这篇已经合并了。它和另外几份同类的制度合到了一起，按「测评时查什么、执行时卡在哪」重写了落地要点，建议直接看合并版：网络安全管理制度模板包（三）：数据安全与个人信息、应急、合作单位。

本页保留作为单独检索入口，正文内容与原来一致，不影响你对照使用。

网络安全管理总纲制度（六）：网络安全应急管理与处置制度

1 目的

为规范公司网络安全突发事件的应急管理与处置工作，建立 “预防为主、快速响应、科学处置、闭环管控” 的全流程应急工作机制，全面提升公司应对网络攻击、系统瘫痪、数据泄露、勒索病毒、工业控制系统异常等各类网络安全突发事件的处置能力，有效防范网络安全风险，保障公司生产经营、核心业务系统、工业控制系统、数据资产及全网络环境的安全、持续、稳定运行，最大限度降低突发事件造成的经济损失、声誉影响及合规风险，特制定本制度。

2 适用范围

本制度适用于公司总部及各分子公司、全资 / 控股子公司所有网络环境、工业控制系统、业务系统、软硬件资产、终端设备、数据资产，以及上下游合作单位接入资产相关的网络安全突发事件的预防、监测、预警、应急响应、处置、复盘与优化全流程管理。本制度覆盖公司所有部门、全体员工、合作单位及外包服务人员，护网攻防演习等专项保障场景的应急处置工作，可在本制度框架下制定专项执行细则。

3 规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有修改单）适用于本文件。

1. 《中华人民共和国网络安全法》
2. 《中华人民共和国数据安全法》
3. 《中华人民共和国个人信息保护法》
4. 《中华人民共和国突发事件应对法》
5. 《中华人民共和国计算机信息系统安全保护条例》
6. 《关键信息基础设施安全保护条例》
7. 《GB/T 19715.1-2005 信息技术 安全技术 信息技术安全管理指南》
8. 《GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求》
9. 《GB/T 38645-2020 信息安全技术 网络安全事件应急演练指南》
10. 《国家网络安全事件应急预案》

4 术语和定义

1. 网络安全突发事件：指因人为攻击、恶意代码、硬件故障、操作失误、自然灾害等原因，造成或可能造成公司网络中断、系统瘫痪、数据泄露 / 篡改 / 丢失、业务停滞、生产中断、声誉受损等不良影响的突发事件。
2. 系统失陷：指攻击者通过恶意手段植入木马、后门、webshell 等恶意程序，或非法获取终端、服务器、业务系统、工业控制设备的管理控制权限，导致资产被非法控制的事件。
3. 数据泄露事件：指公司核心生产数据、经营数据、技术秘密、个人信息等数据被非法窃取、篡改、传输、披露、售卖，造成或可能造成合规风险、经济损失及声誉影响的事件。
4. 社工攻击：指通过邮件、即时通讯工具、电话、现场伪装等渠道，以恶意文件、钓鱼链接、身份伪装、话术诱导等方式，骗取员工敏感信息、权限凭证，或诱导员工执行恶意操作的攻击行为。
5. C2 地址：指攻击者用于远程控制失陷主机、下发恶意指令、回传窃取数据的命令与控制服务器地址。
6. 0day 漏洞：指厂商尚未发现、未发布修复补丁，可被攻击者利用实施非法攻击的系统、软件或设备安全漏洞。
7. 工业控制系统（ICS）：指用于公司生产运营的监控与数据采集系统（SCADA）、分布式控制系统（DCS）、可编程逻辑控制器（PLC）等生产控制相关系统与设备。

5 管理职责

公司成立网络安全应急管理领导小组（以下简称 “领导小组”）及应急执行工作组（以下简称 “执行组”），实行 “统一领导、分级负责、协同联动、闭环处置” 的管理机制，各部门及分子公司配合落实应急处置相关工作。

5.1 应急管理领导小组

• 组长由公司主要负责人担任，副组长由分管信息技术 / 网络安全、生产运营的公司领导担任，成员包括信息技术部、网络安全部、生产管理部、安全管理部、法务部、综合管理部、品牌部及核心业务部门负责人。
• 负责本制度的审批、发布与修订，统筹应急体系建设与资源保障；
• 负责网络安全突发事件的总体决策，审批应急响应启动与终止指令，发布安全预警信息；
• 负责重大及以上级别事件的处置方案审批，统筹内外部协调、信息上报及舆情应对工作；
• 负责监督应急处置工作落地，审批应急处置工作总结与复盘报告。

