信息安全事件分類分級指南

Date30 7 月 2019

信息安全技術(shù) 信息安全事件分類分級指南

1 范圍
本指導(dǎo)性技術(shù)文件為信息安全事件的分類分級提供指導(dǎo)，用于信息安全事件的防范與處置，為事前準(zhǔn)備、事中應(yīng)對、事后處理提供一個基礎(chǔ)指南，可供信息系統(tǒng)和基礎(chǔ)信息傳輸網(wǎng)絡(luò)的運營和使用單位以及信息安全主管部門參考使用。

2 術(shù)語和定義
下列術(shù)語和定義適用于本指導(dǎo)性技術(shù)文件。

2.1 信息系統(tǒng) information system
由計算機及其相關(guān)的和配套的設(shè)備、設(shè)施（含網(wǎng)絡(luò)）構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則對信息進(jìn) 行采集、加工、存儲、傳輸、檢索等處理的人機系統(tǒng)。

2.2 信息安全事件 information security incident
由于自然或者人為以及軟硬件本身缺陷或故障的原因，對信息系統(tǒng)造成危害，或?qū)ι鐣斐韶?fù)面影響的事件。

3 縮略語
下列縮略語適用于本指導(dǎo)性技術(shù)文件。
MI：有害程序事件（Malware Incidents）
CVI：計算機病毒事件（Computer Virus Incidents）
WI：蠕蟲事件（Worms Incidents）
THI：特洛伊木馬事件（Trojan Horses Incidents）
BI：僵尸網(wǎng)絡(luò)事件（Botnets Incidents）
BAI：混合攻擊程序事件（Blended Attacks Incidents）
WBPI：網(wǎng)頁內(nèi)嵌惡意代碼事件（Web Browser Plug-Ins Incidents）
NAI：網(wǎng)絡(luò)攻擊事件（Network Attacks Incidents）
DOSAI：拒絕服務(wù)攻擊事件（Denial of Service Attacks Incidents）
BDAI：后門攻擊事件（Backdoor Attacks Incidents）
VAI：漏洞攻擊事件（Vulnerability Attacks Incidents）
NSEI：網(wǎng)絡(luò)掃描竊聽事件（Network Scan & Eavesdropping Incidents）
PI：網(wǎng)絡(luò)釣魚事件（Phishing Incidents）
II：干擾事件（Interference Incidents）
IDI：信息破壞事件（Information Destroy Incidents）
IAI：信息篡改事件（Information Alteration Incidents）
IMI：信息假冒事件（Information Masquerading Incidents）
ILEI：信息泄漏事件（Information Leakage Incidents）
III：信息竊取事件（Information Interception Incidents）
ILOI：信息丟失事件（Information Loss Incidents）
ICSI：信息內(nèi)容安全事件（Information Content Security Incidents）
FF：設(shè)備設(shè)施故障（Facilities Faults）
SHF：軟硬件自身故障（Software and Hardware Faults）
PSFF：外圍保障設(shè)施故障（Periphery Safeguarding Facilities Faults）
MDA：人為破壞事故（Man-made Destroy Accidents）
DI：災(zāi)害性事件（Disaster Incidents）
OI：其他事件（Other Incidents）

4 信息安全事件分類

4.1 考慮要素與基本分類
信息安全事件可以是故意、過失或非人為原因引起的。
本指導(dǎo)性技術(shù)文件綜合考慮信息安全事件的起因、表現(xiàn)、結(jié)果等，對信息安全事件進(jìn)行分類。
信息安全事件分為有害程序事件、網(wǎng)絡(luò)攻擊事件、信息破壞事件、信息內(nèi)容安全事件、設(shè)備設(shè)施故障、災(zāi)害性事件和其他信息安全事件等7個基本分類，每個基本分類分別包括若干個子類。

