1总则

1.1编制目的

为提高富阳区市场监管局网络与信息系统安全突发事件的应对能力，保障网络和信息系统安全运行，结合局网络和信息系统管理工作实际，制定本预案。

1.2编制依据

依据《中华人民共和国计算机信息系统安全保护条例》《计算机病毒防治管理办法》《浙江省网络与信息安全应急预案》等有关法规、规定，制定本预案。

1.3事件分类

本预案所称网络与信息安全事件分为以下三类：

攻击类事件：指网络与信息系统因计算机病毒感染、非法入侵等导致系统运行异常、网络瘫痪、页面被篡改、信息内容出现重大政治、社会敏感问题等情况。

故障类事件：指网络与信息系统因计算机软硬件做障、人为误操作等导致关键业务中断、系统宕机、网络瘫痪等情况。

灾害类事件：指因爆炸、火灾、雷击、地震、台风等外力因素导致网终与信息系统损毁，造成关键业务中断、系统宕机、网络瘫痪等情况。

1.4事件分级

按照安全事件的性质、严重程度、可控性和影响范围，将其分为I级、Ⅱ级、Ⅲ级、IV级。

(1)I级安全事件：网络及各类应用全面瘫痪，致使所有应用无法使用超过2小时以上，事态发展超出区局控制能力。

(2)Ⅱ级安全事件：网络及各类应用全面瘫痪，致使所有业务系统无法使用在2小时之内。

(3) III级安全事件：局部网络瘫痪，致使单个网络无法使用超过2小时以上。

(4) IV级安全事件：单个业务系统瘫痪，致使单个业务系统无法使用超过2小时以上。

1.5适用范围

本预案适用于区局计算机网络及各类业务应用系统突发事件的应急处置。

2组织机构

2.1领导机构

富阳区市场监督管理局网络与信息安全工作领导小组（以下简称应急领导小组）。应急领导小组是局网络与信息安全事件应急管理的领导机构，主要负责对全局网络与信息安全事件的统一领导、重大决策和综合协调。应急领导小组组长由局长担任，信息化工作分管领导担任副组长，各科（室）、所、队、中心负责人为成员。

2.2工作机构

应急领导小组下设应急办公室和技术保障组，按分工做好网络与信息安全事件的监控、接报、处置、记录、上报、协调等工作。

3应急处置原则

3.1统一指挥

网络与信息安全应急工作由局应急领导小组统一指挥和调度。

3.2主动防范

技术保障组应加强对网络设施的实时监控和防范，对重点网络设备或可能发生单点故障的设备或电路加强主动维护，确保关键网络和应用的安全运行。

3.3快速反应

网络与信息安全突发事件发生后，按照快速反应机制，及时获取充分而准确的信息，跟踪研判，果断决策，迅速处置，最大程度地减少危害和影响。

3.4作好溯源

对网络与信息安全事件处理过程，做好详细记录，以便追查事故起源，举一反三，及时处置。

3.5常备不懈

加强技术储备，规范应急处置措施与操作流程，定期进行预案演练，实现应急处置的科学化、程序化与规范化。

4应急处置流程

区局工作网络是基于区政务外网组建的市场监管专网，主要应用是门户网站、办公系统和各类应用信息系统等，各部门用户、相关维护公司在使用及维护区局网络时，若发现应用系统运行异常、网站页面被篡改、信息内容出现重大政治、社会敏感问题等网络与信息内容安全事件等情况，应立即通报局网管科值班人员（非工作时间通过电话值班），启动以下应急处置流程：

4.1先期处置

4.1.1值班人员可立即采取将服务器离线并报应急办公室和技术保障组负责人；

4.1.2技术保障组负责人接报后立即通知指定工作人员在第一时间到现场，检查主机、安全设备及网络设备日志并保留相关证据；

4.1.3技术保障组技术人员现场对事件或故障进行分析，排查、控制事态发展，并将故障原因、相应的处理办法以及预计恢复的时间报支术保障组负责人同意后，进行应急处置。根据需要还可组织其他技术服务机构在各自职责范围内参与应急处置工作。

4.2事件报告

4.2.1如经分析、排查后确定为攻击类事件，技术保障组负责人将事件情况、影响的后果以及准备启动备用系统或停用系统的措施报应急办公室，经应急领导小组同意后，启动备用系统或停用系统，并将攻击情况书面报市局、区数据资源局。

