第一章 总则

第一条 为建立学校网络与信息安全事件应急响应工作机制，有效预防并科学应对网络与信息安全突发事件，确保校园网络与信息系统正常运行，根据《中华人民共和国计算机信息系统安全保护条例》、《信息安全事件分类分级指南》、《教育系统网络与信息安全类突发公共事件应急预案》、《信息技术安全事件报告与处理流程》等国家和教育行业有关法律法规，结合学校工作实际，特制定本预案。

第二条 网络与信息安全事件是指是指校园信息化基础设施、应用系统、网站、信息化数据、个人信息等因各种因素遭到破坏和信息泄露，对学校工作、学习、生活秩序造成负面影响的事件

第三条 应急处置遵循“统一领导，预防为本、快速反应，科学处置”的原则，最大可能的降低危害和影响。

第二章 网络与信息安全事件分级

第四条 网络与信息安全事件依据发生过程、性质和特征不同，可分为以下七类：

（一）有害程序事件。

有害程序事件是指蓄意制造、传播有害程序,或是因受到有害程序的影响而导致的信息安全事件。有害程序事件包括计算机病毒事件、蠕虫事件、特洛伊木马事件、僵尸网络事件、混合攻击程序事件、网页内嵌恶意代码事件和其他有害程序事件等7个子类。

（二）网络攻击事件

网络攻击事件是指通过网络或其他技术手段,利用信息系统的配置缺陷、协议缺陷、程序缺陷或使用暴力攻击对信息系统实施攻击,并造成信息系统异常或对信息系统当前运行造成潜在危害的信息安全事件。网络攻击事件包括拒绝服务攻击事件、后门攻击事件、漏洞攻击事件、网络扫描窃听事件、网络钓鱼事件、干扰事件和其他网络攻击事件等7个子类。

（三）信息破坏事件

信息破坏事件是指通过网络或其他技术手段，造成信息系统中的信息被篡改、假冒、泄露、窃取等而导致的信息安全事件。信息破坏事件包括信息篡改事件、信息假冒事件、信息泄露事件、信息窃取事件、信息丢失事件和其他信息破坏事件等6个子类。

（四）设备设施故障

设备设施故障是指由于信息系统自身故障或外围保障设施故障而导致的信息安全事件，以及人为的使用非技术手段有意或无意的造成信息系统破坏而导致的信息安全事件。设备设施故障包括软硬件自身故障、外围保障设施故障、人为破坏事故和其他设备设施故障等4个子类。

（五）灾害性事件

灾害性事件是指由于不可抗力对信息系统造成物理破坏而导致的信息安全事件。灾害性事件包括水灾、台风、地震、雷击、坍塌、火灾、恐怖袭击、战争等导致的信息安全事件。

（六）信息内容安全事件

信息内容安全事件是指利用校园网络在校内外传播法律法规禁止的信息，组织非法串联、煽动集会游行或炒作敏感问题并危害国家安全、社会稳定和公众利益的事件。

（七）其他事件

其他事件是指不能归为以上基本分类的信息技术安全事件。

第五条 网络信息安全事件按照可控性、严重程度和影响范围不同,可划分为四级。

（一）特别重大事件(Ⅰ级)

特别重大事件是指能够导致特别严重影响或破坏的信息安全事件，包括以下情况:

(1)会使特别重要信息系统遭受特别严重的系统损失;

(2)产生特别重大的社会影响。

（二）重大事件(Ⅱ级)

重大事件是指能够导致严重影响或破坏的信息安全事件，包括以下情况:

(1)会使特别重要信息系统遭受严重的系统损失,或使重要信息系统遭受特别严重的系统损失;

(2)产生的重大的社会影响。

（三）较大事件(Ⅲ级)

较大事件是指能够导致较严重影响或破坏的信息安全事件，包括以下情况:

(1)会使特别重要信息系统遭受较大的系统损失,或使重要信息系统遭受严重的系统损失、一般信息信息系统遭受特别严重的系统损失:

(2)产生较大的社会影响。

（四）一般事件(IV级)

一般事件是指不满足以上条件的信息安全事件，包括以下情况:

(1)会使特别重要信息系统遭受较小的系统损失,或使重要信息系统遭受较大的系统损失,一般信息系统遭受严重或严重以下级别的系统损失;

