河北艺术职业学院信息安全管理制度-应急响应管理制度

第一章总则

第一条为加强河北艺术职业学院（以下简称“河北艺校”）在发生严重和重大信息安全事件时的应急响应能力，提高网络及业务系统持续有效的运行能力，制定本制度。

第二章适用范围

第二条本制度适用于河北艺术职业学院各部门，规范信息系统的应急响应管理。

第三章组织和职责

第三条应急响应组织：当信息系统发生严重和重大信息安全事件时，为了确保对事件的处置工作进行统一指挥，统一协调而成立的临时机构。

第四条应急响应组织由应急指挥中心、应急管理小组、应急技术小组和快速反应通道组成。

第五条应急指挥中心由运维管理小组组成,负责重大信息安全事件的应急指挥、决策和资源保障工作。

第六条应急管理小组是由各信息系统的运维工作分管领导组成，负责重大信息安全事件的协调管理和严重安全事件的直接管理。

第七条应急技术小组是由运维部门各相关管理员组成，其主要负责重大信息安全事件中技术问题的处理。

第八条快速反应通道是指各业务系统产品厂商、集成商以及专业的安全厂商，主要负责具体设备、系统以及安全问题的处置。

第四章信息安全事件报告处理

第九条安全事件信息来源主要有以下两类：

1、监控系统，日志审计监测到的网络与信息安全事件信息。

2、由一般信息安全事件处置流程认定或升级后的信息安全事件。

第十条应急信息处理可按以下程序进行：

1、收集和反馈：接到信息安全事件报警后，首先详细记录该事件的细节信息，了解事件造成的损失、影响以及现场控制情况，并尽可能全面了解与事件有关的信息。

2、分析状态：在汇总相关信息的基础上，及时判断事件性质，并根据判定结果，开展下一步的工作。属于信息安全事件的，应对该次事件做进一步的事件验证，确认属于信息安全事件的，应进入事件分析处理流程。属于误报的，安全管理员应对该事件进行记录和处理。

3、事件分析：事件确认后，根据掌握的信息，分析事件已经造成的损失和预计损失、事件的严重程度和扩散性等情况。

4、先期处置：信息安全事件发生后，监控人员必须在第一时间实施即时处置，控制事态发展并及时向安全管理员报告。

5、准备启动安全事件应急响应流程：信息安全事件发生后，在进行先期应急响应处置的同时，应及时汇总信息并迅速报告安全管理员。

6、安全管理员根据事件的汇总信息，按照信息安全事件等级判断标准拟定事件等级并立即呈报运维工作分管领导。

7、运维工作分管领导根据呈报内容紧要程度启动相应的应急预案，并建立应急技术小组。

第五章后期处理

第十一条相关管理员负责总结应急响应过程执行情况，详细填写《应急响应报告》，并上报运维管理小组归档。

第六章应急保障

第十二条各业务系统必须制定详细的业务应急保障计划，向运维管理小组提交和备案。

第十三条各业务系统应急措施的制定要严格确保业务系统的可用性，采用在最短的时间能够恢复系统的措施为优先应急措施。

第十四条各业务系统应遵循《安全事件应急响应流程》，处置突发安全事件。

第十五条运维管理小组要按照职责分工和相关预案，切实做好应对信息安全事件的人力、物力、财力等保障工作，保证应急响应工作和恢复重建工作的顺利进行。

一、通信保障

河北艺校负责收集、建立信息网络突发事件应急处置工作小组内部及其他相关部门的应急联络信息。现场领导小组应在重要部位醒目位置公布报警电话，现场领导小组人员保证全天24小时通讯畅通。

