网络安全事件强制披露，威努特助您高效响应！

中国网信办2023年12月8号发布了《网络安全事件报告管理办法（征求意见稿）》（下文简称为《管理办法》），明确规定了网络运营者发生网络安全事件时，应当于1小时内向属地网信部门报告。

《管理办法》核心内容如下：

• 特别提醒：

1、针对已采取合理防护措施，并按照程序进行安全上报及处置的运营者，可酌情免除或从轻追究运营者及有关责任人的责任；

2、网络安全事件不仅针对外部攻击，同时包含软硬件缺陷或故障、自然灾害等，对网络和信息系统或其中的数据造成危害，对社会造成负面影响的事件。

《管理办法》要求平台运营方在1小时内发现和上报信息，并且在符合规定的情况下尽可能快速掌握和上报所有信息，企业运营者应该如何应对？

根据《管理办法》要求，网络运营者可以从以下几个方面做好准备：

1、建立健全网络安全事件报告机制。按照《网络安全事件信息报告表》明确网络安全事件报告的责任部门、报告程序和报告内容；

2、完善网络安全事件应急预案。应急预案应当包括事件发现、报告、处置等各个环节的措施；

3、加强网络安全事件的监测和分析。建立网络安全事件监测系统，及时发现和分析网络安全事件。

《管理办法》中第五条不仅明确了事件上报内容的要求，同时为企业明确了在遭受网络安全时应急处置的要素，帮助运营者及时止损并溯源解决问题，这对运营者的运营体系建设提出了极大的考验。

网络运营者可以通过建立专职专责的网络安全团队来加强自身的安全运营能力，也可以考虑与第三方安全公司合作，借助其专业技术和丰富经验来协助完善安全运营体系，进行安全评估和威胁情报分享，以及提供培训和技术支持等服务，从而全面提升网络安全防护及预警监测能力。

1、威努特安全建设与服务能力

威努特作为ICT+IDC综合方案解决服务商，拥有深厚的技术积累，积极参与制定31项网络安全国家、行业标准，申报113项发明专利、86项软件著作权、163项原创漏洞证明等核心知识产权。并多次受邀为建党100周年、新中国70周年庆典、中共十九大、全国两会、“一带一路”、G20等多项重大活动进行网络安保工作，得到了中央网信办、公安部、国安部、工信部、国防科工局等国家政府部门和客户的高度认可。

针对《管理办法》要求，威努特提供完整的安全服务及专业的运营平台，协助运营者完成安全建设及运营工作，满足《管理办法》的相关要求。

• 安全服务能力

公司提供安全硬件建设、安全管理制度建设、全流程化安全服务（攻防、安全运营、咨询及培训），协助运营者完成安全建设及运营工作。

• 安全运营平台建设

2、威努特态势分析与安全运营管理平台解决方案

针对《管理办法》中事件上报内容的要求，威努特态势分析与安全运营管理平台可协助用户快速提交一份完美的答卷。下附威努特态势分析与安全运营管理平台与上报要求的对标功能及效果图：

• 资产管理：

• 安全监测&响应处置：

• 趋势预测&态势分析：

• 追踪溯源&漏洞分析：

• 配置核查&合规评估：

• 报表下载&情报共享：

《管理办法》的发布，标志着我国网络安全从“被动防御”向“主动运营”的转型升级。

《管理办法》的发布将对我国网络安全治理具有重要意义。它将有助于我国进一步提升网络安全治理能力，有效应对日益严峻的网络安全形势，为保障国家安全和社会稳定提供坚实保障。

具体来说，《管理办法》的转型升级将体现在以下几个方面：

从“重防御”向“重运营”转变。《管理办法》将网络安全运营作为重点工作，要求企业运营者建立健全网络安全运营体系，加强网络安全日常管理。这将有助于企业从单纯的“防御”网络安全威胁，转向“运营”网络安全，从而提升网络安全整体水平。

从“重事后”向“重事前”转变。《管理办法》要求企业运营者加强网络安全风险评估，实施主动防御措施，并建立健全应急预案。这将有助于企业从单纯的“事后补救”，转向“事前预防”，从而降低网络安全风险。

从“重政府”向“重社会”转变。《管理办法》强调企业运营者主体责任，并鼓励社会各界参与网络安全建设。这将有助于形成全社会共同参与的网络安全治理格局，从而提升网络安全治理效能。

《管理办法》的发布，为我国网络安全治理提供了新的思路和方向。企业运营者应积极响应《管理办法》要求，加强网络安全运营，共同维护网络安全。

国际上多个国家也已经发布相关安全事件上报要求文件：

1、澳大利亚《2021年安全立法修正案（关键基础设施）法》（Security Legislation Amendment（Critical Infrastructure） Act 2021，简称SLACI法），对《2018年关键基础设施安全法》（SOCI法）进行修订，提出强制性的网络安全事件报告义务；

2、美国《2022年关键基础设施网络事件报告法》（Cyber Incident Reporting for Critical Infrastructure Act of 2022），要求关键基础设施领域实体在有理由相信网络事件发生后72小时内，以及因勒索攻击支付赎金后24小时内，向网络安全和基础设施安全局（CISA）报告；

3、印度计算机应急响应小组（CERT-In）发布《关于<2000年信息技术法>第70B条第（6）款，可信网络的信息安全实践、程序、预防、响应和网络安全事件报告指令》（Directions under sub-section （6） of section 70B of the Information Technology Act, 2000 relating to information security practices, procedure, prevention, response and reporting of cyber incidents for Safe & Trusted Internet），要求组织在6小时内向CERT-In报告网络安全事件；

4、美国证券交易会员会(SEC)发布网络安全事件披露规则，要求上市公司确定网络安全事件重大后4个工作日内提交。