GB-T 34944-2017 信息安全技术 信息安全事件管理指南（等同 ISO 27035-2016） - 副本

GB/T34944-2017信息安全技术信息安全事件管理指南（等同ISO27035:2016）前言本标准按照GB/T1.1-2009《标准化工作导则第1部分：标准化文件的结构和起草规则》给出的规则起草。本标准等同采用ISO27035:2016《信息技术安全技术信息安全事件管理》，在技术内容、条款架构、核心流程、管理准则上与国际标准完全一致，仅依据我国国家标准编制要求进行规范性编辑，无技术性删减、修改与增减，实现了国际信息安全事件管理标准的等效转化，为国内各类组织构建标准化、全闭环的信息安全事件管理体系提供权威合规依据。数字化时代下，组织业务高度依赖信息系统、网络架构、数据资源与线上运营体系，网络攻击、病毒入侵、数据泄露、系统故障、违规操作、恶意破坏等各类信息安全事件频发，极易造成数据丢失、系统瘫痪、业务中断、资产损失、合规处罚与品牌信誉损毁。传统被动处置、碎片化应对、无标准化流程的事件处理模式，存在响应滞后、处置不规范、溯源不完整、重复发生等诸多问题，无法适配常态化、复杂化的网络安全风控需求。本标准以风险管理为核心，构建“预防准备-监测发现-上报响应-处置恢复-溯源复盘-持续改进”的全生命周期信息安全事件管理机制，统一信息安全事件的分类、分级、处置流程、管理规范与复盘标准，适配各类行业、不同规模组织的落地需求。可有效帮助组织提升信息安全事件应急处置能力、降低安全损失、杜绝同类事件复发，同时满足网络安全合规、等保测评、客户审核、体系认证等多元场景要求，是信息安全运营与应急管理的核心指导性标准。本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。本标准于2017年11月1日发布，2018年5月1日正式实施。引言0.1总则信息安全事件管理是组织网络与信息安全体系的核心组成部分，是衔接日常安全运维与应急处置的关键环节。其核心目标并非单纯处置已发生的安全事件，而是通过系统化、标准化的管理体系，实现事前预防降风险、事中快速控损失、事后复盘补漏洞的全维度管控，持续提升组织信息安全韧性，保障信息系统、数据资源、业务运营的持续安全稳定。本标准为通用指导性指南，不局限于单一安全场景的专项处置，而是建立普适性的事件管理框架，可独立落地实施，也可与ISO/IEC27001信息安全管理体系、业务连续性管理体系、供应链安全管理体系深度融合，适配政企单位、金融、互联网、制造业、通信、医疗等全行业组织的安全管理需求。0.2管理逻辑本标准遵循PDCA闭环管理思维，围绕事件管理规划准备、监测识别、响应处置、复盘改进、资源保障五大核心模块搭建体系架构，强调标准化流程、规范化操作、全链路追溯、持续性优化，杜绝事件处置随意化、流程形式化、整改表面化等问题，实现信息安全事件管理的常态化、制度化、专业化。0.3应用价值本标准统一了国内信息安全事件的管理口径与处置规范，填补了通用型事件全生命周期管理标准空白，既适配日常安全运维工作落地，也支撑重大网络安全突发事件的协同处置、溯源分析、合规报备，为组织构建常态化安全风控、应急响应、长效整改机制提供核心指导。1范围1.1本标准规定了信息安全事件管理的总体原则、全生命周期管理流程、核心管理要求、分类分级规则、资源保障机制与持续改进规范。1.2本标准明确了组织开展信息安全事件预防准备、监测发现、信息上报、应急响应、处置恢复、溯源分析、文档留存、复盘优化的全套标准化要求，适用于各类信息安全事件的常态化管理与应急处置工作。1.3本标准适用于所有涉及信息系统、网络架构、数据存储、线上业务运营的社会组织与机构，涵盖党政机关、事业单位、各类企业、第三方服务机构等，不受行业类型、经营规模、系统架构的限制。1.4本标准为通用管理指南，未规定行业专属、特殊场景的技术处置细则，各类组织可结合自身等保要求、行业监管规范、业务风险特性，在本标准框架基础上补充专项处置方案与管控细则。