DB11 T 1599-2025 政务部门信息安全应急预案编制指南.pdf

1、ICS 35.020 CCS L 70 DB11北京市地方标准 DB11/T 15992025代替 DB11/T 15992018 政务部门信息安全应急预案编制指南 Preparation guidelines for government departments information security emergency plans 2025-09-23 发布 2026-01-01 实施北京市市场监督管理局 发 布DB11/T 15992025 I 目次 前言.II 引言.III 1 范围.1 2 规范性引用文件.1 3 术语和定义.1 4 应急预案体系.2 5 应急预案编制流程.4 6

2、综合应急预案基本内容.7 7 分项应急预案基本内容.9 8 现场处置方案基本内容.10 附录 A（资料性）北京市某局信息安全事件综合应急预案示例.11 附录 B（资料性）北京市某局网络攻击事件网页篡改事件应急预案示例.20 附录 C（资料性）北京市某局网络攻击事件网页篡改事件应急处置手册.24 DB11/T 15992025 II 前言 本文件按照GB/T 1.12020标准化工作导则 第1部分：标准化文件的结构和起草规则的规定起草。本文件代替DB 11/T 15992018政务部门信息安全应急预案编制指南，与DB 11/T 15992018相比，除编辑性改动外，主要技术变化如下：a)增加了引

3、言，说明了政务部门信息安全范围。b)更改了“信息系统”“信息安全事件”“应急预案”“关键信息基础设施”的术语和定义（见3.1、3.2、3.3、3.4,2018 年版的 3.1、3.2、3.3、3.4）；c)更改了应急预案体系架构内容（见 4.1，2018 年版的 4.1）；d)更改了事件分类分级（见 A.1.4,2018 年版的 A.1.4）；e)增加了事件处置实操（见 C.2.2）。本文件由北京市政务服务和数据管理局提出。本文件由北京市政务服务和数据管理局归口并组织实施。本文件起草单位：北京市政务服务和数据管理局、北京市大数据中心、中国科学院信息工程研究所、北京启明星辰信息安全技术有限公司、

4、北京金睛云华科技有限公司。本文件主要起草人：桑磊、荣晓燕、康振、肖静、周琼、王竹欣、陆畅、刘宝旭、邢文茹、于天杰、于铮、高磊、赵云、王晨阳、商益祥、朱向明、张萌、高子为、于梓丰、张奇、张雯婷、王汉臣、刘仁、王俊锋、温国念。本文件及其所代替文件的历次版本发布情况为：2018年首次发布为DB 11/T 15992018；本次为第一次修订。DB11/T 15992025 III 引言 DB11/T 15992018政务部门信息安全应急预案编制指南自实施以来，在规范政务部门信息安全应急管理工作中发挥了重要作用。为贯彻落实国家网络安全和数据安全相关法律法规最新要求，需对该标准进行修订完善，以适应网络安全

5、形势变化和技术发展趋势，进一步提升政务部门信息安全应急能力。本文件所称政务部门信息安全，特指各级行政机关、事业单位等政务部门所建设和运营的全部信息系统（包括政务网站、业务系统、数据库、网络基础设施及相关软硬件设施等）的安全。DB11/T 15992025 1 政务部门信息安全应急预案编制指南 1 范围 本文件确立了政务部门信息安全应急预案的预案体系、编制流程、综合预案、分项预案和现场处置方案的基本内容。本文件适用于政务部门信息安全应急预案的编制与修订工作，其他社会组织和单位信息安全应急预案的编制可参照本标准执行。2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款

6、其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 209842022 信息安全技术 信息安全风险评估方法 GB/T 20985.12017 信息技术 安全技术 信息安全事件管理 第1部分：事件管理原理 GB/T 209862023 信息安全技术 网络安全事件分类分级指南 GB/T 222392019 信息安全技术 网络安全等级保护基本要求 GB/T 222402020 信息安全技术 网络安全等级保护定级指南 GB/T 243632009 信息安全技术 信息安全应急响应计划规范 GB/T 31509 信息安全技术

7、信息安全风险评估实施指南 GB/T 32926 信息安全技术 政府部门信息技术服务外包信息安全管理规范 GB/T 436972024 数据安全技术 数据分类分级规则 3 术语和定义 下列术语和定义适用于本文件。信息系统 information system 应用、服务、信息技术资产或其他信息处理组件的组合。来源：GB/T 250692022,3.696 信息安全事件 information security incident 与可能危害组织资产或损害其运行相关的、单个或多个被识别的信息安全事态。来源：GB/T 250692022,3.684 网络安全事件 cybersecurity incid