4.2 事件分類

4.2.1 有害程序事件（MI）
有害程序事件是指蓄意制造、傳播有害程序，或是因受到有害程序的影響而導(dǎo)致的信息安全事件。
有害程序是指插入到信息系統(tǒng)中的一段程序，有害程序危害系統(tǒng)中數(shù)據(jù)、應(yīng)用程序或操作系統(tǒng)的保密性、完整性或可用性，或影響信息系統(tǒng)的正常運行。
有害程序事件包括計算機病毒事件、蠕蟲事件、特洛伊木馬事件、僵尸網(wǎng)絡(luò)事件、混合攻擊程序事件、網(wǎng)頁內(nèi)嵌惡意代碼事件和其它有害程序事件等7個子類，說明如下：

a) 計算機病毒事件（CVI）
是指蓄意制造、傳播計算機病毒，或是因受到計算機病毒影響而導(dǎo)致的信息安全事件。計算機病毒是指編制或者在計算機程序中插入的一組計算機指令或者程序代碼，它可以破壞計算機功能或者毀壞數(shù)據(jù)，影響計算機使用，并能自我復(fù)制；

b) 蠕蟲事件（WI）
是指蓄意制造、傳播蠕蟲，或是因受到蠕蟲影響而導(dǎo)致的信息安全事件。蠕蟲是指除計算機病毒以外，利用信息系統(tǒng)缺陷，通過網(wǎng)絡(luò)自動復(fù)制并傳播的有害程序；

c) 特洛伊木馬事件（THI）
是指蓄意制造、傳播特洛伊木馬程序，或是因受到特洛伊木馬程序影響而導(dǎo)致的信息安全事件。特洛伊木馬程序是指偽裝在信息系統(tǒng)中的一種有害程序，具有控制該信息系統(tǒng)或進(jìn)行信息竊取等對該信息系統(tǒng)有害的功能；

d) 僵尸網(wǎng)絡(luò)事件（BI）
是指利用僵尸工具軟件，形成僵尸網(wǎng)絡(luò)而導(dǎo)致的信息安全事件。僵尸網(wǎng)絡(luò) 是指網(wǎng)絡(luò)上受到黑客集中控制的一群計算機，它可以被用于伺機發(fā)起網(wǎng)絡(luò)攻擊，進(jìn)行信息竊取或傳播木馬、蠕蟲等其他有害程序；

e) 混合攻擊程序事件（BAI）
是指蓄意制造、傳播混合攻擊程序，或是因受到混合攻擊程序影響而導(dǎo)致的信息安全事件。混合攻擊程序是指利用多種方法傳播和感染其它系統(tǒng)的有害程序，可能兼有計算機病毒、蠕蟲、木馬或僵尸網(wǎng)絡(luò)等多種特征。混合攻擊程序事件也可以是一系列有害程序綜合作用的結(jié)果，例如一個計算機病毒或蠕蟲在侵入系統(tǒng)后安裝木馬程序等；

f) 網(wǎng)頁內(nèi)嵌惡意代碼事件（WBPI）
是指蓄意制造、傳播網(wǎng)頁內(nèi)嵌惡意代碼，或是因受到網(wǎng)頁內(nèi) 嵌惡意代碼影響而導(dǎo)致的信息安全事件。網(wǎng)頁內(nèi)嵌惡意代碼是指內(nèi)嵌在網(wǎng)頁中，未經(jīng)允許由瀏覽器執(zhí)行，影響信息系統(tǒng)正常運行的有害程序；

g) 其它有害程序事件（OMI）
是指不能包含在以上6個子類之中的有害程序事件。

4.2.2 網(wǎng)絡(luò)攻擊事件（NAI）
網(wǎng)絡(luò)攻擊事件是指通過網(wǎng)絡(luò)或其他技術(shù)手段，利用信息系統(tǒng)的配置缺陷、協(xié)議缺陷、程序缺陷或使用暴力攻擊對信息系統(tǒng)實施攻擊，并造成信息系統(tǒng)異?；?qū)π畔⑾到y(tǒng)當(dāng)前運行造成潛在危害的信息安全事件。
網(wǎng)絡(luò)攻擊事件包括拒絕服務(wù)攻擊事件、后門攻擊事件、漏洞攻擊事件、網(wǎng)絡(luò)掃描竊聽事件、網(wǎng)絡(luò)釣魚事件、干擾事件和其他網(wǎng)絡(luò)攻擊事件等7個子類，說明如下：