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。ISO27000:2014信息技术安全技术信息安全管理体系概述和词汇ISO31000:2009风险管理指南GB/T22080-2016信息技术安全技术信息安全管理体系要求GB/T22081-2016信息技术安全技术信息安全控制实践指南GB/T29245-2012信息安全技术信息安全事件分类分级指南GB/T23694-2013风险管理术语3术语和定义下列术语和定义适用于本标准。3.1信息安全事件informationsecurityincident损害或可能损害信息系统安全、网络安全、数据安全，破坏信息保密性、完整性、可用性、可控性、不可否认性的单一或一系列意外、恶意事件，可导致系统异常、数据泄露、业务中断、权限失控、资产受损等不良后果。3.2信息安全事件管理informationsecurityincidentmanagement组织为预防、监测、响应、处置、恢复、复盘信息安全事件所开展的全部系统化、标准化、闭环化管理活动，涵盖事前、事中、事后全生命周期管控。3.3事件响应incidentresponse信息安全事件被发现、确认后，组织开展的预警研判、应急处置、风险遏制、系统恢复、漏洞封堵、证据留存等一系列专项操作。3.4事件分级incidentclassification根据信息安全事件的影响范围、危害程度、损失大小、传播速度、合规风险，对事件进行等级划分的标准化过程，用于匹配差异化处置资源与响应流程。3.5事件溯源incidenttraceability针对已发生的信息安全事件，通过日志分析、流量研判、系统排查、证据固定等方式，查明事件起因、攻击路径、影响范围、责任主体、漏洞根源的专项分析工作。3.6事后改进post-incidentimprovement基于事件处置结果、溯源结论、复盘问题，优化安全策略、技术防护、管理制度、人员能力、应急流程的闭环改进活动，杜绝同类事件重复发生。3.7安全预警securityearlywarning基于系统监测、漏洞情报、行业风险动态，预判潜在信息安全风险，提前发布预警信息、落实前置防控措施的管控行为。4缩略语下列缩略语适用于本标准。ISIR：信息安全事件响应（InformationSecurityIncidentResponse）ISM：信息安全管理（InformationSecurityManagement）BCMS：业务连续性管理体系（BusinessContinuityManagementSystem）SOC：安全运营中心（SecurityOperationsCenter）5信息安全事件管理总体原则与目标5.1总体目标组织开展信息安全事件管理的核心目标为：建立全生命周期、标准化、可落地、可追溯的事件管理机制，提前预防潜在安全事件发生；事件发生后快速识别、精准研判、及时响应、高效处置，最大限度降低事件造成的系统损坏、数据损失、业务中断、合规风险与品牌损失；通过复盘迭代持续优化安全防护体系，提升整体信息安全风控能力与应急处置水平。5.2核心管理原则5.2.1预防为主，防治结合坚持前置防控优先，通过常态化安全巡检、漏洞修复、策略优化、人员培训、风险排查，从源头降低信息安全事件发生概率；同时完善应急处置机制，做好预防与应急的有效衔接。5.2.2统一规范，分级处置统一事件分类、分级、上报、处置、复盘标准，根据事件危害等级匹配对应的响应流程、人员资源、处置权限，实现重大事件重点处置、一般事件规范处置、微小事件常态化处置。5.2.3快速响应，闭环管控建立快速监测、及时上报、高效处置、全程跟踪、复盘整改的闭环流程，杜绝响应滞后、处置拖延、整改流于形式等问题，确保每起事件全流程可追溯、问题全闭环。5.2.4实事求是，持续优化严格依据事件真实情况开展溯源分析与复盘总结，精准定位技术漏洞、管理短板、人员问题，针对性落实改进措施，实现安全体系动态迭代、持续完善。5.2.5合规合规，协同联动事件管理全程符合网络安全、数据安全、个人信息保护等法律法规及行业监管要求，建立内部跨部门、外部与监管机构、合作单位的协同联动机制，提升复杂事件处置效率。