幼儿园系统应急预案.docx

1、幼儿园系统应急预案校园网系统应急预案修改记录版本号版本日期修改人审批人修改记录第一章 信息系统应急预案组织机构为了保证学校校园网信息系统的安全，提高学校信息中心处置信息系统安全突发事件的能力，将突发事件对业务工作造成的损失降至最小程度，在学校校园网信息系统网络设备出现紧急故障的情况下，大力提升故障处理反应速度和能力，快速高效地处理重大故障，保证学校校园网信息系统和网络设备的安全稳定的运行。1.1 信息系统安全应急的组织领导1.1.1 领导小组工作职责负责领导学校校园网信息系统安全应急工作，确定并直接领导信息系统安全应急处置工作组。审定学校校园网信息系统安全应急预案并组织实施，研究解决学校校园网

2、有关网络及信息系统安全的重大问题。领导小组下设处置工作组，其工作职责由信息中心承担。1.1.2 领导小组的组成及成员电话姓 名职 务联 系 电 话正组长副组长组员1.1.3 信息系统安全应急处置工作小组工作职责1.组长职责负责学校网络设备应急预案的启动，对学校网络设备故障全权组织进行应急处置。学校设备发生故障后，启动应急预案、组织应急处置的同时，负责向单位负责人报告。2.副组长职责协助组长对学校网络设备故障组织进行应急处置。负责确定合理的技术处理方案、制定应急处置方案。组长不在现场或不便履行职责时，行使组长职责。3.应急领导小组其他成员职责配合组长和副组长，实施应急处置工作。1.2 各供应商应

3、急联系人姓 名职 务联 系 电 话各厂商应急联系人各厂商应急联系人，电话保持为24小时开机，可满足用户7*24小时应急故障处理。当学校学校网络出现故障时，应急领导小组可直接联系集成商，由集成商负责协调相关工程师到场进行处置。第二章 信息系统安全应急处置实施细则2.1 信息系统故障等级划分学校学校信息系统故障等级，按照信息安全技术-信息系统安全等级保护基本要求的要求，具体划分为四个等级，一级和二级故障为重大故障；三级和四级故障为一般性故障。2.1.1 一级故障信息系统发生故障，预计将或已经严重影响学校学校系统业务，导致相关业务中断1小时以上，并预计24小时以内无法恢复的，具备以下一个或几个特征，

4、即定义为一级故障。1. 学校广域网各节点出现线路和设备故障；2. 学校局域网核心出现故障，造成局域网用户不能访问核心服务器及不能访问广域网；3学校下辖学校广域网节点出现线路和设备故障；4学校WEB门户网站系统等关键服务器宕机或由其他原因导致拒绝提供服务的；5学校中心机房供电系统、集中空调系统等外围保障设施出现严重故障；6病毒攻击造成学校广域网连接中断或传输效率明显下降，关键业务系统不能正常提供服务；7 病毒攻击造成局域网感染客户端设备50台以上，导致关键业务系统和办公系统不能正常提供服务；8 利用技术手段，造成业务数据被修改、假冒、泄漏、窃取的信息系统安全事件。2.1.2 二级故障信息系统发生

5、故障，预计将或已经严重影响学校学校系统业务，导致相关业务中断1小时以上，并预计24小时以内可以恢复的，具备以下一个或几个特征，即定义为二级故障。1学校及下辖学校广域网节点出现线路和设备故障；2WEB门户网站所包含的关键业务、年检系统等主要性应用不能正常提供服务的；3学校中心机房供电系统、空调、UPS等外围保障设施出现严重故障；4病毒攻击造成关区各网络感染客户端设备50台以内，导致关键业务系统和办公系统不能正常提供服务；512小时以内无法解决的三级故障。2.1.3 三级故障满足以下条件之一，即定义为三级故障。1故障发生后，影响到信息系统的运行效率，速度变慢，但不影响业务系统访问；2故障发生后预计

