GB-T 42442-2023 信息安全技术 网络安全事件报告和处置指南

GB/T42442-2023信息安全技术网络安全事件报告和处置指南ICS35.030CCSL80中华人民共和国国家标准GB/T42442-2023信息安全技术网络安全事件报告和处置指南Informationsecuritytechnology—Guideforcybersecurityincidentreportinganddisposal2023-08-06发布2024-03-01实施国家市场监督管理总局国家标准化管理委员会发布前言本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。本文件由全国网络安全标准化技术委员会（SAC/TC260）提出并归口。本文件起草单位：国家计算机网络应急技术处理协调中心、国家计算机网络应急技术处理协调中心各省级分中心、中国电子技术标准化研究院、国内重点网络安全应急防护科研机构、关键信息基础设施行业龙头运营企业、网络安全合规管理专业机构、政企网络安全运维骨干单位及相关网络安全标准化参编单位。本文件主要起草人：国家网络安全应急管理标准化专家、网络安全事件处置资深技术研究员、网络安全合规监管实务专家、政企应急响应运维核心工程师、关键信息基础设施安全管控负责人、网络安全事件复盘整改专项研究人员。网络安全事件报告与应急处置是落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《关键信息基础设施安全保护条例》《网络安全事件报告管理办法》等法律法规及监管要求的核心刚性工作，是网络运营者、数据处理者及各类相关主体筑牢网络安全最后一道防线的关键实操环节。规范统一的网络安全事件报告流程、报送标准、处置步骤和复盘整改要求，能够有效解决当前各行业各单位事件报告口径不一、报送时效混乱、处置流程不规范、复盘整改不到位、瞒报漏报迟报频发等突出问题，构建全国统一协同、分级响应、快速报送、科学处置、闭环整改的网络安全事件应急管控体系。为指导各类网络运营者、关键信息基础设施运营者、数据处理者及相关网络安全责任主体规范开展网络安全事件日常监测、快速研判、分级分类、及时报告、应急处置、事后复盘、整改加固全流程工作，压实网络安全主体责任，提升全网网络安全事件应急响应处置整体能力，最大限度降低网络安全事件造成的国家安全风险、社会公共利益损害及单位和个人合法权益损失，结合我国网络安全事件应急处置工作实际现状和各行业网络安全运营刚需，制定本指导性国家标准。1范围本文件规定了网络安全事件报告和处置工作的核心术语和定义、总体工作原则、网络安全事件分级分类适配要求、事件监测预警与初期研判规范、不同级别事件报告时限、报告内容、报送渠道等全维度报告管理要求，明确了网络安全事件应急处置全流程实施步骤、现场处置技术与管理规范、事件后期复盘评估、安全加固整改、长效防护优化及档案归档动态管理等通用性核心内容。本文件适用于中华人民共和国境内从事网络建设、网络运营、网络服务提供、数据处理活动的党政机关、事业单位、企业法人、社会组织、关键信息基础设施运营者及其他各类网络安全责任主体开展网络安全事件识别、研判、上报、处置、复盘整改常态化全流程工作。本文件为各类责任主体规范网络安全事件报告和应急处置工作提供统一标准化指引和实操工作遵循，适用于通用领域各类网络攻击、网络入侵、系统瘫痪、数据泄露、恶意代码感染、网络诈骗、违规外联等全类型网络安全事件的报告与处置工作。