信息系統(tǒng)安全應急預案一、總則（一）編制目的醫(yī)院網(wǎng)絡和信息安全涉及以設備為中心的信息安全,技術涵蓋網(wǎng)絡系統(tǒng)、計算機操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)和應用軟件系統(tǒng)；涉及計算機病毒的防范、入侵的監(jiān)控；涉及以用戶（包括內部員工和外部相關機構人員）為中心的安全管理,包括用戶的身份管理、身份認證、授權、審計等；涉及信息傳輸?shù)臋C密性、完整性、不可抵賴性等等.為切實加強我院網(wǎng)絡運行安全與信息安全的防范,做好應對網(wǎng)絡與信息安全突發(fā)公共事件的應急處理工作,進一步提高預防和控制網(wǎng)絡和信息安全突發(fā)事件的能力和水平,昀大限度地減輕或消除網(wǎng)絡與信息安全突發(fā)事件的危害和影響,確保網(wǎng)絡運行安全與信息安全,結合本院工作實際,特制定本應急預案.（二）編制依據(jù)根據(jù)《中華人民共和國計算機信息系統(tǒng)安全保護條例》、《政府信息系統(tǒng)安全檢查指南》、gb-2021《信息安全技術信息系統(tǒng)安全管理要求》、gb-2021《信息安全技術網(wǎng)絡基礎安全技術要求》、gb-2021《信息安全技術防火墻技術要求和測試評價方法》、gb-2021《信息技術信息安全管理使用規(guī)則》等有關法規(guī)、規(guī)定,制定本預案.（三）本預案適用于常德市第一人民醫(yī)院網(wǎng)絡與信息安全應急處理工作 .二、應急組織機構及職責成立信息系統(tǒng)應急處理領導小組 ,負責領導、組織和協(xié)調全院信息系統(tǒng)突發(fā)事件的應急保障工作.（一）領導小組成員:組長:院長副組長:分管副院長成員:院辦、醫(yī)務部、護理部、門診辦、計財科、設備科、總務科、保衛(wèi)科、醫(yī)保辦、信息科等部門負責人組成.應急小組日常工作由醫(yī)院信息科承擔 ,其他各相關部門積極配合 .（二）領導小組職責:制訂專項應急預案,負責定期組織演練,監(jiān)督檢查各部門在本預案中履行職責情況.對發(fā)生事件啟動應急救援預案進行決策,全面指揮應急救援工作.三、工作原則（一）積極防御、綜合防范立足安全防護,加強預警,重點保護重要信息網(wǎng)絡和關系社會穩(wěn)定的重要信息系統(tǒng)；從預防、監(jiān)控、應急處理、應急保障和打擊不法行為等環(huán)節(jié),在管理、技術、宣傳等方面,采取多種措施,充分發(fā)揮各方面的作用,構筑網(wǎng)絡與信息安全保障體系（二）明確責任、分級負責按照誰主管誰負責的原則,分級分類建立和完善安全責任制度、協(xié)調管理機制和聯(lián)動工作機制.加強計算機信息網(wǎng)絡安全的宣傳和教育,進一步提高工作人員的信息安全意識.（三）落實措施、確保安全要對機房、網(wǎng)絡設備、服務器等設施定期開展安全檢查,對發(fā)現(xiàn)安全漏洞和隱患的進行及時整改.（四）科學決策,快速反應加強技術儲備,規(guī)范應急處置措施和操作流程,網(wǎng)絡與信息安全突發(fā)公共事件發(fā)生時,要快速反應,及時獲取準確信息,跟蹤研判,及時報告,果斷決策,迅速處理,昀大限度地減少危害和影響.