审计局网络与信息安全应急预案

本文格式为Word版下载后可任意编辑和复制第第页审计局网络与信息安全应急预案第一章总则

第一条本预案所称突发性大事，是指自然因素或人为活动引发的危害福州市审计局网络设施及信息平安等有关的灾难。

其次条本预案的指导思想是确保福州市审计局有关计算机网络及信息的平安。

第三条本预案适用于发生在福州市审计局网络范围内的突发性大事应急工作。

第四条应急处置工作原则：

（一）明确责任、分级负责：根据“谁主管谁负责，谁运行谁负责”的要求，逐级建立并落实审计信息系统责任制和应急机制。

（二）加强领导、分工合作：市局各处室应根据规定的职责和流程，实施统计信息系统的应急处理工作。

（三）乐观预防、准时预警：市局各处室应及早发觉平安大事，准时进行预警和信息通报；乐观做好应急处理预备，提高对平安大事的预防和应急处理力量。

（四）协作协作、确保恢复：市局各处室要协同协作，确保在最短的时间内完成系统的恢复。

其次章组织指挥和职责任务

第五条福州市审计局成立网络与信息平安工作领导小组，局办公室负责日常工作。

组长：翁国荣

副组长：潘玉宁

成员：吴祥添

领导小组的主要职责与任务是统一领导信息网络的灾难应急工作，全面负责信息网络可能消失的各种突发大事处置工作，协调解决灾难处置工作中的重大问题等。

第三章处置措施和处置程序

第六条处置措施

处置的基本措施分灾难发生前与灾难发生后两种状况。

（一）灾难发生前，即日常管理与灾难发生前的征兆阶段，局办公室要预先对灾难预警预报体系进行建设（防杀毒体系、漏洞补丁修补、防ARP网络攻击、单机网络备份系统、防单机非法内（外）联、移动设备认证系统），并开展灾难调查，编制灾难防治规划，建设专业监测网络，并规划建设灾难信息管理系统，准时处理灾难讯情信息。加强灾难险情巡查。局办公室要充分发挥专业监测的作用，进行定期和不定期的检查，加强对灾难重点部位的监测和防范，发觉有不良险情时，要准时处理并向领导小组报告。建立健全灾情速报制度，保障突发性灾难紧急信息报送渠道畅通。

（二）灾难发生后，马上启动应急预案，实行应急处置程序，判定灾难级别，并马上将灾情向网络与信息平安领导小组报告，在处置过程中，应准时报告处置工作进展状况，直至处置工作结束。

第七条处置程序

（一）发觉状况

市局各处室信息化管理人员要严格执行监管制度、处内设备管理和定期查杀毒制度，局办公室做好网络信息系统平安的日常巡查工作，以保障最先发觉灾难并准时处置。

（二）预案启动

一旦灾难发生，马上启动应急预案，进入应急预案的处置程序。

（三）应急处置方法

在灾难发生时，首先应区分灾难发生是否为自然灾难与人为破坏两种状况，依据这两种状况把应急处置方法分为两个流程。

流程一：当发生的灾难为自然灾难时，应依据当时的实际状况，在保障人身平安的前提下，首先保障数据的平安，然后是设备平安。详细方法包括：硬盘的拔出与保存，设备的断电与拆卸、搬迁等。

流程二：当人为或病毒破坏的灾难发生时，详细按以下挨次进行：推断破坏的来源与性质，断开影响平安与稳定的信息网络设备，断开与破坏来源的网络物理连接，跟踪并锁定破坏来源的IP或其它网络用户信息，修复被破坏的信息，恢复信息系统。根据灾难发生的性质分别采纳以下方案：

1．网络信息系统故障的应急处理流程

（1）报告和简洁处理

网络设备、网络应用系统故障应由发觉人通知局办公室，局办公室派人马上检查故障，进行初步故障定位。假如网络、应用系统消失比较严峻的问题，对网络业务的正常运行造成较大的影响，需马上向有关领导报告。

（2）故障推断与排解

对简洁故障，运维人员应快速排解故障，解决问题并记录。假如需要更换设备，应上报有关领导,经批准后立刻更换故障设备，尽快恢复网络、应用系统运行。运维部门推断无法准时修理时，应马上通知相关的系统运行服务供应商，在最短的时间内支配修理或更换系统。

（3）网络线路故障排解

如发觉属外部线路的问题，应与线路服务供应商联系，敦促对方尽快恢复故障线路。

（4）启用备份线路、设备、系统（假如存在的话），快速恢复相关的应用。

2．网站检测与自动恢复系统应急处理流程

（1）报告和简洁处理

当发觉网站不能正常打开或网站内容被恶意篡改时，任何人员都有义务向领导小组或局办公室报告。由局办公室应急响应，联合相关部门进行故障排查。

（2）处理和恢复使用

先由网络运维部门查看网络连接状况，若不是网络故障，则由局办公室排查软、硬件故障。待故障处理完成并经过测试后，恢复系统的正常运行和内容的正常应用。

3.黑客入侵的应急处理

（1）报告和简洁处理

当发觉网络上有黑客攻击行为，任何人员都有义务向领导小组或局办公室报告。局办公室马上启动应急响应，切断受攻击计算机与网络的连接，停止一切操作、爱护现场，并上报有关领导。

