单位网络安全事件分级处置管理实施细则

单位网络安全事件分级处置管理实施细则第一章总则第一条为建立健全本单位网络安全事件应急响应机制，规范网络安全事件的分级、监测、预警、报告、处置及善后等各项工作，提高应对网络安全事件的能力，预防和减少网络安全事件造成的损失与危害，保障本单位信息系统的安全、稳定、持续运行，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《个人信息保护法》及相关国家标准，结合本单位实际情况，制定本实施细则。第二条本细则适用于本单位及其下属各部门、分支机构在网络安全事件的预防、监测、预警、响应、处置、总结及日常管理等全生命周期活动。涉及本单位自建、外包运维的各类业务系统、基础网络设施、终端设备、数据中心及云端资产的安全事件管理，均遵照执行。第三条网络安全事件处置工作坚持“统一领导、分级负责；预防为主、平战结合；快速响应、科学处置；协同联动、权责一致”的原则。实行“谁主管谁负责、谁运行谁负责、谁使用谁负责”的责任机制，确保各项安全措施落地见效。第四条本细则所称网络安全事件，是指由于人为原因、软硬件缺陷或故障、自然灾害等因素，对本单位网络或信息系统造成危害，或对社会造成负面影响的事件。包括但不限于恶意程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障事件及灾害性事件等。第二章组织机构与职责第五条本单位设立网络安全工作领导小组，作为网络安全事件处置的最高决策与指挥机构。组长由单位主要负责人担任，副组长由分管信息化及安全工作的领导担任。主要职责包括：（一）负责审核批准本单位网络安全总体规划及应急处置规章制度；（二）负责特别重大（Ⅰ级）及重大（Ⅱ级）网络安全事件的统筹指挥与重大决策；（三）协调跨部门、跨层级及外部专业机构、监管部门的资源调配与联动处置；（四）听取网络安全事件总结报告，对责任部门及责任人进行定责追责。第六条网络安全工作领导小组下设网络安全应急办公室（以下简称“应急办”），设在信息化或网络安全主管部门。应急办主任由该部门负责人担任。应急办为日常办事机构与执行枢纽，主要职责包括：（一）负责本细则的日常落地执行、修订及解释工作；（二）组织建立并常态化运行网络安全态势感知与监测预警体系；（三）负责较大（Ⅲ级）及一般（Ⅳ级）网络安全事件的直接指挥与处置组织；（四）在重大及以上事件发生时，立即向领导小组报告并启动先期处置，负责现场指挥部的具体运作；（五）负责收集、研判、汇总安全情报与事件信息，按程序向公安、网信等监管部门报告；（六）组织全网性的网络安全应急演练与培训考核。第七条各业务部门及系统使用部门为网络安全事件的“第一责任方”，主要职责包括：（一）落实本部门业务系统的日常安全防护与隐患排查；（二）在发现系统异常或安全事件苗头时，第一时间向应急办报告；（三）在应急办指导下，执行业务中断、数据隔离、降级运行等业务侧应急处置措施；（四）配合开展事件溯源分析、定损评估及业务恢复工作。第八条网络安全技术支持团队（含内部安全专岗及外部签约安全厂商）为技术执行力量，主要职责包括：（一）负责安全设备策略配置、日志审计、漏洞扫描与渗透测试；（二）负责安全事件的技术研判、攻击源阻断、恶意样本提取与分析、系统加固与清理恢复；（三）提供应急响应过程中的专业技术支撑与数字取证工作。第三章网络安全事件分级标准第九条根据网络安全事件对本单位业务运转、数据资产、社会声誉及国家安全的影响程度，将网络安全事件由高到低划分为四个级别：特别重大网络安全事件（Ⅰ级）、重大网络安全事件（Ⅱ级）、较大网络安全事件（Ⅲ级）和一般网络安全事件（Ⅳ级）。第十条特别重大网络安全事件（Ⅰ级）是指导致本单位核心业务系统大面积瘫痪或关键数据遭到严重破坏，造成极其恶劣社会影响或重大经济损失的事件。符合下列情形之一的，即为Ⅰ级事件：（一）核心业务系统中断运行超过24小时，且影响范围覆盖本单位全员或主要服务对象；（二）涉及国家秘密、超过百万条以上敏感个人信息或核心业务数据遭到泄露、篡改或损毁，并对国家安全、社会公共安全造成严重威胁；（三）门户网站或关键信息基础设施被篡改为反动、煽动性政治有害信息，且持续时间超过2小时；（四）遭受国家级APT（高级持续性威胁）攻击，导致核心网络被长期控守或基础网络设施全面瘫痪。第十一条重大网络安全事件（Ⅱ级）是指导致本单位重要业务系统瘫痪或部分核心功能受损，造成严重经济损失或较大社会影响的事件。