一、总 则

（一）编制目的

为切实做好学校网络突发事件的防范和应急处理工作，进一步提高预防和控制网络突发事件的能力和水平，形成科学、有效、反应迅速的应急工作机制，减轻或消除突发事件的危害和影响，确保校园网络重要计算机信息系统的实体安全、运行安全和数据安全，保护师生权益，维护正常社会秩序、教学秩序，促进学校的和谐发展。

（二）编制依据

根据《中华人民共和国网络安全法》、《国家突发公共事件总体应急预案》、《信息安全事件分类分级指南》（GB/T20986-2007）、《教育系统网络与信息安全类突发公共事件应急预案》等法律法规，结合学校工作实际，制定本预案。

（三）适用范围

本预案适用于学校所有网络与信息系统，重点涵盖校园网络主干设施、重要信息发布系统、重要业务系统安全突发事件的应急处置。

（四）事件分类分级

1.事件分类

网络与信息安全突发事件依据发生过程、性质和特征的不同，可分为以下四类：

（1）网络攻击事件：由于遭受有害程序感染、非法入侵或其他技术手段攻击，造成校园网络和信息系统运行异常或存在潜在危险，或造成信息被篡改、假冒、泄漏、窃取等而导致的信息安全事件。

（2）设备故障事件：由于信息系统或外围软硬件设施故障、人为误操作等，造成信息系统破坏、业务中断、系统宕机、网络瘫痪等导致的信息安全事件。

（3）灾害性事件：因洪水、火灾、雷击、地震、台风、非正常停电等外力因素造成网络与信息系统损毁，导致业务中断、系统宕机、网络瘫痪等安全事件。

（4）信息内容安全事件：利用校园网络在校内外传播法律法规禁止的信息，组织非法串联、煽动集会游行或炒作敏感问题并危害国家安全、社会稳定和公众利益的事件。

2.事件分级

网络与信息安全突发事件按照可控性、严重程度和影响范围的不同，可分为以下四级：

（1）Ⅰ级（特别重大）：事件导致发生全校性大规模网络及系统瘫痪，或由于网站非法信息引发学校大规模群体性事件，对学校正常工作造成特别严重损害，造成严重社会影响，事态发展超出学校控制能力；

（2）Ⅱ级（重大）：导致校园网发生全校性瘫痪，或由于网站非法信息引发师生反应强烈并有过激行为，对学校正常工作造成严重损害，并造成一定社会影响；

（3）Ⅲ级（较大）：事件导致校园网某一区域的重要网络与信息应用系统瘫痪，或由于网站敏感信息、谣言等，对学校正常工作造成一定损害，但未造成社会影响；

（4）Ⅳ级（一般）：事件导致某一局部网络或信息应用系统受到一定程度损坏，学校工作受到一定影响，但不危害学校整体工作。

（五）工作原则

1.积极防御、综合防范。立足安全防护，加强预警，重点保护重要信息网络和关系社会稳定的重要信息系统；从预防、监控、应急处理、应急保障等环节，在管理、技术、宣传等方面，采取多种措施，充分发挥各方面的作用，构筑学校网络与信息安全保障体系。

2.明确责任、分级负责。按照“谁主管谁负责、谁运维谁负责、谁使用谁负责”的原则，加强网络安全管理，认真落实各项安全管理制度和措施。加强网络安全宣传和教育，进一步提高师生的信息安全意识。

3.落实措施、确保安全。对机房、网络设备、服务器等设施定期开展安全检查，对发现安全漏洞和隐患的进行及时整改；在国际互联网上已建立网站的单位，要实行网站巡察制度，密切关注互联网信息动态，按照快速反应机制，及时获取充分而准确的信息，跟踪研判，果断决策，迅速处置，最大程度地减少危害和影响。

二、组织机构及职责

（一）学校网络安全和信息化工作领导小组为网络与信息安全事件应急处理领导机构，现代教育技术中心负责具体处置工作。其职责包括：

1.负责网络与信息安全工作的组织、协调和监督，制定相关制度和应急预案；

2.根据网络与信息安全事件程度提出相应级别预案的启动，组织协调成员单位落实应急预案，共同做好处置工作；

3.负责及时收集、通报和上报网络与信息安全事件处置的有关情况；

4.对全校各单位贯彻执行预案以及在事件处置工作中履行职责情况进行检查督办。

（二）其它单位职责包括：

1.党委（校长）办公室：牵头组织重大敏感时期、重要活动、重要会议期间发生的信息安全事件的协调处置及涉密事件的处理；

2.党委宣传部：负责学校舆情监测和信息内容安全类事件的处置，对于涉及师生政治思想方面的预警性、倾向性、苗头性的问题，要加强分析研判，妥善有效应对。

3.校园安全与后勤管理处：密切联系公安部门，负责涉及人为破坏类事件的处置，配合重大安全事件的处置。

（三）各单位负责本单位网站和业务系统的信息安全事件的处置工作，应对照本预案，建立本单位应急处置机制。

三、监控预防

（一）按照“谁主管谁负责、谁运维谁负责、谁使用谁负责”的原则，各单位要做好网络与信息安全事件的隐患排查工作，制订和完善管理制度，做好日常管理和监控，避免和减少网络与信息安全事件的发生和危害。

