下面是小编为大家整理的2024数据安全事件应急预案五篇,供大家参考。
为切实做好网络突发事件的防范和应急处理工作，进一步提高预防和控制网络突发事件的能力和水平，减轻或消除突发事件的危害和影响，确保我公司网络与信息安全，根据《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网安全保护管理办法》等有关法规文件精神，结合我公司实际情况，特制定此应急预案。
一、指导思想
认真落实“预防为主，积极处理”的宗旨，牢固安全意识，提高防范和处理能力，一切以维护正常的工作秩序和营造绿色健康的网络环境为中心，进一步完善网络管理机制，提高突发事件的应急能力。
二、组织领导及职责
成立信息化领导小组
主要职责：部署工作，安排、检查落实网络安全具体事宜。信息化管理员负责具体执行。
三、应急措施及要求
1.各处室要加强对本部门人员进行及时、全面地教育和引导，提高安全防范意识。
2.信息化管理员严格执行网络安全管理制度，规范办公室上网，落实上网电脑专人专用和日志留存。
3.建立健全重要数据及时备份和灾难性数据恢复机制。
4.采取多层次的有害信息、恶意攻击防范与处理措施。信息化管理员负责对所有信息进行监视及信息审核，发现有害信息及时处理。
5.切实做计算机好网络设备的防火、防盗、防雷和防非法信号接入。
6.所有涉密计算机一律不允许接入互联网，做到专网、专机、专人、专用，做好物理隔离。连接互联网的计算机绝对不能存储涉及国家秘密、工作秘密、商业秘密的文件。
四、网络安全事件应急处理措施
（一）当人为、病毒破坏或设备损坏的灾害发生时，具体按以下顺序进行：判断破坏的来源与性质，断开影响安全与稳定的信息网络设备，断开与破坏来源的网络物理连接，跟踪并锁定破坏来源的IP或其它网络用户信息，修复被破坏的信息，恢复信息系统。按照灾害发生的性质分别采用以下方案：
1．网站、网页出现非法言论事件紧急处置措施
（1）网站、网页由信息化管理员负责随时密切监视信息内容。
（2）发现在网上出现内容被篡改或非法信息时，信息化管理员做好必要记录，清理非法信息，妥善保存有关记录及日志或审计记录，必要时中断服务器网线连接。
（3）追查非法信息来源，并将有关情况向信息化领导小组汇报。
（4）若事态严重，立即向市政府信息化办公室和公安部门报警。
2.黑客攻击事件紧急处置措施
（1）当发现黑客正在进行攻击时或者已经被攻击时，首先将被攻击的服务器等设备从网络中隔离出来，保护现场。
（2）信息化管理员对现场进行分析，并做好记录。
（3）恢复与重建被攻击或破坏的系统。
（4）若事态严重，立即向市政府信息化办公室和公安部门报警。
3.病毒事件紧急处置措施
（1）当发现计算机被感染上病毒后，立即将该机从网络上隔离出来。
（2）对该机的硬盘进行数据备份。
（3）启用反病毒软件对该机进行杀毒处理，同时通过病毒检测软件对其它计算机进行病毒扫描和清除工作。
（4）如果现行反病毒软件无法清除该病毒，应立即向信息化领导小组报告，并迅速联系有关产品研究解决。
（5）若情况严重，立即向市政府信息化办公室和公安部门报警。
4.软件系统遭到破坏性攻击的紧急处置措施
（1）重要的软件系统平时必须存有备份，与软件系统相对应的数据必须按本单位容灾备份规定的间隔按时进行备份，并将它们保存于安全处。
（2）一旦软件遭到破坏性攻击，立即将该系统停止运行。
（3）检查信息系统的日志等资料，确定攻击来源，并将有关情况向信息化领导小组汇报，再恢复软件系统和数据。
（4）若事态严重，立即向市政府信息化办公室和公安部门报警。
5.数据库安全紧急处置措施
（1）对于重要的信息系统，主要数据库系统数据要进行备份。
（2）一旦数据库崩溃，信息化管理员应对主机进行维修并做数据恢复。
（3）如果系统崩溃无法恢复，应立即向有关厂商请求紧急支援。
6.广域网外部线路中断紧急处置措施
（1）判断故障节点，查明故障原因。
（2）如属我方管辖范围，由信息化管理员予以恢复。
（3）如属于电信部门管辖范围，立即与电信维护部门联系，尽快恢复。
（4）如有必要，向信息化领导小组汇报。
7.局域网中断紧急处置措施
（1）配备相关备用设备，存放在指定位置。
（2）局域网中断后，判断事故节点，查明故障原因。
（3）如属线路故障，应重新安装线路。
（4）如属路由器、交换机等网络设备故障，应立即从指定位置将备用设备取出接上，并调试通畅。
（5）如属路由器、交换机配置文件破坏，应迅速按照要求重新配置，并调试通畅。
（6）如有必要，向信息化小组汇报。
（二）当发生自然灾害时，先保障人身安全，再保障数据安全，最后是设备安全。具体方法包括：硬盘的拔出与保存，设备的断电与拆卸、搬迁等。
（三）当发生火灾时，若因用电等原因引起火灾，立即切断电源，拨打119报警，组织人员开启灭火器进行扑救。
（1）对于初起火灾，现场人员应立即实施扑救工作，使用灭火器扑救工作。
（2）火势较大时，应立即拨打119火灾报警电话和根据火灾情况启动有关消防设备，通知有关人员到场灭火。
（3）在保障人员安全的前提下，按上款保护数据及设备。
（四）当市电不正常时，采用UPS供电，供电时间视电池容量而定。若超过2小时，则关闭服务器、关闭云主机等设备，等市电供应正常后半小时再重新启动服务器。