四、事件分類和風險程度分析（一）物理層的安全風險分析、系統(tǒng)環(huán)境安全風險1）水災、火災、雷電等災害性故障引發(fā)的網(wǎng)絡中斷、系統(tǒng)癱瘓、數(shù)據(jù)被毀等；2）因接地不良、機房屏蔽性能差引起的靜電干擾或外界的電磁干擾使系統(tǒng)不能正常工作；3）機房電力設備和其它配套設備本身缺陷誘發(fā)信息系統(tǒng)故障；4）機房安全設施自動化水平低,不能有效監(jiān)控環(huán)境和信息系統(tǒng)工作；5）其它環(huán)境安全風險.、物理設備的安全風險由于信息系統(tǒng)中大量地使用了網(wǎng)絡設備如交換機、路由器等,服務器,移動設備,使得這些設備的自身安全性也會直接關系信息系統(tǒng)和各種網(wǎng)絡應用的正常運轉.例如,路由設備存在路由信息泄漏,交換機和路由器設備配置風險等.（二）網(wǎng)絡安全風險、網(wǎng)絡體系結構的安全風險網(wǎng)絡平臺是一切應用系統(tǒng)建設的基礎平臺,網(wǎng)絡體系結構是否按照安全體系結構和安全機制進行設計,直接關系到網(wǎng)絡平臺的安全保障能力.醫(yī)院的網(wǎng)絡是由多個局域網(wǎng)和廣域網(wǎng)組成,網(wǎng)絡體系結構比較復雜.內部應用信息網(wǎng)、internet網(wǎng)之間是否進行隔離及如何進行隔離,網(wǎng)段劃分是否合理,路由是否正確,網(wǎng)絡的容量、帶寬是否考慮客戶上網(wǎng)的峰值,網(wǎng)絡設備有無冗余設計等都與安全風險密切相關.2 、網(wǎng)絡通信協(xié)議的安全風險 .網(wǎng)絡通信協(xié)議存在安全漏洞,網(wǎng)絡黑客就能利用網(wǎng)絡設備和協(xié)議的安全漏洞進行網(wǎng)絡攻擊和信息竊取.例如未經(jīng)授權非法訪問內部網(wǎng)絡和應用系統(tǒng)；對其進行監(jiān)聽,竊取用戶的口令密碼和通信密碼；對網(wǎng)絡的安全漏洞進行探測掃描；對通信線路和網(wǎng)絡設備實施拒絕服務攻擊,造成線路擁塞和系統(tǒng)癱瘓.、網(wǎng)絡操作系統(tǒng)的安全風險網(wǎng)絡操作系統(tǒng),不論是ios,android, 還是windows,都存在安全漏洞；一些重要的網(wǎng)絡設備,如路由器、交換機、網(wǎng)關,防火墻等,由于操作系統(tǒng)存在安全漏洞 ,導致網(wǎng)絡設備的不安全；有些網(wǎng)絡設備存在后門（ backdoor）.（三）系統(tǒng)安全風險、操作系統(tǒng)安全風險操作系統(tǒng)的安全性是系統(tǒng)安全管理的基礎 .數(shù)據(jù)庫服務器、中間層服務器 ,以及各類業(yè)務和辦公客戶機等設備所使用的操作系統(tǒng) ,不論是win2021,還是unix都存在信息安全漏洞,由操作系統(tǒng)信息安全漏洞帶來的安全風險是昀普遍的安全風險.、數(shù)據(jù)庫安全風險所有的業(yè)務應用、決策支持、行政辦公的信息管理核心都是數(shù)據(jù)庫,而涉及醫(yī)院運行的數(shù)據(jù)都是昀需要安全保護的信息資產(chǎn),不僅需要統(tǒng)一的數(shù)據(jù)備份和恢復以及高可用性的保障機制,還需要對數(shù)據(jù)庫的安全管理,包括訪問控制,敏感數(shù)據(jù)的安全標簽,日志審計等多方面提升安全管理級別,規(guī)避風險.雖然,目前醫(yī)院的數(shù)據(jù)庫管理系統(tǒng)可以達到較高的安全級別,但仍存在安全漏洞.