銀行網(wǎng)絡(luò)系統(tǒng)及應(yīng)急預(yù)案

1、銀行通信網(wǎng)絡(luò)系統(tǒng)應(yīng)急預(yù)案1事故類型和危害程度分析1.1 編制目的為有效預(yù)防、及時控制和最大限度地減少本銀行由于電力供應(yīng)、通信線路以及計算機(jī)系統(tǒng)各類突發(fā)事件的危害和影響， 確保通信網(wǎng)絡(luò) 系統(tǒng)的安全、穩(wěn)定運行和業(yè)務(wù)的連續(xù)性，維護(hù)正常的經(jīng)濟(jì)、生產(chǎn)秩序。1.2 編制依據(jù)1.2.1 中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例。1.2.2 國家突發(fā)公共事件總體應(yīng)急預(yù)案。1.2.3 中國人民銀行突發(fā)事件應(yīng)急預(yù)案管理辦法1.2.4 中華人民共和國中國人民銀行法1.3 適用范圍本預(yù)案適用于本銀行III、IV級應(yīng)急處理工作和具體響應(yīng)，I、 II級應(yīng)急處理工作。1.4 危險源與危害程度分析1.4.1 由于網(wǎng)絡(luò)設(shè)備或者

2、計算機(jī)損壞，造成通信系統(tǒng)無法連接或 軟件系統(tǒng)運行中斷。1.4.2 由于外部通信線路被毀造成銀行系統(tǒng)使用中斷。1.4.3 由于電力系統(tǒng)故障造成無法正常通信或系統(tǒng)無法正常使 用。1.4.4 由于病毒破壞，造成行內(nèi)網(wǎng)絡(luò)癱瘓或軟件數(shù)據(jù)丟失。1.4.5 由于黑客入侵，造成行內(nèi)重要信息泄露及通信網(wǎng)絡(luò)癱瘓。2應(yīng)急處置基本原則2.1 統(tǒng)一領(lǐng)導(dǎo)，協(xié)同作戰(zhàn)。通信網(wǎng)絡(luò)系統(tǒng)突發(fā)事件應(yīng)急工作由應(yīng)急指揮部統(tǒng)一領(lǐng)導(dǎo)和協(xié)調(diào)，督促信息中心遵照“統(tǒng)一領(lǐng)導(dǎo)、歸口負(fù)責(zé)、逐級上報、各司其職的原 則協(xié)同配合、具體實施，完善應(yīng)急工作體系和機(jī)制。2.2 明確責(zé)任，依法規(guī)范。各分行和支行，按照“屬地管理、分級響應(yīng)、及時發(fā)現(xiàn)、及時報 告、及時救

3、治、及時控制”的要求，依法對通信網(wǎng)絡(luò)系統(tǒng)突發(fā)事件進(jìn) 行防范、監(jiān)測、預(yù)警、報告、響應(yīng)、指揮和協(xié)調(diào)、控制。按照“誰主 管、誰負(fù)責(zé)，誰運行、誰負(fù)責(zé)”的原則，實行責(zé)任制和責(zé)任追究制。2.3 防范為主，加強(qiáng)監(jiān)控。宣傳普及通信網(wǎng)絡(luò)系統(tǒng)防范知識， 貫徹預(yù)防為主的思想，樹立常 備不懈的觀念，經(jīng)常性地做好應(yīng)對突發(fā)事件的思想準(zhǔn)備、預(yù)案準(zhǔn)備、 機(jī)制準(zhǔn)備和工作準(zhǔn)備，提高公共防范意識以及基礎(chǔ)網(wǎng)絡(luò)和重要軟件系 統(tǒng)的信息安全綜合保障水平。加強(qiáng)對信息安全隱患的日常監(jiān)測， 發(fā)現(xiàn) 和防范重大通信網(wǎng)絡(luò)突發(fā)性事件， 及時采取有效的可控措施，迅速控 制事件影響范圍，力爭將損失降到最低程度。3組織機(jī)構(gòu)及職責(zé)通信網(wǎng)絡(luò)系統(tǒng)應(yīng)急救援組織機(jī)構(gòu)分