8、ent 由于人为原因、网络遭受攻击、网络存在漏洞隐患、软硬件缺陷或故障、不可抗力等因素，对网络和信息系统或者其中的数据和业务应用造成危害，对国家、社会、经济造成负面影响的事件。来源：GB/T 209862023,3.4 DB11/T 15992025 2 应急预案 emergency plan 一种关于备份、应急响应和灾后恢复的计划。来源：GB/T 250692022,3.767 关键信息基础设施 critical information infrastructure 公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据

9、泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。来源：GB/T 392042022,3.1 4 应急预案体系 应急预案体系架构 政务部门信息安全应急预案体系由信息安全综合应急预案、信息安全分项应急预案和现场处置方案构成，如图1所示。DB11/T 15992025 3 图1 政务部门信息安全应急预案体系 政务部门信息安全综合应急预案 政务部门信息安全综合应急预案是按照上级应急预案要求，应对信息安全事件的综合性应急响应程序和要求。是政务部门信息安全应急预案体系的总纲，是管辖范围内所有分项预案、现场处置方案的综合指导性文件。政务部门信息安全综合应急预案明确本政务部门信息安全

10、应急工作的基本要求。DB11/T 15992025 4 政务部门信息安全分项应急预案 政务部门信息安全分项应急预案是在综合应急预案指导下，对某种类型或某几种类型的信息安全事件、信息系统等预先制定的应急响应预案，可分为网络安全事件应急预案、信息系统应急预案和重点时期信息安全保障预案三类。政务部门信息安全分项应急预案是综合应急预案的细化，对应急人员、应急流程、保障措施等提出具体要求，对技术要求进行针对性设计。现场处置方案 现场处置方案是在综合应急预案和分项应急预案的指导下，针对政务部门信息系统制定的适合现场应急处置的技术性方案或操作指南，具体指导现场工作人员开展相关信息系统或各类信息安全事件应急响

11、应工作。5 应急预案编制流程 基本流程 应急预案编制的基本流程为启动应急预案编制、应急体系调查、风险评估、业务影响分析、应急资源和能力评估、应急预案编制、应急预案评审、应急预案发布及备案、应急预案管理与维护。应急预案编制流程如图2所示。图2 应急预案编制流程 启动应急预案编制 5.2.1 根据应急保障目标，政务部门成立由应急工作负责人员、相关领域的专家、相关系统使用人员、运维人员、保障人员等专业技术队伍组成的应急预案编制工作组。5.2.2 制定应急预案编制计划，明确各小组的职责、成员及接口人、预案编制计划时间表及各阶段的具体目标、预案编制工作开展的方式及方法等。DB11/T 15992025

12、5 5.2.3 提供开展应急预案编制工作所需的各项资源。应急体系调查 5.3.1 收集了解政务部门的组织机制、信息化建设、现有的应急体系等信息；收集已有的应急预案、已发生的应急事件及处置手段和方法等应急相关资料；评估现有应急体系的完备性。5.3.2 应急体系调查包括但不限于以下方面：a)已有的应急预案，包括正在使用及废弃的预案；b)应急处置事件总结，包括原因、过程、处置手段及方法；c)现有的应急体系情况，包括人力、物力、技术、制度等；d)现有应急体系分析、评价。风险评估 5.4.1 风险评估是编制应急预案的关键过程，风险评估的结果是确定重点应急对象，划分应急响应优先级的依据，政务部门可结合已有

13、的安全措施和风险评估的结果确定应急响应工作的重点。5.4.2 风险评估工作主要完成以下工作：a)整理信息系统列表；b)确定风险评估的目标；c)制定风险评估的工作计划，确定工作方式方法；d)对资产、威胁和脆弱性进行识别；e)甄别现有安全措施；f)对残余风险及其可能导致的后果进行评估。业务影响分析 业务影响分析围绕信息安全事件展开，分析其发生时的损失及恢复所需的信息系统资源，包括但不限于以下内容：a)业务现状分析，明确业务流程、功能、渠道和连续性；b)信息系统现状分析，明确功能、拓扑、关联关系、中断影响；c)数据现状分析，明确数据资产分布、开展数据分类分级工作；d)分析信息安全事件影响；e)分析信

14、息系统应急处置优先级及恢复目标的确定。应急资源和能力评估 应急资源和能力评估至少包括物质资源、人力资源、技术资源、流程资源、外包服务商评估，具体评估包括但不限于以下内容：a)物质资源评估：评估可用于信息安全应急响应工作的各项工具、设备和设施资源，确定在应急响应工作中可投入使用的物质资源，包括资源的类型、功能、作用和投入时间等；b)人力资源评估：评估在信息安全应急响应工作中可以投入的人力资源、组织架构、技术支撑等，重点评估各应急岗位投入人员的数量、人员的技术能力和相关经验；c)技术资源评估：评估在信息安全应急响应工作中的技术资源，包括采用的安全技术和安全产品，以及安全产品之间的互补性及可能存在的