（五）其它没有列出的不确定因素造成的灾害，可根据总的安全原则，结合具体的情况，做出相应的处理。不能处理的可以请示相关专业的人员。
为保证我局网络与信息系统安全，防范蓄意攻击、破坏网络系统及传播、粘贴非法信息等紧急突发事件的发生，结合我局网络信息化工作实际情况，特制定本应急预案。
一、工作目标。
保障网络信息的合法性、完整性、准确性，保障计算机及相关配套设备、设施的安全及运行环境的安全，保障网络与信息系统的安全运行。
二、组织机构。
成立网络与信息安全领导小组。
三、应急预案。
（一）黑客攻击时的紧急处置措施；
1、当有关人员发现网页内容被篡改，或发现有黑客正在攻击时，应立即向局信息安全领导小组办公室通报情况。
2、日常应急办公室网络安全管理人员应及时赶到现场，并首先将被攻击的服务器等设备从网络中隔离出来，保护现场，并同时向局信息安全领导小组通报情况。
3、网络管理员负责被攻击或破坏系统的恢复与重建工作，并及时追查非法信息来源。
（二）病毒安全紧急处置措施；
1、当发现有计算机被感染上病毒后，应立即向局信息安全小组办公室报告，并及时将该机器从网络上隔离开来。
2、接到通报后，应及时赶到现场，对该设备的硬盘进行数据备份，并启用反病毒软件对该机进行杀毒处理，同时通过病毒检测软件对其他机器进行病毒扫描和清除工作。
3、如果现行反病毒软件无法清除该病毒，应立即向局信息安全领导小组报告，并迅速联系相关反病毒软件商研究解决。
（三）软件系统遭破坏性攻击的紧急处置措施；
1、重要的软件系统平时必须存有备份，与软件系统相对应的数据必须有多日的备份，并将他们保存于安全处。
2、一旦软件遭到破坏性攻击，应立即向局信息安全领导小组日常应急办公室报告，并将该系统停止运行。
3、日常应急信息安全岗人员负责软件系统和数据的恢复，并检查日志等资料，确定攻击来源。
4、事态严重的，立即向局信息安全领导小组组长报告，并根据组长指示向公安部门或上级机关报警。
（四）数据库安全紧急处置措施；
1、主要数据库系统应及时进行数据库备份。
2、一旦数据库崩溃，值班人员应立即向局信息安全领导小组日常应急办公室报告，并由日常应办共室信息安全人员组织力量对主机系统进行恢复。
3、系统修复启动后，按照要求将数据库备份恢复到主机系统中。
（五）广域网断线故障紧急处置措施；
1、广域网发生断线故障后，使用或管理人员应向及时局信息安全领导小组报告。
2、日常应急办公室网络安全人员接到报告后，应迅速判断故障节点，查明故障原因。
3、如属我方管辖范围，由网络安全人员立即予以恢复。
4、如属联通部门管辖范围，立即与联通维护部门联系，要求修复。
5、如果恢复时间预计超过两小时,应立即向局信息安全领导小组汇报。经领导小组同意后，应通知各部门相关原因，暂缓上传上报数据，并向办公室报告相关情况。
（六）局域网中断紧急处置措施；
1、设备管理部门平时应准备好网络备用设备，存放在指定的位置。
2、局域网中断后，应立即判断故障节点，查明故障原因，并向办公室汇报。
3、如属线路故障，应重新修复线路。
4、如属路由器、交换机等网络设备故障，应立即从指定位置将备用设备取出接上，并调试通畅。
5、如属路由器、交换机配置文件破坏，应迅速按照要求重新配置，并调测通畅。
6、如有必要，应向局信息安全领导小组汇报。
（七）设备安全紧急处置措施；
1、服务器等关键设备损坏后，网络管理人员应立即向日常应急办公室报告。
2、日常应急办公室网络安全人员立即查明原因。
3、如果能够自行修复，应立即排除故障，恢复服务器的'正常运行。
4、如属不能自行修复的，立即与设备提供商联系，请求派维护人员前来维修。
5、如果设备一时不能修复，应向局信息安全领导小组汇报，并告知相关部门，暂缓上传上报数据。
（八）供电中断后的设备运行紧急处置措施；
1、供电中断后，机房管理人员应立即查明原因，向日常应急办公室汇报。
2、如因局内线路故障，请局办公室迅速恢复。
3、如果是供电局的原因，应立即与供电局联系，请供电局迅速恢复供电。
4、如果供电局告知需长时间停电，应做好以下安排：
（1）预计停电1小时以内，由UPS供电，网络继续运行。
（2）预计停电超过1小时，按正常关机程序关闭所有机房运行设备。
（九）关键人员不在岗的紧急处置措施；
1、对于关键岗位平时应做好人员储备，确保一项工作有两人能够操作。
2、一旦发生关键人员不在岗的情况，首先应向值班领导汇报情况。
3、经值班领导批准后，由备用人员上岗操作。
4、如果备用人员无法上岗，请求上级单位支援。
（十）发生自然灾害后紧急处置措施；
1、一旦发生自然灾害，导致设备损坏，向县网络与信息安全事件应急指挥部办公室请求支援。
2、协助上级派遣人员寻找安全可靠的地点，重新构建新的系统和网络，并将相关数据予以恢复。
3、协助上级派遣人员做好测试工作。
第一章总则
第一条本预案所称突发性事件，是指自然因素或者人为活动引发的危害学校校园网网络设施及信息安全等有关的灾害。
第二条本预案的指导思想是湖北师范学院有关计算机网络及信息安全基本要求。
第三条本预案适用于湖北师范学院内所有个人和办公用计算机以及各研究所、实验室（中心）、教学机房、多媒体教室、电子阅览室等计算机和网络硬件、软件，以及学校门户网站和下属各部门网站内容发生突发性事件的应急处置。
