应急预案子预案模板v1.0

1、应急预案子预案文件编号：版本号/修订号：1.0第 24 页 共 24 页应急预案子预案2014年6月文档密级普通 敏感þ 机密文档审批编制人郁东风编制时间2014年11月26日审核人陈捷审核时间2014年12月23日批准人侯林批准时间2014年12月25日发布范围全部生效时间2015年1月1日版本修订记录版本修订号版本日期修改修改章节修改记录1.02014年12月25日新建目 录1 XXXX业务管理系统应急预案概述41.1 目的41.2 应急预案子预案管理过程41.3 应急操作类型42 XXXX业务管理系统业务组成结构53 应急预案执行组织结构与角色职责93.1 组织结构说明93.2

2、 角色与职责描述93.3 小组联系人员104 系统故障点登记册114.1 故障点登记册介绍114.2 故障点分析115.1 预案启动条件135.2 XXXX业务管理系统应急预案执行流程135.3 XXXX业务管理系统应急预案执行流程图145.4 XXXX业务管理系统应急预案流程各步骤说明166 业务连续性操作（BC）规程186.1 通知和启动规程186.2 业务连续性操作规程197 业务恢复性操作（BR）规程197.1 通知和启动规程197.2 业务恢复性操作规程208 附件211 XXXX业务管理系统应急预案概述1.1 目的XXXX业务管理系统应急预案建设的目的是确保xxxXXXX业务管理系

3、统在发生突发事件后仍能够稳定和持续的运行，并且可以快速恢复，是一份面向应急事件处理操作的应急预案子预案，包括组织结构介绍、应急流程说明、事件分析与应对。XXXX业务管理系统应急预案主要用于应急预案负责人明确应急流程、应急操作、指导现场操作人员。XXXX业务管理系统应急预案中的故障点与分析为应急操作手册提供了指导性框架。1.2 应急预案子预案管理过程应急预案子预案管理包含了对XXXX业务管理系统的与故障点进行识别、控制和消减的内容广泛的活动，识别威胁和缺陷以便可以部署适当的控制手段来防止事件的发生或限制事件的影响。这些安全控制保护IT系统免受以下三种威胁：灾害性如飓风、龙卷风、洪水和火灾；人为的

4、如操作员错误、破坏、植入有害代码和恐怖袭击；环境的如设备故障、软件错误、电信网络中断和电力故障。1.3 应急操作类型突发事件发生后为了维持和恢复XXXX业务管理系统所进行的范围广泛的活动，本预案将会用到以下两种操作类型。Ø 业务连续性操作（Business Continue）：关注在中断期间和之后维持信息系统的业务功能。BC可以专门为某个特定的业务系统处理编写也可以涉及到所有关键的业务处理，BC的目标就是快速恢复业务系统的正常运行。Ø 业务恢复操作(Business Recovery)：BR涉及到在紧急事件后对业务处理的恢复，或是业务系统故障后无法连续性操作（BC）后进行快

5、速的恢复，但和BC不同，它在整个紧急事件或中断过程中缺乏确保关键处理连续性的规程。2 XXXX业务管理系统业务组成结构图2-1XXXX业务管理系统业务视图XXXX业务网信息系统由服务器系统、基础网络系统、安全防护系统、存储系统四大子系统组成，服务器直连服务器区交换机，服务器区交换机与服务器区防火墙相连，服务器区防火墙与核心交换机相连，核心交换机下连接3台机房汇聚交换机（2台负责院外汇聚、1台负责院内汇聚）。所有办公用户通过这3台汇聚交换机来访问办公平台办公网信息系统。总类分类设备型号IP地址端口信息系统配置冗余备份备件 基础设施UPS供电系统APC2无空调4无网络设备服务器交换机无有有无有有核

6、心交换机2有无2有无服务器与应用系统OCS服务器有有统一授权服务器2有有XXXX业务管理系统服务器有有办公平台数据库有有基础应用主AD、主DNS2有有副AD、副DNS2有有存储SAN交换机无备份系统无无磁带机无安全设备服务器区防火墙2有无2有无Ø 应急事件优先级定义按照网络与信息安全事件的性质、严重程度、可控性和影响范围，将办公网信息系统应急事件分为四级，即I级（特别重大）、级（重大）、级（较大）、级（一般）。信息系统资源分类定义恢复优先级级别关键信息系统资源影响全网日常业务的资源I级（最高优先级）次关键信息系统资源影响多三个或以上单位但非全网的业务级（中高优先级）局部关键信息系统资