建立在其上的各種應用系統(tǒng)軟件在數(shù)據(jù)的安全管理設計上也不可避免地存在或多或少的安全缺陷,需要對數(shù)據(jù)庫和應用的安全性能進行綜合的檢測和評估.3、應用系統(tǒng)的安全風險為優(yōu)化整個應用系統(tǒng)的性能,無論是采用c／s應用模式或是b／s應用模式,應用系統(tǒng)都是其系統(tǒng)的重要組成部分,不僅是用戶訪問系統(tǒng)資源的入口,也是系統(tǒng)管理員和系統(tǒng)安全管理員管理系統(tǒng)資源的入口,桌面應用系統(tǒng)的管理和使用不當,會帶來嚴重的安全風險.例如當口令或通信密碼丟失、泄漏,系統(tǒng)管理權限丟失、泄漏時,輕者假冒合法身份用戶進行非法操作.重者,黑客對系統(tǒng)實施攻擊,造成系統(tǒng)崩潰.、病毒危害風險計算機病毒的傳播會破壞數(shù)據(jù)信息,占用系統(tǒng)資源,影響計算機運行速度,引起網(wǎng)絡堵塞甚至癱瘓.盡管防病毒軟件安裝率已大幅度提升,但如果沒有好的防毒概念,從不進行病毒代碼升級,而新病毒層出不窮,因此威脅性愈來愈大.、黑客入侵風險一方面風險來自于內部,入侵者利用sniffer 等嗅探程序通過網(wǎng)絡探測、掃描網(wǎng)絡及操作系統(tǒng)存在的安全漏洞,如網(wǎng)絡ip地址、應用操作系統(tǒng)的類型、開放哪些tcp端口號、系統(tǒng)保存用戶名和口令等安全信息的關鍵文件等,并采用相應的攻擊程序對內網(wǎng)進行攻擊.入侵者通過拒絕服務攻擊,使得服務器超負荷工作以至拒絕服務甚至系統(tǒng)癱瘓.另一方面風險來自外部,入侵者通過網(wǎng)絡監(jiān)聽、用戶滲透、系統(tǒng)滲透、拒絕服務、木馬等綜合手段獲得合法用戶的用戶名、口令等信息,進而假冒內部合法身份進行非法登錄,竊取內部網(wǎng)重要信息,或使系統(tǒng)終止服務.所以,必須要對外部和內部網(wǎng)絡進行必要的隔離,避免信息外泄；同時還要對外網(wǎng)的服務請求加以過濾,只允許正常通信的數(shù)據(jù)包到達相應主機,其它的請求服務在到達主機之前就應該遭到拒絕.（四）應用安全風險1 、身份認證與授權控制的安全風險依靠用戶id 和口令的認證很不安全,容易被猜測或盜取,會帶來很大的安全風險.為此,動態(tài)口令認證、ca第三方認證等被認為是先進的認證方式 .但是,如果使用和管理不當,同樣會帶來安全風險 .要基于應用服務和外部信息系統(tǒng)建立基于統(tǒng)一策略的用戶身份認證與授權控制機制 ,以區(qū)別不同的用戶和信息訪問者 ,并授予他們不同的信息訪問和事務處理權限 .、信息傳輸?shù)臋C密性和不可抵賴性風險實時信息是應用系統(tǒng)的重要事務處理信息,必須保證實時信息傳輸?shù)臋C密性和網(wǎng)上活動的不可抵賴性,能否做到這一點,關鍵在于采用什么樣的加密方式、密碼算法和密鑰管理方式.采用國內經(jīng)過國家密碼管理委員會和公安部批準的加密方式、密碼算法和密鑰管理技術來強化這一環(huán)節(jié)的安全保障.、管理層安全風險分析安全的網(wǎng)絡設備要靠人來實施,管理是整個網(wǎng)絡安全中昀為重要的一環(huán),認真地分析管理所帶來的安全風險,并采取相應的安全措施.責權不明、管理混亂、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風險 .當網(wǎng)絡出現(xiàn)攻擊行為或網(wǎng)絡受到其它一些安全威脅時（如內部人員的違規(guī)操作等）,無法進行實時的檢測、監(jiān)控、報告與預警.同時,當故障發(fā)生后,也無法提供黑客攻擊行為的追蹤線索及破案依據(jù),即缺乏對網(wǎng)絡的可控性與可審查性.