信息安全事件处理程序

IT服务管理体系

信息安全事件处理流程

文件编号： ITSS-15-09

版本/版次： V1.0

生效日期： 2019.6.1

目录

1目的 (4)

2适用范围 (4)

3定义 (4)

4分级 (4)

4.1分级要素 (4)

4.2分级描述 (5)

4.3信息安全事件分类 (6)

5相关人员职责 (7)

6流程 (8)

7流程描述 (10)

7.1报告 (10)

7.2评估 (10)

7.3处理 (10)

7.4验证 (11)

7.5总结 (11)

7.6事件预防及纠正措施 (11)

8处罚规定 (12)

8.1处罚种类 (12)

8.2违纪种类 (12)

8.2.1以下违纪给予口头警告 (13)

8.2.2以下违纪给予书面警告，并可降级降薪、减发当月基础工资的10-30% (13)

8.2.3以下违纪给予记过，并可免除或撤消职务、降薪、减发当月基础工资的30-60% (13)

8.2.4以下违纪给予开除（作违纪解除劳动合同处理）或采取法律诉讼 (13)

9相关文件 (14)

10记录 (14)

1目的

本程序的目的是及时报告处理公司信息安全事件，确保公司业务的正常运作，将事件的影响降到最低，将所造成的破坏和损失减到最小。

2适用范围

本程序适用于ITSS所覆盖的所有部门。

3定义

信息安全事件是指由于公司信息资产的可用性、完整性或保密性受损而造成危害的事件。

4分级

4.1分级要素

信息安全事件分级的参考要素包括信息密级、公众影响、业务影响和资产损失等四项。各参考要素分别说明如下：

（1）信息密级影响是衡量因信息失窃或泄密所造成的信息安全事件中所涉及信息的重要程度的要素；

（2）公众影响是衡量信息安全事件所造成的负面影响范围和程度的要素；

（3）业务影响是衡量信息安全事件对事发公司正常业务开展所造成的负

面影响程度的要素；

（4）资产损失是衡量恢复该资产正常运行所需付出资金代价的要素。

4.2分级描述

根据信息安全事件所造成后果的严重程度，信息安全事件可划分为4个等级。其中A级危害程度最高，D级危害程度最低。

各级别的信息安全事件具体描述如下：

A级：本级信息安全事件对公司利益有严重的影响或破坏；

B级：本级信息安全事件对公司利益有较大的影响或破坏；

C级：本级信息安全事件对公司利益有一般的影响或破坏；

D级：本级信息安全事件对公司利益有轻微的影响或破坏；

A级的信息安全事件称为重大信息安全事件。

对事件的综合定级直接选取四项参考要素中的最高定级结果作为事件的综合定级结果。

4.3信息安全事件分类

对信息安全事件分类是有效开展信息安全事件报告、应急处置、调查处理和吸取经验教训等信息安全应急响应工作的重要依据。分类如下表：

信息安全事件分类表

5相关人员职责

5.1报告人：第一时间发现信息安全事件的员工。发现信息安全事件后，应立

即报告信息安全委员会相关人员，并填写相关报告表格。

5.2信息安全委员会：信息安全委员定期对信息安全事件进行评价，识别可以

改进的领域，做出正式的纠正措施决定并在全公司发布。对事件的制造者进行必要的处罚。

5.3信息安全事件反应小组相关人员职责如下：

➢应急处理小组：对于A级事件，第一时间通报信息安全委员会，必要时成立应急处理小组，在最短的时间内调动事件处理所需资源，有效地预防和控制事件的发展和扩大蔓延。处理情况应实时向总经理通报。

6流程

7流程描述

7.1报告

任何员工发现信息安全事件或可能的信息安全漏洞（如：系统被未授权人访问，机密信息被未授权人更改或删除，系统与网络出现异常现象，盗窃，硬件设施被损毁，文档资料丢失或其他方面的事件）时，应立即报告信息安全反应小组相关人员。

可用口头、电话、email、打印文档等方式报告。

信息安全事件发现者应尽可能保留事件的现场情况。

在报告完事件后，一般信息安全事件记录填写记录在《一般信息安全事件登记表》，重大信息安全事件填写《信息安全事件报告》。

7.2评估

信息安全事件反应小组相关人员评估事件的范围、影响、严重性和类别，并按照分级和分类准则填写《信息安全事件报告》中的“事件等级”和“事件分类”。

如果是A级信息安全事件，立刻上报信息安全委员会。

7.3处理

信息安全事件的B、C、D级，信息安全事件反应小组相关人员对信息安

全事件进行处理。

信息事件的A级，必要时由信息安全委员会成立应急小组来进行处理。

处理事件可能要中断业务的运行，有可能对业务造成不利影响或损失。因此，在处理时必须权衡各种利弊关系，处理事件的所有工作必须考虑到对业务运行的最小化影响。然后确定继续运行业务还是先对受损系统进行围堵或隔离控制等处理。

如处理事件需要花费公司资源的要报信息安全委员会进行审批。

信息安全事件反应小组相关人员事件处理完毕填写《信息安全事件报告》中的“处理过程及结果”。

7.4验证

处理完毕后，信息安全委员会或指定代表进行验证是否解决了信息安全事件，验证通过则结束。验证未通过则重新进行处理。

7.5总结

事件处理完要进行事件分析总结，提出纠正和预防措施。事件处理结果报送品质部归档。各部门针对事件提出防范措施，并进行相关培训，杜绝同类事件的发生。

7.6事件预防及纠正措施