上海市网络安全应急预案

上海市网络安全应急预案

二、组织体系与职责

2.1组织架构

2.1.1领导机构

上海市网络安全应急指挥中心（以下简称“市网安应急中心”）作为最高决策机构，由市委网信办牵头，市发改委、市经信委、市公安局、市通管局等相关部门负责人组成。其主要职责包括：审定应急预案、启动或终止应急响应、调配全市应急资源、协调跨部门重大网络安全事件处置。

2.1.2办事机构

市网安应急中心下设办公室，设在市委网信办，承担日常协调工作。办公室设主任1名（由市委网信办分管领导兼任），副主任若干，成员包括各成员单位联络员。具体职责包括：监测预警信息汇总、应急值守、预案修订、演练组织、信息发布协调。

2.1.3专项工作组

根据事件类型设立四个专项工作组：

（1）监测预警组：由市通管局牵头，运营商、重点企业技术团队组成，负责网络安全威胁监测、漏洞扫描、风险研判。

（2）应急处置组：由市公安局牵头，市经信委、市金融局配合，负责事件溯源、攻击阻断、证据固定、数据恢复。

（3）舆情应对组：由市委宣传部牵头，市网信办、市公安局参与，负责涉网舆情监测、信息发布、舆论引导。

（4）恢复重建组：由市发改委牵头，市经信委、市大数据中心参与，负责系统修复、业务恢复、安全加固。

2.2职责分工

2.2.1市委网信办

统筹协调全市网络安全应急工作；组织预案编制与修订；指导各单位应急体系建设；协调重大事件跨部门处置；组织应急演练与培训。

2.2.2市公安局

负责网络安全事件违法犯罪侦查；依法采取技术措施阻断攻击；协调数据恢复与系统修复；提供电子物证支持；指导重点单位安全防护。

2.2.3市通管局

组织基础电信企业开展网络监测；协调运营商实施流量调度；保障应急通信链路畅通；指导IDC、云服务商安全防护。

2.2.4市经信委

协调工业控制系统安全防护；指导关键信息基础设施运营单位应急准备；组织工业领域安全事件处置；协调应急物资供应。

2.2.5市大数据中心

负责政务云平台安全监测；协调政务数据灾备与恢复；提供应急技术支持；指导各区政务系统安全建设。

2.2.6区级应急机构

各区参照市级架构设立区网安应急中心，负责本行政区域内网络安全事件处置、信息上报、资源调配，并配合市级工作组开展联动响应。

2.3协同机制

2.3.1信息共享机制

建立市级网络安全信息共享平台，整合公安、通管、金融、能源等12个重点领域监测数据。各单位每日报送威胁情报，重大事件实时共享，实现“监测-预警-处置”闭环管理。

2.3.2资源调配机制

设立市级网络安全应急资源库，包含专家团队、技术装备、备份系统等资源。建立“分级响应、就近调配”原则，Ⅰ级响应由市网安应急中心直接调用资源，Ⅱ级响应由牵头部门协调调用。

