信息安全业务连续性管理+应急方案+评审报告全套A529.docx

《信息安全业务连续性管理+应急方案+评审报告全套A529.docx》由会员分享，可在线阅读，更多相关《信息安全业务连续性管理+应急方案+评审报告全套A529.docx（29页珍藏版）》请在优知文库上搜索。

1、【企业名称】业务影响分析报告文档信息文档编号：ISMS-04-A17-01文档名称：业务影响分析报告起草人：XXX审核人：【管代】批准人：【总经理】生效日期：20XX/11/1发布范围，公司内部版本记录版本号版本日期修改修改章节修改记录A/0创建新文档1、概述业务影响分析目标通过业务影响分析,识别出管理运营部的关键业务以及这些关键业务所面临的风险，确认客户可接受的最大停顿时间，当风险发生时，为了使业务活动能够持续运作，明确恢复业务所依赖的重要组件，并针对各类风险制定相应的处理方案。适用范围公司2、级别划分定义D业务关键性级别的划分级别取值描述高1此业务/功能对公司极其重要，关键性级别极高，一旦

2、此业务/功能中断将会给公司极大的冲击与影响。中2此业务/功能对公司比较重要，关键性级别中，一旦此业务/功能中断将会给公司一定的冲击与影响。低3此业务/功能对公司的重要性一般，关键性级别低，一旦此业务/功能中断给公司带来的冲击与影响一般。2）业务影口向程度级别（B）的划分：级别取值描述高5资产的安全性遭破坏后，可能导致公司关键业务长时间（二天以上）的中断，相关的活动均受到影响，公司信誉、经济受到严重的损失。中3资产的安全性遭破坏后，可能导致公司关键业务短时间中断（一天之内），造成一定的损失。低1资产的安全性遭破坏后，可能导致公司业务的不正常运作，相关损失较少。3）威胁发,E可能性（P）的级别划分

3、：级别取值标准描述高5从威胁的驱动因素来看，该风险很有可能会发生；或以前曾经发生过多次；或以前发生数次，并且该安全事件呈上升趋势。中3过去曾发生过该风险；或虽然没有发生，但没有控制措施到位：低1过去很少发生；或已经有控制措施到位4）业务影响的总体评价公式：U=P*B3、关键业务活动影响分析项目关键业务/功能所属部门业务影响分析1金蝶财务资产部此业务/功能对公司重要，关键性级别高，一旦此业务/功能中断将会给公司比较大的冲击与影响：无法支持内部审计工作的信息化处理2企业微信管理运营部此业务/功能对公司重要，关键性级别高，一旦此业务/功能中断将会给公司比较大的冲击与影响3数据库智慧城市事业部此业务/

4、功能对公司比较重要，关键性级别中、极高，一旦此业务/功能中断将会给公司一定的冲击与影响4网络智慧城市事业部此业务/功能对公司比较重要，关键性级别中、极高，一旦此业务/功能中断将会给公司一定的冲击与影响4、关键公司与恢复时间目标项目功能描述级别可接受的最大停顿时间/恢复时间目标网络公司办公网络总部内部网络互联，信息共享124H/0H金蝶财务软件是根据财务目标设立组织机构、岗位，配置管理权责和人员，对经营活动、财务活动进行反映、监督、控制、协调的运作体系212H4h数据库项目管理软件项目进度管理、代码管理软件212h2h企业微信公司内部考勤、管理是面向组织的日常运作和管理，员工及管理者使用频率最高

5、的应用系统，自1985年国内召开第一次办公自动化规划会议以来,企业微信在应用内容的深度与广度、IT技术运用等方面都有了新的变化和发展,并成为组织不可缺的核心应用系统。主要推行一种无纸化办公模式。212h8h5、影响关键业务的风险分析项目风险威胁发生可能性（P）业务影响程度级别（B）总体评价（U）1火灾35152水灾1553爆炸1554地震1555突发公共卫生事件（如新冠肺炎）3396电力中断（2天以上）1557恶劣天气（如沙尘暴）3138病毒大规模爆发1339外包人员集体辞职13310拒绝服务攻击13311网站被黑（数据不可用或被篡改）33912关键服务器宕机15513公司机密/绝密级信息泄密

6、15514其他重大自燃灾害1556、处理方法项目风险总体评价（U）处理方案1火灾15参照业务连续性计划2水灾5参照业务连续性计划3爆炸5参照业务连续性计划4地震5参照业务连续性计划5突发公共卫生事件（如新冠肺炎）9小时值班制度，人员无法进入现场时，可通过VPN实现控制6电力中断（2天以上）5机房UPS在正常使用情况下，可坚持至少4个小时；如电力任未恢复，将由运维组联系，尽快租赁一辆发电车7恶劣天气（如沙尘暴）3机房实现24小时值班制度，人员无法进入现场时，可通过VPN实现控制8病毒大规模爆发3公司各服务器及客户端安装统一的防病毒软件，并实时更新，一旦出现病毒爆发的情况，立即将该类设备断网，对病

