首页‘斗牛娱乐平台一、编制目的：正确、有效和快速地处理收费系统瘫痪事件，最大程度地减少收费系统瘫痪对医院造成的不良影响和损失，保证医疗秩序的正常有序进行。

　　二、适用范围：本预案适用于因电力安全、网络安全得不到保障等各种原因引起的门急诊、住院收费系统瘫痪状态下，为了保证病人的就诊付费而开展的应急工作方案。

　　1．预防为主：坚持“安全第一、预防为主”的方针。门急诊、住院收费采用计算机联网收费，相关职能部门应对医院收费系统在电力安全、网络安全方面提供充分的保障，特别是网络安全（包括软件、程序、病毒等影响）建议信息部门能提供信息安全应急预案。2．统一指挥、分工负责：医院成立收费系统瘫痪应急领导小组，统一指挥收费系统瘫痪应急处置工作。各职能部门包括办公室、财务科、信息科、门诊部、后期保障部等按照统一协调、各负其责的原则开展应急工作。

　　四、事件分级：按照收费系统瘫痪的范围和严重程度分为Ⅰ级瘫痪应急事件和Ⅱ级瘫痪应急事件两个状态等级。

　　Ⅰ级瘫痪应急事件是指医院门急诊、住院收费系统全部瘫痪，并且在短时间内（1分钟）不能恢复。Ⅱ级瘫痪应急事件是指医院门急诊、住院收费系统部分瘫痪（50％以下的收费系统瘫痪），或者收费系统全部瘫痪但是在短时间内（15分钟）能够恢复。

　　2、事件报告：门急诊、住院收费处在事件发生的第一时间内将相关情况向总值班或财务科汇报，总值班或财务科负责人在第一时间与相关职能保障部门了解故障发生的原因以及可能修复的时间，如果被告知恢复工作不能在短时间（15分钟）内完成，则应向应急领导小组汇报，应急领导小组组长主持召开紧急会议，就发生的事件作出决策，并将有关情况向上级主管部门汇报。同时宣布启动预案。

　　信息科应积极采取措施保证系统的尽快恢复；『门诊部等相关职能部门人员应参与现场协调，将事件发生的原因及可能修复的时间与病人做好解释工作；保卫部门应参与现场的秩序维持；财务科除值班人员外应全部到达现场，配合收费处人员开展以下工作：

　　（1）门诊、急诊病人收取挂号费后给予空白病历和处方，先就诊。（2）病人付费时支付押金后收费员开具手工预缴款收据，注明押金并由病人签字，留下联系方式，收费员再在医技申请单或处方上签章，病人即可前去检查或配药，待系统恢复正常时通知对方前来付费取发票。

　　（3）住院收费处在病人入院时在入院登记本上登记，发住院号，开手工预缴款收据，待系统恢复时再将病人信息录入电脑，病人凭手工预缴款收据换取电脑预缴款收据；有病人出院时，先将欠款部分收回，出具手工预缴款收据，同时通知病区病人可以出院，待系统恢复时病人凭手工预缴款收据换取电脑正式住院收据。

　　4、应急结束：信息科宣布系统恢复运行正常后应急领导小组研究决定宣布解除Ⅰ级瘫痪应急事件状态。

　　5、Ⅱ级瘫痪应急响应：可以由应急领导小组授权由财务科、信息科等职能部门根据发生的具体情况采取相应的应对措施。

　　六、宣传、培训和学习：医院应组织相关科室加强对应急预案的宣传、培训和演习，从而提高应急处理水平和实战能力。

　　七、事故调查及改进措施：医院应根据事故发生的原因责成相关科室进行调査，提交调查报告，包括事故发处的原因、整改措施及预防建议等。

　　为科学应对网络与信息安全突发事件，提高信息中心机房处理突发信息网络事件的能力，建立健全信息安全应急机制，有效预防、及时控制和最大限度地消除信息安全各类突发事件的危害和影响，特制订信息中心机房故障应急预案。本预案坚持“统一领导、协调配合、明确责任、依法规范、条块结合、整合资源、防范为主、加强监控”的原则。适用于信息中心机房可能发生的网络与信息安全突发事件。

　　一、机房漏水防治应急预案⑴ 发生机房漏水后，第一目击者应立即通知网络与信息安全领导小组。⑵ 若空调系统出现渗漏水，应立即停止故障空调,将机房内的积水清除干净，并及时联系设备供应方进行处理，必要情况下可以临时用电扇对服务器进行降温。⑶ 若为墙体或窗户渗漏水，应立即通知行总务处，及时清除积水，进行墙体或窗户维修，避免不必要的损失。

　　二、设备发生被盗或人为损害事件应急预案⑴ 发生设备被盗或有人为损害设备情况时，使用者或管理者应立即报告网络与信息安全领导小组，同时保护好现场。⑵ 网络与信息安全领导小组接报后，通知安全保卫部门及公安部门，一同核实审定现场情况，清点被盗物资或盘查人为损害情况，做好必要的影像记录和文字记录。⑶ 事件当事人应当积极配合公安部门进行调查，并将有关情况向网络与信息安全领导小组汇报。⑷ 网络与信息安全领导小组召开会议研讨，事态严重时，应向市教育局网络与信息安全领导小组办公室报告，请示进一步处理的决策。

　　三、机房长时间停电应急预案接到长时间停电通知后，应及时通过局域网发布或电话通知停电通告，要求医院网用户在停电前停止办公、保存数据并正常关机。

　　四、不良信息和网络病毒事件应急预案⑴ 当发现不良信息或网络病毒时，网络管理员应立即断开网线，终止不良信息或网络病毒传播，并告知网络与信息安全小组。⑵ 接到报告后，网络与信息安全小组应立即通告局域网内所有计算机用户防病毒方法，隔离网络，指导各计算机操作人员进行杀毒处理，直至网络处于安全状态。⑶ 对不良信息要进一步追查来源，对未经相关领导同意，擅自发布信息，造成不良影响且触犯法律者，移交执法部门追究法律责任。

　　五、计算机软件系统故障应急预案⑴ 发生计算机软件系统故障后，计算机操作人员立即保存数据，并停止该计算机使用应用。⑵ 由部门负责人将情况报告网络与信息安全小组，不得擅自进行处理。⑶ 网络与信息安全领导小组迅速派出技术人员进行处理，必要情况下，应对硬盘进行备份。⑷ 在保持原始数据安全的情况下，对计算机系统进行修复；修复系统成功，则检查数据丢失情况，利用备份数据恢复；若修复失败，立即联系相关厂商请求支援。

　　六、机房设备硬件故障应急预案⑴ 发生机房设备硬件故障后，网络与信息安全领导小组应立即确定故障设备及故障原因，并进行先期处置。⑵ 若故障设备在短时间内无法修复，应启动备份设备，保持系统正常运行；将故障设备脱离网络，进行故障排除工作。⑶ 故障排除后，在网络空闲时期，替换备用设备；若故障仍然存在，立即联系相关厂商，并认真填写设备故障报告单备查。

　　八、装备保障应预留一定数量的信息网络硬件和软件设备，指定专人保管和维护。

　　随着本院信息化建设的逐步深入和完善，医院的管理和医疗活动对计算机网络的依赖程度越来越高，信息和网络安全故障将会给医院的医疗工作造成严重影响。为了保证医院各项工作的正常运行，最大限度地降低医院信息系统故障对医院工作和病人就医造成的影响，特制定以下医院信息系统故障应急预案。

　　根据信息系统故障发生的原因、程度、影响的业务范围、发生的时间和持续时间等综合因素判定故障的类别和启动相应预案的时机。

　　1．全院停电，属极端情况。故障判定：后勤保障部。启动条件：在诊疗高峰时段预计1小时内不能恢复的；已知要长时间停电的。

　　2．全院信息系统故障。故障判定：信息科。具体如下：医院软硬件系统故障；规律性的全系统工作不稳定等。启动条件：在诊疗高峰时段预计1小时内不能恢复的。

　　3．局部性网络故障。故障判定：信息科。指部分线路或楼层交换机突发故障，如重点业务部门光纤线路和交换机故障。启动条件：在诊疗高峰时段预计1小时内不能恢复的。

　　4．单点故障：指单一终端的软硬件故障；单一病人信息丢失；偶然性的数据处理错误；由于违反工作流程、操作不熟练或使用不当的错误。启动条件在诊疗高峰时段预计30分钟内不能恢复的。

　　二、故障应急预警和组织实施 坚持“先处置后处理”的原则。先让病人能够得到正常就医，在保证就医前提下再满足业务流程处理的需要。

　　1．网络故障的判定：由于各种原因导致整个、局部或终端系统不能运行，不能正常访问医院和医保中心数据，即被视为网络故障。各业务部门发现问题后要尽快向信息科和本部门领导汇报，由技术人员迅速排査原因。

　　2．信息科确定故障类别，一旦确定为全院性故障，立即上报医院主管领导并立即组织协调系统恢复工作；医院主管领导组织各职能科室，按医疗、物资、信息的管理分工，分别通知并组织转入手工或单机操作，做好应急准备工作。