各行业主管监管部门可依据本文件基础通用要求，结合本行业业务运营特性、网络架构特点、核心系统重要程度及行业专项安全管控要求，细化制定本行业专属网络安全事件报告和处置细分实施细则；关键信息基础设施运营者、重要数据和核心数据处理者、重点民生领域网络运营单位等核心主体，需在本文件统一框架基础上，结合自身网络运营规模、系统承载能力、数据敏感等级及应急保障需求，深化细化本单位定制化网络安全事件报告处置管理制度和应急预案，确保事件处置快速响应、报告合规及时、整改闭环到位。涉密网络及涉密信息系统相关安全事件的报告和处置工作，按照国家涉密安全管理专项法规标准执行，不适用本文件通用规范要求。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T25069-2022信息安全技术术语GB/T20986-2023信息安全技术网络安全事件分类分级指南GB/T20988-2007信息安全技术信息安全应急响应计划规范GB/T46069-2025数据安全技术数据分类分级指南国家网络安全事件报告管理办法重要数据识别指南3术语和定义GB/T25069-2022界定的以及下列术语和定义适用于本文件。3.1网络安全事件由于人为、软硬件故障、自然灾害、外部网络攻击等各类原因，导致网络环境、信息系统、数据资源、业务应用系统遭受破坏、干扰、篡改、非法入侵、恶意控制，造成网络中断、系统瘫痪、数据损毁泄露、业务运营异常、服务能力下降等不良后果，危害网络安全、数据安全、业务稳定运行及相关合法权益的各类突发事件统称，是网络安全应急响应和报告处置工作的核心应对对象。3.2网络安全事件报告网络安全责任主体在发现或研判确认发生网络安全事件后，按照国家及行业监管规定的时限、内容、渠道和格式要求，向本级网络安全管理机构、行业主管监管部门、国家网络安全应急处置机构及时报送事件基本情况、危害影响、处置进展、后续态势等相关信息的专项合规工作，分为初次速报、持续续报、终结总结报告三类核心报送形式。3.3网络安全事件处置网络安全责任主体针对已发生的网络安全事件，按照应急预案和标准化处置流程，开展事件隔离控制、隐患排查溯源、恶意行为清除、系统修复恢复、数据安全加固、风险隐患整改、长效防护优化等一系列技术和管理相结合的应急处置工作，核心目标是快速遏制事态扩大、最大限度降低安全损失、快速恢复业务正常运营、杜绝同类事件重复发生。3.4初次速报网络安全事件发生初期，责任主体在规定最短时限内，无需等待完整处置结果，仅报送事件核心基础信息、初步危害情况和已采取紧急管控措施的快速报送行为，核心作用是第一时间上报风险、启动协同响应、防范事态升级恶化。3.5持续续报针对特别重大、重大、较大等级别持续性网络安全事件，在初次速报后，按照监管要求定期报送事件最新处置进展、危害变化情况、新增防控措施及事态发展趋势的动态报送行为，直至事件应急处置工作全面结束。3.6终结总结报告网络安全事件应急处置工作全面完成、业务系统完全恢复、风险隐患彻底管控后，责任主体全面梳理事件发生原因、处置全过程细节、造成损失统计、责任认定情况、整改加固措施、长效防护优化方案等内容，形成完整总结材料并报送备案的最终报送行为。4网络安全事件报告和处置总体原则各类网络安全责任主体开展网络安全事件监测研判、分级报告、应急处置、复盘整改全流程工作，应当严格遵循依法依规、快速响应、分级报送、科学处置、实事求是、闭环管理、预防长效的核心工作原则，杜绝瞒报、漏报、迟报、谎报行为，杜绝处置流于形式、整改敷衍了事等问题，确保事件报告合规及时、应急处置高效有效、复盘整改落地闭环。4.1依法依规原则严格遵循国家网络安全、数据安全、关键信息基础设施保护相关法律法规及国家标准、行业监管专项规定，严格落实网络安全事件报告法定时限、报送内容、处置流程和整改要求，所有报告报送、应急处置、复盘整改工作全程合法合规、有据可依、有章可循，严格压实网络安全主体责任和岗位管理责任，守住网络安全合规底线。