《信息安全等級保護(hù)管理辦法》規(guī)定，國家信息安全等級保護(hù)堅持自主定級、自主保護(hù)的原則。信息系統(tǒng)的安全保護(hù)等級應(yīng)當(dāng)根據(jù)信息系統(tǒng)在國家安全、經(jīng)濟(jì)建設(shè)、社會生活中的重要程度，信息系統(tǒng)遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等因素確定。
二級基本要求：在一級基本要求的基礎(chǔ)上，技術(shù)方面，二級要求在控制點(diǎn)上增加了物理位置的選擇、防靜電、電磁防護(hù)、審計、網(wǎng)絡(luò)入侵防范、邊界完整性檢查、審計、主機(jī)資源控制、應(yīng)用資源控制、審計、通信保密性以及數(shù)據(jù)保密性等。管理方面，增加了審核和檢查、管理制度的評審和修訂、人員考核、管理、變更管理和應(yīng)急預(yù)案管理等控制點(diǎn)。
三級基本要求：在二級基本要求的基礎(chǔ)上，技術(shù)方面，在控制點(diǎn)上增加了網(wǎng)絡(luò)惡意代碼防范、剩余信息保護(hù)、抗抵賴等。管理方面，增加了系統(tǒng)備案、安全測評、監(jiān)控管理和安全管理中心等控制點(diǎn)。
四級基本要求：在三級基本要求的基礎(chǔ)上，技術(shù)方面，在系統(tǒng)和應(yīng)用層面控制點(diǎn)上增加了安全標(biāo)記、可信路徑。
要求項增多，如對“身份鑒別”，一級要求“進(jìn)行身份標(biāo)識和鑒別”，二級增加要求“口令復(fù)雜度、登錄失敗保護(hù)等”，三級則要求“采用兩種或兩種以上組合的鑒別技術(shù)”。項目增加，要求增強(qiáng)。
范圍增大，如對物理安全的“防靜電”，二級只要求“關(guān)鍵設(shè)備應(yīng)采用必要的接地防靜電措施”，三級則在對象的范圍上發(fā)生了變化，為“主要設(shè)備應(yīng)采用必要的接地防靜電措施”。范圍的擴(kuò)大，表明了該要求項強(qiáng)度的增強(qiáng)。
要求細(xì)化：如人員安全管理中的“安全意識教育和培訓(xùn)”，二級要求“應(yīng)制定安全教育和培訓(xùn)計劃，對信息安全基礎(chǔ)知識、崗位操作規(guī)程等進(jìn)行培訓(xùn)”，三級在對培訓(xùn)計劃進(jìn)行了進(jìn)一步的細(xì)化，為“應(yīng)針對不同崗位制定不同培訓(xùn)計劃”，培訓(xùn)計劃有了針對性，更符合各個崗位人員的實(shí)際需要。
粒度細(xì)化：如網(wǎng)絡(luò)安全中的“訪問控制”，二級要求“控制粒度為網(wǎng)段級”，三級要求則將控制粒度細(xì)化，為“控制粒度為端口級”。由“網(wǎng)段級”到“端口級”，粒度上的細(xì)化，同樣增強(qiáng)了要求的強(qiáng)度。
