XX數(shù)據(jù)中心應急方案

1、XXX有限公司XX應急方案XXX數(shù)據(jù)中心發(fā)放編號:受控狀態(tài)：受控 非受控X XX 有 限 公 司發(fā)布版本記錄版本狀態(tài)作者開始日期完成日期備注目錄目 錄 4.第 1 章總則 6.第 2 章數(shù)據(jù)中心應急方案組織體系 6.2.1 網(wǎng)絡與信息安全應急協(xié)調領導小組職責 62.2 領導小組辦公室組成及成員電話 62.3 工作職責 72.4 各設備應急聯(lián)系人 7第 3 章信息系統(tǒng)安全應急處置實施細則 8.3.1. 信息系統(tǒng)故障等級劃分 83.1.1. 一級故障 83.1.2. 二級故障 93.1.3. 三級故障 103.2. 網(wǎng)絡信息故障處理程序 103.2.1. 故障的發(fā)現(xiàn) 103.2.2. 故障的處理

2、103.2.3. 故障的記錄 113.2.4. 故障的升級上報 113.2.5. 報告內(nèi)容 133.2.6. 應急處置 133.2.7. 故障處理后的測試驗收 143.2.8. 故障書面報告 143.2.9. 故障報告填寫及報告 15第 4 章信息系統(tǒng)安全應急處理流程 1.64.1. 信息系統(tǒng)安全應急處理流程圖 164.2. 故障升級分類及升級時限 174.3. 越級報告 17第 5 章應急響應特點文檔及工具 1.75.1. 應急文檔的備存 175.2. 應急設備及軟件備存 18第 6 章應急處理預案 1.86.1. 網(wǎng)絡中斷應急處理 186.2. 黑客攻擊的應急處理 196.2.1. 應急處

3、理 196.2.2. 修復處理 206.3. 大規(guī)模病毒（含惡意軟件）攻擊的應急處理 206.4. 數(shù)據(jù)庫系統(tǒng)故障的應急處理 216.5. 設備硬件故障的應急處理 216.6. XX 相關故障應急處理 226.7. 對重大故障的應急處理 226.8. 請求外部協(xié)助支持 23第 7 章后期處理 2.3.7.1. 善后處理 237.2. 調查和評估 237.3. 應急方案更新 24附件：應急響應相關表單 2.4第1章總則為保證公司數(shù)據(jù)中心信息系統(tǒng)安全，防范蓄意攻擊、破壞網(wǎng)絡 系統(tǒng)及數(shù)據(jù)安全等緊急突發(fā)事件的發(fā)生， 根據(jù)公司XXX數(shù)據(jù)中心應 急預案，結合公司數(shù)據(jù)中心信息化的特點，特制定本應急方案。第2

4、章 數(shù)據(jù)中心應急方案組織體系2.1網(wǎng)絡與信息安全應急協(xié)調領導小組職責負責領導XXX數(shù)據(jù)中心網(wǎng)絡與信息安全應急工作，確定并直接 領導信息系統(tǒng)安全應急處置工作組。審定 XXX數(shù)據(jù)中心信息系統(tǒng)安 全應急預案并組織實施，研究解決數(shù)據(jù)中心有關網(wǎng)絡與信息系統(tǒng)安 全的重大問題。領導小組下設處置工作組，其工作職責由數(shù)據(jù)中心 承擔。2.2領導小組辦公室組成及成員電話姓名職務聯(lián)系電話組長副組長成員2.3工作職責（1）組長職責負責XXX數(shù)據(jù)中心網(wǎng)絡與信息安全應急方案的啟動，對XXX數(shù)據(jù) 中心網(wǎng)絡與信息安全故障全權組織進行應急處置。（2）副組長職責協(xié)助組長對數(shù)據(jù)中心網(wǎng)絡與信息安全故障進行應急處置，負責 確定合理的技術

5、處理方案、制定應急處置方案。組長不在現(xiàn)場或不便履行職責時，行使組長職責。（3）應急領導小組其它成員職責配合組長和副組長，實施應急處置工作。2.4各設備應急聯(lián)系人單位姓名職務聯(lián)系電話備注第3章信息系統(tǒng)安全應急處置實施細則3.1. 信息系統(tǒng)故障等級劃分XXX數(shù)據(jù)中心信息系統(tǒng)故障等級，按照信息安全技術 -信息系 統(tǒng)安全等級保護基本要求第二級的要求，具體劃分為三個等級， 一級故障為重大故障；二級和三級故障為一般性故障。3.1.1. 級故障信息系統(tǒng)發(fā)生故障，預計將或已經(jīng)嚴重影響公司核心系統(tǒng)業(yè)務， 導致相關業(yè)務中斷1小時以上，并預計24小時以內(nèi)無法恢復的，具 備以下一個或幾個特征，即定義為一級故障。1.

