導航：安全管理網(wǎng)>> 培訓課件>> 應急預案|急救>>正文

信息安全應急響應體系建設

		點擊數(shù)：	更新時間： 2021年07月21日
下載地址：點擊這里	文件大?。?2.91 MB 共84頁	文檔格式： PPT	下載點數(shù)： 21 點（VIP免費）

全屏查看

部分內(nèi)容預覽 [文件共84頁]

本文件共84頁，只能預覽部分內(nèi)容，查看全部內(nèi)容需要下載。

注：預覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?.91 MB 共84頁文件格式：PPT 下載點數(shù)：21 點（VIP會員免費）

下一篇：固體儲運冬季三防應急預案

上一篇：重點環(huán)節(jié)應急管理及應急預案

文本預覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

課程要點
什么是應急響應和應急響應體系
應急響應的六大階段
應急預案的編制和管理
應急響應體系建立流程
典型應急響應體系建設案例

基本概念
安全事件（Security Accident）
  而安全事件則是指影響一個系統(tǒng)正常工作的情況。這里的系統(tǒng)包括主機范疇內(nèi)的問題，也包括網(wǎng)絡范疇內(nèi)的問題，例如黑客入侵、信息竊取、拒絕服務攻擊、網(wǎng)絡流量異常等。
應急響應（Emergency Response）
是指組織為了應對突發(fā)/重大信息安全事件的發(fā)生所做的準備以及在事件發(fā)生后所采取的措施。

基本概念
3
應急響應體系（Emergency Response System）
      是指在突發(fā)/重大信息安全事件后對包括計算機運行在內(nèi)的業(yè)務運行進行維持或恢復的各種技術和管理策略和規(guī)程。
   信息安全應急響應體系的制定是一個周而復始、持續(xù)改進的過程，包含以下幾個階段：
（1）應急響應需求分析和應急響應策略的確定；
（2）編制應急響應計劃文檔；
（3）應急響應計劃的測試、培訓、演練和維護。
應急響應目的
應急響應服務的目的是盡可能地減小和控制住網(wǎng)絡安全事件的損失，提供有效的響應和恢復指導，并努力防止安全事件的發(fā)生。
應急響應與應急響應體系的關系
5
政策要求
6
《關于加強信息安全保障工作的意見》（中辦發(fā)『2003』27號文）指出：“信息安全保障工作的要點在于，實行信息安全等級保護制度，建設基于密碼技術的網(wǎng)絡信任體系，建設信息安全監(jiān)控體系，重視信息安全應急處理工作，推動信息安全技術研發(fā)與產(chǎn)業(yè)發(fā)展，建設信息安全法制與標準”
國家信息安全戰(zhàn)略的近期目標：通過五年的努力，基本建成國家信息安全保障體系。

政策要求
7
為了落實27號文精神國家網(wǎng)絡與信息安全協(xié)調小組辦公室于2003年10月發(fā)布了《網(wǎng)絡與信息安全信息通報暫行辦法》、2004年9月發(fā)布了
《關于做好重要信息系統(tǒng)災難備份工作的通知》，2004年8月發(fā)布了《關于建立健全基礎信息網(wǎng)絡和重要信息系統(tǒng)應急協(xié)調機制的意見》等文件。這些文件對推動災難備份和應急響應的發(fā)展起到了重要作用。

相關標準
8
?GB/T 24364-2009?《信息安全技術?信息安全應急響應計劃規(guī)范》
GB/T 20988-2007 《信息安全技術 信息系統(tǒng)應急響應規(guī)范》
GB/Z 20985-2007 《信息技術 安全技術 信息安全事件管理指南》 
GB/Z 20986-2007 《信息安全技術 信息安全事件分類分級指南》

