网络与信息安全事件应急预案
为了切实做好学校网络及信息系统安全突发事件的防范和应急处理工作，进一步提高我校预防和控制网络信息系统安全突发事件的能力和水平，减轻或消除突发事件的危害和影响，确保我校网络信息系统安全，结合学校实际情况，制定本预案。
第一章 总则
第一条 本预案所称网络及信息系统安全事件是指包含信息内容安全事件在内的有害程序事件、网络攻击事件、信息破坏事件、设备设施故障、灾害事件和其他信息安全事件。
第二条 本预案的指导思想是确保校园网络与信息系统安全。
第三条 本预案适用于山西传媒学院校内网络及信息系统，以及学校主要门户网站和各部门网站内容发生信息系统安全事件的应急处置。
第四条 应急处置工作原则：统一领导、统一指挥、分级响应、跨部门协同处置、各司其职、发挥优势、保障安全。
第二章 组织指挥及职责
第五条 学校成立网络安全和信息化领导小组（以下简称领导小组），领导小组的主要职责包括统一领导全校信息安全应急工作，全面负责学校网络及信息系统可能出现的各种突发事件处置工作，协调解决处置工作中的重大问题等。领导小组下设办公室（以下简称校网信办），负责日常事务的处理。
第六条 其它单位职责包括：
（一）学校办公室：牵头组织重大敏感时期、重要活动、重要会议期间发生的信息安全事件的协调处置；负责涉密级信息网络泄密类事件的处理。
（二）信息中心：负责校园基础网络系统安全，保证校园网络服务不中断；负责网络攻击、设备故障类事件的处置；负责全校网络信息安全事件处置的技术支持工作。
（三）党委宣传部：负责学校舆情监测和信息内容安全类事件的处置，对于涉及师生政治思想方面的预警性、倾向性、苗头性的问题，要加强分析研判，妥善有效应对。
（四）保卫处：密切联系公安部门，负责涉及人为破坏类事件的处置，配合重大安全事件的处置。
第七条 各院系部及职能部门负责本单位网站和业务系统的信息安全事件的处置工作，应对照本预案，建立本部门应急处置机制。
第三章 网络信息安全事件分类
第八条 网络信息安全事件依据发生过程、性质和特征不同，可分为以下四类：
（一）网络攻击事件：由于遭受有害程序感染、非法入侵或其他技术手段攻击，造成校园网络和信息系统运行异常或存在潜在危险，或造成信息被篡改、假冒、泄漏、窃取等而导致的信息安全事件。
（二）设备故障事件：由于信息系统或外围软硬件设施故障、人为误操作等，造成信息系统破坏、业务中断、系统宕机、网络瘫痪等导致的信息安全事件。
（三）灾害性事件：因洪水、火灾、雷击、地震、台风、非正常停电等外力因素造成网络与信息系统损毁，导致业务中断、系统宕机、网络瘫痪等安全事件。
（四）信息内容安全事件：利用校园网络在校内外传播法律法规禁止的信息，组织非法串联、煽动集会游行或炒作敏感问题并危害国家安全、社会稳定和公众利益的事件。
第四章 网络信息安全事件分级
第九条 网络信息安全事件按照可控性、严重程度和影响范围不同,可划分为四级：
（一）特别重大事件（Ⅰ级）：事件导致发生全校性大规模瘫痪，或由于网站非法信息引发学校大规模群体性事件，对学校正常工作造成特别严重损害，事态发展超出学校控制能力。
（二）重大事件（Ⅱ级）： 事件导致校园网发生全校性瘫痪，或由于网站非法信息引发师生反应强烈并有过激行为，对学校正常工作造成严重损害，事态发展超出学校网络安全和信息化领导小组控制能力，需要跨部门协同处置。
（三）较大事件（Ⅲ级）： 事件导致校园网某一区域的重要网络与信息应用系统瘫痪，或由于网站敏感信息、谣言等，对学校正常工作造成一定损害，学校网络安全和信息化领导小组可以自行处理。
（四）一般事件（Ⅳ级）：事件导致某一局部网络或信息应用系统受到一定程度损坏，学校工作受到一定影响，但不危害学校整体工作，校网信办可以自行处理。
第五章 处置措施
第十条 处置措施
处置的基本措施分网络及信息系统安全事件发生前与事件发生后两种情况。
（一）事件发生前，信息中心及相关责任部门，按照职责划分，各司其责，加强网络与信息系统安全管理，健全工作制度和建立预报预警监测体系，切实加强日常网络信息安全工作的检查和维护，及时消除隐患，减少和避免网络信息安全事件发生。
（二）事件发生后，根据事件类型，值班人员迅速响应，应通知相关部门立即启动应急预案，进入应急处置程序，在处置过程中，相关部门应及时报告处置工作进展情况，直至处置工作结束。
第六章 处置程序
