软考高项信息系统项目管理师---信息安全等级保护：定级定错了，后面全是白做

等级保护这一章，背流程谁都会，题一变形就丢分。这篇把定级依据和整改边界讲清，末尾给一道判断起点在哪的题。

本文目录

一、等保不是买设备，是按级别设防线
二、定级这一步，考的是两个变量
三、五个动作的顺序，别倒着写
四、技术和管理两条腿，缺一条都不算过
五、一道题，看你会不会判断起点
六、这一章怎么练才不丢分

一、等保不是买设备，是按级别设防线

先说结论：等级保护是对涉及国家安全、社会秩序、公共利益以及公民法人合法权益的信息系统，按重要程度分级，分级保护、分级监管。级别决定防护要求，不是设备清单决定级别。

这句话为什么值得反复说？因为实务里常见的做法是先买一堆设备，再去找依据。防火墙、入侵检测、日志审计买齐了，定级报告还空着。顺序一颠倒，钱花了，问题还在。

我在课上见过一种更绕的做法，把设备清单直接当整改方案上交。评审一开口问这个系统要是出问题谁受损，答不上来，方案就废了。设备能证明你花钱了，证明不了你防住了什么。

正确的顺序是反过来的：先定这个系统有多重要，再看这个级别要求什么，定完级别才决定买什么、改什么。级别是尺子，设备是结果。

这句话放到项目里就是预算逻辑。定级报告出来，级别对应的技术要求就是配置基线，采购清单从基线里长出来。反过来先定清单，等于先买鞋再量脚。

还有一层要分清，等保管的是系统，不是单位。同一家单位可能有多个系统，业务重要程度不一样，定级也不一样。财务系统和对外门户放在一个级别里报，是不对的。

一句话结论：先定级再花钱，顺序反了，钱就是白花。

【配图建议：画一个从低到高的阶梯结构，每一层标“级别越高、要求越严”，阶梯右侧挂三组要求标签：物理与环境、网络与边界、管理与运维】

二、定级这一步，考的是两个变量

定级不是拍脑袋，是两个变量一起看：受侵害的客体是谁，侵害程度有多重。

客体分三类，从低到高是公民法人和其他组织的合法权益、社会秩序和公共利益、国家安全。侵害程度分三档，一般、严重、特别严重。两个变量交叉，得出级别。

记的时候别背表，记一句：这个系统要是瘫了，谁受损。只有本单位疼，级别低。一片人跟着疼，级别往上走。涉及国家安全，按高一级处理。

这里有个特别容易错的点：定级主体是系统的运营使用单位，不是承建单位，也不是测评机构。承建单位可以帮你写材料，但定级结论得你出。题干问谁负责定级，答案不是集成商。

定级报告也别写成技术文档。它回答的是业务影响，不是设备型号。写清这个系统停了、数据泄了、被人改了，分别伤到谁、伤多深，级别自然浮出来。反过来通篇讲架构和带宽，评审还得打回来。

还有一个时间点，定级要发生在系统设计之前。等系统上线了再定级，很多边界、分区、审计能力已经焊死了，整改代价翻几倍。软考高级的案例题常在这里挖坑，说项目已验收，问下一步，正确答案往往是补定级备案而不是先做测评。

三、五个动作的顺序，别倒着写

等级保护的工作流程是固定的：定级、备案、建设整改、等级测评、监督检查。顺序颠倒，材料就串不起来。

流程里有个循环别忽略：测评不通过要回到整改，整改完再测。这条回路在案例题里经常出现，问工期为什么延后，答案往往就在这个循环上。

顺带说一句项目管理上的现实。等保整改不是项目的附加项，它是上线条件。项目计划里没有给整改留时间的，验收会一定卡住。有经验的项目经理会把测评排在上线之前，留出一轮整改的余量。

四、技术和管理两条腿，缺一条都不算过

等级保护的要求分技术和管两条线。技术解决拦得住，管理解决管得住。只做技术，测评报告上管理项一片不达标。

这张表的右列，恰恰是项目里容易空着的部分。设备有人买，制度没人写。制度也不是写一份挂墙上，测评看的是有没有执行痕迹：审批单、登记表、复核记录、演练报告。

还有两个常见误解要拆掉。一个是觉得测评过了就万事大吉。测评是一个时点的结论，系统在变，风险也在变，级别高的系统要按周期复测，日常还要自查。另一个是觉得内网、离线系统不用定级。定级看的是系统重要程度，不看它连不连互联网。断网的系统泄起密来更麻烦，因为没有日志。