7、源影响三个或单个单位业务级（高优先级）普通信息系统资源影响小范围用户级（低优先级）表3-2 信息系统资源应急事件等级定义按照上述定义，办公平台故障应急事件级别定义为：I级（最高优先级）出现此故障必须立即响应，以最快速度恢复。（按照本单位实际情况进行本业务系统事件定级）3 应急预案执行组织结构与角色职责图4-1组织结构图3.1 组织结构说明组织结构为执行应急预案的组织提供了明确的报告形式，并且明确了角色和职责，应急预案负责人必须指定合适的团队来实施策略。每一个团队都应该得到培训并时刻准备在中断事件发生需要启动计划时展开工作。这些团队将负责对事件进行响应、对功能进行恢复和使系统回到正常运行状态，恢

8、复人员应该被安排到其中的一个团队中。这样，他们就需要明确了解团队在恢复工作中的目标、他们要执行的每一个步骤以及他们的团队与其它团队的关系。3.2 角色与职责描述Ø 应急响应小组组长：决定是否启动应急预案。Ø 应急响应调度负责人（小组副组长）：负责调度执行应急处理时所需资源。Ø 分析小组：确定故障事件等级，对故障进行快速定位，协调各个恢复小组之间工作，并检验应急结果。Ø 网络恢复小组：负责网络相关的连续性操作和恢复性操作，并配合分析小组进行故障分析和定位。Ø 服务器&存储恢复小组：负责服务器存储相关的连续性操作和恢复性操作，并配合分析小组

9、进行故障分析和定位。Ø 安全事件恢复小组：负责防御恶意攻击，处理病毒损害等各种安全类事件，安全系统和安全设备相关的连续性操作和恢复性操作，并配合分析小组进行故障分析和定位。Ø 应用系统恢复小组：负责应用系统相关的连续性操作和恢复性操作，并配合分析小组进行故障分析和定位。Ø 环境设施恢复小组：负责环境设施相关的连续性操作和恢复性操作，包括空调、电力基础、消防系统、水利设施、并配合分析小组进行故障分析和定位。3.3 小组联系人员小组人员名单所属单位联系电话邮件应急响应小组组长应急响应调度负责人（副组长）分析小组应用系统恢复小组网络恢复小组服务器&存储恢复小组安

10、全恢复小组环境设施恢复小组4 系统故障点登记册4.1 故障点登记册介绍故障点登记册根据XXXX业务管理系统结构进行分析，对于办公平台组成系统中的可能会发生的故障进行识别与分析并且制定应对措施，登记册中所列出的项均是已知，即可预计且有应对措施的，应对措施分为连续性操作和恢复性操作，为每一个已确定的故障点制定一个识别号（ID），识别号便于现场恢复人员在应急操作手册中搜索与故障点相匹配的操作信息，例如：确定故障点ID为TW1后，可以从故障点登记册中的应对措施得知，此故障点应进行业务连续性操作手册，便可指导现场恢复人员查看应急操作手册中ID为TW1的具体操作步骤。故障点ID定义：T(*)xy：(*):

11、代表故障点类型 ET-基础设施、SR-服务器、AP-应用系统、NT-网络设备、SE-存储设备、IA-安全事件x:代表应急事件级别1-I级、2-II级、3-III级、4-IV级y:代表一般识别号，无特殊含义4.2 故障点分析故障分类故障点故障分析识别号/备注·基础设施供电中断机房电源中断、UPS故障造成全网用户对XXXX业务管理系统访问异常TET11空调故障温度、湿度异常造成全网用户对XXXX业务管理系统访问异常TET3网络服务器交换机故障服务器交换机故障造成全网用户对XXXX业务管理系统访问异常网络应急预案子预案核心交换机故障2台核心交换机同时故障造成全网用户对XXXX业务管理系统访

12、问异常网络应急预案子预案服务器区防火墙故障服务器区防火墙故障造成全网用户对XXXX业务管理系统访问异常网络应急预案子预案应用系统IIS服务故障XXXX业务管理系统IIS服务故障造成全网用户对XXXX业务管理系统访问异常TSR1数据库服务故障数据库服务故障造成全网用户对XXXX业务管理系统访问异常TSR2基础应用AD故障2台AD故障造成全网用户对XXXX业务管理系统访问异常TMD2DNS服务故障2台DNS服务故障造成全网用户对XXXX业务管理系统访问异常TMD2服务器服务器硬件故障服务器硬件故障造成全网用户对XXXX业务管理系统访问异常操作系统异常操作系统异常造成全网用户对XXXX业务管理系统访