第四条应急处置工作原则：统一领导、统一指挥、各司其职、整体作战、发挥优势、保障安全。
第二章组织指挥和职责任务
第五条学校成立网络与信息安全应急处置工作小组，工作小组的主要职责与任务是统一领导全校信息网络的灾害应急工作，在校领导组织指挥下，全面负责学校信息网络可能出现的各种突发事件处置工作，协调解决灾害处置工作中的重大问题等。
第六条现代信息技术中心（以下简称“信息中心”）负责日常信息网络安全事件的具体处理，其中信息中心是信息网络安全事件处置控制中心，负责服务器端和网络层面的安全事件处置，并为各部门、院（系）做好部门办公用机和个人用机的安全处置提供技术指导。
第三章处置措施和处置程序
第七条处置措施
处置的基本措施分灾害发生前与灾害发生后两种情况。
（一）灾害发生前，信息中心按照岗位职责的要求，技术中心人员各司其责切实加强日常信息网络安全工作的检查、维护，定时升级系统补丁和杀毒软件，检查防火墙、IDS（入侵检测系统）的运行情况，及时消除隐患；
学校各单位切实落实部门网站管理工作职责、安全责任制，特别是对于开办网上论坛、留言板、聊天室、社区等交互式栏目网站的部门要落实关于信息发布审核、信息巡查和版主负责制度的情况，要设有防范措施和专人管理；
加强信息网络安全常识普及，使教职工掌握信息网络安全常识，并具备一定防范处理突发事件的`基本知识。
建立健全灾情速报制度，保障突发性灾害紧急信息报送渠道畅通。属于重大灾害的，在向工作领导小组报告的同时，还应向黄石市公安局网络监察部门报告。
（二）灾害发生后，立即启动应急预案，采取应急处置程序，判定灾害级别，并立即将灾情向工作小组报告，在处置过程中，应及时报告处置工作进展情况，直至处置工作结束。
第八条处置程序
（一）发现情况
现代信息技术中心要严格执行值班制度，做好校园网信息系统安全的日常巡查及其日志保存工作，以保障最先发现灾害并及时处置此突发性事件。
（二）预案启动
一旦灾害发生，立即启动应急预案，进入应急预案的处置程序。
（三）应急处置方法
在灾害发生时，首先应区分灾害发生是否为自然灾害与人为破坏两种情况，根据这两种情况把应急处置方法分为两个流程。
流程一：当发生的灾害为自然灾害时，应根据当时的实际情况，在保障人身安全的前提下，首先保障数据的安全，然后是设备安全。具体方法包括：硬盘的拔出与保存，设备的断电与拆卸、搬迁等。
流程二：当人为或病毒破坏的灾害发生时，具体按以下顺序进行：判断破坏的来源与性质，断开影响安全与稳定的信息网络设备，断开与破坏来源的网络物理连接，跟踪并锁定破坏来源的IP或其它网络用户信息，修复被破坏的信息，恢复信息系统。按照灾害发生的性质分别采用以下方案：
1、病毒传播：针对这种现象，要及时断开传播源，判断病毒的性质、采用的端口，然后关闭相应的端口，在网上公布病毒攻击信息以及防御方法。
2、入侵：对于网络入侵，首先要判断入侵的来源，区分外网与内网。入侵来自外网的，定位入侵的IP地址，及时关闭入侵的端口，限制入侵地IP地址的访问，在无法制止的情况下可以采用断开网络连接的方法。入侵来自内网的，查清入侵来源，如IP地址、上网帐号等信息，同时断开对应的交换机端口。然后针对入侵方法建设或更新入侵检测设备。
3、信息被篡改：这种情况，要求一经发现马上断开相应的信息上网链接，并尽快恢复。
4、网络故障：一旦发现，可根据相应工作流程尽快排除。
5、其它没有列出的不确定因素造成的灾害，可根据总的安全原则，结合具体的情况，做出相应的处理。不能处理的可以请示相关的专业人员。
（四）情况报告
灾害发生时，一方面按照应急处置方法进行处置，同时需要判定灾害的级别，首先向学校网络与信息安全应急处置工作小组汇报。在重大灾害发生时，可以同时向市公安局网络监察部门汇报。中、小型级别的灾害，可以只向学校的网络与信息安全应急处置工作小组汇报，并及时报告处置工作进展情况，直至处置工作结束。情况报告内容包括：灾害发生的时间、地点，灾害的级别，灾害造成的后果，应急处置的过程、结果，灾害结束的时间，以后如何防范类似灾害发生的建议与方案等。
（五）发布预警
灾害发生时，可根据灾害的危害程度适当地发布预警，特别是一些在其它地方已经出现，或在安全相关网站发布了预警而学校信息网络还没有出现相应的灾害，除了在技术上进行防范以外，还应当向网络信息用户发布预警，直至灾害警报解除。
（六）预案终止
经专家组鉴定，灾害险情或灾情已消除，或者得到有效控制后，由学校的网络与信息安全应急处置工作小组宣布险情或灾情应急期结束，并予以公告，同时预案终止。
第四章保障措施
灾害应急防治是一项长期的、持续的、跟踪式的、深层次的和各阶段相互联系的工作，是有组织的科学与社会行为，必须做好应急保障工作。
第九条人员保障
重视人员的建设与保障，确保在灾害发生前的人员值班，灾害处置过程和灾后重建中的人员在岗与战斗力。
第十条技术保障
重视网络信息技术的建设和升级换代，在灾害发生前确保网络信息系统的强劲与安全，灾害处置过程中和灾后重建中的相关技术支撑。
第十一条物资保障
建立应急物资储备制度，保证应急抢险救灾队伍技术装备的及时更新，以确保灾害应急工作的顺利进行。
