关键业务恢复计划
1 目的
为及时处置公司网络与信息安全突发事件，建立健全信息安全应急响应机制，及时控制或最大程度消除各类信息安全突发事件的负面影响，保障公司关键业务活动的正常开展，特制定本预案。
2 范围
病毒的大规模爆发和异常的网络攻击；
公司的网络服务器（FTP、SVN、Mail等等）被非法入侵，服务器上的数据被非法拷贝、修改、删除；
公司Web网站主页被恶意纂改，或在网站上发布的内容违反国家的法律法规、侵犯知识版权，并造成严重后果。
3 术语和定义
无。
4 职责和权限
4.1 信息安全领导办公室
批准关键业务恢复计划；
组织本计划的实施。
4.2 部门信息安全主管和信息安全员
在信息安全领导办公室的统一组织下，参与本计划的实施。
5 相关活动
5.1 应急团队
应急组领导者：XXX
应急组成员：XXX、XXX、XXX………
5.2 应急处理
在事件发生现场,应急团队尽最大可能收集事件相关信息，判别事件类别，确定事件来源，保护证据，以便缩短应急响应时间。
检查威胁造成的结果，评估事件带来的影响和损害：如检查系统、服务、数据的完整性、保密性或可用性；检查攻击者是否侵入了系统；以后是否能再次随意进入；损失的程度；确定暴露出的主要危险等。
抑制事件的影响进一步扩大，限制潜在的损失与破坏。
可能的措施包括但不限于：
对发现的网内病毒源通过关闭端口等措施及时进行隔离
对于外网进入的网络病毒应在边界路由器上做针对性地访问控制
关闭服务或关闭所有的系统
从网络上断开相关系统的物理链接
修改防火墙和路由器的过滤规则
封锁或删除被攻破的登录账号
阻断可疑用户得以进入网络的通路
提高系统或网络行为的监控级别
设置陷阱；启用紧急事件下的接管系统
实行特殊“防卫状态”安全警戒
反击攻击者的系统等
在事件被抑制之后，明确相应的补救措施并彻底清除。与此同时，应急处理工作组对攻击源进行准确定位并采取合适的措施将其中断。
5.3 恢复
根据确定的优先级别，由高到低的顺序进行恢复。
根据关键业务活动的不同，采取不同的恢复方式。(以下为举例)
如病毒大规模爆发或异常的网络攻击等，可采取中断外网、由网络管理员逐台清除病毒等措施，或对系统重新进行安装。
如公司的网络服务器被非法入侵，可采取中断外网，启用备份数据恢复。
清理系统、恢复数据、程序、服务。把所有被攻破的系统和网络设备彻底还原到正常的任务状态。恢复工作应十分小心，避免出现操作失误而导致数据丢失。另外，恢复工作中如果涉及到机密数据，需要额外按照机密系统的恢复要求。如果攻击者获得了超级用户的访问权，一次完整的恢复应强制性地修改所有的口令。
5.4 证据收集和总结
回顾并整理发生事件的各种相关信息，尽可能地把所有情况记录到文档中。应急团队在应在事件处理完毕后5个工作日内将处理结果和正式报告上报信息安全领导办公室备案。
报告应包括以下内容：事件发生时间、地点、单位、事件内容，涉及计算机的 IP 地址、管理人、操作系统、应用服务，损失，事件性质及发生原因，事件处理情况及采取的措施；事故报告单位 / 人、报告时间等。
在报告的同时，尽可能提供相关证据。必须时为法律诉讼提供证据。
6 相关文件和记录
业务连续性管理程序
信息安全事件管理程序
备份管理程序
信息安全事件报告和处理表
信息安全事件报告和处理表
事件报告时间
事件编号
相关事件的编号
(如果有的话)
报告人信息
姓名：
部门：
电话：
电子邮件：
信息安全事件描述
发生了什么
怎样发生的
发生的地点
受影响的程度
信息安全事件处理情况
发生的时期和时间
被发现的日期和时间
事件是否已经结束？
是 □ 否 □
事件持续了多长时间
(分钟)
处理过程描述
相关记录、证据说明