电力网络信息系统安全事故应急预案.doc

电力网络信息系统安全事故应急预案为了切实做好公司网络信息系统突发事件的防范和应急处理工作，建立应对突发事件的防范、指挥、处置体制和机制，进一步提高预防和控制网络信息系统突发事件的能力和水平，确保网络信息系统安全运行，最大限度地减轻网络信息安全突发事件的危害，结合公司实际工作，编制XXXX公司网络信息安全应急预案。一、工作原则1预防为主：立足安全防护，加强预警，从预防、监控、应急处理、应急保障等环节，采取多种技术、管理措施，充分发挥各方面的作用，共同构筑网络信息安全保障体系。2快速反应：在网络信息安全突发事件发生时，及时获取充分而准确的信息，跟踪研判，果断决策，迅速处置，最大程度地减少危害和影响。3分级负责：按照“谁主管谁负责、谁运营谁负责”，建立和完善安全责任制及联动工作机制。加强协调与配合，形成合力，共同履行应急处置工作的职责。4常备不懈：加强技术储备，规范应急处置措施与操作流程，定期进行预案演练，确保应急预案切实有效，实现网络信息安全突发事件应急处置的科学化、程序化与规范化。二、组织体系领导小组：成立XXXX有限公司应急预案领导小组，负责统一组织协调指导公司信息系统应急预案工作。组长：XXXX XXXX副组长：XXX XXX XXX 应急工作小组：成立国电青山热电有限公司应急预案工作小组，总经部具体负责应急预案管理，信通中心提供技术支持。应急组分为监测组、应急处理组和咨询顾问组。组 长：XXX XXX XXX成 员：XXX XXX XXX XXX XXX XXX XXX XXX技术顾问监测组负责系统日常运行监控和定期报告，及时预测及发现系统非正常状态。应急处理组负责服务器设备、存储设备、网络设备、安全设备、应用系统的应急处理。咨询顾问组负责对安全技术提供指导、咨询、服务。三、工作要求1高度重视，加强领导。从维护国家安全和国家形象、构建社会主义和谐社会的高度。要明确一名公司负责人具体负责，明确责任部门和人员，建立健全工作机制，切实抓好网络信息安全工作部署落实，组织、协调好本单位的涉奥信息网络安全保卫工作。成立领导小组和工作小组，并将名单报集团公司，在集团公司网络信息安全工作领导小组领导下开展工作。2统一领导，落实责任。在集团公司的统一领导下，加强对各项工作的协调、督促、检查和指导。迅速建立健全本单位信息网络安全保卫工作责任制，将涉奥期间信息网络安全保卫工作层层落实，明确到岗位。3各负其责，周密部署。各单位要依据本单位的实际情况，各负其责，精心组织，周密部署，研究制定具体工作计划，明确工作目标、工作任务、工作措施和工作要求，确保各项工作落实到位。各单位要落实必要的资金，对网络信息系统的薄弱环节加强防护，做到技术手段和管理手段相结合，消除信息安全隐患。四、应急处理流程信通中心检测系统运行异常情况初步判断故障类别和故障点情况,并详细记录故障确认应急事件,确认故障处理方法,确认系统恢复难度及时故障排除,恢复系统正常运行组织协调各组进行故障处置专业服务公司需要专业公司支持报告应急事件处理结果宣布应急处理结束应急总结,并制定相应的预警预防措施集团公司应急预案领导小组集团公司应急预案领导小组应急处理流程应急处理小组检测系统运行异常情况初步判断故障类别和故障点情况,并详细记录故障确认应急事件,确认故障处理方法,确认系统恢复难度及时故障排除,恢复系统正常运行组织协调各组进行故障处置专业服务公司需要专业公司支持报告应急事件处理结果宣布应急处理结束应急总结,并制定相应的预警预防措施集团公司集团公司应急预案领导小组集团公司应急预案领导小组 处置措施 （一）故障发生前，信通中心要加强巡查，进行定期和不定期的检查，加强对重点部位的监测和防范，发现有不良现象时，要及时处理并向应急预案领导小组报告；要建立健全应急速报制度，保障突发性紧急信息报送渠道畅通。（二）故障发生后，信通中心立即将故障情况向国电本部新闻信息中心报告,立即启动应急预案，采取应急处置程序，判定故障级别，应及时报告处置工作进展情况，直至处置工作结束。五、主要网络信息系统应急方案（一）网络系统网络设备风险分析 网络设备故障包括整个设备不能启动，可能为硬件故障或IOS故障造成,设备偶尔自动重新启动,模块或部件损坏；背板自然损坏,IOS故障、配置丢失等。 