- 相關推薦
淺談關于網絡與信息安全應急預案的研究與實踐
論文關鍵詞：應急預案 編制 研究 實踐
論文摘要：網絡與信息安全應急預案是有效應對信息安全突發事件的關鍵。文章結合浙江地稅編制網絡與信息安全應急預案的實踐，分析了預案編制中存在的問題和難點，以實用為目標，提出了預案編制的新思路。
0引言
網絡與信息安全應急預案是信息安全突發事件應對工作的基礎和關鍵。近年來，國家信息化主管部門編制了初成體系的網絡與信息安全應急預案大綱，很多單位根據國家的有關要求，結合實際，紛紛著手編制各自的網絡與信息安全應急預案。但完成編制后，應急預案往往只是掛在墻上，鎖在抽屜里，而無法記在心里，在真正發生信息安全事件時，應急預案卻不能發揮應有的作用。
1當前應急預案普遍存在的問題
1．1應付型預案大量存在
大部分單位編制的應急預案基本上是對上級單位應急預案的簡單拷貝。通常上級單位發布網絡與信息安全應急預案以后，下級單位往往只簡單修改一下組織機構人員名單等，依葫蘆畫瓢，沒有結合實際建立符合其工作實際的應急預案，編制的應急預案缺乏針對性。
1．2缺乏完整性
部分單位編制的應急預案內容過于簡單，飽滿度不夠。這些應急預案往往只關注關鍵環節，而忽視其他環節。主要表現在只注重應急處置環節的編寫，對于安全事件的報告、安全等級研判、決策指揮、信息發布及通報、應急響應報告、應急預案演練等方面的內容涉及太少，有些環節甚至不作任何描述。
1．3缺乏實用性
有些單位編制的應急預案內容較完善，要素較齊全，動輒幾十頁，甚至上百頁，但缺乏實用性。具體表現在：這些應急預案過于注重環節到位，理論性太強，安全事件的定級、預案啟動、應急處置等環節缺乏可操作性；沒有明確的流程，不注重應急響應的工作“流”；職責分工不明確，各相關應急工作人員職責不清，無法迅速對照應急預案定位其應采取的措施；應急預案包含組織機構的工作人員，因人員工作崗位的變動需要頻繁調整預案，不利于應急預案的相對穩定。
作為應急處置人員，面對厚厚的預案，發生安全事件時，往往會手足無措，難以迅速到位并有效發揮作用。從某種程度上講，預案越厚、越復雜，實用性就越差。
1．4重技術輕業務
不少單位對網絡與信息安全應急工作的認識不到位，在編制應急預案時，往往只從技術角度考慮，而忽視了業務方面的內容。實際上，應急處置工作離不開具體業務。
2應急預案編制的難點
2．1缺少直接參照的范本
通過對當前國內一些網絡與信息安全應急預案的分析，我們發現編制全面、規范、可操作性強的應急預案缺乏可直接參照的范本。因此，需要通過自身工作實踐，不斷進行摸索和研究，在實踐中不斷完善預案編制工作。
2．2理論與實際如何完美結合
對于一個好的應急預案來說，理論體系全面、規范是基本的要求，而與實際工作緊密結合則是提高應急預案可行性的關鍵，理論體系與實際工作是相互依存、相互促進的關系。編制應急預案，既要保持安全事件報告、安全等級研判、決策指揮、信息發布及通報、應急響應報告、應急預案演練等理論體系的完整性，又要保證能針對實際，提出符合工作需要、切實可行的應急處置辦法，是有相當難度的。
2．3難以兼顧全面性和實用性
一般來說，編制應急預案時，若考慮應急預案體系的所有部分，力求全面、規范，則預案會過于復雜，最終導致實用性差；若只考慮實用性，則很難做到內容全面。另外，應急響應工作會涉及到本單位高層領導、中層領導、專家顧問以及具體實施的工作人員等多層次的角色，不同角色在應急過程中有不同的工作職責，預案很難既兼顧所有角色的職責又很實用。
3編制實用、可操作應急預案的思路
3．1目標
(1)符合國家對網絡與信息安全工作的要求，內容全面、規范。
(2)應急預案的框架設計合理，對不同的應急處置人員及
系統，應急預案都有相應內容。
(3)從實際出發，詳略得當，有較強的實用性和可操作性。
(4)應急預案體系中的各部分內容密切銜接、協調一致。
3．2總體設想
