GB-T 20985-2020 信息安全技术 信息安全事件管理指南 - 副本

GB/T20985-2020信息安全技术信息安全事件管理指南前言GB/T20985-2020《信息安全技术信息安全事件管理指南》是我国网络安全事件应急管理领域的基础性、通用性国家标准，由国家市场监督管理总局、国家标准化管理委员会于2020年11月19日发布，2021年6月1日正式实施。本标准替代GB/T20985-2007《信息安全技术信息安全事件管理指南》，同步等同转化ISO/IEC27035国际事件管理标准体系，深度适配《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》《数据安全法》等国内法律法规要求，全面革新传统信息安全事件处置模式。本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口，聚焦网络安全常态化风控与应急闭环管理，构建了“预防准备-检测分析-控制处置-恢复加固-复盘改进”的全生命周期事件管理体系。相较于2007版旧标准，新版标准强化主动防御、分级管控、合规上报、持续改进核心要求，适配云计算、大数据、移动互联、物联网等新型数字化场景安全事件处置需求，统一了政企单位、关键信息基础设施运营者的事件识别、分级分类、响应处置、复盘整改的标准化流程，是国内网络安全事件应急管理、合规建设、风险治理的核心指导依据。1范围本标准规定了信息安全事件管理的总体原则、组织架构、岗位职责、事件分类分级、全生命周期管理流程、应急准备规范、跨单位协作、事件上报及持续改进要求，明确了常态化安全运维与突发安全事件应急处置的标准化实施规范。本标准适用于各类党政机关、企事业单位、关键信息基础设施运营者开展信息安全事件常态化管理、突发事件应急处置、应急体系建设与迭代优化；适用于第三方安全服务机构开展应急支撑、事件溯源分析、应急体系整改测评；同时可作为网络安全监管部门开展应急管理监督检查、合规核查、事件处置督导的技术依据。本标准覆盖传统信息系统、基础网络、终端设备，同时适配云计算平台、大数据系统、移动互联网业务、物联网、工业控制系统等新型场景的安全事件管理工作，通用性、场景适配性全面覆盖数字化全域网络资产。本标准不针对涉密专用信息系统特殊事件处置规则，涉密场景需结合涉密安全管理规范配套执行。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有修改单）均适用于本文件。核心引用文件如下：GB/T22239-2019《信息安全技术网络安全等级保护基本要求》（等级保护场景事件管理合规依据）GB/T25069《信息安全技术术语》（统一安全事件核心术语定义）GB/T20984-2022《信息安全技术信息安全风险评估规范》（事件风险研判依据）GB/T20986-2020《信息安全技术信息安全事件分类分级指南》（事件分类分级核心基准）GB/T28448-2019《信息安全技术网络安全等级保护测评要求》（事件管理合规测评依据）ISO/IEC27035-1:2016《信息技术安全技术信息安全事件管理第1部分：事件管理原理》（国际标准转化依据）ISO/IEC27035-2:2016《信息技术安全技术信息安全事件管理第2部分：事件响应规划和准备指南》（应急准备体系建设依据）3术语和定义本标准沿用GB/T25069、GB/T20986标准核心术语，结合新版应急管理体系新增适配性术语，核心关键术语定义如下：3.1信息安全事件指破坏信息系统、网络、数据的保密性、完整性、可用性、可控性，对网络资产、业务运行、数据安全、用户权益造成或可能造成损害的单一或系列安全异常行为，包含恶意攻击、系统故障、操作失误、数据泄露、病毒感染、网络瘫痪等各类安全异常场景，是开展应急处置的核心对象。3.2信息安全事件管理围绕信息安全事件开展的常态化预防准备、实时检测分析、快速控制处置、系统恢复加固、复盘迭代改进的全流程闭环管理工作，涵盖制度建设、人员储备、技术支撑、流程规范、演练考核、合规上报等全维度工作体系。3.3事件响应团队（IRT）单位内部组建的专职或兼职应急处置团队，负责安全事件的接收、研判、处置、溯源、上报、复盘等全流程工作，是安全事件管理的核心执行主体，可分为内部应急团队、外包支撑团队、行业协同应急团队三类。