密码应用安全管理体系制度之密码应用预案管理

第一章  系统运维管理

第一条 工作原则

预防为主：立足密码安全防护，加强预警，重点保护基础信息网络和关系国家密码安全、经济命脉、社会稳定的重要信息系统，从预防、监控、应急处理、应急保障和打击犯罪等环节，在法律、管理、技术、人才等方面，采取多种措施，充分发挥各方面的作用，共同构筑密码安全保障体系。  

快速反应：在密码安全突发公共事件发生时，按照快速反应机制，及时获取充分而准确的信息，跟踪研判，果断决策，迅速处置，最大程度地减少危害和影响。  

以人为本：把保障公共利益以及公民、法人和其他组织的合法权益的安全作为首要任务，及时采取措施，最大限度地避免财产遭受损失。   

分级负责：按照“谁主管谁负责、谁运营谁负责、谁使用谁负责”以及“条块结合，以条为主”的原则，建立和完善安全责任制及联动工作机制。根据部门职能，各司其职，加强部门间、地局间的协调与配合，形成合力，共同履行应急处置工作的管理职责。  

常备不懈：加强技术储备，规范应急处置措施与操作流程，定期进行预案演练，确保应急预案切实有效，实现密码安全突发公共事件应急处置的科学化、程序化与规范化。

第二条 先期处置

当发生密码安全突发公共事件时，事发部门应做好先期应急处置工作，立即采取措施控制事态，及时向信息系统主管部门及归属的密码管理部门（XXX密码管理局）进行报告。

密码安全事件分为四级:特别重大(Ⅰ级)、重大(Ⅱ级)、较大(Ⅲ级)、一般(Ⅳ级)。  

主管部门在接到本系统密码安全突发公共事件发生或可能发生的信息后，应加强与有关方面的联系，掌握最新发展态势。对Ⅲ级或Ⅳ级的密码安全突发公共事件，由主管部门自行负责应急处置工作。对有可能演变为Ⅱ级或Ⅰ级的密码安全突发公共事件，要为局协调小组处置工作提出建议方案，并做好启动本预案的各项准备工作。主管部门要根据密码安全突发公共事件发展态势，视情况决定赶赴现场指导、组织派遣应急支援力量，支持事发部门做好应急处置工作。

第三条 应急处置

启动后，根据局协调小组会议的部署，担任总指挥的领导和参与指挥的领导迅速赶赴相应的指挥平台，进入指挥岗位，启动指挥系统。相关联动部门按照本预案确定的有关职责立即开展工作。需要成立现场指挥部的，事发部门立即在现场开设指挥部，并提供现场指挥运作的相关保障。现场指挥部要根据事件性质迅速组建各类应急工作组，开展应急处置工作。现场指挥部在局协调小组的领导下全权负责现场的应急援救工作。主管部门负责对发生密码安全突发公共事件的网络与信息系统的现场应急处置工作。

第四条 应急支援

启动后，协调小组的应急响应先遣小组，督促、指导和协调处置工作。协调小组办公室根据事态的发展和处置工作需要，及时增派专家小组和应急支援单位，调动必需的物资、设备，支援应急工作。参加现场处置工作的部门要在现场指挥部统一指挥下，协助开展处置行动。

第五条 信息处理

现场信息收集、分析和上报。事发部门应对事件进行动态监测，评估，及时将事件的性质、危害程度和损失情况及处置工作等情况按局委、局政府紧急信息报送的有关规定，及时报局协调小组办公室，不得隐瞒、缓报、谎报。建立专门的向密码主管部门（XXX密码管理局）汇报的渠道。   

协调小组办公室要明确信息采集、编辑、分析、审核、签发的责任人，做好信息分析、报告和发布工作。    

信息发布和咨询。当密码安全突发公共事件发生时，局协调小组办公室要及时做好信息发布工作，通过局级新闻单位发布密码安全突发公共事件预警及应急处置的相关信息，通知社会各界做好应急准备及预防措施，增强公众的信心。信息发布与新闻报道要按国家的有关规定及时进行。