第十二条训练和演练
加强全校网络信息用户的防灾、减灾知识的宣传普及，增强这些用户的防灾意识和自救互救能力。有针对性地开展应急抢险救灾演练，确保发灾后应急救助手段及时到位和有效。
第五章附则
第十三条本预案由现代信息技术中心负责解释。
第十四条本预案自发布之日起施行。
一、总则
（一）为预防和减少网络与信息安全突发事件的发生，控制、减轻和消除突发事件引起的危害及造成的损失，规范突发事件预防和应对活动，保护学院的网络与信息安全，防止重要信息泄密，保障网络业务与信息传输安全通畅的运行，提高应对重大事故的应急能力，把损失降到最低程度，特制定本预案。
（二）本预案依据《中华人民共和国网络安全法》（2016年）编制。
（三）本预案适用于苏州大学应用技术学院（以下简称学院）网络与信息系统安全事件的应对与处置工作。本预案所称网络与信息安全事件是指由于自然灾害、设备软硬件故障、人为失误、黑客攻击，以及敌对势力破坏等原因，对网络信息系统造成危害，对学院正常教学、管理工作和声誉造成不利影响的信息安全事件。
（四）学院网络一旦出现安全事件，学院信息系统运行受到威胁；
将给教学、管理造成不可估量的损失。网络与信息安全事件主要由以下三个方面的影响因素引起：
1.网络安全防护体系风险
网络和信息技术发展日新月异，信息技术安全产品发展也很快，目前学院信息安全保障产品还不够完备。
2.操作系统固有缺陷
目前常用的操作系统都存在一定的安全漏洞，随着各种需求和应用的不断增加，网络和系统管理变得越来越复杂。
3.接入终端多样复杂
接入网络的终端，由不同厂家在不同年代生产，目前没有纳入统一的防病毒、系统补丁和更新程序管理，致使接入终端可能成为病毒或黑客攻击网络的切入点。
（五）根据网络与信息安全事件的起因、表现、结果等，网络与信息安全事件主要分为以下六类：
1.危害程序事件
蓄意制造、传播有害程序，或是因受到有害程序的影响而导致的网络与信息安全事件。
2.网络攻击事件
通过网络或者其它技术手段，利用信息系统的配置缺陷、协议缺陷、程序缺陷或使用暴力手段对信息系统实施攻击，并造成信息系统异常，或对信息系统当前运行造成潜在危害的信息安全事件。
3.信息破坏事件
通过网络或者其它技术手段，造成信息系统中的信息被篡改、假冒、泄露、窃取等而导致的信息安全事件。
4.设备设施故障事件
由于信息系统自身故障或外围保障措施故障而导致的网络与信息安全事件，以及人为地使用非技术手段有意或无意地造成信息系统破坏而导致的信息安全事件。
5.灾害性事件
由于不可抗力对网络和信息系统造成物理破坏而导致的信息安全事件。
6.其它事件
以上没有包括的其它信息安全事件。
（六）根据苏应的计算机基础网络与信息系统的实际业务情况，依据事件性质、严重程度、可控性、影响范围等因素，学院的网络与信息安全突发事件划分为以下四个级别：I级(特别严重)、II级(严重)、III级(一般)和IV级(轻微)。
1.I级(特别严重)突发事件
是指突然发生，将使特别重要的信息系统遭受严重损失，对学院教学、对外信息造成特别重大影响，学院必须统一协调、并向主管上级单位报告及调度各方面的资源和力量进行应急处置的突发事件。符合以下条件之一的为I级事件。
（1）面向学院的核心应用系统2个以上（含2个）遭到破坏性攻击而瘫痪。
（2）敌对分子或黑客利用信息网络进行有组织、大规模反动宣传和攻击活动，出现大量危害学院教学、管理机密等犯罪行为。
（3）其它造成特别严重社会影响或巨大经济损失的网络与信息安全事件。
2.II级(严重)突发事件
是指突然发生，将使重要的信息系统遭受严重损失，对学院教学、管理造成重大影响，学院必须统一协调、调度各方面的资源和力量进行应急处置的突发事件。符合以下条件之一的为II级事件：
（1）学院内、外网全部中断1小时以上（含1小时）；
各单位、二级学院均与中心网络的链路中断。
（2）面向学院的核心服务崩溃。
（3）直属学院的服务器、核心路由器、交换机等关键设备3个以上（含3个）损坏。
（4）受到外部潜在的重大网络安全隐患或可能遭受的网络病毒影响。
（5）涉及上级单位通报的网络信息安全事件。
3.III级(一般)突发事件
由单位（含二级学院）认定的有可能对本单位造成重大影响，但不会影响本单位以外的学院范围内的网络与信息安全事件。
4.IV级(轻微)突发事件
是指突然发生并未使信息系统遭受严重损失，但需要信息部门引起注意以免事件升级恶化。符合以下条件之一的为IV级事件。
（1）学院内、外网全部中断10分钟以内。
（2）各单位、二级学院均与中心网络的链路中断。
（3）面向学院的非核心服务异常停止。
（七）对于网络安全事件，必须遵守以下工作原则
1.积极防御，综合防范。立足安全防护，加强预警，抓好预防、监控、应急处理、应急保障和打击犯罪等环节，在法律、管理、技术、人才等方面，采取多种措施，充分发挥各方面的作用，共同构筑网络与信息安全保障体系。
2.明确责任。按照“谁主管谁负责”的原则，建立和完善安全责任制，协调管理机制和联动工作机制。
3.依靠科学，平战结合。加强技术储备，规范应急处置措施与操作流程，实现网络与信息安全突发公共事件应急处置工作的科学化、程序化与规范化。树立常备不懈的观念，确保应急预案切实可行。
