城市商业银行微信银行业务应急方案

城市商业银行微信银行业务应急方案
1概述
1.1目的
微信银行系统业务运行应急和连续性计划是为微信银行应用平台系统提供业务应急和业务连续性，以保证微信银行应用平台系统能以7×24的模式为客户服务。

同时，作为业务连续性管理的内容，业务连续性计划和业务运行应急计划可以互为补充及完善，本业务连续性计划目的是实现维持微信银行系统在一个长期稳定的环境。

1.2假设条件
假设条件是指业务连续性计划执行所必需的，但已经在其它相关的政策中被保证的条件；或是根据风险评估的结果，可能性极小的情况。

假设条件如下：
1)在安全事件发生的情况下，能够及时通知到应急领导小组和应急工作小组的人员，并在最短的时间内到达事件现场；
2)微信银行系统的支持设施设备的检查已经按照日常的操作规范进行。

1.3使用对象
本业务运行连续性计划的使用对象包括以下人员：
执行人员：
执行人员在执行业务连续性任务时，遵循此文档。

管理人员：
管理人员在进行业务连续性管理时，遵循此文档。

1.4组织机构
微信银行系统业务运行连续性计划的日常工作部门是个人金融业务部、运营管理部、信息科技部、风险管理部等。

当发生影响微信银行系统正常业务发展的安全事件时，启用业务运行应急计划之应急预案中的组织机构。

1.5微信银行业务应急响应组织架构
1.5.1应急响应领导小组
职责：负责决策和指挥该业务应急响应和处置，并评估突发事件的等级，以及向上级领导、单位的汇报工作；
组长：
副组长：
成员：由总行个人金融业务部、计划财务部、信息科技部、合规保卫部、风险管理部、办公室、人力资源与发展部、审计部及各分行（管辖行）、各支行（营业部）主要负责人（具体联系人员及联系方式见附件）
1.5.2应急响应业务小组
职责：负责微信银行业务的应急响应和处置流程业务方
面的操作。

组长：总行个人金融业务部主要负责人
成员：总行个人金融业务部、计划财务部、运营管理部等部门相关人员及各分行（管辖行）、各支行（营业部）会计主管、营业主管等
1.5.3应急响应保障和公关小组
职责：负责微信银行业务应急响应和处置流程中的物资，人力，安全等资源的保障工作，负责对外媒体及公众的宣传。

组长：总行办公室主要负责人
成员：负责后勤保障的办公室、合规保卫部、人力资源与发展部有关人员
1.5.4应急响应技术小组
职责：负责微信银行恢复的技术支持与协调工作。

组长：总行信息科技部主要负责人
成员：总行信息科技部有关人员
1.5.5应急响应外部保障小组
职责：负责城商行联盟所属职责的微信银行技术支持与协调工作。

组长：联盟微信银行项目负责人
成员：联盟微信银行业务人员、客服人员
2业务应急计划
本业务运行应急计划的目的从技术角度和业务角度相互配合来保证，主要以防范为主，针对微信银行应用平台系统的网络设备及安全设备等IT设施在突发安全事件的时候，指导各相关部门和人员如何根据有序的流程和计划对系统进行有效恢复，减少微信银行业务停顿造成的损失，降低重要业务进程和数据重大失效或灾难的影响。

2.1安全事件定义
微信银行应用平台系统安全事件是指针对TCP/IP网络中，由于硬件、软件、数据因非法攻击或病毒入侵等安全原因而遭到破坏、更改、泄漏（可能）造成系统不能正常运行，影响正常的业务发展，称为安全事件。

根据安全事件对业务可能造成的影响或已经造成影响的严重程度并结合资产的重要程度把安全事件分为严重安全事件和重大安全事件。

2.1.1严重安全事件
由于非法攻击、病毒入侵或后门等安全原因造成微信银行业务系统的主机、网络、数据库和数据等重要IT资产受到损害，可能对业务系统造成影响的安全问题称为严重安全事件。

具体表现在，需要暂停微信银行业务服务在正常工作时间内超过30分钟但不超过2个小时或者在正常工作时间外超过1小时但不超过4个小时的事件。

2.1.2重大安全事件
由于非法攻击、病毒入侵或后门等安全原因造成业务系统的主机、网络、数据库和数据等重要IT资产受到损害，并且已经对业务系统造成一定范围的影响，有可能产生业务中断的安全问题称为重大安全事件。

