網(wǎng)絡(luò)與信息安全突發(fā)事件關(guān)鍵業(yè)務(wù)恢復(fù)計劃(參照模板)

1、關(guān)鍵業(yè)務(wù)恢復(fù)計劃 1目的 為及時處置公司網(wǎng)絡(luò)與信息安全突發(fā)事件，建立健全信息安全應(yīng)急響應(yīng)機制，及時控制 或最大程度消除各類信息安全突發(fā)事件的負面影響，保障公司關(guān)鍵業(yè)務(wù)活動的正常開展，特 制定本預(yù)案。 2 范圍 病毒的大規(guī)模爆發(fā)和異常的網(wǎng)絡(luò)攻擊； 公司的網(wǎng)絡(luò)服務(wù)器（FTP SVN Mail等等）被非法入侵，服務(wù)器上的數(shù)據(jù)被非 法拷貝、修改、刪除； 公司W(wǎng)eb網(wǎng)站主頁被惡意纂改，或在網(wǎng)站上發(fā)布的內(nèi)容違反國家的法律法規(guī)、 侵 犯知識版權(quán)，并造成嚴(yán)重后果。 3 術(shù)語和定義 無。 4 職責(zé)和權(quán)限 4.1信息安全領(lǐng)導(dǎo)辦公室 批準(zhǔn)關(guān)鍵業(yè)務(wù)恢復(fù)計劃； 組織本計劃的實施。 4.2部門信息安全主管和信息安全員 在

2、信息安全領(lǐng)導(dǎo)辦公室的統(tǒng)一組織下，參與本計劃的實施。 5 相關(guān)活動 5.1應(yīng)急團隊 應(yīng)急組領(lǐng)導(dǎo)者：XXX 應(yīng)急組成員：XXX XXX XXX 5.2應(yīng)急處理 在事件發(fā)生現(xiàn)場，應(yīng)急團隊盡最大可能收集事件相關(guān)信息，判別事件類別，確定事件來 源，保護證據(jù)，以便縮短應(yīng)急響應(yīng)時間。 檢查威脅造成的結(jié)果，評估事件帶來的影響和損害：如檢查系統(tǒng)、服務(wù)、數(shù)據(jù)的完整性、 保密性或可用性；檢查攻擊者是否侵入了系統(tǒng)；以后是否能再次隨意進入；損失的程度；確 定暴露出的主要危險等。 抑制事件的影響進一步擴大，限制潛在的損失與破壞。 可能的措施包括但不限于: 對發(fā)現(xiàn)的網(wǎng)內(nèi)病毒源通過關(guān)閉端口等措施及時進行隔離 對于外網(wǎng)進入的網(wǎng)

3、絡(luò)病毒應(yīng)在邊界路由器上做針對性地訪問控制 關(guān)閉服務(wù)或關(guān)閉所有的系統(tǒng) 從網(wǎng)絡(luò)上斷開相關(guān)系統(tǒng)的物理鏈接 修改防火墻和路由器的過濾規(guī)則 封鎖或刪除被攻破的登錄賬號 阻斷可疑用戶得以進入網(wǎng)絡(luò)的通路 提高系統(tǒng)或網(wǎng)絡(luò)行為的監(jiān)控級別 設(shè)置陷阱；啟用緊急事件下的接管系統(tǒng) 實行特殊“防衛(wèi)狀態(tài)”安全警戒 反擊攻擊者的系統(tǒng)等 在事件被抑制之后，明確相應(yīng)的補救措施并徹底清除。與此同時，應(yīng)急處理工作組對攻 擊源進行準(zhǔn)確定位并采取合適的措施將其中斷。 5.3恢復(fù) 根據(jù)確定的優(yōu)先級別，由高到低的順序進行恢復(fù)。 根據(jù)關(guān)鍵業(yè)務(wù)活動的不同，采取不同的恢復(fù)方式。（以下為舉例） 如病毒大規(guī)模爆發(fā)或異常的網(wǎng)絡(luò)攻擊等，可采取中斷外網(wǎng)、由

4、網(wǎng)絡(luò)管理員逐臺清除病毒 等措施，或?qū)ο到y(tǒng)重新進行安裝。 如公司的網(wǎng)絡(luò)服務(wù)器被非法入侵，可采取中斷外網(wǎng)，啟用備份數(shù)據(jù)恢復(fù)。 清理系統(tǒng)、恢復(fù)數(shù)據(jù)、程序、服務(wù)。把所有被攻破的系統(tǒng)和網(wǎng)絡(luò)設(shè)備徹底還原到正常的 任務(wù)狀態(tài)?；謴?fù)工作應(yīng)十分小心，避免出現(xiàn)操作失誤而導(dǎo)致數(shù)據(jù)丟失。另外，恢復(fù)工作中如 果涉及到機密數(shù)據(jù)，需要額外按照機密系統(tǒng)的恢復(fù)要求。如果攻擊者獲得了超級用戶的訪問 權(quán)，一次完整的恢復(fù)應(yīng)強制性地修改所有的口令。 5.4證據(jù)收集和總結(jié) 回顧并整理發(fā)生事件的各種相關(guān)信息，盡可能地把所有情況記錄到文檔中。應(yīng)急團隊在 應(yīng)在事件處理完畢后5個工作日內(nèi)將處理結(jié)果和正式報告上報信息安全領(lǐng)導(dǎo)辦公室備案 報告應(yīng)包括以下內(nèi)容：事件發(fā)生時間、地點、單位、事件內(nèi)容，涉及計算機的IP地址、 管理人、操作系統(tǒng)、應(yīng)用服務(wù)，損失，事件性質(zhì)及發(fā)生原因，事件處理情況及采取的措施； 事故報告單位/人、報告時間等。 在報告的同時，盡可能提供相關(guān)證據(jù)。必須時為法律訴訟提供證據(jù)。 6 相關(guān)文件和記錄 業(yè)務(wù)連續(xù)性管理程序 信息安全事件管理程序 備份管理程序 信息安全事件報告和處理表 信息安全事件報告和處理表 事件報告時間 事件編號 相關(guān)事件的編 號 （如果有的話） 報告人信息 姓名： 部門： 電話： 電子郵件： 信息安全事件 描述 發(fā)生了什么 怎樣發(fā)生的 發(fā)生的地點 受影響的程度 信息安