2026年网络安全六月风险评估方案

2026年网络安全六月风险评估方案一、评估范围与核心目标本次2026年六月网络安全风险评估，针对六月我国网络空间特定风险场景设计，覆盖五大类重点评估对象：一是各级教育招生考试机构、高中高校的招生招录系统，二是电商平台、品牌商家、支付服务机构等618大促相关主体，三是交通、能源、水利、通信等领域关键信息基础设施运营者，四是开展毕业季招聘的各类企事业单位，五是提供互联网信息服务的中小微企业。核心目标包括：识别六月特定业务场景下新增的脆弱性与威胁，量化风险等级，明确不同等级风险的整改要求与管控责任，提前处置高发安全风险，保障六月全周期核心业务稳定运行，防范重大数据泄露、财产损失与社会影响事件。本次评估严格遵循《网络安全法》《关键信息基础设施安全保护条例》《信息安全技术网络安全风险评估规范》（GB/T20984-2022）相关要求开展，所有威胁参数基于国家计算机网络应急技术处理协调中心（CNCERT）2026年第一季度威胁情报报告、公安部网安局2025年六月网络诈骗案件统计数据校准，数据偏差控制在5%以内。二、评估基准与参数设定本次评估采用通用风险量化计算模型：风险值R=发生概率P×影响程度I，其中P取值范围为0-1，I取值范围为0-10，最终R取值范围为0-10，风险等级划分规则为：低危风险：0＜R≤3，风险可接受，常规维护即可中危风险：3＜R≤6，风险需要管控，限期完成整改高危风险：6＜R≤10，且R≥7，风险需要立即处置，防范安全事件发生极危风险：R=10，已经发生或极有可能发生重大安全事件，需要启动应急响应结合2026年六月四大核心高风险场景，对基础风险权重做针对性调整，场景权重调整规则为：全国高考招录场景，所有涉及考生信息资产风险权重上浮0.2；618电商大促场景，所有涉及交易、支付资产风险权重上浮0.18；毕业季招聘场景，人事、邮箱系统资产风险权重上浮0.15；企业年中财务结算场景，财务系统资产风险权重上浮0.12。本次评估采用的基础威胁基线参数为：2026年第一季度，境内勒索病毒攻击频次同比2025年第一季度上升18.7%，DDoS攻击峰值均值达到1.28Tbps，同比上升12.3%，针对消费、教育领域的钓鱼攻击占比达到41.2%，境外APT组织针对我国关键信息基础设施的攻击活动频次同比上升27.4%，AI生成诈骗内容的成本同比下降62%，平均每生成100条AI克隆诈骗语音仅需4元成本，诈骗成功率较传统诈骗提升34.8%。三、分领域风险识别与量化评估（一）教育招生领域本领域核心风险围绕高考招录前期的信息窃取与诈骗活动展开，核心风险点量化结果如下：1.考生信息数据库异常访问风险：2025年六月，暗网平台公开售卖的我国考生个人信息累计达到128.7万条，黑产针对招生系统的攻击频次较日常提升210%，2026年AI工具降低了自动化攻击门槛，预测攻击成功概率为85%，影响程度评分为9，调整权重后风险值为7.65，判定为高危风险。2.涉高考钓鱼站点与AI诈骗风险：据公安部网安局2025年统计，六月涉高考诈骗案件共计1.27万起，造成直接经济损失超过16亿元，人均损失12800元，同比上升21.3%，2026年AI换脸、AI语音克隆技术已被黑产广泛用于伪造招录官员身份、制作虚假录取通知，诈骗成功率较2025年提升30%，发生大范围诈骗事件的概率为78%，影响程度评分为9，调整权重后风险值为7.02，判定为高危风险。本领域风险等级自测选择题：本单位近30天针对招生系统、考生数据库的异常监测结果符合以下哪项？