2.3.3跨区域协作机制

与长三角沪苏浙皖建立区域应急协作联盟，签订《长三角网络安全应急联动协议》。内容包括：威胁情报互通、专家资源共享、联合演练、事件协同处置。

2.3.4军民融合机制

依托上海军民融合网络安全研究院，整合军工单位技术力量，建立“军地联合实验室”，承担国家级重大事件技术支援任务。

2.4专家支撑体系

2.4.1专家库组建

遴选网络安全、法律、舆情等领域专家50名，组建市级网络安全应急专家库。专家需具备10年以上从业经验，涵盖密码学、工控安全、数据合规等12个细分方向。

2.4.2专家职责

（1）参与预案评审与修订；

（2）提供重大事件处置技术方案；

（3）开展应急培训与演练评估；

（4）研究网络安全前沿技术风险。

2.4.3动态管理机制

专家库每两年更新一次，采用“退出+增补”模式。对年度参与应急工作少于3次的专家自动退出，根据年度需求增补新专家。

2.5应急值守体系

2.5.1市级值守

市网安应急中心实行7×24小时双人双岗值守制度，配备应急指挥车、卫星通信设备，确保极端情况下指挥畅通。

2.5.2单位值守

重点单位（如金融、能源、医疗）建立专职应急团队，实行三级值班：

（1）一级值班：7×24小时现场值守；

（2）二级值班：8小时轮班+16小时待命；

（3）三级值班：工作日坐班+周末待命。

2.5.3值守内容

包括：监测系统运行状态、核查预警信息、记录事件日志、启动初步响应、上报处置进展。

2.6责任追究机制

2.6.1追责情形

对未履行监测预警职责、迟报瞒报事件、处置不力导致损失扩大的单位或个人，依规依纪追责。

2.6.2追责程序

由市纪委监委、市委网信办联合调查组开展调查，形成《责任认定报告》，按干部管理权限处理。

2.6.3免责情形

符合以下条件之一可免责：

（1）已按预案采取合理措施仍无法避免事件发生；

（2）及时上报并全力处置，最大限度减少损失；

（3）因不可抗力（如自然灾害）导致事件发生。

三、监测预警与信息报告

3.1监测机制

3.1.1日常监测体系

上海市建立覆盖全市的网络安全监测网络，整合公安、通管、金融、能源等12个重点领域的监测资源。基础电信运营商部署流量监测设备，实时捕获异常访问行为；政务云平台通过日志分析系统监测异常操作；关键信息基础设施运营单位部署入侵检测系统，实时扫描漏洞和攻击行为。监测系统采用分级部署原则，市级平台汇总分析数据，区级平台负责本区域监测，形成“市-区-单位”三级监测网络。

3.1.2专项监测措施

针对不同领域特点实施差异化监测：金融领域重点监测交易异常、账户盗用；能源领域监测工业控制系统指令篡改；医疗领域监测患者数据非法访问。监测工具包括行为分析系统、威胁情报平台、漏洞扫描器等，每日生成监测报告，每周开展风险研判。

3.1.3动态监测要求

监测系统需7×24小时运行，每15分钟自动扫描一次核心系统。发现可疑行为时，系统自动触发告警并推送至值班人员终端。重大活动期间启动加密监测模式，增加扫描频次至每5分钟一次，并启用备用监测链路确保数据连续性。

3.2预警分级

3.2.1预警等级划分

根据事件危害程度将预警分为四级：

（1）蓝色预警（一般）：局部系统异常，影响单一单位；

（2）黄色预警（较重）：多个系统异常，可能蔓延；

（3）橙色预警（严重）：关键业务中断，数据泄露风险；

（4）红色预警（特别严重）：全市性瘫痪，大规模数据泄露。

3.2.2预警触发条件

蓝色预警：单一系统连续3次异常登录尝试；

黄色预警：同一IP在10分钟内攻击5个不同系统；

橙色预警：核心数据库访问量突增300%；

红色预警：全市政务系统同时出现异常访问。

3.2.3预警发布流程

监测发现异常后，值班人员30分钟内完成初步核实，确认达到预警标准后，由市网安应急中心办公室分级发布：蓝色预警由值班组长签发，黄色预警由办公室主任签发，橙色预警由分管副主任签发，红色预警由主任签报市委网信办批准后发布。预警信息通过短信、政务平台、广播系统三渠道同步推送。

3.3信息报告

3.3.1报告主体

实行“首报负责制”，最先发现事件的单位为报告主体。监测系统自动触发的异常由运维单位报告；用户举报的由受理单位报告；上级部门通报的由接收单位报告。

3.3.2报告时限

蓝色预警事件：2小时内书面报告；

黄色预警事件：1小时内口头报告，4小时内书面报告；

橙色预警事件：30分钟内口头报告，2小时内书面报告；

红色预警事件：立即口头报告，1小时内书面报告。

3.3.3报告内容

报告需包含事件类型、发生时间、影响范围、初步原因、已采取措施、预计损失等要素。重大事件需附系统截图、日志记录等原始证据。书面报告采用统一模板，由单位负责人签字并加盖公章。