第十一条 启动预案：发生网络信息安全事件后，信息中心和相关管理部门应第一时间上报校网信办，启动应急预案，并及时处理，采取断网、暂停系统使用等有效措施，将损害和影响降低到最小范围。
第十二条 事件定级：信息办组织有关单位，尽最大可能收集事件相关信息，鉴别事件性质，确定事件来源，弄清事件范围，评估事件带来的影响和损害，确认事件的类别和等级。
第十三条 应急响应：根据事件等级采取相应的响应方式
Ⅳ级：信息中心组织相关单位及时、自主进行应急处置，做好处置记录。
Ⅲ：校网信办应立即上报学校网络安全和信息化领导小组，在领导小组的统一指挥下，协调相关责任部门进行应急处置。涉及人为主观破坏事件时由学校保卫处报告当地公安部门。
Ⅱ级：校网信办应立即上报学校网络安全和信息化领导小组，由校领导协调校外部门协同进行应急处置。涉及人为主观破坏事件时由学校保卫处报告当地公安部门。
Ⅰ级：校网信办立即上报分管领导和学校网络安全和信息化领导小组，由学校报告教育部和当地公安部门，公安部门指挥协调有关单位和我校协同进行应急处置。
第十四条 应急处理方式：根据网络与信息安全事件分类采取不同应急处置方式。
（一）网络攻击事件：判断攻击的来源与性质，关闭影响安全的网络设备和服务器设备，断开信息系统与攻击来源的网络物理连接，跟踪并锁定攻击来源的IP地址或其它网络用户信息，修复被破坏的信息，恢复信息系统。按照事件发生的性质采取以下方案：
病毒传播：及时寻找并断开传播源，判断病毒的类型、性质、可能的危害范围；为避免产生更大的损失，保护健康的计算机，必要时可关闭相应的端口，甚至相应楼层的网络，及时请有关技术人员协助进行杀毒处理。
外部入侵：判断入侵的来源，区分外网与内网，评价入侵可能或已经造成的危害。对入侵未遂、未造成损害的，且评价威胁很小的外网入侵，定位入侵的IP地址，及时关闭入侵的端口，限制入侵的IP地址的访问。对于已经造成危害的，应立即采用断开网络连接的方法，避免造成更大损失和影响。
内部入侵：查清入侵来源，如IP地址、所在办公室等信息，同时断开对应的交换机端口，针对入侵方法调整或更新入侵检测设备。对于无法制止的多点入侵和造成损害的，应及时关闭被入侵的服务器或相应设备。
（二）设备故障事件：判断故障发生点和故障原因，迅速联系设备厂商尽快抢修故障设备，优先保证校园网主干网络和主要应用系统的运转。
（三）灾害性事件：根据实际情况，在保障人身安全的前提下，保障数据安全和设备安全。具体方法包括：硬盘的拔出与保存，设备的断电与拆卸、搬迁等。
（四）信息内容安全事件：接到校内网站出现不良信息的报案后，应迅速屏蔽该网站的网络端口或拔掉网络连接线，阻止有害信息传播，查找信息发布人并做好善后处理。对公安机关要求我校协查的外网不良信息事件，根据校园网上网相关记录查找信息发布人。
（五）其它不确定安全事件：可根据总的安全原则，结合具体情况，做出相应处理，不能处理的及时咨询上级信息安全机构。
第十五条 后续处理：
（一）安全事件最初应急处置后，应及时采取措施，抑制其影响进一步扩大，限制潜在的损失与破坏，同时要确保应急处置措施对涉及的相关业务影响最小。
(二) 安全事件被抑制后，通过对有关事件或行为的分析结果，找出问题根源，明确相应补救措施并彻底清除。
（三）安全事件解决后，要及时清理系统，恢复数据、程序、服务，恢复工作应避免出现误操作导致的数据丢失。
第十六条 总结上报
（一）系统恢复运行后，校网信办对事件造成的损失、事件处理流程等进行分析评估，总结经验教训，并在事件处置完毕后5个工作日内以书面报告形式及时上报分管领导。
（二）发生Ⅲ至Ⅰ级事件，在报告学校的同时，应按照教育部办公厅《信息技术安全事件报告与处置流程（试行）》（教技厅函[2014]75号）报告上级主管部门，同时抄报山西省委网络安全和信息化领导小组办公室（省委网信办），属于重大事件或存在非法犯罪行为的，还须第一时间向公安机关报案。
（三）报告内容包括：时间地点、简要经过、事件类型与分级、影响范围、危害程度、初步原因分析、已采取的紧急措施。
第七章 保障措施
第十七条 学校重视网络信息安全技术人员的队伍建设与保障，重视校园网络设备的维护、升级及相关技术支撑。
第十八条 学校安排专项经费预算，为网络及信息系统安全事件的防治工作提供合理而充足的资金保障和物资储备。
第八章 附则
第十九条 本预案由学校网络安全和信息化领导小组办公室负责解释。
第二十条 本预案自发布之日起施行。