3.4事件预案针对各类已知、未知信息安全事件制定的专项处置方案，明确触发条件、处置流程、岗位职责、技术手段、上报机制、止损措施，是突发安全事件快速响应的标准化依据。3.5持续改进基于安全事件处置经验、演练结果、风险变化、合规要求迭代，持续优化应急制度、处置流程、技术防护、人员能力、预案体系的常态化工作机制，是实现安全风险闭环管控的核心环节。4缩略语本标准核心缩略语统一规范如下：ISIR：信息安全事件响应（InformationSecurityIncidentResponse）IRT：事件响应团队（IncidentResponseTeam）CII：关键信息基础设施（CriticalInformationInfrastructure）SOC：安全运营中心（SecurityOperationsCenter）SIEM：安全信息与事件管理（SecurityInformationandEventManagement）5事件管理总体原则本标准明确信息安全事件管理五大核心原则，贯穿事件全生命周期管理，是所有应急工作的核心准则，兼顾合规性、实操性、安全性与持续性：5.1预防为主，防治结合优先开展常态化安全防护、风险排查、漏洞整改、人员培训等预防工作，从源头降低安全事件发生概率；同时完善应急处置体系，确保突发事件可快速止损、高效处置，实现事前预防、事中处置、事后整改的闭环管控，杜绝重处置、轻预防的传统误区。5.2统一指挥，分级响应建立单位统一的应急指挥体系，明确各级管理人员、技术人员岗位职责；根据事件分级标准，匹配对应层级的响应机制，一般事件基层处置、重大事件高层统筹、特别重大事件联动上报，避免响应混乱、处置滞后、权责不清等问题。5.3快速响应，最小影响坚持快速研判、快速止损、快速恢复原则，在保障业务连续性、数据安全性的前提下，采取最优处置方案，最大限度降低事件对业务运行、用户权益、单位声誉的负面影响，杜绝过度处置、无效处置导致的次生风险。5.4全程留痕，合规可控事件发现、研判、处置、上报、恢复、复盘全流程全程记录留痕，所有操作、决策、佐证资料完整归档，严格遵守网络安全合规上报、溯源取证、数据留存要求，保障事件处置合规可控、可追溯、可核查。5.5闭环迭代，持续改进所有安全事件处置完成后必须开展复盘总结，深挖根源问题，针对性优化防护策略、制度流程、技术设备、人员能力，通过常态化演练、定期评审，持续迭代应急体系，实现风险动态清零、安全能力持续提升。6信息安全事件分类与分级本标准衔接GB/T20986-2020核心规范，统一事件分类分级标准，为事件研判、响应等级匹配、处置流程选择、合规上报提供基准依据。6.1事件分类结合当前网络安全风险态势，将信息安全事件划分为八大核心类别，覆盖全网绝大多数安全异常场景：恶意程序事件：包含病毒、木马、蠕虫、勒索软件、挖矿程序等恶意代码入侵、感染、传播导致的安全事件，是当前高发高频安全事件。网络攻击事件：包含DDoS攻击、端口扫描、暴力破解、SQL注入、XSS跨站、越权访问、APT攻击等外部恶意攻击行为引发的事件。信息破坏事件：包含数据篡改、数据删除、数据伪造、页面篡改、业务数据损坏等破坏数据完整性、真实性的安全事件。信息泄露事件：包含个人信息、业务数据、涉密数据、核心配置信息违规收集、传输、存储、外泄引发的安全事件，涵盖主动泄露、被动泄露两类场景。设备故障事件：包含服务器、交换机、防火墙、终端、存储设备等软硬件设备故障、宕机、损坏导致的业务中断、网络瘫痪事件。系统故障事件：包含操作系统、业务系统、应用程序漏洞、程序崩溃、适配异常引发的安全与业务异常事件。违规操作事件：包含内部人员违规上网、违规插拔设备、越权操作、私自部署程序、违规外传数据等人为操作失误、违规行为引发的事件。其他安全事件：无法归入上述类别、对网络安全和业务安全造成负面影响的其他异常安全事件。6.2事件分级依据事件影响范围、危害程度、损失大小、社会影响、合规风险，将信息安全事件划分为四级，从低到高依次为一般事件（Ⅳ级）、较大事件（Ⅲ级）、重大事件（Ⅱ级）、特别重大事件（Ⅰ级）：一般事件（Ⅳ级）：局部设备、终端异常，影响范围小，仅造成轻微业务波动，无数据泄露、无社会负面影响，可由基层运维人员快速处置完成。