15、缺陷等；d)流程资源评估：评估信息安全应急响应工作中现有的流程资源，包括明确资产和安全风险、应急响应工作的职责分配、现有的应急预案和灾难恢复计划、应急资源的分布情况和其他应急机构的应急支援流程、应急资源的统一调配流程、以往信息安全事件及处理经验等；DB11/T 15992025 6 e)外包服务商评估：评估外包服务商在实际操作中的能力和应急响应程度，包括服务商资质、应急响应能力、应急响应物资等，并按照 GB/T 32926 对外包服务商进行安全评估。应急预案编制 政务部门结合实际工作，完成应急预案的编制，应急预案需符合以下要求：a)符合信息安全相关法律法规要求；b)符合国家、行业和地方标准的相

16、关要求；c)合规、准确、完整；d)方便查阅；e)在紧急情况启用时便于实施。应急预案评审 5.8.1 应急预案编制完成后，政务部门对应急预案的适用性、科学性、合理性、针对性及规范性进行审核。应急预案的审核分为内部审核和专家评审，审核后及时根据评审意见对应急预案进行修订。5.8.2 组织政务部门内信息安全应急管理相关的人员对应急预案进行内部审查，审查内容包括但不限于以下方面：a)应急组织体系；b)应急需求；c)预案可操作性；d)信息一致性；e)有效性；f)可控性；g)文字内容可读性。5.8.3 组织信息安全、应急保障、应急管理等领域的专业人员成立的预案评审组对应急预案进行专家审查，评审组专家不少于

17、 5 人，审查包括但不限于以下内容：a)应急预案规范性；b)应急预案体系的合理性；c)应急处置过程风险可控性；d)应急处置流程的科学性。应急预案发布及备案 评审通过后的应急预案按规定审批并正式发布。应急预案发布后，政务部门组织相关人员进行应急预案培训和演练，明确职责、分工、安全事件处置方法和流程等，并根据相关要求向有关主管部门备案。应急预案管理和维护 5.10.1 正式发布的应急预案文档的管理，需符合以下要求：a)专人负责管理和维护；b)应急预案修订后统一更新；c)最新版本的应急预案及时培训并发放给参与应急响应工作的相关人员。5.10.2 为确保应急预案的有效性，应急预案的维护包括但不限于以下

18、情况：a)业务流程的变化、信息系统的变更、组织机构调整、人员的变更等情况需要及时在应急预案文档中反映；DB11/T 15992025 7 b)在测试、演练和实际执行中有详细地记录，对测试、演练和执行的效果进行评估，根据评估对应急预案文档进行修订；c)每年组织一次评审或修订。6 综合应急预案基本内容 基本内容及编制要求 6.1.1 政务部门信息安全综合应急预案包括总则、事件分类分级、组织机构及职责、预警及信息报告、应急响应、恢复重建、保障措施及监督管理等内容，对应急处置的基本原则、应急组织结构、组织职责、应急响应的总体思路及应急救援活动的组织协调等提出具体要求。6.1.2 综合应急预案根据有关应

19、急预案体系的要求，全面考虑，科学划分事件等级，覆盖应急工作全过程。政务部门信息安全综合应急预案编制示例见附录 A。总则 总则包括应急预案的编制目的、编制依据、工作原则、适用范围、应急预案体系及其他内容，具体要求如下：a)编制目的：介绍制定信息安全应急预案的原因和制定应急预案的目标；b)编制依据：相关的法律法规、规章、标准和规范性文件以及应急预案等；c)工作原则：应急工作的原则宜简明扼要，明确具体；d)适用范围：应急预案的作用范围；e)应急预案体系：应急预案体系文件的构成情况，可用框图、组织结构图等形式表达；f)其他：其他需要说明事项。信息安全事件分类分级 6.3.1 政务部门可结合工作实际，根

20、据信息安全事件的起因、表现和结果等情况，对应急预案中的信息安全事件分类进行适当合并或细化。6.3.2 政务部门可结合工作实际，根据信息系统的重要程度、系统损失程度和社会影响程度等情况，对应急预案中的信息安全事件分级的等级进行适当调整和细化。角色及职责 角色及职责符合GB/T 24363要求。预警及信息报送 6.5.1 政务部门加强信息安全监测、预防和预警工作，信息安全事件的监测方式方法、预防和预警工作符合 GB/T 24363 的要求。6.5.2 政务部门建立完善的信息安全事件报告和通报制度，明确事件报告流程与通报对象，以保障事件能够得到及时、有效地响应。应急响应 应急响应包括基本响应、分级响