5.2 应急执行工作组

执行组设在公司网络安全部，下设技术研判组、监测预警组、应急处置组、沟通报告组、后勤保障组，各小组职责如下：

1. 技术研判组：负责网络安全突发事件的分析研判、事件定级分类、攻击路径溯源、样本分析与取证，制定技术处置与风险修复方案，评估事件影响范围与危害程度；
2. 监测预警组：负责公司全资产 7×24 小时网络安全监测，实时分析安全设备告警信息，及时发现、上报可疑攻击行为与安全事件，同步回溯攻击日志与相关线索；
3. 应急处置组：负责按照审批通过的处置方案，执行攻击 IP / 域名 / C2 地址封禁、失陷设备隔离、恶意程序清除、漏洞修复、系统恢复上线等应急操作，落实风险闭环整改；
4. 沟通报告组：负责应急处置过程中的内外部沟通协调、信息同步，编制事件处置日报、专项分析报告、总结复盘报告，按要求向领导小组及上级监管单位上报事件信息，对接申诉、合规报备等相关工作；
5. 后勤保障组：负责应急处置所需的技术资源、设备物资、人员调度、经费保障，配合开展应急培训、攻防演练等相关工作。

应急处置全流程中，所有参与人员的 24 小时应急联络方式统一执行本制度附件 1《网络安全应急响应通讯录》，通讯录需实时更新，确保应急期间信息传递畅通、责任到人。

5.3 各部门及分子公司职责

• 严格落实本制度要求，配合开展本部门 / 本单位资产的安全监测、风险排查与应急处置工作；
• 发生网络安全突发事件时，第一时间上报相关线索，妥善保留原始证据，配合执行组开展溯源、处置与整改工作；
• 组织本部门 / 本单位员工开展网络安全应急相关培训，落实应急管控要求。

6 管理内容与要求

6.1 预防与监测管理

1. 常态化预防：执行组应定期开展全资产梳理、安全风险评估、 漏洞扫描 与渗透测试，及时修复安全隐患；定期更新安全防护策略，完善防火墙、入侵检测 / 防御系统 、终端安全管理系统、数据防泄漏系统、工业控制网隔离防护等安全设备部署，保障防护体系有效运行；定期组织应急培训与攻防演练，提升团队应急处置能力。

2. 实时监测要求：监测预警组执行 7×24 小时不间断安全监测，监测范围覆盖公司工业控制网、办公网、互联网出口、公有云 / 专有云资产、业务系统、终端设备、数据资产、分子公司接入链路及上下游合作单位对接 通道 ；对监测发现的可疑告警、攻击线索，10 分钟内完成初步核实，提交技术研判组开展分析研判，严禁瞒报、漏报、迟报。

7×24 小时值守的人员安排、岗位职责、交接班规范详见本制度附件 2《7×24 小时应急值守排班表》，值守人员需严格按排班表落实监测职责，做好值守与告警记录，严禁脱岗、漏岗。

3. 预警管理：技术研判组根据监测信息、行业安全通告、监管单位预警通知，研判安全风险等级，由领导小组审批后发布对应级别的安全预警，各部门及分子公司按预警要求落实风险防范措施。

6.2 事件分级标准

结合事件影响范围、危害程度、可控性及对生产经营的影响，将公司网络安全突发事件划分为五个等级，具体分级标准如下：

6.3 事件分类标准

结合攻击方式与事件性质，将网络安全突发事件划分为 7 类，具体分类标准如下：

1. 一般攻击事件：外部 IP / 主体对公司全资产实施扫描、暴力破解、漏洞探测等攻击行为，但未攻击成功，未造成资产失陷与实际影响。
2. 系统失陷事件：公司终端、服务器、业务系统、工业控制设备被攻击者植入木马、后门、webshell 等恶意程序，或被非法获取控制权限，造成资产失陷的事件。
3. 钓鱼社工事件：通过邮件、即时通讯工具、电话等渠道，向公司员工投递恶意文件、钓鱼链接，或通过身份伪装等社工手段，诱导员工泄露敏感信息、执行恶意操作的事件（含已造成失陷和未造成失陷两种场景）。
4. 重大风险事件：发现账密凭证、源代码、系统配置、生产工艺参数等敏感信息泄露，或系统 / 设备存在高危 / 0day 漏洞等可被攻击者利用的重大安全风险，但尚未被实际利用的事件。
5. 数据泄露事件：公司核心生产数据、经营数据、技术秘密、个人信息等被非法窃取、篡改、披露、传输，已造成或可能造成合规风险、经济损失的事件。
6. 非目标误判事件：经核实，被攻击的目标资产不属于公司及分子公司管辖范围，或攻击事件为误报、误判，需向相关单位申诉的事件。
7. 迂回攻击事件：公司分子公司、供应链合作单位资产失陷，攻击者通过该失陷主体，对公司总部及其他关联资产实施迂回渗透攻击的事件。

