为加强和完善我校网络与信息安全事件的应急处理措施，有效预防、及时控制和最大限度地消除信息安全突发事件的危害和影响，确保信息系统和网络的通畅运行，结合学校实际，特制定本应急预案。
一 总则
（一）安全事件
网络与信息安全事件是指校园信息化基础设施、应用系统、网站、信息化数据等因各种因素遭到破坏，对学校工作、学习、生活秩序造成负面影响的事件。
（二）编制依据
根据《中华人民共和国网络安全法》、《国家网络安全事件应急预案》、《信息安全技术信息安全事件分类分级指南》等相关法规、规定、文件精神，制定本预案。
（三）基本原则
应急处置遵循“统一领导，预防为本、快速反应，科学处置”的原则，最大可能的降低危害和影响。
1、预防为主。根据《计算机信息安全管理规定》的要求，建立、健全计算机信息安全管理制度，有效预防网络与信息安全事故的发生。
2、分级负责。按照“谁主管谁负责，谁运营谁负责”的原则，建立和完善安全责任制。
3、果断处置。一旦发生网络与信息安全事故，应迅速反应，及时启动应急处置预案，尽最大力量减少损失，恢复网络与系统运行。
（四）适用范围
本预案适用于学校所有网络与信息系统。重点涵盖校园网络主干设施、重要信息发布系统、重要业务系统等安全突发事件的应急处置。
二 网络与信息安全事件分级
网络与信息安全事件依据发生过程、性质和特征不同，可分为以下四类：
（一）网络攻击事件：由于遭受有害程序感染、非法入侵或其他技术手段攻击，造成校园网络和信息系统运行异常或存在潜在危险，或造成信息被篡改、假冒、泄漏、窃取等而导致的信息安全事件。
（二）设备故障事件：由于信息系统或外围软硬件设施故障、人为误操作等，造成信息系统破坏、业务中断、系统宕机、网络瘫痪等导致的信息安全事件。
（三）灾害性事件：因洪水、火灾、雷击、地震、台风、非正常停电等外力因素造成网络与信息系统损毁，导致业务中断、系统宕机、网络瘫痪等安全事件。
（四）信息内容安全事件：利用校园网络在校内外传播法律法规禁止的信息，组织非法串联、煽动集会游行或炒作敏感问题并危害国家安全、社会稳定和公众利益的事件。
网络与信息安全事件按照可控性、严重程度和影响范围不同，可划分为四级：
（一）Ⅰ级（特别重大）：事件导致校园网发生全校性瘫痪，或由于网站非法信息引发学校大规模群体性事件，对学校正常工作造成特别严重损害，事态发展超出学校控制能力。
（二）Ⅱ级（重大）：事件导致发生校园网大规模瘫痪，或由于网站非法信息引发师生反应强烈并有过激行为，对学校正常工作造成严重损害，事态发展超出学校网络与信息安全领导小组办公室控制能力，需要跨部门协同处置。
（三）Ⅲ级（较大）：事件导致校园网某一区域的重要网络与信息应用系统瘫痪，或由于网站敏感信息、谣言等，对学校正常工作造成一定损害，网络与信息安全领导小组办公室可以自行处理。
（四）Ⅳ级（一般）：事件导致某一局部网络或信息应用系统受到一定程度损坏，学校工作受到一定影响，但不危害学校整体工作，网络与信息安全领导小组办公室可以自行处理。
三 监测、预警和先期处置
（一）信息监测与报告
1．完善各重要信息系统网络与信息安全突发事件监测、预测、预警制度。按照“早发现、早报告、早处置”的原则，加强对各类网络与信息安全突发事件和可能引发网络与信息安全突发事件的有关信息的收集、分析判断和持续监测。当发生网络与信息安全突发事件时，及时向网络与信息安全领导小组办公室报告。初次报告最迟不得超过4小时，较大、重大和特别重大的网络与信息安全突发事件实行态势进程报告和日报告制度。报告内容主要包括信息来源、影响范围、事件性质、事件发展趋势和采取的措施等。
2．重要信息系统管理人员应确立2个以上的即时联系方式，避免因网络与信息安全突发事件发生后，必要的通信渠道中断。
3．信息安全定期汇报。每月应向学校网络与信息安全工作领导小组汇报网络与信息系统的安全状况，汇报内容包括：
（1）恶意人士利用我校网络从事违法犯罪活动的情况。
（2）网络或信息系统及资源使用异常，网络和信息系统瘫痪、应用服务中断或数据篡改、丢失等情况。
（3）网络恐怖活动的嫌疑情况和预警信息。
（4）网络安全状况、安全形势分析预测等信息。
（5）其他影响网络与信息安全的信息。
（二）预警处理与预警发布