應急響應六階段
9
第一階段：準備——讓我們嚴陣以待
第二階段：確認——對情況綜合判斷
第三階段：遏制——制止事態(tài)的擴大
第四階段：根除——徹底的補救措施
第五階段：恢復——系統(tǒng)恢復常態(tài)
第六階段：跟蹤——還會有第二次嗎
第一階段—準備
10
預防為主
微觀（一般觀點）：
幫助服務對象建立安全政策
幫助服務對象按照安全政策配置安全設備和軟件
掃描，風險分析，打補丁
如有條件且得到許可，建立監(jiān)控設施
宏觀：
建立協(xié)作體系和應急制度
建立信息溝通渠道和通報機制
如有條件，建立數(shù)據(jù)匯總分析的體系和能力
有關法律法規(guī)的制定
第一階段—準備
11
制定應急響應計劃
資源準備
應急經(jīng)費籌集
人力資源
軟硬件設備
現(xiàn)場備份
業(yè)務連續(xù)性保障
系統(tǒng)容災
搭建臨時業(yè)務系統(tǒng)
人力資源準備
? 指揮調度人員
? 協(xié)作人員
? 技術人員
? 專家
? 設備、系統(tǒng)和服務提供商
軟硬件設備準備
? 硬件設備準備
數(shù)據(jù)保護設備
磁盤、磁帶、光盤
SAN
冗余設備
? 網(wǎng)絡鏈路、網(wǎng)絡設備
? 關鍵計算機設備
 Any else?
軟硬件設備準備
? 軟件工具準備
備份軟件
日志處理軟件
系統(tǒng)軟件
網(wǎng)絡軟件
應急啟動盤
Any else?
病毒/ 惡意軟件查殺軟件
建立事件報告的機制和要求
建立事件報告流
程和規(guī)范
第二階段—確認
16
確定事件性質和處理人
微觀（負責具體網(wǎng)絡的CERT）：
確定事件的責任人
指定一個責任人全權處理此事件
給予必要的資源
確定事件的性質
誤會？玩笑？還是惡意的攻擊/入侵？
影響的嚴重程度
預計采用什么樣的專用資源來修復？
宏觀（負責總體網(wǎng)絡的CERT）：
通過匯總，確定是否發(fā)生了全網(wǎng)的大規(guī)模事件
確定應急等級，以決定啟動哪一級應急方案
快速分析——事故的標志
? 事故的標志分為兩類：
征兆和預兆
? Web服務器崩潰
? 用戶抱怨主機連接網(wǎng)絡速度過慢
? 子郵件管理員可以看到大批的反彈電子郵件與可疑內(nèi)容
? 網(wǎng)絡管理員通告了一個不尋常的偏離典型的網(wǎng)絡流量流向
? 來源
網(wǎng)絡和主機IDS  、防病毒軟件、文件完整性檢查軟件
系統(tǒng)、網(wǎng)絡、蜜罐日志
公開可利用的信息
第三方監(jiān)視服務
確認事故（1）
? 確認網(wǎng)絡和系統(tǒng)輪廓：
分析事故的最好技術方法之一
? 理解正常的行為
基于處理事故的良好準備
? 使用集中的日志管理并創(chuàng)建日志保留策略
? 執(zhí)行事件關聯(lián)
? 保持所有主機時鐘同步
確認事故（2）
? 維護和使用信息知識庫
分析事故時的快速參考
? 使用互聯(lián)網(wǎng)搜索引擎進行研究
? 運行包嗅探器以搜集更多的數(shù)據(jù)
? 過濾數(shù)據(jù)
? 經(jīng)驗是不可替代的
? 建立診斷矩陣
? 尋求幫助
診斷矩陣實例
征兆	拒絕服務	惡意代碼	非授權訪問	不正確使用
文件，關鍵，訪問嘗試	低	中	高	低
文件，不適當?shù)膬?nèi)容	低	中	低	高
主機崩潰	中	中	中	低
端口掃描，輸入的，不正常的	高	低	中	低
端口掃描，輸出的，不正常的	低	高	中	低