6.4 分级应急响应要求

针对不同等级的网络安全突发事件，启动对应级别的应急响应，执行差异化的通报与处置要求，具体如下：

6.5 分类事件处置流程

6.5.1 一般攻击事件处置流程

1. 监测预警组发现一般攻击事件后，立即提取攻击 IP、恶意域名、攻击类型等信息，同步记录至附件 3《安全事件处置跟踪表》；
2. 应急处置组收到信息后，立即在防火墙、入侵防御系统等安全设备中，执行攻击 IP、恶意域名的封禁操作；
3. 监测预警组对封禁效果进行验证，确认攻击行为已完全阻断，处置完成后由沟通报告组在当日安全日报中记录归档。

6.5.2 系统失陷事件处置流程

1. 告警核实与紧急处置：监测预警组发现系统失陷告警后，立即同步攻击 IP、失陷资产信息至应急处置组，优先执行攻击 IP 封禁、失陷资产网络隔离操作，避免攻击范围扩大；同步将事件信息提交技术研判组，通过附件 3《安全事件处置跟踪表》发起研判需求。
2. 事件研判与溯源：技术研判组对事件真实性、攻击类型、失陷范围、攻击路径开展分析研判与溯源取证，完整留存日志、恶意样本、攻击痕迹等证据，分析提取 C2 地址，评估事件影响等级，同步将研判结果上报执行组与领导小组，启动对应级别的应急响应。
3. 深度处置与修复：技术研判组制定恶意程序清除、漏洞修复、系统加固方案，经审批后，由应急处置组对失陷资产执行恶意程序清除、漏洞修复、权限重置等操作；对提取的 C2 地址、恶意域名执行全域封禁。
4. 验证与恢复上线：技术研判组对失陷资产的清理、修复效果进行全面验证，确认无残留恶意程序、无安全隐患后，通知应急处置组解除资产隔离，恢复系统上线；同步开展全资产排查，防范同类攻击事件发生。
5. 报告与归档：事件处置完成后，沟通报告组按附件 4《网络安全事件处置报告模板》编制专项分析报告，经技术研判组审核、领导小组审批后，按要求上报相关单位，同步完成事件资料归档与日报记录。

6.5.3 钓鱼社工事件处置流程

1. 告警核实与证据留存：监测预警组发现钓鱼社工事件线索后，立即同步至技术研判组，技术研判组对事件真实性、攻击意图、是否造成失陷开展核实；对确认的钓鱼社工事件，第一时间提取钓鱼邮件、恶意文件、聊天记录等原始证据，严禁删除、修改原始数据，相关信息同步记录至附件 3《安全事件处置跟踪表》。
2. 分级处置：
   • 若核实已造成资产失陷、数据泄露的，立即转入系统失陷事件 / 数据泄露事件处置流程；
   • 若未造成失陷，技术研判组立即分析恶意样本，提取 C2 地址、恶意链接 / 域名，同步至应急处置组执行全域封禁。
3. 受害人员通知与管控：技术研判组定位事件涉及的受害人员，立即电话通知当事人，提醒其严禁点击恶意链接、运行恶意文件，严禁泄露账号密码等敏感信息，配合开展设备取证与安全排查。
4. 全员预警与复盘：沟通报告组根据事件详情，编制安全预警通知，向全公司发布钓鱼攻击防范提醒，提升全员安全意识；处置完成后，按附件 4 要求编制事件处置报告，完成归档与日报记录。

6.5.4 重大风险事件处置流程

1. 风险核实与评估：技术研判组发现重大风险事件线索后，立即核实风险真实性，评估风险类型、影响范围、可利用性与危害程度，相关信息同步记录至附件 3《安全事件处置跟踪表》，同步将风险信息同步至监测预警组、沟通报告组。
2. 攻击行为回溯排查：监测预警组根据风险信息，回溯至少 30 天的系统日志与安全告警，全面排查该风险是否已被攻击者利用；若发现已被利用的，立即启动系统失陷事件处置流程。
3. 风险整改与消除：技术研判组制定风险修复方案与临时管控措施，明确整改时限与责任人，通知受影响资产的所属部门 / 单位，同步协助开展漏洞修复、权限整改、敏感信息清理等风险消除工作。
4. 验证与闭环：技术研判组对风险整改效果进行全面验证，确认风险已彻底消除后，将事件详情同步至应急工作群；沟通报告组跟踪各单位整改情况，完成事件记录归档与日报记录。

