基本概念

安全事件（Security Accident）是指影响一个系统正常工作的情况。这里的系统包括主机范畴内的问题，也包括网络范畴内的问题，例如信息窃取、拒绝服务攻击、网络流量异常等。

应急响应（Emergency Response）是指组织为了应对突发/重大信息安全事件的发生所做的准备以及在事件发生后所采取的措施。 应急响应是信息安全防护的一道防线！

应急响应体系（Emergency Response System）是指在突发/重大信息安全事件后对包括计算机运行在内的业务运行进行维持或恢复的各种技术和管理策略和规程。

　　信息安全应急响应体系的制定是一个周而复始、持续改进的过程，包含以下几个阶段：

　　应急响应需求分析和应急响应策略的确定；

　　编制应急响应计划文档和技术管理规范；

　　应急响应计划的测试、培训、演练和维护。

应急响应目的

　　应急响应服务的目的是尽可能地减小和控制住网络安全事件的损失，提供有效的响应和恢复指导，并努力防止安全事件的发生。

应急响应预案的制定

　　制定应急响应预案的原则

　　首先，必须集中管理应急响应预案的版本和发布。

　　其次，为了建立有效的版本控制体系，必须建立规范的应急响应预案的问题提交、解决、更新、跟踪、发布的渠道和流程。

　　第三，建立相关的保密管理规定，保证应急响应预案中涉及的秘密信息得到保护。

　　第四，应急响应预案在内容管理方面应注意内容的分布和粒度，可根据版本和内容的更新频度将应急响应的内容进行适当的分布。

　　第五，建立合理的应急响应预案的保管制度，强调存放的安全性和易取得性。

　　成功预案的特点

　　清楚、简洁

　　高级管理层支持/组织承诺

　　不断改进和更新的恢复策略

　　及时的更新维护

　　组织职责分工明确

　　保留、备份和异地存储计划

　　完整记录并定期演练

　　风险得到管理

　　弱点得到优先重视

　　灵活、可适应

应急响应预案的教育、培训和演练

　　在灾难来临前使相关人员了解熟悉恢复流程

　　使应急响应预案得到理解并可以使用

　　促进应急响应预案活动、更新、实用

　　展示恢复的能力

　　达到法律和内部审计要求

演练与演习的类型

　　演练和演习的主要方式有：

　　桌面演练；

　　模拟演练；

　　实战演练等

　　根据演练和演习的深度，可分为：

　　系统级演练；

　　应用级演练；

　　业务级演练等

　　根据演练和演习的准备情况，可分为：

　　计划内的演练和演习；

　　计划外的演练和演习等

预案维护管理

　　核对预案的功能性

　　验证预案文档的性和完整性

　　分发更新的文档

　　文档计划分发和发布流程

　　确保相关的团队收到更新的文档

　　依靠维护来改变管理流程

　　提供培训作为持续维护预案的一部分

　　为与应急响应的相关人员开展定期培训，如：复习进修课程或灾难备份研讨会

　　指派培训责任，如：部门经理要确保员工被送去参加培训

　　完成时报告预案维护情况

　　毁掉旧应急响应预案的复印件或电子版本

预案变更管理

　　业务操作的增长或变化

　　如：新的分支、产品和业务功能的增加

　　公司所有权的变化

　　关键人员的变化

　　硬件配置的变化

　　使用新操作系统

　　预案审核和演练后

　　软件/应用软件的变化

　　新的法律或审计要求

　　定期审核和更新——如：每年两次

　　《应急预案管理制度》

　　应急预案变更记录