利用帶寬高	高	中	低	中
利用電子郵件	中	高	中	中
事故優(yōu)先級——服務水平協(xié)議
? 服務水平協(xié)議（SLA ）
定義服務目標及雙方的預期及責任
? 服務水平協(xié)議指標
應急響應服務的指標
? 遠程應急響應服務
在確認客戶的應急響應請求后? 小時內(nèi)，交與相關應急響應人員進行處理。無論是否解決，進行處理的當天必須返回響應情況的簡報，直到此次響應服務結束。
? 本地應急響應服務
對本地范圍內(nèi)的客戶，？小時內(nèi)到達現(xiàn)場；對異地的客戶，？小時加路途時間內(nèi)到達現(xiàn)場。
應急響應SLA 矩陣
	事故當前或將來可能影響的資源的重要性	事故當前或將來可能影響的資源的重要性	事故當前或將來可能影響的資源的重要性
事故當前或將來可
能的影響	高（例如：互聯(lián)網(wǎng)
連接，公共Web服
務器，防火墻，客
戶數(shù)據(jù)）	中（例如：系統(tǒng)管理
員工作站，文件和打
印服務器，XYZ 應用
數(shù)據(jù)）	低（例如：用戶工作
站）
Root級訪問	15分鐘	30分鐘	1 小時
非授權的數(shù)據(jù)修改	15分鐘	30分鐘	2 小時
對敏感信息的非授權訪問	15分鐘	1 小時	1 小時
非授權的用戶級訪問	30分鐘	2 小時	4小時
服務不可用	30分鐘	2 小時	4小時
騷擾	30分鐘	不限	不限
第三階段—遏制
24
即時采取的行動
微觀：
防止進一步的損失，確定后果
初步分析，重點是確定適當?shù)姆怄i方法
咨詢安全政策
確定進一步操作的風險
損失最小化（最快最簡單的方式恢復系統(tǒng)的基本功能，例如備機啟動）
可列出若干選項，講明各自的風險，由服務對象選擇
宏觀：
確保封鎖方法對各網(wǎng)業(yè)務影響最小
通過協(xié)調爭取各網(wǎng)一致行動，實施隔離
匯總數(shù)據(jù)，估算損失和隔離效果
建立遏制策略
建議組織機構為幾類主要的事故建立單獨的遏制策略，其標準包括：
潛在的破壞和資源的竊取
證據(jù)保留的需要
服務可用性（例如：網(wǎng)絡連接，提供給外部當事方的服務）
實施戰(zhàn)略需要的時間和資源
戰(zhàn)略的有效性（例如：部分遏制事故，完全遏制事故）
解決方案的期限（例如：緊急事故工作區(qū)需在4 小時內(nèi)清除，臨時工作區(qū)需在兩周內(nèi)清除，永久的解決方案）。
例：基于DDOS 攻擊的遏制策略
1. 基于攻擊特征實施過濾。
2. 糾正正在被攻擊的漏洞或弱點
3. 讓ISP 實施過濾
4. 重定位目標
5. 攻擊攻擊者
6. 設定證據(jù)保留時間
第四階段—根除
27
長期的補救措施
微觀：
詳細分析，確定原因，定義征兆
分析漏洞
加強防范
消除原因
修改安全政策
宏觀：
加強宣傳，公布危害性和解決辦法，呼吁用戶解決終端的問題；
加強檢測工作，發(fā)現(xiàn)和清理行業(yè)與重點部門的問題；
第五階段—恢復
28
微觀：
被攻擊的系統(tǒng)恢復正常的工作狀態(tài)
作一個新的備份
把所有安全上的變更作備份
服務重新上線
持續(xù)監(jiān)控
宏觀：
持續(xù)匯總分析，了解各網(wǎng)的運行情況
根據(jù)各網(wǎng)的運行情況判斷隔離措施的有效性
通過匯總分析的結果判斷仍然受影響的終端的規(guī)模
發(fā)現(xiàn)重要用戶及時通報解決
適當?shù)臅r候解除封鎖措施

