校字〔2017〕64号
各党总支，各单位（部门）：
《宿州学院网络信息安全事件应急预案（试行）》已经2017年10月30日校党委会审议通过，现印发给你们，请认真贯彻执行。
宿州学院
2017年11月13日
宿州学院网络信息安全事件应急预案（试行）
为建立学校网络信息安全事件应急响应工作机制，有效预防并科学应对网络信息安全突发事件，确保校园网络与信息系统正常运行，根据《中华人民共和国计算机信息系统安全保护条例》（国务院令第147号）、《信息安全事件分类分级指南》（GB/T20986-2007）等有关法律法规，结合我校实际，特制定本预案。
第一章总则
第一条 校园网络信息安全事件是指校园信息化基础设施、应用系统、网站、信息化数据等因各种因素遭到破坏，对学校工作、学习、生活秩序造成负面影响的事件。
第二条 应急处置遵循“统一领导，预防为本、快速反应，科学处置”的原则，最大可能的降低危害和影响。
第二章网络信息安全事件分级
第三条 网络信息安全事件依据发生过程、性质和特征不同，可分为以下四类：
（一）网络攻击事件：由于遭受有害程序感染、非法入侵或其他技术手段攻击，造成校园网络和信息系统运行异常或存在潜在危险，或造成信息被篡改、假冒、泄漏、窃取等而导致的信息安全事件。
（二）设备故障事件：由于信息系统或外围软硬件设施故障、人为误操作等，造成信息系统破坏、业务中断、系统死机、网络瘫痪等导致的信息安全事件。
（三）灾害性事件：因洪水、火灾、雷击、地震、台风、非正常停电等外力因素造成网络与信息系统损毁，导致业务中断、系统死机、网络瘫痪等安全事件。
（四）信息内容安全事件：利用校园网络在校内外传播法律法规禁止的信息，组织非法串联、煽动集会游行或炒作敏感问题并危害国家安全、社会稳定和公众利益的事件。
第四条 网络信息安全事件按照国家《信息安全事件分级指南》（GB/T20986-2007）,可划分为四级：
（一）Ⅰ级（特别重大）：特别重大事件是指能够导致特别严重影响或破坏的信息安全事件，会使特别重要信息系统遭受特别严重的系统损失，产生特别重大的社会影响。
（二）Ⅱ级（重大）：重大事件是指能够导致严重影响或破坏的信息安全事件，会使特别重要信息系统遭受严重的系统损失、或使重要信息系统遭受特别严重的系统损失，产生的重大的社会影响。
（三）Ⅲ级（较大）：较大事件是指能够导致较严重影响或破坏的信息安全事件，会使特别重要信息系统遭受较大的系统损失、或使重要信息系统遭受严重的系统损失、一般信息系统遭受特别严重的系统损失，产生较大的社会影响。
（四）Ⅳ级（一般）：一般事件是指不满足以上条件的信息安全事件，会使特别重要信息系统遭受较小的系统损失、或使重要信息系统遭受较大的系统损失，一般信息系统遭受严重或严重以下级别的系统损失，产生一般的社会影响。
第三章组织机构及职责
第五条 学校网络安全和信息化建设领导小组为网络信息安全事件应急处理领导机构，办公室（网络与信息中心）负责具体处置工作。其职责包括：
牵头组织重大敏感时期、重要活动、重要会议期间发生的信息安全事件的协调处置；负责涉密级信息网络泄密类事件的处理。负责校园基础网络系统安全，校园网络服务不中断；负责网络攻击、设备故障类事件的处置；负责全校网络信息安全事件处置的技术支持工作。
第六条 其它单位职责
宣传部：负责学校舆情监测和信息内容安全类事件的处置，对于涉及师生政治思想方面的预警性、倾向性、苗头性的问题，要加强分析研判，妥善有效应对。
保卫处：密切联系公安部门，负责涉及人为破坏类事件的处置，配合重大安全事件的处置。
第七条 各二级学院、职能部门协助处置重大信息安全事件，负责本单位（部门）网站和业务系统的信息安全事件的处置工作，并应对照本预案，建立本部门应急处置机制。
第四章预防措施
第八条 加强网络与信息系安全管理，健全工作制度和建立预报预警监测体系，避免和减少网络信息安全事件发生。
第九条 健全技术防护体系，在校园网出入口、数据中心、重要信息系统等重要部位，安装必要的安全防御检测工具，进行实时监测和定期扫描，发现异常情况及时防范处理并逐级报告。同时，做好操作系统升级杀毒，数据备份、安全审计等日常管理工作。
第十条 建立灾害险情巡查制度。宣传部及各网站管理员应随时监控网站内容，办公室（网络与信息中心）做好校园网络与信息安全的日常巡查及日志保存工作，及时发现灾害和处置突发性事件。
第五章处置程序
