XX市医疗保障局网络安全应急预案

XX市医疗保障局网络安全应急预案

1总则

1.1编制目的为保障XX市医疗保障局网络和信息安全，提高应对网络安全事件的能力，预防和减少网络安全事件造成的损失和危害，进一步完善网络安全事件应急处置机制，制定本预案。

1.2编制依据

《中华人民共和国网络安全法》、《国家网络安全事件应急预案》、《信息安全技术信息安全事件分类分级指南》（GB/Z20986-2007)、《信息安全事件管理指南》（GB/Z20985-2007)、《应急预案编制导则》（GBA29639-2013)、《信息技术服务运行维护第3部分:应急响应规范》（GBA28827.3-2012)等相关规定。

1.3工作原则

强化监测，主动防御。强化网络和信息安全防护意识，加强日常安全检测，积极主动防御，做到安全风险早发现。

明确分工，落实责任。加强网络和信息安全组织体系建设，明确网络安全应急工作权责，健全安全信息通报机制，做到安全风险早通报。

快速响应，有效处置。加强日常监管和运维，强化人力、物资、技术等基础资源储备，增强应急响应能力，做到安全问题早处置。

1.4适用范围

本预案适用于市医疗保障局网络和信息安全事件应急工作。

2事件分级与监测预警

2.1事件分类

网络安全事件分为有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件和其他网络安全事件。

（1）有害程序事件。包括：计算机病毒事件、蠕虫事件、特洛伊木马事件、僵尸网络事件、混合程序攻击事件、网页内嵌恶意代码事件和其他有害程序事件。

（2）网络攻击事件。包括：拒绝服务攻击事件、后门攻击事件、漏洞攻击事件、网络扫描窃听事件、网络钓鱼事件、干扰事件和其他网络攻击事件。

（3）信息破坏事件。包括：信息篡改事件、信息假冒事件、信息泄露事件、信息窃取事件、信息丢失事件和其他信息破坏事件。

（4）信息内容安全事件。指通过网络传播法律法规禁止信息，组织非法串联、煽动集会游行或炒作敏感问题并危害国家安全、社会稳定和公众利益的事件。

（5）设备设施故障。包括：软硬件自身故障、外围保障设施故障、人为破坏事故和其他设备设施故障。

（6）灾害性事件。指由自然灾害等其他突发事件导致的网络安全事件。

（7）其他事件。指除以上所列事件之外的网络安全事件。

2.2事件分级

按照事件性质、严重程度、可控性和影响范围等因素，将市医疗保障局网络和信息安全事件划分为四级：Ⅰ级、Ⅱ级、Ⅲ级和Ⅳ级，分别对应特别重大、重大、较大和一般安全应急事件。

（1）Ⅰ级（特别重大）。局网络和信息系统发生全局性瘫痪，事态发展超出控制能力，产生特别严重的社会影响或损害的安全事件。

（2）Ⅱ级（重大）。局网络与信息系统发生大规模瘫痪，对社会造成严重损害，需要局各科室（单位）协同处置应对的安全事件。

（3）Ⅲ级（较大）。局部分网络和信息系统瘫痪，对社会造成一定损害，事态发展在掌控之中的安全事件。

（4）Ⅳ级（一般）。局网络与信息系统受到一定程度的损坏，对社会不构成影响的安全事件。

2.3预警监测

有关科室（单位）应加强日常预警和监测，必要时应启动应急预案，同时向局网络安全和信息化领导小组（以下简称“领导小组”）通报情况。收到或发现预警信息，须及时进行技术分析、研判，根据问题的性质、危害程度，提出安全预警级别。