制定應急預案，要避免對上級單位應急預案的生搬硬套，應結合實際，以國家制定的信息安全應急預案體系理論為，以實際信息安全事件發生時各部門的職責為出發點，全面考慮業務部門和技術部門的職責，力求使應急響應人員能借助應急預案迅速、準確地作出反應。
編制應急預案，可分三個階段進行。首先，在目前條件下，以技術為主導，同時兼顧業務工作內容，根據各單位的信息化工作實際，編制出規范、全面的綜合應急預案；然后，結合單位信息化工作的實際，梳理并確定有哪些重要信息系統應列入應急預案考慮的體系；第三步，根據涵蓋這些重要信息系統的應急工作要求，對綜合應急預案進行細化、提煉，將其分成兩部分，一部分是面向層的應急預案操作辦法，另一部分是面向具體應急處置人員并針對重要信息系統應急響應工作的特定系統應急預案，最終形成包括綜合應急預案、應急預案操作辦法和特定系統應急預案等三個部分的應急預案體系。
3．3重點
以實用為目標，理清各類應急預案、應急預案各環節的關系，明確組織機構在各環節的應急響應職責，讓各類應急響應工作人員對自己該干什么一目了然。
4浙江地稅網絡與信息安全應急預案編制的實踐
根據局領導提出的編制實用、可操作的應急預案的要求，浙江省地方稅務局成立了網絡與信息安全應急預案編寫小組。編寫小組經過多次分析和討論，提出了編寫方案，經全省地稅網絡與信息安全專題工作會議討論后著手編制工作。
4．1總體框架
如圖1所示，我們把應急預案整體內容分成兩大相對獨立的部分，虛線右邊是應急預案的主體內容，虛線左邊是具體的組織機構。應急預案的主體內容又包括三塊：綜合應急預案、應急預案操作辦法和特定系統應急預案。
組織機構原本是應急預案不可或缺的重要組成部分，但為了便于應急預案的執行，避免人員崗位變動導致預案的頻繁調整，我們認為將其獨立出來更為合適。組織機構包括網絡與信息安全領導小組及其辦公室、網絡與信息安全專家組、信息上報及通報單位(主要指國家稅務總局、浙江省網絡與信息安全協調小組等單位)，網絡與信息安全領導小組辦公室下設綜合組、業務組、技術組。
綜合應急預案是面向整體的、全面的、綜合性應急預案，著重闡述基本原則、應急組織結構、組織職責、應急響應的總體思路、應急救援活動的組織協調等。它更多地體現應急預案的規范性、全面性，是應急預案操作辦法以及特定系統應急預案的基礎，即使對某些未能預料的重大突發事件，也能起到基本的應急作用。
應急預案操作辦法是綜合應急預案的直觀化體現，是對綜合應急預案的提煉。面向的對象主要是本單位高層領導和中層領導，側重于應急處置的程序和整體性，確保迅速啟動預案，有效協調各方力量，使得應急工作有條不紊。
特定系統應急預案是綜合應急預案、應急預案操作辦法的延伸和細化。面向的對象主要是具體實施的工作人員，側重于對各個信息系統應急響應作出周密而細致的安排，規范各崗位的應急處置職責。
應急預案主體內容的三部分之問密切銜接，環環相扣，必需保持協調一致，避免重復、矛盾。
4．2綜合應急預案
編制綜合應急預案應根據國家有關應急預案體系的要求，從工作原則、組織結構及職責、事件等級劃分、處置流程、應急保障、應急的組織協調等因素進行全面考慮，科學有效地劃分事件等級，全面分析各種應急過程，編制規范、全面的綜合預案。
其中，網絡與信息安全事件的等級分級、應急響應流程是進行網絡與信息安全事件響應工作的基礎，只有準確分級、流程清晰才能有效地應對危機，因此，做好等級分級、應急響應流程的編制非常重要。
4．2．1安全事件等級劃分
4．2．1．1劃分原則
我們結合工作實際，經過探索，認為進行有效、準確的安全事件等級劃分應遵循以下原則：
(1)可量化原則安全事件等級劃分的要素，應著重考慮那些可以量化的要素，不可量化的因素只起輔助作用。
(2)從高原則
當安全事件等級難以判定具體級別、級別可上可下時，應劃分為較高一級安全事件，避免安全事件等級劃分不準確而導致應急措施不到位。
(3)升級原則
安全事件是動態變化的過程，在事件處置過程中，如事態和影響進一步擴大，且達到上一級標準的，應及時根據具體情況作升級處理，保證有效應對安全事件的變化。
4．2．1．2級別設計