a) 拒絕服務(wù)攻擊事件（DOSAI）
是指利用信息系統(tǒng)缺陷、或通過暴力攻擊的手段，以大量消耗信息系統(tǒng)的CPU、內(nèi)存、磁盤空間或網(wǎng)絡(luò)帶寬等資源，從而影響信息系統(tǒng)正常運行為目的的信息安全事件；

b) 后門攻擊事件（BDAI）
是指利用軟件系統(tǒng)、硬件系統(tǒng)設(shè)計過程中留下的后門或有害程序所設(shè) 置的后門而對信息系統(tǒng)實施的攻擊的信息安全事件；

c) 漏洞攻擊事件（VAI）
是指除拒絕服務(wù)攻擊事件和后門攻擊事件之外，利用信息系統(tǒng)配置缺陷、協(xié)議缺陷、程序缺陷等漏洞，對信息系統(tǒng)實施攻擊的信息安全事件；

d) 網(wǎng)絡(luò)掃描竊聽事件（NSEI）
是指利用網(wǎng)絡(luò)掃描或竊聽軟件，獲取信息系統(tǒng)網(wǎng)絡(luò)配置、端口、服務(wù)、存在的脆弱性等特征而導(dǎo)致的信息安全事件；

e) 網(wǎng)絡(luò)釣魚事件（PI）
是指利用欺騙性的計算機網(wǎng)絡(luò)技術(shù)，使用戶泄漏重要信息而導(dǎo)致的信息安全事件。例如，利用欺騙性電子郵件獲取用戶銀行帳號密碼等；

f) 干擾事件（II）
是指通過技術(shù)手段對網(wǎng)絡(luò)進(jìn)行干擾，或?qū)V播電視有線或無線傳輸網(wǎng)絡(luò)進(jìn)行插播，對衛(wèi)星廣播電視信號非法攻擊等導(dǎo)致的信息安全事件；

g) 其他網(wǎng)絡(luò)攻擊事件（ONAI）
是指不能被包含在以上6個子類之中的網(wǎng)絡(luò)攻擊事件。

4.2.3 信息破壞事件（IDI）
信息破壞事件是指通過網(wǎng)絡(luò)或其他技術(shù)手段，造成信息系統(tǒng)中的信息被篡改、假冒、泄漏、竊取等而導(dǎo)致的信息安全事件。
信息破壞事件包括信息篡改事件、信息假冒事件、信息泄漏事件、信息竊取事件、信息丟失事件和其它信息破壞事件等6個子類，說明如下：

a) 信息篡改事件（IAI）
是指未經(jīng)授權(quán)將信息系統(tǒng)中的信息更換為攻擊者所提供的信息而導(dǎo)致的信息安全事件，例如網(wǎng)頁篡改等導(dǎo)致的信息安全事件；

b) 信息假冒事件（IMI）
是指通過假冒他人信息系統(tǒng)收發(fā)信息而導(dǎo)致的信息安全事件，例如網(wǎng)頁假冒等導(dǎo)致的信息安全事件；

c) 信息泄漏事件（ILEI）
是指因誤操作、軟硬件缺陷或電磁泄漏等因素導(dǎo)致信息系統(tǒng)中的保密、敏感、個人隱私等信息暴露于未經(jīng)授權(quán)者而導(dǎo)致的信息安全事件；

d) 信息竊取事件（III）
是指未經(jīng)授權(quán)用戶利用可能的技術(shù)手段惡意主動獲取信息系統(tǒng)中信息而導(dǎo)致的信息安全事件；

e) 信息丟失事件（ILOI）
是指因誤操作、人為蓄意或軟硬件缺陷等因素導(dǎo)致信息系統(tǒng)中的信息丟失而導(dǎo)致的信息安全事件；

f) 其它信息破壞事件（OIDI）
是指不能被包含在以上5個子類之中的信息破壞事件。

4.2.4 信息內(nèi)容安全事件（ICSI）
信息內(nèi)容安全事件是指利用信息網(wǎng)絡(luò)發(fā)布、傳播危害國家安全、社會穩(wěn)定和公共利益的內(nèi)容的安全事件。
信息內(nèi)容安全事件包括以下4個子類，說明如下：

