信息安全事故处理指南.doc

政府资讯科技总监办公室信息安全事故处理指南G54第 4.0 版二零零九年十二月香港特别行政区政府版权公告 2009 香港特别行政区政府除非另有注明，本出版物所载资料的版权属香港特别行政区政府所有。在符合下列条件的情况下，这些资料一般可以任何格式或媒介复制及分发：(a) 有关资料没有特别注明属不可复制及分发之列，因此没有被禁止复制及分发；(b) 复制并非为制造备份作售卖用途；(c) 必须准确地复制资料，而且不得在可能误导他人的情况下使用资料；以及(d) 复制版本必须附上“经香港特别行政区政府批准复制分发。香港特别行政区政府保留一切权利”的字眼。如须复制资料作上述核准用途以外的用途，请联络政府资讯科技总监办公室寻求准许。信息安全事故处理指南目录目录12目的 . 1-1范围 . 2-12.1 信息科技安全文件概览 . 2-234参考资料 . 3-1定义及惯用词 . 4-14.1 定义 . 4-14.2 惯用词 . 4-15安全事故处理简介 . 5-15.1 信息安全管理中的安全事故处理 . 5-15.2 安全事故处理是什么 . 5-.2信息安全事故 . 5-1安全事故处理 . 5-25.3 安全事故处理的重要性 . 5-26政府内部信息安全事故处理的组织架构 . 6-16.1 香港电脑保安事故协调中心 . 6-16.2 政府信息安全事故应急办事处 . 6-.2政府信息安全事故应急办事处的职能 . 6-2政府信息安全事故应急办事处的结构 . 6-26.3 信息安全事故应急小组 . 6-.26.3.3信息安全事故应急小组的职能 . 6-4信息安全事故应急小组的结构 . 6-4信息安全事故应急小组成员的职责 . 6-组长 . 6-4事故应急经理 . 6-5新闻主任 . 6-56.4 部门信息系统 . 6-56.4.1部门信息科技系统经理 . 6-678安全事故处理步骤概览 . 7-1规划和准备 . 8-18.1 安全事故处理计划 . 8-..4范围 . 8-1目标和优先处理事项 . 8-1职务和职责 . 8-2限制 . 8-28.2 报告程序 . 8-28.3 升级处理程序 . 8-38.4 安全事故应急程序 . 8-38.5 培训与教育 . 8-4Ref. No. : G54i-1信息安全事故处理指南目录8.6 事故监察措施 . 8-49安全事故应急 . 9-19.1 确认事故 . 9-..4判断是否发生事故 . 9-2进行初步评估 . 9-3记录事故 . 9-3记录系统状况 . 9-39.2 升级处理 . 9-49.3 遏制 . 9-49.3.1决定是否须要暂停受袭系统的操作 . 9-59.4 杜绝 . 9-59.4.1可杜绝事故的行动 . 9-59.5 恢复 . 9-610 事后跟进 . 10-10.410.5事故事后分析 .事故事后报告 .安全评估 .覆检现行保护措施 .调查及检控 .10-110-210-210-210-2附录A安全事故处理准备工作清单A.1安全事故处理准备工作清单样本B报告程序B.1B.2B.3报告机制建议信息安全事故初步报告表事故事后报告C升级处理程序C.1C.2C.3需要通知的各方联络名单升级处理程序示例D确认事故D.1D.2D.3D.4安全事故的典型迹象为确认事故收集的资料事故类型影响事故范围和后果的因素EF安全事故升级处理工作流程部门信息科技安全联络资料更新表Ref. No. : G54i-2信息安全事故处理指南目的1目的有效的信息安全管理包括防范、侦测和应急的互相配合。除部署强而有力的安全保护措施外，系统还应具备事故应急能力，以备在发生信息安全事故时激活适当程序。安全事故处理是信息安全管理中重要的一环。本指南旨在就安全事故处理计划的制订，以及信息安全事故的防范、侦测及应急，为管理、行政及其他技术和操作人员提供参考。由于不同计算机系统的安全事故可能构成不同的影响和导致不同的后果，政策局部门应根据其实际的操作需要，制订合适的安全事故处理计划。Ref. No. : G541-1信息安全事故处理指南范围2范围本文件旨在提供信息安全事故处理的实际指引和参考，但并不包括对具体计算机硬件或操作系统平台的详细技术描述。