6.5.5 数据泄露事件处置流程

1. 事件核实与紧急阻断：沟通报告组 / 监测预警组收到数据泄露事件线索后，立即同步至技术研判组与应急处置组；技术研判组第一时间核实事件真实性、泄露数据类型、泄露范围、泄露源，评估事件等级，相关信息同步记录至附件 3《安全事件处置跟踪表》；应急处置组立即执行泄露源阻断、失陷资产隔离、泄露通道封禁等紧急操作，防止数据进一步泄露。
2. 分级处置：
   • 经核实为误判事件的，转入非目标误判事件处流程；
   • 确认数据泄露为攻击导致、且存在资产失陷的，立即同步启动系统失陷事件处置流程；
3. 合规处置与上报：法务部同步介入，评估数据泄露的合规风险，指导处置工作；若涉及个人信息泄露、需履行监管上报义务的，由领导小组审批后，按法律法规要求在规定时限内上报监管单位，并依法履行告知义务。
4. 复盘与整改：处置完成后，按附件 4 要求编制事件专项报告，经领导小组审批后完成归档与上报。

6.5.6 非目标误判事件处置流程

1. 事件核实：沟通报告组收到攻击事件线索 / 申诉需求后，立即同步至技术研判组，技术研判组对被攻击目标的资产归属、事件真实性开展核实研判，相关信息同步记录至附件 3《安全事件处置跟踪表》。
2. 分级处置：
   • 经核实为公司资产、确认为真实攻击事件的，立即启动对应类型的事件处置流程；
   • 确认目标资产不属于公司管辖范围、事件为误判 / 误报的，技术研判组出具核实报告，同步至沟通报告组。
3. 申诉与跟进：沟通报告组根据核实结果，准备申诉证据材料，编制申诉报告，按要求向相关单位提交申诉申请，全程跟进申诉进度；申诉完成后，将事件详情、申诉材料、申诉结果完整归档，同步在日报中做好记录。

6.5.7 迂回攻击事件处置流程

1. 事件核实与紧急阻断：监测预警组发现来自分子公司 / 合作单位的迂回攻击后，立即提取攻击 IP、攻击线索，同步至技术研判组与应急处置组；技术研判组核实攻击真实性、影响范围、失陷情况，相关信息同步记录至附件 3《安全事件处置跟踪表》；应急处置组立即执行攻击 IP 封禁操作，阻断攻击链路。
2. 跨单位协同处置：沟通报告组立即同步事件信息至失陷的分子公司 / 合作单位，协调其开展失陷资产隔离、攻击溯源、自查处置工作；要求其在规定时限内反馈自查报告，报告需包含事件定位、溯源分析、处置方案、处置结果等内容。
3. 全域管控与排查：沟通报告组向全公司各分子公司发布风险预警，建议全域封禁相关攻击 IP，同步组织各单位开展同类风险排查；技术研判组对公司总部资产开展全面排查，防范攻击渗透。
4. 闭环管理：处置完成后，沟通报告组将失陷单位自查报告、事件处置详情完整归档，同步在日报中记录。

6.6 事件汇报与响应终止

1. 过程汇报：应急处置过程中，各专项小组严格按照分级响应的通报要求，及时向执行组、领导小组同步处置进展；沟通报告组每日汇总事件处置情况，编制应急处置日报，向领导小组汇报。
2. 响应终止：事件处置完成后，技术研判组对处置效果进行全面验证，确认攻击行为已彻底阻断、安全风险已完全消除、业务 / 生产系统恢复正常运行、无次生安全隐患，向执行组提交响应终止申请，经领导小组审批后，宣布应急响应终止。
3. 总结复盘：应急响应终止后 10 个工作日内，执行组组织开展事件复盘工作，分析事件发生根因、处置过程中的问题与不足，严格按照附件 4《网络安全事件处置报告模板》编制复盘总结报告，制定整改优化方案，明确整改时限与责任人，同步修订完善本制度与相关专项细则。