6、公司核心業(yè)務系統(tǒng)XXX XXX和部分XXX業(yè)務的廣域網(wǎng)和專網(wǎng)出現(xiàn)線路和設備故障，且中斷時間為一個小時以上；2. 公司數(shù)據(jù)中心核心網(wǎng)絡出現(xiàn)故障， 造成外網(wǎng)用戶不能訪問公司服 務器； 3公司數(shù)據(jù)中心核心業(yè)務服務器出現(xiàn)故障，無法及時恢復，導致業(yè) 務中斷一個小時以上。4. 公司數(shù)據(jù)中心存儲出現(xiàn)故障， 導致業(yè)務中斷一個小時以上且數(shù)據(jù) 無法恢復。5. xx 核心業(yè)務系統(tǒng)出現(xiàn)故障，導致公司業(yè)務中斷一個小時以上。6. 利用技術手段，造成業(yè)務數(shù)據(jù)被修改、假冒、泄漏、竊取的信息 系統(tǒng)安全事件。3.1.2. 二級故障信息系統(tǒng)發(fā)生故障， 預計將或已經(jīng)嚴重影響公司核心系統(tǒng)業(yè)務， 導致相關業(yè)務中斷 1 小時以上，并預計

7、6 小時以內(nèi)可以恢復的，具 備以下一個或幾個特征，即定義為二級故障。1. 公司部分核心業(yè)務系統(tǒng)出現(xiàn)線路故障，導致部分客戶無法訪問；2. 公司數(shù)據(jù)中心核心業(yè)務服務器宕機，無法及時恢復， 導致業(yè)務中 斷一個小時以上。3. 公司部分部署在 xx 機房的核心業(yè)務系統(tǒng)出現(xiàn)故障，導致公司業(yè) 務中斷一個小時以上。4. 病毒或網(wǎng)絡攻擊造成公司數(shù)據(jù)中心廣域網(wǎng)連接中斷或傳輸效率 明顯下降，關鍵業(yè)務系統(tǒng)不能正常提供服務；5. 人為誤操作導致公司備份數(shù)據(jù)丟失。6利用技術手段，造成業(yè)務數(shù)據(jù)被修改、假冒、泄漏、竊取的信息 系統(tǒng)安全事件。7 12小時以內(nèi)無法解決的三級故障。3.1.3. 三級故障滿足以下條件之一，即定義為三

8、級故障。1非核心業(yè)務出現(xiàn)故障，導致無法訪問。2故障發(fā)生后，影響到信息系統(tǒng)的運行效率，速度變慢，但不影響 業(yè)務系統(tǒng)訪問； 3故障發(fā)生后，可隨時應急處理，不會影響的系統(tǒng)全面運行，但是 一種隱患；3.2. 網(wǎng)絡信息故障處理程序3.2.1. 故障的發(fā)現(xiàn)數(shù)據(jù)中心中心工作人員在發(fā)現(xiàn)故障或接到故障報告后，首先要 判斷故障發(fā)生的原因，對故障的等級進行初步的判斷；其次聯(lián)系并 協(xié)調相關人員解決此次故障；待故障解決后，對此次故障進行詳細 的記錄。3.2.2. 故障的處理1. 發(fā)生故障的業(yè)務系統(tǒng)主管部門數(shù)據(jù)中心為故障處理部門， 故 障處理部門領導負責通知和落實相應崗位人員到達現(xiàn)場，故障處理 部門應首先指定現(xiàn)場指揮人員