根據國家有關要求，三級和三級以上的網絡與信息安全事件才啟動應急預案，但是，低級別安全事件的預警工作也非常重要。因為安全事件是動態變化的，隨著事態的發展，低級別安全事件隨時會演化為更高級別的安全事件，因此，在編寫應急預案時，我們考慮了四級安全事件等級，把第四級視為重大網絡與信息安全事件的預警級。
4．2．1．3劃分標準
根據浙江地稅信息化工作實際，我們著重考慮那些可以量化的要素，主要包括破壞程度、發生時期、影響時間等要素，比如數據丟失時間判斷標準，如表1所示。
4-2_2安全事件應急響應流程圖
4．22．1設計原則
應急響應時，為保證各類工作人員能迅速了解處置程序，定位其職責，需配以簡明扼要的流程圖。我們認為流程編寫應遵循以下原則：
(1)突出重點
應急響應流程圖應能清晰體現應急響應過程，但是只涉及報告處置、應急處置、后期處置等環節的重要處理程序，對于那些不是實際應急響應工作過程中必經的環節，比如應急演練、應急保障等，可以不在流程圖中體現，確保流程圖突出重點、直觀明了。
(2)職責明確
應急響應流程圖應能明確體現網絡與信息安全領導小組及其辦公室、應急小組、專家小組等組織機構在各環節、各處理過程的崗位責任，應急響應時，各類組織機構對照流程圖就能對其主要職責一目了然。
42．2．2流程囤的設計
我們以“職能流程圖”的形式來展現應急響應流程�！奥毮芰鞒虉D”從橫向展現應急響應的報告處置、應急處置、后期處置等環節的重要處理程序，從縱向展現網絡與信息安全領導小組及其辦公室、應急小組、專家小組等組織機構的職責，通過二維的表現形式使處理環節與組織機構有機地成為一個整體，如圖2所示。
4．3應急預案操作辦法
通過表、圖等形式對綜合應急預案進行提煉和直觀化，只涉及安全事件等級劃分、安全事件應急響應流程圖、應急響應主要處置程序等三部分主要內容，將應急處置工作直觀展現給各相關職責的領導層人員，以便領導層人員能快速進入應急狀態，并實施處置工作。
安全事件等級劃分主要以表格形式對綜合應急預案中的安全事件等級劃分部分進行提煉，如表2所示。
安全事件應急響應流程圖引用綜合預案中流程圖部分，如圖2所示。
應急響應的主要處置程序，以表格形式為主對綜合預案中的報告、先期處理、應急處置、信息發布、應急結束、后期處置等部分進行提煉，所表3所示。
4．4特定系統應急預案
特定系統應急預案通過表、圖等形式描述，以特定系統的網絡拓撲結構、安全事件應急處置流程、特定系統主要應急處置程序等三部分內容為重點，力求流程簡明扼要、職責明確。通過規范各崗位的應急處置職責，避免出現應急工作的效果過分依賴于具體人員的情況。根據浙江地稅信息化工作實際，我們編制了因特網門戶網站、因特網辦稅服務系統、浙江地稅征管信息系統、廣域網、機房等重要信息系統(或部位)的特定系統應急預案。
對于特定系統安全事件的應急處置，通過流程圖著重說明特定系統可能出現的問題分類、主要處理程序，不涉及某一具體技術細節。以因特網辦稅服務系統為例，其應急處置流程如圖3所示。
關于特定系統安全事件主要應急處置程序，主要以表格形式描述問題定位、應急修復、啟動備份等過程。以因特網、稅服務系統為例，其應急處置程序如表4所示。
5結束語
有了實用的應急預案，若要在發生信息安全事件時能真正發揮作用，必須重視應急演練工作。應急演練是完善應急預案、發揮應急預案作用的重要環節。應科學地制定應急演練計劃，定期組織應急演練。通過演練，可以了解信息系統應急響應現狀，應急工作人員對應急響應程序及職責的熟練程度，并促進應急預案的完善，以有效應對安全事件，保障信息系統安全運行。
【淺談網絡與信息安全應急預案的研究與實踐】相關文章：
淺談網絡環境下會計系統結構研究02-04
個人網絡信息安全論文（精選10篇）09-22
淺談網絡詩歌的特點與發展03-22
大數據時代網絡信息安全探析論文04-22
淺談翻譯理論視域中的文化研究05-29
淺談中外內部審計準則比較研究05-03
淺談網絡金融發展的發展及對策06-06
企業信息化安全技術研究01-08