具体表现在，需要暂停微信银行业务服务在正常工作时间内超过2小时但不超过4个小时或者在正常工作时间外超过4小时但不超过8个小时的事件。

2.2应急的组织和启动条件
本业务运行应急计划涉及的组织和人员包括商行联盟IT服务中心、信息安全协调小组和信息科技部负责人、信息安全专业技术人员、安全管理员、网络管理员以及业务部负责人、业务部门专业人员。

本业务运行应急计划在如下条件启动：
1、本文档内定义的严重安全事件和重大安全事件发生时。

2、信息安全协调小组确认，需要启动应急计划时。

2.3安全事件响应
2.3.1组织人员职责
1、微信银行业务应急领导小组：由信息科技管理委员会、信息安全工作协调小组负责人共同组成，主要负责安全
事件的应急指挥和决策。

2、微信银行业务应急工作小组：由信息安全工作协调小组、信息科技部和业务部门负责人、专业人员共同组成，主要负责安全事件的管理和调度。

银行应急领导小组的工作主要包括下列内容：
1)应急响应规划
确定应急响应工作的基本内容和重点，成立微信银行业务部门应急工作小组，分配应急响应工作的角色和职责，并制定应急响应预案。

2)应急资源准备
准备信息安全应急响应时所需的各项资源，保证在发生信息安全事件时这些资源能够及时投入使用。

3)应急响应培训及演练
组织应急响应培训和应急响应演练工作。

4)关系协调
协调与信息安全应急响应相关的各方面关系。

3、微信银行业务部门应急工作小组：由部门负责人和专业技术人员组成，主要负责安全事件的汇报及处理。

部门应急工作小组由应急工作小组负责组建。

部门应急工作小组根据应急情况设置，可以不单独设立，但必须明确组成人员的职责分工，保证各项应急响应工作都有确定的人员负责完
成。

发生信息安全事件时，部门应急工作小组立即转换为实体形式并投入应急响应工作。

微信银行业务部门应急工作小组的工作主要包括下列内容：
1)事件报告
微信银行业务部门应急工作小组对信息安全事件进行定级，向应急工作领导小组报告发生的信息安全事件。

事件响应过程结束后，整理信息安全事件和应急响应工作的详细信息，提交事件处理报告。

2)应急响应
微信银行业务部门应急工作小组负责在出现信息安全事件时启动应急预案，及时采取本地响应措施，阻止或抑制信息安全事件的进一步发展。

4、快速反应通道：各业务系统产品厂商、集成商以及专业的安全厂商，主要负责具体设备、系统以及安全问题的处理和解决。

2.3.2应急响应流程
安全事件的应急响应一般包括发现、报告、分析、处理、总结几个程序。

1、安全事件的发现
安全事件的发现方式至少包括安全维护、系统评估、安全产品监控信息等方式。

在发现安全事件后立即向相应的安
全组织进行安全事件的报告，进入安全事件的响应流程。

2、安全事件的报告
在确认是安全事件的情况下，应在第一时间以电话形式向微信银行业务应急工作小组报告，并在事后提交书面报告。

微信银行业务应急工作小组收到报告后，应根据事件的严重程度向微信银行业务应急领导小组负责人汇报，通知有关单位（包括公安管理部门）的出面协助，必要时与公安、消防等有关部门及当地政府联系解决。

随时关注事态发展，及时报送后续情况。

微信银行业务应急领导中心指导和决策应急的各项工作，由银行应急工作小组负责组织和实施，通知相关责任部门组织人员形成微信银行业务部门应急工作小组的实体，以负责分析处理安全事件，并由银行应急领导小组负责通知专业安全厂商协助对安全事件进行处理。

3、安全事件的分析
微信银行业务部门应急工作小组组成后，对安全事件的严重程度和影响程度进行分析和判断，并组织专业的安全服务厂商对安全事件进行分析，并进入处理过程。

在专业的安全服务厂商没有到场之前，微信银行业务部门应急工作小组可通过一些简单的应急措施对安全事件进行处理，并研究部署处理方案。

4、安全事件的处理
进行安全事件处理过程后，微信银行业务应急工作小组牵头，由安全服务厂商协助进行处理和解决，启动后备程序，诊断故障部位，根据相应的应急恢复策略将中间业务处理或支持服务转移到某个备份设备处理，在限定时间内把业务进程恢复。