6信息安全事件管理方案价值与关键管控问题6.1管理方案核心益处组织建立标准化信息安全事件管理方案，可实现多维度管理提升：一是规范事件处置流程，避免人为操作随意性导致的损失扩大；二是缩短应急响应与系统恢复时长，最大限度保障业务连续性；三是实现事件全生命周期追溯，精准定位风险根源；四是满足合规与审核要求，规避监管处罚；五是沉淀安全处置经验，持续优化防护体系；六是强化全员安全意识，构建常态化安全运营氛围。6.2关键管控问题组织在事件管理过程中，需重点规避核心问题：重处置、轻预防，忽视日常风险排查与前置防护；流程不规范，事件上报滞后、证据留存缺失；分级不清晰，资源匹配不合理；复盘不深入，只整改表面问题、不根治根源；权责不明确，出现推诿扯皮；缺乏常态化培训演练，人员处置能力不足。7规划与准备（事前管控）7.1体系规划组织应结合自身信息系统架构、数据资产规模、业务场景、风险等级、合规要求，制定适配的信息安全事件管理总体规划，明确管理架构、岗位职责、流程规范、资源配置、培训演练、考核机制，搭建全覆盖、标准化的事件管理体系。7.2制度与预案建设组织应建立完善的配套制度文件，包括信息安全事件管理办法、事件分类分级规范、上报管理制度、应急响应预案、溯源分析规范、复盘改进制度、保密管理制度等。针对病毒攻击、数据泄露、系统瘫痪、网络入侵、违规操作、勒索攻击等高频高危场景，制定专项应急预案，明确处置流程、责任人员、操作步骤、资源调配、上报要求。7.3团队与能力准备组建专职或兼职信息安全事件应急响应团队，明确团队负责人、技术处置人员、上报对接人员、复盘人员的岗位职责。常态化开展专项培训，内容涵盖事件识别、研判分级、应急操作、证据固定、溯源分析、合规上报、复盘整改等，持续提升团队专业处置能力。同时建立外部技术支撑渠道，适配重大复杂安全事件的处置需求。7.4技术与资源准备配置完善的安全监测、预警、防护、溯源技术设备与系统，包括防火墙、入侵检测系统、日志审计系统、流量监测系统、漏洞扫描系统、数据备份系统等，确保能够实时监测异常行为、快速识别安全事件。储备应急工具、防护物资、备用设备与冗余资源，建立数据定期备份机制，保障事件发生后可快速恢复系统与数据。7.5常态化预防管控落实日常安全运维管控，定期开展漏洞扫描、风险评估、安全巡检、策略核查、权限梳理，及时修复系统漏洞、封堵安全隐患、优化防护策略。规范员工操作行为，杜绝违规上网、违规拷贝、权限滥用等高危操作，从源头降低信息安全事件发生概率。8监测、识别与确认8.1实时监测组织应建立7×24小时常态化安全监测机制，通过技术系统自动监测与人工巡检相结合的方式，全面监测网络流量、系统运行状态、数据访问行为、账号登录行为、设备运行参数，及时发现异常登录、恶意攻击、数据异常传输、系统报错、权限异常变更等潜在风险行为。8.2事件识别与研判针对监测发现的异常行为，安全管理人员需快速开展研判工作，区分普通系统故障、正常操作异常与真实信息安全事件，精准识别事件类型、初步判定影响范围与危害程度，排除误报、错报信息，确保事件识别精准有效。8.3事件确认与记录经研判确认属于信息安全事件的，需第一时间启动事件记录流程，完整记录事件发生时间、涉及系统、影响业务、异常现象、初步危害、发现人员等基础信息，固定初始日志与证据，为后续处置、溯源、复盘提供基础支撑。9事件分类与分级9.1事件分类结合国标规范与ISO27035标准要求，信息安全事件主要分为以下核心类型：网络攻击类事件、恶意代码类事件、数据安全类事件、系统故障类事件、违规操作类事件、权限失控类事件、内容安全类事件、设备安全类事件及其他类安全事件，覆盖各类信息安全风险场景。9.2事件分级组织应根据事件影响范围、业务中断时长、数据泄露规模、经济损失、合规风险、社会影响，将信息安全事件划分为四级：特别重大事件、重大事件、较大事件、一般事件。不同等级事件对应差异化的响应权限、处置流程、上报层级、复盘标准，确保资源精准匹配、处置高效合规。