6.7 培训与演练

1. 执行组每年至少组织 2 次全公司范围的网络安全应急培训，覆盖应急处置流程、攻击防范技能、应急岗位职责等内容，覆盖全员，提升全员应急意识与处置能力。
2. 领导小组统筹，执行组每年至少组织 1 次实战化网络安全应急演练，可结合护网攻防演习开展，检验应急预案的有效性、应急团队的处置能力，演练完成后形成总结报告，优化应急预案与处置流程。

7 记录控制一览表

8 附录

附件 1：《网络安全应急响应通讯录》

填写说明：本通讯录为应急处置唯一有效联络清单，每月更新 1 次，人员变动 24 小时内完成更新；应急期间所有人员需保持 24 小时通讯畅通，首次呼叫无人接听时，10 分钟内联系备用联系人。

附件 2：《7×24 小时应急值守排班表》

填写说明：本排班表按月度编制，每月 25 日前完成下月排班表发布；值守实行三班倒制度，每班至少 2 人，交接班需现场签字确认，异常情况需详细记录并同步给下一班值守人员。

值守核心要求：

1. 值守人员需全程在岗，严禁脱岗、睡岗，每 2 小时对全量安全设备告警进行一次全面巡检，做好巡检记录；
2. 发现可疑告警 / 攻击事件，10 分钟内完成初步核实，同步上报技术研判组与执行组负责人，严禁瞒报、迟报；
3. 交接班时需将未处置完成的事件、待跟进事项、重点监测目标完整交接，双方签字确认后方可完成交接班；
4. 值守期间严禁关闭、卸载安全监测设备，严禁擅自修改安全策略，严禁使用值守设备访问无关网站、运行无关程序。

附件 3：《安全事件处置 跟踪 表》

填写说明：本表为所有网络安全事件全流程追溯的唯一依据，事件发现后立即启动填写，每一个处置动作实时更新，事件闭环后完成归档，不得漏填、补填、篡改记录。

一、事件基本信息

二、事件研判与定级分类

三、应急处置全流程记录

四、处置效果验证与闭环

附件 4：《网络安全事件处置报告模板》

报告编号：事件名称：事件等级：发生时间： 年 月 日 时 分处置完成时间： 年 月 日 时 分编制人：审核人：批准人：

一、事件概况

1. 事件发生经过：包括事件发现时间、发现渠道、事件发生的基本过程、受影响的资产、业务及生产范围；
2. 事件定级分类：明确事件的等级、类型，以及定级分类的判定依据；
3. 事件处置总体情况：包括应急响应启动时间、处置周期、处置总体结果。

二、事件研判与溯源分析

1. 攻击手法分析：详细说明攻击者使用的攻击技术、攻击路径、攻击入口、使用的恶意工具 / 样本 / 漏洞；
2. 溯源结果：包括攻击源信息、C2 地址、失陷范围、攻击时间线、攻击者行为特征；
3. 证据留存情况：说明留存的相关证据，包括日志、样本、邮件、聊天记录、截图等。

三、应急处置过程

1. 处置时间线：按时间顺序详细记录从事件发现、紧急阻断、研判定级、专项处置到验证恢复的全流程动作、责任人员、完成时间；
2. 关键处置措施：详细说明针对本次事件采取的核心处置措施，包括攻击封禁、资产隔离、恶意程序清除、漏洞修复、数据恢复、业务 / 生产恢复等；
3. 内外部沟通与上报情况：说明事件处置过程中的内部信息同步、对外沟通、监管上报等情况。

四、事件影响与损失评估

1. 生产与业务影响：说明事件对公司生产运营、核心业务造成的影响范围、影响时长、中断情况；
2. 经济损失：评估事件造成的直接经济损失、间接经济损失；
3. 合规与声誉影响：评估事件造成的合规风险、监管处罚风险、公司声誉影响、舆情风险；
4. 数据影响：说明是否发生数据泄露、数据篡改、数据丢失，以及相关数据的类型、范围、敏感程度。

五、根因分析与整改措施

1. 事件根本原因：从技术、管理、人员、流程等维度，分析事件发生的根本原因；
2. 短期整改措施：针对本次事件暴露的问题，已完成的整改措施、整改完成情况、整改责任人；
3. 长期优化方案：为防范同类事件再次发生，制定的长期安全优化方案、完成时限、责任部门 / 责任人。

六、经验总结与优化建议

1. 本次应急处置过程中的经验与亮点；
2. 本次应急处置过程中暴露的问题与不足；
3. 针对应急体系、应急预案、防护体系、人员能力等方面的优化建议。

七、附件

1. 相关证据材料（日志、截图、样本分析报告等）；
2. 相关审批文件；
3. 其他相关材料。