這就要求人們必須對站點的訪問活動進行多層次的記錄 ,及時發(fā)現(xiàn)非法入侵行為.五、預防預警（一）完善網(wǎng)絡與信息安全突發(fā)公共事件監(jiān)測、預測和預警制度 .加強對各類網(wǎng)絡與信息安全突發(fā)事件和可能引起突發(fā)網(wǎng)絡與信息安全突發(fā)公共事件的有關信息的收集、分析、判斷和持續(xù)監(jiān)測.當檢查到有網(wǎng)絡與信息安全突發(fā)事件發(fā)生或可能發(fā)生時,應及時對發(fā)生事件或可能發(fā)生事件進行調查核實、保存相關證據(jù),并立即向應急領導小組報告.報告內容主要包括信息來源、影響范圍、事件性質、事件發(fā)展趨勢和采取的措施建議等.若發(fā)現(xiàn)下列情況應及時向應急領導小組報告:利用網(wǎng)絡從事違法犯罪活動；網(wǎng)絡或信息系統(tǒng)通信和資源使用異常；網(wǎng)絡或信息系統(tǒng)癱瘓,應用服務中斷或數(shù)據(jù)篡改、丟失；網(wǎng)絡恐怖活動的嫌疑和預警信息；其他影響網(wǎng)絡與信息安全的信息.（二）設定信息安全等級保護 ,實行信息安全風險評估.通過相關設備實時監(jiān)控網(wǎng)絡工作與信息安全狀況.各基礎信息網(wǎng)絡和重要信息系統(tǒng)建設要充分考慮抗毀性和災難恢復,制定并不斷完善信息安全應急處理預案.針對信息網(wǎng)絡的突發(fā)性、大規(guī)模安全事件,建立制度優(yōu)化、程序化的處理流程.（三）做好服務器及數(shù)據(jù)中心的數(shù)據(jù)備份及登記工作 ,建立災難性數(shù)據(jù)恢復機制.一旦發(fā)生網(wǎng)絡與信息安全事件,立即啟動應急預案,采取應急處置措施,判定事件危害程度,并立即將情況向有關領導報告.在處置過程中,應及時報告處置工作進展情況,直至處置工作結束.六、處置流程（一）預案啟動在發(fā)生網(wǎng)絡與信息安全事件后 ,信息中心應盡昀大可能迅速收集事件相關信息,鑒別事件性質,確定事件來源,弄清事件范圍和評估事件帶來的影響和損害,一旦確認為網(wǎng)絡與信息安全事件后,立即將事件上報工作組并著手處置.（二）應急處理、電源斷電1）查明故障原因.2）檢查ups是否正常供電.3）匯報相關領導,確認市電恢復時間,評估ups供電能力.4）備份服務器數(shù)據(jù)、交換機配置.5）通知總務科進行電源維修.做好事件記錄.6）必要時請示科室負責人及院領導,主動關閉服務器、交換機、存儲等設備,以免設備損壞或數(shù)據(jù)損失.、局域網(wǎng)中斷緊急處理措施1）信息安全負責人員立即判斷故障節(jié)點,查明故障原因,及時匯報.2）若是線路故障,重新安裝線路.3）若是路由器、交換機等設備故障,應立即從指定位置將備用設備取出接上,并調試暢通.4）若是路由器、交換機等配置文件損壞,應迅速按照要求重新配置,并調試暢通.5）匯報相關領導,做好事件記錄.、廣域網(wǎng)線路中斷1）信息安全負責人員應立即判斷故障節(jié)點,查明故障原因.2）如是我方管轄范圍,由信息安全負責人員立即維修恢復.3）如是電信部門管轄范圍,應立即與電信維護部門聯(lián)系修復.4）做好事件記錄.、核心交換機故障1）檢查、備份核心交換機日志.2）啟用備用核心交換機,檢查接管情況.3）備份核心交換機配置信息.4）將服務器接入備用核心交換機,檢查服務器運行情況,將樓層交換機、接入交換機接入備用核心交換機,檢查各交換機運行情況.5）匯報有關領導,做好事件記錄.6）聯(lián)系維修核心交換機.