《信息安全等級保護管理辦法》規(guī)定，國家信息安全等級保護堅持自主定級、自主保護的原則。信息系統(tǒng)的安全保護等級應(yīng)當(dāng)根據(jù)信息系統(tǒng)在國家安全、經(jīng)濟建設(shè)、社會生活中的重要程度，信息系統(tǒng)遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等因素確定。
二級基本要求：在一級基本要求的基礎(chǔ)上，技術(shù)方面，二級要求在控制點上增加了物理位置的選擇、防靜電、電磁防護、審計、網(wǎng)絡(luò)入侵防范、邊界完整性檢查、審計、主機資源控制、應(yīng)用資源控制、審計、通信保密性以及數(shù)據(jù)保密性等。管理方面，增加了審核和檢查、管理制度的評審和修訂、人員考核、管理、變更管理和應(yīng)急預(yù)案管理等控制點。
三級基本要求：在二級基本要求的基礎(chǔ)上，技術(shù)方面，在控制點上增加了網(wǎng)絡(luò)惡意代碼防范、剩余信息保護、抗抵賴等。管理方面，增加了系統(tǒng)備案、安全測評、監(jiān)控管理和安全管理中心等控制點。
四級基本要求：在三級基本要求的基礎(chǔ)上，技術(shù)方面，在系統(tǒng)和應(yīng)用層面控制點上增加了安全標(biāo)記、可信路徑。
要求項增多，如對“身份鑒別”，一級要求“進行身份標(biāo)識和鑒別”，二級增加要求“口令復(fù)雜度、登錄失敗保護等”，三級則要求“采用兩種或兩種以上組合的鑒別技術(shù)”。項目增加，要求增強。
范圍增大，如對物理安全的“防靜電”，二級只要求“關(guān)鍵設(shè)備應(yīng)采用必要的接地防靜電措施”，三級則在對象的范圍上發(fā)生了變化，為“主要設(shè)備應(yīng)采用必要的接地防靜電措施”。范圍的擴大，表明了該要求項強度的增強。
要求細(xì)化：如人員安全管理中的“安全意識教育和培訓(xùn)”，二級要求“應(yīng)制定安全教育和培訓(xùn)計劃，對信息安全基礎(chǔ)知識、崗位操作規(guī)程等進行培訓(xùn)”，三級在對培訓(xùn)計劃進行了進一步的細(xì)化，為“應(yīng)針對不同崗位制定不同培訓(xùn)計劃”，培訓(xùn)計劃有了針對性，更符合各個崗位人員的實際需要。
粒度細(xì)化：如網(wǎng)絡(luò)安全中的“訪問控制”，二級要求“控制粒度為網(wǎng)段級”，三級要求則將控制粒度細(xì)化，為“控制粒度為端口級”。由“網(wǎng)段級”到“端口級”，粒度上的細(xì)化，同樣增強了要求的強度。