9、，指揮人員應先詢問了解設備和配置 近期的變更情況，查清故障的影響范圍，從而確定故障的等級和發(fā) 生故障的可能位置；2. 對于一般性故障按照324的故障升級上報要求進行上報, 并在處理過程中及時向主管領導通報故障處理情況。3. 對于重大故障按照的故障升級上報要求進行上報， 并在處理過程中及時向主管領導通報故障處理情況。3.2.3. 故障的記錄在故障處理中，應對其過程進行詳細記錄，其中包括故障處理 的負責人，檢查的內(nèi)容及結果，對故障的判斷及處理辦法，以及故 障處理過程中各步驟及執(zhí)行人員。3.2.4. 故障的升級上報根據(jù)故障等級和發(fā)生的時限，要對故障的情況進行及時的上報, 并對報告人，告知人及時間及內(nèi)

10、容進行記錄。重大故障由部門主管 領導負責上報，一般性故障由故障處理人員負責上報。故障升級上 報時限如下表所示：升級時限一級故障二級故障三級故障立即數(shù)據(jù)中心經(jīng)理相應崗位人員相應崗位人員半小時數(shù)據(jù)中心部門主管數(shù)據(jù)中心經(jīng)理領導1小時公司主管咼層數(shù)據(jù)中心部門主管領導數(shù)據(jù)中心經(jīng)理4小時公司主管咼層數(shù)據(jù)中心部門主管領導8小時24小時故障上報升級時限XXX數(shù)據(jù)中心是負責受理和處理網(wǎng)絡和信息安全突發(fā)事件的具 體職責部門，在接到突發(fā)事件報告后，要按下列工作程序處置： 1 .一級故障的報告程序(1) 發(fā)現(xiàn)故障崗位人員根據(jù)故障初級判斷結果，立即向數(shù)據(jù)中 心經(jīng)理匯報；(2) 數(shù)據(jù)中心經(jīng)理根據(jù)故障初級判斷結果，迅速將有

11、關情況報 告xxx數(shù)據(jù)中心網(wǎng)絡與信息安全應急領導小組或數(shù)據(jù)中心部門主 管領導，報告時限不能超過30分鐘；(3) 經(jīng)排查故障無法在1個小時內(nèi)排除，將該突發(fā)事件形成書 面匯報材料呈報給公司主管領導，同時向數(shù)據(jù)中心部門主管領導 上報情況。2.二級故障的報告程序(1) 發(fā)現(xiàn)故障崗位人員根據(jù)故障初級判斷結果，將故障有關情況向數(shù)據(jù)中心經(jīng)理匯報，報告時限不能超過 30 分鐘；（2）數(shù)據(jù)中心經(jīng)理根據(jù)故障初級判斷結果，迅速將有關情況報 告xxx數(shù)據(jù)中心中心網(wǎng)絡與信息安全應急領導小組或數(shù)據(jù)中心部 門主管領導，報告時限不能超過 60 分鐘；（3）經(jīng)排查故障無法在 4 個小時內(nèi)排除，將該突發(fā)事件形成書 面匯報材料呈報

12、給公司主管領導。3. 三級故障的報告程序（1）發(fā)現(xiàn)故障崗位人員根據(jù)故障初級判斷結果，將故障有關情 況向數(shù)據(jù)中心經(jīng)理匯報，報告時限不能超過 1 小時；（2）數(shù)據(jù)中心經(jīng)理根據(jù)故障初級判斷結果，迅速將有關情況報 告xxx數(shù)據(jù)中心網(wǎng)絡與信息安全應急領導小組或數(shù)據(jù)中心部門主 管領導，報告時限不能超過 4 小時；（3）經(jīng)排查故障無法在 8 個小時內(nèi)排除，將該突發(fā)事件形成書 面匯報材料呈報給數(shù)據(jù)中心部門主管領導，做故障升級處理。3.2.5. 報告內(nèi)容報告內(nèi)容包括突發(fā)事件發(fā)生的時間、地點、過程、狀況、原因 及影響等。3.2.6. 應急處置1 數(shù)據(jù)中心根據(jù)故障情況立即進行應急處理， 防止事件進一步 擴大，同時分

