隨着信息化快速發展，網絡和信息化應用涉及的領域越來越多，由於系統自身的脆弱性以及外部環境和人爲因素綜合造成了信息安全事件頻發，信息安全成了國家發展的一項重要工作。信息安全等級保護是針對信息及其載體按照重要性進行分級保護的一項工作，等級保護標準是等級保護工作中信息系統分級的主要依據。金融行業作爲信息化行業的重要組成部分，其信息系統的安全保障能力和水平關係到國家安全、社會穩定和公共利益。金融行業等級保護標準是由中國人民銀行根據國家標準結合金融行業現狀而制定。2017年6月1日，《中華人民共和國網絡安全法》（以下簡稱“網絡安全法”）開始實施，這是我國第一部全面規範網絡空間安全管理方面問題的基礎性法律，爲信息安全領域工作的開展提供了法律保障。在網絡安全法實施的新形勢下，爲了配合網絡安全法的實施，提高等級保護標準的時效性，等級保護標準也在不斷地發展和完善。
一、國家等級保護標準
我國的信息安全等級保護工作起步於20世紀90年代，隨後相繼頒佈了多個等級保護標準，具體可分爲基礎性標準、定級標準、建設標準、測評類標準和管理類標準。基礎性標準包括《計算機信息系統安全等級保護劃分準則》（GB17859-1999）、《信息系統安全等級保護實施指南》（GB25058-2010）以及《信息安全等級保護管理辦法》（公通字[2007]43號）等；定級標準有《信息系統安全等級保護定級指南》（GB/T22240-2008）等；建設標準包括《信息系統安全等級保護基本要求》（GB/T22239-2008）、《信息系統通用安全技術要求》（GB/T20271-2006）以及《信息系統等級保護安全設計技術要求》（GB/T25070-2010）等；測評類標準主要有《信息系統安全等級保護測評要求》（GB/T28448-2012）和《信息系統安全等級保護測評過程指南》（GB/T28449-2012）等；管理類標準主要有《信息系統安全管理要求》（GB/T20269-2006）以及《信息系統安全工程管理要求》（GB/T20282-2006）等。針對單位的普通信息安全工作人員而言，涉及較多的標準主要有定級標準《信息系統安全等級保護定級指南》（GB/T22240-2008）與建設標準《信息系統安全等級保護基本要求》（GB/T22239-2008）等。《信息系統安全等級保護定級指南》主要用於指導信息系統的等級劃分和評定，將信息系統安全保護等級劃分爲5級，定級要素有兩個：等級保護對象受到破壞時所侵害的客體以及客體受到侵害程度。定級要素與信息系統安全保護等級的關係見表1。由表1可知，三級及以上系統受到侵害時可能會影響國家安全，而一級、二級系統受到侵害時只會對社會秩序或者個人權益產生影響。在實際系統定級過程中，要從系統的信息安全和服務連續性兩個維度分別定級，最後按就高原則給系統進行定級。《信息系統安全等級保護基本要求》是針對不同安全保護等級信息系統應該具有的基本安全保護能力提出的安全要求，根據實現方式的不同，基本安全要求分爲基本技術要求和基本管理要求兩大類等級保護基本要求共有10個部分，技術要求和管理要求各佔5個部分。其中，技術類安全要求又細分三個類型。信息安全類（S類）：爲保護數據在存儲、傳輸、處理過程中不被泄露、破壞和免受未授權的修改的信息安全類要求。服務保證類（A類）：保護系統連續正常的運行，免受對系統的未授權修改、破壞而導致系統不可用的服務保證類要求。通用安全保護類要求（G類）：既考慮信息安全類，又考慮服務保障類，最後選擇就高原則。
二、金融行業信息安全等級保護標準及必要性分析