　　3．若故障在预计的时间内不能排除时，由应急指挥协调小组决定，启动分类急条。确定专人担任总协调、总指揮，门修部立即在相 示，并分头到门验，急、佳院部等，负责解释和维持序关的窗口张贴

　　1．全院停电情况或全院性网络故障（由主管信息的副院长组织并协调）按照各业务部门服务对象的不同，直接为病人提供服务的部门为重点保障对象。如门急诊挂号、收费、各级药房、入院处置、住院结账，病区护土站、病区医生站、医技科室等，各部门转入手工或单机操作，其应急预案如下

　　（1）门急诊挂号收费：挂号收费窗口转入单机模式运行或手工操作，正常后及时录入挂号收费数据，自动上传明细数据；医保病人可根据具体情况采取暂时自费结算，或者押医保卡后先用药，系统正常后再刷卡结算。（注意事项手工挂号时需记录处方号与病人信息以备系统正常后录入，收费窗口在切换单机和网络时要注意核对收据号，防止收据号出错。

　　（2）各级药房：门诊药房凭手工处方发药，分类存放，以备系统恢复正常后发药减账时核对。住院药房根据病房护士站的手工领药单进行发药，并做好登记，待系统恢复正常后根据病区领药信息核对后进行电脑减账。

　　（3）入院处置：入院全部手工登记，住院号根据系统中止时的最大住院号往后顺延，正常后再补录住院信息。（注意事项：系统中止时最大住院号如未记录下来，则使用临时住院号区分，如LS000，做好相关记录，在系统恢复后按正常住院号对应后补录；另如有两人以上同时手工登记，要注意手工按排住院号时不能重复。）

　　（4）住院结账医保结账，可以核对好出院病人的详细地址和联系方式，做好解释工作后先离院，待系统恢复正常后再通知病人来院结账。自费结账，可以核对好出院病人的详细地址和联系方式，做好解释工作并补足欠款后先离院，待系统恢复正常后再通知病人来院结账。（注意事项：手工操作时发生的补记账或退账费用需另行记录，在系统正常后要补输入系统再补结账）。

　　（5）护士工作站：转入系统开展前的手工操作模式，做好各类医嘱相关收费记录及操作记录登记，以备系统恢复正常后再补录入电脑系统，手工填写治疗单、输液单和领药单等各种单据，并做好住院病人和预出院病人的解释工作。（6）住院医生站：手工书写医嘱单和各种医疗文书，系统恢复正常后补录。

　　（7）门诊医生工作站：在处方签和病历本上手工开立药品，检査、检验、治疗、输血、手术项目由手工开立申请单。

　　（8）分诊叫号：由分诊护士收集就诊病人的挂号券，当前病人就诊完毕后分诊护士按挂号顺序把病人逐个叫入诊室内，回单病人也由护土按排，依次插入待诊队列中。

　　（9）检验科、影像中心等医技科室的收费按病区、住院号和病人姓名记录费用后及时交到住院处。做好必要的记录以备系统恢复正常后再补录入电脑系统。

　　（10）手术室、麻醉科做好手工登记和费用记录，待系统恢复正常后再补录入系统。

　　（11）血库转为手工发血，记录好病人信息及对应血袋编号，在系统恢复正常后再补录入系统进行发血记账。（注意事项：手工登记信息要完整准确）

　　（13）仓库、总务、供应室等手工操作，详细记录出入库等各种单据信息，待系统恢复正常后补录。

　　（14）其它部门的应用系统，如各类查询系统、0A、成本核算系统等均暂停使用。

　　局部性网络故障（由信息科和相关科室主任组织协调）出现故障部门按全院停电情况的方式处理 3．医保故障：（由医务科、财务科和相关科室主任组织协调）①太仓医保采用电信的光纤接入，如出现故障，则医保病人结算按全院停电情况处理；②如果医保中心服务器故障，则医保病人按全院停电情况处理

　　1．业务部门：各部门恢复计算机操作。每个部门指派合适的工作人员，尽快补办或完成在手工应急操作时产生的各种信息。医保病人通知本人来院重新进行结算。

　　2．对故障排除过程必须详细记录。内容包括故障发生时间、性质、类别、程度、维修情况、组织情况、负责人、主要维修人员、效果、系统恢复时间等，对故障发生过程中的信息进行跟踪核对；分析故障发生的原因，总结经验教训，制定整改措施

　　网络服务器故障是指因硬件或软件原因致使医院信息管理系统运行停止。一旦故障发生，按下列规程处理信息科应设24小时专人值班，监控网络运行。一且发现问题，在及时处理的同时迅速向科长汇报。故障排除后，应及时记录，并在科室会议上汇报。2．遇到较大故障，应迅速按以下几方面进行工作：（1）故障检修：系统管理员査找故障原因，修复系统

　　（3）院内协调：通报全院各科室故障情况，并到关键科室协助工作 3．在停机期间，相关科室应组织抢录小组在岗待命，一旦系统恢复，当日立完成对重要数据的录入，第二天完成全部数据补录生．故障排除后，信息处应协助重要科室进行数据恢复处理。

　　5．故障排除后2天内，信息科应组织技术研讨会，分析故障原因，制定预防措施，完成故障分析报告并存档。

　　网管负责技术故障排除，检验科网络管理员负责简单故障排除和各部门联络，主任负责各部门协调。2.2应急程序

　　我院的医院信息化系统是以HIS、LIS为核心，支撑整个医院信息系统运行的综合信息化系统。根据故障对LIS 波及程度，可分为以下二级: 一类: 各种原因导致的全院或检验科网络瘫痪;二类: 网络故障仅影响到一些非LIS 的相关系统。

　　在LIS 发生故障时，工作人员立即联系网管和检验科主任。2.3一类故障:(1)当全局性和局部性故障非常严重、计算机工作站也遭受破坏时，可恢复传统实验室状态和原始的检验科报告方式，出具临时报告单。

　　(2)门诊显示屏进行电子公告和张贴告示，对病人进行解释和疏导的同时，各检验操作立即转入手工。

　　(3)正常班期间，如预计在15 min 内能排除故障，则由检测人员负责;如果预计将超过30 分钟，须报告科室主任、网管。

　　(4)预计网络中断时间小于12 h: 对于急诊和有危急值的病人及时出具临时报告单，并电话通知相关医生;病房和门诊平诊，且无危急值的病人，与相关人员协商延后12 h 后再出具检验报告单。

　　(5)预计网络中断时间大于12 h:所有病人临检报告均出具临时报告单。(6)一旦LIS 瘫痪发生后，由当班人员在“空白简易报告单”上手工填写各检测值。所有临时报告单均由各专业主管负责审核数据的完整性和正确性，并签字审核，待网络恢复后补充收费及补发正式报告单。

　　(7)如病人需要既往结果，应对其进行合理解释，劝说其在LIS 恢复后，再查询检验报告单。2.4二类故障。

　　(1)住院部门信息故障: 医生工作站无法进行电子检验医嘱的申请;护士工作站无法将电子医嘱生成检验条码;检验科不能进行计费申请等。对策: 医生手写检验申请单;护士在样本上贴检验申请单二联编号，手工在申请单上标注采样时间等关键信息，并电话通知检验科后，送检验科检查;故障解决后，检验科进行计费申请。

　　(2)门诊部门信息故障: 收费处无法收取病人检查费用;门诊抽血处不能生成检验条码;门诊医生不能开具电子申请单等。

　　对策: 由门诊收费处对门急诊患者进行手工计费;检验科抽血处贴申请单二联编号，并手工在申请单上标注采样时间等关键信息，再送检。2.5网络故障排除后的恢复工作。

　　检验科各部门应保障信息质量，网络恢复后，每个部门都应该指定一名工作人员，补录收费和在手工操作时产生的各种信息。信息指挥协调组召开会议，分析故障发生原因，写出书面报告归档，总结经验教训，制定整改措施，防范同类故障的再次发生。

　　制定严格的工作范围和职责是LIS 应急故障发生时的有利保障。信息指挥协调组定期听取LIS 安全工作汇报，查找安全隐患，要求各点主管为安全目标责任人，分工到人。做到各岗位在发生LIS 相关故障时，第一时间有人管，有人协调做到忙而不乱，保证数据不丢失，医疗工作不间断。

　　1.1为保护医院计算机网络系统安全，促进医院计算机应用和发展，保障HIS系统顺利运行，特制定本应急预案。

　　1.2 本应急预案所称计算机网络系统，是指在医院信息系统中，由计算机及其配套的设备、设施构成，按照HIS系统应用目标和规则对数据信息进行采集、加工、存储、传输、检索等处理的人机系统。1.3 计算机网络系统的安全保护，是保障计算机及配套的设备、设施的安全，运行环境的安全，保障信息的安全，保障医院信息管理系统功能的正常发挥，以维护计算机网络系统的安全运行，重点是维护网络系统中数据信息和网络上一切设备的安全。