网络设备模块故障包括整个模块不能识别，模块上的端口不能正常通讯。 网络设备电源故障包括电源不能工作，或电源风扇故障。2.网络设备应急措施中心交换机XXXXX有限公司局域网核心层交换机采用一台CISCO高端交换机，双引擎互为备份。核心交换机配置双电源系统以保证中心网络设备的高可靠性。风险来源：自然损坏；预防措施：做好日常维护与巡检工作，监测系统运行状态。紧急措施：一个引擎出现故障时,网络将在3秒内自动切换到备用引擎，网络仍可使用,但网络的性能不受影响。核心交换机两个引擎无法正常工作时，目前可以使用低档的交换机暂时来代替，但是只能满足部分用户访问，同时紧急维修故障交换机。楼层交换机风险来源：1、自然损坏；2、IOS故障；预防措施：备有相对应的楼层交换机，做好日常维护与巡检工作，监测系统运行状态，做好配置备份。紧急措施：更换楼层交换机，恢复配置文件，并及时维修损坏的交换机更换楼层交换机，恢复配置文件，并及时维修损坏的交换机。防火墙风险来源：1、自然损坏；2、系统故障；预防措施：做好日常维护与巡检工作，监测系统运行状态，做好配置备份，同时备有处理能力稍差的备用防火墙。紧急措施：更换备用防火墙，恢复配置文件，并及时维修损坏的防火墙。路由器 （广域网路由器）风险来源：1、自然损坏；2、IOS故障；预防措施：做好日常维护与巡检工作，监测系统运行状态，做好配置备份。紧急措施：广域网路由器：肩负与集团公司企业广域网联接，承载各种关键业务，没有冗余或备用设备。路由器出现故障时，由备件服务提供商提供备件或备品的服务支持，及时恢复广域网网络正常运行。 VPN设备风险来源：1、自然损坏；2、系统故障；预防措施：做好日常维护与巡检工作，监测系统运行状态，做好配置备份。紧急措施：紧急维修损坏的VPN设备。（二）数据备份与恢复1.数据备份策略选用磁盘阵列技术的硬件设备进行实时数据备份，通过定期检测与维护、定期进行人员培训及制度落实检查等手段，保证公司数据完整。 数据备份包括：数据库全备份：选择在周五自动进行。数据库增量备份：每晚由批处理人员触发或由系统自动执行。文件全备份：将主机系统和其它服务器的数据作全备份，选择在周日自动进行。文件增量备份：在周一到周周五之间备份文件的增量。系统全量：在月初的周日备份系统及数据库的全量。系统增量：在其余的时间仅备份系统和数据库配置的增量。跟踪备份：实时备份系统增量(事务日志备份)。结合以上备份策略，从便于管理和恢复的角度考虑，制订数据分组和存储介质池对应策略，将数据分门别类放在不同编号的磁带组上，并建立不同的存取权限。建立：数据库介质：专门放置数据库信息。文件介质：除数据库以外的文件。数据库日志和系统日志介质：安全稽核和系统恢复的重要数据记录须较长时间保存。系统介质：备份系统和系统配置等的变化，做到快速恢复系统。2.操作系统、应用系统备份 新系统上线时须对操作系统、应用系统进行全备份，并定期更新，以备系统瘫痪时恢复。3.数据恢复措施全盘恢复:应用在服务器发生意外灾难导致数据全部丢失、系统崩溃或是有计划的系统升级、系统重组时需要对备份数据按照规定的方法进行全部恢复。恢复某一时间的数据:应用在服务器发生意外灾难导致某一时间段数据丢失，按照规定的方法进行增量恢复，将增量备份的数据恢复到应用服务器。个别文件恢复:服务器个别文件数据被损坏或网站某个页面被损坏时，利用网络备份系统的恢复功能恢复受损的个别文件。为了使在数据丢失时能够快速及时地恢复，在运维过程中应进行定期的灾难演练，以熟练灾难恢复的操作过程，并检验所生成的灾难恢复介质和灾难恢复备份是否可靠。（三）网站系统1.网站系统风险分析网站系统可能遇到的故障情况主要有：黑客攻击、用户错误、进程终止、网络失败、硬件损坏（介质失败、主机损坏等）等几种情况。网站系统风险应急措施网站、网页出现非法言论风险来源：黑客攻击。预防方法：定期更新系统补丁，优化防护策略，网站、网页由网络维护人员随时密切监视信息内容。应急措施： 每天及时跟踪网站，发现网上出现非法信息时，网络维护人员立即向负责人通报情况，及时采取删除等处理措施，必要时封闭网站。维护工程师做好必要的记录，清理非法信息，强化安全防范措施，并将网站网页重新投入使用。维护工程师妥善保存有关记录及日志或审计记录。