2017事故、事件、薄弱点与故障管理程序

变 更 记 录

1 适用

本程序适用于公司信息安全事故、事件、薄弱点、故障和风险处置的管理。

2 目的

为建立一个适当信息安全事故、事件、薄弱点、故障风险处置的报告、反应与处理机制，减少信息安全事故和故障所造成的损失，采取有效的纠正与预防措施，正确处置已经评价出的风险，特制定本程序。

3 职责

3.1各系统归口管理部门主管相关的安全风险的调查、处理及纠正措施管理。

各系统信息安全归口管理部门

4 程序

4.1 信息安全事故定义与分类

4.1.1信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接造成下列影响（后果）之一，均为信息安全事故：

a) 企业秘密、机密及国家秘密泄露或丢失；

b) 服务器停运4小时以上；

c) 造成信息资产损失的火灾、洪水、雷击等灾害；

d) 损失在十万元以上的故障/事件。

4.1.2信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因直接造成下列影响（后果）之一，属于重大信息安全事故：

a) 企业机密及国家秘密泄露；

b) 服务器停运8小时以上；

c) 造成机房设备毁灭的火灾、洪水、雷击等灾害；

d) 损失在一百万元以上的故障/事件。

4.2 故障与事故的报告渠道与处理

4.2.1故障、事故报告要求

故障、事故的发现者应按照以下要求履行报告任务：

a) 各个信息管理系统使用者（包括合同方和第三方人员），在使用过程中如果发现软硬件故障、事故，应该向该系统归口管理部门报告；如故障、事故会影响或已经影响线上生产，必须立即报告相关部门，采取必要措施，保证对生产的影响降至最低；

b) 发生火灾应立即触发火警并向安全监督部报告，启动消防应急预案；

c) 涉及企业秘密、机密及国家秘密泄露、丢失应向行政部报告；

d) 发生重大信息安全事故，事故受理部门应向信息安全管理者代表和有关公司领导报告。

4.2.2 故障、事故的响应

故障、事故处理部门接到报告以后，应立即进行迅速、有效和有序的响应，包括采取以下适当措施：

a) 报告者应保护好故障、事故的现场，并采取适当的应急措施，防止事态的进一步扩大；

b) 按照有关的故障、事故处理文件（程序、作业手册）排除故障，恢复系统或服务，必要时，启动业务持续性管理计划。

4.3  故障、事故调查处理与纠正措施

4.3.1故障处理部门应对故障原因进行分析，必要时，采取纠正措施，故障的原因及采取措施的结果予以记录。

4.3.2对于信息安全事故，在故障排除或采取必要措施后，相关信息安全管理职能部门会同事故责任部门，对事故的原因、类型、损失、责任进行鉴定，形成《事态事件脆弱性记录》，报信息安全管理者代表批准；对于重大信息安全事故的处理意见应上报信息安全管理委员会讨论通过。

4.3.3对于违反公司信息方针、程序及安全规章所造成的信息安全事故责任者依据公司有关规定予以惩戒，并在公司内予以通报。

4.3.4信息安全管理职能部门要求事故责任部门制定纠正措施并实施，实施结果记录在《事态事件脆弱性记录》。

4.3.5由信息安全管理职能部门对实施情况进行跟踪验证。

4.4 报告信息安全薄弱点与预防措施

4.4.1本公司与信息安全管理有关的所有员工对发现的信息安全薄弱点或潜在威胁均应履行报告义务。

4.4.2发现者应填写《事态事件脆弱性记录》，交本部门确认，后提交各个系统归口管理部门确定是否采取预防措施，确认责任部门并实施。预防措施的实施、验证执行《预防措施控制程序》。

4.5 信息安全事件定义与分类

4.5.1信息设备故障、线路故障、软件故障、恶意软件危害、人员故意破坏或工作失职等原因不一定造成不良影响（后果），但有出现失控的状态，均为信息安全事件：

a)服务、设备或设施的丢失；

b)系统故障或超载；

c)人为错误；

d)策略或指南的不符合；

e)物理安全安排的违规；

f)未加控制的系统变更；

g)软件或硬件故障；

h)非法访问。

4.5.2 所有现场工作人员都需要知道他们各自责任尽可能快地报告任何信息安全事态。报告程序应包括：

a)报告人立即填写《事态事件脆弱性记录》；

b)信息安全事态发生后应采取正确的行为，即：

1）立即记录下所有重要的细节（如，不符合或违规的类型，事件故障，屏幕上显示的消息，异常行为）；

2）不要采取任何个人行为，但要立即按照本程序向资产负责人报告；

c)由资产责任人按照《事态事件脆弱性记录》要求的流程确定事态的发生状态、内容确认、原因分析、和采取对策，由资产责任人负责对策的绩效验证；并由人事部门按照公司有关规定决定参考已制定的正式惩罚过程，来处现场工作人员的安全违规行为。

d)由于事态引发的《事态事件脆弱性记录》作为管理评审的输入，定期评审。

5 相关/支持性文件

✧《纠正预防措施控制程序》

✧《监视和测量管理程序》

✧《密级控制程序》

6 记录