21、应、响应程序、处置措施、应急结束要求、应急总结等。基本要求如下：DB11/T 15992025 8 a)基本响应：规定当发生信息安全事件后需首先开展的工作，包括紧急措施（先期处置）、事件识别、信息上报和情况通报等；b)分级响应：规定根据信息安全事件危害程度、影响范围和对事态控制的能力，按照信息安全事件的分级启动应急响应；c)响应程序：规定根据信息安全事件级别和发展态势，启动应急指挥机制、调配应急资源、应急救援及扩大应急等响应程序；d)处置措施：规定根据信息安全事件风险等级、信息安全事件危害程度和影响范围制定的应急处置措施原则和具体要求；e)应急结束：规定现场应急响应结束的基本条件和要求；f)应

22、急总结：规定收集、整理和记录信息安全事件过程的各种相关信息。对于需要上报的事件宜规定准备的材料和上报部门。恢复重建 6.7.1 应急响应工作结束后，对信息安全事件造成的损失和影响以及恢复重建能力进行分析评估，根据评估结果制定相应的系统加固或重建方案，通过版本升级、漏洞修复、修改安全配置和增加安全机制等方法对系统的安全性进行加强，或对系统进行重建。6.7.2 总结应急工作，具体工作包括但不限于以下内容：a)分析和总结事件发生的原因；b)分析和总结事件的现象；c)评估系统的损坏程度；d)评估数据安全影响程度；e)评估事件导致的损失；f)分析和总结应急处置记录；g)评审应急预案的效果和效率，提出改进

23、建议；h)评审应急响应措施的效果和效率，提出改进建议；i)对相关单位和人员的表彰和惩罚。保障措施 6.8.1 保障措施包括应急队伍保障、应急通信保障、专业应急设备保障及重要数据备份保障等内容，保障措施基本内容如下：a)应急队伍保障：应急响应的人力资源，包括应急专家、应急队伍和外部合作队伍等；b)应急装备保障：信息网络硬件、软件的清单和管理责任人及其联系方式等内容，明确应急通信保障措施和重要数据备份机制等；c)其他保障：根据应急工作需求确定其他相关保障措施，包括但不限于经费保障、交通运输保障、治安保障、技术保障及后勤保障。d)监督管理部分基本要求如下：1)应急预案培训：明确对人员开展应急预案培训

24、的计划、方式和要求，相关人员了解应急预案内容，熟悉应急职责、应急程序和处置方案；2)应急预案演练：规定应急预案演练的形式、范围、频次、内容、演练评估和总结等；3)应急预案修订：规定应急预案修订的基本要求和修订周期，并规定应急预案评审周期；4)应急预案备案：规定应急预案的报备部门及备案要求；5)应急预案实施：规定应急预案发布与实施的具体时间以及负责制定与解释的部门；6)附件。DB11/T 15992025 9 6.8.2 政务部门信息安全综合应急预案的附件包括但不限于以下内容：a)应急处置流程图：根据信息安全事件级别与类型，使用图表形式展现各处置阶段的参与部门与处置权限，包括完整的应急响应过程中

25、的各个环节；b)有关应急部门、机构或人员的联系方式：编制至少包括小组名称、姓名、职位、工作电话、手机及电子邮箱等内容的联系人表，当发生变化时及时进行更新。信息系统较多时可采用京办建群等方式进行沟通；c)应急信息接报、处理、上报等规范化格式文本：信息安全事件报告文本内容包括单位名称、报告人、联系电话、通讯地址、电子邮件、事件报告时间、信息系统名称、主要用途及信息安全事件的简要描述等信息；d)有关协议或备忘录：包括与相关应急救援部门签订的应急救援协议或备忘录。7 分项应急预案基本内容 基本内容及编制要求 政务部门在制定信息安全分项预案时，针对政务部门的信息系统、网络安全事件的特点，对应急组织、流程

26、和技术保障措施具体设计。政务部门信息安全事件应急预案编制示例参考附录B。总则 总则部分基本内容如下：a)编制目的：制定分项应急预案的原因和制定预案的目标；b)工作原则：分项应急工作的原则宜简明扼要，明确具体；c)适用范围：分项预案的作用范围，说明解决哪些问题，适用于哪些系统及对系统进行描述；d)其他：根据需求说明其他事项。组织机构及职责 应急机构涉及相关的单位和人员包括但不限于：系统责任单位、系统业务人员、基础运维人员、安全运维人员、系统建设单位及各类设备设施的生产商或代理商以及其他必要的供应链厂商等。根据政务部门的信息系统、信息安全事件或者重点时期保障中的安全风险，明确应急组织形式、构成单位