4、為一、二級編制，總行和各分 行設(shè)置為應(yīng)急預(yù)案實施的一級應(yīng)急組織機(jī)構(gòu)， 各支行設(shè)置為應(yīng)急計劃 實施的二級應(yīng)急組織機(jī)構(gòu)?？傂型ㄐ啪W(wǎng)絡(luò)系統(tǒng)應(yīng)急救援領(lǐng)導(dǎo)小組組長由總行長擔(dān)任，副組長為分管通信安全的副行長擔(dān)任，組員由各部門中層組成。領(lǐng)導(dǎo)小組的 日常辦事機(jī)構(gòu)為總行。主要負(fù)責(zé)協(xié)調(diào)出現(xiàn)通信網(wǎng)絡(luò)系統(tǒng)故障后的總體 協(xié)調(diào)指揮工作，并做好善后處理工作。各支行應(yīng)急救援領(lǐng)導(dǎo)小組組長由各支行長擔(dān)任， 不設(shè)副組長，組 員由各支行所有成員組成。主要負(fù)責(zé)通信網(wǎng)絡(luò)系統(tǒng)發(fā)生故障后的及時 處置及上報工作。4預(yù)防與預(yù)警4.1 危險源監(jiān)控定期定時地檢測銀行內(nèi)部通信線路是否順暢，并利用現(xiàn)有的防火墻、殺毒軟件等技術(shù)，加強(qiáng)各通信網(wǎng)絡(luò)系統(tǒng)的監(jiān)測和

5、預(yù)警工作，進(jìn)一 步提高信息分析能力，加大對網(wǎng)絡(luò)入侵、病毒破壞、數(shù)據(jù)庫損壞等事 件的防范力度，建立信息安全事故報告制度。4.2 預(yù)警行動二級應(yīng)急組織機(jī)構(gòu)在接到通信網(wǎng)絡(luò)系統(tǒng)突發(fā)事件報告后，應(yīng)當(dāng)經(jīng)初步核實后，將有關(guān)情況及時向一級應(yīng)急組織機(jī)構(gòu)報告，并進(jìn)一步進(jìn)行情況綜合，研究分析可能造成損害的程度，提出初步行動對策。一 級應(yīng)急組織機(jī)構(gòu)視情況召集協(xié)調(diào)會，決策行動方案，發(fā)布指示和命令。4.3 信息報告程序4.3.1 發(fā)生通信網(wǎng)絡(luò)系統(tǒng)突發(fā)事件的分行或者支行， 應(yīng)當(dāng)立即對 發(fā)生的事件進(jìn)行調(diào)查核實、保存相關(guān)證據(jù)，并在事件被發(fā)現(xiàn)或應(yīng)當(dāng)被 發(fā)現(xiàn)時起2小時內(nèi)將有關(guān)材料報至一級應(yīng)急指揮部。4.3.2 報送方式通過電話聯(lián)系

6、及電子郵件的方式，在整個突發(fā)事 件處理過程中，事發(fā)單位應(yīng)及時保持與總行一級應(yīng)急組織機(jī)構(gòu)的聯(lián) 系。4.3.3 報送的有關(guān)材料應(yīng)包括事件發(fā)生的時間、地點、已經(jīng)造成的危害、事件發(fā)生前的操作等。4.3.4 如遇二級應(yīng)急組織機(jī)構(gòu)無法及時處理的事件，應(yīng)立即上報 一級應(yīng)急組織機(jī)構(gòu)。5應(yīng)急處置5.1 響應(yīng)分級5.1.1 銀行通信網(wǎng)絡(luò)系統(tǒng)安全事件分級的參考要素包括信息密 級、公眾影響、業(yè)務(wù)影響和資產(chǎn)損失等四項。各參考要素分別說明如下：5.1.1.1 信息密級是衡量因信息失竊或泄密所造成的通信網(wǎng)絡(luò) 安全事件中所涉及信息的重要程度的要素；5.1.1.2 公眾影響是衡量通信網(wǎng)絡(luò)安全事件所造成的負(fù)面影響 范圍和程度的要