1.行業標準金融行業作爲信息化行業的一個重要組成部分，金融行業信息系統安全直接關係到國家安全、社會穩定以及公民的利益等。爲落實國家對金融行業信息系統信息安全等級保護相關工作要求，加強金融行業信息安全管理和技術風險防範，保障金融行業信息系統信息安全等級保護建設、測評、整改工作順利開展，中國人民銀行鍼對金融行業的信息安全問題，在2012年發佈了三項行業標準：《金融行業信息系統信息安全等級保護實施指引》、《金融行業信息系統信息安全等級保護測評指南》和《金融行業信息安全等級保護測評服務安全指引》。2.必要性分析網絡安全法明確規定國家實行網絡安全等級保護制度，開展等級保護工作是滿足國家法律法規的.合規需求。金融行業開展信息安全等級保護工作的必要性有以下3點。（1）理清安全等級，實現分級保護金融行業各類業務系統衆多，系統用途和服務對象差異性大，依據等級保護根據系統可用性和數據重要性開展分級的定級要求，可以有效梳理和分析現有的信息系統，識別出重要的信息系統，將不同系統按照不同重要等級進行分級，按照等級開展適當的安全防護，有效保證了有限資源充分發揮作用。（2）明確保護標準，實現規範保護金融行業信息系統等級保護標準有效解決了金融行業信息系統保護無標準可依的問題。在信息系統全生命週期中注重落實等級保護相關標準和規範要求，在信息系統需求、信息系統建設和信息系統維護階段參照、依據等級保護的標準和要求，基本實現信息系統安全技術措施的同步規劃、同步建設、同步使用，從而保證重要的信息系統能夠抵禦網絡攻擊而不造成重大損失或影響。（3）定期開展測評，實現有效保護按照等級保護要求，每年對三級以上信息系統開展測評工作，使得重要信息系統能夠對系統的安全性實現定期回顧、有效評估，從整體上有效發現信息系統存在的安全問題。通過每年開展等級保護測評工作，持續優化金融行業重要信息系統安全防護措施，有效提高了重要信息系統的安全保障能力，加強了信息系統的安全管理水平，保障信息系統的安全穩定運行以及對外業務服務的正常開展。
三、網絡安全法作用下標準的發展
隨着等保制度上升爲法律層面、等保的重要性不斷增加、等保對象也在擴展以及等保的體系也在不斷升級，等級保護的發展已經進入到了2.0時代。爲了配合網絡安全法的出臺和實施，滿足行業部門、企事業單位、安全廠商開展雲計算、大數據、物聯網、移動互聯等新技術、新應用環境下等級保護工作需求，公安部網絡安全保衛局組織對原有的等保系列標準進行修訂，主要從三個方面進行了修訂：標準的名稱、標準的結構以及標準的內容。1.標準名稱的變化爲了與網絡安全法提出的“網絡安全等級保護制度”保持一致性，等級保護標準由原來的“信息系統安全等級”修改爲“網絡安全等級”。例如：《信息系統安全等級保護基本要求》修改爲《網絡安全等級保護基本要求》，《信息系統安全等級保護定級指南》修改爲《網絡安全等級保護定級指南》等。2.標準結構的變化爲了適應雲計算、物聯網、大數據等新技術、新應用情況下網絡安全等級保護工作的開展，等級保護基本要求標準、等級保護測評要求標準的結構均由原來的一部分變爲六部分組成，分別爲安全通用要求、雲計算安全擴展要求、移動互聯安全擴展要求、物聯網安全擴展要求、工業控制系統安全擴展要求與大數據安全擴展要求。3.標準內容的變化各級技術要求分類和管理要求的分類都發生了變化。其中，技術要求“從面到點”提出安全要求，對機房設施、通信網絡、業務應用等提出了要求；管理要求“從元素到活動”，提出了管理必不可少的制度、機構和人員三要素，同時也提出了建設過程和運維過程中的安全活動要求。
四、展望
隨着信息化的快速發展，信息系統安全直接關係到個人權益、社會秩序以及國家安全。縱深防禦原則、態勢感知平臺以及等級保護是有效地保障信息系統安全的三大重要手段，等級保護作爲信息系統安全保護工作的重要手段之一，對保護信息系統安全起到了至關重要的作用。在網絡安全法正式實施的新形勢下，等級保護工作也將出現如下發展趨勢。1.保證合法合規以網絡安全法爲依據，等級保護標準也會及時更新，變得更爲合理，等級保護工作將有法可依、有規可循，從而保證等級保護工作合法合規。2.更加全面高效隨着網絡安全法的實施，等級保護標準也會發展得更加全面，涉及面也會更廣（包括雲計算、物聯網、大數據等），這將大大減少等級保護工作中的知識盲區和領域盲區，使等保工作開展得更加全面高效。3.規模越來越大隨着大數據技術的發展，重要信息系統的數量也會增加，在信息安全意識逐漸增強的大背景下，等級保護工作的規模會越來越大，涉及的系統也會大幅度增加。4.更加智能化人工智能技術的發展會大大推動等級保護工作向智能化方向發展，同時，安全威脅態勢感知平臺的發展也會與等級保護相互促進，使得等級保護工作更加智能化。