3.4信息共享

3.4.1共享平台建设

搭建市级网络安全信息共享平台，整合公安“净网行动”数据、通管局“威胁情报库”、金融“反欺诈系统”等资源。平台采用分级授权机制，不同级别用户获取相应权限数据。

3.4.2共享内容范围

共享内容包括：漏洞信息、攻击手法、恶意IP地址、处置经验等敏感信息需脱敏处理；事件处置进展、预警信息、专家建议等实时共享；技术标准、防护方案等定期更新。

3.4.3共享安全保障

信息传输采用加密通道，共享平台通过等保三级认证。建立数据使用审计制度，每季度检查共享行为。对违规泄露信息的单位，暂停其共享权限并追究责任。

3.5协同联动

3.5.1跨部门协同

建立“监测-预警-处置”闭环机制：监测组发现异常后，立即通报处置组；处置组启动溯源分析，同步告知舆情组准备应对；舆情组根据事件等级制定发布策略。重大事件启动“多部门会商室”，通过视频会议实时协同。

3.5.2区域协同机制

与长三角地区建立“1小时应急圈”，共享沪苏浙皖监测数据。发生跨区域攻击时，由最先发现地牵头处置，其他地区配合阻断攻击路径。每年开展一次区域联合演练，检验协同效能。

3.5.3军地协同机制

依托上海军民融合网络安全研究院，建立军地联合监测中心。军方提供国家级威胁情报，地方提供民用系统监测数据，实现“军地互补”。重大事件时，军方技术团队可在2小时内进驻现场支援。

3.6应急演练

3.6.1演练类型

开展三类演练：桌面推演（每年2次）、实战演练（每季度1次）、专项演练（每年1次）。桌面推演模拟预警发布流程；实战演练模拟完整处置链条；专项演练针对勒索病毒、APT攻击等特定威胁。

3.6.2演练评估

演练后48小时内形成评估报告，重点检验监测时效、预警准确性、报告完整性、协同有效性。评估结果纳入年度应急工作考核，对发现的问题限期整改。

3.6.3演练改进

根据演练结果优化监测规则，调整预警阈值，完善报告模板。2023年演练后，将数据库异常访问预警阈值从500%调整为300%，使预警提前15分钟触发。

四、应急响应与处置

4.1响应分级

4.1.1分级标准

根据事件性质、影响范围和危害程度，将应急响应分为四级：

（1）Ⅰ级响应：特别重大事件，包括全市关键信息基础设施瘫痪、大规模数据泄露、国家级重大活动期间网络安全事件；

（2）Ⅱ级响应：重大事件，涉及多个区或重要行业系统异常、核心业务中断超过4小时、敏感数据泄露；

（3）Ⅲ级响应：较大事件，单一区或单个单位系统异常、业务中断2小时以上、一般数据泄露；

（4）Ⅳ级响应：一般事件，局部系统异常、业务中断1小时内、未造成实质危害。

4.1.2启动条件

Ⅰ级响应：由市委网信办报请市委、市政府批准启动；

Ⅱ级响应：由市网安应急中心主任批准启动；

Ⅲ级响应：由专项工作组组长批准启动；

Ⅳ级响应：由事发单位负责人批准启动。

4.1.3升级与降级

事件态势恶化时，由事发单位提出升级申请，经市网安应急中心评估后调整响应级别；事件得到有效控制且影响消除后，由牵头部门提出降级建议，经批准后终止响应。

4.2响应启动

4.2.1启动程序

达到响应标准后，值班人员立即向市网安应急中心办公室报告，办公室30分钟内核实情况并提请批准。批准后1小时内，通过应急指挥系统向相关单位下达响应指令，同步启动专项工作组。