第六階段—跟蹤
29
關注系統(tǒng)恢復以后的安全狀況，特別是曾經(jīng)出問題的地方
建立跟蹤文檔，規(guī)范記錄跟蹤結果
對響應效果給出評估
對進入司法程序的事件，進行進一步的調查，打擊違法犯罪活動

事件的歸檔與統(tǒng)計
30
處理人
時間和時段
地點
工作量
事件的類型
對事件的處置情況
代價
細節(jié)
應急響應預案的制定
應急響應預案的包括的主要內(nèi)容
確定風險場景
描述可能受到的業(yè)務影響
描述使用的預防性策略
描述應急響應策略
識別和排列關鍵應用系統(tǒng)
行動計劃
團隊和人員的職責
聯(lián)絡清單
所需資源配置

31
應急響應預案的制定
制定應急響應預案的原則
首先，必須集中管理應急響應預案的版本和發(fā)布。 
其次，為了建立有效的版本控制體系，必須建立規(guī)范的應急響應預案的問題提交、解決、更新、跟蹤、發(fā)布的渠道和流程。 
第三，建立相關的保密管理規(guī)定，保證應急響應預案中涉及的秘密信息得到保護。 
第四，應急響應預案在內(nèi)容管理方面應注意內(nèi)容的分布和粒度，可根據(jù)版本和內(nèi)容的更新頻度將應急響應的內(nèi)容進行適當?shù)姆植肌?
第五，建立合理的應急響應預案的保管制度，強調存放的安全性和易取得性。 
32
應急響應預案的制定
清楚、簡潔
高級管理層支持/組織承諾
不斷改進和更新的恢復策略
及時的更新維護
組織職責分工明確
保留、備份和異地存儲計劃
完整記錄并定期演練
風險得到管理
弱點得到優(yōu)先重視
靈活、可適應

成功預案的特點
33
應急響應預案的教育、培訓和演練
在災難來臨前使相關人員了解熟悉恢復流程
使應急響應預案得到理解并可以使用
促進應急響應預案活動、更新、實用
展示恢復的能力
達到法律和內(nèi)部審計要求

34
演練與演習的類型
演練和演習的主要方式有：
桌面演練；
模擬演練；
實戰(zhàn)演練等
根據(jù)演練和演習的深度，可分為：
系統(tǒng)級演練；
應用級演練；
業(yè)務級演練等
根據(jù)演練和演習的準備情況，可分為：
計劃內(nèi)的演練和演習；
計劃外的演練和演習等

35
參見應急演練腳本
預案維護管理
核對預案的功能性
驗證預案文檔的精確性和完整性
分發(fā)更新的文檔
文檔計劃分發(fā)和發(fā)布流程
確保相關的團隊收到更新的文檔
依靠維護來改變管理流程
提供培訓作為持續(xù)維護預案的一部分
為與應急響應的相關人員開展定期培訓，如：復習進修課程或災難備份研討會
指派培訓責任，如：部門經(jīng)理要確保員工被送去參加培訓
完成時報告預案維護情況
毀掉舊應急響應預案的復印件或電子版本。

36
預案變更管理
業(yè)務操作的增長或變化
如：新的分支、產(chǎn)品和業(yè)務功能的增加
 公司所有權的變化
關鍵人員的變化
硬件配置的變化
使用新操作系統(tǒng)
預案審核和演練后
軟件/應用軟件的變化
新的法律或審計要求
定期審核和更新——如：每年兩次

37
應急預案變更記錄
變化記錄	變化記錄	變化記錄	變化記錄
頁碼	變化備注	變化日期	簽名
			
			
			
			
			