6、在12小时以内恢复；324小时以内无法解决的四级故障。2.1.4 四级故障满足以下条件之一，即定义为四级故障。1故障发生后，可随时应急处理，不会影响的系统全面运行，但是一种隐患；2学校网络核心设备，因病毒攻击等原因，造成网络数据出现偶而掉包，但不影响系统的正常访问和运行。2.2 信息系统故障处理程序2.2.1 故障的发现信息中心工作人员在发现故障或接到故障报告后，首先要记录故障发生时间和发现时间，以及发现部门、发现人及联系电话，对故障的等级进行初步判定，并报告相关人员进行处理。2.2.2 故障的处理 1. 发生故障的信息系统应用系统主管科室为故障处理部门，故障处理部门领导负责通知和落实相应岗位

7、人员到达现场，故障处理部门应首先指定现场指挥人员，指挥人员应先询问了解设备和配置近期的变更情况，查清故障的影响范围，从而确定故障的等级和发生故障的可能位置； 2. 对于一般性故障按照2.3.4的故障升级上报要求进行上报，并在处理过程中及时向主管领导通报故障处理情况。 3. 对于重大故障按照2.3.4的故障升级上报要求进行上报，并在处理过程中及时向主管领导通报故障处理情况。2.2.3 故障的记录在故障处理中，应对其过程进行详细记录，其中包括故障处理的负责人，检查的内容及结果，对故障的判断及处理办法，以及故障处理过程中各步骤及执行人员。2.2.4 故障的升级上报根据故障等级和发生的时限，要对故障的

8、情况进行及时的上报，并对报告人，告知人及时间及内容进行记录。重大故障由处领导负责上报，一般性故障由故障处理部门负责上报。故障升级上报时限如下表所示：升级时限一级故障二级故障三级故障四级故障立即管理员相应岗位人员相应岗位人员相关技术人员半小时信息中心领导管理员1小时主管领导信息中心领导管理员4小时主管领导信息中心领导8小时24小时管理员故障上报升级时限学校信息中心是负责受理和处理网络和信息安全突发事件的具体行政机构，在接到突发事件报告后，要按下列工作程序处置：1一级故障的报告程序（1）发现故障岗位人员根据故障初级判断结果，立即向信息中心管理员汇报；（2）管理员根据故障初级判断结果，迅速将有关情况

9、报告学校信息中心信息系统安全应急领导小组或本处领导，报告时限不能超过30分钟；（3）经排查故障无法在1个小时内排除，将该突发事件形成书面汇报材料呈报给主管领导，同时向上一级主管部门上报情况。2二级故障的报告程序（1）发现故障岗位人员根据故障初级判断结果，将故障有关情况向信息中心管理员汇报，报告时限不能超过30分钟；（2）管理员根据故障初级判断结果，迅速将有关情况报告学校信息中心信息系统安全应急领导小组或本处领导，报告时限不能超过60分钟；（3）经排查故障无法在4个小时内排除，将该突发事件形成书面汇报材料呈报给主管领导。3. 三级故障的报告程序（1）发现故障岗位人员根据故障初级判断结果，将故障有

10、关情况向信息中心管理员汇报，报告时限不能超过1小时；（2）管理员根据故障初级判断结果，迅速将有关情况报告学校信息中心信息系统安全应急领导小组或信息中心主管领导，报告时限不能超过4小时；（3）经排查故障无法在8个小时内排除，将该突发事件形成书面汇报材料呈报给信息中心主管领导，做故障升级处理。4. 四级故障的报告程序（1）发现故障岗位人员根据故障初级判断结果，将故障有关情况向信息中心管理员汇报，报告时限不能超过24小时；（2）将有关情况报告部门负责人，必要时向办公室主任、技术处长汇报。2.2.5 报告内容报告内容包括突发事件发生的时间、地点、过程、状况、原因及影响等。2.2.6 应急处置 1信息中