4.2.2资源调配

Ⅰ级响应时，调用全市应急资源库，包括专家团队、技术装备、备用系统等；Ⅱ级响应时，由牵头部门协调本领域资源；Ⅲ级和Ⅳ级响应以事发单位资源为主，必要时申请上级支援。

4.2.3现场指挥

Ⅰ级和Ⅱ级响应成立现场指挥部，由市网安应急中心副主任任指挥长，事发单位负责人、技术专家、公安干警组成指挥部。Ⅲ级和Ⅳ级响应由事发单位自行组织处置。

4.3处置流程

4.3.1事件研判

接报后15分钟内，监测预警组和技术专家完成初步研判，确定事件类型、攻击路径、影响范围。30分钟内向指挥部提交《事件分析报告》，明确处置方向。

4.3.2应急处置

（1）攻击阻断：立即切断受感染系统网络连接，阻断攻击源IP，启用防火墙规则过滤恶意流量；

（2）数据保护：对泄露数据采取溯源追踪，通知相关单位修改密码，启用备用数据源；

（3）系统恢复：优先恢复核心业务系统，使用备份镜像重建环境，验证系统完整性；

（4）证据固定：对攻击日志、恶意文件等电子证据进行司法取证，保存原始介质。

4.3.3动态跟踪

处置组每1小时向指挥部报告进展，包括攻击态势变化、系统恢复情况、新发现风险点。重大事件实时更新《处置进展简报》。

4.4协同处置

4.4.1跨部门协作

事件涉及多部门时，由现场指挥部统筹协调。例如金融领域攻击需公安、金融监管局、通管局联合处置，工业控制系统事件需经信委、应急管理局协同参与。

4.4.2区域联动

发生跨区域事件时，由最先发现地牵头处置，相邻区配合提供资源支持。例如浦东新区发生攻击时，由浦东新区指挥部协调松江、奉贤等区阻断攻击扩散路径。

4.4.3军地协同

涉及国家级威胁事件时，启动军地协同机制，军方技术团队提供高级威胁分析支持，地方负责民用系统防护。

4.5信息发布

4.5.1发布原则

坚持“及时、准确、公开”原则，由舆情应对组统一发布信息。未经批准，任何单位和个人不得擅自发布事件信息。

4.5.2发布内容

包括事件概况、处置进展、影响范围、防护建议等。Ⅰ级和Ⅱ级事件每4小时更新一次信息，Ⅲ级和Ⅳ级事件每日发布一次。

4.5.3发布渠道

通过市政府官网、官方微博、新闻发布会等渠道发布。重大事件同步协调主流媒体滚动播报，避免谣言传播。

4.6后期处置

4.6.1事件评估

响应结束后48小时内，由市网安应急中心组织专家开展评估，形成《事件评估报告》，内容包括事件原因、处置效果、暴露问题、改进建议。

4.6.2系统恢复

优先恢复核心业务系统，逐步恢复非核心系统。恢复后进行72小时稳定性测试，确保系统安全可靠。

4.6.3总结改进

根据评估结果，修订应急预案、更新监测规则、优化处置流程。每半年召开总结会，通报典型案例，分享处置经验。

4.7应急终止

4.7.1终止条件

事件得到完全控制，系统恢复正常运行，数据泄露风险消除，社会秩序恢复稳定。

4.7.2终止程序

由事发单位提出终止申请，经专项工作组审核后报市网安应急中心批准。批准后1小时内下达终止指令，各工作组有序撤离。

4.7.3后续工作

终止后7个工作日内，各单位提交《处置工作总结》，市网安应急中心汇编成册，纳入年度应急工作考核。

五、应急保障

5.1人员保障

5.1.1专业队伍建设

上海市组建由网络安全专家、技术骨干和管理人员构成的应急队伍，队伍规模不少于200人，覆盖关键信息基础设施运营单位、基础电信企业和重点行业。队伍成员通过内部选拔、社会招聘和专家库补充相结合的方式产生，要求具备5年以上网络安全工作经验，持有相关资质认证。队伍分为技术处置组、舆情应对组、后勤保障组三个职能小组，每组配备组长1名、副组长2名和组员若干。

5.1.2应急队伍管理

实行"平战结合"管理机制，日常状态下队伍成员在原岗位工作，每月开展1次集中培训和1次桌面推演。应急状态下，队伍成员接到指令后30分钟内到岗，实行24小时轮班制。建立考核评价体系，每季度对队伍成员进行技能考核和应急表现评估，考核结果与绩效挂钩。对表现优异的成员给予表彰和奖励，对考核不合格者进行再培训或调整。

5.1.3人员培训

培训内容包括法律法规、技术技能、应急处置流程和沟通协调能力。采用"理论+实操"模式，每年组织2次集中培训，每次不少于3天；每月开展1次专项培训，每次不少于4小时。培训讲师包括高校教授、行业专家和资深工程师，培训教材每年更新一次，确保内容与时俱进。2023年培训新增了勒索病毒处置和工控安全防护课程，提升了队伍应对新型威胁的能力。

