1总则

1.1编制目的

建立健全学校网络安全事件应急工作机制，规范网络安全事件工作流程，提高学校网络安全应急处置能力，预防和减少网络安全事件造成的损失和危害，维护学校安全稳定。

1.2编制依据

根据《中华人民共和国突发事件应对法》《中华人民共和国网络安全法》等法律法规，《教育部网络安全事件应急预案》《信息安全技术信息安全事件分类分级指南》(GB/Z 20986-2007)等文件。

1.3适用范围

本预案适用于学校所有网络与信息系统，重点涵盖校园网络主干设施、重要信息发布系统、重要业务系统安全事件的应急处置。

1.4工作原则

坚持“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，防范为主，快速反应，统一领导，科学处置，充分发挥各方面力量，共同做好网络安全事件的应急处置工作。

2应急处置机构与职责

学校网络安全和信息化工作领导小组全面负责和统一指挥校园网络安全事件的应急处置工作。

网络信息中心作为学校校园网建设运行的主管部门，负责校园主干网络与主要信息系统安全事件的预防、监测、报告和应急处置，负责对学校其他部门主管的网络信息系统的安全防护情况进行日常检查、指导和督促，必要时协助相关主管部门完成突发事件的技术处理。

校内各单位负责所建网络和信息系统（网站）的网络安全事件应急工作，根据本预案建立本部门应急处置机制，落实相关具体工作。

3网络安全事件分类分级

3.1事件分类

本预案所指网络安全事件是指由于人为原因、软硬件缺陷或故障、自然灾害等，对网络和信息系统或者其中的数据造成危害，对社会造成负面影响的事件，可分为网络攻击事件、设备故障事件、灾害性事件、信息内容安全事件和其他安全事件等。

（1）网络攻击事件：校园网络与信息系统因病毒感染、非法入侵等造成学校网站或部门二级网站主页被恶意篡改，应用系统数据被拷贝、篡改、删除等。

（2）设备故障事件：校园网络与信息系统因网络设备和计算机软硬件故障、人为误操作等导致业务中断、系统宕机、网络瘫痪。

（3）灾害性事件：因洪水、火灾、雷击、地震、台风、非正常停电等外力因素导致网络与信息系统损毁，造成业务中断、系统宕机、网络瘫痪。

（4）信息内容安全事件：利用校园网络在校内外传播法律法规禁止的信息，组织非法串联、煽动集会游行或炒作敏感问题并危害国家安全、社会稳定和公众利益等。

（5）其它安全事件：除上述事件之外的网络安全事件。

3.2事件分级

网络安全事件依据可控性、严重程度和影响范围不同，分为以下四级。

I级（特别重大）：学校网络与信息系统发生全校性大规模瘫痪，对学校正常工作造成特别严重损害，且事态发展超出学校控制能力的安全事件；

II级（重大）：学校网络与信息系统造成全校性瘫痪，对学校正常工作造成严重损害，事态发展超出网络信息中心控制能力，需学校各部门协同处置的安全事件；

III级（较大）：学校某一区域的网络与信息系统瘫痪，对学校正常工作造成一定损害，网络信息中心可自行处理的安全事件；

IV级（一般）：某一局部网络或信息系统受到一定程度损坏，对学校某些工作有一定影响，但不危及学校整体工作的安全事件。

4应急响应机制

4.1 III级或IV级突发事件响应

网络信息中心和突发安全事件的信息系统建管部门自行负责应急处置工作，有关情况报分管校领导。

4.2 II级突发事件响应

网络信息中心立即上报分管校领导和校网信工作领导小组，由领导小组统一组织、协调指挥进行应急处置。

4.3 I级突发事件响应

网络信息中心立即上报分管校领导和校网信工作领导小组，领导小组再上报至省教育厅，由省教育厅相关部门会同我校网信工作领导小组统一组织、协调指挥应急处置。

5应急处置流程

5.1预案启动

发生校园网络安全事件后，网络信息中心和突发安全事件的信息系统建管部门应尽最大可能收集事件相关信息，鉴别事件性质，确定事件来源，弄清事件范围，评估事件带来的影响和损害，确认突发事件的类别和等级，填写《网络安全事件情况报告》（附件1），并参照下述响应机制对突发事件进行处置。

5.2应急处理方式

根据网络安全事件分类采取不同应急处置方式。

5.2.1网络攻击事件

判断攻击的来源与性质，关闭影响安全与稳定的网络设备和服务器设备，断开信息系统与攻击来源的网络物理连接，跟踪并锁定攻击来源的IP地址或其它网络用户信息，修复被破坏的信息，恢复信息系统。按照事件发生的性质采取以下方案：