（二）建立安全事件巡查制度。各单位应负责所主办网站内容的日常监控，现代教育技术中心及宣传部定期开展巡检工作，做好校园网络与信息安全的日常巡查及日志保存工作，以保证最先发现安全事件并及时处置突发性安全事件。

（三）最先发现或接到发生网络与信息安全事件的单位或个人，要第一时间向现代教育技术中心报告，报告内容包括事件的时间、地点、规模、涉及人员和损失情况，事件的危害影响程度和发展趋势等基本情况。

四、处置程序

（一）启动预案

发生网络与信息安全事件后，现代教育技术中心和涉事单位应第一时间采取断网等有效措施，将损害和影响降低到最小范围，保留现场，并报告本单位主要责任人和学校网络安全和信息化工作领导小组。

（二）事件定级

现代教育技术中心组织有关单位，尽最大可能收集事件相关信息，鉴别事件性质，确定事件来源，弄清事件范围，评估事件带来的影响和损害，确认事件的类别和等级。

（三）应急响应：根据事件等级采取相应的响应方式

1.I级：现代教育技术中心立即上报学校网络安全和信息化工作领导小组组长，由学校报告上级主管部门和当地公安部门，公安部门指挥协调有关单位和学校协同进行应急处置。

2.II至III级：现代教育技术中心应立即上报学校网络安全和信息化工作领导小组组长，由领导小组指挥、协调成员单位进行应急处置。涉及人为主观破坏事件时由学校校园安全与后勤管理处报告当地公安部门。

3.IV级：现代教育技术中心组织相关单位及时、自主进行应急处置，做好处置记录。

（四）应急处理方式：根据网络与信息安全事件分类采取不同应急处置方式。

1.网络攻击事件：判断攻击的来源与性质，关闭影响安全的网络设备和服务器设备，断开信息系统与攻击来源的网络物理连接，跟踪并锁定攻击来源的IP地址或其它网络用户信息，修复被破坏的信息，恢复信息系统。按照事件发生的性质采取以下方案：

（1）病毒传播：及时寻找并断开传播源，判断病毒的类型、性质、可能的危害范围；为避免产生更大的损失，必要时可关闭相应的端口，甚至相应楼层的网络，及时请有关技术人员协助进行杀毒处理。

（2）外部入侵：判断入侵的来源，区分外网与内网，评价入侵可能或已经造成的危害。对入侵未遂、未造成损害的，且评价威胁很小的外网入侵，定位入侵的IP地址，及时关闭入侵的端口，限制入侵的IP地址的访问。对于已经造成危害的，应立即采用断开网络连接的方法，避免造成更大损失和影响。

（3）内部入侵：查清入侵来源，如IP地址、所在办公室等信息，同时断开对应的交换机端口。对于无法制止的多点入侵和造成损害的，应及时关闭被入侵的服务器或相应设备。

2.设备故障事件：判断故障发生点和故障原因，迅速联系设备厂家或IT运维公司尽快抢修故障设备，优先保证校园网主干网络和主要应用系统的运转。

3.灾害性事件：根据实际情况，在保障人身安全的前提下，保障数据安全和设备安全。具体方法包括：硬盘的拔出与保存，设备的断电与拆卸、搬迁等。

4.信息内容安全事件：接到校内网站出现不良信息的报案后，应迅速屏蔽该网站的网络端口或拔掉网络连接线，阻止有害信息传播，查找信息发布人并做好善后处理。对公安机关要求我校协查的外网不良信息事件，根据校园网上网相关记录查找信息发布人。

5.其它不确定安全事件：可根据总的安全原则，结合具体情况，做出相应处理，不能处理的及时咨询国家信息安全机构。

（五）后续处理

1.安全事件最初应急处置完成后，应及时采取措施，抑制其影响范围进一步扩大，限制潜在的损失，同时要确保应急处置措施对涉及的相关业务影响最小。

2.安全事件被抑制后，通过对有关事件或行为的分析结果，找出问题根源，明确相应补救措施。

3.安全事件处置后，要及时清理系统，恢复数据、程序、服务，恢复工作应避免出现误操作导致的数据丢失。

（六）总结上报

1.系统恢复运行后，现代教育技术中心对事件造成的损失、事件处理流程等进行分析评估，总结经验教训，撰写事件处理报告，报学校网络安全和信息化工作领导小组。

2.发生I至III级事件，在报告学校的同时，应按照教育部办公厅《信息技术安全事件报告与处置流程（试行）》（教技厅函〔2014〕75号）报告上级主管部门，同时抄报河北省委网络安全和信息化领导小组办公室（省网信办）和河北省教育厅，属于重大事件或存在非法犯罪行为的，还须第一时间向公安机关报案。

五、附 则

（一）预案管理

本预案原则上每年评估一次，根据实际情况适时修订。修订工作由学校网络安全和信息化工作领导小组组织。

（二）预案实施及解释

本预案自发布之日起实施，具体解释工作由现代教育技术中心承担。