符合下列情形之一的，即为Ⅱ级事件：（一）重要业务系统中断运行超过8小时且不超过24小时，或核心业务系统中断运行超过2小时且不超过24小时；（二）涉及十万条以上、不超过百万条敏感个人信息或重要业务数据遭到泄露、篡改；（三）门户网站或重要业务系统页面被篡改，发布有害信息，造成较大负面影响；（四）内部网络大面积感染勒索病毒、木马等恶意程序，导致超过30%的终端或服务器无法正常工作。第十二条较大网络安全事件（Ⅲ级）是指导致本单位一般业务系统受损或局部网络中断，造成一定经济损失或内部影响的事件。符合下列情形之一的，即为Ⅲ级事件：（一）一般业务系统中断运行超过4小时且不超过8小时，或重要业务系统部分关键功能受损持续时间超过8小时；（二）涉及一万条以上、不超过十万条内部敏感数据或个人信息遭到泄露；（三）单个部门或分支机构内部网络瘫痪，影响该部门正常办公超过4小时；（四）内部网络发现传播性较强的恶意代码，虽未造成大面积断网，但存在严重扩散风险。第十三条一般网络安全事件（Ⅳ级）是指对单位业务影响轻微，通过简单处置即可恢复的事件。符合下列情形之一的，即为Ⅳ级事件：（一）一般业务系统短暂中断（不超过4小时）或个别非关键终端无法使用；（二）少量（一万条以下）非敏感内部数据泄露或个别员工账号被盗用，未造成实际损失；（三）遭遇常规DDoS攻击或扫描探测，被安全设备成功拦截，未造成业务实质影响；（四）发现一般性系统漏洞或弱口令等安全隐患，虽尚未被利用，但需立即修复。第四章监测与预警机制第十四条应急办负责建立常态化网络安全监测预警体系，整合防火墙、入侵检测系统（IDS/IPS）、Web应用防火墙（WAF）、终端安全管理系统（EDR）、日志审计系统及网络流量分析系统（NTA）等多源数据，实现对网络边界、核心主机、应用层及数据层的全面覆盖与持续监测。第十五条任何内部员工或外部人员发现疑似网络安全事件（如系统异常卡顿、账号异常登录、页面被篡改、收到钓鱼邮件等），均有义务立即通过内部服务热线、工单系统或直接向应急办报告。报告内容应尽可能包含：事件发生时间、受影响系统或IP地址、异常现象描述、已采取的初步措施等关键要素。第十六条应急办在接报或通过监测系统发现安全告警后，须在15分钟内完成初步研判。研判结论分为四级预警：红色预警（可能引发Ⅰ级事件）、橙色预警（可能引发Ⅱ级事件）、黄色预警（可能引发Ⅲ级事件）、蓝色预警（可能引发Ⅳ级事件）。第十七条预警发布与响应：（一）发布蓝色预警时，应急办技术团队应立即介入，核查告警真实性，排查潜在隐患，并通知相关业务部门做好防范准备。（二）发布黄色预警时，应急办应启动专项盯防，调整安全设备防护策略，限制可疑IP访问，同时通报业务部门评估系统降级运行的可能性。（三）发布橙色及红色预警时，应急办须立即进入战时状态，通报全单位暂停非必要系统变更与外网数据交互，并向网络安全工作领导小组及上级监管部门进行预警通报，启动跨部门协同防范。第五章应急响应与处置流程第十八条网络安全事件处置遵循“发现—报告—研判—启动—处置—降级—解除”的闭环管理流程。各级别事件的响应时限与处置权限严格挂钩，严禁越权指挥或迟报瞒报。第十九条报告与先期处置机制。一旦确认为网络安全事件，应急办须在30分钟内完成内部通报。发生Ⅲ级及以上事件时，须在1小时内向上级网信、公安等监管部门报告。在报告的同时，技术团队应立即执行先期处置，遵循“先断网后恢复、先隔离后查杀”的原则，迅速切断攻击源或受控主机与核心网络的连接，防止事态扩散。第二十条应急预案启动权限：（一）Ⅳ级事件由应急办技术团队负责人决定启动相应级别处置预案；（二）Ⅲ级事件由应急办主任决定启动处置预案，并报分管领导备案；（三）Ⅱ级及以上事件由网络安全工作领导小组组长批准启动总体应急预案，应急办立即组建现场指挥部、技术处置组、业务恢复组及对外联络组。第二十一条分级处置技术实施细则：（一）针对Ⅰ级、Ⅱ级事件（重大及以上）：1.现场封控：实施物理或逻辑强隔离，拔除受感染网线，阻断受损网段通信。非授权人员严禁触碰受影响设备，保留内存镜像及磁盘全量镜像供后续取证。2.业务切换：立即启动灾备中心或异地备份系统。若无法切换，应根据预案执行业务紧急熔断或手工降级运行，确保最核心基础业务不彻底中断。3.溯源反制：调动外部专家团队，结合全网流量回溯与日志深度关联分析，还原攻击链路，提取攻击工具特征（如恶意IP、域名、Hash值），并在全网安全设备上下发全局阻断策略。4.通报与公关：领导小组统一口径，按规定向监管部门续报进展。涉及用户数据泄露的，由法务及公关部门联合制定对外披露及用户安抚方案，严防次生舆情危机。（二）针对Ⅲ级事件（较大）：1.