（1）病毒传播：及时寻找并断开传播源，判断病毒的类型、性质、可能的危害范围；为避免产生更大的损失，保护健康的计算机，必要时可关闭相应的端口，甚至相应楼层的网络，及时请有关技术人员协助，寻找并公布病毒攻击信息，以及杀毒、防御方法。

（2）外部入侵：判断入侵的来源，区分外网与内网，评价入侵可能或已经造成的危害。对入侵未遂、未造成损害的，且评价威胁很小的外网入侵，定位入侵IP地址，及时关闭入侵端口，限制入侵IP地址访问。对于已经造成危害的，应立即采用断开网络连接的方法，避免造成更大损失和影响。

（3）内部入侵：查清入侵来源，如IP地址、所在办公室等信息，同时断开对应的交换机端口，针对入侵方法调整或更新入侵检测设备。对于无法制止的多点入侵和造成损害的，应及时关闭被入侵的服务器或相应设备。

5.2.2设备故障事件

判断故障发生点和故障原因，迅速联系IT运维公司尽快抢修故障设备，优先保证校园网主干网络和主要应用系统的运转。

5.2.3灾害性事件

根据实际情况，在保障人身安全的前提下，保障数据安全和设备安全。具体方法包括硬盘的拔出与保存，设备的断电与拆卸、搬迁等。

5.2.4信息内容安全事件

接到校内网站出现不良信息的通报后， 应迅速屏蔽该网站的网络端口或拔掉网络连接线，阻止有害信息传播，根据网站相关日志记录查找信息发布人并做好善后处理；对公安机关要求我校协查的外网不良信息事件，根据校园网上网相关记录查找信息发布人。

5.2.5其它安全事件

可根据总的安全原则，结合具体情况，做出相应处理。不能处理的及时向上汇报。

5.3后续处理

（1）安全事件进行最初的应急处置后，应及时采取行动，抑制其影响进一步扩大，限制潜在的损失与破坏，同时要确保应急处置措施对涉及的相关业务影响最小。

（2）安全事件被抑制后，通过对有关事件或行为的分析结果，找出问题根源，明确相应补救措施并彻底清除。

（3）在确保安全事件解决后，要及时清理系统，恢复数据、程序、服务，恢复工作应避免出现误操作导致数据丢失。

5.4记录上报

网络安全事件发生时，应及时向校领导和校网信工作领导小组汇报，并在事件处置工作中作好完整的过程记录，及时报告处置工作进展情况，保存各相关系统日志，直至处置工作结束。

5.5结束响应

系统恢复运行后，网络信息中心对事件造成的损失、事件处理流程和应急预案进行评估，对响应流程、预案提出修改意见，总结事件处理经验和教训，撰写事件处理报告，同时确定是否需要上报该事件及其处理过程，需要上报的应及时准备相关材料；属于重大事件或存在非法犯罪行为的，第一时间向公安机关网络监察部门报案。

5.6调查与评估

特别重大网络安全事件和重大网络安全事件的调查处理和总结评估工作根据上级有关规定执行。

较大网络安全事件经学校网信工作领导小组同意后，由学校网络信息中心组织开展调查处理和总结评估工作，并将调查评估结果报学校网信工作领导小组后按程序报省教育网络安全应急办公室。

一般网络安全事件由学校网络信息中心会同事发单位组织开展调查处理和总结评估工作。在年度网络安全工作总结中向学校网信工作领导小组汇总报告调查评估结果。

网络安全事件的调查处理和总结评估工作应在应急响应结束后5天内完成，应对事件的起因、性质、影响、责任等进行分析评估，提出处理意见和改进措施，并填写《网络安全事件总结调查报告》（附件2）。

6保障措施

校园网络安全应急处置是一项长期的、随时可能发生的工作，必须做好各项应急保障工作。

6.1队伍保障

加强队伍建设，不断提高工作人员的信息安全防范意识和技术水平，确保安全事件应急处置科学得当。

6.2技术保障

不断完善网络安全整体方案，加强技术管理，确保信息系统的稳定与安全。根据工作需要聘请信息安全顾问为应急处置过程和重建工作提供咨询和技术支持。

6.3资金保障

网络信息中心应根据校园网络与信息系统安全预防和应急处置工作的实际需要，申报网络与信息系统关键设备及软件的运行维护专项资金，提出年度应急处置工作相关设备和工具所需经费，并上报至财务处纳入年度财政预算，由学校给予资金保障。

