信息安全事件管理程序
、信息安全事件管理程序
————————————————————————————————作者：————————————————————————————————日期：
信息安全事件管理程序
主导部门：IT部
支持部门：N/A
审批：IT部
文档编号：IT-V02
生效日期：
版本发布日期发布原因生效日期Version Issuance Date Reasons of Issuance Effective Date
1.0 新版本发布
会签批准人签名签署日期
Approval(s) Signatures Date Signed
起草人
Editor
IT经理
IT Manager
IT总监（VP）
IT Director
信息安全事件管理程序
1. 目的
为建立信息安全事件报告、反应及处理机制，明确信息安全事件处理的责任和流程，有效处理信息安全事件，最大限度的减少和降低信息安全事件给公司带来的损失，并采取有效的纠正与预防措施，特制定本管理程序。
2. 范围
本规定适用于公司发生的各类信息安全事件的检测、报告和处理。
3. 术语和定义
引用ISO/IEC27001和ISO/IEC27002相关术语和定义。
注释：
ISO/IEC 27001 信息安全管理体系要求
ISO/IEC 27002 信息技术—安全技术—信息安全管理实践规范
本程序中的信息安全事件是标准中的“信息安全事态”和“信息安全事件”的总称。4. 职责和权限
阐述本规定涉及的部门（角色）职责与权限。
4.1 IT部的职责和权限
1) 归口管理信息安全事件的调查、处理及纠正措施管理
2) 负责按照信息安全事件处理流程进行事故处理
3) 通过准入系统的策略机制，对其信息安全事件的检查追溯
5. 程序
5.1 事件管理目标
对于事件管理过重中，应该遵循以下原则：
5.1.1 尽快恢复正常业务应用的服务
5.1.2 最小化事件对业务的影响。
5.1.3 确保统一的处理事件和服务请求而不会有任何其他遗漏。
5.1.4 定向到最需要的支持资源（外部厂商和服务供应商）。
5.1.5 提供允许优化支持流程、减少事件数量和执行管理计划的信息。
5.2 信息安全事件的分类
基于两个方便对事件进行分类：
5.2.1 信息安全事件所造成的影响。
5.2.2 信息安全事件的紧急程度。
?根据信息安全事件的影响等级：
等级说明举例
高级信息安全事件影响到公司内部生产运营或其他全局范围机房设备损坏；
核心系统失效；
网络服务中断；
企业机密泄露；
人为故意破坏或失职等原因造成信息安全事件；重要技术开发、研究及生产数据损坏或丢失；发生自燃灾害导致的信息安全事故；
未经授权的计算机系统参数的数据篡改和删除；
中级信息安全事件影响到一组用户或特定用户群局域网小范围故障；文件服务器故障；验证服务器故障；邮件服务故障
低级信息安全事件影响到单一用户服务器的日常维护；
准入客户端登录故障；
共享文件恢复；
用户解锁、密码重置；
?根据信息安全事件的紧急程度等级：
等级说明
高级全部或严重影响到全公司业务生产运营的信息安全事件
中级部分影响业务运营的信息安全事件
低级不影响业务运营的信息安全事件
?信息安全事件的优先级
事件的优先级是根据事件的影响等级和事件的紧急程度来决定的，影响等级高并且紧急程度高的
事件优先级为最高级，影响等级低并且紧急程度低的事件优先级为低级。下表显示了与这些相关事件的分类情况：
影响等级 低
中 高 紧急程度
低
低
低 中 中 低 中 高
高
中
高
最高（重大事件）
5.3 信息安全事件的发现、记录与报告
5.3.1
事件的发现
? 事件通常有IT 团队通过监控系统检测到，对于各类来源所检测到的事件报告，根据事件分类的原则进
行判断，属于高等级的事件，应立即通过电话汇报至IT 总监。 5.3.2
事件的记录
所有被报告或主动检测到的事件均应被记录，记录内容如下：
? 记录事件的日期和时间 ? 受影响的配置详细信息 ? 症状描述和任何错误代码 ? 记录事件的人员信息与属性 5.3.3
事件的报告
? 各个业务系统的管理员，在使用过程中若发现软硬件或网络故障应及时向Infra 工程师汇报，同时向业
务系统归口管理负责人报备事件，如故障、事件会影响或已经影响生产运营，必须立即汇报至IT 总监，并采取必要措施，保证对其影响降至最低。
? 对于所有事件，相关的系统管理员均应进行分析，如果原因是由于安全问题导致的，则应该向IT 总监
汇报，并告知采取纠正预防措施方案。
? 所有由于安全问题导致的事件均应由系统管理员进行记录，形成《事件故障记录单》，可由事件解决过
程规避的安全问题。
5.4 事件的解决与恢复
? 解决和恢复流程负责确保按照变更和发布管理流程，并确保采取任何附加恢复操作。
? 一旦完成解决操作的执行，相关业务系统管理员将负责确认解决操作的成功。如果没有成功，应该检
查的第一件事情就是验证是否所有变更都已正确地实施。
? 如果所有变更请求都已正确地实施，但是事件仍未解决，则应该将事件传回调查和诊断流程。