GB/T 20985.2-2026 网络安全技术 网络安全事件管理 第2部分：事件响应规划和准备指南

ICS35.030

CCSL80

中华人民共和国国家标准

GB/T20985.2—2026/ISO/IEC27035⁃2：2023

代替GB/T20985.2—2020

网络安全技术网络安全事件管理

第2部分：事件响应规划和准备指南

Cybersecuritytechnology—Cybersecurityincidentmanagement—

Part2：Guidelinestoplanandprepareforincidentresponse

（ISO/IEC27035⁃2：2023，Informationtechnology—Informationsecurity

incidentmanagement—Part2：Guidelinestoplanandprepareforincident

response，IDT）

2026⁃07⁃02发布2027⁃02⁃01实施

国家市场监督管理总局

国家标准化管理委员会发布

GB/T20985.2—2026/ISO/IEC27035⁃2：2023

目次

前言··························································································································Ⅴ

引言··························································································································Ⅵ

1范围·······················································································································1

2规范性引用文件········································································································1

3术语、定义和缩略语···································································································1

3.1术语和定义········································································································1

3.2缩略语··············································································································2

4网络安全事件管理策略·······························································································2

4.1总则·················································································································2

4.2利益相关方········································································································2

4.3网络安全事件管理策略内容···················································································3

5网络安全策略更新·····································································································4

5.1总则·················································································································4

5.2策略文档的关联··································································································4

6网络安全事件管理计划制定·························································································5

6.1总则·················································································································5

6.2基于共识建立网络安全事件管理计划·······································································5

6.3利益相关方········································································································6

6.4网络安全事件管理计划内容···················································································6

6.5事件分级···········································································································8

6.6事件表单···········································································································8

6.7文档化的过程和规程····························································································9

6.8信任和信心·······································································································10

6.9保密或敏感信息处理···························································································10

7事件管理能力建立···································································································10

7.1概述················································································································10

7.2事件管理小组建立······························································································11

7.3事件响应小组建立······························································································13

8与其他组织的关系建立·····························································································15

8.1概述················································································································15

8.2与组织其他部门的关系························································································15

8.3与外部利益相关方的关系·····················································································16

9技术和其他支持······································································································16

Ⅰ

GB/T20985.2—2026/ISO/IEC27035⁃2：2023

9.1总则················································································································16

9.2技术支持··········································································································17

9.3其他支持··········································································································18

10网络安全事件意识和培训建立···················································································18

11网络安全事件管理计划测试······················································································19

11.1总则··············································································································19

11.2演练··············································································································19

11.3事件响应能力监测····························································································20

12经验总结··············································································································21

12.1总则··············································································································21

12.2识别改进的方面·······························································································21

12.3识别并改进网络安全事件管理计划·······································································22

12.4事件管理小组评价····························································································22

12.5识别并改进网络安全控制措施·············································································22

12.6识别并改进网络安全风险评估和管理评审结果························································23

12.7其他改进········································································································23

附录A（资料性）法律法规要求相关考虑·········································································24

A.1总则···············································································································24

A.2数据保护和个人信息的隐私保护···········································································24

A.3记录保存·········································································································24

A.4控制措施以保证实现商业合同义务········································································24

A.5与策略和规程相关的法律问题··············································································24

A.6免责声明法律效力检查·······················································································24

A.7与外部支持人员的合同·······················································································24

A.8保密协议要求···································································································24

A.9执法要求·········································································································25

A.10责任方面········································································································25

A.11具体法规要求··································································································25

A.12起诉或执行内部纪律规程··················································································25

A.13法律方面········································································································25

A.14可接受的使用策略····························································································25

附录B（资料性）网络安全事态、事件和脆弱性报告及表单示例·············································26

B.1概述···············································································································26

B.2记录事项示例···································································································26

B.3表单使用方法···································································································28

B.4表单示例·········································································································28

Ⅱ

GB/T20985.2—2026/ISO/IEC27035⁃2：2023

附录C（资料性）网络安全事态和事件分类、评价和优先级确定的方法示例······························37

C.1概述···············································································································37

C.2网络安全事件分类·····························································································37

C.3网络安全事件评价和优先级确定···········································································39

参考文献····················································································································40

