网络安全事件处置评估细则

网络安全事件处置评估细则一、总则1.1目的与适用范围本细则用于对已闭环处置的网络安全事件进行事后评估，核心价值在于：将单次事件的处置经验转化为可复用的防护改进项，并检验应急体系本身的缺陷。评估不是追责工具——追责仅适用于违反流程、隐瞒不报的情形；评估的第一目标是发现系统性漏洞。适用范围：本单位及下属单位发生的以下事件，处置结束后10个工作日内必须启动评估：•被定性为III级（较重）及以上的事件；•虽为IV级但处置耗时超过24小时、或暴露出报告流程失效的事件；•监管部门下发通报、约谈或处罚的事件（无论级别）；•同类事件6个月内重复发生2次及以上的。依据文件：《中华人民共和国网络安全法》《中华人民共和国数据安全法》《国家网络安全事件应急预案》《信息安全技术网络安全事件分类分级指南》（GB/T20986-2023）及本单位《网络安全事件应急预案》。1.2评估组织与角色分工评估工作由网络安全管理办公室牵头，按“谁处置、谁汇报，谁监督、谁评估”原则组织：角色承担主体核心职责产出物评估组组长网络安全分管领导审批评估报告、拍板整改立项批示意见评估执行人安全管理办公室专职人员组织调查、编写报告、跟踪整改评估报告、整改台账技术取证人员安全运营团队日志提取、流量还原、时间线构建取证清单、时间线表业务方代表受影响业务系统责任人确认业务影响范围与恢复质量业务影响确认单独立复核人未参与处置的外部或上级人员对III级及以上事件复核结论复核意见回避规则：参与本次事件处置的人员不得担任本事件评估执行人；III级及以上事件的评估报告必须经独立复核人签署后方可上报。二、事件分级与评估启动标准2.1分级判定按GB/T20986-2023将事件分为四级，判定依据采用“就高不就低”原则——多项指标同时满足不同级别时，取最高级：级别名称判定标准（满足任一即定级）评估要求I级特别重大核心系统瘫痪超24小时；泄露数据量超过1000万条或涉密数据；造成直接经济损失估算超5000万元国家、省级部门参与，本单位配合，形成专项报告II级重大重要系统瘫痪超12小时；泄露个人信息100万条以上；影响范围跨多个业务域5个工作日内提交评估报告，分管领导主持评审会III级较重单一重要系统不可用2~12小时；泄露个人信息10万~100万条；勒索软件加密单台以上生产服务器10个工作日内提交评估报告，独立复核IV级一般单点故障、轻量入侵、影响用户少于1000人且无敏感数据外泄15个工作日内完成简化版评估表定级争议处置：评估执行人与技术取证人员对级别判定不一致时，由评估组组长在2个工作日内裁定；涉及个人信息泄露量的，以数据安全团队核实的数据字段分类结果为准，不得按“估算偏保守”压低级别。2.2评估启动流程1.事件宣布处置闭环后2个工作日内，安全管理办公室下发《评估启动通知》，明确评估组名单与时间表；2.处置团队在3个工作日内提交《处置过程记录包》，含事件报告单、处置操作日志、告警截图、恢复验证记录；3.评估执行人对记录包做完整性核验，缺项由原责任人24小时内补齐；补齐两次仍缺失的，记入评估报告“流程失效”项，本身作为评估发现之一。三、评估内容与方法3.1处置时效性评估时效评估的意义：应急响应的价值随时间指数衰减——勒索软件横向移动速度可达每小时数十台主机，报告延迟2小时可能使影响面扩大一个量级。逐项对照《应急预案》中的时限要求打分：时效指标应急预案要求计分规则（满分20）发现到首次报告30分钟内上报值班室达标5分；超时1倍内2分；超时1倍以上0分上报到启动响应1小时内成立处置组同上处置到遏制（隔离/封堵）I/II级4小时内，III/IV级8小时内达标5分；每超时2小时扣2分遏制到恢复验证按业务SLA，核心系统24小时内达标5分；不达标0分时效数据以日志时间戳为准，不接受口头回忆；日志时间戳与北京时间偏差超过5分钟的服务器，其时间线按NTP校准后修正，并在报告中注明。3.2处置技术有效性评估逐项检验以下内容，每项给出“有效/部分有效/无效”结论及证据：•遏制完整性：受影响主机是否全部隔离？攻击者持久化机制（计划任务、注册表项、Webshell、SSH公钥）是否逐一清除？以取证清单逐条核对，抽查比例不低于30%；•根除彻底性：抽样恢复后的系统在隔离网段运行72小时，无异常外联、无新增可疑进程方可判定根除；•取证保全质量：内存镜像、磁盘镜像、关键日志是否在处置前完成固定？hash值是否记录？——取证缺失不影响处置但直接扣评估分，因其剥夺了溯源与司法追诉能力；•误处置检查：处置动作是否误伤无辜主机或业务（如封堵了共享出口IP导致业务中断）？误处置需在报告中单独列明并分析原因。3.3损失与影响评估业务方代表牵头确认，量化到可审计的程度：•数据泄露量：按日志中外发流量、勒索公开页面、暗网监测线索综合测算，标注测算方法（如“按外发流量3.2GB、平均单条记录2KB估算约160万条”），不将估算值写成精确实测值；•业务中断时长：从首个用户不可用投诉或监控告警时间起，到恢复验证通过止；•经济损失：按中断时长×单位时间业务收入+应急处置人力成本+外部服务采购成本合计，据财务口径核算；•合规风险：是否触发《个人信息保护法》第五十七条的告知义务（泄露可致人身、财产危害的须通知个人）及向监管部门报告义务（重大事件须报告），未履行或延迟履行的列为最高优先级整改项。