选项：未监测到任何针对招生系统、考生数据库的异常端口扫描与访问请求监测到1-5次来自境外IP的异常访问请求，未发生未授权登录监测到6次及以上异常访问，存在多次未授权登录尝试已经发生过至少1次考生信息泄露事件（二）电商消费领域本领域核心风险围绕618年中大促的业务流量峰值与黑产牟利活动展开，核心风险点量化结果如下：1.中小电商勒索病毒与DDoS攻击风险：2025年618期间，头部电商平台日均遭遇DDoS攻击217次，中小电商平均日均遭遇攻击12次，攻击成功率同比上升8.2%，2026年第一季度Mirai变种僵尸网络新增受控节点120万个，其中境内节点占比23%，黑产常用DDoS攻击勒索中小电商索要加密货币，预测2026年六月中小电商遭受勒索攻击的概率为72%，影响程度评分为8，调整权重后风险值为6.91，判定为高危风险。2.电商SaaS平台与第三方插件漏洞风险：2026年第一季度国家信息安全漏洞共享平台（CNVD）累计收录电商SaaS领域高危漏洞17个，平均CVSS评分为8.7，其中8个漏洞属于可远程利用的未授权访问漏洞，可直接窃取用户订单、支付信息，本次评估中该风险发生概率为68%，影响程度评分为8，调整权重后风险值为5.91，判定为中危风险。3.虚假促销钓鱼诈骗风险：黑产通过AI生成大量虚假促销页面、伪造官方优惠券链接，诱导用户输入账号密码、支付信息，2025年六月该类钓鱼页面日均新增1.2万个，2026年预测日均新增数量将上升22%，该风险发生概率为82%，影响程度评分为6，调整权重后风险值为5.41，判定为中危风险。本领域风险等级自测选择题：本单位618大促预备阶段资产脆弱性排查结果符合以下哪项？选项：全量活动页面、支付接口、第三方优惠券插件完成漏洞扫描，未发现高危漏洞仅完成核心交易系统扫描，未覆盖活动推广落地页、第三方引流插件未开展专项脆弱性排查，依赖日常常规防护机制近30天已经监测到至少1次支付接口异常请求（三）关键信息基础设施领域本领域核心风险围绕六月年中设备检修、系统更新带来的外部接入风险与供应链攻击风险，核心风险点量化结果如下：1.境外APT组织供应链攻击风险：CNCERT2026年第一季度数据显示，境外APT组织针对我国关键信息基础设施的攻击中，41%来自美国IP，18%来自中国台湾地区IP，12%来自韩国IP，APT组织偏好利用软件厂商更新渠道投放恶意代码，2025年六月曾发生针对电力行业设备固件更新的供应链攻击，影响三个省级电网的1200余台终端设备，本次评估中该风险发生概率为65%，影响程度评分为10，调整权重后风险值为6.5，判定为中高危风险。2.外部运维接入风险：六月关键信息基础设施领域多数单位开展年度中期设备检修，大量外部厂商运维人员需要接入内网开展操作，若准入管控不到位，极易导致内网被渗透，本次评估中该风险发生概率为70%，影响程度评分为8，调整权重后风险值为5.6，判定为中危风险。本领域风险等级自测选择题：本单位六月计划开展的外部运维接入管控符合以下哪项要求？选项：全量外部运维人员采用零信任动态授权，全程操作审计，操作完成后立即回收权限仅采用静态账号密码验证，未对操作过程做全程审计未针对六月运维新增专项管控规则，沿用日常运维管理流程曾发生过外部运维账号泄露导致的内网渗透事件（四）中小企事业单位领域本领域核心风险围绕毕业季招聘与年中财务结算两大场景，核心风险点量化结果如下：1.招聘钓鱼邮件风险：2026年全国应届毕业生规模达到1158万人，较2025年增加40万人，2025年毕业季暗网新增售卖的应届生求职信息超过210万条，单条信息平均售价仅0.3元，黑产大量发送冒充求职者的带毒钓鱼邮件，窃取企事业单位内网数据，中小企事业单位多数没有专业网络安全团队，邮件沙箱检测能力不足，本次评估中该风险发生概率为82%，影响程度评分为8，调整权重后风险值为6.97，判定为高危风险。