應急響應體系建設流程
參見XXX應急體系_項目計劃_080821_C1
信息安全應急響應計劃編制方法
40
總則
角色及職責
預防和預警機制
應急響應流程
應急響應保障措施
附件
總則
41
編制目的
編制依據(jù)
適應范圍
工作原則
角色及職責
42
應急響應領導小組
應急響應技術保障小組
應急響應專家小組
應急響應實施小組
應急響應日常運行小組
預防和預警機制
43
應急響應流程
44
事件通告
（1）信息通報
信息通報分為組織內(nèi)信息通報和組織外信息通報兩部分。組織內(nèi)信息通報的目的是在信息安全事件發(fā)生后迅速通知應急響應日常運行小組，并根據(jù)評估結果迅速通知所有相關人員，從而快速有序的實施應急響應計劃。組織外信息通報目的是將相關信息及時通報給受到負面影響的外部機構、互聯(lián)的單位系統(tǒng)以及重要用戶，同時根據(jù)應急響應的需要，應將相關信息準確通報給相關設備設施及服務提供商（包括電信、電力等）等外部組織，以獲得適當?shù)膽表憫С?。值得注意的是對外信息通報應符合組織的對外信息發(fā)布策略。
（2）信息上報
信息安全事件發(fā)生后，應按照相關規(guī)定和要求，及時將情況上報相關主管或監(jiān)管單位/部門。
（3）信息披露
信息發(fā)布的目的是避免信息安全事件影響被誤傳，同時規(guī)范組織內(nèi)人員信息披露，保證信息的一致性。因此，信息安全事件發(fā)生后，應根據(jù)信息安全事件的嚴重程度，指定特定的小組及時向新聞媒體發(fā)布相關信息，并且指定的小組應嚴格按照組織相關規(guī)定和要求對外發(fā)布信息，同時組織內(nèi)其它部門或者個人不得隨意接受新聞媒體采訪或對外發(fā)表自己的看法。

應急響應流程—呼叫樹
46
呼叫樹
小組名稱	姓名	在小組中的職位	聯(lián)絡信息	聯(lián)絡信息	聯(lián)絡信息	聯(lián)絡信息	聯(lián)絡信息
小組名稱	姓名	在小組中的職位	工作電話	家庭電話	手機	電子郵件	家庭地址
							
							
							
							
							
							
信息上報
重大信息安全事件報告表	重大信息安全事件報告表
報告時間： 年  月  日  時  分	報告時間： 年  月  日  時  分
單位名稱：	報告人：
聯(lián)系電話：	通訊地址：
傳真：	電子郵件：
發(fā)生重大信息安全事件的信息系統(tǒng)名稱及用途：	發(fā)生重大信息安全事件的信息系統(tǒng)名稱及用途：
負責部門：	負責人：
重大信息安全事件的簡要描述（如以前出現(xiàn)過類似情況也應加以說明）：	重大信息安全事件的簡要描述（如以前出現(xiàn)過類似情況也應加以說明）：
初步判定的事故原因：	初步判定的事故原因：
當前采取的措施：	當前采取的措施：
本次重大信息安全事件的初步影響狀況：	本次重大信息安全事件的初步影響狀況：
事件后果：	事件后果：
影響范圍：	嚴重程度：
值班電話：	傳真：
事件分類與定級
要確定信息安全事件后如何實施應急響應計劃，對系統(tǒng)損害性質和程度的評估是非常重要的。這個損害評估應該在能夠確保人員安全這個最優(yōu)先任務的前提下盡快完成。所以，如果可能，應急響應日常運行小組是第一個得到事件通知的小組。損害評估規(guī)程對于不同的系統(tǒng)是不同的，但是應該涉及到以下領域：
（1）造成緊急情況或中斷的原因；
（2）潛在的附加中斷或損失；
（3）受到緊急情況影響的區(qū)域；
（4）物理構架（如計算機室結構的完整性、電源、電信以及制熱、通風和空調的情況）的狀況；
（5）系統(tǒng)設備的總量和功能狀態(tài)（如具備完整功能、具備部分功能或喪失功能）；
（6）系統(tǒng)設備及其存貨的損失類型（如水害、水災或熱能、物理以及電涌影響）；
（7）被更換的項目（如硬件、軟件、固件或支持材料）；
（8）估計恢復正常服務所需的時間。