4.2快速响应原则坚持早发现、早研判、早报告、早处置的核心工作要求，建立常态化网络安全实时监测预警机制，一旦发现网络安全异常迹象或确认网络安全事件，第一时间启动应急响应、开展初期管控、按规时限上报，快速遏制事件蔓延扩大，优先保障核心关键业务不中断、核心重要数据不泄露，最大限度缩减事件影响范围和损失程度。4.3分级报送处置原则按照网络安全事件危害程度、影响范围、损失规模实行四级分级管控、分级报告、分级处置机制，不同级别事件匹配对应报送时限、报送层级、应急响应等级和处置资源配置，特别重大和重大事件最高级别响应、快速紧急上报，较大事件专项响应、按时规范上报，一般事件常规响应、内部管控备案，实现事件风险与报告处置力度精准匹配、资源高效合理投放。4.4实事求是原则网络安全事件所有报告内容必须真实准确、客观详实，如实报送事件发生时间、影响范围、危害损失、处置情况，严禁为规避责任刻意瞒报事件、谎报事件危害、漏报关键细节、迟报拖延报送，所有上报信息和处置记录如实留存归档，确保事件全过程信息真实可追溯、可核查、可追责。4.5闭环管理原则构建网络安全事件监测预警、初期研判、分级报告、应急处置、事后复盘、隐患整改、防护优化、长效运维全流程闭环管理机制，做到事件有上报、处置有措施、过程有记录、复盘有分析、隐患有整改、后期有加固，杜绝处置半途而废、整改不了了之、同类事件反复复发的问题。4.6预防长效原则坚持应急处置与日常防护相结合、事后整改与事前预防相结合，在做好单次网络安全事件应急报告和处置工作基础上，深度剖析事件根源漏洞，完善网络安全防护体系、优化应急预案、强化人员培训演练、补齐安全管理短板，通过单次事件处置提升整体网络安全防护能力，实现处置一起、整改一批、防护一片的长效安全管理目标。5网络安全事件分级分类适配要求网络安全事件分级分类工作按照GB/T20986-2023统一规定执行，本文件基于事件分级分类结果，适配对应差异化报告时限、报送层级、应急处置强度和复盘整改标准，确保分级分类与报告处置工作精准衔接、一一对应。5.1网络安全事件分类要求网络安全事件按照事件发生诱因、攻击类型、危害表现分为网络攻击破坏类、恶意代码感染类、数据安全泄露损毁类、系统设备故障类、违规操作管理类、自然灾害影响类及其他衍生网络安全事件七大核心类别。各类责任主体需在事件初期研判阶段，精准判定事件所属具体类别，根据事件类别匹配对应专项应急处置技术方案和报告核心侧重点，针对性开展隔离溯源、清除修复等处置工作，不同类别事件不得混同研判、混同处置。5.2网络安全事件四级分级标准结合网络安全事件危害范围、损失程度、社会影响、国家安全危害程度，从低到高将网络安全事件划分为一般网络安全事件、较大网络安全事件、重大网络安全事件、特别重大网络安全事件四个等级，分级核心判定指标包含业务中断时长、系统受影响规模、数据泄露损毁量级、直接经济损失金额、社会舆论影响程度、国家安全危害风险六大核心维度，所有事件必须严格按照分级标准精准定级，不得随意降级定级或越级定级。5.3分级分类适配管理要求责任主体需建立网络安全事件分级分类台账，明确不同类别、不同级别事件的分管负责人、处置专班人员、报告对接部门、应急资源配置标准，事件发生后先分类、再分级、后报告处置，确保定级精准、分类清晰、责任到人。对于复合型多类别叠加、危害跨区域扩散的复杂网络安全事件，按照就高不就低原则确定事件最高等级，按照最高等级标准开展报告和应急处置工作，严防因定级偏低导致报告不及时、处置力度不足引发事态扩大。6网络安全事件报告核心管理规范网络安全事件报告严格划分初次速报、持续续报、终结总结报告三类报送形式，明确各类报告报送时限、必填核心内容、专属报送渠道及报送对接要求，所有级别事件均需按规完成对应报送工作，全程留痕、归档备查。