二、组织与职责
（一）学院网络安全与信息化工作领导小组为管理机构
本预案组织机构由学院网络安全与信息化工作领导小组（简称领导小组）构成。
领导小组办公室设在信息化建设管理中心，负责人任办公室主任。
（二）领导小组的工作职责
1.负责网络与信息安全事件现场应急指挥工作，确定现场应急处置方案，协调现场应急资源调配工作。
2.负责学院网络与信息安全事件应急工作的领导和应对方案的决策。
三、预防和预警
（一）推进信息系统安全保护等级制度，开展信息安全风险评估工作：
1.技术方面
采用安装防火墙、入侵监测、计算机杀毒软件等措施，建立身份认证和授权管理机制，对主机、网络设备、安全设备与软件和网络边界进行必要配置，对重要数据定期进行备份。
2.管理方面
健全信息安全管理制度，落实信息安全等级保护措施，开展信息安全风险评估。
（二）发生学院级及以上网络与信息安全事件时，应立即启动应急预案进行应急处理，并向领导小组报告。接到报告后，应急领导小组启动预警程序。
（三）发生网络安全事件按以下预警程序进行：
1.立即向领导小组办公室主任报告，由办公室主任预判安全事件等级，II级以上（含II级）的向领导小组汇报，并落实领导指令；
II级以下的，需要根据实际情况书面方式汇报给主任。
2.通知有关成员及相关单位做好应急准备。
3.及时收集和掌握事件发展动态及现场应对情况。
4.组织相关人员和专家分析、判断网络与信息安全事件的紧急程度和发展态势，提供应急处置指导意见和技术支持。
5.根据事态变化，适时通报预警信息。
6.网络与信息安全事件解除时，及时宣布、告知预警解除。
7.II级以下网络与信息安全事件发展到II级及以上时，按相应等级启动网络与信息安全事件响应程序。
（四）预警解除
当网络与信息安全事件处置结束，经过评估确认危险已经消除，领导小组可适时下达预警解除指令。
四、应急响应
信息报送à响应程序à应急状态解除à恢复与重建à总结、评估和改进
（一）发生网络与信息安全事件时，第一时间向领导小组办公室报告并定级。
（二）填写《网络安全事项登记表》à领导小组响应与审核(依据事件级别上报相关部门及领导审核)à事件处理及按时上报进度：
1.填写《网络安全事项登记表》
填写事件主题、事件描述、事件级别、事件发生时间，签字并提交给领导小组审核确认。
2.网络与信息安全领导小组响应与审核
需依据事件等级做相应响应与审核：
I级事件：领导小组审核确认，并向主管单位及公安机关报告并保留证据。
II级事件：领导小组审核确认，协调各相关资源及时处理并需现场处理人每小时汇报进展。
III级事件：各部门负责人及领导小组办公室主任审核确认。
IV级事件：信息部领导及领导小组办公室主任审核确认。
（1）安排有关人员赴现场，协调应急处置工作。
（2）根据事态进展，及时对应急救援方案的调整做出决策。
（3）现场处理人员需及时上报信息给领导小组并及时落实有关指令。
3.现场响应与处理
完善《网络安全事项登记表》，填写事件原因，短期处理办法及长期处理办法；
I级、II级事件需每小时向领导小组汇报事件处理进度，III级、IV级事件处理完成后需由部门负责人及领导小组办公室主任确认并审核。
（三）应急状态解除
网络与信息安全事件应急处理结束，相关危险因素消除后，由领导小组组长下达应急状态解除指令并完善《网络安全事项登记表》，填写解除时间，相关人员确认并审核。
（四）恢复与重建
1.应急处置工作结束后，相关单位做好有关突发事件中损失情况的统计、汇总，对处置情况进行总结，不断改进网络与信息安全事件的应急保障工作，并开展恢复与重建工作。
2.尽快恢复信息系统、恢复数据、程序。
3.经领导小组评估同意后，方可恢复系运行。
4.应急响应结束后，对发生信息安全事件的网络或系统进行风险评估，及时发现可能存在的安全隐患和安全风险。
（五）总结、评估和改进
由信息管理部对应急事件进行总结、评估并提出改进方案，上报网络安全领导小组备案。
五、应急保障
（一）对涉密信息建立严格的信息保障措施。
（二）学院中心机房需配备核心网络、应用系统或重大风险系统的容灾备份。
（三）学院需建立应急保障队伍。
（四）组织开展应急运作机制、应急处理技术、预警和控制等研究。
本预案由信息化建设管理中心组织制订并负责解释，自发布之日起实行。
附件1：领导小组成员（详见苏大应（2017）9号通知）
附件2：《网络安全事项登记表》
安全事项登记单
编号：
事件主题
事件描述
事件级别
开始时间
报告人
安全领导小组办公室负责人
事件原因
处理方法（短期）
处理方法（长期）
解除时间
处理人
系统管理单位负责人
一、总则
（一）编制目的
公司网络和信息安全涉及以设备为中心的信息安全，技术涵盖网络系统、计算机操作系统、数据库管理系统和应用软件系统；
涉及计算机病毒的防范、入侵的监控；
涉及以用户（包括内部员工和外部相关机构人员）为中心的安全管理，包括用户的身份管理、身份认证、授权、审计等；
涉及信息传输的机密性、完整性、不可抵赖性等等。为切实加强我司网络运行安全与信息安全的防范，做好应对网络与信息安全突发公共事件的应急处理工作，进一步提高预防和控制网络和信息安全突发事件的能力和水平，昀大限度地减轻或消除网络与信息安全突发事件的危害和影响，确保网络运行安全与信息安全，结合公司工作实际，特制定本应急预案。