a) 違反憲法和法律、行政法規(guī)的信息安全事件；

b) 針對社會事項進(jìn)行討論、評論形成網(wǎng)上敏感的輿論熱點，出現(xiàn)一定規(guī)模炒作的信息安全事件；

c) 組織串連、煽動集會游行的信息安全事件；

d) 其他信息內(nèi)容安全事件等4個子類。

4.2.5 設(shè)備設(shè)施故障（FF）
設(shè)備設(shè)施故障是指由于信息系統(tǒng)自身故障或外圍保障設(shè)施故障而導(dǎo)致的信息安全事件，以及人為的使用非技術(shù)手段有意或無意的造成信息系統(tǒng)破壞而導(dǎo)致的信息安全事件。
設(shè)備設(shè)施故障包括軟硬件自身故障、外圍保障設(shè)施故障、人為破壞事故、和其它設(shè)備設(shè)施故障等4 個子類，說明如下：

a) 軟硬件自身故障（SHF）
是指因信息系統(tǒng)中硬件設(shè)備的自然故障、軟硬件設(shè)計缺陷或者軟硬件運行環(huán)境發(fā)生變化等而導(dǎo)致的信息安全事件；

b) 外圍保障設(shè)施故障（PSFF）
是指由于保障信息系統(tǒng)正常運行所必須的外部設(shè)施出現(xiàn)故障而導(dǎo)致的信息安全事件，例如電力故障、外圍網(wǎng)絡(luò)故障等導(dǎo)致的信息安全事件；

c) 人為破壞事故（MDA）
是指人為蓄意的對保障信息系統(tǒng)正常運行的硬件、軟件等實施竊取、破壞造成的信息安全事件；或由于人為的遺失、誤操作以及其他無意行為造成信息系統(tǒng)硬件、軟件等遭到破壞，影響信息系統(tǒng)正常運行的信息安全事件；

d) 其它設(shè)備設(shè)施故障（IF-OT）
是指不能被包含在以上3個子類之中的設(shè)備設(shè)施故障而導(dǎo)致的信息安全事件。

4.2.6 災(zāi)害性事件（DI）
災(zāi)害性事件是指由于不可抗力對信息系統(tǒng)造成物理破壞而導(dǎo)致的信息安全事件。
災(zāi)害性事件包括水災(zāi)、臺風(fēng)、地震、雷擊、坍塌、火災(zāi)、恐怖襲擊、戰(zhàn)爭等導(dǎo)致的信息安全事件。

4.2.7 其他事件（OI）
其他事件類別是指不能歸為以上6個基本分類的信息安全事件。

5 信息安全事件分級

5.1 分級考慮要素

5.1.1 概述
對信息安全事件的分級主要考慮三個要素：信息系統(tǒng)的重要程度、系統(tǒng)損失和社會影響。

5.1.2 信息系統(tǒng)的重要程度
信息系統(tǒng)的重要程度主要考慮信息系統(tǒng)所承載的業(yè)務(wù)對國家安全、經(jīng)濟(jì)建設(shè)、社會生活的重要性以及業(yè)務(wù)對信息系統(tǒng)的依賴程度，劃分為特別重要信息系統(tǒng)、重要信息系統(tǒng)和一般信息系統(tǒng)。

5.1.3 系統(tǒng)損失
系統(tǒng)損失是指由于信息安全事件對信息系統(tǒng)的軟硬件、功能及數(shù)據(jù)的破壞，導(dǎo)致系統(tǒng)業(yè)務(wù)中斷，從而給事發(fā)組織所造成的損失，其大小主要考慮恢復(fù)系統(tǒng)正常運行和消除安全事件負(fù)面影響所需付出的代價，劃分為特別嚴(yán)重的系統(tǒng)損失、嚴(yán)重的系統(tǒng)損失、較大的系統(tǒng)損失和較小的系統(tǒng)損失，說明如下：

