第一章  总  则

第一条 为提高学校应对网络与信息安全突发事件的能力，建立健全科学、有效、反应迅速的网络信息安全监测和应急工作机制，预防和减少网络与信息安全突发事件的危害，维护学校安全稳定和教学工作秩序，特制定本预案。

第二条 根据《中华人民共和国网络安全法》《教育系统网络安全事件应急预案》，结合学校实际情况，特制定本预案。

第三条 本预案适用于学校网络安全事件的应对与处置工作。本预案所称网络安全事件是指由于自然灾害、设备软硬件故障、人为失误、黑客攻击，以及敌对势力破坏等原因，对网络信息系统造成危害，对学校正常教学、管理工作和声誉造成不利影响的信息安全事件。

第四条  应急处置遵循“统一领导、预防为本、快速反应、科学处置”的原则获取充分准确的信息，跟踪研判，果断决策，迅速处置，尽快控制局面；按照“谁主管谁负责，谁使用谁负责，谁运维谁负责”的原则，各司其职，各尽其力，共同履行应急处置工作的管理职责。

第二章  安全事件分类与分级

第五条 安全事件依据发生过程、性质和特征不同，可分为以下六类：

（一）有害程序事件：指蓄意制造、传播有害程序，或是因受到有害程序的影响而导致的信息安全事件。有害程序事件包括计算机病毒事件、蠕虫事件、特洛伊木马事件、僵尸网络事件、混合攻击程序事件、网页内嵌恶意代码事件和其它有害程序事件等。

（二）网络攻击事件：指通过网络或其他技术手段，利用信息系统的配置缺陷、协议缺陷、程序缺陷或使用暴力攻击对信息系统实施攻击，并造成信息系统异常或对信息系统当前运行造成潜在危害的信息安全事件。网络攻击事件包括拒绝服务攻击事件、后门攻击事件、漏洞攻击事件、网络扫描窃听事件、网络钓鱼事件、干扰事件和其他网络攻击事件等。

（三）信息破坏事件：指通过网络或其他技术手段，造成信息系统中的信息被篡改、假冒、泄漏、窃取等而导致的信息安全事件。信息破坏事件包括信息篡改事件、信息假冒事件、信息泄漏事件、信息窃取事件、信息丢失事件和其它信息破坏事件等。

（四）设备设施故障：指由于信息系统自身故障或外围保障设施故障而导致的信息安全事件，以及人为的使用非技术手段有意或无意的造成信息系统破坏而导致的信息安全事件。设备设施故障包括软硬件自身故障、外围保障设施故障、人为破坏事故和其它设备设施故障等。

（五）灾害性事件：指由于不可抗力对信息系统造成物理破坏而导致的信息安全事件。灾害性事件包括水灾、台风、地震、雷击、坍塌、火灾、恐怖袭击、战争等导致的信息安全事件。

（六）其它事件：指不能归为以上基本分类的信息技术安全事件。

第六条 网络安全事件按照可控性、严重程度和影响范围不同，可划分为四级：特别重大网络安全事件（Ⅰ级）、重大网络安全事件（Ⅱ级）、较大网络安全事件（Ⅲ级）、一般网络安全事件（Ⅳ级）。

（一）特别重大网络安全事件（Ⅰ级）：

导致校园网全局性瘫痪、校级业务系统中断，学校主页被篡改以及网站、论坛、自媒体等非法信息引发学校大规模群体性事件，对学校正常工作造成特别严重损害，事态发展超出学校控制能力。

（二）重大网络安全事件（Ⅱ级）：

导致校园网发生大规模瘫痪、校级业务系统中断，学校主页被篡改以及网站、论坛、自媒体等非法信息引发师生反应强烈，对学校正常工作造成严重损害。

（三）较大网络安全事件（Ⅲ级）：

校园网某一区域网络或某一校级业务系统瘫痪，或由于网站敏感信息、谣言等，对学校正常工作造成一定损害。

（四）一般网络安全事件（Ⅳ级）：

校园网某一局部网络或二级学院或职能部门自建网站、信息应用系统受到一定程度损坏，但不危害学校整体工作。

第三章  组织机构职责

第七条 学校网络安全和信息化领导小组（以下简称“网信领导小组”）统筹协调全校网络安全事件应急工作，指导学校各部门网络安全事件应急处置。当发生特别重大网络安全事件、重大网络安全事件时，在上级统一指挥下开展应急处置工作。

第八条  学校网络安全和信息化办公室（以下简称“网信办”）负责网络安全应急管理事务性工作，向学校网信领导小组报告网络安全事件情况，提出网络安全事件的应对措施建议和意见，统筹组织学校网络安全监测工作，指导做好应急处置的技术支撑工作。