（1）对发生或可能发生的Ⅳ级安全事件，及时消除隐患避免产生更为严重的后果。

（2）对发生或可能发生的Ⅲ级安全事件，迅速组织技术力量，研判风险，消除影响，并将处置情况和结果报领导小组，由领导小组发布预警信息。

（3）对发生和可能发生的Ⅱ级安全事件，应迅速启动应急预案，召开应急工作会议，研究确定事件等级，研判事件产生的影响和发展趋势，组织技术力量进行应急处置，并将处置情况报领导小组，由领导小组发布预警信息。

（4）对于发生和可能发生的Ⅰ级安全事件，迅速启动应急预案，由领导小组向省医疗保障局、市委网络安全和信息化委员会办公室、市公安局通报，并在省级有关部门的指挥下开展应急处置工作，预警信息由省级有关部门发布。

3应急处置

3.1网页被篡改时处置流程

（1）网页由主办网站的科室（单位）负责随时密切监视显示内容。

（2）发现非法篡改时，通知技术单位派专人处理，并作好必要记录，确认清除非法信息后，重新恢复网站访问。

（3）保存有关记录及日志，排查非法信息来源。

（4）向领导小组汇报处理情况。

（5）情节严重时向公安部门报警。

3.2遭受攻击时处置流程

（1）发现网络被攻击时，立即将被攻击的服务器等设备断网隔离，并及时向领导小组通报情况。

（2）进行系统恢复或重建。

（3）保持日志记录，排查攻击来源和攻击路径。

（4）如果不能自行处理或属严重事件的，应保留记录资料并立即向公安部门报警。

3.3病毒感染处置流程

（1）发现计算机被感染上病毒后，将该机从网络上隔离。

（2）对该设备的硬盘进行数据备份。

（3）启用杀病毒软件对该机器进行杀毒处理工作。

（4）必要时重新安装操作系统。

3.4软件系统遭受攻击时处置流程

（1）重要的软件系统应做异地存储备份。

（2）遭受攻击时，应及时采取相应措施减少或降低损害，必要时关停服务，断网隔离，并立即向领导小组报告。

（3）网络安全人员排查问题，确保安全后重新部署系统。

（4）检查日志等资料，确定攻击来源。

（5）情况严重时，应保留记录资料并立即向公安部门报警。

3.5数据库安全紧急处置流程

（1）主要数据库系统应做双机热备，并存于异地。

（2）发生数据库崩溃时，立即启动备用系统。

（3）在备用系统运行的同时，尽快对故障系统进行修复。

（4）若两主备系统同时崩溃，应立即向领导小组报告，并向软硬件厂商请求支援。

（5）系统恢复后，排查原因，出具调查报告。

3.6网络中断处置流程

（1）网络中断后，立即安排人员排查原因，寻找故障点。

（2）如属线路故障，重新修复线路。

（3）如是路由器、交换机配置问题，应迅速重新导入备份配置。

（4）如是路由器、交换机等网络设备硬件故障，应立即使用备用设备，并调试通畅。

（5）如故障节点属电信部门管辖范围，立即与电信维护部门联系，要求修复。

3.7发生火灾处置流程

（1）首先确保人员安全，其次确保核心信息资产的安全，条件允许的情况下再确保一般信息资产的安全。

（2）及时疏散无关人员，拨打119报警电话。

（3）现场紧急切断电源，启动灭火装置。

（4）向领导小组报告火灾情况。

4调查与评估

（1）网络和信息安全事件应急处置结束后，由相关科室（单位）自行组织调查的，科室（单位）对事件产生的原因、影响以及责任认定进行调查，调查报告报领导小组。

（2）网络和信息安全事件应急处置结束后，对按照规定需要成立调查组的事件，由领导小组组织成立调查组，对事件产生的原因、影响及责任认定进行调查。

（3）网络和信息安全事件应急处置结束后，对产生社会影响且由省级有关部门进行调查的，按照省级有关部门的要求配合进行事件调查。

5附则

（1）本预案原则上每年评估一次，根据需要适时修订，并报省医疗保障局、市委网络和信息化委员会办公室、市公安局备案。

（2）本预案自印发之日起施行。