一、依据

本说明依据《中华人民共和国网络安全法》《国家网络安全事件应急预案》以及《信息安全技术 网络安全事件分类分级指南》（GB/T 20986-2023）编写，用于指导学校各单位识别、报告和处置网络安全事件。

二、网络安全事件的分类

按事件成因和表现形式，分为七类：

三、事件分级

按影响范围和危害程度，分为四级：

特别重大事件（Ⅰ级）

• 学校关键信息基础设施遭受严重破坏，业务大面积中断

• 大规模师生个人信息泄露，涉及人数众多

• 网站被篡改为反动、色情等严重有害内容，造成恶劣社会影响

• 事件影响扩散至校外，被省级以上部门通报

重大事件（Ⅱ级）

• 多个核心业务系统同时中断，影响全校教学科研秩序

• 较大规模个人信息泄露

• 网站被篡改，发布有害信息

• 勒索病毒感染服务器，数据被加密

较大事件（Ⅲ级）

• 单个核心业务系统中断，影响部分业务办理

• 少量个人信息泄露

• 办公终端感染病毒并在小范围扩散

• 网络局部区域中断

一般事件（Ⅳ级）

• 单台终端感染病毒，未扩散

• 个别用户账号异常

• 局部网络短暂中断，可快速恢复

四、报告要求

报告时限

注意：法律规定的报告时限是刚性要求。《网络安全法》第五十九条规定，网络运营者不履行网络安全保护义务、发生危害网络安全的事件未立即采取补救措施、未按照规定向有关主管部门报告的，将被责令改正、警告，拒不改正或造成危害的处以罚款。

报告内容

初次报告应包含以下要素（信息不全时先报已知部分，后续补报）：

1. 事件发生的时间、地点

1. 事件类型（参照上述七类）

1. 受影响的信息系统、设备、数据范围

1. 初步判断的事件级别

1. 已采取的措施

1. 报告人及联系方式

续报与总结

• 事件处置过程中，每 4 小时续报一次进展，直至事件关闭

• 事件处置结束后 5 个工作日内提交总结报告，包含原因分析、损失评估、整改措施

五、先期处置原则

事件发生时，各单位应先做三件事，再报告：

第一，控制影响范围。断网、下线系统、封禁攻击源 IP，防止事态扩大。

第二，保护现场证据。不要关机、不要重装系统、不要删除文件。保留日志、截图、异常文件样本。

第三，初步判断。属于哪个类型、影响哪些业务、是否涉及个人信息，为报告提供依据。

六、常见错误做法

1. 隐瞒不报。担心影响考核而自行处理，往往导致小事件拖成大事件，且错过最佳处置时机。

1. 先重装再看。发现中毒立即重装系统，证据全部丢失，无法溯源，同类问题会反复发生。

1. 只报不提。报告后不跟进处置，导致事件长期挂账。

1. 越级报告。不经过中心直接报上级部门，造成信息不一致。

1. 口头报告不留痕。所有报告应留存记录（电话记录、微信截图、邮件），作为处置过程佐证。