　　1.4 医院内网运行的计算机的安全保护适用本应急预案。1.5 任何单位或者个人不得利用上网计算机从事危害医院利益的活动，不得危害计算机网络系统的安全。

　　1.6 计算机网络系统的建设和应用，应遵守上级主管机关办法的行政法规，用户手册和其他有关规定。

　　1.7 计算机网络系统实行安全等级保护和用户使用权限划分，安全等级和用户使用权限以及用户口令密码的划分和设置由信息中心负责制定和实施。

　　1.8 在计算机网络系统设施附近进行营房维修、改造及其他活动，不得危害计算机网络系统的安全。如无法避免而影响计算机网络系统设施安全的作业，须事先通知信息中心，经中心负责人同意并采取保护措施后，方可实施作业。

　　1.9 计算机网络系统的使用单位和个人都必须遵守计算机安全使用规则，以及有关的操作规程和规章制度。

　　1.11 对计算机病毒和危害网络系统安全的其他有害数据信息的防治工作，由信息中心负责处理。

　　1.12 对计算机网络系统软件、设备、设施的安装、调试、故障排除等各项操作由计算机工程技术人员负责。其他任何单位或个人不得自行拆卸、安装任何软、硬件设施。

　　二、应急事件处理领导小组 组长：主管院长 副组长：信息科长 组员：信息中心网络管理员

　　信息安全事件分级的参考要素包括网络瘫痪面、对医疗工作影响、损失程度综合考虑。

　　信息安全突发事件级别分为四级：一般(Ⅳ级)、较大(Ⅲ级)、重大(II级)和特别重大(I级)。

　　IV级：个别工作站点不能正常工作、打印机故障、刷卡机故障、网线接头松动影响科室正常工作。

　　Ⅲ级：楼层交换机、科室交换机故障，导致局部网络瘫痪。II级：基础网络、光纤收发器、主交换机瘫痪、综合布线主干断裂。

　　I级：服务器崩溃、磁盘阵列破坏、网络系统软件丢失、备用服务器系统无法启动。

　　2 发生IV级、III级网络信息安全事件后，信息中心应立即组织人员实地检测并维修；发生I、II级的信息安全突发事件后，上报医院信息化领导小组和医院信息安全应急领导小组，启动相应预案，并由医院信息安全应急领导小组负责应急处理工作。

　　3.3.1 信息中心接到科室信息安全应急报告后，根据事件级别采取相应措施，重大突发事件立即报告医院信息安全应急领导小组，并组织恢复工作。

　　3.3.2 当发生网络整体故障时，应急服务器无法启用的情况下，各部门根据故障恢复时间的程度将转入手工操作，具体时限明确如下：

　　（1）15分钟内不能恢复：门急诊挂号收费、门急诊药房、门诊急诊医生等部门转入手工操作。

　　（2）3小时内不能恢复：住院医生工作站、住院护士工作站、住院药房、门急诊、手术室、医技检查转入手工操作。

　　（3）12小时以上不能恢复：全院各种业务转入手工操作。3.3.3 所有手工操作的统一启动时间须由医院信息安全应急办公室通知，相关部门严格按照通知时间协调各项工作，在未接到新的指示前不准私自操作计算机。

　　（4）当系统恢复正常时，由收费员负责对网络运行稳定性进行监测，如不稳定，及时向医院信息中心反馈情况。

　　3（5）在接到使用计算机的指令并重新启动运行后，收费员立即转入到机器操作，并在空闲时补录相关信息。

　　（2）原则上不在住院处进行费用补录，以防止出现帐目混乱。（3）当系统停止运行时间超过12小时，推迟普通出院患者结算时间。对急需出院的患者应根据病历和临床护士工作站记录，进行手工核算，出具手写发票。

　　（4）如出院患者急需在网络停止运行期间结算，应由该科护士工作站追查是否还有正在进行的检查项目，并向住院收费处提供详细费用情况，方可送交结算。

　　（1）由医务科、护理部负责人负责组织协调。（2）医生接到信息中心通知后立即转入手工操作。

　　（3）病区医生手工开具医嘱，书写借方，一式两份，一份用于科室补录医嘱，另一份送药房作为取药凭证。

　　（4）护士根据医嘱核对借方，并严格按医嘱进行治疗。（5）有紧急出院病人，立即通知住院收费处，由住院收费处进行手工结算工作。

　　（6）接到医院信息安全应急办恢复运行时间的通知后，由科主任、护士长组织协调，完成补录医嘱和费用核对工作。

　　（2）在网络停运期间手工登记病人检查申请单信息。（3）对即将出院或有出院倾向的患者，主治医师要在检查申请单上注明，检查科室应及时通知临床科室和住院收费处沟通费用情况。

　　（2）网络故障时，根据临床科室提供的药品请领单发药（借药）。（3）网络恢复时对临床科室补录的摆药医嘱进行发药并确认，同时与发药时药品请领单内容认真核对，如发现内容不符，须详细追查。

　　3.3.9 各工作站接到重新运行通知时，需重新启动计算机。医院信息中心严格按照服务器数据管理要求进行整体网络故障工程恢复工作。

　　3.4 医院信息系统应急数据恢复工作规定 3.4.1 由医院信息中心进行系统恢复。

　　3.4.2 当网络线路不通时，医院信息管理员应立即进行现场维护。如交换机出现故障，应立即使用备用交换机。

　　3.5 医院信息系统网络服务器故障应急处理规程 3.5.1 由医院信息中心及时处理并做好故障排除记录。3.5.2 各系统使用科室制定相应的系统故障数据保护措施，并建立数据抢录小组。

　　3.5.3 停机期间，相关科室应组织数据抢录小组在岗待命，一旦系统恢复，要立即于当日完成重要数据补录，次日完成全部数据补录。

　　3.5.4 故障排除后5天内，信息中心要分析故障原因，制定预防措施，报告信息化工作领导小组。

　　3.6.1 软件系统故障：操作系统软件故障的情况，重新启动计算机，再运行程序，如还是无法解决，联系信息中心；工作软件故障 5 的情况，关闭工作软件，再重新打开工作软件，自动重新下载程序，如还是无法解决，联系信息中心。

　　3.6.2 硬件系统故障：经医院信息中心检测不能马上修复的，应立即起用备用设备。

　　3.6.3 打印机系统故障：如打印机在工作中出现异常（如打印头温度过高、打印头发出异响），操作员应立即关闭打印机电源并与医院信息中心联系，如经检测不能修复，采用备用打印机替换。操作员不得带电拆解打印机与计算机外部器件。

　　3.6.4 网络：网线、交换机、光纤模块、UPS电源故障，由医院信息中心进行检修，如不能立即修复，更换备用设备，保证网络正常运行。

　　（1）UPS电源故障：服务器暂时接入市电启动服务器运行。（2）服务器故障：单机故障，及时排除修复；双机故障，启动远程应急备用机；完全瘫痪，转入手工作业。

　　（3）软件系统故障：在采取相应方法尽快解决未果的情况下，应立即起用报告制度与手工操作方式。

　　（4）硬件系统故障：不能马上修复时应立即起用备用服务器替代主服务器工作。

　　（5）数据安全与病毒防范：医院信息中心应每个工作日检查服务器的数据备份与实时数据（日结）的运行状况，检查运行日志，如出现异常应立即停止工作站操作查找原因，并对实时数据采取备份保留。信息中心应定时升级服务器病毒数据库，定时手工查杀病毒并打开服务器实时病毒监控系统。如工作站受到病毒感染，操作员应立即关闭计算机，等待医院信息中心通知开机。

　　3.6.6 信息中心加强医院网络系统监管，充分发挥医院监控网络软件的作用，凡不按规定操作计算机，违规使用外来数据盘、安装 6 非法系统、浏览、操作非工作需要站点、网页，一律收回授权和采取隔离措施。

　　认真回顾并整理发生事件的各种相关信息，尽可能地把所有情况记录到文档中。发生重大信息安全事件处理完毕后5个工作日内将处理结果报医院信息领导小组。

　　根据信息安全事件的处置进展情况和现场应急处理工作组意见，及时进行综合评估。应急行动是否结束，由医院信息安全应急领导小组决定。

　　为全面加强公司信息系统安全管理，应对信息安全突发事件的发生，提高对安全事件的应急处置能力，保证网络与信息安全协调工作迅速、高效、有序地进行，满足突发情况下信息系统安全稳定、持续运行，根据总公司有关规定，制定本预案。

　　（一）明确责任：按照“谁主管谁负责，谁运行谁负责”的要求，建立并落实统计信息系统责任制和应急机制。

　　（二）积极预防、及时预警：各部门应及早发现安全事件，及时进行预警和信息通报；积极做好应急处理准备，提高对安全事件的预防和应急处理能力。

　　（三）协作配合、确保恢复：部门间要协同配合，确保在最短的时间内完成系统的恢复。

　　1．任何部门和人员发现本单位电力系统出现异常情况时，都应及时向公司办公室报告。

　　2．公司办公室是电力系统故障应急处理的第一责任单位。公司办公室应立即启动电力系统故障应急处理流程，尽快查清故障原因，提出解决办法，确定故障排除可能需要的时间并通知网络机房管理部门。