（二）编制依据
根据《中华人民共和国计算机信息系统安全保护条例》、《信息安全3级评级方法》、GB/T20269-20xx《信息安全技术信息系统安全管理要求》、GB/T20270-20xx《信息安全技术网络基础安全技术要求》、GB/T20281-20xx《信息安全技术防火墙技术要求和测试评价方法》、GB/T19716-20xx《信息技术信息安全管理使用规则》等有关法规、规定，制定本预案。
（三）本预案适用于深圳市前海好彩金融服务有限公司网络与信息安全应急处理工作。
二、应急组织机构及职责
成立信息系统应急处理领导小组，负责领导、组织和协调全公司信息系统突发事件的应急保障工作。
（一）领导小组成员：
组长：技术主管
副组长：运维经理
成员:开发部.运维部.测试部.等部门负责人组成。
应急小组日常工作由公司技术部承担，其他各相关部门积极配合。
（二）领导小组职责：制订专项应急预案，负责定期组织演练，监督检查各部门在本预案中履行职责情况。对发生事件启动应急救援预案进行决策，全面指挥应急救援工作。
三、工作原则
（一）积极防御、综合防范
立足安全防护，加强预警，重点保护重要信息网络和关系社会稳定的重要信息系统；
从预防、监控、应急处理、应急保障和打击不法行为等环节，在管理、技术、宣传等方面，采取多种措施，充分发挥各方面的作用，构筑网络与信息安全保障体系
（二）明确责任、分级负责
按照“谁主管谁负责”的原则，分级分类建立和完善安全责任制度、协调管理机制和联动工作机制。加强计算机信息网络安全的宣传和教育，进一步提高工作人员的信息安全意识。
（三）落实措施、确保安全
要对机房、网络设备、服务器等设施定期开展安全检查，对发现安全漏洞和隐患的进行及时整改。
（四）科学决策，快速反应
加强技术储备，规范应急处置措施和操作流程，网络与信息安全突发公共事件发生时，要快速反应，及时获取准确信息，跟踪研判，及时报告，果断决策，迅速处理，昀大限度地减少危害和影响。
四、事件分类和风险程度分析
（一）物理层的安全风险分析
1、系统环境安全风险
（1）水灾、火灾、雷电等灾害性故障引发的网络中断、系统瘫痪、数据被毁等；
（2）因接地不良、机房屏蔽性能差引起的静电干扰或外界的电磁干扰使系统不能正常工作；
（3）机房电力设备和其它配套设备本身缺陷诱发信息系统故障；
（4）机房安全设施自动化水平低，不能有效监控环境和信息系统工作；
（5）其它环境安全风险。
2、物理设备的安全风险由于信息系统中大量地使用了网络设备如交换机、路由器等，服务器，移动设备，使得这些设备的自身安全性也会直接关系信息系统和各种网络应用的正常运转。例如，路由设备存在路由信息泄漏，交换机和路由器设备配置风险等。
（二）网络安全风险
1、网络体系结构的安全风险
网络平台是一切应用系统建设的基础平台，网络体系结构是否按照安全体系结构和安全机制进行设计，直接关系到网络平台的安全保障能力。公司的网络是由多个局域网和广域网组成，网络体系结构比较复杂。内部应用信息网、Internet网之间是否进行隔离及如何进行隔离，网段划分是否合理，路由是否正确，网络的容量、带宽是否考虑客户上网的峰值，网络设备有无冗余设计等都与安全风险密切相关。
2、网络通信协议的安全风险。
网络通信协议存在安全漏洞，网络黑客就能利用网络设备和协议的安全漏洞进行网络攻击和信息窃取。例如未经授权非法访问内部网络和应用系统；
对其进行监听，窃取用户的口令密码和通信密码；
对网络的安全漏洞进行探测扫描；
对通信线路和网络设备实施拒绝服务攻击，造成线路拥塞和系统瘫痪。
3、网络操作系统的安全风险
网络操作系统，不论是IOS，Android，还是Windows，都存在安全漏洞；
一些重要的网络设备，如路由器、交换机、网关，防火墙等，由于操作系统存在安全漏洞，导致网络设备的不安全；
有些网络设备存在“后门”（backdoor）。
（三）系统安全风险
1、操作系统安全风险
操作系统的安全性是系统安全管理的基础。数据库服务器、中间层服务器，以及各类业务和办公客户机等设备所使用的操作系统，不论是Win20xx/XP/7，还是Unix都存在信息安全漏洞，由操作系统信息安全漏洞带来的安全风险是昀普遍的安全风险。
2、数据库安全风险
所有的'业务应用、决策支持、行政办公的信息管理核心都是数据库，而涉及公司运行的数据都是昀需要安全保护的信息资产，不仅需要统一的数据备份和恢复以及高可用性的保障机制，还需要对数据库的安全管理，包括访问控制，敏感数据的安全标签，日志审计等多方面提升安全管理级别，规避风险。虽然，目前公司的数据库管理系统可以达到较高的安全级别，但仍存在安全漏洞。建立在其上的各种应用系统软件在数据的安全管理设计上也不可避免地存在或多或少的安全缺陷，需要对数据库和应用的安全性能进行综合的检测和评估。
3、应用系统的安全风险
为优化整个应用系统的性能，无论是采用C/S应用模式或是B/S应用模式，应用系统都是其系统的重要组成部分，不仅是用户访问系统资源的入口，也是系统管理员和系统安全管理员管理系统资源的入口，桌面应用系统的管理和使用不当，会带来严重的安全风险。例如当口令或通信密码丢失、泄漏，系统管理权限丢失、泄漏时，轻者假冒合法身份用户进行非法操作。重者，“黑客”对系统实施攻击，造成系统崩溃。