第六条 应急结束

密码安全突发公共事件经应急处置后，得到有效控制，经各监测统计数据上报公司组办公室向局协调小组提出应急结束的建议，经批准后实施。

第七条 后期处置

善后处置：在应急处置工作结束后，事发单位要迅速采取措施，抓紧组织抢修受损的基础设施，减少损失，尽快恢复正常工作，统计各种数据，查明原因，对事件造成的损失和影响以及恢复重建能力进行分析评估，认真制定恢复重建计划，迅速组织实施。有关主管部门要提供必要的人员和技术、物资和装备以及资金等的支持，并将善后处置的有关情况馈协调小组办公室。

调查和评估：在应急处置工作结束后，及时向信息系统主管部门及归属的密码管理部门（XXX密码管理局）报告事件发生情况及处置情况，主管部门应立即组织有关人员和专家组成事件调查组，在当地政府及其有关部门的配合下，对事件发生及其处置过程进行全面的调查，查清事件发生的原因及财产损失状况和总结经验教训，并根据问责制的有关规定，对有关责任人员做出处理。

第二章  应急预案管理

第一条 应急处理和灾难恢复

应急处理和灾难恢复，不同安全等级应有选择地满足以下要求的一项：

a）应急处理的基本要求：应对信息系统的应急处理有明确的要求，制定具体的应急处理措施；密码安全管理人员应协助分管领导落实应急处理措施。

b）应急处理的制度化要求：应制定总体密码应急计划和灾难恢复计划并由密码安全协调小组负责落实；制定针对关键应用系统和支持系统的应急计划和灾难恢复计划并进行测试；对计划涉及密码人员进行培训，保证这些人员具有相应执行能力；与应急需要外部有关单位应签订合同；制定密码安全事件处理制度；制定系统信息和文档备份制度等等。

c）应急处理的检查要求：密码安全领导小组应有人负责或指定专人负责应急计划和实施恢复计划管理工作；信息系统安全机制集中管理机构应协助应急处理小组负责具体落实；检查或验证应急计划和灾难恢复计划，保证应急计划和灾难恢复计划能够有效执行。

d）应急处理的强制保护要求：针对应急计划和灾难恢复计划实施进行独立审计；针对应急计划和灾难恢复计划进行定期评估，不断改进和完善。

e）应急处理的持续改进要求：制定包括全面管理细则的应急计划和灾难恢复计划；基于应急计划和灾难恢复计划和安全策略，进行可验证的操作过程监督。

第二条 应急计划

对应急计划，不同安全等级应满足以下要求：

1）制定应急计划策略，明确制定应急计划所需的职权和相应的管理部门；

2）进行业务影响分析，识别关键信息系统和部件，确定优先次序；

3）确定防御性控制，减小系统中断的影响，提高系统的可用性；注意采取措施，减少应急计划生命周期费用；

4）制定恢复策略，确保系统可以在中断后快速和有效的恢复；

5）制定信息系统应急计划，包括恢复受损系统所需的指导方针和规程；

6）计划测试、培训和演练，发现计划的不足，培训技术人员；

7）计划维护，有规律地更新适应系统发展；

8）制定灾难备份计划，以及启动方式。

第三条 应急计划的实施保障

对应急计划的实施保障，不同安全等级应有选择地满足以下要求的一项：

a）应急计划的责任要求：应对明确应急计划的组织和实施人员，使其知道在应急计划实施过程中各自的责任。

b）应急计划的能力要求：，对系统相关的人员进行培训，知道如何以及何时使用应急计划中的控制手段及恢复策略，保证执行应急计划应具有的能力。

c）应急计划的系统化管理：进行系统化管理用于实施和维护整个组织的应急计划体系，并记录计划实施过程；确保应急计划的执行有足够资源的保证。

d）应急计划的监督措施：从风险评估开始，考虑所有的运行管理过程，识别可能引起业务过程中断的事件，应有业务资源和业务过程管理者的参与和监督。

e）应急计划的持续改进：应针对计划的正确性和完整性进行定期检查，在计划发生重大变化时应立即检查；根据业务应用的重要程度的不同，不断对计划内容和规程进行评估和完善。

第四条 应急演练

密码安全领导小组负责组织公司的应急演练，编写测试预案。演习主要模拟密码设备出现事故、密钥丢失等密码事故，公司各部门协同作战，人员到位，应急处理的能力。应急演练结束后，信息技术中心将根据演练结果进行汇总，向全公司通报，并将总计发现的问题落实整改，对于分支机构的问题则监督进行整改。

