计算机信息系统损害事件应急预案.docx

1、计算机信息系统损害事件应急预案计算机信息系统损害事件应急预案1 事件界定 1472 信息接报 1473 信息处置 1484 应急准备 1484.1 石化应急指挥中心 1484.2 应急指挥中心办公室 1484.3 技术处置组 1494.4 公共关系与后勤组 1494.5 财力保障组 1495 应急处置 1495.1 召开首次应急会议 1495.2 应急上报 1495.3 应急行动 1496 现场应急处置指导原则 1517 应急终止 152计算机信息系统损害事件应急预案1 事件界定本预案的计算机信息系统损害事件系指石化所属企业计算机信息系统遭受大规模攻击或不可抗力影响，引发多地点或多地区基础网络

2、、重要信息系统、重点网站瘫痪，导致关键业务中断，造成或可能造成严重社会影响或巨大经济损失的事件。2 信息接报2.1 发生石化级、直属企业级计算机信息系统损害事件，直属企业在启动本企业应急预案的同时，迅速按照石化总体应急预案中图00.6 (应急报告程序框图)规定的程序向应急指挥中心办公室报告，最多不超过1小时。在应急处置过程中，直属企业应急指挥中心应随时报告事态进展情况，至少每天报告一次。2.2 发生石化级计算机信息系统损害事件，基层单位可直接向石化应急指挥中心办公室报告。2.3 应急报告应包括但不限于以下内容：a) 事发单位名称、事件发生时间、地点；b) 受到损害的信息系统和网络的基本信息，以

3、及损害情况的简要描述；c) 初步影响状况(事件后果、影响范围、影响程度等)；d）初步判定的事件原因；e) 当前采取的应对措施；f）请求石化协调、支持的事项；g) 报告人的单位、姓名、职务和联系电话。2.4 应急信息报送以书面报告为主，情况特别紧急时，可用电话口头初报，随后再书面报告。3 信息处置3.1 石化应急指挥中心办公室应急值班人员接到报告后，立即向办公厅主任报告，同时通报安全环保局、生产经营管理部及信息系统管理部领导；办公厅主任根据计算机信息系统损害事件的发展态势向主管领导、总经理、董事长报告、请示并落实指令。3.2 石化应急指挥中心根据事件的性质、严重程度、影响范围和可控性，对事件进行

4、初步研判，作出应急准备或应急启动的决策：a) 当未达到启动条件时，下达应急准备指令，开展应急准备工作；b) 当达到启动条件时，下达应急启动指令，开展应急处置工作。3.3办公厅主任接到应急准备或应急启动的指令后，立即安排应急值班人员迅速通知技术处置组、公共关系与后勤组、财力保障组做好应急准备或开展应急处置。4 应急准备4.1石化应急指挥中心a) 随时了解、检查指导各应急工作组应急准备工作情况； b）指导直属企业进行应急处置；c) 分析计算机信息系统损害事件的发展动态，及时下达启动应急预案的指令； d）做好首次应急会议的相关准备。4.2 应急指挥中心办公室a) 跟踪并详细了解计算机信息系统损害事件

5、的发展动态及现场应急处置情况，及时向石化应急指挥中心汇报、请示，传达并落实指令；b) 办公厅做好召集首次应急会议的准备，考虑调整应急工作组构成；c）办公厅适时与各应急工作组负责人沟通、交流，汇总、传递相关信息； d）完善石化应急指挥中心交办的其他准备工作。4.3 技术处置组a) 跟踪并详细了解计算机信息系统损害事件的发展动态及现场应急处置情况，及时向应急指挥中心办公室汇报、请示并落实指令；b）确定本应急工作组派赴现场人员并通知待命；c) 联系专家，做好应急准备；d) 信息系统管理部做好信息系统的修复和恢复的准备工作；做好向公安部门报案和协助查案的准备，同时做好向对口的国家政府主管部门报告和求援