4.2.2如经分析、排查后确定为故障类事件，故障影响行政审批、12315举报投诉、窗口业务办理和内部办公系统的，技术保障组负责人将故障影响的后果以及准备启动备用系统或人工受理模式的措施报应急办公室，经应急领导小组同意后，启动备用系统或人工受理。故障影响内部部分应用的，技术保障组负责人将故障影响的后果以及准备启动故障排除的指施报应急办公室同意后，启动故障排除工作，若故障发生2个小时不能解决的，经应急领导小组同意后，通过电话方式将系统故障情况通知各使用部门。

4.2.3应急办公室根据上级部门要求，做好向市局、区数据资源局的报告工作，以及系统内使用用户的问询工作。

4.2.4技术保障组在接报并确定故障原因后的24小时内，将突发事件的发生和处置初步情况形成书面文字材料报应急办公室。

4.3故障处理

如经分析、排查判断为故障类事件按以下几种情况分别处理：

4.3.1网络设备故障（交换机、信息点），由网络设备责任人负责进行排除；

4.3.2主机系统故障（以服务器为物理边界），由主机责任人负责进行排除；

4.3.3安全设备做障（入侵检测、防火墙设备），由安全设备责任人进行排除；

4.3.4应用系统故障（如0A系统、行政审批、业务应用系统等)，由应用系统相应责任人进行排除。

技术保障组人员职责及分工由局网管科具体落实，包括网络设备、各个业务系统具体责任人员。

4.4系统恢复

技术保障组技术人员在排除保障和攻击后，报技术保障组负责人，负责人会同相关专家检查由该事件衍生的其他事件已经消失，安全隐患已经消除，信息系统和业务恢复正常，应急状态可以结束后，报应急办公室同意，进入常态化管理，并通过电话方式通知各使用部门系统恢复使用。

4.5事件归档

对各类突发安全事件应急处理完毕一周内，技术保障组负责人会同相关技术人员将突发事件各种相关信息进行整理后归档。

5典型事件处理流程

5.1网络出口流量异常（包括出口中断)

5.1.1相关技术人员应在接到通知后立即赶到现场，尽快确认故障点。

5.1.2若出口中断，检查本地接口地址，逐级检查防火墙、核心交换机以及接入交换机，确定故障位置，将故障分析情况以及系统恢复的预计时间报告技术保障组负责人。

5.1.3若出口流量异常，使用网络分析工具对网络接口进行分析，查找引起流量异常的原因。若确定流量异常是由于内部用户终端导致，及时通知用户并隔离该用户；若确定流量异常是由于区政务外网导致，直接封锁相应源网络，并通知市政务外网管理部门查找原因和排除故障。

5.1.4对照技术文档，对问题设备的参数配置进行全面检查，调整到预定的参数。

5.2网络病毒爆发

5,2.1相关技术人员应在接到通知后立即赶到现场，应尽快确认病毒源，确定病毒爆发范围以及系统恢复的预计时间，并将有关情况向技术保障组负责人报告。

5.2.2对于部分区域爆发病毒，断开相应子网络；根据病毒可能造成的危害，对子网络内的设备进行杀毒处理，确认病毒威胁消除后方可重新开通该子网络。

5.2.3对于全网爆发病毒，通过网络审计以及入侵检测监控，通过检查接入层交换设备逐步缩小病毒源的范围，直到查出病毒的真正位置，并进行杀毒处理，确认病毒威胁消除后方可重新开通该网络。

5.2.4对于现行反病毒软件无法清除的病毒，应立即向技术保障组负责人报告，拟定书面解决方案，迅速联系有关产品厂商研究解决。

5.3主机病毒爆发

5.3.1相关技术人员应在接到通知后立即赶到现场，迅速定位病毒感染设备，分析病毒影响范围以及系统恢复的预计时间，并将有关情况向技术保障组负责人报告。

53.2将感染的设备从网络隔离，以防扩散。启用反病毒软件对该机器进行杀毒处理，同时通过病毒检测软件对其他机器进行病毒扫描和清除工作。

5.3.3如果感染病毒的设备是主服务器，技术保障组应立即告知各联网单位做好相应的清查工作。

5.3.4对新发现的病毒，现场技术人员在确认病毒特征后，应及时拿出针对该病毒的技术解决方案并通知用户。同时，对发现的网内病毒源通过关闭端口的手段及时进行隔离。对病毒的检测和处理及时完成日志记录工作。对于由外网进入的网络病毒应在边界防火墙上做针对性地访问控制，对已实施的访问控制要做好日志和备案工作。