二、装备保障

河北艺校负责建立并保持电力、空调、机房等网络安全运行基本环境，预留一定数量的信息网络硬件和软件设备，指定专人保管和维护。

三、数据保障

重要信息系统均建立备份系统，保证重要数据在受到破坏后可紧急恢复。

四、队伍保障

建立符合要求的网络与信息安全保障技术支持力量，对网络接入单位的网络与信息安全保障工作人员提供技术支持和培训服务。

第七章应急预案的管理

第十六条信息系统所属单位应牵头组织制定应急预案，并定期培训、审查、修改完善和定期演练，以确保应急预案的可操作性和适用性。应急预案的培训应至少每年举办一次。

第十七条应根据不同的应急恢复内容，确定演练的周期。

第十八条现场领导小组不定期组织对各项制度、计划、方案、人员及物资等进行检查，对在信息网络突发事件应急处置中做出突出贡献的集体和个人，提出表彰奖励建议；对玩忽职守，造成不良影响或严重后果的，依法依规提出处理意见，追究其责任。

第十九条不同事件的应急预案

一、机房断电应急预案

1、预知性断电

（一）风险描述：机房内所有电器设备均在运行，突然接到停电通知，若不采取措施，断电后服务器内数据有丢失可能，将造成损失。

第一步：接到断电通知后应首先向科室主任报告，并及时通知值班人员。

第二步：负责人接到报告后做出判断，视其严重程度决定是否向领导及值班室等应急管理领导小组汇报。

第三步：必须断电处理的情况，检查UPS是否工作正常。为保障核心业务，需进行断电处理的，与相关部门联系，预先通知系统停止使用，再进行断电。断电原则是“先辅助系统，后核心系统”。

2、处置措施

（一）断电后的处理：

1)查询断电时间、何时恢复等，根据断电时间长短、负载情况、计算机房室温等因素，与机房负责人联系决定是否需关闭部分设备。

2)断电期间，随时注意检查尚在运行的计算机设备和机房室温。

3)注意检查供电恢复情况。

（二）来电后的处理：

1)恢复房间配电柜电源。

2)恢复停电系统供电，按照“先核心系统，后辅助系统”的原则，一台台启动，避免同时启动造成的负载过大的情况。

3)待供电稳定后，恢复空调加电，启动后检查液晶板指示情况。

4)确认供电是否稳定、正常，通知相关科室恢复系统使用，要求分部门上线，切忌同时上线。

5)在一段时间内，注意检查UPS指示情况、空调机运行情况、机房温度情况等与断电情况有关的设备运行情况，做出记录，及时向机房负责人报告：断电情况，处理操作等。

3、临时性断电

临时断电是指我方事先未接到断电通知的断电情况，遇此情况应首先询问情况，若断电时间超过15分钟或时间长度无法确定时，请速与负责人联系，并按照“先辅助系统，后核心系统”的原则关闭系统设备，其余处理方法与前述机房断电应急处置方法相同。

4、工作协调

出现断电情况时，应立即联系总务部电工班咨询断电原因、了解断电范围、明确断电时长。如发现是局部性断电，特别是信息机房所在区域局部性断电，应上报负责人，积极协调总务部电工班提供备用供电设备，保障核心系统供电。

5、恢复供电

供电恢复后，如已有设备关机，则按照“先核心系统，后辅助系统”的原则，一台台设备启动。设备启动时严格按照设备启动步骤，先硬件后软件，将该设备系统所需服务逐一启动，做到不遗漏、不乱序。设备启动完毕后，验证数据完整、服务无误后，通知相关系统使用科室恢复使用。

6、日常维护

日常值班人员应按时检查UPS及机房设备，发现问题及时解决。科室工作人员应加强培训，了解应急处置步骤，做到遇事不慌乱。出现情况后，应积极应对，事后做好相应记录总结，避免因断电造成严重信息安全事故的发生。

二、机房突发火灾应急处理预案

由于机房内部用电设备多，供电线路复杂，电器设备连续运转，导致线路设备发热量大，甚至出现线路设备提前老化，极易发生供电线路和电气设备起火现象，任何人员一旦发现火情，要沉着冷静视火情情况进行操作：