较大事件（Ⅲ级）：单业务模块中断、局部网络异常，造成一定业务损失，少量非核心数据异常，无重大社会影响，需专职应急团队专项处置。重大事件（Ⅱ级）：核心业务中断、全网网络瘫痪、大量用户数据泄露、遭受高强度网络攻击，造成较大经济损失与社会影响，需单位高层统筹处置并按规定上报监管部门。特别重大事件（Ⅰ级）：关键信息基础设施瘫痪、大规模核心数据泄露、引发重大公共舆情、危害公共利益与国家安全，需立即启动最高应急响应，联动监管部门、行业机构协同处置。7信息安全事件全生命周期管理本标准核心创新点为建立标准化五阶段闭环管理体系，替代旧版碎片化处置模式，实现安全事件从事前预防到事后迭代的全流程管控，是政企应急体系建设的核心框架。7.1预防与准备阶段（事前）预防准备是降低事件发生率、提升应急处置效率的核心基础，属于常态化基础工作，核心包含制度建设、团队建设、技术储备、预案体系、常态化防护五大模块：制度体系建设：建立完善的信息安全事件管理制度、应急响应管理制度、事件上报制度、复盘整改制度，明确各岗位职责、处置流程、考核标准，贴合单位业务实际与等级保护合规要求。应急团队搭建：组建专职或兼职IRT应急团队，明确指挥人员、技术处置人员、运维保障人员、对外联络人员岗位职责；定期开展应急技能培训、攻防演练、取证培训，提升团队实战处置能力。技术能力储备：部署防火墙、入侵防御、态势感知、SIEM日志分析、终端安全防护、数据备份等安全设备，实现全网安全态势实时监控、异常行为自动告警；搭建应急工具库、漏洞库、处置预案库，储备应急处置软硬件资源。预案体系完善：针对勒索病毒、数据泄露、DDoS攻击、设备宕机、页面篡改等高频事件制定专项应急预案，明确触发条件、处置步骤、止损措施、上报流程；根据业务迭代、风险变化定期修订预案。常态化风险防控：定期开展漏洞扫描、渗透测试、风险评估、基线核查，及时整改安全隐患；落实数据备份、系统冗余、灾备建设，保障突发事件后可快速恢复业务；常态化开展全员安全意识培训，规避内部人为风险。应急演练落地：定期开展桌面推演、实战应急演练，模拟各类安全事件场景，检验预案可行性、团队处置能力、技术防护有效性，针对演练问题及时整改优化。7.2检测与分析阶段（事中初期）本阶段核心目标是快速发现、精准研判、准确定位事件，为后续处置提供依据，杜绝误判、漏判、迟判导致的风险扩大，核心工作如下：事件监测发现：通过人工巡检、设备告警、日志分析、用户反馈、监管通报等多渠道发现安全异常，依托态势感知、SIEM系统实现全网异常行为自动监测、实时告警，缩短事件发现时延。事件初步核实：收到告警或异常反馈后，应急人员第一时间核查异常真实性，区分误告警、常规异常、真实安全事件，避免无效响应、资源浪费。事件深度研判：核实事件属实后，快速分析事件类型、攻击来源、传播路径、影响范围、受损资产、风险等级，判定事件所属分级，明确事件核心风险点，匹配对应应急响应等级。溯源初步取证：在不扩大风险的前提下，留存系统日志、访问记录、攻击样本、设备配置等原始证据，固定攻击链路与异常痕迹，为后续溯源分析、追责处置、合规取证提供支撑。7.3控制与处置阶段（事中核心）本阶段为应急处置核心环节，核心目标是快速止损、阻断风险扩散、控制事件态势，根据事件类型与等级采取差异化处置措施，核心流程如下：启动对应响应机制：根据事件分级启动对应层级应急响应，一般事件由运维团队自主处置，较大及以上事件启动专项应急预案，重大、特别重大事件启动高层指挥机制。快速风险阻断：针对网络攻击事件，采取封禁IP、关闭端口、阻断攻击链路、下线异常节点等措施；针对恶意程序事件，隔离感染设备、查杀恶意代码、阻断病毒传播；针对数据泄露事件，关停泄露通道、锁定异常账号、拦截外泄数据，最大限度止损。业务临时保障：在风险可控前提下，优先保障核心业务运行，通过切换备用链路、启用灾备系统、临时限流管控等方式，降低业务中断影响。合规事件上报：严格遵循网络安全合规要求，重大及以上安全事件按时限要求完成内部上报与监管上报，做到及时、真实、完整，杜绝迟报、漏报、瞒报、谎报。全程过程记录：完整记录处置时间、处置人员、操作步骤、处置措施、风险变化、决策依据，实现处置过程全程可追溯。7.4恢复与加固阶段（事中后期）风险完全控制后，有序开展系统恢复、业务重启、安全加固工作，杜绝事件二次复发，核心工作如下：安全验证确认：确认攻击终止、恶意代码清除、风险链路阻断、无新增异常风险后，方可启动业务恢复工作，杜绝带风险恢复导致二次感染、二次攻击。