13、问异常安全事件网站挂马产生访问用户终端安全事件数据篡改影响XXXX业务管理系统数据完整性TIA1病毒爆发产生服务器区安全事件TIA3数据泄露重要信息外泄TIA45 XXXX业务管理系统应急预案执行流程5.1 预案启动条件当某单位XXXX业务管理系统发生I级（特别重大）和II级（重大）事件时，启动XXXX业务管理系统应急预案。5.2 XXXX业务管理系统应急预案执行流程Ø 事件发生阶段通过监控系统、电话报修、巡检等方式得知XXXX业务管理系统发生故障。分析小组对XXXX业务管理系统故障进行第一时间的分析，根据事件的紧急度、重要度和影响范围确定事件等级。确认后，由分析小组负责人向应急响应

14、调度负责人进行汇报。Ø 应急启动阶段应急响应调度负责人确认事件等级，并向应急响应指挥小组组长申请启动应急预案。应急响应指挥小组组长判断是否启动应急预案。正式启动应急预案后，由分析小组联系各个恢复小组对故障进行快速定位，并选择执行相应的业务连续性操作和业务恢复性操作。Ø 业务连续性操作阶段选择业务连续性操作后，由分析小组根据对故障的判断选择相应的业务连续性操作，通知相应的恢复小组执行，并协调各个小组之间的工作。相关恢复小组根据应急操作手册进行业务连续性操作，完成后对执行结果进行分析和验证，并将结果反馈给分析小组。分析小组确认业务连续性操作完成情况，确认已完成业务连续性操作并且

15、业务应用已恢复后，由应急响应调度负责人向应急响应指挥小组组长汇报阶段成果，并结束业务连续性操作阶段。Ø 业务恢复性操作阶段选择业务恢复性操作后，由分析小组根据对故障的判断选择相应的业务恢复性操作，通知相应的恢复小组执行，并协调各个小组之间的工作。相关恢复小组根据应急操作手册进行业务恢复性操作，完成后对执行结果进行分析和验证，并将结果反馈给分析小组。分析小组确认业务恢复性操作完成情况，确认已完成业务恢复性操作并且业务应用已恢复后，由应急响应调度负责人向应急响应指挥小组组长汇报阶段成果，并结束业务恢复性操作阶段。Ø 应急结束阶段完成所有应急操作并确认系统运行正常之后，对此次应急

16、过程进行总结，编写和提交事故处理报告，将此应急过程得到的经验教训记录归档录入知识库，更新和完善应急预案，并针对相关漏洞制定相应的防范措施。5.3 XXXX业务管理系统应急预案执行流程图5.4 XXXX业务管理系统应急预案流程各步骤说明序号演练阶段活动名称责任人流程说明1事件发生阶段故障发生监控系统、电话报修、巡检等方式发现故障。2事件分析分析小组对事件进行定级，并进行上报。3应急处理阶段申请启动应急预案应急响应调度负责人应急响应调度负责人接到后，确认事件级别，并向应急响应小组组长申请启动应急预案。4审批申请应急响应小组组长申请通过，立即执行应急预案；申请未通过，重新由分析小组对事件进行定级。5

17、启动应急预案应急响应调度负责人正是启动应急预案，并协调各个部门相关应急人员。6故障定位分析小组各恢复小组故障快速定位，并选择执行相应业务连续性操作和业务恢复性操作。7业务连续性操作阶段选择业务连续性操作分析小组选择相应的业务连续性操作，并向相应的恢复小组分配应急工作。8执行业务连续性操作各恢复小组由各个相应的恢复小组根据应急操作手册，执行业务连续性操作。9执行结果分析各恢复小组完成业务连续性操作的应急操作后，对结果进行分析和验证，并将结果反馈给分析小组。10操作结果验证应急响应调度负责人分析小组验证操作结果，判断系统是否恢复。不通过，重新选择并进行业务连续性操作；通过，向应急响应小组组长汇报结

18、果。11阶段汇报应急响应小组组长完成阶段汇报，业务连续性操作阶段结束。9业务恢复性操作阶段选择业务恢复性操作分析小组选择相应的业务恢复性操作，并向相应的恢复小组分配应急工作。10执行业务恢复性操作各恢复小组由各个相应的恢复小组根据应急操作手册，执行业务恢复性操作。11执行结果分析各恢复小组完成业务恢复性操作的应急操作后，对结果进行分析和验证，并将结果反馈给分析小组。12操作结果验证应急响应调度负责人分析小组验证操作结果，判断系统是否恢复。不通过，重新选择并进行业务恢复性操作；通过，向应急响应小组组长汇报结果。13阶段汇报应急响应小组组长完成阶段汇报，业务恢复性操作阶段结束。14应急总结阶段完成