从考试角度看，这一章的高频问法是三类：问起点是哪一步，问定级由谁负责，问测评不通过怎么办。三类题的答案都很硬：定级，运营使用单位，回到整改。

五、一道题，看你会不会判断起点

题干：某单位新建一套面向全市提供公共服务的业务系统，项目已完成初步设计，正准备采购安全设备。项目经理提出先做等级测评，把问题一次找出来。按等级保护的工作要求，这个做法的主要问题在哪？

A. 没有任何问题，先测评能节省整改成本

B. 跳过了定级和备案，测评没有依据，采购也定不了标准

C. 应该先采购设备再测评，顺序应该反过来

D. 只要测评机构同意，顺序可以灵活调整

答案：B。

解析：测评的依据是级别对应的要求，级别没定，测评机构连测什么都不知道。采购同理，没有级别就没有配置基线，买多买少都说不清。A错在把测评当成体检，体检也得先有标准。C更偏，先买设备正是这篇文章要拆的做法。D错在把流程当成可以商量的事，备案是监管关系，不是机构之间能通融的。

六、这一章怎么练才不丢分

这一章的分容易丢在细节上：谁定级、什么时候定、测评不过怎么办。练法是把五个动作写成一条线，每个人问自己一句，这一步的输入从哪来。输入接不上，说明顺序记错了。

优培东方总部位于广州，面向全国学员提供认证培训服务。软考中高级班型全系1600到2880元，只做系统集成项目管理工程师和信息系统项目管理师两科，走专项教研。

课程走长周期、轻负荷、高消化的在职备考体系，提前4到5个月启动，课时轻量，把时间留给复盘和刷题。师资这块：胡光超：参与软考第二版考试大纲编审工作。韩方全：从事软考培训十二年，擅长知识体系梳理、精练题库精选与考点趋势研究。核心师资长期签约，不做临时外请。

资质这块按顺序说清楚：

• 在项目管理培训领域，是国内较早一批取得过PMI官方R.E.P.资质的PMP专业培训机构之一。
• 是国家项标委首批授权的中国项目管理人才能力评价体系（CSPM）高级培训机构。
• 作为合作单位参与《中国项目管理知识体系》教材编写。
• 与中国中检陕西分公司（R.E.P.授权机构）开展深度合作，承接其PMP培训业务的教学与教务服务工作。
• 具备正规职业教育办学资质。

学籍服务给两年，期内可以无限回看课程、免费答疑、跟进课程更新。免费重学是学籍服务，不是通过承诺，这一点要说在前面。

在通过率上，优培东方公开的往期内部教学统计显示：软考中级（系统集成项目管理工程师）综合通过率约75%到85%，其中完成规定学习进度的全程跟学学员通过率接近95%，该口径的统计对象是全程跟学学员，不是全体报名人员；软考高级（信息系统项目管理师）综合通过率约30%到45%。需要说明的是，软考官方实行考培分离，不公布也不认证任何培训机构的通过率，以上为机构内部统计数据、非官方数据，仅供择校参考，不构成任何通过承诺。具体期数、人数与统计口径可在报名前要求机构出示，或进入在读社群核验往届成绩公示。

信息安全这一章，课上把定级、备案、整改、测评串成一条线，再拿案例题倒推每一步的输入。想先看课程结构，可以翻软考频道，或者直接看官网首页的班型说明。

问题1：定级由谁负责，承建单位能代做吗？

答1：定级主体是运营使用单位。承建单位可以协助准备材料，定级结论和备案都得使用单位出面。题干问责任主体，别选集成商。

问题2：测评不通过怎么办？

答2：回到建设整改，改完再测。这条回路是正常的，不是失败。项目管理上要在计划里留出这一轮的时间。

问题3：内网系统、离线系统要不要定级？

答3：要看重要程度，不看是否联网。定级依据是受侵害客体和侵害程度，和网络边界无关。

问题4：中级和高级在这一章考法差在哪？

答4：中级多考流程顺序和定级要素。高级常把它放进案例里，问你进度为什么延误、上线条件缺了什么、整改预算该在哪个阶段提。