(2)产生一般的社会影响。

第三章 组织机构及职责

第六条 学院网络安全和信息化领导小组为网络信息安全事件应急处理领导机构，其职责包括：

（一）负责网络与信息安全工作的组织、协调和监督，制定相关制度和应急预案；

（二）根据网络与信息安全事件程度提出相应级别预案的启动，组织协调成员部门落实应急预案，共同做好处置工作；

（三）负责及时收集、通报和上报网络与信息安全事件处置的有关情况；

（四）对全校各部门贯彻执行预案以及在事件处置工作中履行职责情况进行检查督办。

第七条 其它部门职责包括：

（一）学院党委：牵头组织重大敏感时期、重要活动、重要会议期间发生的网络与信息安全事件的协调处置；负责涉密级信息网络泄密类事件的处理。

（二）网络管理中心：负责校园基础网络及信息系统安全，保证校园网络服务不中断；负责网络攻击、设备故障类事件的处置；负责全校网络与信息安全事件处置的技术支持工作。

（三）党委宣传部：负责学校舆情监测和信息内容安全类事件的处置，对于涉及师生政治思想方面的预警性、倾向性、苗头性的问题，分析研判，妥善有效应对。

（四）安保处：密切联系公安部门，负责涉及人为破坏类事件的处置，配合重大安全事件的处置。

（五）各院系、职能部门负责本部门网站和业务系统的信息安全事件的处置工作，应对照本预案，建立本部门应急处置机制。

第四章 预防措施

第八条 加强网络与信息系安全管理，健全工作制度和建立预报预警监测体系，避免和减少网络信息安全事件发生。

第九条 健全技术防护体系，在校园网出入口、数据中心、重要信息系统筹重要部位，安装必要的安全防御检测工具，进行实时监测和定期扫描，发现异常情况及时防范处理并逐级报告。同时做好操作系统升级杀毒，数据备份、安全审计等日常管理工作。

第十条 建立灾害险情巡查制度。宣传部及各网站管理员应随时监控网站内容，网络管理中心应严格执行值班制度，做好校园网络与信息安全的日常巡查及日志保存工作，以保证最先发现灾害并及时处置突发性事件。

第五章 报告与处置

第十一条 I至Ⅲ级信息安全事件的报告与处置。报告与处置分为三个步骤:事发紧急报告与处置、事中情况报告与处置和事后整改报告与处置。

(一)事发紧急报告与处置

(1)网络与信息系统运维操作人员一旦发现上述安全事件,应根据实际情况第一时间采取断网等有效措施进行处置,将损害和影响降到最小范围。保留现场，并报告本部门负责人。

(2)本部门负责人接到报告后，应立即组织相关人员赶赴现场进行紧急处置,同时以口头通信的方式将相关情况通报至网络管理中心,并书面记录安全事件发现过程及口头汇报过程。涉及人为主观破坏事件应同时报告学院安保处。

(3)网络管理中心接到报告后，应做好书面记录，并进一步判定安全事件等级,对确认属Ⅰ至Ⅲ级安全事件的，应报告网络安全和信息化领导小组相关领导。

(4)紧急报告内容包括:①时间地点;②简要经过;③事件类型与分级;④影响范围;⑤危害程度;⑥初步原因分析;⑦已采取的应急措施。

(5)对确认属Ⅰ至Ⅲ级安全事件的,网络管理中心应立即组织相关技术力量赶赴现场进行协助处置工作。涉及人为主观破坏事件的，学校安保处应组织人员赴现场协助处置,并协助公安机关做好相关取证和处置工作。

(6)各部门应及时跟进事件发展情况,出现新的重大情况应及时补报。

（二)事中情况报告与处置

(1)事中情况报告应在安全事件发现后6小时内以书面报告的形式进行报送。

(2)事中情况报告由部门人员组织编写,由本部门主要负责人审核后，签字并加盖公章报送网络管理中心。

涉及人为主观破坏事件的,事中情况报告应抄送给安保处。

(3)安全事件的事中处置包括，及时掌握损失情况,查找和分析事件原因,修复系统漏洞,恢复系统服务，尽可能减少安全事件对正常工作带来的影响。如果涉及人为主观破坏的安全事件应由安保处联系、配合公安部门和学校安保处开展调查。