6.4安全培训和演练

网络信息中心定期对相关工作人员进行网络与信息系统安全知识培训，增强预防意识和应急处置能力。有针对性地开展应急抢险救灾演练，确保相关措施的有效落实。

7预防工作

7.1日常管理

各单位应做好网络安全事件日常预防工作，根据本预案制订完善本单位所建信息系统的网络安全事件专项应急预案和配套的管理制度，进一步细化应急操作流程。按照网络安全等级保护等相关要求，落实各项防护措施，做好网络安全检查、风险评估和容灾备份，加强信息系统的安全保障能力。

7.2监测预警和通报

各单位应加强网络安全监测预警，及时发现并处置安全威胁。学校网络信息中心应全面掌握全校信息系统（网站）情况，建立全校网络安全监测预警和通报机制，并指导、监督各单位及时修复安全威胁，全面排查安全隐患，提高发现和应对网络安全事件的能力。

7.3应急演练

网络信息中心每年组织一次针对网络安全事件的应急演练，每年年底前将本年度演练情况报学校网信工作领导小组。

7.4宣传教育

学校将网络安全教育作为国家安全教育的重要内容，加强突发网络安全事件预防和处置的有关法律、法规和政策的宣传教育。网络信息中心应充分利用网络安全宣传周等时机开展网络安全基本知识和技能的宣传活动，提高在校师生的网络安全意识。

7.5工作培训

各单位应加强网络安全特别是网络安全事件应急预案的学习，提高网络安全管理和技术人员的防范意识及安全技能。学校网络信息中心每学期组织一次面向全校相关技术人员的网络安全培训。学校有关部门应将网络安全事件的应急知识列为领导干部和有关人员的培训内容。

8附则

8.1预案修订

本预案原则上每年评估一次，根据实际情况适时修订。修订工作由学校网信工作领导小组办公室组织。

8.2预案解释

本预案由学校网络信息中心负责解释。

8.3预案实施

本预案自印发之日起实施。

 

附件1：网络安全事件情况报告

附件2：网络安全事件总结调查报告

报告单位		报告时间	年  月  日  时
事发单位		事件起始时间	年  月  日  时
填报人		审核人
事件分类	□网络攻击事件  □设备故障事件  □灾害性事件 □信息内容安全事件  □其它安全事件
事件分级	□I级  □Ⅱ级    □Ⅲ级  □Ⅳ级
危害表象	□网络中断□系统瘫痪□数据毁坏□数据泄密□其它危害
信息系统的基本情况（如涉及请填写）	1. 系统名称： 2. 系统网址和IP地址： 3. 系统主管单位/部门： 4. 系统运维单位/部门： 5. 系统使用单位/部门： 6. 系统主要用途： 7. 是否定级 □是 □否，所定级别： 8. 是否备案 □是 □否，备案号： 9. 是否测评 □是 □否 10. 是否整改□是 □否
事件描述：（包括突发事件发生原因、性质，初步原因和危害程度判断）
事件原因的初步分析：
处置措施：（突发事件发生单位已采取的控制措施及其他应对措施）
事件后果的初步估计：
是否需要应急支援及需支援事项和工作建议：
安全负责人意见（签字）
主要负责人意见（签字）

附件1：  网络安全事件情况报告

附件2  网络安全事件总结调查报告

上报单位		填报时间	年  月  日  时
事件名称
填报人		审核人
事件分类	□网络攻击事件  □设备故障事件  □灾害性事件 □信息内容安全事件  □其它安全事件
事件分级	□I级  □Ⅱ级    □Ⅲ级  □Ⅳ级
信息系统的基本情况（如涉及请填写）	1. 系统名称： 2. 系统网址和 IP 地址： 3. 系统主管单位/部门： 4. 系统运维单位/部门： 5. 系统使用单位/部门： 6. 系统主要用途： 7. 是否定级 □是  □否，所定级别： 8. 是否备案 □是  □否，备案号： 9. 是否测评 □是  □否 10.是否整改 □是  □否
事件最新概况：（包括当前事态、已造成的影响情况及发展趋势等）
事件发生的最终判定原因（可加页附文字、图片以及其他文件）
事件的影响与恢复情况
事件的安全整改措施
存在问题及建议
安全负责人意见（签字）
主要负责人意见（签字）