27、或人员；明确各机构的工作任务及主要负责人的职责。风险分析与预案启动 对信息系统或重点时期保障期间发生某种具体或特定类型信息安全事件的可能性进行分析，预判信息安全事件发生的风险、严重程度、影响范围等，结合信息系统的重要程度或重点时期保障级别，启动相应等级的应急预案。包括但不限于以下内容：a)可能发生的信息安全事件类型；b)信息安全事件可能发生的时间；c)信息安全事件发生前可能出现的征兆；d)信息安全事件可能引发的次生、衍生信息安全事件；e)信息安全事件对关键信息基础设施业务运行产生的危害程度及影响范围。应急响应流程 DB11/T 15992025 10 根据信息安全事件响应的级别，明确应急响应的

28、报告程序、报告内容、报告方式和责任人等，对信息安全事件接报和记录、应急指挥机构启动、资源调配、应急处置、扩大应急等响应程序提出具体要求。应急处置措施 信息安全事件应急处置措施主要分为：应急准备、分析确认、抑制根除、恢复运行。针对信息系统可能发生的信息安全事件的风险、信息安全事件危害程度和影响范围，制定相应的应急处置措施，明确处置原则和具体要求。保障措施 明确分项预案各类应急响应的人力资源、技术资源及后勤保障资源等，包括应急队伍、应急设备保障、应急保障经费、跨部门协作保障等。宣传、培训和演练 对分项预案的宣传教育和信息安全相关知识培训等工作提出要求，包括对信息安全工作人员定期培训，使其熟悉信息安

29、全相关知识，掌握故障排除步骤及实操技能；落实岗位应急职责，熟悉应急预案体系、应急响应程序和处置方案等内容；定期开展信息安全应急演练，检验信息安全工作人员的业务技能，同时验证预案的有效性。附件 附件内容包括但不限于以下方面：a)应急物资装备的名录或清单：包括应急预案涉及的主要物资和装备名称、型号、性能、数量、存放地点、运输和使用条件、管理责任人和联系电话等；b)关键的路线标识、应急工具清单和图纸：包括详细的网络拓扑图，应急专用工具清单、位置及保管人，应急专用工具操作指导书，机房相关平面布置图纸等。8 现场处置方案基本内容 组织各类信息安全的专业组织和技术专家、部门运维、使用人员等共同参与现场处置

30、方案制定，对应急处置中的各个方面提出具体细致的要求，确保其针对性和指导性。现场处置方案可参考附录 C。针对发生的信息安全事件，从技术操作的角度加以规范，明确处置原则和具体处置步骤，细化应急处置手册。现场处置方案包括但不限于：a)恶意程序事件-计算机病毒事件应急处置手册；b)网络攻击事件网络扫描探测事件应急处置手册；c)数据安全事件数据篡改事件应急处置手册；d)信息内容安全事件反动宣传事件应急处置手册；e)设备设施故障事件技术故障事件应急处置手册；f)违规操作事件权限滥用事件应急处置手册；g)安全隐患事件网络漏洞事件应急处置手册；h)异常行为事件访问异常事件应急处置手册；i)不可抗力事件-自然灾

31、害事件应急处置手册；j)其他事件应急处置手册。DB11/T 15992025 11 附录A （资料性）北京市某局信息安全事件综合应急预案示例 A.1 总则 A.1.1 编制目的 为完善北京市某局应急预案体系，健全信息安全应急工作机制，提高应对信息安全突发事件的能力，预防信息安全事件的发生，降低造成的损失和危害，特编制此预案。A.1.2 编制依据 中华人民共和国突发事件应对法中华人民共和国网络安全法中华人民共和国数据安全法中华人民共和国个人信息保护法网络数据安全管理条例关键信息基础设施安全保护条例国家网络安全事件报告管理办法国家突发公共事件总体应急预案国家网络安全事件应急预案北京市突发事件总体应

32、急预案北京市网络安全事件应急预案等法律、法规、规章等。A.1.3 工作原则 坚持统一指挥、密切协同、快速反应、科学处置；坚持以预防为主，预防与应急相结合；坚持谁主管谁负责、谁运营谁负责等原则。充分发挥各方面技术力量，共同做好某局信息安全事件的预防与应对工作。A.1.4 事件分类分级 A.1.4.1 事件分类 综合考虑信息安全事件的起因、威胁、攻击方式、损害后果等因素，对信息安全事件进行分类，分为恶意程序事件、网络攻击事件、数据安全事件、信息内容安全事件、设备设施故障事件、违规操作事件、安全隐患事件、异常行为事件、不可抗力事件和其他事件等10类，每类之下再分若干子类。（1）恶意程序事件包括计算机

