GB-T 42440-2023 中文版 信息安全技术 网络安全事件分类分级指南

GB/T42440-2023中文版信息安全技术网络安全事件分类分级指南前言本文件由国家市场监督管理总局、国家标准化管理委员会联合发布，于2023年正式发布并确定实施时间，属于国家推荐性信息技术与网络安全领域专项国家标准。本文件立足我国网络空间安全治理、网络运营合规管理、网络安全事件应急处置实战实际需求，结合当前数字化转型背景下网络攻击频发、安全风险多样化、事件处置规范化诉求持续提升的行业现状，替代过往相关网络安全事件分类分级指导性文件，进一步统一全国范围内网络安全事件的判定口径、分类维度与分级判定规则。本文件编制过程中，充分衔接《中华人民共和国网络安全法》《中华人民共和国数据安全法》《关键信息基础设施安全保护条例》等法律法规要求，贴合关键信息基础设施运营者、网络运营企业、政务信息化单位、行业监管部门等各类主体的实际工作场景，兼顾通用性与行业适配性，既适用于通用网络场景下的常规网络安全事件管理，也可支撑重点行业专属网络安全事件的研判、报备与处置工作。本文件主要起草单位涵盖国内网络安全标准化专业机构、关键信息基础设施重点运营单位、网络安全技术研发企业及相关行业监管支撑机构，凝聚了网络安全管理、应急处置、安全技术研判等多领域专家实践经验，确保标准内容科学严谨、贴合实战、落地可行。1范围本文件系统规定了信息安全技术领域网络安全事件的基础分类原则、具体分类划分方式、分级核心判定依据、分级等级划定标准以及分类分级工作配套实施应用要求，明确了网络安全事件全生命周期管理过程中分类分级的统一执行规范与研判准则。本文件适用于全国各级网络监管主管部门、关键信息基础设施运营单位、各类网络运营者、信息系统建设运维机构、网络安全应急处置机构以及相关第三方网络安全服务机构开展网络安全事件日常监测研判、事件精准认定、风险动态预警、信息逐级通报、应急快速处置、事后复盘评估、事件台账建档管理等全流程相关工作。同时，本文件可为各行业主管部门制定本行业专属网络安全事件管理细则、网络安全应急预案编制、网络安全应急演练组织实施、网络安全工作绩效考核、网络安全风险常态化排查整改等相关工作提供基础合规依据和标准化技术支撑。本文件不适用于纯物理设施损毁、非网络关联的实体治安事件、自然灾害直接导致的硬件设备物理损坏且未引发网络系统运行异常及数据安全风险的相关事件，仅聚焦依托网络空间、网络信息系统、数据处理活动、网络服务运营等环节引发的各类网络安全相关事件。2规范性引用文件下列引用文件对于本文件的应用必不可少，凡是标注日期的引用文件，仅对应标注日期的版本适用于本文件；凡是未标注日期的引用文件，其最新有效版本包含所有修改单内容均适用于本文件。核心引用文件涵盖网络安全基础术语国家标准、信息安全事件应急处置相关规范、关键信息基础设施安全保护相关标准、数据分类分级安全管理相关国家标准、网络安全监测预警技术规范、网络安全信息通报管理相关工作规范等一系列国家及行业专项标准。所有规范性引用文件共同构成本文件网络安全事件分类分级的基础合规框架与技术依据，确保本文件各项条款要求与国家现有网络安全标准体系衔接一致，无规则冲突、口径偏差等问题，保障各类网络安全事件判定工作合规统一、标准协同。3术语和定义3.1网络安全事件，指由于人为蓄意攻击、恶意操作、非人为操作失误、系统运行故障、软硬件设备缺陷、网络配置错误、外部环境干扰等各类原因，导致网络系统、信息业务系统、数据处理平台、网络服务链路等出现运行异常、功能失效、数据泄露、数据篡改、数据丢失、系统受控、服务中断、权限失控等安全危害后果，对网络正常运行秩序、数据安全合规状态、业务持续开展能力、用户合法权益、公共网络安全利益乃至国家安全造成或可能造成危害的各类事件统称。