、光纜線路故障1）立即聯(lián)系光纖熔接人員攜帶尾纖等輔助材料,及時熔接連通.2）檢查并做好備用光纜或備用芯的跳線工作,隨時切換到備用網(wǎng)絡.3）做好事件記錄,及時上報.、計算機病毒爆發(fā)1）關閉計算機病毒爆發(fā)網(wǎng)段上聯(lián)端口.2）隔離中病毒計算機.3）關閉中病毒計算機上聯(lián)端口.4）根據(jù)病毒特征使用專用工具進行查殺.5）系統(tǒng)損壞計算機在備份其數(shù)據(jù)后,進行重裝.6）通過專用工具對網(wǎng)絡進行清查.7）做好事件記錄,及時上報.、服務器設備故障1）主要服務器應做多個數(shù)據(jù)備份.2）如能自行恢復,則立即用備件替換受損部件,如:電源損壞更換備用電源,硬盤損壞更換備用硬盤,網(wǎng)卡、主板損壞啟用備用服務器 .3）若數(shù)據(jù)庫崩潰應立即啟用備用系統(tǒng).并檢查備用服務器啟用情況.4）對主機系統(tǒng)進行維修并做數(shù)據(jù)恢復.5）如不能恢復,立即聯(lián)系設備供應商,要求派維護人員前來維修.6）匯報有關領導,做好事件記錄.、黑客攻擊事件1）若通過入侵監(jiān)測系統(tǒng)發(fā)現(xiàn)有黑客進行攻擊,立即通知相關人員處理.2）將被攻擊的服務器等設備從網(wǎng)絡中隔離出來.3）及時恢復重建被攻擊或被破壞的系統(tǒng)4）記錄事件,及時上報,若事態(tài)嚴重,應及時向信息化主管部門和公安部門報警.、數(shù)據(jù)庫安全事件1）平時應對數(shù)據(jù)庫系統(tǒng)做多個備份.2）發(fā)生數(shù)據(jù)庫數(shù)據(jù)丟失、受損、篡改、泄露等安全事件時,信息安全人員應查明原因,按照情況采取相應措施:如更改數(shù)據(jù)庫密碼,修復錯誤受損數(shù)據(jù).3）如果數(shù)據(jù)庫崩潰,信息安全人員應立即啟用備用系統(tǒng),并向信息安全負責人報告；在備用系統(tǒng)運行期間,信息安全人員應對主機系統(tǒng)進行維修并作數(shù)據(jù)恢復.4）做好事件記錄,及時上報.、人員疏散與機房滅火預案1）當班人員發(fā)現(xiàn)機房內有起火、冒煙現(xiàn)象或聞到燒焦氣味時,應立即查明原因和地點,及時上報并針對不同情況,采取關閉電源總開關、隔離火源附近易燃物、用消防栓、滅火器等器材滅火等措施,組織本單位、部門在場的人員有序地投入撲救工作,將火撲滅或控制火勢蔓延.2）當火勢已無法控制時,一是指定專人立即撥打119火警電話報警和向上級保衛(wèi)部門報告,并打破報警器示警.二是組織周圍人員迅速撤離.3）在保障人員安全的情況下,立即組織人員疏散和轉移重要物品,特別是易燃、易爆物品和重要的機器、數(shù)據(jù)要及時轉移到安全地點,并派人員守護,確保安全.4）火情結束之后,組織相關人員及時進行網(wǎng)絡系統(tǒng)恢復,及時向上級有關部門和領導匯報,并做好現(xiàn)場保護工作和防止起火點復燃.、發(fā)生自然災害后的緊急措施1）遇到重大雷暴天氣,可能對機房設備造成損害時,應關閉所有服務器,切斷電源,暫停內部計算機網(wǎng)絡工作.雷暴天氣結束后,及時開通服務器,恢復內部計算機網(wǎng)絡工作.2）確認災害不會造成人身傷害后,盡快將網(wǎng)絡恢復正常,若有設備、數(shù)據(jù)損壞,及時使用備份設備或備用數(shù)據(jù).3）及時核實、報損,并將詳細情況向部門領導匯報.、關鍵人員不在崗的緊急處置措施1）對于關鍵崗