5.2物资保障

5.2.1物资储备清单

建立完善的物资储备体系，包括硬件设备、软件工具、应急物资三类。硬件设备包括备用服务器、防火墙、入侵检测系统等，储备数量满足3个重大事件同时处置需求；软件工具包括杀毒软件、漏洞扫描器、数据恢复工具等，定期更新版本；应急物资包括应急电源、通信设备、防护装备等，存放于专用仓库，确保随时可用。

5.2.2物资管理机制

实行"专人负责、定期检查、动态更新"的管理机制。指定专人负责物资管理，建立物资台账，详细记录物资名称、数量、存放位置、状态等信息。每季度进行一次全面检查，对过期或损坏的物资及时更换。物资出库需履行审批手续，使用后24小时内补充到位，确保物资储备始终处于良好状态。

5.2.3物资调配流程

建立分级调配机制，一般事件由事发单位自行调配物资；重大事件由市网安应急中心统一调配，调用物资后48小时内补充到位。建立物资运输绿色通道，与物流公司签订应急运输协议，确保物资在2小时内送达现场。2023年通过该机制成功处置了某金融机构的勒索病毒事件，及时调用了备用服务器和杀毒软件，避免了业务中断。

5.3技术保障

5.3.1技术支持体系

构建"1+N"技术支持体系，即1个市级技术支持中心，N个行业技术分中心。市级技术支持中心由市大数据中心牵头，整合高校、科研院所和企业技术力量，提供7×24小时技术支持。行业技术分中心由各重点行业设立，负责本行业的技术支持和应急处置。建立技术支持热线和网络平台，确保问题响应时间不超过30分钟。

5.3.2系统维护与更新

对监测系统、应急平台等关键系统实行"双机热备"，确保系统稳定运行。建立定期维护机制，每周进行一次系统巡检，每月进行一次全面维护。及时更新软件补丁和病毒库，系统升级在业务低峰期进行，避免影响正常使用。2023年共完成12次系统升级，有效提升了系统安全性和稳定性。

5.3.3数据备份与恢复

制定"两地三中心"数据备份策略，即本地数据中心、异地灾备中心和云备份中心。核心数据每天备份一次，非核心数据每周备份一次。建立数据恢复流程，明确恢复优先级和时间要求，核心数据恢复时间不超过4小时。定期进行数据恢复演练，确保备份数据可用。2023年通过该策略成功恢复了某政务系统的数据，避免了数据丢失。

5.4资金保障

5.4.1资金来源

应急保障资金来源于财政拨款、专项资金和单位自筹三部分。财政拨款纳入年度预算，由市财政局统筹安排；专项资金由市网信办根据实际需求申请；单位自筹由各重点行业和单位自行安排。2023年全市应急保障资金总额达5000万元，其中财政拨款占60%，专项资金占30%，单位自筹占10%。

5.4.2资金使用范围

资金使用范围包括设备采购、人员培训、演练组织、物资储备、技术研发等。设备采购主要用于监测系统、应急平台的升级和备用设备的购置；人员培训用于队伍成员的培训和考核；演练组织用于各类应急演练的开展；物资储备用于应急物资的购置和更新；技术研发用于网络安全技术的创新和应用。

5.4.3资金管理机制

建立严格的资金管理制度，实行"专款专用、预算管理、审计监督"。资金使用需编制年度预算，经市网信办审核后报市财政局审批。资金使用过程中实行分级审批，大额资金使用需经市网信办领导班子集体研究决定。每年对资金使用情况进行审计，确保资金使用规范、高效。2023年通过审计发现并整改了3个资金使用不规范问题，提升了资金管理效率。

5.5培训演练

5.5.1培训计划

制定年度培训计划，明确培训目标、内容、时间和对象。培训目标包括提升队伍专业技能、增强应急处置能力、培养团队协作精神。培训内容包括法律法规、技术技能、应急处置流程和沟通协调能力。培训时间安排在每年3月和9月，每次培训不少于3天。培训对象包括应急队伍成员、重点单位负责人和网络安全管理员。

