应急预案与演练缺失
指没有网络安全应急预案，或预案多年未演练、联系人与流程已失效，与安全运维管理中应急预案管理条款不符。预案的核心是「能执行」：明确的启动条件、组织与职责、处置流程（研判、抑制、根除、恢复）、资源与外协联系方式，以及定期演练记录。只有框架、没有处置步骤的预案，真出事时用不上。
基本信息
| 条款依据 | GB/T 22239-2019 安全运维管理（应急预案管理） |
|---|---|
| 预案要素 | 启动条件、组织职责、处置流程、保障资源、演练安排 |
| 配套要求 | 联系人名单定期更新，事件分级与通报范围 |
| 演练要求 | 定期桌面或实操演练，留存记录与改进项 |
| 法律衔接 | 网络安全法关于事件报告的要求 |
| 证据材料 | 预案文本、演练记录、评审与修订记录 |
典型使用场景
- 年度应急演练的组织与记录归档
- 勒索软件、数据泄露场景的处置准备
- 事件分级与通报范围的界定
- 与业务连续性计划、备份恢复方案的衔接
- 监管检查中的应急能力问询准备
预案要素
预案要素
# 启动条件：什么级别的事件启动预案
# 组织与职责：指挥、处置、汇报、对外沟通
# 处置流程：研判、抑制、根除、恢复
# 保障：资源、工具、外部支持联系方式
# 演练：定期桌面或实操演练并留记录
# 维护：联系人名单与预案每年评审更新事件分级与响应示例
| 级别 | 场景示例 | 响应动作 | 通报范围 |
|---|---|---|---|
| 重大 | 核心系统被勒索、大规模数据泄露 | 启动预案、隔离止损、上报主管部门 | 管理层与主管部门 |
| 较大 | 单系统入侵、批量账号异常 | 隔离取证、修复恢复 | 安全团队与业务负责人 |
| 一般 | 单点病毒、个别账号被撞库 | 按流程处置并记录 | 值班与运维记录 |
演练不必每次做全流程实操：桌面推演同样能形成有效记录，关键是覆盖决策、通报与恢复三个环节。
预案里的联系人号码过期是常见问题：建议每季度更新一次并标注核对日期，避免事件发生时找不到人。