計算機信息系統損害事件應急預案

　　評論：　 ? 收藏本頁

1? 事件定義及分級

1.1? 定義

計算機信息系統損害事件系指管理處計算機信息系統及相關通信網絡遭受黑客惡意攻擊、大規模計算機病毒襲擊、人為破壞、自然災害破壞或其它不可抗力影響，引發多地點基礎網絡、重要信息系統、網站癱瘓，導致關鍵業務中斷或重要信息丟失、泄密，造成或可能造成較大經濟損失或嚴重社會影響的事件。

1.2? 分級

根據計算機信息系統損害災害事件的性質、危害程度、波及范圍，可以將其劃分為兩級：管道分公司及以上級、管理處級。

1.2.1 管道分公司及以上級計算機信息系統損害災害事件

（1）SCADA系統被惡意攻擊、修改或破壞，導致邏輯控制紊亂，造成系統癱瘓、數據丟失、控制失靈，嚴重影響安全生產的事件；

（2）主要通信系統損壞，造成SCADA系統無法運行的事件；

（3）因計算機信息系統設備、軟件故障，造成SCADA系統、OA系統、ERP系統、財務管理信息系統、安全信息管理系統等主要計算機信息系統大面積癱瘓，嚴重影響安全生產、造成公司重大經濟損失或重要信息被泄露的事件；

（5）公司大部分辦公電腦被黑客攻擊中毒或網絡癱瘓無法正常辦公的事件；

（6）其它經管道分公司應急指揮中心危害分析、風險評估后認為屬于管道分公司級（Ⅱ級）事件的計算機信息系統損害事件。

1.2.2 ?管理處級計算機信息系統損害災害事件

（1）因計算機信息系統設備、軟件故障，造成SCADA系統邏輯控制紊亂，但可通過切斷與第三方設備通信方式解決，不會造成整個SCADA系統故障的事件；

（2）因通信故障或計算機軟件故障，僅影響部分站控系統運行或RTU閥室上傳信號，不造成控制紊亂的事件；

（3）通信網絡、主機、服務器信息系統軟、硬件損壞，對安全生產和重要業務造成輕微影響，但可在短時間內進行恢復的事件；

（4）局域網內多臺辦公電腦同時中毒，已影響到正常辦公，但可通過殺毒、重新安裝系統、更換軟件等方式及時解決的事件；

（5）管理處網頁被惡意攻擊、修改，散布反動言論、不良信息的事件；

（6）其它經危害分析、風險評估后認為屬于管理處級（Ⅱ級）事件的計算機信息系統損害事件。

2? 應急報告

2.1? 報告程序

事件發生時，按照總體預案中5.1條規定的程序報告。

2.2? 報告內容

2.2.1 ?計算機信息系統損害事件發生時，應立即向管理處應急值班室、管道分公司應急指揮中心辦公室報告，報告應包括但不限于以下內容：

（（1）事件發生的時間、地點和部位、設備設施名稱等；

（2）事件發生過程；

（3）損害程度及影響范圍；

（4）已采取的應急措施；

（5）救援要求；

（6）報告人的姓名、職務和聯系方式。

2.2.2 ?在事件處置過程中，各單位、了解事態進展情況，隨時用電話、傳真等方式跟進報告，報告應包括但不限于以下內容，報告應包括但不限于表11.1中的內容：

表11.1? 計算機信息系統損害事件應急報告表

報告時間：??? ????年? ??月? ??日? ??時? ??分

單位名稱			報告人
聯系電話			通訊地址
傳??? 真			電子郵件
發生安全事件的信息系統基本信息	名稱及用途		硬件及型號		操作系統	數據庫	應用軟件	系統安全測評
								□ 是，已經通過安全測評 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?□ 是，但未通過安全測評 ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?□ 否，未經過安全測評
發生安全事件的網絡基本信息	網絡概況：?????????????????????? ? ????????????????????????????????????? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?IP地址段：?????????????????????? ?????????????????????????????????????? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?網絡結構：?????????????????????? ? ??????????????????????????????????????? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?主要網絡設備: ??????????????????????????????????? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?其它：?????????????????????????? ????????????????
負責部門				負責人
信息損害事件的簡要描述（如以前出現過類似情況也應加以說明）
初步判定的事件原因
當前采取的應對措施
本次事件的初步影響狀況	事件后果	□業務中斷 ?□系統破壞 ?□數據丟失 ?□其它?????????????????
	影響范圍	□局部 ?□大面積 ?□整個信息系統? □其它????????????????
	嚴重程度	□Ⅰ級 ?□Ⅱ級 ?□Ⅲ級? □Ⅳ級