政策局部门应就有关技术细节咨询相关的系统管理员、技术支持人员和产品供货商。Ref. No. : G542-1信息安全事故处理指南范围2.1信息科技安全文件概览下图所示为政府内部各信息科技安全文件之间的关系：信息科技安全文件Ref. No. : G542-2信息安全事故处理指南五份核心信息科技安全文件的目的及概要简述如下：范围基准信息科技安全政策：（ S17）信息科技安全指南：（ G3）互联网网关安全指南：（ G50）安全风险评估及审计指南：（ G51）信息安全事故处理指南：（ G54）Ref. No. : G54最高层次的指令文件，为全体政策局部门制订安全规格必须达到的最低标准。这份文件列明了对政策局部门 至 关 重 要 的 安 全 工 作 领 域 。 基 准信息科技安全政策可视为必须遵守的强制性基准规定，此外，各政策局部门也可以采取其他适当的措施加强信息安全工作。介绍信息科技安全的一般概念，并对基准信息科技安全政策作出详细诠释。这份文件为制订安全要求提供了指引和应予考虑的事项。信息科技安全指南的补充文件，为互联网网关安全提供一般指引。这些指引是针对互联网公开平台，将安全风险控制在可接受水平的最佳实务。这份文件专为参与互联网网关操作及技术工作的人员而制订。信息科技安全指南的补充文件，介绍信息科技安全风险评估及安全审计的通用模型。这份文件的重点并非介绍如何进行安全风险评估或审计的详情，而是提供一个参考模型，以确保由独立安全顾问或审计师提供的服务，在范围、方法及成品方面有所参照。信息科技安全指南的补充文件，为管理、行政及其他技术和操作人员提供参考，以便制订安全事故处理计划。此外，亦可用作信息安全事故防范、侦测及应急的参考资料。2-3信息安全事故处理指南参考资料3参考资料a) 信息科技安全指南（ G3）(.hk/chs/prodev/csecpol.htm)b) Establishing a Computer Security Incident Response Capability, NIST (NationalInstitute of Standards and Technology) Special Publication 800-3, Nov 1991.(/topics/inchand.html)c) Sample Incident Handling Procedures for CSIRT (Computer Security IncidentResponse Team).(/sample_policies/.doc)d) IETF (The Internet Engineering Task Force) RFC 2196 Site Security Handbook.(/rfc/rfc2196.txt)e) IETF RFC 2350 Expectations for Computer Security Incident Response.(/rfc/rfc2350.txt)f)Ref. No. : G54Computer Security Incident Handling Guide from NIST(/publications/nistpubs/800-61-rev1/SP800-61rev1.pdf)3-1信息安全事故处理指南定义及惯用词44.14.2定义及惯用词定义无惯用词无Ref. No. : G544-1信息安全事故处理指南安全事故处理简介55.1安全事故处理简介信息安全管理中的安全事故处理信息安全管理可视为一个须反复持续进行的循环过程。下图 5.1 所示为过程中涉及的部分工作程序：例如找出风险和安全评估安全风险实施及维持安全的架构漏洞及影响等例如制定安全政策，界定职责及应用保障措施例如定期安全覆检及系统审计Maintaining aSecureFramew orkAssessingSec记录R isks例如安全事故处理及备存安全事故记录图 5.1信息科技安全管理反复进行的程序部署适当的安全保护措施和保障措施可减少在受到攻击时被入侵的可能性。加强保护的安全措施包括进行风险评估以找出风险和安全漏洞、制定安全政策和指南、采取技术保护措施等。