　　网络运行负责人应根据停电时间和UPS电池的供电能力，在保证重点网络关键设备用电的前提下，提出机房设备部分关机或全部关机方案，经认可后按照规定的流程操作实施。

　　电力系统恢复供电后，公司办公室应在第一时间通知技术部门，以便以最快的速度恢复关闭的网络应用。系统管理人员在接到通知后，按照规定的流程开启关闭相关设备。

　　当出现火情、火灾时，发现人员应在最短时间内报告公司办公室及机房管理部门。若火情严重时，应迅速拨打119电话报警，并尽可能采取一些简单可行的方法作初步处理，如：使用周围的灭火器、水源（在允许用水灭火的场合）或采用其他灭火措施、手段。进展情况随时向有关领导报告。

　　计算中心机房出现火情并且无法进行局部处理时，机房管理人员在紧急报告有关领导的同时，应立即疏散物理场地楼层以内的工作人员。

　　网络设备、网络应用系统故障应由发现人通知机房管理人员，技术部门立即检查故障，进行初步故障定位。如果网络、应用系统出现比较严重的问题，对网络业务的正常运行造成较大的影响，需立即向有关领导报告。2．故障判断与排除

　　对简单故障，运维人员应迅速排除故障，解决问题并记录。如果需要更换设备，应上报有关领导,经批准后马上更换故障设备，尽快恢复网络、应用系统运行。运维人员判断无法及时修理时，应立即通知相关的系统运行服务提供商，在最短的时间内安排修理或更换系统。

　　如发现属外部线路的问题，应与线路服务提供商联系，敦促对方尽快恢复故障线．启用备份线路、设备、系统（如果存在的话），迅速恢复相关的应用。

　　发现公司服务网站等对外不能正常打开或网站内容被恶意篡改时，任何公司人员都有义务向技术部门报告。由技术部们组织应急响应并进行故障排查。2．处理和恢复使用

　　先查看网络连接情况，若不是网络故障，再排查软、硬件故障。待故障处理完成并经过测试后，恢复系统的正常运行和内容的正常应用。

　　发现网络上有黑客攻击行为，任何人员都有义务向技术部门报告。技术部门立即启动应急响应，切断受攻击计算机与网络的连接，停止一切操作、保护现场，并上报有关领导。2．处理和恢复使用

　　对于黑客攻击，由技术部门与机房管理人员协同查找入侵踪迹，分析入侵方式和原因，分析入侵事件并内部网计算机进行整改，防止黑客用同样的手段再次入侵其他系统。检查确定无安全隐患后，才可将受攻击计算机重新连接网络，或启用备份计算机来恢复应用。3．应急响应

　　机房管理人员应做好记录，保护现场，进行日志收集等工作。如果能追查到攻击者的相关信息，可以对其发出警告，必要时可以采取进一步的行动，乃至采取法律手段。根据破坏程度，经有关领导同意后，上报公安部门。若系统已被黑客破坏，无法恢复，应将受黑客攻击的服务器上的重要数据备份到其他存储介质，并做好数据异地备份工作，确保服务器内重要的数据不丢失。

　　发现网络上有大规模病毒攻击的行为，任何人员都有义务向技术部门报告。由机房管理员组织应急响应，切断受攻击计算机与网络的连接，停止一切操作、保护现场，立即上报有关领导。2．已知病毒的处理和恢复

　　使用最新版本杀毒软件对染毒计算机进行全面杀毒，并对染毒计算机系统进行漏洞修补。机房管理员确定没有病毒和安全漏洞后，再连接网络恢复使用。3．未知病毒的处理和恢复

　　观察网管软件根据监视窗口的链路状态，由此判断感染病毒或恶意程序的客户端、服务器所属的楼层交换机。打开该交换机的端口流量分析窗口，根据流量判断感染病毒或恶意程序的客户端所科交换机端口。关闭该交换机端口，隔离该工作站、服务器，阻断与局域网的连接。根据端口状态功能，查看该感染病毒或恶意程序的工作站的IP地址。根据IP地址信息找到该工作站的具体位置，对该工作站进行病毒或恶意程序清除工作。根据对于未知病毒，应首先尝试手工杀毒处理，若系统已被病毒破坏，无法恢复，应将感染病毒的计算机上的硬盘加挂到其他机器上处理，将重要数据备份到其他存储介质，尽最大努力保护、保留感染计算机内重要的数据，同时防止病毒感染其他计算机。

　　第一条 为提高应对信息系统在运行过程中出现的各种突发事件的应急处臵能力，有效预防和最大程度地降低信息系统各类突发事件的危害和影响，保障信息系统安全、稳定运行，根据国家《信息安全事件分类分级指南》、《信息技术、安全技术、信息安全事件管理指南》、《国家突发公共事件总体应急预案》及有关法律、法规的规定，结合实际，制定本处理预案。

　　第二条 本处理预案所称的信息系统，由计算机设备、网络设施、计算机软件、社会保险数据等组成。

　　第三条 信息系统突发事件分为网络攻击事件、信息破坏事件、信息内容安全事件、网络故障事件、软件系统故障事件、灾难性事情、其他事件等八类事件。

　　（一）网络攻击事件：通过网络或其他技术手段，利用信息系统的配臵缺陷、协议缺陷、程序缺陷或使用暴力攻击对信息系统实施攻击，并造成信息系统异常或对信息系统当前运行造成潜在危害的事件。

　　（二）信息破坏事件：通过网络或其他技术手段，造成信息系统中的数据被篡改、假冒、泄漏等而导致的事件。

　　（三）信息内容安全事件：利用信息网络发布、传播危害国家安全、社会稳定和公共利益的不良信息内容的事件。

　　（四）网络故障事件：因电信、网络设备等原因造成大部分网络线路中断，用户无法登录信息系统的事件。

　　（六）软件故障事件：因系统软件或应用软件故障而导致的信息系统无法运行的事件。

　　（八）其他突发事件：不能归为以上七个基本分类，并可能造成信息系统异常或对信息系统当前运行造成潜在危害的事件。

　　第四条 按照造成信息系统的中断运行时间，将信息系统突发事件级别划分为一般（IV级）、较大（III级）、重大（II级）、特别重大（I级）。

　　（二）较大（III级）：信息系统发生可能中断运行２小时以上、12小时以内的故障；

　　（三）重大（II级）：信息系统发生可能中断运行12小时以上、24小时以内的故障；

　　2 第五条 预防和处理信息系统突发事件工作协调小组（以下简称“应急小组”）负责信息系统应急处理工作，决定信息系统应急处理工作的重大事项，组织实施、业务协调和发布信息系统应急指令，发布信息系统应急故障级别、决策处理方案。应急小组组长由分管信息技术工作的领导担任，成员为信息技术科全体人员。

　　第七条应急小组针对各种可能发生的信息系统突发事件，建立和完善预测预警机制。

　　第八条 预警信息分为外部预警信息和内部预警信息两类。外部预警信息指信息系统外突发的可能需要通信保障、安全防范，或可能对信息系统产生重大影响的事件警报。内部预警信息指信息系统网内的事故征兆或局部信息系统突发事故可能对其他或整个网络造成重大影响的事件警报。

　　（三）服务器性能、数据库性能、应用系统性能等运行状态，以及备份存贮系统状态等；

　　第十条 应急小组获得外部重大预警信息或通过监测获得内部预警信息后，应对预警信息加以分析，按照早发现、早报告、早处臵的原则，对可能演变为严重事件的情况，部署相应的应对措施，通知相关部门做好预防和保障应急工作的各项准备工作，并及时报告所领导。

　　第十一条 信息系统使用单位或人员发现信息系统突发事件后，应及时报告应急小组。应急小组及时组织相关人员查找故障原因，在短时间内（一般要在半小时以内）依据故障情形和修复时间进行初步判别，确定故障分类级别，较大（III级）及其以上的突发事件应报告所领导。

　　第十二条 信息系统突发事件发生后，根据突发事件严重程度，由所领导决定并指定特定小组或人员及时向新闻媒体发布相关信息，所指定的小组或人员应严格按照所领导规定及要求对外发布信息，其他部门或个人不得擅自接受新闻媒体采访或对外发布自己的看法和意见。

　　第十三条 发生较大（III级）及其以上信息系统突发事件时，应急小组除向所领导报告外，应立即通知各业务部室。各业务部室应在各业务大厅张贴告示牌，同时做好服务对象的解释和疏导工作，并尽可能通过电话、网络、短信等方式通知参保单位经办人员。

