企业的业务系统究竟应该定为几级？定级结果不一致会有什么影响？

原因：定级不准确通常是因为企业不清楚系统边界，没有梳理数据流、业务依赖关系和影响对象，或者为了减少工作量而随意选择较低等级。常见问题包括只考虑企业自身损失，没有考虑个人信息泄露、社会影响和行业监管要求；多个系统混在一起定级；以及系统上线后业务范围扩大但没有重新定级。 解决思路：定级时应先完成资产识别和系统边界划分，明确服务器、数据库、云资源、终端、网络设备、人员及数据，再分析系统在业务中断、数据泄露、非法利用和服务中断后对企业、社会公众和相关行业造成的影响。可参考GB/T 22240《信息安全技术 网络安全等级保护定级指南》，由企业相关业务、技术和管理人员共同确定初步等级；涉及行业监管或重要数据的，还应征求主管部门意见。定级后一般需要到公安机关办理备案，二级以上系统的备案、整改和测评要求相对更严格。 案例：某企业将“客户小程序”和“内部办公系统”合并定级，导致备案范围、测评对象与实际架构不一致。后来发现小程序部署在云平台，办公系统位于本地机房，两者的数据流转、访问权限和责任主体不同。企业重新梳理边界，将小程序和办公系统分别定级，同时根据云服务协议明确各方责任，并按各自等级完成备案和测评。 以后如何避免：建立“系统台账、数据目录和系统边界图”，在系统新增、迁移上云、数据类型变化或业务重要程度提高时重新开展定级评审。定级材料应由业务、技术、安全和管理部门共同确认，避免由单一部门或外包人员决定。