如果安全事件无法处理，则需要由微信银行业务应急工作小组向微信银行业务应急领导小组进行汇报，由微信银行业务应急领导小组进行决策。

5、安全事件的总结
在安全事件处理和解决后，要由银行安全应急的相关人员共同确认系统恢复正常，能够正常工作的情况下，由微信银行业务应急工作小组负责牵头，对整个安全事件进行评估和总结，分析出事件发生的起因，确定相关的责任人，进一步完善应急恢复措施。

6、应急响应措施
应急响应工作内容包括信息安全事件的定级和报告，清除或抑制安全事件对业务系统产生的影响，恢复业务系统的运行，并开展相应的事后分析。

2.4启动预案
发生信息安全事件时，应立即启动应急预案。

启动应急预案后，对事件进行确认定级并报告，由微信银行业务应急
领导小组根据事件级别决定相应的应急处理方式。

2.4.1应急抑制
应急抑制的目的是限制安全事件对受保护信息系统造成影响的范围和程度。

应急抑制是信息安全应急响应工作中的重要环节，在信息安全事件发生的第一时间内对故障系统或区域实施有效的隔离和处理，或者根据所拥有的资源状况和事件的等级，采用临时切换到备份系统等措施降低事件损失、避免安全事件的扩散（例如蠕虫的大规模传播）和安全事件对受害系统的持续性破坏，有利于应急响应工作人员对安全事件做出迅速、准确的判断并采取正确的应对策略。

应急抑制分为物理抑制、网络抑制、主机抑制和应用抑制4个层次的工作内容，在发生信息安全事件时，应根据对事件定级的结果，综合利用多个层次的抑制措施，保证抑制工作的及时、有效。

1）物理抑制
–关闭主机：避免主机遭受外界的安全事件影响，或避免主机对外部环境产生影响。

–切断网络连接：关闭网络设备或切断线路，避免安全事件在网络之间的扩散。

–环境安全抑制：主要针对环境安全的威胁因素，例如发生火灾时关闭防火门、启用消防设备和防火通道、
启动排烟装置、切断电源，发生水灾时启用排水设备、
关闭密封门，发生电力故障时启用UPS和备用发动机等。

–提高物理安全级别：实施更为严格的人员身份认证和物理访问控制机制。

2）网络抑制
–网络边界过滤：对路由器等网络边界设备的过滤规则进行动态配置，过滤包含恶意代码、攻击行为或有害信息的数据流，切断安全事件在网络之间的传播途径。

–网关过滤：对防火墙等网关设备的过滤规则进行动态配置，阻断包含恶意代码、攻击行为或有害信息的数据流进入网关设备保护的网络区域，有效实施针对信息安全事件的网络隔离。