　　1.当发现网络被非法入侵、网页内容被篡改，应用服务器的数据被非法拷贝、修改、删除，或有黑客正在进行攻击等现象时，使用者或管理者应断开网络，并立即报告应急小组。

　　2.应急小组立即关闭相关服务器，封锁或删除被攻破的登陆帐号，阻断可疑用户进入网络的通道，并及时清理系统、恢复数据和程序，尽快将系统和网络恢复正常。

　　1.当发现信息被篡改、假冒、泄漏等事件时，信息系统使用单位或个人应立即通知应急小组。

　　2.如被篡改或被假冒的数据正在征缴或发放过程中，应急小组应立即通知代收代发机构中止征缴或发放工作。

　　3.应急小组通过跟踪应用程序、查看数据库安全审计记录和业务系统安全审计记录查找信息被破坏的原因和相关责任人。

　　1.当发现不良信息或网络病毒时，系统使用人员立即断开网线，终止不良信息或网络病毒传播，并报告应急小组。

　　2.应急小组根据情况通告局域网内所有计算机用户，隔离网络，指导各计算机操作人员进行杀毒处理、清除不良信息，直至网络处于安全状态。

　　1.发生网络故障事件后，系统使用人员应及时报告应急小组。 2.应急小组及时查清网络故障位臵和原因，并予以解决。3.不能确定故障的解决时间或解决故障的期限并属较大（III级）及其以上的，应急小组应报告所领导。

　　3.如启用备份设备，在服务器故障排除后，应急小组在确保不影响正常业务工作的前提下，利用网络空闲时期替换备用设备。如不启用备份设备，应急小组应积极配合相关厂商解决服务器故障事件。

　　1.发生计算机软件系统故障后，系统使用人员应立即保存数据，停止该计算机的业务操作，并将情况报告应急小组，不得擅自进行处理。

　　2.应急小组应立刻派出技术人员进行处理，必要情况下，通知各业务部室停止业务操作和对系统数据进行备份。

　　3.应急小组组织有关人员在保持原始数据安全的情况下，对计算机系统进行修复；修复系统成功后，利用备份数据恢复丢失的数据。

　　1.一旦发生灾害性事件，应急小组每一位成员都应有责任在第一时间进入机房抢救服务器及存储设备。

　　2.应急小组对服务器及存储设备的损坏程序进行评估。如服务器损坏或存储设备损坏无法使用，立即联系相关厂商，进入维保服务程序。

　　3.根据服务器或存储设备修复和恢复系统所需时间，由所领导小组决定是否启用备份设备。

　　（八）其他突发事件应急预案：应急小组立刻派出技术人员进入现场，制定相应措施，根据实际情况灵活处理，并按要求报告所领导小组。

　　第十五条 故障排除后，应急小组向各部室发出故障解除、系统恢复正常运行通知。

　　第十六条 系统恢复运行后，相关操作人员尽快通知参保单位和个人办理社会保险业务事项，并对故障发生前所进行过的业务操作进行检查，核对业务数据是否正确或有无丢失，不正确或有丢失的应马上更正或补录，确保数据的正确和完整。对在故障期间采用手工受理的事项，应及时在系统中补充完善。

　　第十七条 所领导组织有关人员及有关技术专家组成事件调查组，对事件发生原因、性质、影响、后果、责任及应急处臵能力、恢复重建等问题进行全面调查评估，总结经验教训，完善信息系统

　　第十八条 所领导对在信息系统应急事件处臵中做出突出贡献的集体和个人，提出表彰奖励建议；对玩忽职守，造成不良影响或严重后果的，按有关规定提出处理意见，并依法依规提出处理意见建议，并追究其责任。

　　第十九条 信息技术科应做好系统数据的备份工作，保证重要数据在受到破坏后可紧急恢复。预留一定数量的网络硬件设备和服务器，用于预防或应对信息系统突发事件。

　　第二十条 选择熟悉信息系统软硬件的专业公司作为信息系统应急处理的社会应急支援单位，提供技术支持和服务。信息系统服务器以及存储设备要与专业厂商签定维保协议，明确备用设备的供应时间。

　　第二十一条 强化信息安全宣传教育，提高信息安全防御意识。每年至少组织开展一次全局范围内的信息网络安全教育，提高全局职工信息安全防范意识和能力。

　　为提高处理医院信息网络系统安全突发事件的应对能力，及时应对网络突发故障，维护正常的门诊、住院工作流程和医疗程序，保障患者正常就医，特制定医院信息系统应急预案。

　　当网络系统终端发现计算机访问数据库速度缓慢、不能进入相应程序、不能保存数据、不能访问网络、应用程序非连续性工作时，要立即向信息科汇报，信息科人员对科室提出的上述问题必须重视，并核实后给予科室反馈信息。信息科长应召集有关人员及时进行讨论，如果故障原因明确，可以立刻恢复工作的，应立即恢复工作，如故障原因不明确、情况严重不能在短期内排除的，应立即报告分管院长。在网络不能运转的情况下，由职能科室协调全院工作以保证医疗工作的正常运行。

　　一类故障：服务器不能工作；光纤线路损坏；主服务器数据丢失；备份盘损坏；服务器工作不稳定；局部网络不通；重点终端故障；规律性的整体、局部软硬件故障。

　　三类故障：单一终端软、硬件故障；偶然性的数据处理错误；某些科室违反工作流程要求。四类故障：各终端由于不熟练或使用不当造成的错误。

　　1、当信息科一旦确定为网络整体故障，首先是立刻报告医务科和主管院长。信息科马上组织恢复工作，并充分考虑到特殊情况如节假日、患者量大、人员外出及医院的重大活动对故障恢复带来的时间影响。

　　2、当发现网络整体故障时，根据故障恢复时间的程度将转入手工工作的时限明确如下：

　　（2）6小时内不能恢复—原则上将护士工作站、医技科室记价转入手工操作（具体实行时间及步骤由医务科、护理部通知）。

　　1、所有手工工作的统一时间需由医务科、财务科、信息科通知，相关科室严格按照通知时间协调工作，在未接到新的指示前不准私自操作计算机。

　　（1）门诊挂号协调工作由门诊部主任负责协调请示，导诊护士负责维持患者就诊秩序。

　　（2）导诊护士通知各门诊科室开始接收手工挂号券，并各自保存好以备统计使用。

　　（1）由财务科长负责总体协调，并与中心机房保持联系，及时反馈沟通最新信息。

　　（3）门诊收费负责人应建立手工发票使用登记本，对发票使用情况做详细登记。

　　（4）当系统恢复正常时，由收费处负责人对网络运行稳定性进行监测，如不稳定及时向信息科反映情况。

　　（5）在接到使用计算机的指令并重新启动运行后，门诊收费负责人应组织收费员逐步转入到机器操作。

　　（3）住院收费处，如当日有病人需出院，告知病人原因并留下病人电话，等系统恢复后通知病人来院进行结算。

　　（3）科室详细填写每个患者的药品请领单（包括姓名、ID号、费别、药品名称及用量），一式两份，一份用于科室补录医嘱，另一份送至药房，住院科室用药，查阅处方后到住院西药房采取借药方式进行；

　　（4）出院带药由经管医生负责掌握经费情况，如出现费用超支情况由该医生负责。

　　（6）如患者急需出院，应向住院处提供详细费用情况，对正在进行的检查和治疗应予以说明。

　　（3）对出院快、或有出院倾向的患者各科在申请单上注明，检查科室应及时通知科室或住院处沟通费用情况。

　　（1）门诊西药房与中药房采取手工发药，并应备用药品价格表（如价格有调整药剂科应及时通知各药房更改）

　　各信息点接到重新运行通知时，需重新启动计算机，整体网络故障的工程恢复工作，由信息科按照服务器数据管理要求进行恢复工作。

　　（一）制定目的为科学应对网络与信息安全(以下简称信息安全)突发事件，建立健全信息安全应急响应机制，有效预防、及时控制和最大限度地消除信息安全各类突发事件的危害和影响，制订本应急预案。

　　1.统一领导，协同配合。支队信息安全突发事件应急工作由安全管理小组负责人统一领导和协调，相关部门按照“统一领导、综合协调、分级管理、各司其职”的原则协同配合，具体实施。

　　2.明确责任，依法规范。各单位各部门按照“属地管理、分级响应、及时发现、及时报告、及时救治、及时控制”的要求，依法对信息安全突发事件进行防范、监测、预警、报告、响应、协调和控制。按照“谁主管、谁负责，谁使用、谁负责”的原则，实行责任分工制和责任追究制。

　　3.条块结合，整合资源。充分利用现有信息安全应急支援服务设施，整合信息安全工作力量。充分依靠各有关部门在地方的信息安全工作力量，进一步完善应急响应服务体系，形成局域信息安全保障工作合力。

　　4.防范为主，加强监控。宣传普及信息安全防范知识，牢固树立“预防为主、常抓不懈”的意识，经常性地做好应对信息安全突发事件的思想准备、预案准备、机制准备和工作准备，提高公共防范意识以及基础网络和重要信息系统的信息安全综合保障水平。加强对信息安全隐患的日常监测，发现和防范重大信息安全突发性事件，及时采取有效的可控措施，迅速控制事件影响范围，力争将损失降到最低程度。

　　在信息安全突发事件发生后，应及时将有关情况向上级主管部门报告。在进一步综合情况，研究分析可能造成损害程度的基础上，提出初步行动对策，视情况召集协调会，并根据所研究出的决策实施行动方案，发布指示和命令。