然而，即使已采取上述各种措施，仍难免有机会发生安全事故，所以必须为安全事故应急作好准备。应指定适当人员负责不同的工作、预留资源并规划事故处理程序等工作，为发生安全事故作好准备。一旦发生安全事故，这些准备工作将有利于事故应急，使计算机系统能够以较具条理和更有效率和效益的方式恢复。安全事故处理是什么信息安全事故安全事故一词在本指南泛指任何与信息科技安全有关的事故。安全事故是指不合乎政府利益的资料泄漏或信息系统及或网络内的负面事件，对计算机或网络安全的可用性、完整性和机密性构成威胁。自然灾害、硬件软件故障、数据线故障、停电等负面事件并不包括在本指南范围内，这些负面事件应通过系统维护和运作恢复计划处理。Ref. No. : G545-1覆检及改进监察及urity信息安全事故处理指南安全事故处理简介常见的安全事故包括：未获授权访问、未获授权擅用服务、信息系统资源受攻击致无法使用、服务中断、破解已采取保护措施的数据程序网络系统权限、保密资料在电子形态下泄漏、恶意破坏或窜改数据资料、渗透及入侵、滥用系统资源、计算机病毒及恶作剧电子邮件、以及影响联网系统的恶意程序代码或脚本程序。5.2.2安全事故处理安全事故处理是一系列持续进行的程序，规管安全事故发生前、发生时和发生后所采取的措施。安全事故处理始于规划和准备资料及制定适当程序（例如升级处理和安全事故应急程序），以备日后遵照执行。一旦侦测到安全事故，负责安全事故应急的各方须按照预定程序实施应急。安全事故应急是指为处理安全事故并恢复系统的正常操作状态而进行的工作或采取的措施。一般可成立特定的事故应急小组，负责进行安全事故应急工作。安全事故过后，应采取跟进行动评估事故，并加强安全保护措施，以防止再度发生事故。应覆检规划和准备的工作，并作出相应的修订，以确保有足够的资源（包括人力资源、设备和技术知识）和妥善制定的程序处理日后的同类事故。规划及准备安全事故应急事后跟进图 5.2 安全事故处理的循环过程下文将详细阐述安全事故处理循环过程的三个程序。5.3安全事故处理的重要性Ref. No. : G545-2信息安全事故处理指南安全事故处理简介明确清晰的安全事故处理计划不仅对计算机系统的有效操作至关重要，而且还能影响政策局部门的整体运作。安全事故处理的主要目的如下：a. 确保具备处理事故所需的资源（包括人力资源、技术等）；b. 确保负责安全事故处理的各方明确了解，在发生安全事故时须按预定程序进行的工作；c. 确保事故应急有条不紊并具效益，而且能够迅速恢复受损系统；d. 确保事故应急工作已获确认和互相配合；e. 将泄漏数据、破坏数据和系统中断等事故可能造成的影响尽量减少；f.在政府内部及与外界分享事故应急经验；g. 防止受到进一步的攻击和破坏；以及h. 处理相关的法律问题。鉴于信息科技在政府内部迅速发展，所有政策局和部门都有必要制定一套安全事故处理计划，尤其是目前正使用下列计算机系统的政策局和部门：a.b.c.d.Ref. No. : G54与外部（例如互联网）连接的系统；处理敏感数据和资料的系统；关键任务系统；以及任何可因安全事故的发生而受重大不良影响的系统。5-3信息安全事故处理指南政府内部信息安全事故处理的组织架构6政府内部信息安全事故处理的组织架构下图所示为政府内部安全事故应急组织架构的通用参考模型。每个政策局部门宜成立一个信息安全事故应急小组，而政府信息安全事故应急办事处则集中统筹并支持各政策局部门内部的信息安全事故应急小组。各政策局部门的信息安全事故应急小组负责监督政策局部门内部特定信息科技系统、计算机服务或职能范围的事故处理程序。部门信息安全事故应急小组政府信息安全事故应急办事处香港电脑安全事故协调中心部门信息安全事故应急小组部门信息安全事故应急小组部门信息安全事故应急小组组长事故应急经理新闻主任部门信息安全事故应急小组部门信息科技系统经理图 6.1 参与安全事故处理的各方本章阐述信息安全事故处理的高层次组织架构和参与信息安全事故处理工作各方的职务和职责。信息安全事故应急小组及负责部门信息系统的人员，应根据政策局部门或相关系统的特殊业务需要和操作要求，制定详细的信息安全事故处理程序。政府信息安全事故应急办事处亦会制定其内部配合程序。