11、心根据故障情况立即进行应急处理，防止事件进一步扩大，同时由信息系统安全应急处置工作小组分析该故障的起因，判断需要的处理时间，并根据判断结果按故障升级上报程序，逐级上报； 2根据突发事件的性质、级别，决定启动相关系统技术应急预案； 3根据事件级别以及对业务影响程度的评估结果，向信息系统安全应急领导小组报告，应急领导小组决定是否启动业务应预案，信息中心配合业务部门开展应急处置工作； 4应急领导小组授权办公室或责任人通过内外网站、传真等媒介通报突发事件有关信息；5根据故障可能产生的原因尽早联系上一级技术部门、线路运营商、设备供应商请求技术支持，并将联系外协支持的情况记录在案。2.2.7 故障处理后的

12、测试验收 故障的处理后，故障处理部门要进行自测，然后提交用户进行确认，当用户对处理结果认同后，故障最终确认解决。2.2.8 故障书面报告 对于重大故障和拖延时间较长的一般性故障，在处理过后，应对故障及处理的全过程进行总结，以文字形式进行报告。对于影响较小的一般故障处理，在维护日志中做完整的说明和记录。2.3 故障报告填写及报告 故障报告应包括以下几方面的内容：故障处理过程的原始记录，故障情况描述及故障处理情况说明，报告中要明确说明故障处理是否准确和及时，有无明显的失误，有无违反规定行为。语言应简明扼要，对情况描述要清楚、有条理。 故障处理部门的管理员将对故障报告进行全面审核，无误后签字并报信息

13、中心领导（签字），重大故障报告需报局主管领导。 第三章 信息系统安全应急处理流程3.1 信息系统安全应急处理流程图 3.2 故障分类 故障分类详见第2.1 及 2.2 章节。3.3 故障升级时限 二级故障发生后，在4 小时内没有解决，升为一级故障。 三级故障发生后，在8 小时内没有解决，升为二级故障。 四级故障发生后，在24小时内没有解决，升为三级故障。3.4 越级报告 故障上报应遵循逐级上报原则，但在及上级联系不上时，可越级报告。第四章 应急响应特定文档及工具4.1 应急文档的备存（1）各类网络设备和服务器、计算机及其附属设备的型号、序列号等；（2）硬件设备供应商、生产厂商的电话、联系人、网

14、址；（3）操作系统、关键业务应用软件开发商或供应商的电话、联系人；（4）网络拓朴图；（5）路由器、防火墙、入侵检测设备的配置文档，服务器登陆用户及原始密码文档；（6）各类软件的技术文档及其他需要保存的文档。4.2 应急设备及软件备存（1）正版操作系统启动盘、安装盘；（2）正版防病毒软件（注明安装及升级序列号）；（3）数据库管理系统软件，数据库备份软件及最近完整的数据备份存储介质；（4）相关的设备驱动程序（含主板、显卡、网卡等）及更新到最新的服务器注册表文件；（5）备用网线，万用表、测网仪、螺丝刀等必要工具；（6）其它必备的应急工具。第五章 应急处理预案5.1 电力系统故障的应急处理1、外电中断

15、后，技术部值班人员应立即检查中心机房UPS电源是否正常供电，并查明中断原因，及时向技术部负责人报告；2、如因楼内线路故障，要求物业管理部门迅速恢复供电； 3、如因供电部门因素导致供电中断，立即向供电部门联系，请供电部门迅速恢复供电；4、如告知需要长时间停电，应作如下安排：预计停电1小时以内，由UPS供电；预计停电1小时以上2小时以内，关掉非关键设备，确保各主机、路由器、交换机供电；预计停电超过2小时，在设备运行1小时候关掉所有机器设备。5、电力系统恢复供电后，技术部管理人员按照规定流程开启相关设备。5.2 消防系统应急处理当出现火情、火灾时，发现人员应在最短时间内通知信息中心安全员，并通知技术