1．对于可能发生或已经发生的网络与信息安全突发事件，系统管理员应立即采取措施控制事态，并在2小时内进行风险评估，判定事件等级并发布预警。必要时应启动相应的预案，同时向网络与信息安全领导小组汇报。
2．领导小组接到汇报后应立即组织现场救援，查明事件状态及原因，技术人员应及时对信息进行技术分析、研判，根据问题的性质、危害程度，确定事件等级。
（三）先期处置
1．当发生网络与信息安全突发事件时，技术人员应做好先期应急处置工作，立即采取措施控制事态，同时向网络与信息安全工作领导小组办公室通报。
2．网络与信息安全工作领导小组办公室在接到网络与信息安全突发事件发生或可能发生的信息后，应加强与上级网管部门的联系，掌握最新发展态势。对有可能演变为Ⅲ级网络与信息安全突发事件，技术人员提出处置工作方案，并作好启动本预案的各项准备工作。网络与信息安全工作领导小组根据网络与信息安全突发事件发展态势，视情况决定现场指导、组织设备厂商或者系统开发商应急支援力量，做好应急处置工作。对有可能演变为Ⅱ级或I级的网络与信息安全突发事件，要根据要求，上报网管部门，赶赴现场指挥、组织应急支援力量，积极做好应急处置工作。事件等级事件等级
四 应急预案
（一）网站、网页出现非法言论时的应急预案
1、网站、网页由负责网站维护的管理员随时监控信息内容。
2、发现在网上出现非法信息时，网站管理员立即向网络与信息安全工作领导小组办公室通报情况，并作好记录。清理非法信息后，将网站、网页重新开启使用；情况紧急的，应先及时采取删除等处理措施，再按程序报告。
3、网站管理员应妥善保存有关记录、日志或审计记录，将有关情况向网络与信息安全工作领导小组办公室汇报，并及时追查非法信息来源。
4、事态严重的，由网络与信息安全工作领导小组办公室向上级相关部门进行汇报。
（二）数据库发生故障时的应急预案
1、主要数据库系统定时进行数据备份。
2、一旦数据库崩溃，管理员应立即进行数据及系统修复。
3、管理员无法修复的，由网络与信息安全工作领导小组办公室授权，利用最近备份的数据进行恢复。
4、在此情况下无法修复的，应向网络与信息安全工作领导小组办公室报告，在征得网络与信息安全工作领导小组许可的情况下，可立即向软硬件提供商请求支援。
（三）设备安全发生故障时的应急预案
1、小型机、服务器等关键设备损坏后，管理员应立即向网络与信息安全工作领导小组办公室报告。
2、网络科负责人员立即查明原因。
3、如有备件的，应立即用备件替换受损部件；如没有备件的，立即与设备提供商联系，请求派维护人员前来维修。
（四）内部局域网故障中断时的应急预案
1、局域网中断后，网络科负责人员应立即判断故障节点，查明故障原因，并向网络与信息安全工作领导小组办公室汇报。
2、如属线路故障，应重新安装线路。
3、如属路由器、交换机等网络设备故障，应立即使用备用设备，并调试通畅。
4、如属路由器、交换机配置文件破坏，应迅速按照要求重新配置，并调测通畅。
6、如有必要，应向网络与信息安全工作领导小组汇报。
五 预防措施
加强网络与信息系安全管理，健全工作制度和建立预报预警监测体系，避免和减少网络与信息安全事件发生。
健全技术防护体系。在校园网出入口、数据中心、重要信息系统等重要部位，安装必要的安全防御检测工具，进行实时监测和定期扫描，发现异常情况及时防范处理并逐级报告。同时做好操作系统升级杀毒，数据备份、安全审计等日常管理工作。
建立灾害险情巡查制度。宣传部及各网站管理员应随时监控网站内容，信息中心应严格执行值班制度，做好校园网络与信息安全的日常巡查及日志保存工作，以保证最先发现隐患并及时处置突发性事件。
六 处置程序
启动预案 ：发生网络与信息安全事件后，信息中心和涉事部门应第一时间采取断网等有效措施，将损害和影响降低到最小范围，保留现场，并报告本单位分管领导和网络与信息安全工作领导小组办公室。
事件定级：网络与信息安全工作领导小组办公室组织有关单位，尽最大可能收集事件相关信息，鉴别事件性质，确定事件来源，弄清事件范围，评估事件带来的影响和损害，确认事件的类别和等级。
应急响应：根据事件等级采取相应的响应方式
IV级：网络与信息安全领导小组办公室组织相关单位及时、自主进行应急处置，做好处置记录。
III至II级：网络与信息安全工作领导小组办公室应立即上报网络与信息安全工作领导小组副组长，由副组长指挥、协调成员单位进行应急处置。涉及人为主观破坏事件的由学校保卫处报告当地公安部门。