13、析該故障的起因，判斷需要的處理時間，并根據(jù)判斷結果按故障升級上報程序，逐級上報；2 根據(jù)突發(fā)事件的性質、級別，決定啟動相關系統(tǒng)技術應急預 案；3 根據(jù)事件級別以及對業(yè)務影響程度的評估結果， 向網(wǎng)絡與信 息安全應急協(xié)調領導小組報告，應急領導小組決定是否啟動業(yè)務應 預案，數(shù)據(jù)中心配合業(yè)務部門開展應急處置工作；4 應急領導小組授權辦公室或責任人通過內(nèi)外網(wǎng)站、傳真等媒 介通報突發(fā)事件有關信息；5根據(jù)故障可能產(chǎn)生的原因盡早聯(lián)系其它相關部門、線路運營 商、設備供應商請求技術支持， 并將聯(lián)系外協(xié)支持的情況記錄在案。3.2.7. 故障處理后的測試驗收故障處理后，故障處理部門要進行自測，然后提交用戶進行確 認，

14、當用戶對處理結果認同后，故障最終確認解決。3.2.8. 故障書面報告對于重大故障和拖延時間較長的一般性故障，在處理過后，應 對故障及處理的全過程進行總結，以文字形式進行報告。對于影響較小的一般故障處理，在維護日志中做完整的說明和 記錄。3.2.9. 故障報告填寫及報告故障報告應包括以下幾方面的內(nèi)容： 故障處理過程的原始記錄， 故障情況描述及故障處理情況說明，報告中要明確說明故障處理是 否準確和及時，有無明顯的失誤，有無違反規(guī)定行為。語言應簡明 扼要，對情況描述要清楚、有條理。故障處理部門負責人將對故障報告進行全面審核，無誤后簽字 并報數(shù)據(jù)中心部門主管領導，重大故障報告需報公司主管領導。第4章

15、信息系統(tǒng)安全應急處理流程4.1. 信息系統(tǒng)安全應急處理流程圖收到故障處理請求信息通知相關人 員前去處理三級故障向信息中心技術部 部長匯報按照正常程序處理處理完畢根據(jù)故障 影響判斷.二級故障向應急響應領導小組或本處領導匯報否處理延時 故障升級采取應急救援措施搶險結束 恢復正常情況4.2. 故障升級分類及升級時限1、故障分類詳見第 3.1 章節(jié)。2、二級故障發(fā)生后，在 4 小時內(nèi)沒有解決，升為一級故障。 三級故障發(fā)生后，在 8 小時內(nèi)沒有解決，升為二級故障。4.3. 越級報告故障上報應遵循逐級上報原則，但在與上級聯(lián)系不上時，可越 級報告。第 5章 應急響應特點文檔及工具5.1. 應急文檔的備存（1

16、）各類網(wǎng)絡設備和服務器、計算機及其附屬設備的型號、序 列號等；（2）硬件設備供應商、生產(chǎn)廠商的電話、聯(lián)系人、技術支持網(wǎng) 址；（3）操作系統(tǒng)、關鍵業(yè)務應用軟件開發(fā)商或供應商的電話、聯(lián) 系人；（4）數(shù)據(jù)中心網(wǎng)絡拓樸圖；（5）路由器、防火墻、入侵檢測設備的配置文檔，服務器登陸 用戶及原始密碼文檔；（6）各類軟件的技術文檔及其他需要保存的文檔。5.2. 應急設備及軟件備存（1）正版操作系統(tǒng)啟動盤、安裝盤；（2）正版防病毒軟件（注明安裝及升級序列號） ；（3）數(shù)據(jù)庫管理系統(tǒng)軟件，數(shù)據(jù)庫備份軟件及最近完整的數(shù)據(jù) 備份存儲介質；（4）相關的設備驅動程序（含主板、顯卡、網(wǎng)卡等）及更新到 最新的服務器注冊表文件

17、；（5）備用網(wǎng)線，萬用表、測網(wǎng)儀、螺絲刀等必要工具；（6）其它必備的應急工具。第 6章 應急處理預案6.1. 網(wǎng)絡中斷應急處理1、故障排查：網(wǎng)絡中斷后，技術人員要迅速判斷故障節(jié)點，查明故障原因；2、故障排除： 如屬線路故障，應重新安裝線路。 如屬路由器、交換機等網(wǎng)絡設備故障，技術人員立即檢修并調試通暢。如路由器、交換機配置文件破壞，技術人員應迅速按照要求重新配置，調試通暢。必要時，請有關供貨單位、設備廠商 協(xié)助調測暢通。 如需更換設備， 應上報公司主管領導，經(jīng)批準后馬上更換故障 設備，盡快恢復系統(tǒng)運行。 如發(fā)現(xiàn)屬于外部線路的問題， 應與線路運營商聯(lián)系， 敦促盡快 恢復故障線路。 數(shù)據(jù)中心無法及