2.AI假冒老板财务诈骗风险：年中结算期间资金流转规模大，黑产利用AI克隆企业负责人语音、伪造聊天记录，诱导财务人员转账，2025年六月该类诈骗案件造成我国中小企业直接经济损失超过32亿元，平均单笔损失28万元，最高单笔损失超过1200万元，2026年AI语音克隆的准确率达到98%以上，普通人无法分辨，诈骗成功率较2025年提升35%，本次评估中该风险发生概率为80%，影响程度评分为9，调整权重后风险值为7.2，判定为高危风险。本领域风险等级自测选择题：本单位财务、HR部门近30天是否开展过针对招聘诈骗、AI诈骗的专项安全培训？选项：开展过全员专项培训，完成诈骗案例模拟测试，全员测试通过率100%仅发布了安全提醒通知，未开展培训和模拟测试未做任何相关安全提醒与培训工作曾发生过诈骗未遂事件，未落实针对性整改四、评估实施流程安排本次评估全周期为2026年5月25日至2026年6月15日，分四个阶段推进：1.准备阶段（5月25日-5月31日）：组建专项评估团队，成员包括单位网络安全负责人、各核心业务部门联系人，必要时可邀请具备资质的第三方评估机构参与，完成六月新增业务资产全量梳理，覆盖所有公网IP、域名、云资产、第三方接口、新增业务模块，要求资产梳理覆盖率达到100%，不得遗漏对外服务的隐性资产，明确各资产的责任主体到人。2.信息采集与探测阶段（6月1日-6月5日）：采集近三个月核心资产的访问日志、异常告警记录，匹配最新威胁情报完成资产漏洞扫描，针对核心业务系统开展模拟渗透测试，验证漏洞的可利用性，收集业务部门上报的异常情况，完成风险信息全量汇总。3.风险分析与分级阶段（6月6日-6月10日）：按照本次评估设定的参数与权重，计算每个风险点的风险值，完成风险等级判定，梳理出高危、极危风险清单，明确风险影响范围与潜在损失。4.报告输出与整改跟踪阶段（6月11日-6月15日）：输出正式的2026年六月网络安全风险评估报告，明确每个风险点的整改要求、责任主体、完成时限，建立整改跟踪台账，每周更新整改进度，整改完成后重新开展风险评估，确认风险降至可接受范围。五、分等级风险管控要求针对不同等级风险，明确管控要求如下：低危风险：不影响核心业务运行，风险可接受，纳入日常安全监控列表，每月定期复查即可，无需安排专项整改。中危风险：可能影响非核心业务运行，或存在潜在威胁，要求责任主体在15个自然日内完成整改，整改完成后提交整改报告，由评估团队复核风险等级。高危风险：直接威胁核心业务安全，可能造成重大损失，要求责任主体在72小时内完成整改，关停存在风险的不必要对外服务，落实防护措施，评估团队全程跟踪整改进度。极危风险：已经发生安全事件或极大概率发生重大安全事件，要求立即启动应急响应，关停受影响系统，隔离风险区域，溯源攻击路径，按要求上报监管部门，开展应急处置。针对六月四大高风险场景，落实专项管控措施：高考招录场景，对考生信息采用全流程加密存储，关闭考生数据库不必要的公网访问端口，启用异常访问告警规则，对单日查询超过50条考生信息的IP直接拦截，对所有招录通知发送前做内容校验；618大促场景，提前扩容DDoS清洗容量，至少达到日常流量峰值的3倍，对活动推广页面做静态化处理，对异常批量领取优惠券、刷单的IP段做拦截，对所有支付接口启用双向鉴权；毕业招聘场景，禁止HR将简历附件直接下载至内网办公电脑，要求采用在线预览模式，对所有带附件的邮件启用沙箱检测，阻止恶意文件运行；年中财务结算场景，严格落实转账双人复核制度，所有大额转账必须经过当面或视频身份核实，禁止仅凭语音、文字指令转账，财务系统登录启用双因子认证。六、评估质量控制与持续监控要求为保障评估结果准确可靠，明确质量控制标准：资产梳理错漏率不得超过1%，核心资产