5.5.2演练组织

定期组织不同形式的演练，包括桌面推演、实战演练和专项演练。桌面推演每季度组织一次，主要检验流程和预案的合理性；实战演练每半年组织一次，模拟真实场景检验队伍的实战能力；专项演练每年组织一次，针对特定威胁进行专项处置。演练前制定详细方案，演练后进行总结评估，形成演练报告。2023年共组织演练8次，参与人员达500人次，有效提升了应急能力。

5.5.3持续改进

建立演练改进机制，根据演练结果调整培训内容和演练方案。对演练中发现的问题制定整改措施，明确责任人和完成时限。定期组织经验交流会，分享演练经验和处置案例，促进经验共享和共同进步。2023年通过演练改进，优化了3个应急处置流程，提升了2个监测系统的预警准确性。

六、预案管理与持续改进

6.1预案管理

6.1.1预案体系构建

上海市建立覆盖市、区、街道（乡镇）三级的网络安全应急预案体系，形成1个市级总预案、12个专项预案、16个区级预案和N个单位预案的层级结构。市级总预案由市委网信办牵头编制，经市政府常务会议审议后发布；专项预案针对金融、能源、医疗等关键领域，由行业主管部门制定；区级预案结合区域特点细化处置流程；单位预案由重点运营单位自行制定，报属地网信部门备案。预案之间保持衔接一致，确保上下贯通、左右协同。

6.1.2预案修订机制

实行“定期修订+动态更新”双轨制。定期修订每两年开展一次，结合法律法规变化、技术发展和演练评估结果优化内容；动态更新在发生重大网络安全事件后立即启动，针对暴露的短板调整处置流程。修订程序包括：问题梳理、草案编制、专家评审、公开征求意见、报批发布五个环节，确保修订过程科学透明。2023年修订中新增了“AI攻击应对”和“跨境数据泄露处置”专项条款，提升了预案的前瞻性。

6.1.3预案备案管理

建立市级预案备案平台，实现电子化备案和在线审核。区级预案和单位预案需在发布后15个工作日内完成备案，备案材料包括预案文本、编制说明和专家评审意见。对备案中发现的问题，由网信部门出具《整改通知书》，限期30日内完成修正。未备案或备案不合格的预案不得启用，确保预案体系的规范性和有效性。

6.2责任落实

6.2.1责任主体明确

构建“党委领导、政府负责、部门协同、社会参与”的责任体系。市委网信办承担统筹协调责任，牵头制定预案、组织演练、监督执行；各行业主管部门履行监管责任，指导本领域预案制定和应急准备；重点运营单位落实主体责任，配备专职团队、保障经费投入、开展日常监测；网信部门履行监督责任，定期检查预案执行情况。

6.2.2责任考核机制

将网络安全应急工作纳入全市高质量发展考核体系，设置预案完备率、演练参与率、事件处置时效等量化指标。实行“年度考核+日常抽查”相结合的方式，考核结果与单位评优、干部晋升挂钩。对考核排名后三位的单位，由市纪委监委约谈主要负责人；对连续两年考核不合格的，暂停其网络安全项目申报资格。

6.2.3失职追责情形

明确六类追责情形：未按规定制定或修订预案、迟报瞒报网络安全事件、应急响应不力导致损失扩大、未落实监测预警职责、擅自发布未经审核的事件信息、拒不配合跨部门协同处置。追责方式包括通报批评、组织处理和纪律处分，涉嫌违法犯罪的移送司法机关。2023年对某金融机构未及时报告勒索病毒事件启动追责程序，对相关责任人给予党纪处分。

6.3持续改进

6.3.1事件复盘机制

所有重大网络安全事件响应结束后，由市网安应急中心组织“一案三复盘”：复盘事件发生原因、复盘处置流程有效性、复盘协同配合顺畅度。复盘采用“现场勘查+数据分析+专家论证”方式，形成《事件复盘报告》，明确责任归属和改进措施。复盘结果作为预案修订的重要依据，2023年通过复盘优化了5个应急处置流程。

6.3.2经验总结推广

建立“典型案例库”，收录年度重大事件处置案例，包括事件经过、处置亮点、经验教训和改进建议。每年编制《网络安全应急