7、素；5.1.1.3 業(yè)務(wù)影響是衡量通信網(wǎng)絡(luò)安全事件對事發(fā)單位正常業(yè) 務(wù)開展所造成的負(fù)面影響程度的要素；5.1.1.4 資產(chǎn)損失是衡量恢復(fù)系統(tǒng)正常運行和消除通信網(wǎng)絡(luò)安 全事件負(fù)面影響所需付出資金代價的要素。5.1.2 通信網(wǎng)絡(luò)系統(tǒng)突發(fā)事件級別分為四級：一般 （IV級）、較 大（III級）、重大（II級）和特別重大（I級），對應(yīng)顏色依次為藍(lán)色、 黃色、橙色和紅色。5.1.2.1 IV 級：支行局部范圍或個人出現(xiàn)并可能造成損害的通 信網(wǎng)絡(luò)系統(tǒng)安全事件。5.1.2.2 m級：直屬分行的網(wǎng)絡(luò)系統(tǒng)、軟件系統(tǒng)、電力系統(tǒng)和通 信設(shè)施受到嚴(yán)重破壞或損壞，對分行及下屬支行業(yè)務(wù)造成無法正常運 營的通信網(wǎng)絡(luò)系統(tǒng)安全事

8、件。5.1.2.3 II 級：總行重要信息系統(tǒng)、數(shù)據(jù)系統(tǒng)，軟件系統(tǒng)癱瘓 導(dǎo)致業(yè)務(wù)中斷，縱向或橫向延伸可能造成嚴(yán)重影響或較大經(jīng)濟(jì)損失的 通信網(wǎng)絡(luò)系統(tǒng)安全事件。5.1.2.4 I級：黑客利用網(wǎng)絡(luò)信息進(jìn)行有組織的大規(guī)模的入侵破 壞活動，或者多個分行，多個支行的基礎(chǔ)網(wǎng)絡(luò)、重要信息系統(tǒng)、多個 軟件系統(tǒng)癱瘓，導(dǎo)致業(yè)務(wù)中斷，造成或可能造成巨大經(jīng)濟(jì)損失的通信 網(wǎng)絡(luò)安全事件。5.2 響應(yīng)程序5.2.1 發(fā)生IV級通信網(wǎng)絡(luò)系統(tǒng)安全事件后，支行應(yīng)啟動相應(yīng)預(yù) 案，并進(jìn)行應(yīng)急處理工作；發(fā)生I、II、田級的信息安全突發(fā)事件后， 上報一級應(yīng)急指揮機(jī)構(gòu)，并由其統(tǒng)一部署處理工作。5.2.2 一級應(yīng)急組織機(jī)構(gòu)接到報告后，應(yīng)當(dāng)立即

9、會同相關(guān)成員或 部門盡快組織技術(shù)人員對突發(fā)事件性質(zhì)、 級別及啟動預(yù)案的時機(jī)進(jìn)行 評估。5.2.3 在決定啟動預(yù)案后，一級應(yīng)急組織機(jī)構(gòu)應(yīng)立即啟動應(yīng)急處 理工作。5.2.4 事件發(fā)生現(xiàn)場應(yīng)急處理工作機(jī)構(gòu)盡最大可能收集事件相 關(guān)信息，事件類別，確定事件來源，保護(hù)證據(jù)，以便縮短應(yīng)急響應(yīng)時 間。5.2.5 檢查突發(fā)事件造成的結(jié)果，評估事件帶來的影響和損害： 如檢查系統(tǒng)、服務(wù)、數(shù)據(jù)庫的完整性、保密性或可用性，檢查是否有 人侵入了系統(tǒng)，確定暴露出的主要危險等。5.2.6 抑制事件的影響進(jìn)一步擴(kuò)大，限制潛在的損失與破壞?？?能的抑制策略一般包括：關(guān)閉服務(wù)或關(guān)閉所有的系統(tǒng)，從網(wǎng)絡(luò)上斷開 相關(guān)系統(tǒng)，修改防火墻和路