(三)事后整改报告

(1)事后整改报告应在安全事件处置完毕后4个工作日内以书面报告的形式进行报送。

(2)事后情况报告由部门人员组织编写，由本部门主要负责人审核后,签字并加盖公章报送网络管理中心。

第十二条 一般安全事件(Ⅳ级)报告与处置。各部门发生一般安全事件，应及时、自主组织应急处置工作;需要技术协助的,联系网络管理中心予以协助。在事件处置完毕后，6天内向网络管理中心报送整改报告。

第十三条 应急处理方式：根据网络与信息安全事件分类采取不同应急处置方式。

（一）网络攻击事件：判断攻击的来源与性质，关闭影响安全的网络设备和服务器设备，断开信息系统与攻击来源的网络物理连接，跟踪并锁定攻击来源的IP地址或其它网络用户信息，修复被破坏的信息，恢复信息系统。

（二）病毒传播：及时寻找并断开传播源，判断病毒的类型、性质、可能的危害范围，为避免产生更大的损失，保护健康的计算机，必要时可关闭相应的端口，甚至相应楼层的网络，及时请有关技术人员协助进行杀毒处理。

（三）外部入侵：判断入侵的来源，区分外网与内网，评价入侵可能或已经造成的危害。对入侵未遂、未造成损害的，且评价威胁很小的外网入侵，定位入侵的IP地址，及时关闭入侵的端口，限制入侵的IP地址的访问。对于已经造成危害的，应立即采用断开网络连接的方法，避免造成更大损失和影响。

（四）内部入侵：查清入侵来源，如IP地址、所在办公室等信息，同时断开对应的交换机端口，针对入侵方法调整或更新入侵检测设备。对于无法制止的多点入侵和造成损害的，应及时关闭被入侵的服务器或相应设备。

（五）设备故障事件：判断故障发生点和故障原因，迅速联系运维公司尽快抢修故障设备，优先保证校园网主干网络和主要应用系统的运转。

（六）灾害性事件：根据实际情况，在保障人身安全的前提下，保障数据安全和设备安全。具体方法包括：硬盘的拔出与保存，设备的断电与拆卸、搬迁等。

（七）信息内容安全事件：接到校内网站出现不良信息的报案后，应迅速屏蔽该网站的网络端口或拔掉网络连接线，阻止有害信息传播，查找信息发布人并做好善后处理。对涉及学院及相关网络舆情事件，借助信息技术尽早发现提前介入妥善处置，控制舆情发展，必要时可联合校外主管部门及公安机关做好舆情处置工作。对公安机关要求我校协查的外网不良信息事件，根据校园网上网相关记录查找信息发布人。

（八）个人及重要信息破坏、泄露事件：发现个人及重要信息破坏、泄露事件后，应迅速切断涉及系统和网站网络连接，保护现场及时取证，避免造成更大的破坏和泄露事件。查找原因，采取有效措施弥补系统漏洞，恢复系统运行后及时补录、修正个人信息。

（九）其它不确定安全事件：可根据总的安全原则，结合具体情况，做出相应处理，不能处理的及时咨询国家信息安全机构。

第十四条 后续处理

（一）安全事件最初应急处置后，应及时采取措施，抑制其影响进一步扩大，限制潜在的损失与破坏，同时要确保应急处置措施对涉及的相关业务影响最小。

（二）安全事件被抑制后，通过对有关事件或行为的分析结果，找出问题根源，明确相应补救措施并彻底清除。

（三）安全事件解决后，要及时清理系统，恢复数据、程序、服务，恢复工作应避免出现误操作导致的数据丢失。

（四）后续要进一步总结事件教训,研判安全现状、排查安全隐患，进一步加强制度建设，提升安全防护能力。如涉及人为主观破坏的安全事件应继续配合公安部门和学校安保处开展调查。

第六章 保障措施

第十五条 加强队伍建设，不断提高工作人员的信息安全防范意识和技术水平，确保安全事件应急处置科学得当。

第十六条 加强技术保障，不断完善网络安全整体方案，加强技术防护，确保信息系统的稳定与安全。

第十七条 加强资金保障，网络管理中心应根据校园网安全防护和应急处置工作实际需要，提出用于安全的软硬件设备及运行维护经费预算，报财务处纳入年度经费预算。

第十八条 加强安全培训和演练，信息系统管理部门及网络管理中心应定期组织网络和系统管理员进行信息安全知识培训，增强防范意识和应急处置能力。开展应急处置演练，确保相关措施的有效落实。

第七章 附则

第十九条 本预案由网络安全和信息化领导小组负责解释。