如果现行反病毒软件无法清除该病毒，应立即向技术保障组负责人报告，拟定书面解决方案，迅速联系有关产品厂商研究解决。

5.4网络遭受攻击

5.4.1相关技术人员应在接到通知后立即赶到现场，迅速定位网络攻击点，分析影响的范围以及系统恢复的预计时间，并将有关情况向技术保障组负责人报告。

5.4.2路由交换设备受到攻击不能正常运行，导致网络中断，对照技术文档，检查路由交换设备的配置，并调整到预定的参数。

5.4.3若各类信息服务受到攻击，不能正常提供服务，情况如下：

(1)信息服务受到恶意攻击，信息被恶意篡改，应在第一时间断开服务器的物理网络连接（若未造成恶劣影响的，且在服务恢复过程中需要使用网络的，可不断开网络连接，保存系统日志；尽快恢复该信息服务的正常运行；分析攻击事件，修正安全策略。根据审计系统记录的日志和系统日志，分析查找攻击来源，查找责任人。

(2)当发现网页内容被篡改，或通过入侵检测系统发现有黑客正在进行攻击时，应立即向技术保障组负责人报告，并根据需要，请求相关技术人员立即赶到现场。同时先将被攻击的服务器等设备从网络中隔离出来，保护现场。

(3)相关技术人员赶到现场后，恢复与重建被攻击或破坏的系统。

5.5网站不良信息

5.5.1相关技术人员应在接到通知后立即赶到现场，查找网终不良信息，应首先切断信息源的网络连接，清理不良信息，妥善保存有关记录及日志或审计记录，强化安全防范措施，并将网站网页恢复，重新投入使用。

5.5.2追查不良信息来源：并将有关情况向技术保障组负责人报告。

5.5.3密切监视信息内容，直到应急预案解除。

5.6应用系统无法正常工作

5.6.1相关技术人员应在接到通知后立即赶到现场，查找应用系统故障原因，迅速定位故隨点，分所影响的范围以及系统恢复的预计时间，并将有关情况向技术保障组负责人报告。

5.6.2妥善保存有关记录及日志或审计记录，并将应用或数据库恢复，重新投入使用：对应用或数据库影响的所有业务系统及数据接口进行全面检查，防止系统恢复中可能带来的其他问题。

5.6.3密切监视信息内容，相关技术人员解决系统故障，恢复系统运行，直到应急预案解除。

6应急保障

6.1网络与信息安全日常防护

6.1.1应急办公室要分级、分层落实网络与信息安全责任，对组织机构中的人员和联系方式，做到及时更新并公布，进行定期的安全知识和实务培训。

6.1.2技术保障组要做好网络设备安全加固，对已知的系统漏洞应及时安装补丁程序。可采取通过向专业网络安全公司购买安全服务的方式，提升处理互联网紧急情况的能力和效率。

6.1.3加强网络安全策略，各重要信息系统在设计时要考虑设备的冗余备份和信息存储的异地备份，各容灾备份系统应具有一定兼容性，在特殊情况下各系统间可互为备份。

6.2应急预案演练

每年应组织应急预案演练，检验预案的可执行性。根据实际情况的变化，及时修订本预案。

6.3宣传教育和培训

区局将网络与信息安全应急管理、处置流程等列入工作人员培训内容，开展预防、预警等知识学习，普及应急救援的基本知识，提高工作人员防范意识和应急处置能力

6.4经费保隆

为确保网络与信息安全应急预案的实施，应急领导小组应落实网络与信息安会应急处置以及演练颈算。

6.5责任与奖惩

应急领导小组按预案规定不定期进行检查，对各项制度、计划、方案、人员、物资等进行实地验证，并以演习的评定结果作为是否有效落实预案的依据。对未有效落实预案各项规定的单位和部门进行通报批评，责令限期整改。

7附则

7.1结合信息网络发展情况以及相关法律法规的制定、修改和完善，适时修订本预案。

7.2本预案由局网管科负责解释和全过程管理。