第十一条 启动预案：发生网络信息安全事件后，办公室（网络与信息中心）和涉事部门应第一时间采取关闭相关网站或信息系统的访问权限等有效措施，将损害和影响降低到最小范围，并结合技术手段，获取事件截图等相关证据。
第十二条 事件定级：办公室（网络与信息中心）组织有关单位，尽最大可能收集事件相关信息，鉴别事件性质，确定事件来源，弄清事件范围，评估事件带来的影响和损害，确认事件的类别和等级。
第十三条 应急响应：根据事件等级采取相应的响应方式。
IV级：应立即上报网络安全和信息化建设领导小组办公室负责人，组织、协调技术人员赶赴现场配合涉事部门进行应急处置。涉及人为主观破坏事件时通报当地公安部门。
III级至I级：应立即上报网络安全和信息化建设领导小组组长、办公室负责人，并报上级主管部门，组织、协调技术人员赶赴现场配合涉事部门进行应急处置。涉及人为主观破坏事件时通报当地公安部门。
第十四条 应急处理方式：根据网络与信息安全事件分类采取不同应急处置方式。
（一）网络攻击事件：判断攻击的来源与性质，关闭影响安全的网络设备和服务器设备，断开信息系统与攻击来源的网络物理连接，跟踪并锁定攻击来源的IP地址或其它网络用户信息，修复被破坏的信息，恢复信息系统。按照事件发生的性质采取以下方案：
病毒传播：及时寻找并断开传播源，判断病毒的类型、性质、可能的危害范围；为避免产生更大的损失，保护健康的计算机，必要时可关闭相应的端口，甚至相应楼层的网络，及时请有关技术人员协助进行杀毒处理。
外部入侵：判断入侵的来源，区分外网与内网，评价入侵可能或已经造成的危害。对入侵未遂、未造成损害的，且评价威胁很小的外网入侵，定位入侵的IP地址，及时关闭入侵的端口，限制入侵的IP地址的访问。对于已经造成危害的，应立即采用断开网络连接的方法，避免造成更大损失和影响。
内部入侵：查清入侵来源，如IP地址、所在办公室等信息，同时断开对应的交换机端口，针对入侵方法调整或更新入侵检测设备。对于无法制止的多点入侵和造成损害的，应及时关闭被入侵的服务器或相应设备。
（二）设备故障事件：判断故障发生点和故障原因，迅速联系IT运维公司尽快抢修故障设备，优先保证校园网主干网络和主要应用系统的运转。
（三）灾害性事件：根据实际情况，在保障人身安全的前提下，保障数据安全和设备安全。具体方法包括：硬盘的拔出与保存，设备的断电与拆卸、搬迁等。
（四）信息内容安全事件：接到校内网站出现不良信息的报案后，应迅速屏蔽该网站的网络端口或拔掉网络连接线，阻止有害信息传播，查找信息发布人并做好善后处理。对公安机关要求我校协查的外网不良信息事件，根据校园网上网相关记录查找信息发布人。
（五）其它不确定安全事件：可结合具体情况，做出相应处理，不能处理的及时咨询省市相关信息安全机构。
第十五条 后续处理：
（一）安全事件最初应急处置后，应及时采取措施，抑制其影响进一步扩大，限制潜在的损失与破坏，同时要确保应急处置措施对涉及的相关业务影响最小。
（二）安全事件被抑制后，通过对有关事件或行为的分析结果，找出问题根源，明确相应补救措施并彻底清除。
（三）安全事件解决后，要及时清理系统，恢复数据、程序、服务，恢复工作应避免出现误操作导致的数据丢失。
（四）办公室（网络与信息中心）对修复后的网站或信息系统进行安全复查，复查通过后恢复其访问权限。
第十六条 总结上报：
（一）系统恢复运行后，办公室（网络与信息中心）及涉事相关部门对事件造成的损失、事件处理流程等进行分析评估，总结经验教训，撰写事件处理报告。
（二）属于I至III级事件的，应及时报告上级主管部门，存在非法犯罪行为的，还须第一时间向公安机关报案。
第六章保障措施
第十七条 加强队伍建设，不断提高工作人员的信息安全防范意识和技术水平，确保安全事件应急处置科学得当。
第十八条 加强技术保障，不断完善网络安全整体方案，加强技术防护，确保信息系统的稳定与安全。
第十九条 加强资金保障，根据校园网安全防护和应急处置工作实际需要，将用于安全的软硬件设备及运行维护经费预算纳入年度经费预算，以专项经费列支。
第二十条 加强安全培训和演练，应定期组织相关部门工作人员进行信息安全知识培训，增强防范意识和应急处置能力。开展应急处置演练，确保相关措施的有效落实。
第七章附则
第二十一条 本预案自发布之日起施行，学校原有相关规定与本办法不一致的，按本办法执行。
第二十二条 本预案由网络安全和信息化建设领导小组办公室负责解释。