精准隔离：在网络边界针对特定受控IP或端口实施封堵，将受感染终端移入独立隔离VLAN进行查杀清理。2.漏洞修补：定位攻击入口，若为应用层漏洞，立即下发WAF虚拟补丁或停用受漏洞影响的接口，组织开发团队进行代码级修复与复测。3.数据恢复：在确认环境安全后，利用最近的离线或异地备份数据进行受损数据的定向恢复，恢复后进行一致性校验。（三）针对Ⅳ级事件（一般）：1.常规清理：通过终端安全平台下发查杀脚本，清理恶意进程及启动项，修复系统弱口令及配置缺陷。2.复盘加固：形成单次事件处理工单，更新安全知识库，针对该类攻击向量在全网开展专项排查，消除同类隐患。第二十二条典型场景处置专项要求：（一）勒索病毒事件：发现后第一时间阻断染毒主机网络，严禁重启或强制关机以防触发破坏逻辑。提取病毒样本分析加密特征，若为已知家族可尝试使用公开解密工具；若无解密可能，评估备份数据可用性后格式化重装，严禁向攻击者支付赎金。（二）网页篡改事件：立即断开被篡改服务器的网络连接。通过旁路设备将流量切换至静态页面或备用节点。排查WebShell后门及系统隐藏账号，修复Web应用漏洞并重置所有相关数据库及系统密码。保留篡改前后的页面快照作为电子证据。（三）数据泄露事件：迅速锁定数据外发通道（如FTP、网盘、邮件），封堵外发IP及账号。冻结涉事账号权限，调取操作日志界定泄露范围与时间节点。法务部门介入评估触发《个人信息保护法》的合规风险，必要时向受影响个人发送安全通知。（四）DDoS攻击事件：立即启动抗D设备或联系运营商进行流量清洗。若攻击流量超过本地防御阈值，迅速将业务DNS解析至云端高防节点。持续监控业务接口可用性，保障核心交易链路畅通。第二十三条应急降级与解除。当事件被有效控制、攻击源被彻底阻断、系统漏洞完成修复且业务连续稳定运行超过2小时后，由技术处置组提出降级或解除建议。Ⅰ、Ⅱ级事件须经领导小组组长签字确认后解除；Ⅲ级由应急办主任确认解除；Ⅳ级由技术团队负责人确认解除。第六章调查评估与事后整改第二十四条事件解除后5个工作日内，应急办牵头成立事件调查组，对事件进行全面复盘调查。调查过程需严格遵循电子取证规范，确保日志、镜像等证据链的完整性与不可篡改性。调查组独立开展分析，不受业务部门干预。第二十五条调查组应出具《网络安全事件调查与评估报告》，报告核心内容必须包含：（一）事件时间轴：从初始攻击植入点、首次发现、各阶段处置动作到最终恢复的完整时间节点；（二）根因分析：明确攻击者利用的具体漏洞（如CVE编号）、薄弱环节（如弱口令、配置不当、内部人员违规）及网络防护体系的失效节点；（三）损失评估：核算直接经济损失（如系统停机损失、硬件损坏、应急服务费）及间接损失（如声誉受损、监管罚款风险、用户流失）；（四）责任界定：明确技术运维方、业务管理方或外包服务方在事件中的失职行为及责任比例。第二十六条整改闭环管理。针对报告中暴露出的安全短板，应急办向责任部门下发《网络安全整改督办单》，明确整改措施、责任人及完成时限。整改方案须包括技术加固（如升级架构、部署新安全设备）、管理优化（如修订权限审批流程）及人员培训三个维度。整改完成后，由第三方安全机构或独立审计团队进行复测验证，未通过复测的予以通报考核。第七章保障措施与日常管理第二十七条人员与经费保障。本单位将网络安全应急体系建设纳入年度预算，专项保障安全设备采购、漏洞众测、威胁情报订阅及外部应急响应专家库聘用等费用。建立网络安全专业人才梯队，设立专岗专编，鼓励技术人员考取CISP、CISSP等专业认证，确保团队具备应对复杂高级威胁的能力。第二十八条技术与工具保障。建立完善的日志集中审计中心，留存不少于6个月的关键网络及系统日志。建立异地灾备中心，定期进行数据全量及增量备份，核心系统实现RTO（恢复时间目标）小于4小时，RPO（恢复点目标）小于1小时。配置并定期更新网络拓扑图、资产清单及应急处置工具箱（含便携式取证设备、清理脚本库）。第二十九条演练与培训机制。应急办每年至少组织一次跨部门的Ⅱ级及以上网络安全事件实战化演练。演练应采取无脚本盲演形式，真实模拟勒索病毒、数据泄露等极端场景，检验各部门协同联动效率。演练结束后出具评估报告，针对预案中暴露的滞后环节进行修订。新员工入职培训必须包含网络安全红线与事件报告流程，每年全员网络安全培训不少于4学时。第三十条外部协作机制。与属地公安机关网络安全保卫部门、网信办建立常态化信息通报机制；加入行业网络安全信息共享平台，及时获取预警情报。与两家以上具备国家应急服务资质的外部安全厂商签订正式应急响应服务协议，确保在发生超出自有处置能力的重大事件时，专家团队能在2小时内到