　　积极推行信息安全等级保护，逐步实行信息安全风险评估。各基础信息网络和重要信息系统建设要充分考虑抗毁性与灾难恢复，制定完善信息安全应急处理预案。针对基础信息网络的突发性、大规模安全事件，各相关部门建立制度化、程序化的处理流程。

　　（一）按照国家有关规定保护现场、相应的日志文件及可以保护的重要数据，通知有关单位并及时初步上报有关部门所发生的情况。

　　（二）联系上级单位应急小组，协调是否采取网络隔离措施，同时获得必要的技术支持。

　　建立预警与应急处理的技术平台，进一步提高安全事件的发现和分析能力：从技术上逐步实现发现、预警、处置、通报等多个环节和不同的网络、系统、部门之间应急处理的联动机制。

　　加强信息安全人才培养，强化信息安全宣传教育，建设一支高素质、高技术的信息安全核心人才和管理队伍。

　　安排信息化建设专项资金用于预防或应对信息安全突发事件，提供必要的经费保障，强化信息安全应急处理工作的物资保障条件。

　　组织有关专家和科研力量，开展应急运作机制、应急处理技术、预警和控制等研究，组织参加相关培训，推广和普及新的应急技术。

　　为全面加强信息系统安全管理，应对信息安全突发事件的发生，提高对安全事件的应急处置能力，保证网络与信息安全指挥协调工作迅速、高效、有序地进行，满足突发情况下信息系统安全稳定、持续运行，根据国家和省有关规定，制定本预案。

　　信息系统安全应急工作，由信息安全工作领导小组统一领导。负责信息安全日常事务处理、应急处理及安全通报等事务。

　　（一）明确责任、分级负责：按照“谁主管谁负责，谁运行谁负责”的要求，逐级建立并落实统计信息系统责任制和应急机制。

　　（二）加强领导、分工合作：各单位应按照规定的职责和流程，实施统计信息系统的应急处理工作。

　　（三）积极预防、及时预警：各单位应及早发现安全事件，及时进行预警和信息通报；积极做好应急处理准备，提高对安全事件的预防和应急处理能力。

　　（四）协作配合、确保恢复：各单位要协同配合，确保在最短的时间内完成系统的恢复。

　　1．任何单位和人员发现本单位电力系统出现异常情况时，都应及时向办公室报告。

　　2．办公室是电力系统故障应急处理的第一责任单位。办公室应尽快查清故障原因，提出解决办法，确定故障排除可能需要的时间，报信息安全工作领导小组。

　　3．网络运行负责人应根据停电时间和UPS电池的供电能力，在保证重点网络关键设备用电的前提下，提出机房设备部分关机或全部关机方案，报信息安全工作领导小组。经认可后，安排相关人员按照规定的流程操作实施。

　　4．电力系统恢复供电后，办公室应在第一时间通知网络中心，以便以最快的速度恢复关闭的网络应用。

　　计算中心网络和系统管理人员在接到通知后，按照规定的流程开启关闭相关设备。

　　1．当出现火情、火灾时，发现人员应在最短时间内报告办公室。若火情严重时，应迅速拨打119电话报警，并尽可能采取一些简单可行的方法作初步处理，如：使用周围的灭火器、水源（在允许用水灭火的场合）或采用其他灭火措施、手段。进展情况随时向有关领导报告。

　　2．计算中心机房出现火情并且无法进行局部处理时，机房管理人员在紧急报告有关领导的同时，应立即疏散物理场地楼层以内的工作人员。并迅速拨打119电话报警。

　　1．网络设备、网络应用系统故障应由发现人通知计算中心，计算中心立即检查故障，进行初步故障定位。如果网络、应用系统出现比较严重的问题，对网络业务的正常运行造成较大的影响，需立即向有关领导报告。

　　2．对简单故障，运维人员应迅速排除故障，解决问题并记录。如果需要更换设备，应上报有关领导经批准后马上更换故障设备，尽快恢复网络、应用系统运行。

　　运维部门判断无法及时修理时，应立即通知相关的系统运行服务提供商，在最短的时间内安排修理或更换系统。

　　3．如发现属外部线路的问题，应与线路服务提供商联系，敦促对方尽快恢复故障线．启用备份线路、设备、系统（如果存在的话），迅速恢复相关的应用。

　　1．发现网站不能正常打开或网站内容被恶意篡改时，任何人员都有义务向网络中心报告。由网络应急小组组织应急响应，联合相关部门进行故障排查。

　　2．先由运维小组查看网络连接情况，若不是网络故障，则排查软、硬件故障。待故障处理完成并经过测试后，恢复系统的正常运行和内容的正常应用。

　　1．发现网络上有黑客攻击行为，任何人员都有义务向网络中心报告。计算中心立即启动应急响应，切断受攻击计算机与网络的连接，停止一切操作、保护现场，并上报有关领导。

　　2．对于黑客攻击，由网络中心组织应急响应小组查找入侵踪迹，分析入侵方式和原因。由安全管理员根据对入侵事件的分析，组织相关人员对内部网计算机整改，防止黑客用同样的手段再次入侵其他系统。安全管理员检查确定无安全隐患后，才可将受攻击计算机重新连接网络，或启用备份计算机来恢复应用。

　　3．安全管理员应做好记录，保护现场，进行日志收集等工作。如果能追查到攻击者的相关信息，可以对其发出警告，必要时可以采取进一步的行动，乃至采取法律手段。根据破坏程度，经有关领导同意后，上报公安部门。

　　若系统已被黑客破坏，无法恢复，应将受黑客攻击的计算机上的重要数据备份到其他存储介质，确保计算机内重要的数据不丢失。如果数据无法恢复，经有关领导同意后，可与国家指定的部门联系，由他们来协助恢复，为保证数据信息安全，需在安全管理部门作记录。

　　1．发现网络上有大规模病毒攻击的行为，任何人员都有义务向网络中心报告。由网络中心组织应急响应，切断受攻击计算机与网络的连接，停止一切操作、保护现场，立即上报有关领导。2．若是已知病毒，使用最新版本杀毒软件对染毒计算机进行全面杀毒，并对染毒计算机系统进行漏洞修补。安全管理员确定没有病毒和安全漏洞后，再连接网络恢复使用。

　　3．若是未知病毒，观察网管软件根据监视窗口的链路状态，由此判断感染病毒或恶意程序的客户端、服务器所科的楼层交换机。打开该交换机的端口流量分析窗口，根据流量判断感染病毒或恶意程序的客户端所在的交换机端口。关闭该交换机端口，隔离该工作站、服务器，阻断与局域网的连接。根据端口状态功能，查看该感染病毒或恶意程序的工作站的IP地址。根据IP地址信息找到该工作站的具体位置，对该工作站进行病毒或恶意程序清除工作。

　　根据对于未知病毒，应首先尝试手工杀毒处理，若系统已被病毒破坏，无法恢复，应将感染病毒的计算机上的硬盘加挂到其他机器上处理，将重要数据备份到其他存储介质，尽最大努力保护、保留感染计算机内重要的数据，同时防止病毒感染其他计算机。如果数据无法恢复，经有关领导同意后，可与国家指定的反病毒部门联系，由他们来协助恢复，为保证数据信息安全，需在安全管理部门作记录。如为涉及国家秘密的数据，不允许由其他机构来恢复数据。

　　（一）目的为科学应对网络与信息安全(以下简称信息安全)突发事件，建立健全信息安全应急响应机制，有效预防、及时控制和最大限度地消除信息安全各类突发事件的危害和影响，制订本应急预案。

　　1.统一领导，协同配合。全局信息安全突发事件应急工作由省局统一领导和协调，相关部门按照“统一领导、归口负责、综合协调、各司其职”的原则协同配合，具体实施。

　　2.明确责任，依法规范。各单位各部门按照“属地管理、分级响应、及时发现、及时报告、及时救治、及时控制”的要求，依法对信息安全突发事件进行防范、监测、预警、报告、响应、协调和控制。按照“谁主管、谁负责，谁运营、谁负责”的原则，实行责任分工制和责任追究制。

　　3.条块结合，整合资源。充分利用现有信息安全应急支援服务设施，整合我局所属信息安全工作力量。充分依靠局各有关部门在地方的信息安全工作力量，进一步完善应急响应服务体系，形成局域信息安全保障工作合力。

　　4.防范为主，加强监控。宣传普及信息安全防范知识，牢固树立“预防为主、常抓不懈”的意识，经常性地做好应对信息安全突发事件的思想准备、预案准备、机制准备和工作准备，提高公共防范意识以及基础网络和重要信息系统的信息安全综合保障水平。加强对信息安全隐患的日常监测，发现和防范重大信息安全突发性事件，及时采取有效的可控措施，迅速控制事件影响范围，力争将损失降到最低程度。

　　省保障中心接到信息安全突发事件报告后，在经初步核实后，将有关情况及时向上级主管部门报告。在进一步综合情况，研究分析可能造成损害程度的基础上，提出初步行动对策，视情况召集协调会，并根据应急委的决策实施行动方案，发布指示和命令。