（2）处理和恢复使用

对于黑客攻击，由局办公室查找入侵踪迹，分析入侵方式和缘由。由平安管理员依据对入侵大事的分析，组织相关人员对内部网计算机整改，防止黑客用同样的手段再次入侵其他系统。平安管理员检查确定无平安隐患后，才可将受攻击计算机重新连接网络，或启用备份计算机来恢复应用。

（3）应急响应

平安管理员应做好记录，爱护现场，进行日志收集等工作。假如能追查到攻击者的相关信息，可以对其发出警告，必要时可以实行进一步的行动，乃至实行法律手段。依据破坏程度，经有关领导同意后，上报公安部门。

若系统已被黑客破坏，无法恢复，应将受黑客攻击的计算机上的重要数据备份到其他存储介质，确保计算机内重要的数据不丢失。假如数据无法恢复，经有关领导同意后，可与国家指定的部门联系，由他们来帮助恢复，为保证数据信息平安，需在平安管理部门做记录。

4.大规模病毒（含恶意软件）攻击的应急处理

（1）报告和简洁处理

当发觉网络上有大规模病毒攻击的行为，任何人员都有义务向领导小组或局办公室报告。由局办公室组织应急响应，切断受攻击计算机与网络的连接，停止一切操作、爱护现场，马上上报有关领导。

（2）已知病毒的处理和恢复

使用最新版本杀毒软件对染毒计算机进行全面杀毒，并对染毒计算机系统进行漏洞修补。平安管理员确定没有病毒和平安漏洞后，再连接网络恢复使用。

（3）未知病毒的处理和恢复

观看网管软件依据监视窗口的链路状态，由此推断感染病毒或恶意程序的客户端、服务器所科的楼层交换机。打开该交换机的端口流量分析窗口，依据流量推断感染病毒或恶意程序的客户端所科交换机端口。关闭该交换机端口，隔离该工作站、服务器，阻断与局域网的连接。依据端口状态功能，查看该感染病毒或恶意程序的工作站的IP地址。依据IP地址信息找到该工作站的详细位置，对该工作站进行病毒或恶意程序清除工作。

依据对于未知病毒，应首先尝试手工杀毒处理，若系统已被病毒破坏，无法恢复，应将感染病毒的计算机上的硬盘加挂到其他机器上处理，将重要数据备份到其他存储介质，尽最大努力爱护、保留感染计算机内重要的数据，同时防止病毒感染其他计算机。假如数据无法恢复，经有关领导同意后，可与国家指定的反病毒部门联系，由他们来帮助恢复，为保证数据信息平安，需在平安管理部门作做记录。如为涉及国家隐秘的数据，不允许由其他机构来恢复数据。

5．其他没有列出的不确定因素造成的灾难，可依据总的平安原则，结合详细的状况，做出相应的处理。不能处理的可以请示相关的专业人员。

（四）状况报告

灾难发生时，一方面根据应急处置方法进行处置，同时需要判定灾难的级别，首先向网络与信息平安应急处置领导小组汇报。在大型灾难发生时或上级领导通知的特别时间内发生的灾难，可以直接向局领导报告，也可向相应的公安机关计算机信息系统平安监察部门汇报。中、小型级别的灾难，可以只向网络与信息平安应急处置领导小组汇报，并准时报告处置工作进展状况，直至处置工作结束。状况报告内容包括：灾难发生的时间、地点，灾难的级别，灾难造成的后果，应急处置的过程、结果，灾难结束的时间，以后如何防范类似灾难发生的建议与方案等。

（五）发布预警

灾难发生时，可依据灾难的危害程度适当地发布预警，特殊是一些在其他地方已经消失，或在平安相关网站发布了预警而信息网络还没有消失相应的灾难，除了在技术上进行防范以外，还应当向网络信息用户发布预警，直至灾难警报解除。

（六）预案终止

经检测，灾难险情或灾情已消退，或者得到有效掌握后，由网络与信息平安领导小组宣布险情或灾情应急期结束，并予以公告，同时预案终止。

第四章保障措施

灾难应急防治是一项长期的、持续的、跟踪式的、深层次的和各阶段相互联系的工作，是有组织的科学与社会行为，而不是随每次灾难的发生而开头和结束的活动。因此，必需做好应急保障工作。

第八条人员保障

重视人员保障，确保在灾难发生前的人员值班，灾难处置过程和灾后重建中的人员在岗与战斗力。

第九条技术保障

重视网络信息技术的建设和升级换代，在灾难发生前确保网络信息系统的强劲与平安，灾难处置过程中和灾后重建中的相关技术支撑。

第十条物资保障

依据近二年网络信息系统平安防治工作所需经费状况，相应购买应急设施。同时，建立应急物资储备制度，保