Ⅲ

GB/T20985.2—2026/ISO/IEC27035⁃2：2023

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规

定起草。

本文件是GB/T20985《网络安全技术网络安全事件管理》的第2部分。GB/T20985已经发布

了以下部分：

——第1部分：原理和过程；

——第2部分：事件响应规划和准备指南。

本文件代替GB/T20985.2—2020《信息技术安全技术信息安全事件管理第2部分：事件

响应规划和准备指南》，与GB/T20985.2—2020相比，除结构调整和编辑性改动外，主要技术变化

如下：

a）增加了网络安全策略更新（见第5章）；

b）增加了组织的推荐过程相关内容（见6.7）；

c）更改了与脆弱性管理相关的内容（见第6章，2020年版的第6章）；

d）增加了新的角色及其职责，包括事件管理小组和事件协调员（见7.2、7.3）。

本文件等同采用ISO/IEC27035⁃‑2：2023《信息技术信息安全事件管理第2部分：事件响应规

划和准备指南》。

本文件做了下列最小限度的编辑性改动：

——将标准名称更改为《网络安全技术网络安全事件管理第2部分：事件响应规划和准备

指南》；

——增加了缩略语“ICT”和“IT”；

——附录B的表格增加了表编号。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由全国网络安全标准化技术委员会（SAC/TC260）提出并归口。