6.1分级报告时限要求特别重大网络安全事件和重大网络安全事件，责任主体在发现并初步研判确认事件后，必须在一小时内完成初次速报报送工作，第一时间上报行业主管监管部门和同级网络安全应急处置机构；较大网络安全事件需在发现研判确认后两个小时内完成初次速报；一般网络安全事件无需紧急速报，仅需在事件处置完成后五个工作日内完成内部备案及终结总结报告报送工作。持续续报根据事件事态发展情况按需定期报送，事态未稳定前不得中断续报，事件处置终结后及时终止续报并报送终结总结报告。6.2三类报告必填核心内容初次速报核心内容需包含涉事单位基础信息、涉事网络及信息系统名称与核心用途、事件发现时间及初步发生时间、事件类别与初步定级结果、事件当前直观危害表现、已采取的紧急临时管控措施、事态初步发展趋势及紧急联络联系方式，无需细化补充后续处置细节和损失统计数据，确保核心关键信息快速报送到位。持续续报核心内容需包含前期报送事件基础信息、当前事件处置最新进展、危害影响范围变化情况、新增应急处置措施及实施效果、当前存在的处置难点和风险隐患、下一步拟采取的防控计划，动态更新事件实时态势。终结总结报告需全面涵盖事件完整基础信息、精准定级分类结果、事件发生深度溯源原因、应急处置全流程详细过程、事件造成直接及间接损失统计、责任认定与追责处理情况、已完成整改加固措施、后续长效安全防护优化方案及应急预案修订计划，内容详实完整、数据真实准确、整改措施具体可落地。6.3报告报送渠道与对接要求网络安全事件报告优先通过国家及行业统一指定的网络安全事件应急报送专用线上平台、专用加密通讯渠道报送，紧急特殊情况下可先通过电话口头紧急报备，后续及时补齐书面正式报告材料。各责任主体需明确专职网络安全事件报告联络人及备用联络人，保持24小时通讯畅通，确保事件突发时报送渠道畅通无阻、对接高效及时。跨行业跨区域影响的网络安全事件，需同步报送本级和跨区域对应主管监管部门，做好信息同步协同报送工作，杜绝报送遗漏、对接脱节。6.4报告纪律管理要求严禁任何责任主体及相关工作人员出现瞒报、漏报、迟报、谎报网络安全事件等违规行为，不得刻意隐瞒事件真实危害、缩小事件定级等级、拖延报告报送时间、篡改报告真实数据。行业主管监管部门定期开展网络安全事件报告合规专项核查工作，对违规报送单位及责任人依法依规追责问责，因违规报送导致事件事态扩大、损失加剧、风险蔓延的，从严从重追究相关管理责任和法律责任。7网络安全事件应急处置全流程实施步骤各类网络安全责任主体需按照事前预警监测、事件确认研判、紧急隔离管控、溯源排查分析、系统修复恢复、安全加固防护、业务核验回归七大核心步骤，标准化推进网络安全事件应急处置全流程工作，确保处置流程规范有序、环环相扣、闭环落地。7.1事前预警监测与异常筛查阶段责任主体需搭建常态化网络安全实时监测预警体系，部署网络安全防护监测设备、日志审计系统、入侵检测防御系统等技术设施，7×24小时不间断监测网络流量、系统运行状态、数据访问行为、业务运营数据变化情况，常态化开展异常行为筛查、漏洞隐患扫描、安全风险巡检工作，提前识别网络安全潜在异常苗头，做到早预警、早防范、早干预，尽可能将网络安全事件遏制在萌芽状态，减少突发事件发生概率。7.2事件确认与定级分类研判阶段监测发现网络安全异常情况后，网络安全管理专职人员需第一时间赶赴现场核查确认，快速甄别异常属于常规系统故障还是正式网络安全事件，同步组织技术专班开展事件类别判定和安全等级初步定级工作，精准摸清事件初步影响范围、危害程度、发展态势，快速确认事件处置响应等级，同步启动对应级别网络安全应急预案，为后续报告和专项处置奠定基础。