我國信息安全事件分類方法
50
GB/Z 20986-2007《信息安全事件分級分類指南》
有害程序事件MI
網(wǎng)絡攻擊事件NAI
信息破壞事件IDI
信息內(nèi)容安全事件ICSI
設備設施故障FF
災害性事件DI
其他信息安全事件OI
我國信息安全事件分級方法
51
分級要素
我國信息安全事件分級方法
52
特別重大事件
(I級）
重  大
事  件
(II級）
較  大
事  件
(III級）
一  般
事  件
(IV級）
應急啟動
（1）啟動原則——快速、有序；
（2）啟動依據(jù)——一般而言，對于導致業(yè)務中斷、系統(tǒng)宕機、網(wǎng)絡癱瘓等突發(fā)/重大信息安全事件應立即啟動應急。但由于組織規(guī)模、構成、性質等的不同，不同組織對突發(fā)/重大信息安全事件的定義可能不一樣，因此，各組織的應急啟動條件可能各不相同。啟動條件可以基于以下方面考慮：人員的安全和/或設施損失的程度；系統(tǒng)損失的程度（如物理的、運作的或成本的）；系統(tǒng)對于組織使命的影響程度（如保護資產(chǎn)的關鍵基礎設施）；預期的中斷持續(xù)時間等。只有當損害評估的結果顯示一個或多個系統(tǒng)啟動條件被滿足時，應急響應計劃才應被啟動。
（3）啟動方法——由應急響應領導小組發(fā)布應急響應啟動令。
應急處置
（1）恢復順序
當恢復復雜系統(tǒng)時，恢復進程應該反映出BIA中確定的系統(tǒng)優(yōu)先順序?；謴偷捻樞驊摲从吵鱿到y(tǒng)允許的中斷時間，以避免對相關系統(tǒng)及其應用的重大影響。
（2）恢復規(guī)程
為了進行恢復操作，應急響應計劃應提供恢復業(yè)務能力的詳細規(guī)程。規(guī)程應被設定給適當?shù)幕謴托〗M并且通常涉及到以下行動： 
1）獲得訪問受損設施和／或地理區(qū)域的授權； 
2）通知相關系統(tǒng)的內(nèi)部和外部業(yè)務伙伴； 
3）獲得所需的辦公用品和工作空間； 
4）獲得安裝所需的硬件部件； 
5）獲得裝載備份介質； 
6）恢復關鍵操作系統(tǒng)和應用軟件； 
7）恢復系統(tǒng)數(shù)據(jù)； 
8）成功運行備用設備。

例：局域網(wǎng)（LAN）恢復小組檢查列表
LAN恢復小組：
這些規(guī)程用于從備份磁帶中恢復一個文件。LAN恢復小組負責繼續(xù)進行生產(chǎn)活動所需的所有關鍵文件的重新裝載。
確定將要進行恢復的文件及其日期                     時間：  ：  
使用磁帶記錄本確定磁帶編號                         時間：  ：  
如果磁帶不在磁帶庫中，則要求恢復設施提供磁帶；填寫適當?shù)氖跈嗪灻?
                                                       時間：  ：  
收到磁帶時，將日期和時間填入日志                   時間：  ：  
將磁帶放入驅動器中并開始恢復進程                   時間：  ：  
當文件恢復完畢時，通知LAN恢復小組的負責人        時間：  ：  
后期處置
（1）信息系統(tǒng)重建
在應急處置工作結束后，要迅速采取措施，抓緊組織搶修受損的基礎設施，減少損失，盡快恢復正常工作。
通過統(tǒng)計各種數(shù)據(jù)，查明原因，對信息安全事件造成的損失和影響以及恢復重建能力進行分析評估，認真制定恢復重建計劃，迅速組織實施信息系統(tǒng)重建。
（2）應急響應總結
應急響應總結是應急處置之后應進行的工作，具體工作包括：
1）分析和總結事件發(fā)生原因；
2）分析和總結事件現(xiàn)象；
3）評估系統(tǒng)的損害程度；
4）評估事件導致的損失；
5）分析和總結應急處置記錄；
6）評審應急響應措施的效果和效率，并提出改進建議；
7）評審應急響應計劃的效果和效率，并提出改進建議。