18、時修理時，應立即通知相關供應商及維護人 員，在最短時間內(nèi)安排修理。6.2. 黑客攻擊的應急處理6.2.1. 應急處理1. 當發(fā)現(xiàn)網(wǎng)絡上有黑客攻擊行為時，應立即向數(shù)據(jù)中心通報情 況，并由數(shù)據(jù)中心相關負責人向數(shù)據(jù)中心主管領導報告；2. 數(shù)據(jù)中心工作人員應立即趕到現(xiàn)場， 將被攻擊的服務器或其他 設備從網(wǎng)絡中隔離出來，必要時可以采取照片、截圖等方式留存記 錄，保護現(xiàn)場；3. 如事態(tài)較為嚴重， 經(jīng)向數(shù)據(jù)中心主管領導請示后， 立即向公安 部門報警，配合公安部門展開調查；4. 數(shù)據(jù)中心相關技術人員做好被攻擊或破壞后系統(tǒng)的恢復與重 建工作；5. 數(shù)據(jù)中心負責組織技術力量追查非法信息來源；6. 數(shù)據(jù)中心相關工作

19、人員將實施事件處理的過程和結果備案存 檔，必要時向數(shù)據(jù)中心主管領導匯報。6.2.2. 修復處理1、記錄系統(tǒng)狀況；2、立即復制系統(tǒng)登錄文件、歷史文件、日志文件等重要文件；3、修改防火墻、路由器等網(wǎng)絡安全設備的過濾規(guī)則；4、斷開被攻主機、關閉不需要的服務；5、處理可疑的文件和程序；6、修改不安全的系統(tǒng)帳號及其口令；7、恢復被修改的軟件和數(shù)據(jù)；8、安裝相應的補丁程序，填補安全漏洞 ；9、編寫報告，詳述事件過程及處理步驟。6.3. 大規(guī)模病毒（含惡意軟件）攻擊的應急處理1. 當發(fā)現(xiàn)局域網(wǎng)網(wǎng)絡中有大量服務器被感染上病毒后，服務器維護人員應立即上報數(shù)據(jù)中心；2. 數(shù)據(jù)中心工作人員應立即將該機從網(wǎng)絡上隔離開

20、來；3. 數(shù)據(jù)中心工作人員對該設備的硬盤進行數(shù)據(jù)備份， 并將防病毒軟件的病毒特征庫更新至最新版本；4. 數(shù)據(jù)中心工作人員啟用反病毒軟件對該機進行殺毒處理， 并 對相關服務器進行病毒掃描和清除工作；5. 情況較為嚴重的，已影響到公司相關系統(tǒng)的數(shù)據(jù)傳輸、應用系統(tǒng)訪問不正常等情況， 應及時向數(shù)據(jù)中心主管領導報告， 按照 3.1 信息系統(tǒng)故障等級劃分，確定其故障等級，并啟動相應的應急處理 程序進行排除。6.4. 數(shù)據(jù)庫系統(tǒng)故障的應急處理1. 數(shù)據(jù)庫系統(tǒng)每日必須存有備份，與軟件系統(tǒng)相對應的數(shù)據(jù)必 須有多日的備份；并將它們保存與安全處；2. 數(shù)據(jù)庫系統(tǒng)發(fā)生故障以后，數(shù)據(jù)中心工作人員立即向數(shù)據(jù)庫 組負責人和