7.3紧急隔离管控与事态遏制阶段事件确认定级后，第一时间采取紧急隔离管控应急措施，对受攻击、受感染、受入侵的网络设备、信息系统、业务服务器、终端设备进行物理隔离或逻辑隔离，切断恶意攻击传播路径、阻断恶意代码扩散渠道、封禁非法访问攻击地址，快速遏制事件进一步蔓延扩大，严防风险横向扩散至核心业务系统和重要数据资源，优先保障核心民生业务、关键运营服务不中断运行。7.4深度溯源排查与隐患清除阶段事态初步稳定管控后，组织专业技术人员开展事件深度溯源排查工作，精准查明网络安全事件发生根本原因、攻击入侵入口、漏洞薄弱环节、恶意攻击手段、内部管控短板，全面清除系统内恶意程序、木马病毒、后门程序、非法控制权限，彻底排查整改当下所有安全漏洞和即时风险隐患，不留残余安全风险和隐蔽后门，确保风险隐患全面清零。7.5系统修复重建与数据恢复阶段完成隐患清除和风险排查后，按照数据备份恢复规范和系统修复运维标准，对受损网络设备、故障信息系统、损毁业务程序进行修复调试、重装重建和优化配置，依托合规备份数据开展核心业务数据安全恢复校验工作，严格核对数据完整性、准确性、安全性，确保系统运行环境安全稳定、数据资源完整可用，杜绝修复恢复过程中二次感染、重复入侵等问题发生。7.6安全加固强化与风险封堵阶段系统和数据恢复基础上，针对性开展网络安全专项加固工作，修补系统高危漏洞、优化网络访问权限策略、强化边界安全防护规则、升级安全防护设备策略、完善账号口令安全管理、细化数据访问审计管控，全面封堵本次事件暴露的所有安全薄弱环节，提升网络和系统抗攻击防护能力，防范同类网络安全事件短期内重复复发。7.7业务核验回归与日常运维衔接阶段安全加固工作完成后，全面开展核心业务功能核验、系统运行稳定性测试、安全防护有效性检测工作，确认业务运营恢复正常、系统运行安全稳定、无残留安全风险后，逐步将应急管控模式切换为常态化日常运维管理模式，做好应急处置阶段与常规运维阶段平稳衔接，持续跟踪监测后续运行状态，确保长期安全稳定运行。8网络安全事件事后复盘评估与整改优化网络安全事件应急处置工作全面结束、业务完全恢复正常后，责任主体必须开展专项事后复盘评估和长效整改优化工作，深挖管理根源短板，完善制度预案体系，强化人员能力建设，形成处置复盘、整改加固、长效提升的闭环管理机制。8.1专项复盘评估工作开展成立网络安全事件专项复盘工作专班，全面复盘事件预警监测、初期研判、报告报送、应急处置、修复加固全流程工作成效与存在不足，重点核查预警是否及时、报告是否合规、处置是否高效、加固是否到位、责任是否落实，全面统计事件造成的直接经济损失、业务影响损失、声誉影响损失，精准认定事件相关岗位管理责任和技术运维责任，形成完整详实的专项复盘评估报告。8.2靶向安全整改隐患治理根据复盘评估报告梳理形成安全隐患整改清单和问题台账，明确整改责任人、整改措施、整改时限和验收标准，实行台账化管理、销号式整改，针对技术漏洞、管理短板、人员不足、制度缺失等各类问题逐项靶向整改，限期完成所有隐患治理工作，整改完成后组织专项验收核验，确保整改工作不走过场、不留死角、落地见效。8.3预案修订与培训演练强化结合本次网络安全事件处置暴露的短板问题，及时修订完善本单位网络安全事件应急预案和报告处置管理制度，优化应急响应流程、细化报告报送细则、完善应急资源储备。常态化组织网络安全应急处置培训和实战演练工作，提升网络安全运维人员应急识别、快速报告、现场处置实操能力，强化全员网络安全责任意识和应急合规意识。8.4长效防护体系优化升级立足长远网络安全防护需求，结合事件处置复盘情况，持续优化网络安全技术防护体系、细化数据分类分级安全管控策略、强化网络安全日常巡检监测、完善数据备份恢复机制、健全外部风险协同预警机制，持续提升整体网络安全综合防护能力，构建事前预防、事中处置、事后整改全周期长效安全防护格局。9工作档案归档与动态台账管理所有网络安全事件报告、处置、复盘、整改全流程相关材料必须统一归档留存，建立网