I级：网络与信息安全工作领导小组办公室立即上报网络与信息安全领导小组组长，由学校报告教育厅和当地公安部门，公安部门指挥协调有关单位和我校协同进行应急处置。
应急处理方式：根据网络与信息安全事件分类采取不同应急处置方式。
（一）网络攻击事件：判断攻击的来源与性质，关闭影响安全的网络设备和服务器设备，断开信息系统与攻击来源的网络物理连接，跟踪并锁定攻击来源的IP地址或其它网络用户信息，修复被破坏的信息，恢复信息系统。按照事件发生的性质采取以下方案：
病毒传播：及时寻找并断开传播源，判断病毒的类型、性质、可能的危害范围；为避免产生更大的损失，保护健康的计算机，必要时可关闭相应的端口，甚至相应楼层的网络，及时请有关技术人员协助进行杀毒处理。
外部入侵：判断入侵的来源，区分外网与内网，评价入侵可能或已经造成的危害。对入侵未遂、未造成损害的，及时定位入侵的IP地址，关闭入侵的端口，限制入侵的IP地址的访问。对于已经造成危害的，应立即采用断开网络连接的方法，避免造成更大损失和影响。
内部入侵：查清入侵来源，如IP地址、所在办公室等信息，同时断开对应的交换机端口，针对入侵方法调整或更新入侵检测设备。对于无法制止的多点入侵和造成损害的，应及时关闭被入侵的服务器或相应设备。
（二）设备故障事件：判断故障发生点和故障原因，尽快抢修故障设备，优先保证校园网主干网络和主要应用系统的运转。
（三）灾害性事件：根据实际情况，在保障人身安全的前提下，保障数据安全和设备安全。具体方法为：硬盘的拔出与保存，设备的断电与拆卸、搬迁等。
（四）信息内容安全事件：接到校内网站出现不良信息的报案后，应迅速屏蔽该网站的网络端口或拔掉网络连接线，阻止有害信息传播，查找信息发布人并做好善后处理。对公安机关要求我校协查的外网不良信息事件，根据校园网上网相关记录查找信息发布人。
（五）其它不确定安全事件：可根据总的安全原则，结合具体情况，做出相应处理，不能处理的及时咨询国家信息安全机构。
（六）后续处理：
1、安全事件最初应急处置后，应及时采取措施，抑制其影响进一步扩大，限制潜在的损失与破坏，同时要确保应急处置措施对涉及的相关业务影响最小。
2、安全事件被抑制后，通过对有关事件或行为的分析结果，找出问题根源，明确相应补救措施并彻底清除。
3、安全事件解决后，要及时清理系统，恢复数据、程序、服务，恢复工作应避免出现误操作导致的数据丢失。
（七）总结上报：
1、系统恢复运行后，信息中心对事件造成的损失、事件处理流程等进行分析评估，总结经验教训，撰写事件处理报告。
2、发生Ⅲ至I级事件，在报告学校的同时，应按照教育部办公厅《信息技术安全事件报告与处置流程（试行）》（教技厅函[2014]75号）报告上级主管部门，同时抄报甘肃省委网络安全和信息化领导小组办公室（省网信办），属于重大事件或存在犯罪行为的，还须第一时间向公安机关报案。
（八）报告流程：
1、事发紧急报告：事件发生后立即以口头通讯方式报网络与信息安全工作领导小组办公室，涉及人为主观破坏事件应同时报当地公安机关。报告内容包括：时间地点，简要经过，事件类型与分级，影响范围，危害程度，初步原因分析，已采取的紧急措施。
2、事中处置报告：应在事件发生后8小时内以书面报告形式报送，报送内容和形式见附件1。
3、事后整改报告：应在事件处置完毕后5个工作日内以书面报告形式报送，报送内容和格式见附件2。
七 保障措施
加强队伍建设，不断提高工作人员的信息安全防范意识和技术水平，确保安全事件应急处置科学得当。
加强技术保障，不断完善网络安全整体方案，加强技术防护，确保信息系统的稳定与安全。
加强资金保障，网络与信息安全领导小组和信息中心应根据校园网安全防护和应急处置工作实际需要，提出用于安全的软硬件设备及运行维护经费预算，报财务处纳入年度经费预算，以专项经费列支。
加强安全培训和演练，网络与信息安全工作领导小组办公室应定期组织相关部门和网络管员进行信息安全知识培训，增强防范意识和应急处置能力。开展应急处置演练，确保相关措施的有效落实。
八 附则
（一）预案更新
本预案由信息中心制订，报学校批准后实施。结合信息网络快速发展的特点和我校实际状况，及时修订本预案。
（二）解释部门
本预案由信息中心负责解释。
（三）实施时间
本预案自发布之日起实施。