16、部及分管相关领导，通报物业管理部门。若火情严重时，应迅速拨打119电话报警，并尽可能采取一些简单可行的方法做初步的处理，如： 科学使用周围的灭火器材或采用其他灭火措施、手段。在灭火的同时，立即疏散灾情范围的工作人员。进展情况随时向技术部及主管领导报告。（1）上班工作时间发生火警，听到自动消防系统发出报警后，还在机房工作的人员应及时紧急撤离，避免气体自动消防系统启动后，消防气体对人员造成人身伤害，确认火警后，立刻拨打119报警，并说明尽量使用气体灭火器进行灭火，减少电子设备的损坏。（2）非工作时间或节假日休息时间收到机房自动报警电话，应立刻向领导汇报及及办公楼内值班人员联系，要求值班人员马上到现

17、场确认火警情况，确认火警后，立刻拨打119报警，并使用气体灭火器进行灭火，减少电子设备的损坏。（3）发生火警后，中心机房相关人员应马上赶赴现场，并向有关领导汇报。同时立即联系各设备供应商等相关公司，及时评估事故损失情况，研讨恢复网络系统正常运行的最佳解决方案。5.3 网络中断应急处理1、故障排查：网络中断后，技术部技术人员要迅速判断故障节点，查明故障原因；2、故障排除：如属线路故障，应重新安装线路。如属路由器、交换机等网络设备故障，技术部技术人员立即检修并调试通畅。如路由器、交换机配置文件破坏，信息安全员应迅速按照要求重新配置，调试通畅。必要时，请有关供货单位、设备厂商协助调测畅通。如需更换设

18、备，应上报分管领导，经批准后马上更换故障设备，尽快恢复系统运行。如发现属于外部线路的问题，应及线路运营商联系，敦促尽快恢复故障线路。技术部无法及时修理时，应立即通知相关供应商及维护人员，在最短时间内安排修理。3、特殊情况，如故障判断、网络恢复需要1小时以上，技术部负责人因及时将相关情况汇报至分管领导处，并在领导同意的情况下，采用紧急恢复措施，绕过故障设备，先行恢复网络的联通性，并及时督促及落实设备供应商抵达现场，及时判断故障并恢复正常；4、故障处理完毕，恢复正常后，应立即进行故障现象的回归测试，测试结果确认无问题后，再进行总结及评估，并将处理过程形成故障处理文档的知识库，进行统一归档管理。5.

19、4 黑客攻击的应急处理5.4.1 应急处理1、当发现网络上有黑客攻击行为时，应立即向信息中心通报情况，并由技术部负责人向分管领导报告；2、信息安全员应立即赶到现场，将被攻击的服务器或其他设备从网络中隔离出来，必要时可以采取照片、截图等方式留存记录，保护现场；3、如事态较为严重，经向分管领导请示后，立即向公安部门报警，配合公安部门展开调查；4、技术部相关技术人员做好被攻击或破坏后系统的恢复及重建工作；5、技术部负责组织技术力量追查非法信息来源；6、信息安全员将实施事件处理的过程和结果备案存档，必要时向分管领导汇报。5.4.2 修复处理1、记录系统状况；2、立即复制系统登录文件、历史文件、日志文件

20、等重要文件；3、修改防火墙、路由器等网络安全设备的过滤规则；4、断开被攻主机、关闭不需要的服务；5、处理可疑的文件和程序；6、修改不安全的系统帐号及其口令；7、恢复被修改的软件和数据；8、安装相应的补丁程序，填补安全漏洞 ；9、编写报告，详述事件过程及处理步骤。5.5 大规模病毒（含恶意软件）攻击的应急处理1、当发现局域网络中有大量计算机被感染上病毒后，计算机使用人员应立即上报信息中心技术部；2、技术部技术人员应及时赶到病毒机器处理现场，立即将该机从网络上隔离开来；3、技术人员对该设备的硬盘进行数据备份，并将防病毒软件的病毒特征库更新至最新版本；4、技术人员启用反病毒软件对该机进行杀毒处理，并