10、由器的過濾規(guī)則，封鎖或刪除被攻破的登 錄賬號，阻斷可疑用戶進(jìn)入網(wǎng)絡(luò)的通路，提高系統(tǒng)或網(wǎng)絡(luò)行為的監(jiān)控 級別，設(shè)置陷阱，啟用緊急事件下的接管系統(tǒng)，實行特殊“防衛(wèi)狀態(tài)” 安全警戒，反擊攻擊者的系統(tǒng)等。5.2.7 根除。在事件被抑制之后，通過對有關(guān)惡意代碼或行為的 分析結(jié)果，找出事件根源，明確相應(yīng)的補(bǔ)救措施并徹底清除。5.2.8 清理系統(tǒng)，恢復(fù)數(shù)據(jù)、程序、服務(wù)。把所有被攻破的系統(tǒng) 和網(wǎng)絡(luò)設(shè)備徹底還原到它們正常的任務(wù)狀態(tài)?；謴?fù)工作應(yīng)該十分小 心，避免出現(xiàn)誤操作導(dǎo)致數(shù)據(jù)的丟失。如果攻擊者獲得了超級用戶的 訪問權(quán)，一次完整的恢復(fù)應(yīng)該強(qiáng)制性地修改所有的口令。5.3 處置措施5.3.1 行內(nèi)網(wǎng)站、網(wǎng)頁出現(xiàn)非法言

11、論事件緊急處置措施5.3.1.1 網(wǎng)站、網(wǎng)頁由主辦部門的值班人員負(fù)責(zé)隨時密切監(jiān)視信 息內(nèi)容5.3.1.2 發(fā)現(xiàn)在網(wǎng)上出現(xiàn)非法信息時，值班人員應(yīng)立即向一級應(yīng) 急組織機(jī)構(gòu)匯報。5.3.1.3 一級應(yīng)急組織機(jī)構(gòu)成員追查非法信息來源，并將有關(guān)情況向總行領(lǐng)導(dǎo)匯報，對非法信息采取屏蔽、刪除等處置措施。5.3.2 黑客攻擊事件緊急處置措施5.3.2.1 當(dāng)有關(guān)人員發(fā)現(xiàn)網(wǎng)頁內(nèi)容被篡改，或通過入侵檢測系統(tǒng) 發(fā)現(xiàn)有黑客正在進(jìn)行攻擊銀行系統(tǒng)時，應(yīng)立即向應(yīng)急組織機(jī)構(gòu)匯報5.3.2.2 應(yīng)急指揮中心應(yīng)在接到通知后首先將被攻擊的服務(wù)器等設(shè)備從網(wǎng)絡(luò)中隔離出來，保護(hù)現(xiàn)場，并根據(jù)實際情況向領(lǐng)導(dǎo)匯報。5.3.2.3 對現(xiàn)場進(jìn)行分

12、析，寫出分析報告存檔，必要時上報。5.3.2.4 如系統(tǒng)已經(jīng)遭受破壞，應(yīng)急組織機(jī)構(gòu)成員應(yīng)立即恢復(fù)或 重建被攻擊或破壞系統(tǒng)，無法立即恢復(fù)的，應(yīng)啟用應(yīng)急設(shè)備。5.3.3 大規(guī)模病毒事件緊急處置措施5.3.3.1 當(dāng)發(fā)現(xiàn)有部分網(wǎng)絡(luò)計算機(jī)被感染上病毒后，應(yīng)立即向應(yīng)急組織機(jī)構(gòu)報告。5.3.3.2 應(yīng)急組織機(jī)構(gòu)人員在接到通報后立即趕到現(xiàn)場。5.3.3.3 對此類設(shè)備的硬盤重要數(shù)據(jù)進(jìn)行備份。5.3.3.4 啟用反病毒軟件對此類計算機(jī)進(jìn)行殺毒處理，同時通過病毒檢測軟件對其他機(jī)器進(jìn)行病毒掃描和清除工作。5.3.3.5 如果現(xiàn)行反病毒軟件無法清除該病毒，應(yīng)通過其他途徑 解決。5.3.3.6 如果情況特別嚴(yán)重，立即