第九条 各部门配合学校开展网络安全事件调查工作，负责本部门网站和信息系统的网络安全事件处置工作。

第四章  应急响应处置

第十条 发生安全事件后，涉事部门应第一时间采取断网、关闭系统等有效措施，将损害和影响降低到最小范围，保留现场，并报告本部门分管校领导和网信办。

第十一条 网信办组织相关部门，全面收集安全相关信息，鉴别性质，确定来源，弄清范围，评估事件带来的影响和损失，确认安全事件的类别和等级。

第十二条 网络安全事件应急响应分为Ⅰ级、Ⅱ级、Ⅲ级、Ⅳ级等四级，分别对应特别重大、重大、较大和一般网络安全事件。Ⅰ级为最高响应级别。

Ⅰ级响应：网信办立即上报网信领导小组，并由学校报告上级主管部门和公安部门，学校在上级部门的指挥协调下进行应急处置。

Ⅱ级响应和Ⅲ级响应：网信办立即上报网信领导小组，由网信领导小组指挥、协调网信领导小组成员进行应急处置。涉及人为主观破坏事件时视情节严重程度由学校保卫处报告当地公安部门。

Ⅳ级响应：网信办组织相关部门及时、自主进行应急处置，做好处置记录。

第十三条 根据网络安全事件分类采取不同的应急处置方式：

（一）有害程序事件：及时寻找并断开传播源，判断病毒的类型、性质、可能的危害范围；为避免产生更大的损失，保护健康的计算机，必要时可关闭相应的端口，甚至相应楼层的网络，及时进行杀毒处理。

（二）网络攻击事件：判断攻击的来源与性质，关闭影响安全的网络设备和服务器设备，断开信息系统与攻击来源的网络物理连接，跟踪并锁定攻击来源的IP地址或其它网络用户信息，修复被破坏的信息，恢复信息系统。

（三）信息破坏事件：接到校内网站出现不良信息的报案后，应迅速屏蔽该网站的网络端口或拔掉网络连接线，阻止有害信息传播，查找信息发布人并做好善后处理。对公安机关要求学校协查的校外论坛或自媒体的不良信息事件，根据校园网上网相关记录查找信息发布人。

（四）设备设施故障：判断故障发生点和故障原因，迅速联系IT运维公司尽快抢修故障设备，优先保证校园网主干网络和主要应用系统的运转。

（五）灾害性事件：根据实际情况，在保障人身安全的前提下，保障数据安全和设备安全。具体方法包括：硬盘的拔出与保存，设备的断电与拆卸、搬迁等。

（六）其它事件：可根据总的安全原则，结合具体情况，做出相应处理，不能处理的及时咨询上级信息安全机构。

第五章  调查总结

第十四条 网络安全事件发生后，网信办组织对事件造成的损失、事件处理流程等进行分析评估，总结经验教训，及时填写《99905银河官网网络安全事件处置情况报告》（附件1）。

发生Ⅰ至Ⅱ级事件，在报告学校的同时，应根据教育部办公厅《信息技术安全事件报告与处置流程》按照以下流程报告：

（一）事发紧急报告：事件发生后立即以电话方式报上级主管部门，涉及人为主观破坏事件应同时报当地公安机关。报告内容包括：时间地点，简要经过，事件类型与分级，影响范围，危害程度，初步原因分析，已采取的紧急措施等。

（二）事中处置报告：应在事件发生后8小时内以书面报告形式报送。

（三）事后整改报告：应在事件处置完毕后5个工作日内以书面报告形式报送。

第六章 预防保障

第十五条 做好网络安全事件日常预防工作，健全应急预案和配套管理制度，建立预报预警监测体系，避免和减少网络安全事件发生。

第十六条 加强技术储备与保障工作，不断完善技术防护体系，确保网络和信息系统的稳定与安全。适时组织有关专家和机构分析当前网络状况，对网络应急预案及实施情况进行评估，开展现场研究。

第十七条  各部门信息系统管理员应密切关注本部门网站及信息系统运行状况；图书与信息中心应做好校园网络与信息安全的日常巡查及日志保存工作。

第十八条 各部门要加强对师生网络与信息安全的法律法规和知识技能的宣传和教育，做好“网络安全宣传周”（每年9月第三周）的主题教育活动，增强网络与信息安全观念，提高防范意识。

第十九条 学校根据网络安全事件应急处置工作实际需要，保障用于安全防护的软硬件设备及运行维护经费。

第七章  附  则

第二十条  本预案由网信办负责解释。

第二十一条 本预案自公布之日起执行。