本文件起草单位：国家计算机网络应急技术处理协调中心、中国电子技术标准化研究院、北京青囊

风华文化传媒有限公司、杭州安恒信息技术股份有限公司、国家信息中心、北京天融信网络安全技术有

限公司、长扬科技（北京）股份有限公司、中国移动通信集团有限公司、北京时代新威信息技术有限公

司、公安部第三研究所、中国信息通信研究院、蚂蚁科技集团股份有限公司、北京江南天安科技有限公

司、司法鉴定科学研究院、北京东方通网信科技有限公司、海南大学、陕西省网络与信息安全测评中心、

启明星辰信息技术集团股份有限公司、北京源堡科技有限公司。

本文件主要起草人：王文磊、崔牧凡、闵京华、吴莉莉、周亚超、王惠莅、刘蓓、王龑、张亚京、陈长松、

邱勤、白晓媛、陈冠直、王连强、胡月、魏玉峰、梁露露、周成胜、王隆娟、郭弘、王秉政、崔婷婷、冯霞、

潘文博。

本文件及其所代替文件的历次版本发布情况为：

——2020年首次发布为GB/T20985.2—2020；

——本次为第一次修订。

Ⅴ

GB/T20985.2—2026/ISO/IEC27035⁃2：2023

引言

GB/T20985《网络安全技术网络安全事件管理》为GB/T22081中事件管理控制提供了指南，

指导组织根据面临的网络安全风险实施GB/T22081中的控制。GB/T20985拟由四个部分构成。

——第1部分：原理和过程。目的在于提出网络安全事件管理的原理和流程。

——第2部分：事件响应规划和准备指南。目的在于给出事件响应规划和准备以及事件响应经验

总结的指南。

——第3部分：ICT事件响应操作指南。目的在于给出ICT安全运营中的网络安全事件响应

指南。

——第4部分：协同。目的在于给出多个组织协同处理网络安全事件的指南。

仅靠网络安全策略或控制不能保证信息、信息系统、服务或网络得到完全保护。即使采取了控制

措施，仍可能存在残留脆弱性，降低网络安全效果，导致网络安全事件易发生，对组织的业务运行产生

直接和间接的潜在负面影响。此外，以前未识别的新威胁将不可避免发生，若组织对处理这种事件未

做好充分准备，将使任何响应的效果变差，进而使业务的潜在负面影响增加。因此，对于任何期望具有

强健网络安全计划的组织，采用结构化和有计划的方法来开展如下活动十分必要：

——规划和准备网络安全事件管理，包括策略、组织、计划、技术支持、意识和技能培训等；

——发现、报告和评估网络安全事件以及与事件有关的脆弱性；

——响应网络安全事件，包括启动适当的控制来防止和降低影响并从中恢复；

——适当处理所报告的与事件有关的网络安全脆弱性；

——从网络安全事件和脆弱性中汲取经验教训，实施和验证预防性控制，并改进整体网络安全事

件管理的方法。

GB/T20985（所有部分）旨在对其他给出网络安全事件调查及调查准备指南的标准和文件进行补

充。GB/T20985（所有部分）并不全部是指南，而是某些基本原理和已定义过程的参考，旨在保证选择

适当的工具、技术和方法并用于所需目的。

GB/T20985（所有部分）涵盖网络安全事件管理的同时，也涵盖了网络安全脆弱性的某些方面。

ISO/IEC29147和ISO/IEC30111分别为脆弱性披露和供应商处理脆弱性提供了指南。

对于需要确定呈现在其面前的数字证据可靠性的决策者，GB/T20985（所有部分）也能提供指导。

它适用于那些需要保护、分析和展示潜在数字证据的组织。它与创建和评价数字证据相关规程的策略

决策机构有关，这些机构通常作为更大证据机构的组成部分。

Ⅵ

GB/T20985.2—2026/ISO/IEC27035⁃2：2023

网络安全技术网络安全事件管理

第2部分：事件响应规划和准备指南

1范围

本文件基于GB/T20985.1—2026中5.2和5.6给出的“网络安全事件管理阶段”模型的“规划和

准备”阶段和“经验总结”阶段，给出了事件响应规划和准备以及事件响应经验总结的指南。

规划和准备阶段关键点包括：

——网络安全事件管理政策及高层管理者承诺；

——网络安全政策，包括与风险管理相关的政策，需在组织层面以及系统、服务和网络层面同步

更新；

——网络安全事件管理预案；

——事件管理小组（IMT）的组建；

——与内外部机构建立合作关系与联络渠道；

——技术及其他支持（含组织支持与运营支持）；

——网络安全事件管理意识宣贯与培训。

经验总结阶段关键点包括：

——识别待改进领域；

——确定并实施必要的改进措施；

——事件响应小组（IRT）的绩效评估。

本文件给出的原理是通用的，适用于任何类型、规模或性质的组织。组织可根据其业务的类型、规

模和性质，关联网络安全风险状况，调整本文件给出的指南。本文件也适用于提供网络安全事件管理

服务的外部组织。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文

件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于

本文件。

GB/T20985.1—2026网络安全技术网络安全事件管理第1部分：原理和过程（ISO/IEC

27035⁃‑1：2023，IDT）

ISO/IEC27000信息技术安全技术信息安全管理体系概述和词汇（Informationtechnol⁃‑

ogy—Securitytechniques—Informationsecuritymanagementsystems—Overviewandvocabulary）