3.2网络运营者，指按照网络安全相关法律法规要求，从事网络基础设施建设运维、网络服务提供、信息系统运营管理、数据收集处理存储传输使用等相关活动的法人单位、非法人组织及相关运营管理机构，包含政务网络运营单位、通信网络运营企业、互联网平台运营企业、行业专属业务系统运营单位、关键信息基础设施运营主体等各类相关机构。3.3关键信息基础设施，指面向公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的网络设施、信息系统及相关配套软硬件设施集合。3.4事件影响范围，指网络安全事件发生后，受事件直接影响和间接波及的网络区域范围、信息系统数量、业务服务覆盖用户规模、关联行业机构数量、地理区域覆盖范围等综合维度的影响辐射边界。3.5事件危害程度，指网络安全事件造成的直接经济损失、间接经济损失、数据安全损害后果、业务中断持续时长、社会舆论影响程度、公共秩序扰乱程度、国家安全受影响程度以及用户权益受损规模等各类危害后果的综合量化与定性判定结果。4总体分类分级原则4.1科学性原则，网络安全事件分类分级工作需立足网络安全事件发生机理、攻击手段特征、危害表现形式、影响传导规律等核心客观要素，依托网络安全技术研判数据、事件处置实战经验、安全风险评估结论开展判定，杜绝主观随意认定、口径差异化判定等问题，确保分类维度清晰、分级依据客观、判定结论精准贴合事件实际情况。4.2统一性原则，全国范围内所有地区、所有行业、各类网络运营主体开展网络安全事件分类分级工作，均需遵循本文件统一规定的分类体系、分级标准与判定流程，统一事件认定口径、统一等级划分尺度、统一上报处置标准，保障跨区域、跨部门、跨行业网络安全事件协同处置、信息互通共享、数据统计汇总工作有序开展。4.3实用性原则，分类分级规则贴合基层网络安全管理与应急处置实际工作场景，判定流程简洁明晰、操作便捷易行，无需复杂冗余判定环节，既适配大型关键信息基础设施运营单位复杂网络环境下的重大事件研判，也适配中小型网络运营单位常规小型网络安全事件的快速认定，兼顾管理规范性与实操便捷性。4.4动态适配原则，网络安全事件分类分级判定需结合事件发生实时态势、危害扩散进度、处置推进效果、风险演变趋势动态调整，对于初期危害较轻但后续快速升级扩散的事件，需及时重新核定事件类别与等级，同步调整应急处置响应级别，确保分类分级结果适配事件全周期演变态势。4.5权责匹配原则，网络安全事件分类分级判定工作与网络安全事件应急处置权责划分、上报报备要求、整改追责机制相互匹配，不同等级网络安全事件对应不同层级处置主体、响应流程、报备时限与整改要求，实现分级判定、分级响应、分级管控、分级追责的闭环管理。5网络安全事件分类本文件按照网络安全事件发生诱因、攻击行为类型、危害作用对象、安全损害核心表现四大核心维度，对各类网络安全事件进行系统性划分，摒弃碎片化分类方式，形成层级清晰、覆盖全面、互不重叠的网络安全事件分类体系，所有网络空间内发生的安全相关事件均可对应归入对应类别，无分类空白、无类别交叉冲突问题。5.1恶意网络攻击类事件，该类事件主要指各类组织或个人以蓄意破坏、非法牟利、信息窃取、系统控制、舆论造势、恶意报复等主观恶意目的，利用各类网络攻击技术、攻击工具、攻击链路针对目标网络、信息系统、数据资源、网络服务平台发起的主动性恶意攻击行为引发的安全事件。核心包含网络入侵渗透攻击事件、恶意代码植入传播感染事件、网络钓鱼诱骗攻击事件、分布式拒绝服务流量攻击事件、网页篡改与网站挂马攻击事件、系统后门植入与持久控制事件、供应链投毒恶意攻击事件、APT高级持续性威胁攻击事件等各类主动恶意攻击引发的网络安全危害事件，此类事件均具备主观蓄意性、攻击针对性、危害破坏性强、风险扩散速度快的核心特征。