21、对相关机器进行病毒扫描和清除工作；5、如发现反病毒软件无法清除该病毒，应向技术部领导汇报，由技术部组织相关技术人员研究解决，通过分析病毒的特征行为，寻找病毒专杀工具进行查杀；6、情况较为严重的，已影响到学校信息系统的数据传输、应用系统访问不正常等情况，应及时向有关分管领导报告，按照2.1 信息系统故障等级划分，确定其故障等级，并启动相应的应急处理程序进行排除。5.6 软件系统故障的应急处理1、软件系统平时必须存有备份，及软件系统相对应的数据必须有多日的备份；并将它们保存于安全处；2、软件系统发生故障后，技术人员应立即向技术部负责人或分管领导汇报，经确认后停止该系统的运行并切换至备份系统，保证业

22、务正常进行；3、技术部及时组织本部门技术人员，并同时通知软件系统主要应用部门做好软件系统和有关数据的恢复工作；4、信息安全员检查日志等资料，确定故障原因；5、技术部会同信息中心相关人员将实施处理的过程和结果备案存档，并向有关领导汇报。5.7 数据库系统故障的应急处理1、数据库系统每日必须存有备份，及软件系统相对应的数据必须有多日的备份；并将它们保存及安全处；2、数据库系统发生故障以后，技术人员立即向技术部负责人或分管领导汇报请示，经同意后采用重启或其他手段尽快恢复数据库运行，保证业务不中断；3、技术部及时组织相关技术人员，并同时通知主要应用部门等技术力量做好数据库系统切换和有关数据的恢复工作；

23、4、信息安全员检查日志等资料，确定故障原因；5、技术部会同信息中心相关人员将实施处理的过程和结果进行备案存档，并向有关领导汇报。5.8 设备硬件故障的应急处理1、小型机、服务器等关键设备损坏后，技术人员应立即向技术部负责人报告；2、技术部负责人立即组织技术人员查明原因，联系维保单位更换受损部件；3、如果设备一时不能修复，应向分管领导汇报，并告知各应用部门暂缓上传上报数据。5.9 其他网络故障应急处理5.9.1 故障的发现学校信息中心负责人员在发现故障或接到故障报告后，首先要记录故障发生时间和发现时间，以及发现部门、发现人及联系电话，对故障的等级进行初步判定，并报告相关人员进行处理。5.9.2

24、对重大故障的处理当网管人员通过网络监控到诸如广域链路意外中断、核心路由（交换机）宕机。非法入侵及病毒入侵使网络传输性能下降，WEB门户网站、核心数据库等系统关键服务器性能下降，严重影响正常业务运行的情况时。网管人员应及时记录故障发生时间、地点等。同时立即报知主管领导。在此过程中网管人员应向所发生故障部门技术员询问所发生故障设备和配置近期的变更情况，查清故障的影响范围，从而确定故障的等级和发生故障的可能部位，随后网管人员根据判定故障发生区域情况向该故障所在区域主管网络技术人员通告并安排进一步的检查。如故障有可能涉及其他部门，应联系相关部门，请求协助调查及处理。在处理过程中要及时向主管领导通报故障

25、的处理情况。5.9.3 对一般性故障的处理一般性故障的处理由相关部门负责，一般由技术部负责人负责故障的处理；负责人员应先询问了解设备和配置近期的变更情况，查清故障的影响范围，从而确定故障的等级和发生故障的可能部位，随后网管人员根据判定故障发生区域情况向该故障所在区域主管网络技术人员通告并安排进一步的检查。如故障有可能涉及的其他部门，应及时联系相关部门，请求协助调查及处理。在处理过程中网管人员应及时向主管领导汇报故障的处理进展情况。5.9.4 故障的记录在故障处理中，网管人员应对其过程进行详细记录，其中包括故障处理的负责人，检查的内容及结果，对故障的判断及处理办法，以及故障处理过程中各步骤及执行

