GB/T 24363-2009 信息安全技术 信息安全应急响应计划规范 学习笔记

通用内容

每个标准基本都有的格式，供写文档的我们参考
定义和术语: 国家标准当中涉及到的相关专业名称，都会有一个定义，防止出现理解上的歧义
结构层次: 一般有个当前文档的完整结构，可以是图，可以是表，让没有时间的人，可以快速了解内容
附件表格: 表格可能是文档必备，制度文档需要落地，都需要对应的检测表
参考文档: 每个标准都是建立在其他标准之上的，将会提高自身的权威性
内容全面: 写的内容基本上符合内容相关独立，完全穷尽的原则，比如信息安全运营服务和其他信息安全运营服务

标准简介

本标准根据《中华人民共和国计算机信息系统安全保护条例》，参照GB/Z20985-2007《信息技术安全技术信息安全事件管理指南》、GB/T20988-2007《信息安全技术信息系统灾难恢复规范》、GB/Z20986-2007《信息安全技术信息安全事件分类分级指南》、GB/T20984一2007《信息安全技术信息安全风险评估规范》、GB/T 22240《信息安全技术信息系统安全等级保护定级指南》、 GB/T 22239《信息安全技术信息系统安全等级保护基本要求》以及NISTSP 800-34《信息技术系统应急规划指南》和NISTSP 800-61《计算机安全事件处理指南》等标准的有关部分，结合《国家通信保障应急预案》和《上海市网络与信息安全事件专项应急预案》以及相关行业技术发展和实践经验制定而成。
信息系统容易受到各种已知和未知的威胁而导致有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障和灾害性事件等信息安全事件的发生。虽然很多信息安全事件可以通过技术的、管理的、操作的方法予以消减，但没有任何一种信息安全策略或防护措施，能够对信息系统提供绝对的保护。即使采取了防护措施，仍可能存在残留的弱点，使得信息安全防护可能被攻破，从而导致业务中断、系统宕机、网络瘫痪等突发／重大信息安全事件发生，并对组织和业务的运行产生直接或间接的负面影响。 因此，为了减少信息安全事件对组织和业务的影响，应制定有效的信息安全应急响应计划，并形成预案。

信息安全应急响应计划的制定是一个周而复始、持续改进的过程，包含以下几个阶段：
a) 应急响应计划的编制准备；
b) 编制应急响应计划文档；
c) 应急响应计划的测试、培训、演练和维护

应急响应计划的编制准备

风险评估

标识信息系统的资产价值，识别信息系统面临的自然的和人为的威胁，识别信息系统的脆弱性，分析各种威胁发生的可能性。 风险评估具体内容见GB/T 20984-2007的第5章风险评估实施和第6章信息系统生命周期各阶段的风险评估。

业务影响分析

业务影响分析(BIA)是在风险评估的基础上，分析各种信息安全事件发生时对业务功能可能产生的影响，进而确定应急响应的恢复目标
对单位或者部门的各项业务功能及各项业务功能之间的相关性进行分析，确定支持各种业务功能的相应信息系统资源及其他资源，明确相关信息的保密性、完整性和可用性要求。

• 确定信息系统关键资源
  对信息系统进行评估，以确定系统所执行的关键功能，并确定执行这些功能所需的特定系统资源。
• 确定信息安全事件影响
  应采用如下的定量和／或定性的方法，对业务中断、系统岩机、网络瘫痪等信息安全事件造成的影响 进行评估：
• 确定应急响应的恢复目标
  根据业务影响分析的结果，同时结合 GB/T 22239 和 GB/T 22240，确定应急响应的恢复目标， 包括：
  a) 关键业务功能及恢复的优先顺序；
  b) 恢复时间范围，即恢复时间目标CRTO)和恢复点目标(RPO)的范围。

制定应急响应策略

• 概述
  应急响应策略提供了在业务中断、系统宥机、网络瘫痪等信息安全事件发生后，快速有效地恢复信 息系统运行的方法。这些策略应涉及到在业务影响分析(BIA)中确定的应急响应的恢复目标。
• 系统恢复能力等级划分
  系统恢复能力可以划分为基本支持、备用场地支持、电子传输和部分设备支持、电子传输及完整设备支持、实时数据传输及完整设备支持、数据零丢失及远程集群支持等6个等级，具体划分遵照GB/T 20988-2007的附录A灾难恢复能力等级划分
• 系统恢复资源的要求
  系统恢复资源的要求遵照 GB/T 20988-2007 的 6.3 灾难恢复资源的要求。
• 费用考虑
  信息系统的使用或管理组织（以下简称“组织”)应确保有足够的人员和资金执行所选择的策略。各种类型的备用站点、设备更换和存储方式的费用应与预算限制相平衡。应保证预算充足，应包括软件、硬件、差旅及运送、测试、计划培训项目、意识培训项目、劳务、其他合 同服务以及任何其他适用资源的费用。
  组织应进行成本效益分析，以确定最佳应急响应策略。

编制应急响应计划文档

编制信息安全应急响应计划文档是应急响应规划过程中的关键一步。应急响应计划应描述支持应急操作的技术能力，并适应机构需求。应急响应计划需要在详细程度和灵活程度之间取得平衡，通常是计划越详细，其方法就越缺乏弹性和通用性。本标准说明了编制应急响应计划的要点。计划编制者应根据实际情况对其内容进行适当地调整、充实和本地化，以更好地满足组织特定的系统、操作和机构需 求。 同时可以参考 GB/Z 20985-2007 的第 8 章使用。应急响应计划应能为信息安全事件中不熟悉计划的人员或要求进行恢复操作的系统提供快速明确 的指导。计划应明确、简洁、易于在紧急情况下执行，并尽量使用检查列表和详细规程。应急响应计划文档包括总则、角色及职责、预防和预警机制、应急响应流程、应急响应保障措施和附件6个部分。

待续 原文地址 GB/T 24363-2009 信息安全技术 信息安全应急响应计划规范

参考文献

GB/T 28827.3-2012 信息技术服务 运行维护 第3部分：应急响应规范
GB/Z 20986-2007 信息安全技术 信息安全事件分类分级指南
微软sysinternals工具库
lsof命令介绍
yara基于规则分析程序 开源
apimonitor
processhacker
国家网络安全事件应急预案
奇安信 2020年网络安全应急响应分析报告 2021
上海市网络安全事件应急预案 2019