6、的准备；e) 完成石化应急指挥中心交办的其他准备工作。4.4 公共关系与后勤组a) 跟踪并详细了解计算机信息系统损害事件的发展动态及现场应急处置情况，及时向应急指挥中心办公室汇报、请示并落实指令；b）办公厅做好信息发布材料和上报材料起草的准备；c) 办公厅、思想政治工作部、监察局收集、跟踪新闻媒体、网络、社会公众等各方面舆论信息，为石化应急指挥中心决策提供参考；d）机关服务中心确保石化应急指挥中心与直属企业的有线电话畅通，做好石化应急指挥中心在京人员应急过程中的交通、食宿、医疗、保卫等后勤保障准备工作； e）完成石化应急指挥中心交办的其他准备工作。 4.5 财力保障组a) 跟踪并详细了解计算机

7、信息系统损害事件应急处置情况，及时向应急指挥中心办公室汇报、请示并落实指令；b) 财务部（集团公司、股份公司）做好落实应急处置资金的准备；c）完成石化应急指挥中心交办的其他准备工作。5 应急处置5.1召开首次应急会议首次应急会议由石化应急指挥中心总指挥、常务副总指挥或副总指挥主持召开，会议内容包括但不限于：a) 通报计算机信息系统损害事件情况；b) 确定派赴现场应急指挥部人员名单和专家组名单；c) 进一步明确各应急工作组组成和任务；d) 明确现场应急处置工作要求；e) 初步判断所需调配的内外部应急资源；f) 确定首次信息发布的时间、发布渠道和新闻发言人；g) 确定应急上报的国家政府相关部门和时

8、间。5.2 应急上报根据石化应急指挥中心指令，做好应急上报工作：a) 办公厅向国家网络与信息安全协调小组管理办公室报告；b) 总部机关职能部门分别向对口的国家政府主管部门报告；c) 应急处置中发生新情况，应及时补充上报事件情况。5.3 应急行动5.3.1 石化应急指挥中心主要做好以下工作：a) 接受国家网络与信息安全协调小组管理办公室的领导，请示并落实指令；b) 迅速派出现场应急指挥部人员赶往现场；c) 在现场应急指挥部人员到达现场之前，指令直属企业的现场指挥负责应急处置工作；d) 审定或审批现场应急处置方案；e) 根据现场需求，组织调动、协调各方应急处置力量到达现场；f) 审批信息发布材料、

9、应急上报材料；g) 在应急处置过程中，负责向国家政府主管部门求援或配合政府应急工作；h) 审批计算机信息系统损害事件应急处置费用；i) 分析现场处置情况，及时决策、下达指令。5.3.2 应急指挥中心办公室主要做好以下工作：a) 跟踪并详细了解计算机信息系统损害事件应急处置情况，及时向石化应急指挥中心汇报、请示，传达并落实指令；b) 办公厅做好会议（包括首次应急会议和响应过程会议）记录，并形成纪要；根据事件进展，适时与各应急工作组负责人沟通、交流，传达相关信息；c) 按照石化应急指挥中心指令，办公厅向国家网络与信息安全协调小组管理办公室求援；d) 完成石化应急指挥中心交办的其他任务。5.3.3

10、技术处置组主要做好以下工作：a) 跟踪并详细了解计算机信息系统损害事件应急处置情况，及时向应急指挥中心办公室汇报、请示并落实指令；b) 通知本应急工作组现场应急指挥部组成人员赶赴现场，参与现场应急处置；c) 通知专家到达指定地点；d) 组织审定现场应急处置方案，提出处置建议；e) 信息系统管理部按照石化应急指挥中心指令，向公安部门报案并协助查案，负责并指导石化信息系统的修复和恢复工作；f) 完成石化应急指挥中心交办的其他任务。5.3.4 公共关系与后勤组主要做好以下工作：a) 跟踪并详细了解计算机信息系统损害事件应急处置情况，及时向应急指挥中心办公室汇报、请示并落实指令；b) 办公厅做好信息发

11、布材料和上报材料的起草工作；根据石化应急指挥中心指令，组织对外信息发布；做好与媒体、利益相关方的沟通；c) 办公厅、思想政治工作部、监察局收集、跟踪新闻媒体、网络、社会公众等各方面舆论信息，为石化应急指挥中心决策提供参考；d) 法律事务部分析事件处置的法律责任，提供法律支持；e) 机关服务中心确保石化应急指挥中心与直属企业的有线电话畅通；负责石化应急指挥中心在京人员应急过程中的交通、食宿、医疗、保卫等后勤保障工作；f) 完成石化应急指挥中心交办的其他任务。5.3.5 财力保障组主要做好以下工作：a) 跟踪并详细了解计算机信息系统损害事件应急处置情况，及时向应急指挥中心办公室汇报、请示并落实指令