–网络监控：提高网络入侵检测系统、专网安全监控系统的敏感程度和监控范围，收集更为细致的网络监控数据。

–网络延迟：采用蠕虫延迟和识别技术，限制恶意代码在单位时间内的网络连接，有效降低蠕虫等恶意代码在网内和网间的传播速度，减少蠕虫事件对受保护网络系统的影响范围。

3）主机抑制
–系统账号维护：禁用或删除主机中被攻破的系统账号和攻击者生成的系统账号，避免攻击者利用这些账号登录主机系统，进行后续的破坏行为。

–提高主机安全级别：实施更为严格的身份认证和访问控制机制，启用主机防火墙或提高防火墙的安全级别，过滤可疑的访问请求。

–提高主机监控级别：提高主机入侵检测系统、主机监控系统的敏感程度和监控范围，收集更为细致的主机监控数据。

4）应用抑制
–应用账号维护：禁用或删除被攻破的应用账号和攻击者生成的应用账号，避免攻击者利用这些账号登录应用服务，进行后续的破坏行为。

–提高应用安全级别：针对应用服务，实施更为严格的身份认证和访问控制机制，提高攻击者攻击应用服务的难度。

–提高应用监控级别：提高应用入侵检测和监控系统的敏感程度和监控范围，收集更为细致的应用服务监控数据。

–关闭应用服务：杜绝应用服务遭受来自网络的安全事件影响，或避免应用服务对外部网络环境产生影响。

2.4.2应急根除
在信息安全事件被抑制之后，进一步分析信息安全事件，找出事件根源并将其彻底清除。

应急根除分为物理根除、单机根除和网络根除3个层次。

为了保证彻底从受保护网络系统中清除安全威胁，针对不同类型的安全事件，应综合采取不同层次的根除措施。

1）物理根除
–统一采用严格的物理安全措施：例如针对关键的物理区域，统一实施基于身份认证和物理访问控制机制，
实现对身份的鉴别。

–环境安全保障：主要针对环境安全的威胁因素，例如使用消防设施扑灭火灾，更换出现故障的电力设备并
恢复正常的电力供应，修复网络通信线路，修复被水
浸湿的服务器等。

–物理安全保障：加强视频监控、人员排查等措施，最大限度减少对受保护信息系统可能造成威胁的人员和
物理因素。

2）单机根除（包括服务器、客户机、网络设备及其它计算设备）
–清除恶意代码：清除感染计算设备的恶意代码，包括文件型病毒、引导型病毒、网络蠕虫、恶意脚本等，
清除恶意代码在感染和发作过程中产生的数据。

–清除后门：清除攻击者安装的后门，避免攻击者利用该后门登录受害计算设备。

–系统修复：修复由于黑客入侵、网络攻击、恶意代码等信息安全事件对计算设备的文件、数据、配置信息等造成的破坏，例如被非法篡改的系统注册表、信任主机列表、用户账号数据库、应用配置文件等。

–安装补丁和升级：安装安全补丁和升级程序，但必须事先进行严格的审查和测试，并统一发布。

–修复安全机制：修复并重新启用计算设备原有的访问控制、日志、审计等安全机制。

3）网络根除
–所有单机根除：对受保护网络系统中所有的服务器、客户机、网络设备和其它计算设备进行上述单机根除工作。

–评估排查：对受保护网络系统中所有计算设备进行评估排查，测试是否仍然存在被同种信息安全事件影响的单机。

–网络安全保障升级：对网络中的安全设备、安全工具进行升级，使其具备对该安全事件的报警、过滤和自动清除功能，例如向防火墙增加新的过滤规则，向入侵检测系统增加新的检测规则等。

2.4.3应急恢复
完成安全事件的根除工作后，需要完全恢复系统的运行过程，把受影响系统、设备、软件和应用服务还原到它们正常的工作状态。

如果在抑制过程中切换到了备份系统，则需要重新切换到已完成恢复工作的原系统。

恢复工中要避免出现误操作导致数据的丢失或损坏。

恢复工作共分为五个阶段：系统恢复阶段、网络恢复阶段、用户恢复阶段、抢救阶段和重新部署/重入阶段。

1）系统恢复阶段
负责恢复关键业务需要的服务器及应用程序。

系统恢复过程完成的标志是数据库已经可用、用户的数据通讯链路已经重新建立、系统操作用户也已经开始工作。

网络和用户恢复任务与系统恢复是同步进行的。

2）网络恢复阶段
负责安装通信设备和网络软件，配置路由及远程访问系统，恢复数据通信，部署设置网络管理软件和网络安全软件等，恢复受灾系统的网络通信能力。

3）用户恢复阶段
用户恢复任务与系统恢复任务和网络恢复任务同步进行。

当系统和网络就绪之后，使用抢救出来的记录和备份存储的数据和信息，尽快恢复数据库。

4）抢救阶段
抢救行动与其它灾难恢复工作同步进行，包括收集和保存证据，评估数据中心和用户操作环境的恢复可行性和花费，抢救数据、信息和设备并转移到备份区域。

5）重新部署/重入阶段
根据灾难恢复计划中定义的工作职能，使系统、网络和用户重新部署到原有的或新的设施中，并把应急状态下的服务级别逐步切换回正常服务级别。

2.4.4事后分析
信息安全事件的应急响应工作除保证实施准确、高效的应急处理之外，另一重要事项是及时吸取经验教训，及时整改修正，避免相同或类似安全事件的再次发生。

有助于确定安全问题的深层次原因，总结处理紧急安全问题的经验和教训，评估和修正现有安全机制的不足，为后续可能发生的信息安全事件的响应过程提供参考。

事后分析工作的目标是回顾并整理发生信息安全事件的各种相关信息，尽可能将所有情况记录到文档中，研究事件发生的全过程，分析导致事件发生的根本原因，评估系统遭受的损失，并根据分析和评估结果对现有的工作方案作出调整。