5.2数据安全违规损害类事件，该类事件核心围绕网络数据收集、存储、传输、处理、使用、共享、销毁等全生命周期数据处理活动，因人为违规操作、系统防护缺失、权限管理失控、防护措施失效等原因引发的数据相关安全事件。主要涵盖个人信息违规泄露、重要行业业务数据非法泄露、核心涉密数据违规外传、数据被非法篡改伪造、数据无故丢失损毁、数据违规跨境传输、数据过度采集滥用、数据备份失效导致数据无法恢复等各类数据安全危害事件，重点聚焦数据保密性、完整性、可用性遭受破坏引发的各类安全问题，直接关联数据安全合规管理核心要求。5.3网络运行故障异常类事件，该类事件非主观恶意攻击引发，主要因网络设备软硬件老化损坏、信息系统程序代码缺陷、网络拓扑配置错误、设备运维操作失误、系统升级更新失败、网络链路线路故障、机房供电环境异常、设备兼容适配故障等非蓄意性因素，导致网络整体运行中断、业务系统服务瘫痪、网络通信链路堵塞卡顿、设备离线失联、系统功能异常失效等网络运行层面的安全事件。此类事件无主观攻击意图，多为运维管理疏漏、设备硬件故障、系统运维操作不当导致，核心危害集中在网络与业务服务可用性受损层面。5.4网络权限管控失控类事件，该类事件主要因网络账号权限分配不合理、账号密码管理不规范、身份认证机制失效、权限审批流程违规、离职人员账号未及时注销、超级权限滥用、第三方运维账号管控不严等权限管理疏漏问题，引发的账号非法登录、权限越权操作、非法访问核心系统、内部人员违规操作系统数据、权限流转失控等安全事件。此类事件多源于内部安全管理体系缺失、人员管控不到位、权限安全防护机制不完善，易引发内部数据泄露、系统操作篡改、业务违规处置等衍生危害。5.5网络内容安全违规类事件，该类事件主要指依托网络平台、网站页面、社交传播渠道、信息发布系统等网络载体，违规发布、传播、扩散违法违规信息、不良有害信息、虚假误导信息等内容，引发网络空间秩序混乱、社会舆论负面波动、公共利益受损等安全事件。包含违法违规舆情信息传播、虚假网络信息大范围扩散、有害不良内容违规发布、网络谣言煽动性传播等相关事件，重点管控网络信息传播层面的安全合规与公共秩序维护。5.6其他衍生网络安全事件，除上述五大核心类别之外，因网络新技术应用安全风险、新型网络业态运营漏洞、跨界网络安全关联风险等各类其他因素引发的网络安全相关事件，统一归入其他衍生网络安全事件类别，确保所有网络安全事件均可实现全覆盖分类，后续可根据网络安全新业态、新风险发展态势，适时细化补充该类别下细分事件类型。6网络安全事件分级依据网络安全事件分级核心以事件危害程度、影响覆盖范围、业务中断持续时长、数据安全损害等级、社会及公共影响程度、国家安全关联程度六大核心核心要素作为基础判定依据，所有分级判定工作均围绕六大要素综合研判，不单一依靠某一项指标下定等级结论，兼顾定量量化指标与定性综合研判相结合的判定方式。危害程度维度重点考量事件造成的直接经济损失数额、间接经济损失规模、软硬件设备损毁程度、业务数据破坏程度、安全防护体系损毁情况等实质性损害后果；影响覆盖范围维度重点考量事件波及的地理区域大小、受影响用户数量多少、关联业务系统数量、涉及行业机构数量、是否跨区域跨行业扩散等辐射范围情况；业务中断时长维度重点考量核心主营业务、公共服务业务、关键民生业务的中断停运持续时间，以及业务恢复正常运行所需整改处置周期；数据安全损害等级维度重点考量泄露、篡改、丢失数据的类型，区分普通个人信息、重要业务数据、核心敏感数据、涉密关键数据不同等级损害后果；社会及公共影响维度重点考量事件是否引发负面社会舆论、是否扰乱公共生产生活秩序、是否引发群众投诉举报聚集等社会反响情况；国家安全关联维度重点考量事件是否对关键信息基础设施安全运行、国家网络空间安全、重要行业核心安全利益造成潜在或实质性危害。