信息安全事件應急響應總結模板
信息安全事件應急響應結果報告表	信息安全事件應急響應結果報告表
原事件報告時間： 年  月  日  時  分	原事件報告時間： 年  月  日  時  分
備案編號： 年  月  日  第  號  總第  號	備案編號： 年  月  日  第  號  總第  號
單位名稱：   	聯(lián)系人：
聯(lián)系電話：   	通訊地址：
信息系統(tǒng)名稱及用途：	信息系統(tǒng)名稱及用途：
已采用的安全措施：	已采用的安全措施：
信息安全事件的補充描述及最后判定的事故原因：	信息安全事件的補充描述及最后判定的事故原因：
本次信息安全事件的初步影響狀況：	本次信息安全事件的初步影響狀況：
事件后果：  	影響范圍：
嚴重程度：	嚴重程度：
本次信息安全事件的主要處理過程及結果：	本次信息安全事件的主要處理過程及結果：
針對此類信息安全事件應采取的保障信息系統(tǒng)安全的措施和建議：	針對此類信息安全事件應采取的保障信息系統(tǒng)安全的措施和建議：
報告人簽名：	報告人簽名：
應急響應保障措施
58
應急響應保障措施
附件
59
具體的組織體系結構及人員職責
應急響應計劃各小組成員的聯(lián)絡信息
供應商聯(lián)絡信息，包括離站存儲和備用站點的外部聯(lián)系點
系統(tǒng)恢復或處理的標準操作規(guī)程和檢查列表
支持系統(tǒng)運行所需的硬件、軟件、固件和其它資源的設備和系統(tǒng)需求清單
供應商服務水平協(xié)議（SLA）、與其它機構的互惠協(xié)議和其它關鍵記錄
備用站點的描述和說明
在計劃制定前進行的BIA，包含關于系統(tǒng)各部分相互關系、風險、優(yōu)先級別等
應急響應計劃文檔的保存和分發(fā)方法
應急響應工作機構圖
60
職責示例
61
應急響應領導小組：
應急響應領導小組是信息安全應急響應工作的組織領導機構，組長應由組織最高管理層成員擔任。領導小組的職責是領導和決策信息安全應急響應的重大事宜，主要如下： 
（1）對應急響應工作的承諾和支持，包括發(fā)布正式文件、提供必要資源（人財物）等；
（2）審核并批準應急響應策略；
（3）審核并批準應急響應計劃；
（4）批準和監(jiān)督應急響應計劃的執(zhí)行；
（5) 啟動定期評審、修訂應急響應計劃；
（6）負責組織的外部協(xié)作工作。
應急響應組（IRT ）
? 什么是應急響應組（IRT ）
	應急響應組就是機構可以借助的網(wǎng)絡安全專業(yè)組織。
? 為什么需要成立應急響應組
容易協(xié)調響應工作
提高專業(yè)知識
提高效率
提高先期主動防御能力
更加適合于滿足機構的需要
提高聯(lián)絡功能
提高處理制度障礙方面的能力
從應急組織到應急體系：信息安全保障的必要條件
現(xiàn)實表明，單一的應急組織已經(jīng)不能應對當今的網(wǎng)絡安全威脅，我國的應急體系正是在實際工作的經(jīng)驗總結中逐漸形成的：平臺從點到環(huán)到面；應急體系從點到樹到網(wǎng)
“現(xiàn)實世界中發(fā)生的任何事情，在網(wǎng)絡世界中都可以找到與之對
應的事件”
SARS 事件反映出社會防疫應急體系的重要
紅色代碼、尼姆達、SQL 殺手、口令蠕蟲等具有和現(xiàn)實世界中的疫病相同的特點
處理方式也具有同樣的特點：隔離--- 分析--- 治療
不同之處：“病人”不自知；隔離缺乏法律依據(jù)或技術手段；應
急缺乏成熟體系和工作制度…. .
國際信息安全應急響應組織
64
美國計算機緊急事件響應小組協(xié)調中心           （Computer Emergency Response Team/Coordination Center, CERT/CC）
事件響應與安全組織論壇（Forum of Incident Response and Security Teams, FIRST）??
亞太地區(qū)計算機應急響應組（Asia Pacific Computer Emergency Response Team, APCERT）?
歐洲計算機網(wǎng)絡研究教育協(xié)會（Trans-European Research and Education Networking Association, TERENA)?
我國信息安全應急響應組織
65
國家計算機網(wǎng)絡應急技術處理協(xié)調中心        （National Computer network Emergency Response technical Team/Coordination Center of China, CNCERT/CC）
中國教育和科研計算機網(wǎng)緊急響應組(China Education and Research Network Computer Emergency Response Team, CCERT)? ?
國家計算機病毒應急處理中心?
國家計算機網(wǎng)絡入侵防范中心
國家863計劃反計算機入侵和防病毒研究中心
我國公共互聯(lián)網(wǎng)應急體系
從無到有
從小到大
從弱到強
從點到面
XX信息安全應急響應體系
備注：67
XX市電子政務網(wǎng)絡應急預案
1 總則
2 組織結構與職責
3 預防和預警機制
4 應急響應流程
5 保障與監(jiān)督管理
6計劃附則

