《信息安全等级保护管理办法》规定，国家信息安全等级保护坚持自主定级、自主保护的原则。信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、

法人和其他组织的合法权益的危害程度等因素确定。

信息系统的安全保护等级分为以下五级:

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。国家信息安全监管部门对该级信息系统安全等级保护工作进行指导。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行监督、检查。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行强制监督、检查。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行专门监督、检查。

信息系统安全等级保护实施原则：

自主保护原则:信息系统运营、使用单位及其主管部门按照国家相关法规和标准，自主确定信息系统的安全保护等级，自行组织实施安全保护。

重点保护原则:根据信息系统的重要程度、业务特点，通过划分不同安全保护等级的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统。

同步建设原则:信息系统在新建、改建、扩建时应当同步规划和设计安全方案，投入一定比例的资金建设信息安全设施，保障信息安全与信息化建设相适应。

动态调整原则:要跟踪信息系统的变化情况，调整安全保护措施。由于信息系统的应用类型、范围等条件的变化及其他原因，安全保护等级需要变更的，应当根据等级保护的管理规范和技术标准的要求，重新确定信息系统的安全保护等级，根据信息系统安全保护等级的调整情况，重新实施安全保护。

新旧标准的变化

一、名称的变化

将原来的信息系统安全等级保护相关标准名称更改为信息安全等级保护，再更名为网络安全等级保护相关标准，与《中华人民共和国网络安全法》保持一致。

二、内容的变化

基本要求的内容由一个基本要求变更为安全通用要求和安全扩展要求（含云计算、移动互联、物联网、工业控制）。在GB/T 22239 网络安全等级保护基本要求合并了如下5部分：

1）安全通用要求（公安部信息安全等级保护评估中心）2）云计算安全扩展要求（公安部信息安全等级保护评估中心）

3）移动互联安全扩展要求（北京鼎普科技股份有限公司）

4）物联网安全扩展要求（公安部第一研究所）

5）工业控制系统安全扩展要求（浙江大学）

同样，针对设计要求（GB/T 25070）与测评要求（GB/T 28448）也由5个分册分别整合成一册。

三、标准章节的变化

拿基本要求的第8章节为列， 为第三级安全要求：

8.1 安全通用要求

8.2 云计算安全扩展要求

8.3 移动互联安全扩展要求

8.4 物联网安全扩展要求

8.5 工业控制系统安全扩展要求

四、控制措施分类结构的变化

由原来的10个分类调整为8分，分别为技术部分（物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全）、管理部分（安全策略和管理制度、安全管理机构和人员、安全建设管量、安全运维管理）。