《税务系统网络与信息安全事件分级分类指南》.pdf

税务系统网络与信息安全

事件分级分类指南

（试行）

税务系统网络与信息安全事件分级分类指南

前言

《税务系统网络与信息安全事件分级分类指南(试行)》（以下简称“指南”）是税务系

统网络与信息安全事件分级分类的指导性文件。本指南对税务系统网络与信息安全事件分级

分类依据与方法进行了描述，是税务系统安全保障工作实施的指南。

本指南由国家税务总局信息中心负责解释。

2

税务系统网络与信息安全事件分级分类指南

1.引言

为落实《中共中央办公厅、国务院办公厅转发国家信息化领导小组关于加强信息安全

保障工作的意见的通知》（中办发[2003]27号）的要求，配合税务系统应急响应工作开展和

相应的配套信息安全报告制度的落实，制订本指南。

1．1目的

本指南为税务系统内发生的网络与信息安全事件的报告、应急处置、调查处理和评估备

案提供标准与依据。

1．2范围

本指南适用于全国税务系统发生的网络与信息安全事件的分级与分类。也可供相关职能

部门在协调网络与信息安全事件响应时参考。

1．3定义

网络与信息安全事件是危害网络与信息系统的可用性、完整性、保密性、真实性和可

核查性的事件；或者是发生在网络与信息系统中对社会造成负面影响的事件。

2.网络与信息安全事件分级

对网络与信息安全事件的分级是进行网络与信息安全事件响应的基础。

2．1网络与信息安全事件级别

根据事件后果的严重程度，网络与信息安全事件划分为5个级别，其中1级危害程度

最高，5级危害程度最低。

各级别网络与信息安全事件的描述为：

1级网络与信息安全事件：灾难性安全事件。对税务系统业务活动、税务单位利益或社

会公共利益有灾难性的影响或危害；

2级网络与信息安全事件：特别重大安全事件。对税务系统业务活动、税务单位利益或

社会公共利益有极其严重的影响或危害；

3级网络与信息安全事件：重大安全事件。对税务系统业务活动、税务单位利益或社会

公共利益有较为严重的影响或危害；

4级网络与信息安全事件：较大安全事件。对税务系统业务活动、税务单位利益或社会

公共利益有一定的影响或危害；

5级网络与信息安全事件：一般安全事件。对税务系统业务活动、税务单位利益或社会

公共利益基本不影响或危害极小。

3级和3级以上的网络与信息安全事件称为重大网络与信息安全事件。

2．2网络与信息安全事件分级依据

2．2．1分级模型

在为一个网络与信息安全事件进行分级时，该安全事件的严重程度和造成的损失是密切

相关的。损失可以是两个方面的，一方面是相关信息资产的直接损失，另一方面是附带的间

接损失，如公众的影响、法律纠纷等，通过评估这两方面的损失可以为该安全事件进行具体

分级。

为了更客观和清晰的评估这两方面的损失，下面给出分级模型，在对模型要素的半量化

赋值后，可以按照分级依据中提供的评估对应表得出具体的损失级别。

资产损失由以下几个模型要素进行评估：影响、发生时期、资产价值、资产密级；其中

影响的评估由以下几个模型要素进行评估：影响范围、影响程度、影响时间。间接损失由以

下几个模型要素进行评估：公众影响、法律纠纷、发生时间。

3

税务系统网络与信息安全事件分级分类指南

分级模型示意图如下：

资产密级

资产价值影响范围

资产损失

影响影响程度