英文全称：Information security techniques—Assessment criteria for cybersecurity emergency capability

采标方式：自主制定推荐性国家标准，归口全国网络安全标准化技术委员会。
发布时间：2023-11-27；实施时间：2024-06-01；属于全新制定标准，无替代旧版。

一句话定位：
它是国内网络安全应急能力分级建设与打分评估专用准则，给组织的网络安全应急响应能力划分成熟度等级，配套明确评估流程、核查项、判定方法，可用于自评、第三方评估、监管核查，也是ISO27001体系里面应急响应条款落地、内审核查的重要参考标尺。

一、适用范围

适用于所有类型、规模的组织，包含政企单位、互联网企业、运营商、云服务商、工控单位。既可以组织内部开展自评估、应急能力自查整改，也支持第三方评估机构开展正式测评评估。
边界说明：
本标准聚焦应急能力成熟度评估，不是应急处置操作手册。配套基础标准为GB/T 20986信息安全事件分类分级指南，GB/T 38645网络安全事件应急响应指南。GB/T20986定义事件分级，GB/T38645讲怎么做应急，GB/T43269评判应急能力好不好、到哪个等级。

二、标准完整章节结构

1 范围
2 规范性引用文件
3 术语和定义
4 概述
5 一级应急能力要求
6 二级应急能力要求
7 三级应急能力要求
8 评估流程
附录A：各级能力适用场景
附录B：一级评估方法
附录C：二级评估方法
附录D：三级评估方法

章节要点拆解

第4章 概述

标准将网络安全应急能力由低到高分为一级、二级、三级，高级别完全包含低级别要求，同时叠加增强项。
能力评估包含五大维度，一共拆分15个检查子项：应急组织与人员、应急制度、监测预警、应急处置、预防保障。
评估模式按照组织申报的目标等级开展核查，不是强制从一级逐级起步。附录A给出各级适配业务场景参考，帮助组织选择匹配自身风险的目标等级。

第5章 一级能力（基础级）

面向低风险业务、小型组织，保障基础应急底线。
应急组织与人员：明确应急负责人，组建兼职应急队伍，明确联络渠道。
应急制度：具备基础应急预案，覆盖常见网络安全事件，定期组织简单培训。
监测预警：基础告警接收渠道，能收到告警、初步记录事件。
应急处置：事件上报流程清晰，能开展基础隔离、止损，留存事件记录。
预防保障：基础备份，具备基础工具，定期简单演练。
核心特点：满足底线合规要求，被动响应为主，事件来了才处置，主动发现能力偏弱。

第6章 二级能力（增强级）

面向中等风险系统、中型企业、一般政务业务，是大部分单位推荐目标等级。
应急组织与人员：专职或固定应急岗位，明确内部、对外上报、对接监管和服务商的分工。
应急制度：分级应急预案体系，配套处置流程、上报流程、复盘改进流程，预案定期评审更新。
监测预警：常态化监测能力，多源告警汇聚，告警研判、误报过滤，能够主动发现异常。
应急处置：标准化处置闭环，包含研判、遏制、根除、恢复、溯源、通知、取证，按法规完成事件上报、告知受影响主体。
预防保障：定期开展专项演练，包含桌面演练、实战演练；定期漏洞治理、备份有效性验证；和上下游供应商建立应急联动机制。
核心特点：具备闭环处置能力，有常态化演练和监测，能主动发现事件，处置之后开展复盘改进。

第7章 三级能力（高级）

面向关键信息基础设施、高风险平台、大型云服务商，属于成熟、主动化的应急体系。
应急组织与人员：独立应急团队，7*24值守，具备取证、溯源、威胁情报分析能力，内部建立梯队轮换机制。
应急制度：动态预案管理，基于威胁、业务变更持续迭代预案；建立跨部门、跨单位协同机制，包含和公安、网信、行业主管、供应链协同。
监测预警：威胁情报联动、关联分析、预测预警，能够识别新型攻击、批量攻击，提前预警风险。
应急处置：支持复杂攻击、重大安全事件处置，具备电子取证、恶意样本分析、攻击溯源能力；处置过程全程留痕，满足调查取证要求；建立事件影响评估机制，同步评估业务、隐私、合规损失。
预防保障：常态化红蓝对抗、渗透测试、应急演练；基于历史事件持续优化安全控制；建立应急资源池，包含备用链路、备用环境、外包支撑资源；事件驱动安全改造，把应急发现的短板反向输入风险评估、资产安全管控。
核心特点：主动防御、情报驱动，不是出事再救火，通过演练、情报、红蓝对抗持续降低事件发生概率。

第8章 评估流程

完整评估分为四个阶段：评估准备、评估实施、评估结论、报告编制。
评估准备：确定评估范围、申报等级、组建评估组、收集材料。
评估实施：文档核查、访谈、现场验证、演练抽查、工具核验，对照附录B/C/D里面每一条核查项打分，区分重点项、一般项。
评估结论：依据得分判定是否通过对应等级，记录不符合项、改进建议。
报告编制：输出应急能力评估报告，说明等级结论、短板清单、整改建议。

附录B/C/D逐条给出每个核查点的评估方法，包含查阅文档、访谈、现场核查、抽查演练记录等方式，是评估人员检查表的直接来源。

三、五大评估维度简要说明

应急组织与人员：组织架构、岗位职责、7*24值守、人员培训、能力资质、外部支撑队伍管理。
应急制度：应急预案、事件分级处置流程、上报流程、复盘改进机制、对外沟通话术、隐私泄露专项处置条款。
监测预警：告警接入、告警研判、威胁情报、预警分发、告警台账管理。
应急处置：事件定级、遏制根除恢复、取证溯源、事件上报、通知用户、处置记录闭环。
预防保障：备份与恢复、演练管理、应急工具资源、供应链应急协同、事后整改落地。

四、落地使用场景

网络安全自查、等保测评配套应急专项核查。
ISO27001、ISO27701内审，专门针对安全事件响应模块开展能力评估。
关键信息基础设施、重要信息系统的应急能力常态化测评。
招投标、供应商准入，对乙方服务商应急响应能力做二方评估。
监管单位开展网络安全检查、事件复盘之后的能力核验。
单位应急团队建设规划，对照等级差距清单，分步建设应急能力。

五、常见误区澄清

误区1：这个标准是应急处置操作步骤
纠正：它不教你怎么查杀病毒、怎么隔离服务器，它用来评判你的整套应急体系能力处在哪个成熟等级，处置动作参考GB/T38645。

误区2：必须先拿到一级，才能申报二级、三级
纠正：标准不强制逐级申报，组织可以直接申报匹配自身业务风险的目标等级，只要满足该等级全部要求即可。

误区3：三级能力只看有没有技术工具
纠正：三级核心是闭环改进、情报协同、跨方联动，技术工具只是一部分，预案迭代、复盘整改、演练有效性同等重要。

误区4：和个保法、数据安全法无关
纠正：在处置个人信息泄露、敏感信息泄露事件时，上报、告知主体、影响评估的要求，本标准二级、三级里面已经包含对应核查点，适配国内数据合规要求。

该标准是国内应急成熟度评估主流依据，很多地方网信、公安的应急演练评估、护网行动之后的能力复盘，都直接引用GB/T43269。