依据《网络政务应用安全管理规定》及有关政策文件，政府类网站制作的安全等级保护需要主要包含以下内容：1、互联网安全等级保护基本需要1. 定级与备案 | 政府网站需依据《互联网安全法》及等级保护规范，根据业务重要程度和数据敏锐度进行安全定级。中央和国家机关、地市级以上党政机关门户网站，与承载要紧业务的应用系统（如网络邮件系统），需要符合互联网安全等级保护第三级（等保三级）需要。 | 定级后需向公安机关备案，并按期拓展等级评测和安全整改加固。
2. 技术手段 | 身份认证：使用多原因辨别技术（如密码技术、生物辨别等），其中至少一种需基于商用密码技术。对于涉及人身财产安全或公共利益的系统，需推行超时退出、登录失败次数限制、账号与终端绑定等手段。 | 访问控制：对面向员工的功能（如内部邮箱系统）推行IP地址段或设施访问限制，境外访问需通过白名单授权特定时段或设施。2、数据安全与日志管理1. 数据分类分级 | 对政务应用中的数据进行分类分级管理，重点保护个人信息、商业秘密及要紧数据，未经授权不能向第三方提供或公开。 | 用境内数据中心和云计算服务，且采购云平台需通过国家云计算服务安全评估。
2. 日志留存与审计 | 防火墙、主机、数据库等设施的运行日志、访问日志需留存至少1年，并按期备份以确保完整性和可用性。 | 对运维职员操作日志进行审计，最高管理员权限需由在编职员专人负责，外包职员权限需按最小必要原则精细化授权。3、外包与运维安全管理1. 外包单位管理 | 外包开发或运维时，需通过合同明确安全责任，禁止转包或分包，并监督数据用合规性。 | 外包职员不能直接管理核心系统（如操作系统、数据库），需通过堡垒机等工具达成细粒度权限控制和操作审计。
2. 灾备与业务连续性 | 要紧数据和系统需打造容灾备份机制，使用社会化专业灾备设施，防范提供商服务变更风险。4、邮件系统安全1. 专用邮箱系统建设 | 鼓励统一级建造师设机关事业单位专用邮箱，域名需以“.gov.cn”“.政务”或“.公益”为后缀，禁止用工作邮箱处置国家秘密。 | 关闭邮件自动转发和附件自动下载功能，部署恶意邮件测试拦截系统，支持钓鱼邮件威胁情报共享。
2. 账号管理 | 严格邮箱账号的申请、变更、注销步骤，按期清理闲置账号，并基于商用密码技术加密存储邮件数据。5、监测预警与应对处置1. 正常的状态监测 | 中央网信办会同有关部门对地市级以上政府网站拓展安全监测，各区域需打造平时监测机制。 | 实时监控互联网攻击、数据泄露等安全事件，准时启动应对预案并上报。
2. 应对响应 | 拟定业务连续性计划，防范因技术升级或提供商变更致使的运维风险，确保服务稳定。6、其他合规需要| 域名规范：党政机关网站域名需以“.gov.cn”或“.政务”为后缀，事业单位用“.cn”或“.公益”，且不能擅自出售域名。| 集约化建设：县级及以下政府原则上不单独网站建设，依托上级平台集约化管理，降低“信息孤岛”。总结政府类网站需以等级保护三级为核心，结合多原因认证、数据分类分级、外包风险管控等技术与管理手段，构建全方位安全防护体系。具体推行时，可参考《互联网安全等级保护基本需要》（GB/T 22239|2019）及《网络政务应用安全管理规定》的细化条约。