10事件上报与预警10.1内部上报机制建立快速内部上报流程，一般事件及时上报安全管理部门，较大及以上事件需第一时间上报管理层与应急负责人，杜绝迟报、漏报、瞒报。上报内容需包含事件基本情况、初步研判结果、当前处置进度、潜在风险预判。10.2外部合规上报对于符合法律法规、监管规范要求的重大、特别重大信息安全事件，组织需在规定时限内，向网信、公安、行业监管部门完成合规上报，严格遵循上报流程、上报内容、上报时限要求，留存上报记录。10.3安全预警发布针对研判发现的潜在重大风险、批量爆发的同类安全漏洞、行业共性攻击事件，组织应及时发布内部安全预警，明确风险提示、防控要求、操作规范，通知各部门落实前置防控措施，防范事件扩散或新增同类事件。11事件应急响应与处置11.1响应启动事件确认并完成分级后，立即启动对应等级的应急预案，激活应急响应团队，明确现场处置、技术研判、信息上报、外部对接、后勤保障分工，全面开展应急处置工作，杜绝响应延迟。11.2风险遏制优先开展风险遏制操作，快速切断攻击链路、封禁恶意IP、冻结异常账号、暂停高危业务、隔离受感染系统，防止风险持续扩散、损失持续扩大，最大限度控制事件影响范围。11.3溯源取证在不破坏原始证据的前提下，开展现场取证与溯源分析，留存系统日志、流量日志、操作记录、攻击样本、异常数据等核心证据，精准排查攻击来源、攻击路径、漏洞根源、影响边界，为事件处置、追责、整改提供依据。11.4系统恢复与业务修复风险遏制完成、安全隐患初步消除后，按照先核心业务、后次要业务，先关键系统、后辅助系统的原则，有序开展系统修复、数据恢复、业务重启工作，严格测试系统安全性，确认无残留风险后全面恢复正常运营。11.5实时进度管控应急处置全程做好进度记录，实时同步处置进展、风险变化、恢复情况，针对处置过程中出现的新风险、新问题，及时调整处置方案，确保处置工作科学高效、闭环可控。12事件收尾与文档管理12.1事件终止确认当系统完全恢复、业务正常运行、风险彻底消除、无后续衍生风险时，由应急团队评估确认，正式终止本次信息安全事件应急响应工作。12.2全流程文档归档组织需对每起信息安全事件进行完整资料归档，归档内容包含事件发现记录、研判分级资料、上报记录、处置方案、操作日志、取证证据、恢复记录、沟通记录等，确保全流程可追溯、可核查、可复盘。建立事件台账，统一登记所有安全事件信息，实现常态化台账管理。13复盘分析与持续改进13.1专项复盘总结每起信息安全事件处置完成后，需及时组织专项复盘会议，针对事件起因、漏洞根源、防控短板、响应速度、处置流程、人员操作、资源保障等维度全面分析，精准定位管理漏洞、技术缺陷、人员能力不足、流程不合理等核心问题，形成正式复盘报告。13.2纠正与预防措施针对复盘发现的各类问题，制定针对性的纠正措施与预防措施，明确整改责任部门、整改时限、整改标准、验收要求。整改内容涵盖技术防护优化、制度流程完善、人员培训强化、权限策略调整、监测系统升级、资源补充等，实现根源性整改。13.3常态化持续改进组织定期汇总分析阶段性所有信息安全事件，梳理高频风险、共性问题、反复出现的隐患，系统性优化整体安全防护体系与事件管理机制。结合行业风险动态、技术迭代、合规更新，持续优化预案、流程、技术与人员能力，构建动态迭代的安全事件管理体系。14资源保障与能力建设14.1人力资源保障持续完善应急团队建设，常态化开展技能培训、专项演练、能力考核，提升团队事件识别、研判、处置、溯源、复盘的综合能力，同时储备外部技术支撑资源，应对重大复杂安全事件。14.2技术与设备保障定期升级安全监测、防护、溯源、备份设备与系统，优化监测策略，修复技术漏洞，保障技术体系能够适配新型网络攻击与安全风险，满足常态化监测与应急处置需求。14.3经费与物资保障设立信息安全事件管理专项经费，用于设备升级、工具采购、培训演练、应急处置、技术外包等工作，储备充足的应急物资与备用资源，保障事件管理工作常态化落地。14.4知识与经验沉淀建立信息安全事件案例库，汇总各类事件处置经验、漏洞类型、整改方案，实现内部经验共享，依托历史案例优化防控策略与应急预案，持续提升整体风控能力。15监视、审核与评价15.1日常监视