维护工程师追查非法信息来源，将有关情况向应急预案领导小组领导汇报。进程终止风险应急措施风险来源：系统病毒、BUG、系统资源超负等意外终止。预防措施：做好日常维护与巡检工作，监测系统运行状态，病毒预防。应急措施：查看系统的日志文件寻找原因、分析原因，并加以解决，需重启应用。网络故障风险来源：网络系统意外故障，互联网中断、网卡故障，因为网络问题造成用户失去连接，或者丢包严重，用户连接、运行缓慢。预防方法：提高网络安全性和可靠性，备用网络设备、备用网卡（双网卡运行）；应急措施：如果不能连接外网，联系外网服务商，紧急修复；网卡损坏，更换网卡、启用备用网卡。存储损坏介质损坏风险：存储介质损坏造成用户数据损失或系统停止运行。系统所在磁盘损坏：系统磁盘由两块磁盘组成，镜像方式运行，两块磁盘同时损坏的几率很小，如果是其中某一块磁盘损坏，用另一个磁盘启动运行就可以了，有新盘后再做成镜像。如果是两块同时都损坏了，造成整体系统停运，网站服务终止，此时只更换介质，恢复系统，恢复数据。（四）OA系统1.OA系统风险分析OA系统可能遇到的故障情况主要有：黑客攻击、程序错误、网络失败、文件安全、硬件损坏（介质失败、主机损坏等）等几种情况。2.OA系统应急措施文件安全通过多层次、全面的安全防护，保证OA系统数据、系统的安全；制定完整的安全策略、监控和防范管理制度，仅允许需要的用户访问应用系统，定期更改服务器系统级密码、数据库密码，同时对密码的长度、复杂度都有严格的要求；通过防病毒系统、防火墙系统防止病毒入侵、恶意代码、黑客攻击以及内部用户可能发起的误操作、非法访问；通过安全漏洞扫描系统,安全服务，安全评估，操作系统、OA系统以及数据库的自身脆弱性；通过增量或全量的备份，保证数据的完整性。系统程序问题风险来源：最常见的原因是程序逻辑错误。预防措施：新开发或修改的语句须经过充分测试后再装载到正式运行环境，系统维护人员根据产品测试报告、获得批准的系统维护工单倒入或装载新开发的产品；对原运行的系统进行修改时，先在测试环境进行，测试环境通过后，提交系统维护工单。应急措施：从备份中恢复到最近一次正常运行的版本。操作错误风险来源：用户意外地删除了表中所有的数据、卸掉表或者最终用户提交了错误的数据。预防措施：为避免这种情况的发生，关键的措施是加强维护人员和最终用户的培训。建立OA维护测试环境，维护人员或最终用户，对可能改变OA系统运行状态的工作，首先在测试环境上进行，测试环境不能模拟的工作，要做好专项应急预案，获得主管部门书面同意后方可直接在运行环境操作。应急措施：从备份中恢复；从导出文件中导入表中；执行基于时间的不完全恢复；察看及修补损失的数据等。存储故障处理存储介质损坏风险：存储介质损坏可能造成DOMINO数据库、OA应用或操作系统停止运行。系统所在磁盘损坏：目前系统磁盘由两块磁盘组成，镜像方式运行，两块磁盘同时损坏的几率很小，如果是其中某一块磁盘损坏，用另一个磁盘启动运行就可以了，有新盘后再做成镜像 。OA系统严重故障为更安全快速恢复严重故障应建立完全备用的OA运行环境，提供OA系统的备用设备，在另一台服务器上建立OA全套系统运行环境，当在线的OA环境出现故障，30分钟内无法恢复时，启用OA备用环境。（五）邮件系统1.邮件系统风险分析公司邮件系统可能遇到的故障情况主要有：进程终止、网络失败、硬件损坏（介质失败、主机损坏等）等几种情况。2.邮件系统应急措施由于出现的原因多种多样，需要采取的措施也各不相同。黑客攻击风险来源：黑客攻击。预防方法：增加邮件过滤网关，定期更新系统补丁，优化防护策略，系统维护人员随时密切监视邮件系统运行情况。应急措施： 每天及时跟踪邮件系统运行情况，发现网上出现非法信息时，系统维护人员立即向负责人通报情况，及时采取删除等处理措施。维护工程师做好必要的记录，清理非法信息，强化安全防范措施，并将邮件系统重新投入使用。维护工程师妥善保存有关记录及日志或审计记录。维护工程师追查非法信息来源，将有关情况向应急预案领导小组领导汇报。文件安全通过多层次、全面的安全防护，保证邮件系统数据、系统的安全；制定完整的安全策略、监控和防范管理制度，定期更改邮件服务器系统级密码、数据库密码，同时对密码的长度、复杂度要有严格的要求；通过防病毒系统、防火墙系统防止病毒入侵、恶意代码非法访问。