3.4防线失效归因分析核心方法为“时间线回溯+防线穿透分析”，回答一个关键问题：攻击穿过了哪几道本应拦住它的防线，每道防线为何失效。操作步骤：1.以攻击链阶段（初始访问→横向移动→权限提升→数据触达/破坏）建立时间线表；2.对每个阶段列出本应生效的控制措施（如邮件网关、EDR、堡垒机审计、最小权限、DLP），标注“已配置但未生效/未配置/配置了但被绕过”三种状态；3.对“已配置但未生效”的项做重点归因——是规则过期、告警未值守、还是阈值误设；此类“防线虚设”问题比“防线缺失”性质更严重，整改优先级更高。示例表述（正确写法）：钓鱼邮件于3月12日09:14到达，邮件网关沙箱检测无签名未拦截（防线虚设：沙箱仅对带附件邮件启用，该邮件为链接型钓鱼，规则覆盖缺口）；用户09:37点击并输入凭证；VPN未启用MFA（防线缺失），攻击者09:52登录成功。3.5应急流程本身评估对预案与流程打分，四个维度各5分：•可操作性：预案中的联系人、系统清单、操作手册是否与实际一致？值班电话是否有人接（本次事件中实测记录）？•指挥协同：决策链条是否清晰？是否存在“等人拍板导致处置停滞”的节点？停滞时长记录在案；•资源保障：所需工具（取证工具、备份恢复环境、备用带宽）是否齐备可用？•报告合规：对外报告（监管部门、上级单位）是否按时、按格式完成？四、评估结论与报告4.1评估结论分级综合得分对应处置质量结论：得分结论后续动作85~100优良优秀做法纳入案例库，处置人员纳入年度评优候选70~84合格按4.2出整改项，30天内闭环60~69基本合格整改项15天内闭环，处置团队书面说明薄弱环节60以下不合格15天内闭环整改，分管领导约谈处置负责人；涉隐瞒不报、伪造记录的移交问责程序4.2整改项管理整改项按“风险×成本”排定优先级，每项必须写明责任人、完成时限、验收标准：•P1（致命）：如“核心系统未做异地备份”，10个工作日内完成，验收标准为“恢复演练成功，RTO≤4小时、RPO≤15分钟实测达标”；•P2（重要）：如“VPN全员启用MFA”，20个工作日内完成，验收标准为“启用率100%，遗留例外账号清单经分管领导签字”；•P3（改进）：如“告警规则覆盖链接型钓鱼”，30个工作日内完成，验收标准为“用历史钓鱼样本回测，检出率≥90%”。整改台账由安全管理办公室维护，每周五更新状态；逾期未完成的整改项自动升级一级优先级并抄送评估组组长。整改完成不等于闭环——P1、P2项完成后30天内做一次验证抽查（如渗透测试、恢复演练），验证不通过则重新挂账。五、异常情形处置5.1拒不配合评估情形：涉事团队拒绝提供日志、隐瞒处置细节、口头配合但材料一拖再拖（两次催办后仍缺关键材料）。处置：评估执行人24小时内书面报告评估组组长；组长3个工作日内约谈涉事部门负责人；仍不配合的，按不合格结论处理并通报全单位。严禁以“维护团队声誉”为由内部消化——隐瞒导致的整改真空会在下次事件中以更大代价兑现。5.2评估发现新的在野威胁情形：评估过程中发现攻击者残留访问通道、未清除的植入物，或同类攻击仍在进行。处置：立即中止评估取证类操作对该区域的干扰，重新激活应急响应（按原事件级别处理，不得降级为“评估中发现”而走简化流程），原评估转入暂停状态，待二次处置闭环后重新评估。5.3评估结论争议情形：涉事部门对定性、得分、归因结论有异议。处置：收到异议后5个工作日内召开评估复议会，由未参与原评估的独立复核人主持；复议结论为终局结论。异议期间整改项不暂停执行——整改与定性争议并行，防止争议成为拖延整改的挡箭牌。六、评估成果转化评估的终点不是归档，而是三条转化路径：1.预案修订：每次III级及以上评估后15个工作日内，由安全管理办公室对照评估发现修订应急预案相应章节，修订记录在版本历史中标注对应事件编号，保证“事件→预案”可追溯；2.演练验证：次年应急演练计划中，必须包含本次评估暴露的薄弱场景（如“链接型钓鱼+VPN无MFA”组合场景），演练结果对照整改项验收；3.案例库与培训：脱敏后的案例20个工作日内入库，纳入全员安全意识培训与处置团队桌面推演教材；每季度组织1次基于真实案例的桌面推演，推演记录留存备查。附件1网络安全事件处置评估报告模板（要点清单）•事件编号、名称、发生时间、闭环时间、定级•事件时间线表（发现、报告、响应、遏制、根除、恢复六个节点，含日志依据）•处置时效性得分表（见3.1）•技术有效性结论（遏制完整性、根除彻底性、取证质量、误处置）•损失与影响量化（数据量及测算方法、中断时长、经济损失、合规义务履行情况）•防线失效归因表（阶段/应有防线/失效状态/原因）•评估得分与结论•整改项清单（编号、描述、优先级、责任人、时限、验收标准）•评估执行人、独立复核人（III级及以上）、评估组组长签字栏附件2评估启动通知样表字段内容事件编号XXX-YYYY-MM-DD-序号事件定级I/II/