1、“先断电，后灭火”是扑灭电气火灾的基本原则，在切断电源时要根据现场火势、着火设备进行判断，考虑重要负荷、消防电源的影响以及配电系统回路的分布，防止火灾未救，人员先被电击或灼伤。如果发现机柜内设备出现内部打火、冒烟但没有明火出现时，要立即拔掉该设备的电源插头，防止危害其他设备；发现局部轻微着火不危及其他设备的情况下，要立即断开该设备电源，并组织人员利用就近消防器材进行灭火，防止火势蔓延扩大，并向领导报告；发现设备火势大危机整个机柜但不危机人员生命还能控制时，立即对应机柜编号，断开整个机柜电源，并组织人员使用气体灭火器进行扑火，发现UPS电池组着火时先断开电池组箱体上的控制开关，必要时再断开控制UPS的总断路器，用灭火器灭火，如果火势大不能控制应立即向负责人汇报、拨打119报警，并同时通知保卫科，要根据情况切断机房总电源再进行组织灭火。

2、组织实施

在消防车来之前，先尽力使用现有消防设备将火势控制在最小范围。消防车来之后，值班人员配合消防专业人员扑救或作好辅助工作。迅速组织人员逃生，原则是“先救人，后救物”， 及时安全地疏散人员和财产转移。火势大时可用灭火器边喷边撤退，确保人员安全。

3、注意事项

发现火灾拨打火警电话119报警时要讲清详细地址、起火部位、着火物质、火势大小、报警人姓名电话、并派人到路口迎候消防车。火灾事故首要的一条是保护人员安全，扑救要在确保人员不受伤害的前提下进行。 发现火灾时应掌握的原则是边救火，边报警。人员在逃生时应掌握正确的逃离方法。

4、灭火器材

电气火灾隐患存在具有一定的隐蔽性，它的发生来得快具有突发性，促成火灾发生的原因受多因素影响而且各因素之间具有关联性，火灾形成后的分解物中有毒气，容易蔓延，即使断电也可能有残留电压存在，所以扑灭电气火灾应用气体灭火器，“二氧化碳”灭火器主要适用于扑灭贵重设备、档案资料、电气设备和其他一般物质的初期火灾。工作人员应掌握正确使用灭火器材的方法，能够及时有效的处置初起火灾。电器设备火灾切忌用水灭火。

5、火灾善后

在火灾被扑灭后，首先应及时查找隐蔽火源，确保火灾不复燃。灭火后，检查火灾损失，最先确保数据服务器及存储设备安全，如有部分或完全损坏，应积极挽救数据，检查数据备份，及时恢复备份数据库，确保信息系统尽快恢复使用。积极查找火灾原因，严格整改要求，消除火灾隐患，做好火灾总结善后。

值班人员应经常开展事故预想、安全活动讨论、学习消防知识、模拟消防演练等多种形式的活动，增强对火灾事故处理方法的认识，在火灾事故发生时能做到头脑清晰、有条不紊，提高火灾事故处理的效率。同时还要对已发生的火灾事故的原因进行认真分析，调查处理，预防火灾事故再次发生。

三、机房漏水应急预案  

1、发生机房漏水时，第一目击者应立即通知河北艺校，并及时报告现场领导小组，现场领导小组接报后应立即前往事发地。

2、若空调系统出现渗漏水，现场领导小组应立即通知大楼工程部进行处理,并及时清除机房积水。

3、若墙体或窗户渗漏水，现场领导小组应立即采取有效措施确保机房安全，同时通知物业管理处及工程部，及时清除积水，维修墙体或窗户，消除渗漏水隐患。

四、设备发生被盗或人为损害事件应急预案  

1、发生设备被盗或人为损害设备情况时，使用者或管理者应立即报告现场领导小组，同时保护好现场。

2、现场领导小组接报后，通知安保部门、河北艺校，一同核实审定现场情况，清点被盗物资或盘查人为损害情况，做好必要的影像记录和文字记录。

3、事发部门和当事人应当积极配合相关部门进行调查，并将有关情况向现场领导小组汇报。

4、现场领导小组安排河北艺校、事发单位及时恢复设备正常运行，并对事件进行调查。河北艺校和事发部门应在调查结束后一日内书面应急领导小组。必要时，应急领导小组及时上报应急指挥部河北艺校和相关部门。