7网络安全事件分级标准结合上述分级核心依据，本文件将网络安全事件从高到低划分为特别重大网络安全事件、重大网络安全事件、较大网络安全事件、一般网络安全事件四个等级，等级越高代表事件危害越严重、影响范围越广泛、处置紧迫性越强、管控要求越严格，不同等级对应差异化的应急响应级别、上报报备时限、处置管控力度与事后整改追责标准。7.1特别重大网络安全事件，该等级为最高级别网络安全事件，指事件危害程度极其严重，影响覆盖全国范围或多个省级行政区域，直接导致国家级关键信息基础设施核心业务全面长时间中断，海量核心敏感数据、涉密重要数据大规模泄露或损毁，造成巨额经济损失，引发全国性负面社会舆论波动，严重扰乱公共生产生活秩序，直接危害国家网络空间安全和国计民生核心利益，处置难度极大、风险扩散不可逆、后续危害影响深远的网络安全事件。此类事件需立即上报国家网络安全主管部门，启动国家级应急处置响应机制，统筹全国相关资源协同开展处置工作。7.2重大网络安全事件，指事件危害程度严重，影响覆盖单个省级行政区域或多个市级行政区域，导致省级重点关键信息基础设施核心主营业务长时间中断，大量重要业务数据、大规模个人敏感数据泄露或篡改，造成重大经济损失，引发区域性负面社会舆情，扰乱区域内公共服务与生产经营正常秩序，对区域网络安全稳定运行造成严重冲击，处置难度较高、风险扩散速度较快的网络安全事件。此类事件需第一时间上报省级网络安全主管部门，启动省级专项应急处置响应，统筹区域内相关单位协同处置管控。7.3较大网络安全事件，指事件危害程度较重，影响覆盖单个市级行政区域或多个区县区域，市级重要信息系统核心业务出现明显中断，一定规模业务数据和个人信息出现泄露、篡改或丢失，造成一定数额经济损失，引发局部区域负面舆情波动，对局部网络运行秩序和相关单位正常业务开展造成明显影响，通过地方行业主管部门与运营单位协同处置可有效控制风险、快速恢复业务的网络安全事件。此类事件需及时上报市级网络安全主管部门，启动市级应急处置响应流程，限期完成事件处置与风险整改。7.4一般网络安全事件，指事件危害程度较轻，影响范围仅局限于单个单位内部或单一小型网络区域，仅造成局部非核心业务短暂异常或小幅中断，少量普通非敏感数据出现轻微安全风险，经济损失数额较小，未产生社会负面舆情，未对公共秩序和整体网络安全稳定造成不良影响，运营单位自身可通过内部常规运维处置快速消除安全风险、恢复系统正常运行的常规网络安全事件。此类事件由运营单位自行处置、建档留存台账，按常规周期向属地主管部门报送事件处置汇总情况即可。8分类分级判定实施要求网络安全事件发生后，事件涉及的网络运营者需在事件发现第一时间启动初步分类分级研判工作，结合事件实时态势、初步危害后果、影响范围现状快速完成初步等级与类别认定，严格按照对应等级上报时限要求，向属地及对应层级网络安全监管主管部门如实上报事件基础信息、初步研判结论、当前处置进展等相关内容，不得迟报、漏报、瞒报、谎报网络安全事件情况。事件处置过程中，若发现事件危害持续升级、影响范围不断扩大、衍生新的安全危害后果，需及时开展二次复核研判，动态调整事件分类结论与等级级别，并同步更新上报相关信息，确保分类分级结果与事件实际态势实时匹配。各级网络安全监管主管部门需对辖区内上报的网络安全事件分类分级判定情况进行复核核查，对判定口径不符、等级认定偏差、类别划分错误的事件及时予以纠正指导，统一辖区内事件判定标准执行力度，定期开展网络安全事件分类分级工作培训指导，确保各类运营单位相关工作人员熟练掌握分类分级规则与判定流程。事件处置完成后，网络运营者需结合事件最终危害后果、处置复盘结论，完成事件最终分类分级核定，纳入网络安全事件常态化台账管理