4、病毒危害风险
计算机病毒的传播会破坏数据信息，占用系统资源，影响计算机运行速度，引起网络堵塞甚至瘫痪。尽管防病毒软件安装率已大幅度提升，但如果没有好的防毒概念，从不进行病毒代码升级，而新病毒层出不穷，因此威胁性愈来愈大。
5、黑客入侵风险
一方面风险来自于内部，入侵者利用Sniffer等嗅探程序通过网络探测、扫描网络及操作系统存在的安全漏洞，如网络IP地址、应用操作系统的类型、开放哪些TCP端口号、系统保存用户名和口令等安全信息的关键文件等，并采用相应的攻击程序对内网进行攻击。入侵者通过拒绝服务攻击，使得服务器超负荷工作以至拒绝服务甚至系统瘫痪。
另一方面风险来自外部，入侵者通过网络监听、用户渗透、系统渗透、拒绝服务、木马等综合手段获得合法用户的用户名、口令等信息，进而假冒内部合法身份进行非法登录，窃取内部网重要信息，或使系统终止服务。所以，必须要对外部和内部网络进行必要的隔离，避免信息外泄；
同时还要对外网的服务请求加以过滤，只允许正常通信的数据包到达相应主机，其它的请求服务在到达主机之前就应该遭到拒绝。
（四）应用安全风险
1、身份认证与授权控制的安全风险
依靠用户ID和口令的认证很不安全，容易被猜测或盗取，会带来很大的安全风险。为此，动态口令认证、CA第三方认证等被认为是先进的认证方式。但是，如果使用和管理不当，同样会带来安全风险。要基于应用服务和外部信息系统建立基于统一策略的用户身份认证与授权控制机制，以区别不同的用户和信息访问者，并授予他们不同的信息访问和事务处理权限。
2、信息传输的机密性和不可抵赖性风险
实时信息是应用系统的重要事务处理信息，必须保证实时信息传输的机密性和网上活动的不可抵赖性，能否做到这一点，关键在于采用什么样的加密方式、密码算法和密钥管理方式。采用国内经过国家密码管理委员会和公安部批准的加密方式、密码算法和密钥管理技术来强化这一环节的安全保障。
3、管理层安全风险分析
安全的网络设备要靠人来实施，管理是整个网络安全中昀为重要的一环，认真地分析管理所带来的安全风险，并采取相应的安全措施。责权不明、管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。
当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。同时，当故障发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求人们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。
五、预防预警
（一）完善网络与信息安全突发公共事件监测、预测和预警制度。
加强对各类网络与信息安全突发事件和可能引起突发网络与信息安全突发公共事件的有关信息的收集、分析、判断和持续监测。当检查到有网络与信息安全突发事件发生或可能发生时，应及时对发生事件或可能发生事件进行调查核实、保存相关证据，并立即向应急领导小组报告。报告内容主要包括信息来源、影响范围、事件性质、事件发展趋势和采取的措施建议等。
若发现下列情况应及时向应急领导小组报告：利用网络从事违法犯罪活动；
网络或信息系统通信和资源使用异常；
网络或信息系统瘫痪，应用服务中断或数据篡改、丢失；
网络恐怖活动的嫌疑和预警信息；
其他影响网络与信息安全的信息。
（二）设定信息安全等级保护，实行信息安全风险评估。
通过相关设备实时监控网络工作与信息安全状况。各基础信息网络和重要信息系统建设要充分考虑抗毁性和灾难恢复，制定并不断完善信息安全应急处理预案。针对信息网络的突发性、大规模安全事件，建立制度优化、程序化的处理流程。
（三）做好服务器及数据中心的数据备份及登记工作，建立灾难性数据恢复机制。
一旦发生网络与信息安全事件，立即启动应急预案，采取应急处置措施，判定事件危害程度，并立即将情况向有关领导报告。在处置过程中，应及时报告处置工作进展情况，直至处置工作结束。
六、处置流程
（一）预案启动
在发生网络与信息安全事件后，信息中心应尽昀大可能迅速收集事件相关信息，鉴别事件性质，确定事件来源，弄清事件范围和评估事件带来的影响和损害，一旦确认为网络与信息安全事件后，立即将事件上报工作组并着手处置。
（二）应急处理
1、电源断电
（1）查明故障原因。
（2）检查UPS是否正常供电。
（3）汇报相关领导，确认市电恢复时间，评估UPS供电能力。
（4）备份服务器数据、交换机配置。
（5）通知机房进行电源维修。做好事件记录。
（6）必要时请示公司负责人及公司领导，主动关闭服务器、交换机、存储等设备，以免设备损坏或数据损失。
2、局域网中断紧急处理措施
（1）信息安全负责人员立即判断故障节点，查明故障原因，及时汇报。
（2）若是线路故障，重新安装线路。
（3）若是路由器、交换机等设备故障，应立即从指定位置将备用设备取出接上，并调试畅通。
（4）若是路由器、交换机等配置文件损坏，应迅速按照要求重新配置，并调试畅通。
（5）汇报相关领导，做好事件记录。
3、广域网线路中断