33、病毒事件、网络蠕虫事件、特洛伊木马事件、僵尸网络事件、恶意代码内嵌网页事件、恶意代码宿主站点事件、勒索软件事件、挖矿病毒事件、混合攻击程序事件和其他恶意程序事件等10个子类；（2）网络攻击事件包括网络扫描探测事件、网络钓鱼事件、漏洞利用事件、后门利用事件、后门植入事件、凭据攻击事件、信号干扰事件、拒绝服务事件、网页篡改事件、暗链植入事件、域名劫持事件、域名转嫁事件、DNS污染事件、WAN劫持事件、流量劫持事件、BGP劫持攻击事件、广播欺诈事件、失陷主机事件、供应链攻击事件、APT事件和其他网络攻击事件等21个子类；（3）数据安全事件包括数据篡改事件、数据假冒事件、数据泄露事件、社会工程事件、数

34、据窃取事件、数据拦截事件、位置检测事件、数据投毒事件、数据滥用事件、隐私侵犯事件、数据损失事件和其他数据安全事件等12个子类；（4）信息内容安全事件包括反动宣传事件、暴恐宣扬事件、色情传播事件、虚假信息传播事件、权益侵害事件、信息滥发事件、网络欺诈事件和其他信息内容安全事件等8个子类；（5）设备设施故障事件包括技术故障事件、配套设施故障事件、物理损害事件、辐射干扰事件和其他设备设施故障事件等5个子类；DB11/T 15992025 12（6）违规操作事件包括权限滥用事件、权限伪造事件、行为抵赖事件、故意违规操作事件、误操作事件、人员可用性破坏事件、资源未授权使用事件、版权违反事件和其他违规操作

35、事件等9个子类；（7）安全隐患事件包括网络漏洞事件、网络配置合规缺陷事件、其他安全隐患事件等3个子类；（8）异常行为事件包括访问异常事件、流量异常事件和其他异常行为事件等3个子类；（9）不可抗力事件包括自然灾害事件、事故灾难事件、公共卫生事件，社会安全事件和其他不可抗力事件等5个子类；（10）其他事件指未归为上述分类的信息安全事件。A.1.4.2 事件分级 按照电子政务实际建设需要，结合信息安全事件影响程度和响应级别，将信息安全事件分为特别重大（一级）、重大（二级）、较大（三级）、一般（四级）、较小（自管级）事件。涉及特别重大（一级）、重大（二级）的按照北京市网络安全事件应急预案要求执行，由市

36、网信部门负责事件的应急处置工作，某局信息安全相关部门配合完成信息安全事件的现场应急处置工作；某局负责较大（三级）、一般（四级）、较小（自管级）信息安全事件的处置工作。必要时，可由市重大网络与信息安全事件应急指挥部指导开展应急处置工作。特别重大（一级）、重大（二级）信息安全事件的分级标准参照国家网络安全事件报告管理办法北京市网络安全事件应急预案等文件执行。（一）较大（三级）信息安全事件 较大（三级）信息安全事件是未达到重大（二级）信息安全事件，但对国家安全、社会秩序、经济建设和公众利益构成较严重威胁、造成较严重影响的信息安全事件，包括。1.重要网络和信息系统遭受较大的系统损失，造成系统中断，明显

37、影响系统效率，业务处理能力受到影响。2.重要数据、较大量公民个人信息丢失或被窃取、篡改、假冒，对国家安全和社会稳定构成较严重威胁。3.其他对国家安全、社会秩序、经济建设和公众利益构成较严重威胁、造成较严重影响的信息安全事件。通常情况下，满足下列条件之一的，可判别为较大信息安全事件：1.党政机关、事业单位门户网站，重点新闻网站因攻击、故障，导致2小时以上不能访问。2.关键信息基础设施整体中断运行10分钟（含）以上或主要功能中断运行30分钟以上。3.影响一个或多个区30%（含）以上人口，或者10万人（含）以上用水、用电、用气、用油、取暖、交通出行、就医、购物等工作、生活。4.重要数据泄露或被窃取，

38、对国家安全和社会稳定构成较严重威胁。5.泄露100万人（含）以上公民个人信息或10万人（含）以上公民敏感个人信息，对国家安全和社会稳定构成较严重威胁的事件。6.党政机关、事业单位门户网站，重点新闻网站，网络平台等被攻击篡改，导致违法有害信息较大范围传播。以下情况之一，可认定为“较大范围”：（1）在主页上出现并持续30分钟（含）以上，或在其他页面出现并持续2小时（含）以上。（2）通过社交平台转发1000次（含）以上。（3）浏览或点击次数1万（含）以上。（4）市网信部门、公安机关认定为是“较大范围传播”的。7.造成500万元（含）以上的直接经济损失。8.其他对国家安全、社会秩序、经济建设和公众利益