进程终止处理风险来源：邮件系统病毒、BUG、系统资源超负等意外终止。预防措施：做好日常维护与巡检工作，监测系统运行状态，病毒预防。应急措施：查看系统的日志文件寻找原因、分析原因，并加以解决，需重启应用。网络、硬件故障处理风险来源：网络系统意外故障，互联网中断、网卡故障，因为网络问题造成用户失去连接，或者丢包严重，用户连接、运行缓慢。预防方法：提高网络安全性和可靠性，备用网络设备、备用网卡（双网卡运行）；应急措施：如果不能连接外网，直接访问公司邮件系统内网地址；网卡损坏，更换网卡、启用备用网卡。存储介质损坏处理存储介质损坏风险：存储介质损坏造成用户数据损失或系统停止运行。系统所在磁盘损坏：目前系统磁盘RAID 0方式运行， 任何一块磁盘损坏都不影响系统的正常运行。二块磁盘同时损坏的几率很小，如果是两块同时都损坏了，造成整体系统停运，邮件服务终止，此时只能用操作系统的备份重做操作系统进行恢复。为更安全快速恢复严重故障应建立完全备用的邮件系统运行环境，提供一套邮件系统的备用服务器，在备用服务器上建立邮件系统运行环境，当运行邮件系统出现故障，预计2小时内无法恢复时，启用邮件系统备用环境。（六）应用系统1.应用系统风险分析各应用系统，主要完成业务系统的功能，主要风险为被黑客攻击、信息失密，及系统程序运行风险，服务器风险。2.应用系统应急措施 安全策略包括：MAC地址和IP地址绑定：防止外来的机器私自接入公司的内部网络，保证应用系统的安全；所有的应用系统仅开放特定的端口，进一步保证公司应用系统的安全；加强审计工作，对于非法登陆用户，各个应用系统都有详细的记录； 通过多层次、全面的安全防护，保证应用系统数据、系统的安全；制定完整的安全策略、监控和防范管理制度，定期更改服务器系统级密码、应用系统密码、数据库密码，同时对密码的长度、复杂度都有严格的要求；通过防病毒系统、防火墙系统防止病毒入侵、恶意代码、黑客攻击以及内部用户可能发起的误操作、非法访问；通过安全漏洞扫描系统,安全服务，安全评估，操作系统、应用系统以及数据库的自身脆弱性；通过增量或全量的备份，保证数据的完整性。应用系统硬件配件损坏风险应急预案存储介质损坏风险：存储介质损坏可能造成应用系统数据库、应用或操作系统停止运行。存储介质损坏后，如造成系统停运或数据缺失。应用系统业务完全终止运行风险预案建立完全备用的应用系统运行环境，提供应用系统全套系统的备用设备，在另一台PC服务器上建立应用系统全套系统运行环境，当在线的应用系统环境出现故障，2小时内无法恢复时，启用应用系统备用环境。（七）网络链路故障1.网络链路风险分析广域网线路：目前国电青山热电有限公司与集团公司本部通过飞华公司1条2M线路实现网络互通，一旦该条线路出现中断将影响与集团公司的信息交换。互联网线路：公司现有两个互联网出口,其中任意一个互联网出口发生故障，进而导致业务处理能力下降，但不影响网络使用。2.网络链路故障应急措施广域网线路中断：联系线路运营商飞华公司进行紧急抢修，在最短的时间内恢复线路正常。互联网线路中断：国电青山热电有限公司现有电信公司10M光纤、中国电信2M ADSL互联网出口, 10M网络出口中断对公司影响很大，出现问题时联系线路运营商进行紧急抢修，在最短的时间内恢复线路正常。（八）通信系统1.通信设备风险分析通信设备故障整个设备不能启动，可能为硬件或系统软件故障造成；板卡或部件损坏；背板自然损坏；系统软件故障、配置丢失；通信设备板卡故障整个板卡不能识别，或板卡上的端口不能正常通讯；通信设备电源故障电源不能工作，或电源风扇故障；2.通信设备应急措施哈里斯20/20程控交换机通信系统采用一台哈里斯20/20程控交换机，为单点设备。风险来源：自然损坏；预防措施：做好日常维护与巡检工作，监测系统运行状态，做好数据备份。紧急措施：由于通信交换机为单点设备，出现故障时只能紧急联系厂家进行维修。（九）电源系统1.电源设备风险分析 XXXX有限公司UPS电源系统采用山特3C3-30KS与APC SYMMETRA SY12KEX3I双机直接并联。存在的风险如下：整个设备不能启动，可能为硬件故障造成；模块或风扇损坏；蓄电池无法正常供电；2.电源设备应急措施预防措施：做好日常维护与巡检工作，监测系统运行状态。经常进行蓄电池充放电工作，提高蓄电池