网络安全事件应急处置预案

1、网络安全事件应急处置预案、总则1、目的为了规范本单位应急响应工作内容和工作流程，提高自身的应急 响应能力，完善应急响应机制，确保信息系统的安全和业务的连续性。2、基本原则a）坚持预防为主提高本单位的信息安全防护意识和水平，加强信息系统安全体系 建设，按照信息系统建设运行的特点和规律积极做好日常安全工作, 开展安全教育和培训工作，建立完善的安全管理、监督和审查制度, 提高各系统应对突发信息安全事件的能力。b）提高快速反应能力建立信息安全预警和事件快速反应机制，建立高效的事件汇报渠 道，强化人力、物力、财力储备，增强应急处理能力。保证对信息安 全事件做到早发现、早报告、早处理、早恢复等环节的紧密衔

2、接，一 旦出现影响信息系统的安全事件，快速反应，及时准确处置。c）加强安全监管在网络安全监控系统的基础上，建立完善的信息系统安全监控和 管理机制，对业务系统的网络状况进行持续和重点监控，及时发现信 息安全隐患和事件迹象，进行安全预警并采取针对性的应对措施。d）责任到人、制度保障坚持统一领导、分工负责、及时预警、协作配合、快速处理、确 保恢复的原则。明确信息安全应急响应工作的角色和职责，保证各项 工作责任到人，建立应急响应各项工作的处理流程，实现应急响应工 作的规范化、制度化和流程化。3、适用范围本预案适用于本单位信息安全事件的应急响应工作。4、相关专项预案WEBSHELL应急处置预案钓鱼邮件应

3、急处置预案O O O O O O等其他专项应急处置预案5、发布与生效本预案于2020年8月16日起正式发布并生效。二、组织及分工1、网络与信息安全领导小组组长：副组长：成员：领导小组在应急响应工作中的主要职责：a）负责审核和批准【单位名称】网络与信息安全应急响应总体规 划、重大网络与信息安全事件报告；b）负责统筹规划【单位名称】网络与信息安全应急基础设施建设;c）对重大网络与信息安全事件的应急响应工作进行宏观决策和应急指挥；d）协调重大网络与信息安全事件的调查处理；e）必要时接受专家顾问组的咨询服务。2、网络与信息安全管理小组组长：副组长：成员：管理小组在应急响应工作中的主要职责：a）组建并调

4、整应急响应工作组；b）定期组织网络与信息系统的风险评估和整改；c）组织制订应急响应相关预案并定期演练；d）编制重大网络与信息安全事件报告；e）组织各项应急准备工作；f）组织对本系统发生的重大网络与信息安全事件的调查、通报工 作；g）组织和协调各种应急资源；h）管理本系统范围内的应急响应工作；i）与跨部门应急协调机构进行沟通。3、应急响应工作小组应急响应工作组由综合工作小组、业务响应工作小组和技术响应 工作小组组成，负责信息安全事件的应急响应具体工作，应急响应工 作组成员主要包括：1）综合工作小组：组长：成员：综合工作小组主要职责：a）负责应急行动的后勤供应，包括车辆安排、人员食宿安排等；b）负

5、责应急响应工作中的会议组织、资金保障和饮食、设备等物 资供应c）负责通信联络和信息的发布工作；d）负责组织保安、保卫工作；e）负责技术工作小组和业务工作小组之间的协调工作；f）负责向网络与信息安全领导小组及信安办汇报事件处理进展情 况；g）向小组成员传达上级领导指示精神。2）业务响应工作小组：组长：成员：业务响应工作小组主要职责：a）参与应急响应处理决策过程，从业务方面考虑，为处理提供建 议；b）根据应急响应工作的需要，依据相应的专项预案，调整业务安 排；c）根据应急响应工作的需要，根据相应的专项预案，组织小组实 施业务的中断与恢复；d）在应急响应工作完成后，编写应急响应业务工作报告。3）技术