对累次事件或同期多个事件的事后联合分析更有意义。

针对信息安全事件的事后分析工作包括损失评估、审计分析以及对应急预案的评估修正。

1）损失评估
评估信息安全事件对受保护信息系统在各方面所造成的损失。

2）审计分析
对发生的信息安全事件进行审计分析，确定受保护信息系统中被安全事件所利用的漏洞，查明事件发生的原因，并提出相应的整改措施，综合利用技术、人员、管理等各方面的手段，避免相同或类似信息安全事件的再次发生。

3）应急预案的评估修正
对事先制定的信息安全事件应急预案进行评估，包括预案与实际事件的吻合性，预案的合理性、实用性、可操作性，分析预案在制定和实施过程中存在的问题和缺陷，在此基础上提出相应的整改方案建议，经批准后供应急预案修正使用。

3连续性管理目标
3.1业务影响分析
业务影响分析是用来确定由于中断和预期灾难可能对银行造成的影响以及定量和定性分析这种影响的技术，并确定银行的关键功能、业务恢复优先顺序、业务恢复所需的资源。

微信银行系统是微信银行应用平台通过Internet互联
网向个人客户提供各种银行业务的一种便捷的信息系统。

实际上，微信银行与网上银行类似，是柜台业务在Internet 网上一个延伸。

根据对银行所造成的影响范围的不同，可把事件分为三类：故障、安全事件、灾难。

分别定义如下：
a)故障：分为一级故障、二级故障。

其表现分别如下：
一级故障：微信银行系统的操作性能（效率）降低，用
户的业务运作的受到不良影响，但业务功能
应用仍可正常工作。

二级故障：微信银行系统操作功能受损，使用户的业务
运作中的某一部分功能受到不良影响，但其
它部分业务功能仍可正常运作。

b)安全事件：详见《微信银行应用平台业务运行应急计
划》中安全事件的定义，分严重安全事件和重大安全
事件。

c)灾难：微信银行业务服务需要暂停，暂停时间是：在
正常工作时间内超过4个小时或者在正常工作时间外
超过8个小时的。

3.2风险评估总结
业务连续性风险评估总结是对微信银行应用平台系统所面临威胁的总结，具体的威胁有：
3.3处理目标
业务连续性管理目标是根据风险评估总结与微信银行应用平台系统业务需求决定的。

3.3.1故障处置
故障处置的目的是尽快排除由值班员发现的故障。

故障
处置的目标主要是故障排除的时间目标。

主要依据微信银行业务管理办法等的制度执行。

➢故障处置时间目标：故障排除时间是指从发现故障到故障排除的这段时间。

➢故障处置时间目标如下：
3.3.2安全事件响应
安全事件响应的目的是在安全事件发生后，在安全事件响应流程规定的时间范围内处置安全事件，恢复业务的正常进行。

安全时间响应的目标主要是响应的时间目标。

✓安全事件响应时间目标：响应时间是指安全事件发生后到系统恢复正常运行的这段时间。

✓目标定义如下：
3.3.3灾难恢复
灾难恢复的目的在于灾难事件发生后，在规定的时间内恢复业务。

灾难性事件发生，依据风险应急处置等办法进行。

4保障业务连续性的处理措施
4.1制度建设
严格的管理制度的制定和实施是微信银行系统健康、安全、连续运行的重要保障。

微信银行业务具有一定的特殊性，它必须支持24小时不间断的运行，同时它又面向的使用对象是广大客户，并且通过互联网与外界相连，所以，在安全、管理和维护各方面上都比银行其他系统复杂，具有更大的难度。

为此，商行联盟与XX银行一起结合微信银行系统的建设，对整个信息系统进行了安全评估，建立并实现微信银行应用平台以安全组织体系为核心、安全管理体系为保障、落实安全控制技术的整体信息安全体系，保证微信银行系统符合中国人民银行和中国银行监督管理委员会所制定的针对微信银行系统安全运行的相关规定。

4.2系统备份
系统备份工作是一件平凡的重复性的工作，但它却是绝对必要的工作。

只有在事故发生之前就考虑到如何应对才是尽量减少事故带来损失的最好办法。

防范金融风险，迅速恢复系统运行，保障微信银行业务运行的连续性是非常重要的一项工作内容。