39、构成较严重威胁、造成较严重影响的信息安全事件。DB11/T 15992025 13 （二）一般（四级）信息安全事件 一般（四级）信息安全事件是未达到较大（三级）信息安全事件，但对国家安全、社会秩序、经济建设和公众利益构成一定威胁、造成一定影响的事件。通常情况下，满足下列条件之一的，可判别为一般信息安全事件：1.党政机关、事业单位门户网站，重点新闻网站因攻击、故障，导致不能访问。2.关键信息基础设施主要功能中断运行或整体中断运行。3.重要信息系统因攻击、故障中断，业务受到影响，影响居民用水、用电、用气、用油、取暖、交通出行、就医、购物等工作、生活。4.泄露公民个人信息，造成一般社会危害。5.党政

40、机关、事业单位门户网站，重点新闻网站，网络平台等被恶意攻击篡改，导致违法有害信息传播。6.党政机关、事业单位门户网站，重点新闻网站，网络平台等被恶意入侵，被攻击者植入木马、暗链、后门等，存在严重的安全隐患。7.其他导致较小的业务损失，造成一般社会危害的信息安全事件。（三）较小（自管级）信息安全事件是指未达到一般信息安全（四级）事件，未造成社会危害的信息安全事件，包括：1.等保一级、二级信息系统因攻击、故障中断，未造成社会危害。2.数据遭到篡改、破坏、泄露或者非法获取、非法利用，但未达到一般信息安全事件（四级）条件。3.其他由于各种原因导致的未达到一般信息安全事件（四级）条件的系统中断、服务中断

41、设备故障等信息安全事件。A.1.5 适用范围 本预案适用于北京市某局信息安全事件的预防和处置工作。某局信息系统相关信息详见附件。A.2 组织机构与职责 北京市某局信息安全事件应急组织机构，由信息安全领导小组、信息安全工作小组和信息安全实施小组、信息安全运行小组、信息安全专家组组成，负责信息安全事件的预防和应对工作。相关角色分配如下：A.2.1 信息安全领导小组 组 长：局长 组 员：XXX 负责协调并推动政务信息安全保障体系的建立与完善；指导和监督各部门重要信息系统与基础设施的安全保障工作；组织信息安全培训；根据法律法规和最新趋势推动信息安全政策的更新；协调处理政务领域的重大信息安全事件，确

42、保政务工作的连续性和信息安全管理体系的有效性。A.2.2 信息安全工作小组 组 长：信息安全主管部门主要领导 组 员：XXX DB11/T 15992025 14 负责信息安全基础设施的规划和管理工作；负责组织开展事件监测和应急处置工作；负责组织信息安全应急预案的制定工作，负责指导开展应急演练；负责政务信息系统的风险评估与测试的监督、检查、指导工作；负责安全管理人员的培训；提供安全管理和安全技术方案的咨询。A.2.3 信息安全实施小组 组 长：相关部门主要领导 组 员：XXX 负责实施具体的应急处置工作，包括信息安全事件的应急响应，制定具体处置方案，调查事件原因，分析事件影响范围等。A.2.4

43、 信息安全运行小组 组 长：相关部门主要领导 组 员：XXX 负责信息系统的日常运维，包括备份中心的日常管理、安全监测系统的运行和维护，开展应急预案的编制、测试、培训和演练等。A.2.5 信息安全专家组 负责提供紧急情况下的应急技术方案和技术支援，对重大信息安全事件进行评估，提出启动应急响应程序的建议，分析信息安全事件的原因及造成的危害，并为整个应急响应过程提供必要的技术支持。A.3 监测预警 A.3.1 监测 北京市某局在落实国家网络安全等级保护工作制度基础上，重点做好信息安全事件的风险评估和监测预警工作。A.3.1.1 风险评估 北京市某局信息安全工作小组负责本局政务信息系统的风险评估与控

44、制工作的监督、检查和指导。定期组织开展局内信息安全技术检查与自查，了解和掌握分管领域内信息系统的风险状况。根据需要，建立并维护风险源管理系统，以强化风险管理措施，进而提升信息系统安全防护能力。A.3.1.2 安全监测 北京市某局信息安全运行小组负责信息安全监测系统运营、维护和管理工作，根据需要对局内信息系统、网站域名及流量数据进行持续性安全监测，定期对设备告警信息及日志进行分析，及时发现并准确识别网站及信息系统中的潜在安全隐患。北京市某局信息安全运行小组负责对监测信息进行研判，认为需要立即采取预防措施的，应及时通知有关部门或单位立即采取针对性的措施，迅速修复安全漏洞，有效遏制并预防信息安全事件