19、事件处理报告应急响应小组由相关人员总结、编写并提交事件处理报告15更新相关预防措施及应急预案应急响应小组总结故障产生原因和应急过程中的问题，提出相应的预防措施，更新应急预案。16知识库录入应急响应小组将本次应急响应全过程录入知识库。6 业务连续性操作（BC）规程此规程作为XXXX业务管理系统应急预案执行流程的子流程，适用于从故障感知阶段到最后应急结束阶段6.1 通知和启动规程根据分析小组对XXXX业务管理系统或XXXX业务管理系统中的组成部分出现的相关故障点进行分析后，分析小组负责人应将实际出现的故障点定位到XXXX业务管理系统应急预案上的故障点登记册中所匹配的故障点上，并向应急响应小组提交进

20、行业务连续性操作的建议。任何情况下，在执行通知和启动规程前应急响应小组的最优先任务是保护人员的健康和安全（如遇自然灾害）。具体通知顺序如下：Ø 最初的反应是分析小组人员将监控系统中收到的监控信息提交分析小组负责人，所有已知的信息（这些信息来自基于日常维护的监控系统）必须被传递给分析小组负责人。Ø 分析小组负责人将分析数据提交给各个小组，由分析小组协调各个小组工程师协助进行业务分析。Ø 分析小组根据XXXX业务管理系统组成结构进行分层排查，协调各小组工程师对每一个XXXX业务管理系统的相关独立部分进行排查，排查动作以查看为主，在发现相关故障时不得立即进行调整动作，必

21、须记录所有查看结果，并将其发至分析小组，最终结果由分析小组负责人决定，分析小组负责人将故障点登记册上的故障点识别号告知分析小组负责人。Ø 分析小组负责人决定进行业务连续性操作后，立即通知各个恢复小组进行业务连续性操作以下一个或多个标准得到满足将启动业务连续性操作：1. 监控系统显示XXXX业务管理系统超时，超过5秒2. 不同网段超过三台或以上终端无法访问XXXX业务管理系统3. XXXX业务管理系统受到恶劣性质攻击（网页木马，网页挂有恶劣性质语言）6.2 业务连续性操作规程提供各个恢复小组在执行XXXX业务管理系统应急预案业务连续性操作时的规程。此规程是为了帮助各恢复小组在执行业务连

22、续性操作时能快速、有效的完成，尽最大可能避免次生风险的发生。Ø 操作目标 ：最快时间内使XXXX业务管理系统重新上线，作且仅作与XXXX业务管理系统故障点相关操作，严格按照应急操作手册的业务连续性操作步骤进行操作，不可有任何形式的镀金操作。Ø 具体操作规程：接到指令后，各个恢复小组按照应急计划负责人下达的指令并对应应急操作手册中的操作项进行操作，进行操作时必须对任何操作进行记录，以便操作不当后可以及时回滚，每次操作完成后应及时验证，如根据应急操作手册中操作项进行操作后仍然无法完成业务连续性，可根据实际情况进行判断并告知分析小组负责人，在分析小组负责人批准的情况下可以按实际情

23、况进行应急操作手册之外的操作，同时应该做好操作记录，以便任务完成后对应急操作手册进行修改。7 业务恢复性操作（BR）规程此规程作为XXXX业务管理系统应急预案执行流程的子流程，适用于从故障感知阶段到最后应急结束阶段7.1 通知和启动规程根据分析小组对XXXX业务管理系统或XXXX业务管理系统中的组成部分出现的相关故障点进行分析后，分析小组负责人应将实际出现的故障点定位到XXXX业务管理系统应急预案上的故障点登记册中所匹配的故障点上，并向应急响应小组提交进行业务恢复性操作的建议。任何情况下，在执行通知和启动规程前应急响应小组的最优先任务是保护人员的健康和安全（如遇自然灾害）。具体通知顺序如下：Ø 最初的反应是分析小组人员将监控系统中收到的监控信息提交分析小组负责人，所有已知的信息（这些信息来自基于日常维护的监控系统）必须被传递给分析小组负责人。Ø 分析小组负责人将分析数据提交给各个小组，由分析小组协调各个小组工程师协助进行业务分析。