注：GB/T29246—2023信息安全技术信息安全管理体系概述和词汇（ISO/IEC27000：2018，IDT）

3术语、定义和缩略语

3.1术语和定义

GB/T20985.1—2026和ISO/IEC27000界定的术语和定义适用于本文件。

ISO和IEC维护的用于标准化的术语数据库网址如下：

1

GB/T20985.2—2026/ISO/IEC27035⁃2：2023

——ISO在线浏览平台：https：///obp；

——IEC电工百科：https：///。

3.2缩略语

下列缩略语适用于本文件。

CERT：计算机应急响应小组（ComputerEmergencyResponseTeam）

CSIRT：计算机安全事件响应小组（ComputerSecurityIncidentResponseTeam）

ICT：信息与通信技术（InformationandCommunicationTechnology）

IMT：事件管理小组（IncidentManagementTeam）

IRT：事件响应小组（IncidentResponseTeam）

IT：信息技术（InformationTechnology）

PoC：联络点（PointofContact）

4网络安全事件管理策略

4.1总则

注：第4章对应于GB/T20985.1—2026中5.2a）。

组织的网络安全事件管理策略宜提供正式文件化的原则和意图，用于指导网络安全事件管理决

策，并保证其过程和规程等的实施与策略是一致的且相适的。

任何网络安全事件管理策略宜是组织网络安全策略的一部分，也支持上级组织现有使命并符合现

有的策略和规程。

组织宜实施网络安全事件管理策略来概述过程、责任人、权威机构以及当网络安全事态/事件发生

时的报告路径。宜定期审查策略，以保证其反映可能影响事件响应的最新组织结构、过程和技术。另

外，策略宜概述组织内任何与事件响应相关的意识和培训计划（见第11章）。

组织宜以独立文件的形式文件化其网络安全事态、事件和漏洞的管理策略，并作为整体信息安

全管理体系策略的一部分（见GB/T22080—2025中5.2），或作为其网络安全策略的一部分（见

GB/T22081—2024中5.1）。组织的规模、结构和业务性质及其网络安全事件管理计划程度是决定上

述选项的因素。组织宜为每个具有合法访问信息系统和相关地点的人员，提供网络安全事件管理策略

指导。

网络安全事件管理策略制定前，组织宜确定网络安全事件管理的以下方面：

a）原则、目标及目的；

b）范围，不仅包括适用于组织的哪些部分，还包括适用于哪些信息，例如纸媒体和胶片、电子版、

口头版；

c）内部和外部的利益相关方；

d）需要控制、响应和解决的特定事件类型和脆弱性；

e）需要重点关注的任何特定角色；

f）组织的整体利益和部门利益；

g）对其法律和监管环境的理解；

h）依赖性，包括与风险管理的一致性；

i）技能和能力要求。

4.2利益相关方

组织宜按照企业级流程，创建和实施一个成功的网络安全事件管理策略。为此，所有利益相关方

2

GB/T20985.2—2026/ISO/IEC27035⁃2：2023

或其代表宜参与策略制定，从最初规划阶段直到任何过程或响应小组的落实。这可能包括法律顾问、

公共关系和营销人员、部门经理、保安人员、ICT人员、上层管理人员，甚至在某些情况下的设施和人力

资源相关人员。

组织宜保证其网络安全事件管理策略得到最高管理层的批准。

保证持续的管理层承诺对于接受一个结构化的网络安全事件管理方法来说至关重要。人员能识

别事态，知道该做什么并理解这一方法对组织的好处很重要。管理层为网络安全事件策略提供支持，

以保证组织对提供资源和维护事件响应能力的承诺也很重要。

网络安全事件管理策略宜提供给每位员工和承包商，并关注网络安全意识教育和培训。

4.3网络安全事件管理策略内容

网络安全事件管理策略宜是高层的。详细信息和分步指示宜包含在组成网络安全事件管理计划

的一系列文件中，见第6章。

组织宜保证其网络安全事件管理策略的内容，包括但不限于以下内容。

a）策略的目的、目标和范围（包括适用对象和适用情况）。

b）策略所有者和审查周期。

c）网络安全事件管理对组织的重要性和最高管理层对网络安全事件管理的承诺，以及相关计划

文档。

d）安全事件的定义。

e）安全事件类型或类别的描述（或引用有更加深入描述的其他文档）。

f）事件如何报告的描述，包括报告内容，报告采用的机制，以及在哪里和向谁报告。

g）事件管理过程流的高层概述或显示输出（显示安全事件处理的基本步骤），涵盖探测和报告、

评估和决策、响应以及经验总结。

h）网络安全事件解决后的活动要求，包括经验总结和过程改进。

i）在适当情况下，与事件相关的脆弱性报告和处理的总结（虽然这可能是一个独立策略文件）。

j）为网络安全事件管理过程的每个阶段及相关活动明确的角色、责任和决策机构（适当时，包括

与事件相关的脆弱性报告和处理）。

k）对描述事态和事件分级、严重程度评级（如使用）和相关术语文件的引用。