6、响应工作小组：组长：成员：技术响应工作小组主要职责：a）参与应急响应处理决策过程，从技术方面考虑，为处理提供建 议；b）根据应急响应工作的需要，依据相应的专项预案，组织小组施 行技术作业；c）负责向网络与信息安全领导小组及信安办汇报事件技术处理 进展情况；d）对于涉及到业务的调整、中断和恢复的技术作业，负责与业务 小组进行沟通；e）在应急响应工作完成后，编写应急响应技术工作报告，对系统 对预案提出整改意见。三、应急预案基本流程任何一个应急预案都必须首先在做好响应前准备阶段工作的基 础上，没有充分的准备，应急工作则无从谈起。总体的应急预案的基本流程主要由：1）准备阶段2）监测及事件分析阶段3）事

7、件处理阶段4）结束响应阶段5）总结及预警阶段这样几个阶段组成1、准备阶段包括了人员、组织的准备以及技术的准备，技术准备主要是要建 立监控管理的技术体系和平台（包括各类SIEM、全流量设备、态势 感知、HIDS、EDR等设备），为事件发生后的技术分析，及时的通告 和响应等提供条件和保障。同时，尽可能地在事前做好相应的安全防 范工作，准备好进行应急处理的技术工具等内容。2、监测及事件分析阶段监测人员通过手动监测方式以及在准备阶段建设好的安全运行 管理中心的监测方式，监测是否有异常现象的发生；当发生异常情况 时，并根据异常的性质与影响，决定是否向相关人员进行报告。上报 方式除了通常的电话外，还可以利

8、用安全运行管理中心平台中的告警 机制，根据告警级别的不同，通过工单、邮件、短信的方式上报和通 知到相关人员。上报到应急响应管理小组后，对异常情况进行分析，判断是否事 件类型，识别攻击的性质以及攻击强度，同时根据事件影响决定是否 报告网络与信息安全领导小组；在必要的时候，向公安机关报案以获 得帮助；3、事件处理阶段根据事件的不同，采取不同的处理方案，启用相应的专题应急预 案，对于常见的、主要的事件类型，需制定XXX安全事件专题应急 处理预案。图片该阶段中的技术处理主要为抑制事件的影响，并进行根除。4、结束响应阶段网络与信息安全工作小组根据之前判断的攻击信息，采取必要的 技术手段控制攻击行为、恢复

9、系统服务并对攻击的来源进行追踪；必 要时向公安机关通报相关信息，对攻击者进行溯源分析。5、总结汇报阶段当攻击事件结束后，系统恢复正常，由网络与信息安全管理小组 对整个事件进行总结分析，向网络与信息安全领导小组进行汇报；网 络与信息安全领导小组组织相关人员就本次事件总结经验教训，同时 从中总结预警方案和内容，一方面进一步改进和完善应急响应体系, 另一方面在安全运行管理平台上，适时发布总结后的预警信息，从而 逐渐完善信息安全的整体安全保障能力。四、保障措施1、演练及维护原则上每年组织一次应急演练，以提高处理应急事件的能力, 检验应急预案的合理性、应急保障队伍和所有相关人员的专业素质以 及管理组织的

10、有效性。应急响应演练按如下步骤进行：1）由网络与信息安全领导小组确定应急响应演练的目标和应急响应演练的范围；2）制定应急响应演练的方案；3）调配应急响应演练所需的各项资源，并协调应急响应演练过程 中涉及的部门和单位；4）对应急演练进行评估，并向领导小组报告演练结果；5）网络与信息安全领导小组总结经验，根据演练结果对应急总体 预案以及专题预案进行更新，并对应急工作整改。2、制度保障应急保障工作必须配备相应组织，建立值班机制，设立安全运营 中心，使事件发生后在最快的时间内就能够有响应。同时，围绕安全 运营，需建立一套较为完善的制度，以保障应急工作的开展。其中包 括XXXX1制度XXXX2制度3、经费保障信息安全领导小组应根据需要每年预算必要的专项应急经费，用 于预案、演练、增补必要的安全设备，及建立必要的应急保障措施等。4、工具与设备应急保障相关人员应当配备应急预案中涉及的相关工具、软件, 确保工具软件的来源，并能够正常使用，以保证应急预案的正常实施。 同时，从长远角度考虑，应当建立一个面向应急、利于应急的技术平台，这是应急保障的重要内容。因此，在应急保障的工具与设备方面， 应当配备以下内容：1）基础平台：