　　积极推行信息安全等级保护，逐步实行信息安全风险评估。各基础信息网络和重要信息系统建设要充分考虑抗毁性与灾难恢复，制定完善信息安全应急处理预案。针对基础信息网络的突发性、大规模安全事件，各相关部门建立制度化、程序化的处理流程。

　　根据网络信息安全事件等级的不同，相关部门启动相应预案，并负责应急处理工作。

　　事件发生单位和现场应急处理工作组尽最大可能收集事件相关信息，判别事件类别，确定事件来源，保护证据，以便缩短应急响应时间。

　　检查威胁造成的结果，评估事件带来的影响和损害：如检查系统、服务、数据的完整性、保密性或可用性；检查攻击者是否侵入了系统；以后是否能再次随意进入；损失的程度；确定暴露出的主要危险等。

　　抑制事件的影响进一步扩大，限制潜在的损失与破坏。可能的抑制策略一般包括：关闭服务或关闭所有的系统，从网络上断开相关系统的物理链接，修改防火墙和路由器的过滤规则；封锁或删除被攻破的登录账号，阻断可疑用户得以进入网络的通路；提高系统或网络行为的监控级别；设置陷阱；启用紧急事件下的接管系统；实行特殊“防卫状态”安全警戒；反击攻击者的系统等。

　　在事件被抑制之后，通过对有关恶意代码或行为的分析结果，找出事件根源，明确相应的补救措施并彻底清除。与此同时，执法部门和其他相关机构对攻击源进行准确定位并采取合适的措施将其中断。

　　清理系统、恢复数据、程序、服务。把所有被攻破的系统和网络设备彻底还原到正常的任务状态。恢复工作应十分小心，避免出现操作失误而导致数据丢失。另外，恢复工作中如果涉及机密数据，需要额外按照机密系统的恢复要求。如果攻击者获得了超级用户的访问权，一次完整的恢复应强制性地修改所有的口令。

　　回顾并整理发生事件的各种相关信息，尽可能地把所有情况记录到文档中。发生重大信息安全事件的单位应当在事件处理完毕后将处理结果报上级主管部门备案。

　　根据信息安全事件的处置进展情况和现场应急处理工作组意见，省局组织相关部门及专家组对信息安全事件处置情况进行综合评估，并提出应急行动结束建议，报相关部门审批。应急行动是否结束，相关主管部门决定。

　　省局建立预警与应急处理的技术平台，进一步提高安全事件的发现和分析能力：从技术上逐步实现发现、预警、处置、通报等多个环节和不同的网络、系统、部门之间应急处理的联动机制。

　　加强信息安全人才培养，强化信息安全宣传教育，建设一支高素质、高技术的信息安全核心人才和管理队伍，提高全社会信息安全防御意识。大力发展信息安全服务业，增强社会应急支援能力。

　　安排信息化建设专项资金用于预防或应对信息安全突发事件，提供必要的经费保障，强化信息安全应急处理工作的物资保障条件。

　　省局组织有关专家和科研力量，开展应急运作机制、应急处理技术、预警和控制等研究，组织参加相关培训，推广和普及新的应急技术。

　　省局在应急预案修订、演练的前后，应利用各种新闻媒介开展宣传；不定期地利用各种安全活动向社会大众宣传信息安全应急法律、法规和预防、应急的常识。

　　为确保信息安全应急预案有效运行，定期或不定期举办不同层次、不同类型的培训班或研讨会，以便不同岗位的应急人员都能全面熟悉并掌握信息安全应急处理的知识和技能。

　　为提高信息安全突发事件应急响应水平，定期或不定期组织预案演练；检验应急预案各环节之间的通信、协调、指挥等是否符合快速、高效的要求。通过演习，进一步明确应急响应各岗位责任，对预案中存在的问题和不足及时补充、完善。计算机系统或网络系统。依据计算机系统和网络系统的特点，信息安全事件的客体可分为信息系统、信息内容和网络基础设施三大类。

　　（一）编制目的公司网络和信息安全涉及以设备为中心的信息安全，技术涵盖网络系统、计算机操作系统、数据库管理系统和应用软件系统；涉及计算机病毒的防范、入侵的监控；涉及以用户（包括内部员工和外部相关机构人员）为中心的安全管理，包括用户的身份管理、身份认证、授权、审计等；涉及信息传输的机密性、完整性、不可抵赖性等等。为切实加强我司网络运行安全与信息安全的防范，做好应对网络与信息安全突发公共事件的应急处理工作，进一步提高预防和控制网络和信息安全突发事件的能力和水平，昀大限度地减轻或消除网络与信息安全突发事件的危害和影响，确保网络运行安全与信息安全，结合公司工作实际，特制定本应急预案。

　　根据《中华人民共和国计算机信息系统安全保护条例》、《信息安全3级评级方法》、GB/T20269-2006《信息安全技术信息系统安全管理要求》、GB/T20270-2006《信息安全技术网络基础安全技术要求》、GB/T20281-2006《信息安全技术防火墙技术要求和测试评价方法》、GB/T19716-2005《信息技术信息安全管理使用规则》等有关法规、规定，制定本预案。

　　（三）本预案适用于深圳市前海好彩金融服务有限公司网络与信息安全应急处理工作。

　　成立信息系统应急处理领导小组，负责领导、组织和协调全公司信息系统突发事件的应急保障工作。

　　（二）领导小组职责：制订专项应急预案，负责定期组织演练，监督检查各部门在本预案中履行职责情况。对发生事件启动应急救援预案进行决策，全面指挥应急救援工作。

　　立足安全防护，加强预警，重点保护重要信息网络和关系社会稳定的重要信息系统；从预防、监控、应急处理、应急保障和打击不法行为等环节，在管理、技术、宣传等方面，采取多种措施，充分发挥各方面的作用，构筑网络与信息安全保障体系

　　按照“谁主管谁负责”的原则，分级分类建立和完善安全责任制度、协调管理机制和联动工作机制。加强计算机信息网络安全的宣传和教育，进一步提高工作人员的信息安全意识。

　　要对机房、网络设备、服务器等设施定期开展安全检查，对发现安全漏洞和隐患的进行及时整改。

　　加强技术储备，规范应急处置措施和操作流程，网络与信息安全突发公共事件发生时，要快速反应，及时获取准确信息，跟踪研判，及时报告，果断决策，迅速处理，昀大限度地减少危害和影响。

　　（1）水灾、火灾、雷电等灾害性故障引发的网络中断、系统瘫痪、数据被毁等；

　　（2）因接地不良、机房屏蔽性能差引起的静电干扰或外界的电磁干扰使系统不能正常工作；（3）机房电力设备和其它配套设备本身缺陷诱发信息系统故障；（4）机房安全设施自动化水平低，不能有效监控环境和信息系统工作；（5）其它环境安全风险。

　　2、物理设备的安全风险由于信息系统中大量地使用了网络设备如交换机、路由器等，服务器，移动设备，使得这些设备的自身安全性也会直接关系信息系统和各种网络应用的正常运转。例如，路由设备存在路由信息泄漏，交换机和路由器设备配置风险等。

　　网络平台是一切应用系统建设的基础平台，网络体系结构是否按照安全体系结构和安全机制进行设计，直接关系到网络平台的安全保障能力。公司的网络是由多个局域网和广域网组成，网络体系结构比较复杂。内部应用信息网、Internet网之间是否进行隔离及如何进行隔离，网段划分是否合理，路由是否正确，网络的容量、带宽是否考虑客户上网的峰值，网络设备有无冗余设计等都与安全风险密切相关。

　　网络通信协议存在安全漏洞，网络黑客就能利用网络设备和协议的安全漏洞进行网络攻击和信息窃取。例如未经授权非法访问内部网络和应用系统；对其进行监听，窃取用户的口令密码和通信密码；对网络的安全漏洞进行探测扫描；对通信线路和网络设备实施拒绝服务攻击，造成线路拥塞和系统瘫痪。

　　网络操作系统，不论是 IOS，Android，还是 Windows，都存在安全漏洞；一些重要的网络设备，如路由器、交换机、网关，防火墙等，由于操作系统存在安全漏洞，导致网络设备的不安全；有些网络设备存在“后门”（back door）。

　　操作系统的安全性是系统安全管理的基础。数据库服务器、中间层服务器，以及各类业务和办公客户机等设备所使用的操作系统，不论是Win2008/XP/7，还是 Unix都存在信息安全漏洞，由操作系统信息安全漏洞带来的安全风险是昀普遍的安全风险。

　　所有的业务应用、决策支持、行政办公的信息管理核心都是数据库，而涉及公司运行的数据都是昀需要安全保护的信息资产，不仅需要统一的数据备份和恢复以及高可用性的保障机制，还需要对数据库的安全管理，包括访问控制，敏感数据的安全标签，日志审计等多方面提升安全管理级别，规避风险。虽然，目前公司的数据库管理系统可以达到较高的安全级别，但仍存在安全漏洞。建立在其上的各种应用系统软件在数据的安全管理设计上也不可避免地存在或多或少的安全缺陷，需要对数据库和应用的安全性能进行综合的检测和评估。