總則
1.1 指導思想
1.2 編制目的
1.3 編制依據(jù)
1.4 適用范圍
       廣州市各級政府黨政機關、事業(yè)單位及與重點保護企業(yè)
1.5 工作原則
1.6 分類與分級
類別：有害程序事件、網(wǎng)絡攻擊事件、信息破壞事件、信息內(nèi)容安全事件、設備設施故障、 災害性事件、 其他信息安全事件。
級別：信息安全事件級別根據(jù)信息系統(tǒng)的重要程度、系統(tǒng)損失和社會影響分為四級： 
安全事件級別劃分
1） 特別重大事件（Ⅰ級）
   特別重大事件是指能夠導致特別嚴重影響或破壞的信息安全事件。
2） 重大事件（Ⅱ級）
   重大事件是指能夠導致嚴重影響或破壞的信息安全事件。
3）較大事件（Ⅲ級）
   較大事件是指能夠導致較嚴重影響或破壞的信息安全事件。
4）一般事件（Ⅳ級）
   一般事件是指能夠導致較小影響或破壞的信息安全事件。

組織結構與職責
預防和預警機制
預警簡圖
備注：73
應急響應流程
應急響應簡圖
備注：75
應急響應之后期處理流程
后期處理簡圖
備注：77
保障 監(jiān)督管理
4.1應急人力保障
    信息安全專業(yè)人才、隊伍
4.2物質條件保障
    通信與信息 、 應急裝備、交通運輸、經(jīng)費、治安
4.3技術支撐保障 
    信息安全應急平臺支撐技術、信息安全領域技術研究、預先編制的預案、方案等
4.4宣傳教育
    向單位、公眾及相關人員宣傳，特別是向領導人員宣傳獲得他們的支持
4.5 演練
   定期進行應急演練
4.6責任與獎懲 
   依相關法規(guī)追究責任和獎懲

計劃及附則
6.1人員聯(lián)絡清單
6.2信息系統(tǒng)標準操作規(guī)程
6.3業(yè)務影響分析報告

信息系統(tǒng)應急計劃一般過程
美國SP800-34 信息技術系統(tǒng)應急計劃/預案指南：七步走
七步走
第一步：制定應急計劃/預案策略條款
第二步：進行業(yè)務影響分析
第三步：確定防御性控制
第四步：制定恢復策略
第五步：IT應急計劃/預案的制定
第六步：計劃/預案的測試、培訓和演習
第七步：計劃/預案的維護
備注：83

網(wǎng)友評論 more

應急預案|急救最新內(nèi)容

04-18