6.1香港电脑保安事故协调中心信息科技、互联网访问及电子商务的使用量近年来大幅飙升，从而令网络入侵、计算机病毒攻击及计算机入侵有机可乘。事实上，近年来记录的信息安全事故数目成倍攀升。为了应付这些安全威胁，香港特区政府创新及科技基金拨款予香港生产力促进局以成立香港电脑保安事故协调中心。Ref. No. : G546-1信息安全事故处理指南政府内部信息安全事故处理的组织架构香港生产力促进局为香港电脑保安事故协调中心所订的目标是：a.b.c.d.e.成为香港计算机安全事故报告和应急的中心点；提高计算机安全意识，并推广国际准则和实务；协助改善计算机系统的安全，并防范与计算机安全相关的事故；为计算机安全事故的恢复行动提供协助和协调；以及与海外计算机紧急事故应急中心保持联系，以便互相合作和协调。作为计算机安全事故应急的一站式中心，香港电脑保安事故协调中心的主要职能如下：a. 通过专门的网站和其它适当的渠道，发出计算机安全警报和报告；b. 处理计算机安全事故报告，并为恢复行动提供协助；c. 通过中心的网站、信息安全简讯和报告发布与计算机安全相关的技术讯息和资料，并就安全事故的防范和入侵侦测工具作出建议；d. 举行讲座和工作坊等活动以提高计算机安全意识；e. 收集事故报告统计数据和报告摘要；以及f.与大专院校、计算机供货商、互联网服务提供商和其它计算机紧急事故应急中心合作，共同找出解决计算机安全事故的方法。政府信息安全事故应急办事处政府信息安全事故应急办事处（ GIRO）是为整个政府提供服务的组织，负责中央统筹及支援各个政策局部门内的信息安全事故应急小组，以处理信息安全事故。政府信息安全事故应急办事处的职能政府信息安全事故应急办事处主要有以下职能：a.b.c.d.就即将及已经发生的威胁，向部门信息科技安全主任发出安全警报；设立中央数据库，并监督政府内部对所有信息安全事故的处理；定期编制政府信息安全事故统计报告；充当中央协调办事处，以应付多点安全攻击（即不同的政府信息系统同时受攻击）；e. 在政府信息安全事故事宜上，充当香港电脑保安事故协调中心与政府之间的联络桥梁；以及f.促使政策局部门的信息安全事故应急小组与香港电脑保安事故协调中心，互相分享和交流信息安全事故处理的经验和数据。6.2.2政府信息安全事故应急办事处的结构政府信息安全事故应急办事处的核心成员包括来自下列政策局部门的代Ref. No. : G546-2信息安全事故处理指南表：政府内部信息安全事故处理的组织架构政府资讯科技总监办公室安全局香港警务处政府信息安全事故应急办事处由政府资讯科技总监办公室、保安局和香港警方代表组成。依据不同安全事故的性质，必要时可能会邀请个别政策局部门的信息安全事故应急小组成员和其它专家，为政府信息安全事故应急办事处的运作提供协助。政府资讯科技总监办公室内成立了一个常设办公室，负责为政府信息安全事故应急办事处提供秘书处和职能方面的支持，并于应付可能影响整个政府的信息安全事故时，担任各部门信息安全事故应急小组组长间的中心联络点，以收集信息安全事故报告和统筹应急行动。政府信息安全事故应急办事处常设办公室向各政策局部门提供的服务如下：就即将及已经发生的事故，向政策局部门发出安全警报；设立中央数据库，并监督政府内部对所有信息安全事故的处理；定期编制政府安全事故统计报告，作为各政策局及部门的参考资料；协调政策局部门报告的安全事故，并向香港电脑保安事故协调中心传达技术支持的要求；促使政策局部门及香港电脑保安事故协调中心，互相分享和交流安全事故处理的经验和数据；以及收集已报告的所有政府安全事故数据，定期为政府信息安全事故应急办事处编制统计资料和报告以供参考。各政策局和部门应向政府信息安全事故应急办事处常设办公处提供信息安全事故应急小组组长的联络资料，如资料有任何更改，应向常设办公室提供最新的资料，以确保信息有效传递。部门信息科技安全联络资料更新表见附录F。政府信息安全事故应急办事处在必要时可能成立特殊专责小组（例如在发生多点攻击时），就影响遍及多个政策局部门及或政府整体运作和稳定的安全事故，协调应急工作。6.3信息安全事故应急小组各政策局部门应成立信息安全事故应急小组。