ISO27001事件管理程序.docVIP

ISO/IEC27001-2022/GBT22080信息安全管理体系文件范例

文件名称：

供应商管理程序

生效日期：

2024-02-25

文件编号：

页数

PAGE\*Arabic1/7

生效版本：

A0

文件制修订记录

NO

制/修订日期

修订编号

制/修订内容

版本

页次

1

2024-02-25

-

新制订

A0

核准

审核

制订

1、适用

本程序适用于公司信息安全事故、事件、薄弱点、故障和风险处置的管理。

2、目的

为建立一个适当信息安全事故、事件、薄弱点、故障风险处置的报告、反应与处理机制，减少信息安全事故和故障所造成的损失，采取有效的纠正与预防措施，正确处置已经评价出的风险，特制定本程序。

3、职责

各系统归口管理运营部主管相关的安全风险的调查、处理及纠正措施管理。各系统使用人员负责相关系统安全事故、事件、薄弱点、故障和风险的评价、处置报告。

各系统信息安全归口部门如下：

管理运营部：负责火灾、雷击、供电、盗窃、洪水等相关的信息安全风险的整体调查、处理和纠正措施管理。

智慧城市事业部：负责服务器等相关的信息安全风险的整体调查、处理和纠正措施管理。负责路由器、交换机等网络设备等相关的信息安全风险的整体调查、处理和纠正措施管理。

4、程序

4.1信息安全事件定义与分类

4.1.1信息安全事件的定义：

由于自然或者人为以及软硬件本身缺陷或故障的原因，对信息系统造成危害，或对社会造成负面影响的事件。

4.1.2信息安全事件分类规范

4.1.2.1有害程序事件

有害程序事件是指蓄意制造、传播有害程序，或是因受到有害程序的影响而导致的信息安全事件。有害程序是指插入到信息系统中的一段程序，有害程序危害系统中数据、应用程序或操作系统的必威体育官网网址性、完整性或可用性，或影响信息系统的正常运行。

有害程序事件包括计算机病毒事件、蠕虫事件、木马事件、僵尸网络事件、混合攻击程序事件、网页内嵌恶意代码事件和其它有害程序事件等7个第二层分类。

4.1.2.2网络攻击事件

网络攻击事件是指通过网络或其他技术手段，利用信息系统的配置缺陷、协议缺陷、程序缺陷或使用暴力攻击对信息系统实施攻击，并造成信息系统异常或对信息系统当前运行造成潜在危害的信息安全事件。

网络攻击事件包括拒绝服务攻击事件、后门攻击事件、漏洞攻击事件、网络扫描窃听事件、网络钓鱼事件、干扰事件和其他网络攻击事件等7个第二层分类。

4.1.2.3信息破坏事件

信息破坏事件是指通过网络或其他技术手段，造成信息系统中的信息被篡改、假冒、泄漏、窃取等而导致的信息安全事件。

信息破坏事件包括信息篡改事件、信息假冒事件、信息泄漏事件、信息窃取事件、信息丢失事件和其它信息破坏事件等6个第二层分类。

4.1.2.4信息内容安全事件

信息内容安全事件是指利用信息网络发布、传播危害国家安全、社会稳定和公共利益的内容的安全事件。

信息内容安全事件包括以下4个第二层分类。1）违反宪法和法律、行政法规的信息安全事件；

2）针对社会事项进行讨论、评论形成网上敏感的舆论热点，出现一定规模炒作的信息安全事件；

3）组织串连、煽动集会游行的信息安全事件；

4）其他信息内容安全事件等4个第二层分类。

4.1.2.5设备设施故障

设备设施故障是指由于信息系统自身故障或外围保障设施故障而导致的信息安全事件，以及人为的使用非技术手段有意或无意的造成信息系统破坏而导致的信息安全事件。

设备设施故障包括软硬件自身故障、外围保障设施故障、人为破坏事故、和其它设备设施故障等4个第二层分类。

4.1.2.6灾害性事件

灾害性事件是指由于不可抗力对信息系统造成物理破坏而导致的信息安全事件。

灾害性事件包括水灾、台风、地震、雷击、坍塌、火灾、恐怖袭击、战争等导致的信息安全事件。

4.1.2.7其他信息安全事件

其他信息安全事件类别是指不能归为以上6个基本分类的信息安全事件。

4.1.3信息安全事件分级规范：

4.1.3.1特别重大安全事件（Ⅰ级）

特别重大事件是指能够导致特别严重影响或破坏的信息安全事件。

会使特别重要信息系统遭受特别重大的系统损失，即造成系统大面积瘫痪，使其丧失业务处理能力，或系统关键数据的必威体育官网网址性、完整性、可用性遭到严重破坏，恢复系统正常运行和消除安全事件负面影响所需付出的代价十分巨大，对于事发组织是不可承受的。

4.1.3.2重大安全事件（Ⅱ级）

重大事件是指能够导致严重影响或破坏的信息安全事件。

会使特别重要信息系统遭受重大的系统损失，即造成系统长时间中断或局部瘫痪，使其业务处理能力受到极大影响，或系统关键数据的必威体育官网网址性、完整性、可用性遭到破坏，恢复系统正常运行和消除安全事件负面影响所需付出的代价巨大，但对于事发组织是可承受的；或使重要信息系统遭受特别重大的系统损失。

4.1.3.3较大安全事件（Ⅲ级）

较大事件是