五、通信网络故障应急预案

1、发生通信线路中断、路由故障、流量异常、域名系统故障后，操作员应及时通知现场领导小组。

2、现场领导小组接报告后，应及时查清通信网络故障位置，隔离故障区域，并通知相关通信网络运营商查清原因；同时及时组织相关技术人员检测故障区域，逐步恢复故障区与服务器的网络联接，恢复通信网络，保证正常运转。

3、事态或后果严重的，现场领导小组应及时报告应急领导小组。必要时，应急领导小组及时上报应急指挥部河北艺校和相关部门。

4、应急处置结束后，现场领导小组应将故障分析报告，在调查结束后一日内书面报告应急领导小组。

六、不良信息和网络病毒事件应急预案

1、发现不良信息或网络病毒时，信息系统管理员应立即断开网线，终止不良信息或网络病毒传播，并报告现场领导小组。

2、河北艺校应根据现场领导小组指令，采取隔离网络等措施，及时杀毒或清除不良信息，并追查不良信息来源。

3、事态或后果严重的，现场领导小组应及时报告应急领导小组。如有必要，应急领导小组及时上报应急指挥部河北艺校和相关部门。

4、处置结束后, 现场领导小组应将事发经过、造成影响、处置结果在调查工作结束后一日内书面报告应急领导小组。

七、服务器软件系统故障应急预案

1、发生服务器软件系统故障后，现场领导小组应立即组织人员检查出现故障的原因并尽快排除。

2、如遇重大故障不能解决时，应立即联系软件开发单位或设备供应单位共同查找原因，了解故障程度，着手抢修。

3、如果超过2个小时还未修复完毕，严重影响了业务工作的正常进行，应通知相关业务单位采用其他方式尽力完成业务工作，待系统修复后输入业务系统。并做好零售客户的解释工作。

4、如遇数据库损坏等重大事故时，应小心将备份文件还原，避免重要数据的丢失。

5、事态或后果严重的，及时报告应急领导小组。如有必要，应急领导小组及时上报应急指挥部河北艺校和相关业务部门。

6、处置结束后, 现场领导小组应将事发经过、处置结果等在调查工作结束后一日内报告应急领导小组。

八、黑客攻击事件应急预案

1、当发现网络被非法入侵、网页内容被篡改，应用服务器上的数据被非法拷贝、修改、删除，或通过入侵检测系统发现有黑客正在进行攻击时，使用者或管理者应断开网络，并立即报告现场领导小组。

2、接报告后，现场领导小组应立即指令河北艺校核实情况，关闭服务器或系统，修改防火墙和路由器的过滤规则，封锁或删除被攻破的登陆帐号，阻断可疑用户进入网络的通道。

3、河北艺校应及时清理系统，恢复数据、程序，恢复系统和网络正常；情况严重的，应上报应急领导小组，并请求支援。必要时，应急领导小组及时上报应急指挥部河北艺校和相关部门。

4、处置结束后, 现场领导小组应将事发经过、处置结果等在调查工作结束后一日内书面报告应急领导小组。

九、核心设备硬件故障应急预案

1、发生核心设备硬件故障后，河北艺校应及时报告现场领导小组，并组织查找、确定故障设备及故障原因，进行先期处置。

2、若故障设备在短时间内无法修复，河北艺校应启动备份设备，保持系统正常运行；将故障设备脱离网络，进行故障排除工作。

3、河北艺校应在故障排除后，在网络空闲时期，替换备用设备；若故障仍然存在，立即联系相关厂商， 认真填写设备故障报告单备查。

4、事态后果严重的，现场领导小组及时报告应急领导小组。如有必要，应急领导小组及时上报应急指挥部河北艺校和相关业务部门。

第八章相关文件

第二十条与本制度相关的其他文件及表单包括：

1、《安全事件报告》

2、《安全事件应急响应流程》

第九章附则

第二十一条本制度自发布之日起执行。

第二十二条本制度的解释和修改权属于信息安全领导小组。

信息安全领导小组每年统一检查和评估本制度，并做出适当更新。在业务环境和安全需求发生重大变化时，也将对本制度进行检查和更新。