第五条 应急处置流程

本项目运维管理由用户方组织专业人员成立专门的管理、运维团队，同时指定专人负责本项目的运维和应急处置工作，确保在出现紧急情况是可以快速响应。应急处理流程如下：

1)事件接收

a)系统运维人员日常工作中对密码应用进行巡检，通过定期巡检提前发现可能存在问题和隐患，确保密码应用稳定运行。当巡检过程中发现安全事件后，首先初步判断事件类型和级别，对于初步判断属于中心应急事件，第一时间以书面形式向信息系统的上级主管部门进行报告。

b)报告内容至少包括事件发现时间、初步判断原因与级别、先期处置活动等。

2)先期处置

a)发生安全事件，由系统运维管理人员依据日常职责定义，由事件分类的相关责任岗先行排查应对。

b)执行常规排查处理工作无效或超出预计时间，先期处置人员应向上级主管部门汇报事件最新情况。

c)报告内容至少包括事件造成影响或损失确认，事件分类分级信息再勘定，先期处置工作内容与结果等。

3) 人员召集

a)综合事件所造成的影响或损失，及事件级别的初步信息，由应急责任领导宣告进入应急状态，并通知应急决策领导。

b)应急决策领导依据相关规定，向上级主管部门通报安全事件。

c)应急小组人员到位，以当前事件响应处置为最高优先级，由技术总监负责现场指挥。

4)制定方案

a)应急小组成员在现场指挥下，对事件进行集中研判，针对事件可能的原因制定应急处置方案。

b)应急处置方案报应急工作责任领导审批通过后执行。

5)执行计划

a)事件处置方案获批后，相应各执行人依据计划执行。

b)执行人员应将执行结果及期间事件变化向上级主管部门进行报告；

c)当出现情况与预订处置方案不符或超出预计执行时间时，由分管领导主动向应急责任领导汇报，同时向同级密码管理部门汇报处置情况。

6)过程评估

a)应急执行人员定期向分管领导汇报处置方案执行情况。

b)应急状态下，每半小时向应急责任领导和应急决策领导报告最新进展情况。

c)满足应急结束条件，由应急责任领导宣告结束应急，同时针对安全事件的发生情况和处置情况及时向上级主管部门进行报告，恢复日常工作状态。

第五条 应急事件处置详细预案

1)密码服务中断处置预案

发生密码服务中断事件后应及时向信息系统的上级主管部门进行报告，事件处理完成后及时向密码主管部门报告事件发生情况及处置情况。

当发生密码服务中断后，工程实施人员或密码设备管理人员应及时报告应急领导组，并尽快组织相关人员进行中断问题进行分析、定位，确定问题原因。

对于密码设备故障，应及时联系密码厂商技术人员进行问题分析、处理，如果现场不能确定问题原因，在进行应急预案的同时，需收集相关信息，包括故障现场的环境、描述、业务日志、硬件配置等等，以便进一步对故障原因进行分析。

2)密钥丢失处置预案

用户密钥丢失：当用户由于自身管理不当造成密钥丢失，需要及时通知管理员对原有密钥进行注销，确保丢失的密钥无法继续使用。同时管理员为用户签发新密钥，用户使用新密钥进行相关业务处理。

签名密钥/加密密钥丢失：当信息系统签名密钥或者加密密钥由于某种原因对外泄露或丢失，管理员需要及时对原有签名密钥和加密密钥进行更新或撤销，确保信息系统无法使用已经丢失的密钥进行相关业务处理。同时管理员为信息系统签发新密钥，用于后续信息统提供相关业务处理。

3)密码算法被破解

如密码设备或者密码系统算法被破解，管理员需及时对涉及到的密钥进行撤销处理，确保不安全的密钥无法继续进行业务处理。同时积极跟进算法漏洞信息，及时更新相关补丁包，修复漏洞。漏洞修复完成后，对撤销的密钥进行启用或者重新生成。

4)外部入侵应急预案

发生网络被入侵事件后应及时向信息系统的上级主管部门进行报告，事件处理完成后及时向密码主管部门报告事件发生情况及处置情况。

当发现密码服务系统被非法入侵、拒绝服务攻击或有黑客正在进行攻击等现象时，应及时采取定位入侵的IP地址、关闭入侵端口、限制入侵IP地址的访问等措施，阻断可疑用户进入网络，在无法制止的情况下切断受攻击服务器与网络的物理连接。