《信息安全技术 网络安全事件分类分级指南》，自2023年12月1日实施

网络安全与数据治理 2023-12-01 13:27 北京

2023年5月23日，国家市场监督管理总局和国家标准化管理委员会联合发布了《GB/T 20986—2023 信息安全技术 网络安全事件分类分级指南》（下称“《指南》”），自2023年12月1日实施。

《指南》实质性内容包括“网络安全事件分类”与“网络安全事件分级”两大板块，并附有“网络安全事件类别和级别的关联关系”与“网络安全事件分类代码”两份附录。

值得注意的是，《指南》将代替《GB/Z 20986-2007 信息安全技术 信息安全事件分类分级指南》（下称“GB/Z 20986-2007”）。建议企业参照《指南》更新内容，对应完善安全事件应急响应相关制度中涉及网络安全事件分类分级的板块。

网络安全事件分类

与GB/Z 20986-2007相比，《指南》更改了“分类方法”的表述，并将网络安全事件的分类由7类增加至10类，新增分类为“违规操作事件”“安全隐患事件”以及“异常行为事件”，扩大了网络安全事件的识别范围，企业应及时了解相关定义，以免遗漏识别该等网络安全事件。

根据《指南》，网络安全事件分类方法为综合考虑网络安全事件的起因、威胁、攻击方式、损害后果等因素，对网络安全事件进行分类，共分10类，每类之下再分若干子类，大类包括：

• 恶意程序事件

• 网络攻击事件

• 数据安全事件

• 信息内容安全事件

• 设备设施故障事件

• 违规操作事件

• 安全隐患事件

• 异常行为事件

• 不可抗力事件

• 其他事件

同时，附录B确定了网络安全事件分类代码，以便于信息通报、事件研判等应用。

网络安全事件分级

与GB/Z 20986-2007相比，《指南》更改了“分级方法”的表述，并将判断标准中的“系统关键数据”更改为“重要数据/敏感个人信息”，进一步明晰了分级的标准，有助于相关人员理解适用。

根据《指南》，企业在开展网络安全事件分级工作时，应根据事件影响对象的重要程度、业务损失的严重程度和社会危害的严重程度三个分级要素进行评定，具体流程如下：

• 确定网络安全事件影响对象的重要程度；
• 分别评定业务损失的严重程度和社会危害的严重程度；
• 根据下附表1、表2分别评定对应的网络安全事件级别；
• 两者中取高者确定为网络安全事件级别。

表1 网络安全事件级别与业务损失的严重程度的关系

表2 网络安全事件级别与社会危害的严重程度的关系

网络安全事件的防范和处置是国家网络安全保障体系中的重要一环，而网络安全事件的分类分级是针对性处置网络安全事件的重要基础。建议企业参照《指南》建立健全网络安全事件分类分级制度，以助于快速识别安全事件的严重程度，并提高安全事件通报和应急处置的效率和效果。

以下为文件正文——

来源：国家标准化管理委员会