45、的发生；对可能发生较大及以上信息安全事件的信息，应及时上报信息安全领导小组，并向市网信安全应急办公室报告，涉及政务信息系统的，同时向市政务服务和数据管理局报告。A.3.2 预警响应 预警级别分为一级、二级、三级、四级，分别用红色、橙色、黄色、蓝色表示，分别对应可能发生特别重大、重大、较大、一般信息安全事件。DB11/T 15992025 15 北京市某局可以根据监测研判情况在本部门发布黄色以下预警。当收到本部门或市网信等部门发布的信息安全预警信息，或本部门因某项重大活动而需要进行信息安全保障时，信息安全工作小组应按照发布的预警和保障级别，启动并执行相应的应急预案。组织与部署所属技术力量和应急队

46、伍进行响应并进入应急状态，以有效应对潜在的信息安全威胁，确保信息安全得到充分保障。A.4 应急响应 A.4.1 事件发现和汇报 信息安全运行小组根据各自职责分工，及时收集、分析、汇总信息系统安全运行情况，一旦发生安全事件及时通知信息安全工作小组。对于暂时无法判明等级的信息安全事件，立即将事件简要情况及联系人通过电话、京办等途径上报信息安全领导小组。A.4.2 先期处置 信息安全事件发生后应做好如下先期处置工作：（1）控制事态发展，防控蔓延。相关人员根据需要及时采取断网（拔网线）等技术措施及时控制事态发展，最大限度地降低事件危害；（2）信息及时上报。在先期处置的同时要按照预案要求，及时上报；（3

47、原因分析与影响评估。尽快分析事件发生原因，并结合信息系统运行和承载业务的特点，初步评估事件的影响范围、危害程度和可能波及的领域，据此提出针对性的应对措施和建议；（4）详细记录与证据保存。在先期处置过程中，应保留安全日志信息、设备告警信息、路由配置信息、数据包信息等相关证据。通过采取手工记录、屏幕截图、文件备份和影像设备记录等技术手段，对事件发生、发展、处置的过程、步骤、结果进行详细记录，尽可能保存原始证据，为后续事件溯源、调查和处置提供客观证据；（5）技术支持与态势研判。信息安全工作小组在接报事件信息后，要及时介入并动态掌握事件的发展情况，评估事件的影响和可能波及的范围，研判事件的发展态势，

48、根据需要提供相应的技术支持。A.4.3 基本响应 信息安全事件发生后，在先期处置基础上，根据事件级别启动信息安全事件应急预案，及时掌握事件的发展动态，统筹并调配应急资源。必要时配合市网信部门组建现场指挥部，以高效、有序地应对信息安全突发事件的应急处置工作。A.4.4 分级响应 信息安全事件应急响应由高到低分为一级、二级、三级、四级、自管级，分别对应特别重大、重大、较大、一般和自管级信息安全事件。A.4.4.1 一级、二级响应 对于特别重大、重大信息安全事件的应急响应按照北京市网络安全事件应急预案要求执行一级、二级响应，并配合市网信部门完成信息安全突发事件的现场应急处置工作。A.4.4.2 三级

49、四级响应 DB11/T 15992025 16 对于一般和较大信息安全事件，由信息安全领导小组启动三级、四级响应，统一指挥、协调并组织应急处置工作。部门内各成员单位做好事件处置过程中的配合和协助工作。若涉及跨区、跨部门的信息安全事件，按照北京市网络安全事件应急预案要求执行，配合市网信部门完成信息安全突发事件的现场应急处置工作。（1）启动指挥体系 信息安全组织机构进入应急状态，各成员保持24小时联络畅通，信息安全领导小组统筹协调事件应急处置工作，确保各项措施得到有效地执行。（2）掌握事件动态 跟踪事态发展。信息安全工作小组需密切关注事态的发展变化，及时将事态发展变化情况和处置进展情况报信息安全

50、领导小组；检查影响范围。信息安全工作小组及时了解主管范围内的其他信息系统是否受到事件的波及或影响，组织相关人员对事态进行研究，并根据需要对受到影响的系统进行核查；及时通报情况。信息安全工作小组负责汇总上述有关情况，报信息安全领导小组及市网信部门，涉及政务信息系统的，同时报市政务服务和数据管理局。（3）处置实施 控制事态防止蔓延。在信息安全领导小组的指挥下，信息安全实施小组应及时采取技术措施，阻止事件蔓延，同时督促、指导相关运行单位有针对性地加强防范，确保事态得到有效控制。信息安全运行小组加强对局内信息系统、网站域名及流量数据安全监测；消除安全隐患。信息安全实施小组尽快分析事件发生原因，并根据原