　　为优化整个应用系统的性能，无论是采用C／S应用模式或是B／S应用模式，应用系统都是其系统的重要组成部分，不仅是用户访问系统资源的入口，也是系统管理员和系统安全管理员管理系统资源的入口，桌面应用系统的管理和使用不当，会带来严重的安全风险。例如当口令或通信密码丢失、泄漏，系统管理权限丢失、泄漏时，轻者假冒合法身份用户进行非法操作。重者，“黑客”对系统实施攻击，造成系统崩溃。

　　计算机病毒的传播会破坏数据信息，占用系统资源，影响计算机运行速度，引起网络堵塞甚至瘫痪。尽管防病毒软件安装率已大幅度提升，但如果没有好的防毒概念，从不进行病毒代码升级，而新病毒层出不穷，因此威胁性愈来愈大。

　　一方面风险来自于内部，入侵者利用 Sniffer等嗅探程序通过网络探测、扫描网络及操作系统存在的安全漏洞，如网络 IP地址、应用操作系统的类型、开放哪些 TCP端口号、系统保存用户名和口令等安全信息的关键文件等，并采用相应的攻击程序对内网进行攻击。入侵者通过拒绝服务攻击，使得服务器超负荷工作以至拒绝服务甚至系统瘫痪。

　　另一方面风险来自外部，入侵者通过网络监听、用户渗透、系统渗透、拒绝服务、木马等综合手段获得合法用户的用户名、口令等信息，进而假冒内部合法身份进行非法登录，窃取内部网重要信息，或使系统终止服务。所以，必须要对外部和内部网络进行必要的隔离，避免信息外泄；同时还要对外网的服务请求加以过滤，只允许正常通信的数据包到达相应主机，其它的请求服务在到达主机之前就应该遭到拒绝。

　　依靠用户 ID和口令的认证很不安全，容易被猜测或盗取，会带来很大的安全风险。为此，动态口令认证、CA第三方认证等被认为是先进的认证方式。但是，如果使用和管理不当，同样会带来安全风险。要基于应用服务和外部信息系统建立基于统一策略的用户身份认证与授权控制机制，以区别不同的用户和信息访问者，并授予他们不同的信息访问和事务处理权限。

　　实时信息是应用系统的重要事务处理信息，必须保证实时信息传输的机密性和网上活动的不可抵赖性，能否做到这一点，关键在于采用什么样的加密方式、密码算法和密钥管理方式。采用国内经过国家密码管理委员会和公安部批准的加密方式、密码算法和密钥管理技术来强化这一环节的安全保障。

　　安全的网络设备要靠人来实施，管理是整个网络安全中昀为重要的一环，认真地分析管理所带来的安全风险，并采取相应的安全措施。责权不明、管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。

　　当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。同时，当故障发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。这就要求人们必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。

　　加强对各类网络与信息安全突发事件和可能引起突发网络与信息安全突发公共事件的有关信息的收集、分析、判断和持续监测。当检查到有网络与信息安全突发事件发生或可能发生时，应及时对发生事件或可能发生事件进行调查核实、保存相关证据，并立即向应急领导小组报告。报告内容主要包括信息来源、影响范围、事件性质、事件发展趋势和采取的措施建议等。

　　若发现下列情况应及时向应急领导小组报告：利用网络从事违法犯罪活动；网络或信息系统通信和资源使用异常；网络或信息系统瘫痪，应用服务中断或数据篡改、丢失；网络恐怖活动的嫌疑和预警信息；其他影响网络与信息安全的信息。

　　通过相关设备实时监控网络工作与信息安全状况。各基础信息网络和重要信息系统建设要充分考虑抗毁性和灾难恢复，制定并不断完善信息安全应急处理预案。针对信息网络的突发性、大规模安全事件，建立制度优化、程序化的处理流程。

　　（三）做好服务器及数据中心的数据备份及登记工作，建立灾难性数据恢复机制。

　　一旦发生网络与信息安全事件，立即启动应急预案，采取应急处置措施，判定事件危害程度，并立即将情况向有关领导报告。在处置过程中，应及时报告处置工作进展情况，直至处置工作结束。

　　在发生网络与信息安全事件后，信息中心应尽昀大可能迅速收集事件相关信息，鉴别事件性质，确定事件来源，弄清事件范围和评估事件带来的影响和损害，一旦确认为网络与信息安全事件后，立即将事件上报工作组并着手处置。

　　（3）汇报相关领导，确认市电恢复时间，评估 UPS供电能力。（4）备份服务器数据、交换机配置。

　　（6）必要时请示公司负责人及公司领导，主动关闭服务器、交换机、存储等设备，以免设备损坏或数据损失。

　　（1）信息安全负责人员立即判断故障节点，查明故障原因，及时汇报。（2）若是线路故障，重新安装线）若是路由器、交换机等设备故障，应立即从指定位置将备用设备取出接上，并调试畅通。（4）若是路由器、交换机等配置文件损坏，应迅速按照要求重新配置，并调试畅通。（5）汇报相关领导，做好事件记录。

　　3、广域网线）信息安全负责人员应立即判断故障节点，查明故障原因。（2）如是我方管辖范围，由信息安全负责人员立即维修恢复。（3）如是电信部门管辖范围，应立即与电信维护部门联系修复。（4）做好事件记录。

　　（1）检查、备份核心交换机日志。（2）启用备用核心交换机，检查接管情况。（3）备份核心交换机配置信息。

　　（4）将服务器接入备用核心交换机，检查服务器运行情况，将楼层交换机、接入交换机接入备用核心交换机，检查各交换机运行情况。

　　5、光缆线）立即联系光纤熔接人员携带尾纤等辅助材料，及时熔接连通。（2）检查并做好备用光缆或备用芯的跳线工作，随时切换到备用网络。（3）做好事件记录，及时上报。

　　（1）关闭计算机病毒爆发网段上联端口。（2）隔离中病毒计算机。（3）关闭中病毒计算机上联端口。（4）根据病毒特征使用专用工具进行查杀。（5）系统损坏计算机在备份其数据后，进行重装。（6）通过专用工具对网络进行清查。（7）做好事件记录，及时上报。

　　（2）如能自行恢复，则立即用备件替换受损部件，如：电源损坏更换备用电源，硬盘损坏更换备用硬盘，网卡、主板损坏启用备用服务器。

　　（3）若数据库崩溃应立即启用备用系统。并检查备用服务器启用情况。（4）对主机系统进行维修并做数据恢复。

　　（5）如不能恢复，立即联系设备供应商，要求派维护人员前来维修。（6）汇报有关领导，做好事件记录。

　　（1）若通过入侵监测系统发现有黑客进行攻击，立即通知相关人员处理。（2）将被攻击的服务器等设备从网络中隔离出来。（3）及时恢复重建被攻击或被破坏的系统

　　（4）记录事件，及时上报，若事态严重，应及时向信息化主管部门和公安部门报警。

　　（2）发生数据库数据丢失、受损、篡改、泄露等安全事件时，信息安全人员应查明原因，按照情况采取相应措施：如更改数据库密码，修复错误受损数据。

　　（3）如果数据库崩溃，信息安全人员应立即启用备用系统，并向信息安全负责人报告；在备用系统运行期间，信息安全人员应对主机系统进行维修并作数据恢复。

　　（1）当班人员发现机房内有起火、冒烟现象或闻到烧焦气味时，应立即查明原因和地点，及时上报并针对不同情况，采取关闭电源总开关、隔离火源附近易燃物、用消防栓、灭火器等器材灭火等措施，组织本单位、部门在场的人员有序地投入扑救工作，将火扑灭或控制火势蔓延。

　　（2）当火势已无法控制时，一是指定专人立即拨打“119”火警电话报警和向上级保卫部门报告，并打破报警器示警。二是组织周围人员迅速撤离。

　　（3）在保障人员安全的情况下，立即组织人员疏散和转移重要物品，特别是易燃、易爆物品和重要的机器、数据要及时转移到安全地点，并派人员守护，确保安全。

　　（4）火情结束之后，组织相关人员及时进行网络系统恢复，及时向上级有关部门和领导汇报，并做好现场保护工作和防止起火点复燃。

　　（1）遇到重大雷暴天气，可能对机房设备造成损害时，应关闭所有服务器，切断电源，暂停内部计算机网络工作。雷暴天气结束后，及时开通服务器，恢复内部计算机网络工作。

　　（2）确认灾害不会造成人身伤害后，尽快将网络恢复正常，若有设备、数据损坏，及时使用备份设备或备用数据。

　　（1）对于关键岗位平时应做好人员储备，确保一项工作有两人能够操作。对于关键账户和密码进行密封保存。

　　（2）一旦发生系统安全事件，关键人员不在岗且联系不上或 1小时内不能到达机房的情况，首先应向领导小组汇报情况。

　　（3）经领导小组批准后，启用公司备份管理员密码，由备用人员上岗操作。（4）如果备用人员无法上岗，请求软件公司技术支援。（5）关键人员到岗后，按照相关规定进行密码设定和封存。（6）做好事件记录。

　　安全事件进行昀初的应急处置以。