26、人员。5.9.5 请求外协支持对一时不能查清原因的重大故障，应尽早联系原厂商请求技术支持。对4小时内无法解决的一般性故障，也应联系原厂商请求技术支持，并要将联系外协支持的情况记录在案。5.9.10 故障处理后的测试验收故障处理后，故障处理部门要进行自测，如有可能请用户进行确认，当使用部门对处理结果认同后，故障最终确认解决。5.9.11 故障书面报告对于重大故障和拖延时间较长的故障，在处理过后，应对故障及处理的全过程进行总结，以文字形式进行报告。对于影响较小的一般故障处理，在维护日志中做完整的说明和记录。故障报告应包括以下几方面的内容：故障处理过程的原始记录，故障情况描述及故障处理情况说明，报告

27、中要明确说明故障处理是否准确和及时，有无明显的失误，有无违反规定行为。语言应简明扼要，对情况描述要清楚、有条理。故障处理部门的高级技术岗位人员将对故障报告进行全面审核，无误后交主管领导做进一步处理。5.10 中心机房停电的应急处理5.10.1 中心机房长时间停电1、登陆设备，备份数据；2、记录当前设备端口状态；3、数据统一保存到专用网管机；4、派专职工程师每三分钟查看一次设备运行状态，详细记录一级网设备板卡状态和设备温度；5、用风扇等制冷设备使核心交换机和核心路由器进行人工降温。5.10.2 UPS供电能力不足征求应急小组组长同意后，关闭机房一些非关键应用、功耗大的设备，以满足核心设备（交换机

28、、路由器、门户网站服务器、数据库服务器等设备）的正常运转。5.10.3设备因温度过高重启如果因为温度原因，导致设备不断重启，报告应急技术部负责人，然后手动关闭设备，并用应急降温设备对设备进行局部降温。当设备附近温度低于30度，再手动开启设备。数据检查：1)对比当前数据和备份数据是否一致；2)对比设备当前端口状态是否和停电前一致；3)对比当前配置信息和备份前是否一致；如果不一致，则报告技术部负责人和信息中心分管领导，按照设备故障来处理。5.11 机房漏水应急处理1、发生机房漏水时，第一目击者应立即通知信息中心，并及时报告技术部负责人，技术部负责人接报后应立即前往事发地； 2、若精密空调系统出现渗

29、漏水，技术部负责人应立即通知工程部进行处理,及时清除机房积水；3、及时通知精密空调设备厂商，联系专业人员前往现场进行漏水点排查及修复；4、若墙体或窗户渗漏水，现场领导小组应立即采取有效措施确保机房安全，同时通知物业管理处及工程部，及时清除积水，维修墙体，消除渗漏水隐患。 5.12 设备发生被盗或人为损害事件应急处理 1、发生设备被盗或人为损害设备情况时，使用者或管理者应立即报告技术部负责人，同时保护好现场；2、技术部负责人接报后，通知安保部门、信息中心分管领导，一同核实审定现场情况，清点被盗物资或盘查人为损害情况，做好必要的影像记录和文字记录； 3、事件发现人应当积极配合相关部门进行调查， 并

30、将有关情况向分管领导汇报；4、信息中心指定专人负责，及时恢复设备正常运行，并对事件进行调查；5、信息中心应在调查结束后一日内书面报告市局分管领导；6、必要时，应急领导小组还应及时上报至省局信息中心应急响应领导组和相关部门。5.13 雷击事故应急处理 1、遇强雷暴天气或接上级部门强雷暴气象预警，应关闭所有服务器，切断电源，暂停内部计算机网络工作。 2、强雷暴天气结束后，及时开通服务器，恢复内部计算机网络工作。 3、因雷击造成的损失，应及时进行核实、报损；4、如设备因雷暴、雷击影响，烧毁部件，应及时联系维保单位，进行备件更换，并将详细情况向部门领导汇报。第六章 后期处理6.1 善后处理应急处置工作结束后，现