12、；b) 财务部（集团公司、股份公司）落实应急处置资金，分析财务风险，提供应对策略；组织制定与应急处置有关责任方赔偿费标准；c) 监察局、审计局做好计算机信息系统损害事件应急处置过程涉及费用的监察、审计工作；d) 完成石化应急指挥中心交办的其他任务。5.3.6 现场应急指挥部应做好以下工作：a) 收集现场信息，核实现场情况，根据现场变化制定和调整现场应急处置方案，并组织实施；b) 整合、调配现场应急资源，统一指挥应急行动；c) 在应急处置中，出现异常及时向石化应急指挥中心汇报、请示并落实指令；d) 根据现场需要，请求石化应急指挥中心协调组织其他应急资源；e) 按照石化应急指挥中心指令，负责现场新

13、闻发布工作；f) 核实应急终止条件并向石化应急指挥中心请示应急终止；g) 完成石化应急指挥中心交办的其他任务。6 现场应急处置指导原则当发生计算机信息系统损害事件时，应按照以下原则做好工作：a) 统一指挥、规范操作、反应迅速、处理高效；b) 当计算机信息系统遭受大规模袭击或不可抗力影响时，应根据当时的实际情况，在保障人身安全的前提下，保障数据安全和设备安全；c) 收集计算机信息损害事件相关信息，识别事件类别，判断破坏的来源与性质，确保证据准确，以便缩短应急响应时间；d) 当人为或病毒破坏计算机信息系统安全时，按照计算机信息系统损害事件发生的性质可采用隔离故障源、暂时关闭故障系统、保留痕迹等措施

14、；e) 抑制事件的影响进一步扩大，限制潜在的损失与破坏；f) 在事件被抑制之后，跟踪并锁定破坏来源的IP地址或其他网络用户信息，通过对有关恶意代码或行为的分析结果，找出事件根源，明确相应的补救措施并彻底清除；与此同时，执法部门和其他相关机构将对攻击源进行定位并采取合适的措施将其中断；g) 修复被破坏的信息、清理系统、恢复数据、程序、服务，恢复信息系统；把所有被攻破的系统和网络设备彻底还原到正常的任务状态；恢复工作中如果涉及到涉密数据，需遵照涉密系统的恢复要求；对不同恢复任务的承担单位，要有不同的担保；h) 关注系统恢复以后的安全状况，特别是曾经出现问题的地方；建立跟踪文档，规范记录跟踪结果；按

15、照表171(石化计算机重特大信息系统损害事件处理结果应急报告表)的内容，对响应效果做出评估；对进入司法程序的事件，进行进一步的调查，打击违法犯罪活动。 表171 石化计算机重特大信息系统损害事件处理结果应急报告表原事件报告时间： 年 月 日 时 分 备案编号： 年 月 日 第 号# 总第 号单位名称联系人联系电话通信地址传 真电子邮件发生事件的信息系统基本信息名称及用途硬件及型号操作系统数据库应用软件系统安全测评 是，已经通过安全测评 是，但未通过安全测评 否，未经过安全测评发生事件的网络基本信息网络概况： IP地址段：网络结构：主要网络设备:其他：重特大信息系统损害事件的补充描述及最后判定的事件原因对本次重特大信息系统损害事件的事后影响状况事件后果业务中断 系统破坏 数据丢失 其他影响范围局部 大面积 整个信息系统 其他严重程度一级 二级 本次重特大信息系统损害事件的主要处理过程与结果（必要时可附文字、框图、图片等材料）针对此类事件应采取的保障网络与信息系统安全的措施和建议 报告人签章 值班电话： 传真： 电子信箱E-mail: 7 应急终止经应急处置后，现场应急指挥部确认以下条件同时满足时，向应急指挥中心办公室报告，石化应急指挥中心可下达应急终止指令：a) 攻击行为被彻底清除或隔离；b) 不可抗力影响消除；c) 计算机信息系统基本恢复正常。