13、將感染病毒的機(jī)器隔離。5.3.4 銀行業(yè)務(wù)系統(tǒng)遭破壞性攻擊的緊急處置措施5.3.4.1 業(yè)務(wù)系統(tǒng)平時必須存有備份，與業(yè)務(wù)系統(tǒng)相對應(yīng)的數(shù)據(jù)必須按容災(zāi)備份規(guī)定的間隔按時進(jìn)行備份，并將它們保存于安全處。5.3.4.2 使用單位一旦發(fā)現(xiàn)業(yè)務(wù)系統(tǒng)出現(xiàn)異常或遭到破壞性攻 擊，應(yīng)立即向應(yīng)急組織機(jī)構(gòu)報告。5.3.4.3 應(yīng)急組織機(jī)構(gòu)成員檢查業(yè)務(wù)系統(tǒng)的日志等資料，確定異常來源，并將有關(guān)情況向領(lǐng)導(dǎo)匯報。5.3.4.4 對業(yè)務(wù)系統(tǒng)遭受破壞特別嚴(yán)重的，一級應(yīng)急組織機(jī)構(gòu)在 匯報后有權(quán)停止系統(tǒng)的暫時運行，查明狀況原因后，再恢復(fù)業(yè)務(wù)系統(tǒng) 和數(shù)據(jù)，無法及時恢復(fù)的，應(yīng)啟用備份數(shù)據(jù)。5.3.5 分行或支行通信網(wǎng)絡(luò)中斷緊急處置措施

14、5.3.5.1 應(yīng)急組織機(jī)構(gòu)平時應(yīng)準(zhǔn)備好網(wǎng)絡(luò)備用設(shè)備，存放在指定的位置。5.3.5.2 接到分行或者支行的通信網(wǎng)絡(luò)中斷突發(fā)事件報告后， 一 級應(yīng)急機(jī)構(gòu)應(yīng)立即安排人員應(yīng)判斷故障點， 查明故障原因，并向總行 領(lǐng)導(dǎo)匯報。5.3.5.3 如屬通信線路故障，應(yīng)重新安裝線路。如自行無法完成 的，請外部單位協(xié)助重新安裝。5.3.5.4 如屬路由器、交換機(jī)等網(wǎng)絡(luò)設(shè)備故障，應(yīng)立即從指定位 置將備用設(shè)備取出接上，并調(diào)試通暢。5.3.5.5 如屬路由器、交換機(jī)配置文件破壞，應(yīng)迅速按照要求重 新配置，并調(diào)測通暢。5.3.6 服務(wù)器等關(guān)鍵設(shè)備損壞的緊急處置措施5.3.6.1 服務(wù)器等關(guān)鍵設(shè)備損壞后，應(yīng)急組織機(jī)構(gòu)人員應(yīng)立

15、即向 總行領(lǐng)導(dǎo)報并立即查明原因。5.3.6.2 如果能夠自行恢復(fù)，應(yīng)立即用備件替換受損部件，保證 各業(yè)務(wù)系統(tǒng)不受影響。5.3.6.3 如不能自行恢復(fù)的，立即與設(shè)備提供商聯(lián)系，請求派維 護(hù)人員前來維修。5.3.6.4 如果設(shè)備一時不能修復(fù)，應(yīng)向領(lǐng)導(dǎo)匯報并啟用應(yīng)急設(shè) 備。5.3.7 電力電纜中斷的緊急處置措施5.3.7.1 各分行或者支行如發(fā)現(xiàn)電力電纜出現(xiàn)中斷的突發(fā)事件 后，應(yīng)立即向一級應(yīng)急組織機(jī)構(gòu)報告并請求派人維修。5.3.7.2 一級應(yīng)急組織機(jī)構(gòu)在接到報告后，立即派維修人員趕赴 現(xiàn)場，查看電力電纜中斷原因并進(jìn)行維修。5.3.7.3 如屬于內(nèi)部電力設(shè)施中斷并可以自行修復(fù)的，立即進(jìn)行維修并做好善后

