机密可能级别就高。而且网站的服务性质与范围也关系到级别判定，面向公众服务广的网站影响大，从这方面看会使保护等级提高。例如网站掌握了大量客户的金融账户信息，安全性就特别关键，需要更高等级保护。

除了信息本身，网站运行环境也很有影响。企业内部的网络架构是否合理，访问控制机制是否安全有效都是重要因素。一个安全控制能力弱、易受攻击的运行环境，必然要求更高等级的信息安全保护。所以综合这些方面来测定网站到底位于等级保护的哪一级别才更准确。

企业信息类型分析

不同行业的企业，其网站收集或者产生的信息差别很大。例如金融行业，网站涉及的资金交易以及用户敏感资料，属于高度敏感内容，要给予更高等级的保护。相比之下，娱乐行业企业网站更多以展示信息和资讯分享为主，用户信息相对没那么敏感重要，等级相对低些。对于通报的七家企业，得深入研究信息，看其是一般性的宣传内容，还是有重要的数据资产。

同时还得看信息在发生泄露或者被篡改后会造成什么样的影响。如果只是部分页面展示出错，那影响有限，若发生用户资金流失、重要政务信息泄露，直接危害公众利益，那就是严重后果。所以依据这个危害评估，就能为判定信息系统等级找到依据。

业务影响范围评估

企业业务的覆盖区域是判定等级的依据之一。大型跨国企业网站服务不止本国还有全球业务，若中断等事故发生，造成的社会和经济损失非常大，很可能是较高等级的信息系统保护要求。而地方性企业网站主要面向本地，可能级别就没那么高。评估通报企业网站时，就要确定网站面对的用户是局部还是广泛地区。

企业业务依赖网站开展程度也有关系。要是一个企业业务基本都是在线完成的，网站是运营核心，停止服务会让业务崩溃，那该网站是非常关键的，等级也应更高。如果仅用于简单的品牌展示，实际业务不依赖此网站，保护等级要求则没那么高。通过这个业务依赖的评估，就能更好地界定网站在等级保护中的级别。

行业监管规范参照

不同行业有专门的监管政策，对于企业网站的安全保护等级都有相关规定。例如电信行业必须遵守通信部门的网络安全规范，在等级保护上有着明确的要求与细则。企业网站只有满足这些规定才符合同行业标准。对于通报的七家企业所在行业的监管要求，也是判断级别关键。

除此之外国家标准《信息安全等级保护管理办法》也是普适性的规范依据。它对各个等级的特征和保护要求描述很清晰，我们分析企业网站时也要根据这个统一标准。把行业规定和国家标准结合起来，制定出全面、合理的等级保护级别判定。所以说评估网站等级既不能违背统一规范，也得遵循特定行业标准。

应急响应能力排查

企业在面对攻击、故障等突发事件的应对措施和能力是另一个评定要素。一个完善应急机制、能及时恢复网站正常运行的企业，意味着较高安全保障实力，这样在对网站进行等级保护级别判断时会有影响。若应急能力强保证网站稳定性的，级别会因此而不同。

评估应急响应还得关注对历史安全事件的处理记录。如果一个网站经常遭受攻击且应对方法不当，存在诸多安全漏洞，这反映该网站安全防御体系脆弱，需要更高的等级保护来加强防护。相反有着良好安全记录和有效响应机制的网站，级别评定不同。因此对通报企业网站应急响应能力考查不可少。

技术安全措施考量

企业在网站安全方面采用的硬件设备是否先进，软件系统是否经过安全验证也影响等级判定。一个使用高端防火墙和先进入侵检测设备且网络系统安全可靠的网站，本身具备一定防护能力，那其在等级保护体系中的合理定位和自身状态相互符合。所以技术方面的实力是评估重要一环。

还有管理机制是否有效匹配。网站需要合理的访问授权、严格人员操作规范、及时的安全更新策略等。如果企业在安全管理措施上漏洞多，经常出现内部人员违规操作导致风险，就要通过足够等级保护来弥补缺陷。所以说既要关注技术部署，也要审查管理是否到位。

那么大家觉得企业网站等级保护级别最终确定靠哪种因素影响最大？记得点赞分享发表自己看法。