业务有序恢复：按照“先核心、后次要，先基础、后业务”的原则，逐步恢复网络、系统、业务运行，恢复过程中实时监控安全态势，随时应对突发异常。针对性安全加固：针对事件暴露的漏洞、配置缺陷、防护短板，开展专项加固，包括漏洞修复、策略优化、权限收紧、密码重置、系统升级、安全补丁更新等，从技术层面杜绝同类事件复发。数据校验修复：对受损、篡改、缺失数据进行校验、修复、补全，核对数据完整性、准确性、保密性，落实数据备份与异地留存，保障数据安全合规。7.5复盘与改进阶段（事后闭环）本阶段是实现安全能力迭代的关键，区别于传统单一处置模式，标准强制要求所有安全事件完成处置后必须开展复盘整改，形成闭环：全面复盘分析：组织应急团队、运维团队、管理团队开展复盘会议，全面梳理事件发生原因、处置过程短板、防护体系缺陷、人员能力不足、制度流程漏洞，区分技术原因、管理原因、人为原因。形成复盘报告：编制正式事件复盘报告，明确事件概况、处置过程、风险根源、存在问题、整改措施、责任人员、完成时限，做到问题清晰、责任明确、措施具体。落地整改优化：针对复盘发现的问题，逐项落实整改，优化安全防护策略、应急预案、管理制度、运维流程；补充技术设备、完善备份体系、强化人员培训。体系迭代升级：将事件处置经验融入常态化安全管理，更新漏洞库、预案库、处置知识库，优化应急演练场景，实现处置经验转化为常态化安全防护能力。8组织保障与岗位职责本标准明确信息安全事件管理的组织架构与岗位职责，要求单位建立权责清晰、分工明确、协同高效的应急管理体系，杜绝职责交叉、岗位空缺、无人兜底问题。8.1应急管理组织架构单位需建立三级应急管理架构，分别为应急决策层、应急管理层、应急执行层，层层压实责任：决策层：由单位安全负责人、分管领导组成，负责重大事件决策、应急资源调配、对外沟通、重大事项审批。管理层：由安全管理部门负责人、运维负责人组成，负责应急体系建设、预案修订、演练组织、日常风险管控、事件统筹协调。执行层：由运维人员、安全工程师、技术支撑人员组成，负责事件监测、研判、处置、恢复、取证、复盘等具体落地工作。8.2核心岗位职责安全负责人职责：统筹单位整体事件管理工作，审批应急制度、预案、演练计划，牵头重大安全事件处置与对外上报。安全管理员职责：负责常态化风险排查、应急体系维护、演练组织、事件记录归档、整改跟踪、合规台账管理。技术运维人员职责：负责日常安全监测、异常告警处置、事件技术研判、现场应急处置、系统加固、数据恢复。行政联络人员职责：负责跨部门协同、监管对接、事件上报、舆情管控、应急资源协调。9跨单位协作与外包管理9.1跨单位协同处置针对大范围、跨行业、高复杂度安全事件，标准要求建立跨单位、跨行业、政企协同处置机制。可联动上级单位、同级合作单位、行业应急支撑机构、网络安全监管部门开展协同处置，共享威胁情报、处置经验、技术资源，提升整体处置效率。同时建立常态化沟通机制，定期开展行业应急交流、联合演练，提升协同处置能力。9.2外包服务管理单位引入第三方应急支撑、安全运维、渗透测试等外包服务时，需严格管控外包人员权限，签订安全保密协议、应急责任协议；明确外包团队应急响应职责、处置流程、上报机制；对外包处置过程全程监督、全程留痕，杜绝外包操作引发的安全风险，保障事件处置合规可控。10事件上报与归档管理10.1事件上报规范严格遵循“及时、准确、完整、真实”的上报原则，区分内部上报与监管上报。内部各类安全事件需第一时间上报管理部门；重大、特别重大安全事件需按照法律法规及监管要求，在规定时限内完成口头初报、书面续报、终报，明确事件概况、影响范围、处置进展、整改措施，严禁迟报、瞒报。10.2资料归档管理所有安全事件的告警记录、研判资料、处置台账、取证数据、上报材料、复盘报告、整改记录需统一归档留存，归档周期满足等级保护及合规要求，一般事件归档留存不少于3年，重大事件永久留存，用于后续合规核查、风险追溯、体系优化。11附录（资料性附录）附录A典型安全事件处置流程模板收录勒索软件攻击、DDoS攻击、网站篡改、数据泄露、终端中毒、设备宕机六类高频安全事件的标准化处置流程，为一线运维人员提供直接实操依据，降低处置失误率。附录B应急演练方案模板规范应急演练的策划、实施、评估、整改全流程模