a) 特別嚴(yán)重的系統(tǒng)損失：造成系統(tǒng)大面積癱瘓，使其喪失業(yè)務(wù)處理能力，或系統(tǒng)關(guān)鍵數(shù)據(jù)的保密性、完整性、可用性遭到嚴(yán)重破壞，恢復(fù)系統(tǒng)正常運行和消除安全事件負(fù)面影響所需付出的代價十分巨大，對于事發(fā)組織是不可承受的；

b) 嚴(yán)重的系統(tǒng)損失：造成系統(tǒng)長時間中斷或局部癱瘓，使其業(yè)務(wù)處理能力受到極大影響，或系統(tǒng) 關(guān)鍵數(shù)據(jù)的保密性、完整性、可用性遭到破壞，恢復(fù)系統(tǒng)正常運行和消除安全事件負(fù)面影響所需付出的代價巨大，但對于事發(fā)組織是可承受的；

c) 較大的系統(tǒng)損失：造成系統(tǒng)中斷，明顯影響系統(tǒng)效率，使重要信息系統(tǒng)或一般信息系統(tǒng)業(yè)務(wù)處理能力受到影響，或系統(tǒng)重要數(shù)據(jù)的保密性、完整性、可用性遭到破壞，恢復(fù)系統(tǒng)正常運行和消除安全事件負(fù)面影響所需付出的代價較大，但對于事發(fā)組織是完全可以承受的；

d) 較小的系統(tǒng)損失：造成系統(tǒng)短暫中斷，影響系統(tǒng)效率，使系統(tǒng)業(yè)務(wù)處理能力受到影響，或系統(tǒng) 重要數(shù)據(jù)的保密性、完整性、可用性遭到影響，恢復(fù)系統(tǒng)正常運行和消除安全事件負(fù)面影響所需付出的代價較小。

5.1.4 社會影響
社會影響是指信息安全事件對社會所造成影響的范圍和程度，其大小主要考慮國家安全、社會秩序、經(jīng)濟(jì)建設(shè)和公眾利益等方面的影響，劃分為特別重大的社會影響、重大的社會影響、較大的社會影響和一般的社會影響，說明如下：

a) 特別重大的社會影響：波及到一個或多個省市的大部分地區(qū)，極大威脅國家安全，引起社會動蕩，對經(jīng)濟(jì)建設(shè)有極其惡劣的負(fù)面影響，或者嚴(yán)重?fù)p害公眾利益；

b) 重大的社會影響：波及到一個或多個地市的大部分地區(qū)，威脅到國家安全，引起社會恐慌，對經(jīng)濟(jì)建設(shè)有重大的負(fù)面影響，或者損害到公眾利益；

c) 較大的社會影響：波及到一個或多個地市的部分地區(qū)，可能影響到國家安全，擾亂社會秩序，對經(jīng)濟(jì)建設(shè)有一定的負(fù)面影響，或者影響到公眾利益；

d) 一般的社會影響：波及到一個地市的部分地區(qū)，對國家安全、社會秩序、經(jīng)濟(jì)建設(shè)和公眾利益基本沒有影響，但對個別公民、法人或其他組織的利益會造成損害。

5.2 事件分級

5.2.1 概述
根據(jù)信息安全事件的分級考慮要素，將信息安全事件劃分為四個級別：特別重大事件、重大事件、較大事件和一般事件。

5.2.2 特別重大事件（Ⅰ級）
特別重大事件是指能夠?qū)е绿貏e嚴(yán)重影響或破壞的信息安全事件，包括以下情況：

a) 會使特別重要信息系統(tǒng)遭受特別嚴(yán)重的系統(tǒng)損失；

b) 產(chǎn)生特別重大的社會影響。

5.2.3 重大事件（Ⅱ級）
重大事件是指能夠?qū)е聡?yán)重影響或破壞的信息安全事件，包括以下情況：

a) 會使特別重要信息系統(tǒng)遭受嚴(yán)重的系統(tǒng)損失、或使重要信息系統(tǒng)遭受特別嚴(yán)重的系統(tǒng)損失；