（1）信息安全负责人员应立即判断故障节点，查明故障原因。
（2）如是我方管辖范围，由信息安全负责人员立即维修恢复。
（3）如是电信部门管辖范围，应立即与电信维护部门联系修复。
（4）做好事件记录。
4、核心交换机故障
（1）检查、备份核心交换机日志。
（2）启用备用核心交换机，检查接管情况。
（3）备份核心交换机配置信息。
（4）将服务器接入备用核心交换机，检查服务器运行情况，将楼层交换机、接入交换机接入备用核心交换机，检查各交换机运行情况。
（5）汇报有关领导，做好事件记录。
（6）联系维修核心交换机。
5、光缆线路故障
（1）立即联系光纤熔接人员携带尾纤等辅助材料，及时熔接连通。
（2）检查并做好备用光缆或备用芯的跳线工作，随时切换到备用网络。
（3）做好事件记录，及时上报。
6、计算机病毒爆发
（1）关闭计算机病毒爆发网段上联端口。
（2）隔离中病毒计算机。
（3）关闭中病毒计算机上联端口。
（4）根据病毒特征使用专用工具进行查杀。
（5）系统损坏计算机在备份其数据后，进行重装。
（6）通过专用工具对网络进行清查。
（7）做好事件记录，及时上报。
7、服务器设备故障
（1）主要服务器应做多个数据备份。
（2）如能自行恢复，则立即用备件替换受损部件，如：电源损坏更换备用电源，硬盘损坏更换备用硬盘，网卡、主板损坏启用备用服务器。
（3）若数据库崩溃应立即启用备用系统。并检查备用服务器启用情况。
（4）对主机系统进行维修并做数据恢复。
（5）如不能恢复，立即联系设备供应商，要求派维护人员前来维修。
（6）汇报有关领导，做好事件记录。
8、黑客攻击事件
（1）若通过入侵监测系统发现有黑客进行攻击，立即通知相关人员处理。
（2）将被攻击的服务器等设备从网络中隔离出来。
（3）及时恢复重建被攻击或被破坏的系统
（4）记录事件，及时上报，若事态严重，应及时向信息化主管部门和公安部门报警。
9、数据库安全事件
（1）平时应对数据库系统做多个备份。
（2）发生数据库数据丢失、受损、篡改、泄露等安全事件时，信息安全人员应查明原因，按照情况采取相应措施：如更改数据库密码，修复错误受损数据。
（3）如果数据库崩溃，信息安全人员应立即启用备用系统，并向信息安全负责人报告；
在备用系统运行期间，信息安全人员应对主机系统进行维修并作数据恢复。
（4）做好事件记录，及时上报。
10、人员疏散与机房灭火预案
（1）当班人员发现机房内有起火、冒烟现象或闻到烧焦气味时，应立即查明原因和地点，及时上报并针对不同情况，采取关闭电源总开关、隔离火源附近易燃物、用消防栓、灭火器等器材灭火等措施，组织本单位、部门在场的人员有序地投入扑救工作，将火扑灭或控制火势蔓延。
（2）当火势已无法控制时，一是指定专人立即拨打“119”火警电话报警和向上级保卫部门报告，并打破报警器示警。二是组织周围人员迅速撤离。
（3）在保障人员安全的情况下，立即组织人员疏散和转移重要物品，特别是易燃、易爆物品和重要的机器、数据要及时转移到安全地点，并派人员守护，确保安全。
（4）火情结束之后，组织相关人员及时进行网络系统恢复，及时向上级有关部门和领导汇报，并做好现场保护工作和防止起火点复燃。
11、发生自然灾害后的紧急措施
（1）遇到重大雷暴天气，可能对机房设备造成损害时，应关闭所有服务器，切断电源，暂停内部计算机网络工作。雷暴天气结束后，及时开通服务器，恢复内部计算机网络工作。
（2）确认灾害不会造成人身伤害后，尽快将网络恢复正常，若有设备、数据损坏，及时使用备份设备或备用数据。
（3）及时核实、报损，并将详细情况向部门领导汇报。
12、关键人员不在岗的紧急处置措施
（1）对于关键岗位平时应做好人员储备，确保一项工作有两人能够操作。对于关键账户和密码进行密封保存。
（2）一旦发生系统安全事件，关键人员不在岗且联系不上或1小时内不能到达机房的情况，首先应向领导小组汇报情况。
（3）经领导小组批准后，启用公司备份管理员密码，由备用人员上岗操作。
（4）如果备用人员无法上岗，请求软件公司技术支援。
（5）关键人员到岗后，按照相关规定进行密码设定和封存。
（6）做好事件记录。
（三）后续处理
安全事件进行昀初的应急处置以后，应及时采取行动，抑制其影响的进一步扩大，限制潜在的损失与破坏，同时要确保应急处置措施对涉及的相关业务影响昀小。安全事件被抑制之后，通过对有关事件或行为的分析结果，找出其根源，明确相应的补救措施并彻底清除。在确保安全事件解决后，要及时清理系统、恢复数据、程序、服务，恢复工作应避免出现误操作导致数据丢失。
（四）记录上报
网络与信息安全事件发生时，应及时向网络与信息安全应急处置工作组汇报，并在事件处置工作中作好完整的过程记录，及时报告处置工作进展情况，保存各相关系统日志，直至处置工作结束。
七、保障措施
（一）应急设备保障
对于重要网络与信息系统，在建设系统时应事先预留一定的应急设备，建立信息网络硬件、软件、应急救援设备等应急物资库。在网络与信息安全突发公共事件发生时，报领导同意后，由应急工作组负责统一调用。
（二）数据保障
重要信息系统均应建立容灾备份系统和相关工作机制，保证重要数据在遭到破坏后，可紧急恢复。各容灾备份系统应具有一定的兼容性，在特殊情况下各系统间可互为备份。