7、毒进行清除后再接入网9外包人员集体辞职3整理完备的操作手册及应急手册，在选取供应商时保留12个作为候选10拒绝服务攻击3通过安全漏洞扫描，目前尚未发生此类风险11网站被黑（数据不可用或被篡改）9参照门户网站应急手册12关键服务器宕机5参考主机系统应急手册、网络系统应急手册、应用系统应急手册13公司机密/绝密级信息泄密5发现此类问题后，立即上报安全质量管理组14其他重大自燃灾害5如果工作现场被破坏，参考业务连续性计划，如果工作人员不能进入现场，由于总部机房实有24小时值班制度，可通过VPN实现控制7、关键业务恢复所需资源项目功能资源其他1网络关键运维人员、应用开发人员及相关部门协调人员系统备份数

8、据电脑、电话、供应商联系方式2金蝶关键运维人员、应用开发人员及相关部门协调人员系统备份数据电脑、电话、供应商联系方式3企业微信关键运维人员及相关部门协调人员系统备份数据电脑、电话、供应商联系方式8、管理运营部批准决议项目批准决议备注2金蝶、企业微信、都可暂时停止运作，短时间内对公司不会带来很大的冲击与影响；3在BCP中，只需重点准备有，长江传媒数字内容资源库、网络的业务恢复的应急安排；4在对管理运营部所有的威胁中发生可能性与业务影响程度综合值最高的为火灾5在BCP中，只需对火灾等造成场地被破坏发生的情节来准备相应的BCP措施。【企业名称】业务连续性计划文档信息文档编号：ISMS-04-A17-

9、01文档名称：业务连续性计划起草人：审核人：【管代】批准人：【总经理】生效日期：发布范围：公司内部版本记录版本号版本日期修改修改章节修改记录A/0创建新文档20XX年业务连续性计划序号项目紧急事故设备故障火灾网络中断电力故障1业务影响性范围重大设备停机，业务系统无法运行发生机率较小，但一旦发生将给公司带来毁灭性影响过程联网设备无法正常作业，业务对外沟通信息流转中断发生机率较小,但一旦发生将给公司业务带来较大影响一股无影响产品排产计划，生产将受到较大影响无影响产品排产计划,生产将受到较大影响轻微无可能影响产品排产计划，生产受到轻微的影响无无2预防措施计划定期对设备进行日常检查与保养，保证设备正常

10、管理运营部按要求对消防设施进行点检、维护/维修管理工作，对易燃易爆场所进行检查、记录及时维护与监督省理软件与通讯设备，并做好记录。管理运营部按要求对电力设施进行巡检、维护/维修管理工作，注紧外部电力信息及时通知相关部门响应准备计划完成时间已开始执行已开始执行已开始执行已开始执行3恢复正常生产时间1天2天1天1天4阚+的脚Il开展应急相应预案新入职员工须经过公司安全教育，从事特殊工种必须在受到规定级别的专门安全教育，考试并取得特种工种安全作业证对员工进行培训开展应急相应预案无计划完成时间已开始执行已开始执行已开始执行已开始执行5业务连续性演习每年进行应急演练每年开展进行消防演练每年开展进行网络中

11、断演练每年开展进行电力故障演练计划完成时间20XX年3月20XX年6月20XX年9月20XX年12月6支持性文件应急准备与响应管理程序监视和测量设备控制程序.应急准备与响应管理程序应急准备与响应管理程序”应急准备与响应管理程序”设备异常应急演练记录演练项目设备异常应急演练演习时间20XX.3.31组织人【总经理】演练地点办公室参加人员【总经理】、【管代】、XX活动内容演练目的检验公司应对突然事故处理能力、人员协调配合程度。演练记录为提高公司应急人员的素质，达到检验应急队伍的目的，我公司进行了一次模拟训练演习。即：下午16:30开始，假设公司路由器故障，由工作人员确认后按照设备异常应急演练方案，

12、管理运营部负责现场指挥，安排如下：1 .管理运营部经理接到设备故障报告后，立即组建应急预案小组。2 .其他部门人员接到事故报告后，通知本部门各岗位人员坚守岗位，随时准备实施救援。现场讲评1.这次演练报告快，统一指挥，发现故障原因快，用较短的时间。2 .通过演练提高应急能力，对突发事故进行有效的处理。3 .演练统一指挥，协作配合一致。4 .应急队员应急能力有所提高，应变能力增强。5 .今后经常进行应急救援不同的事故演练。负责人【总经理】记录人XXX备注编号：ISMS-04-A17-01预案名称设备异常应急演练演练地点办公室负责人【总经理】演练时间20XX.3.31参加人员全体人员演练类别实际演练

13、桌面演练口提问讨论式全部预案部分预案物资准备安全警示标识牌人员培训进入现场前由安全监督进行责任分配，讲解设备故障的处理方法。预案适宜性充分性评审适宜性：全部能够执行口执行过程不够顺利口明显不适宜充分性：完全满足应急要求口基本满足需要完善口不充分，必须修改演练效果评审人员到位情况迅速准确口基本按时到位口个别人员不到位口重点部位人员不到位职责明确，操作熟练职责明确，操作不够熟练口职责不明，操作不熟练物资到位情况现场物资：现场物资充分，全部有效口现场准备不充分现场物资严重缺乏个人防护：全部人员防护到位口个别人员防护不到位口大部分人员防护不到位林调组织情况整体组织：口准确、高效协调基本顺利，能满足要求口效率低，有待改进抢险组分工：合理、高