21、數(shù)據(jù)中心主管領導匯報請示，經(jīng)同意后采用相關技術手 段盡快恢復數(shù)據(jù)庫運行，保證業(yè)務不中斷；3. 數(shù)據(jù)中心工作人員及時組織相關數(shù)據(jù)庫工程師，并同時通知 主要應用部門等技術力量做好數(shù)據(jù)庫系統(tǒng)切換和有關數(shù)據(jù)的恢復工 作；4. 數(shù)據(jù)庫工程師應檢查日志等資料，確定故障原因；5. 數(shù)據(jù)庫部門會同數(shù)據(jù)中心工作人員將實施處理的過程和結果 進行備案存檔，并向有關領導匯報。6.5. 設備硬件故障的應急處理1. 數(shù)據(jù)庫服務器等關鍵設備損壞后，數(shù)據(jù)中心相關人員應立即 向數(shù)據(jù)中心經(jīng)理報告；2. 數(shù)據(jù)中心經(jīng)理立即組織相關技術人員查明原因， 聯(lián)系維保單 位更換受損部件；3. 如果設備一時不能修復，應向數(shù)據(jù)中心主管領導匯報，并

22、告知各應用部門暫緩上傳上報數(shù)據(jù)或及時切換應用到其它應用服務器 上，及時恢復業(yè)務系統(tǒng)。6.6. XX 相關故障應急處理1. 數(shù)據(jù)中心相關工作人員應分析大致故障原因，并立即向數(shù)據(jù) 中心經(jīng)理報告；2. 數(shù)據(jù)中心經(jīng)理立即組織協(xié)調相關人員聯(lián)系 XX 相關負責人查 明原因解決此問題；3. 如果XX 時無法解決，應向數(shù)據(jù)中心主管領導匯報，并告知 各應用部門暫緩上傳上報數(shù)據(jù)或及時切換應用到其它應用服務器 上，及時恢復業(yè)務系統(tǒng)。6.7. 對重大故障的應急處理當數(shù)據(jù)中心工作人員通過網(wǎng)絡監(jiān)控到諸如廣域鏈路意外中斷、 核心路由（交換機）宕機。非法入侵及病毒入侵使網(wǎng)絡傳輸性能下 降，應用系統(tǒng)網(wǎng)站、核心數(shù)據(jù)庫等系統(tǒng)關鍵服

23、務器性能下降，嚴重 影響正常業(yè)務運行的情況時。數(shù)據(jù)中心工作人員應及時記錄故障發(fā) 生時間、地點等。同時立即報知數(shù)據(jù)中心主管領導。在此過程中數(shù) 據(jù)中心工作人員應檢查所發(fā)生故障設備和配置近期的變更情況，查 清故障的影響范圍，從而確定故障的等級和發(fā)生故障的可能部位， 在處理過程中要及時向主管領導通報故障的處理情況。6.8. 請求外部協(xié)助支持1. 對一時不能查清原因的重大故障，應盡早聯(lián)系原廠商請求技 術支持。2. 對 4 小時內(nèi)無法解決的一般性故障，也應聯(lián)系原廠商請求技 術支持，并要將聯(lián)系外協(xié)支持的情況記錄在案。第 7章 后期處理7.1. 善后處理應急處置工作結束后，現(xiàn)場領導小組組織有關人員和技術專家

24、組成事件調查組，對事件發(fā)生原因、性質、影響、后果、責任及應 急處置能力、恢復重建等問題進行全面調查評估，根據(jù)應急處置中 暴露出的管理、協(xié)調和技術問題，改進和完善預案，實施針對性演 練，總結經(jīng)驗教訓，整改存在隱患，組織恢復正常工作秩序。7.2. 調查和評估應急處理工作結束后， 應急響應領導小組應立即組織有關人員，專家組，會同技術中心成立事件調查小組，對事件發(fā)生及其處理過 程進行全面的調查，查清事件發(fā)生的原因及財產(chǎn)損失狀況并總結經(jīng) 驗教訓，寫出調查評估報告，并將故障處理文檔整理，形成知識庫 進行統(tǒng)一歸檔管理。73應急方案更新根據(jù)信息化快速發(fā)展和經(jīng)濟社會發(fā)展狀況，配合相關法律法規(guī) 的制定、修改和完善，結合應急處置中暴露出的管理、協(xié)調和技術 問題，修訂和完善本預案。附件：應急響應相關表單網(wǎng)絡與信息安全事件記錄表日期事件發(fā)生原因處理辦法處理結果操作人員審核人員網(wǎng)絡與信息安全事件應急預案摘要表一、應急領導小組成