l）IMT概述，包括IMT组织结构、关键角色、责任、权威机构，以及职责概要，包括但不限于：

1）有关已确认事件的报告和通告要求；

2）处理询问、推动跟进和解决事件；

3）联络外部组织（必要时）；

4）为保证IRT执行的所有网络安全事件管理活动得到正确记录供后续分析提出的要求和

理由。

m）建立/终止IRT以应对特定事件的要求，不同事件具有不同的范围和专业知识。根据受事件

影响的业务方面，可能存在多个IRT。

n）对跨组织协同工作来发现、分析和响应网络安全事件的组件的要求。

o）适用时，对任何监督或治理结构及其权力和职责的描述。

p）与提供特定外部支持的组织的联系，诸如取证小组、法律顾问、其他IT运营者等。

q）与网络安全事件管理活动相关的法律法规合规要求或授权要求（更多细节见附录A）。

此外，还有其他相关的策略或规程可支持网络安全事件管理策略，如果尚未制定适用于组织的策

略或规程，也可作为准备阶段的一部分来建立，包括但不限于以下内容。

——第6章所述的网络安全事件管理计划。

3

GB/T20985.2—2026/ISO/IEC27035⁃2：2023

——对特定ICT系统的持续监控策略，声明组织采取此种活动，并描述基本监控任务。持续监控

保证在需要法律起诉或内部纪律处分时电子证据的保全。

——当组织的其他部分有需要时，授权IRT能访问监控输出或请求访问日志（本条款也可加入网

络安全事件管理策略）。

——信息共享、信息披露和沟通策略，概述事件管理活动相关信息如何、何时和与谁共享。信息宜

保密，只能根据相关法律进行披露。在许多情况下，法规要求任何个人可识别信息被泄露时

都需要告知受影响的各方。根据分级策略和GB/T22081—2024中5.14，除法律要求外，信

息也宜符合组织对信息披露的任何要求。在事件处理过程中，当引入或变更第三方时，共享

信息可能重要。信息共享的范围、环境和目的需要在适当的策略和规程中得到描述或引用。

使用交通灯协议（TLP）（见ISO/IEC27010）是信息披露指导和标记的一个例子。

——信息存储和处理策略，要求记录、数据以及其他调查相关数据被安全地存储并根据其敏感性

进行相应的处理。如果组织有文件标签或分类模式，这一策略对网络安全事件管理活动和人

员来说也很重要。

——IMT章程，具体说明IMT职责及其操作权限。

l章程宜至少包括任务声明、IMT范围的定义、IMT的最高管理层发起者细节、IMT的权

限、IMT的联系信息、IMT的服务和核心活动列表、IMT的权限和操作的范围、IMT的

目的和目标，以及有关任何治理结构的讨论。

l小组目标和目的非常重要，需要清晰、明确的定义。

lIMT的范围通常涵盖了所有组织的信息系统、服务和网络。在某些情况下，组织可要求

的范围不同（扩大或缩小），在这种情况下，它宜清晰记录范围内和范围外分别是什么。

lIMT权力示例包括搜查和没收个人物品、拘留人员以及在可能的情况下监控通信。

——网络安全事件管理意识和培训计划概述，宜包括员工意识培训和IMT成员事件管理培训相

关的任何培训任务、策略或要求。

5网络安全策略更新

5.1总则

注：第5章对应于GB/T20985.1—2026中5.2b）。

组织宜在组织层面以及具体的ICT系统、服务和网络层面，将网络安全事件管理内容包含在其网

络安全策略中，并将这些内容关联到事件管理策略中，整合目标宜包括：

a）描述网络安全事件管理重要性的原因，特别是网络安全事件报告和处理计划；

b）表明最高管理层承诺制定适当的网络安全事件准备和响应计划，即网络安全事件管理计划；

c）保证各种策略的一致性；

d）保证有计划、有系统和有协调地响应网络安全事件，从而最小化事件的负面影响；

e）与组织的风险管理策略和实践保持一致。

关于网络安全风险评估和管理的指导，见ISO/IEC27005。策略文档宜定期审查并必要时更新，

作为“经验总结”阶段的后果。同时见GB/T22081—2024的5.1。

5.2策略文档的关联

组织宜更新和维护组织级网络安全和风险管理策略，配上具体的系统、服务或网络的网络安全策

略，以保证它们是一致的和最新的。这些组织级策略宜明确地关联到网络安全事件管理策略和相关

计划。

4

GB/T20985.2—2026/ISO/IEC27035⁃2：2023

组织级策略宜包括需要建立适当审查机制的要求。这些审查机制需要保证来自发现、监控和解决

网络安全事件的信息，以及来自处理被报告的网络安全脆弱性的信息，为维护策略过程的持续性和有

效性提供输入。

6网络安全事件管理计划制定

6.1总则

注1：第6章对应于GB/T20985.1—2026中5.2c）。

网络安全事件管理计划的目标是将网络安全事态、事件和脆弱性的处理活动和规程以及它们之间

的沟通形成文件。该计划基于网络安全事件管理策略。

该计划的文档化宜包含多个文档，包括用于网络安全事件的发现和报告、评估和决策、响应和经验

总结的表单、规程和组织要素。还宜包括用于网络安全事件发现和报告、评估和决策、响应