网络安全事件证据保全预案.docxVIP

第

第PAGE\MERGEFORMAT2页共NUMPAGES\MERGEFORMAT3页

网络安全事件证据保全预案

一、总则

1适用范围

本预案适用于本单位因网络攻击、系统瘫痪、数据泄露、勒索软件等网络安全事件引发的生产经营中断、敏感信息泄露、关键业务服务不可用等情况。涵盖IT基础设施、业务系统、数据资源等核心要素，确保在网络安全事件发生时能够迅速启动响应机制，依法依规开展证据保全工作，最大限度降低损失。以某次遭受APT攻击导致核心数据库被篡改的案例为例，事件发生后需立即启动证据保全程序，包括对受影响系统日志、网络流量、终端镜像等进行固定，避免电子数据因持续操作或系统重启而灭失。

2响应分级

根据事件危害程度、影响范围及控制能力，将应急响应分为三级：

（1）一级响应。适用于重大事件，如核心系统完全瘫痪、百万级以上用户数据泄露、关键业务中断超过8小时，或遭遇国家级APT组织攻击。需立即上报至集团总部，由应急指挥部统一协调法务、安全、运维等部门，启动全时段监控和溯源分析，例如某次支付平台DDoS攻击导致交易系统完全停摆，即属于此类级别，需动用外部专家团队协助溯源。

（2）二级响应。适用于较大事件，如重要业务系统部分功能受损、敏感数据少量泄露（低于1万条）、外部攻击源初步确认。由分管副总牵头成立专项组，重点完成证据链闭环，包括对防火墙日志、入侵检测数据