16、工作。5.3.7.4 如果是由于外部電力線路等原因造成中斷的，維修人員 在確認(rèn)故障原因后及時向應(yīng)急組織機(jī)構(gòu)匯報， 并向供電部門求助，派 人維修。5.3.8 計算機(jī)硬件或操作系統(tǒng)出現(xiàn)故障的緊急處置措施5.3.8.1 分行或者支行的個別計算機(jī)若發(fā)現(xiàn)存在硬件或操作系 統(tǒng)故障，導(dǎo)致無法辦理正常業(yè)務(wù)的，應(yīng)先判斷影響的大小及故障可能 的原因。5.3.8.2 如能自行修復(fù)的，應(yīng)立即進(jìn)行修復(fù)并恢復(fù)正常業(yè)務(wù)辦理 狀態(tài)，之后再向應(yīng)急組織機(jī)構(gòu)報告說明情況。5.3.8.3 如屬于自行無法修復(fù)的故障，應(yīng)及時上報應(yīng)急組織機(jī) 構(gòu)，一級應(yīng)急組織機(jī)構(gòu)在接到報告后，立即派維修人員趕赴現(xiàn)場，排 除故障，屬于硬件損壞的，更換硬件設(shè)備

17、；屬于操作系統(tǒng)故障的，備 份硬盤數(shù)據(jù)庫重新安裝操作系統(tǒng)，并恢復(fù)到業(yè)務(wù)系統(tǒng)正常運行的狀o5.3.8.4 如屬于無法維修的，應(yīng)及時上報申請更換計算機(jī)。6保障措施6.1 通信與信息保障發(fā)生通信網(wǎng)絡(luò)系統(tǒng)突發(fā)性事件時，相關(guān)人員應(yīng)采取固定電話、移 動電話、互聯(lián)網(wǎng)等方式進(jìn)行通信聯(lián)絡(luò)。6.2 應(yīng)急隊伍保障加強(qiáng)信息安全人才培養(yǎng)，強(qiáng)化信息安全宣傳教育，建設(shè)一支高素 質(zhì)、高技術(shù)的信息安全核心人才和管理隊伍，提高全行信息安全防御 意識。大力發(fā)展信息安全服務(wù)，增強(qiáng)全行應(yīng)急能力。6.3 應(yīng)急物資保障在建設(shè)通信網(wǎng)絡(luò)系統(tǒng)時應(yīng)事先預(yù)留一定的應(yīng)急設(shè)備， 在網(wǎng)絡(luò)系統(tǒng) 或軟件系統(tǒng)安全突發(fā)公共事件發(fā)生時，由一級應(yīng)急組織機(jī)構(gòu)負(fù)責(zé)統(tǒng)一 調(diào)用。應(yīng)急物資主要有：應(yīng)急服務(wù)器、應(yīng)急路由器、應(yīng)急網(wǎng)絡(luò)交換機(jī)、 應(yīng)急存儲器、應(yīng)急UPS7培訓(xùn)與演練7.1 培訓(xùn)為確保網(wǎng)絡(luò)安全應(yīng)急預(yù)案有效運行，行內(nèi)應(yīng)定期或不定期地舉辦 不同層次、不同類型的培訓(xùn)班或研討會，以便不同崗位的應(yīng)急人員都 能全面熟悉并掌握通信網(wǎng)絡(luò)安全應(yīng)急處理的知識和技能。7.2 演練為提高網(wǎng)絡(luò)系統(tǒng)或軟件系統(tǒng)突發(fā)事件應(yīng)急響應(yīng)水平，行內(nèi)應(yīng)定期 或不定期組織預(yù)案演練；檢驗應(yīng)急預(yù)案各環(huán)節(jié)之間的通信、協(xié)調(diào)