信息安全事故应急小组是各政策局部门内部，负责协调、传讯和采取安全事故处理行动的协调中心。信息安全事故应急小组的规模应按不同政策局部门计算机系统的规模和范围、系统的敏感程度以及安全事故对政策局部门的潜在影响，作出相应调整。虽然政府信息安全事故应急办事处负责集中统筹信息安全事故的报告，并为Ref. No. : G546-3信息安全事故处理指南政府内部信息安全事故处理的组织架构个别信息安全事故应急小组提供协调和咨询支持，但有关的信息安全事故应急小组，仍须在处理所在政策局部门的安全事故时，负责整体指挥和控制。.26.3.3信息安全事故应急小组的职能信息安全事故应急小组的主要职能包括：a. 整体监督和协调政策局部门内部所有信息科技系统的安全事故处理；b. 在报告安全事故方面，与政府信息安全事故应急办事处合作，以便集中记录和采取必要的跟进行动，例如报告警方，并寻求香港电脑保安事故协调中心提供进一步协助；c. 转发政府信息安全事故应急办事处就即将发生及已经发生的事故所发放的警报，给政策局部门内部负责有关工作的各方；以及d. 促进政策局部门内部，就安全事故处理和其它相关事务分享经验和交流信息。信息安全事故应急小组的结构信息安全事故应急小组是政策局部门内协调所有信息科技安全事故的中央联络点。政策局部门首长应从高层管理人员中挑选一名人员，担任信息安全事故应急小组组长。组长应有权任命信息安全事故应急小组的核心成员。在筹组信息安全事故应急小组时，部门信息科技安全主任应给予建议和支持，以协助信息安全事故应急小组组长为部门信息系统制定个别系统的特定安全政策和事故处理计划，并制定相关的后勤安排。部门信息科技安全主任还须确保所在政策局部门的所有信息系统，已遵守和履行部门整体信息科技安全政策的规定。虽然信息安全事故应急小组可根据政策局部门的不同计算机设备情况，决定小组成员的实际组合，但信息安全事故应急小组内也有一些必要的的关键职务，例如信息安全事故应急小组组长、事故应急经理和新闻主任等。依据各政策局部门计算机设备的规模和范围，这些职务可由多人或一人负责。下文将详述信息安全事故应急小组内各项职务及职能。信息安全事故应急小组成员的职责 组长组长的职责包括：a. 根据事故应急经理提供的事故报告及分析，就系统恢复、委聘外部机构及其所参与工作的程度，以及恢复后回复正常服务的后勤工作等关键事项作出决策；Ref. No. : G546-4信息安全事故处理指南政府内部信息安全事故处理的组织架构b. 因应事故对政策局部门业务运作的影响，在适当情况下激活部门灾难恢复程序；c. 代表管理层批核为事故处理程序投放的资源；d. 代表管理层批核就事故的立场所作的公众发布；e. 与政府信息安全事故应急办事处合作，协调处理事故报告及必要的跟进行动；以及f.在报告计算机系统的信息安全事故（特别是报告具有下列特点的信息安全事故）方面，与政府信息安全事故应急办事处常设办公室合作：直接提供公共服务的系统，而且系统故障可能导致服务中断（例如向政府互联网网站发出的拒绝服务攻击）处理敏感数据和资料的系统支持关键任务操作的系统一旦发生安全事故，可能造成重大不良影响的系统，例如因网站遭涂改致使政府形象受损 事故应急经理事故应急经理负责监察政策局部门内部的所有安全事故处理程序，并为处理事故程序寻求管理层提供资源和支持。事故应急经理的职责包括：a. 整体管理及监督政策局部门内部与安全事故处理相关的所有事务；b. 在接获影响部门信息系统的安全事故报告后，通知信息安全事故应急小组组长；c. 向信息安全事故应急小组组长汇报安全事故处理程序的进展情况；d. 在处理信息事故时与警方、服务承办商、支持服务提供商及安全顾问等外部机构和人士协调；以及e. 为事故处理工作，向信息安全事故应急小组组长寻求提供所需的资源和支持。 新闻主任新闻主任负责回复公众有关政策局部门安全事故的查询。新闻主任还负责整体控制和监督向公众（包括传媒）发布信息的工作。6.4部门信息系统各部门信息系统应拨出特定的资源来应付个别信息科技系统、计算机服务或职能范围可能发生的安全事故，以便在事故应急上达到更佳的协调及支持。各信息系统服务事故应急小组的规模和结构依据系统或服务的范围和性质而有所区别。例如，如果是小型、非关键的内部系