值班電話：? ??????????傳真： ???????????????電子郵箱E-mail：

3? 應急處置

3.1? 應急行動

3.1.1? 現場應急指揮部

（1）收集現場信息，核實現場情況，根據現場的變化制定和調整現場應急處置方案，并組織實施；

（2）整合、調配現場應急資源，統一指揮搶險工作；

（3）在應急處置中，出現異常及時向應急指揮中心辦公室匯報、請示并落實指令；

（4）根據現場處置需要，請求應急指揮中心辦公室協調組織其他應急資源；

（5）核實應急終止條件并向應急指揮中心辦公室請示應急終止；

（6）完成應急指揮中心辦公室交辦的其他任務。

3.1.2? 各專業組

3.1.2.1? 生產運行組

（1）跟蹤并詳細了解計算機信息系統損害事件應急處置情況，及時向現場應急指揮部、應急指揮中心辦公室匯報、請示并落實指令；

（2）執行應急指揮中心辦公室制訂的應急氣量調配方案；

（3）保持現場與應急指揮中心辦公室的聯絡；

（4）按照應急處置方案，組織實施SCADA系統、光纜通信系統損害搶險工作。

3.1.2.2? 技術支持組

（1）進行事件發生現場數據采集；

（2）通知相關專業化服務隊伍趕赴現場進行處置；

（3）結合事件發生現場實際情況，組織技術人員制定或調整相應的應急處置方案；

（4）按照應急處置方案，組織實施除SCADA系統、光纜通信系統外的計算機信息系統損害搶險工作。

（5）負責搶險作業中的質量監督。

（6）為搶險工作提供技術支持；

（7）根據應急指揮中心辦公室指令，向相關部門、單位進行求援。

3.1.2.3? 綜合保障組

（1）調配車輛，立即將現場應急指揮部成員送到現場；

（2）確定或搭建現場指揮部臨時辦公地點，做好交通保障工作；

（3）安排食品、飲用水、洗滌用品、急救醫療用品等生活物資，滿足搶險人員的生活需要；

（4）開展宣傳，做好員工和群眾情緒穩定工作；

（5）安排專人對現場情況及應急過程進行錄音、錄像；

3.2? 現場搶險措施

3.2.1計算機信息系統損害事件應急處置指導原則

（1）堅持統一指揮、規范操作、反應迅速、處理高效的原則。

（2）當發生恐怖襲擊危及到計算機信息系統安全時，應根據當時的實際情況，在保障人身安全的前提下，保障數據的安全和設備安全。

（3）當人為或病毒破壞計算機信息系統安全時，按照計算機信息系統安全事件發生的性質可采取用隔離故障源、暫時關閉故障系統、保留痕跡等措施。

3.2.2 ?計算機信息系統損害事件應急處置措施

（1）事件認定和評估

l?????? 收集計算機信息安全事件相關信息，識別事件類別，判斷破壞的來源與性質，確保證據準確，以便縮短應急響應時間。

l?????? 及時檢查威脅造成的結果，評估事件帶來的影響和損害。如檢查系統、服務、數據的完整性、保密性或可用性；檢查攻擊者是否侵入了系統；以后是否能再次隨意進入；損失的程度；確定暴露出的主要危險等。

（2）控制事態發展

采取各種措施抑制事件的影響進一步擴大，限制潛在的損失與破壞。可能的抑制策略一般包括：

l?????? 關閉服務或關閉所有的系統；

l?????? 從網絡上斷開相關系統的物理鏈接；

l?????? 修改防火墻和路由器的過濾規則；

l?????? 封鎖或刪除被攻破的登錄賬號，阻斷可疑用戶得以進入網絡的通路；

l?????? 提高系統或網絡行為的監控級別；

l?????? 設置陷阱；啟用緊急事件下的接管系統；

l?????? 實行特殊“防衛狀態”安全警戒；反擊攻擊者的系統等。

（3）事件消除

l?????? 在事態得到控制之后，跟蹤并鎖定破壞來源的IP或其它網絡用戶信息，通過對有關惡意代碼或行為的分析結果，找出事件根源，明確相應的補救措施并徹底清除。

l?????? 聯系執法部門和其它相關機構對攻擊源進行定位并采取合適的措施將其中斷。

（4）系統恢復

l?????? 修復被破壞的信息、清理系統、恢復數據、程序、服務，恢復信息系統；把所有被攻破的系統和網絡設備徹底還原到它們正常的任務狀態。

l?????? 恢復工作應采取相應的安全措施，避免出現操作失誤而導致數據丟失。

l?????? 如果攻擊者獲得了超級用戶的訪問權，一次完整的恢復應強制性地修改所有的口令。

l?????? 恢復工作中如果涉及到涉密數據，需遵照涉密系統的恢復要求。

l?????? 對不同任務的恢復工作的承擔單位，要有不同的擔保。

（5）事件追蹤

l?????? 密切關注系統恢復以后的安全狀況，特別是曾經出問題的地方。

l?????? 建立跟蹤文檔，規范記錄跟蹤結果。

l?????? 對響應效果給出評估，按照表11.2的內容填寫應急總結并上報上級主管部門備案。

l?????? 對進入司法程序的事件，進行進一步的調查，打擊違法犯罪活動。

表11.2? 計算機信息系統損害事件處理結果應急報告表

原事件報告時間：??? 年? 月? 日? 時? 分???? 備案編號：? 年? 月? 日??? 第??? 號? 總第?? 號

單位名稱		聯系人
聯系電話		通信地址
傳??? 真		電子郵件
發生事件的計算機信息系統基本信息	名稱及用途	硬件及型號	操作系統	數據庫	應用軟件	系統安全測評
						□ 是，已經通過安全測評
						□ 是，但未通過安全測評
						□ 否，未經過安全測評
發生事件的網絡基本信息	網絡概況：?
	IP地址段：
	網絡結構：
	主要網絡設備:
	其他：
信息系統損害事件的補充描述及最后判定的事件原因
對本次信息系統損害事件的事后影響狀況	事件后果	□業務中斷? □系統破壞? □數據丟失? □其他
	影響范圍	□局部? □大面積? □整個信息系統? □其他
	嚴重程度	□Ⅰ級 ?□Ⅱ級 ?□Ⅲ級? □Ⅳ級
本次信息系統損害事件的主要處理過程與結果（必要時可附文字、框圖、圖片等材料）
針對此類事件應采取的保障網絡與信息系統安全的措施和建議		? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ????????????????????????????????? ????????????報告人簽章???