1  总则

1.1  编制 目的

为加强南昌市工业信息安全事件应急工作管理，建立健全工业信息安全应急工作机制，提高应对工业信息安全事件的组织协调和应急处置能力，预防和减少工业信息安全事件造成的损失和危害，保障工业生产正常运行，维护国家经济安全和人民生命财产安全，结合南昌实际，编制本预案。

1.2  编制依据

《中华人民共和国突发事件应对法》《中华人民共和国网络安全法》《国家网络安全事件应急预案》《 工业控制系统信息安全事件应急管理工作指南》《GB/T 20986-2007 信息安全技术 信息安全事件分类分级指南》《GB/T 36324-2018 信息安全技术 工业控制系统信息安全分级规范》和《江西省工业控制系统信息安全事件应急预案》《南昌市网络与信息安全事件应急预案》等标准规范。

1.3  适用范围

本预案所指的工业信息安全事件是指由于人为、软硬件缺陷或故障、 自然灾害等原因，对工业（工业互联网平台）企业的工业控制系统（重点管控系统）及数据、工业互联网平台（基础设施）及数据造成或者可能造成严重危害，影响正常工业生产运行的事件。

本预案适用于本市行政区域内工业信息安全事件的应对工作。其中涉密领域的工业信息安全事件参照涉密相关管理规定处理。

1.4  事件分级

工业信息安全事件分为四级：特别重大工业信息安全事件、重大工业信息安全事件、较大工业信息安全事件、一般工业信息安全事件。

1.4.1  符合下列情形之一的，为特别重大工业信息安全事件：

（ 1 ）重点领域的工业控制系统、工业互联网平台、工业互联网基础设施遭受特别重大损害，造成系统大面积瘫痪，丧失业务处理能力。

（2）重点领域的工业控制系统、工业互联网平台关键数据的保密性、完整性、可用性遭到严重破坏，恢复系统正常运行和消除安全事件负面影响所需付出的代价十分巨大。

（3）事件对全市的经济建设、社会秩序、公共利益、环境安全和人员生命造成特别严重损害。

1.4.2  符合下列情形之一且未达到特别重大工业信息安全事件的，为重大工业信息安全事件：

（ 1 ）重点领域的工业控制系统、工业互联网平台、工业互联网基础设施遭受重大损害，造成系统长时间中断或局部瘫痪，业务处理能力受到极大影响。

（2）重点领域的工业控制系统、工业互联网平台关键数据的保密性、完整性、可用性遭到破坏，恢复系统正常运行和消除安全事件负面影响所需付出的代价巨大。

（3）事件对全市的经济建设、社会秩序、公共利益、环境安全和人员生命造成严重损害。

1.4.3  符合下列情形之一且未达到重大工业信息安全事件的，为较大工业信息安全事件：

（ 1 ）一般领域的工业控制系统、工业互联网平台、工业互联网基础设施遭受重大损害，或者重点领域的工业控制系统、工业互联网平台系统遭受损害，造成系统中断，明显影响系统效率，业务处理能力受到影响。

（2）一般或重点领域的工业控制系统、工业互联网平台重要数据的保密性、完整性、可用性遭到破坏，恢复系统正常运行和消除安全事件负面影响所需付出的代价较大。

（3）事件影响在本市行政区域以内，对公民、企业和其他组织的合法权益及重要财产造成严重损害,或者其他对经济建设、社会秩序、公共利益、环境安全和人员生命造成损害。

1.4.4  除上述情形外，对经济建设、社会秩序、公共利益、环境安全和人员生命构成一定威胁，造成一定影响的，为一般工业信息安全事件。

重点领域的工控系统是指与国计民生紧密相关的工业生产领域中的工控系统，如钢铁、有色、化工、石油石化、电力、天然气、先进制造、水利枢纽、环境保护、铁路、城市轨道交通、民航、城市供水供气等。

1.5  工作原则

坚持统一领导、分级负责；坚持政府指导、企业主体；坚持预防为主、平战结合；坚持快速反应、科学处置。充分发挥各方力量，共同做好工业信息安全事件的预防和处置工作。

2 组织机构与职责

2.1  领导机构及职责

南昌市工业和信息化局（ 以下简称“ 市工信局”）成立南昌市工业信息安全事件应急指挥部，在江西省工业和信息化厅的指导和中共南昌市委网络安全和信息化委员会（ 以下简称“ 市委网信委”）的领导下，贯彻国家、省、市有关工业信息安全应急管理要求，统筹指导全市工业信息安全事件应急工作，决策和协同应急处置过程中的重大事项。市工业信息安全事件应急指挥部指挥长由市工信局分管副局长担任，副指挥长由市工信局相关业务科科长担任。

市工业信息安全事件应急指挥部办公室（ 以下简称“ 市工业信息安全应急办”）设在市工信局信息化和软件服务业科，具体负责统筹协调全市工业信息安全应急工作，建立健全跨部门联动处置机制，组建市级工业信息安全技术支撑机构和专家队伍，指导各县（ 区 ）、开发区、湾里管理局（ 以下简称“各县区”）工信主管部门和工业企业做好应急处置工作。

市工信局各产业科按照职责分工，督促相关企业加强工业信息安全防范，及时处置各类工业信息安全事件。

2.2  县区工信主管部门职责

各县区工信主管部门在市工业信息安全应急办和属地网信委统一领导下，统筹协调组织本地工业信息安全应急管理工作，制定本地工业信息安全事件应急预案，落实本地工业信息安全预防、监测、报告和应急处置等工作，抓好本地工业信息安全技术支撑队伍建设。

2.3  工业信息安全技术支撑机构和专家队伍职责

工业信息安全技术支撑机构负责提供技术支撑，开展工业信息安全风险监测、威胁预警、应急处置工作。

工业信息安全应急专家队伍负责提供决策建议，开展工业信息安全态势研判，做好应急处置等工作。

2.4  各工业企业职责

全市各工业企业对本单位工业信息安全负主体责任，建立健全工业信息安全责任制，制定应急预案，部署有效安全防护手段，落实人、财、物保障。

3 监测预警

3.1  预警分级

工业信息安全事件预警等级分为四级： 由高到低依次用红色、橙色、黄色和蓝色表示，分别对应发生或可能发生特别重大、重大、较大和一般工业信息安全事件。

3.2  预警监测

市工信局依托南昌市工业互联网安全态势感知平台和市工业信息安全技术支撑队伍等，对全市重点工业企业开展信息安全监测。各县区工信主管部门结合本地实际，组织开展本地工业信息安全监测工作，定期将重要监测信息上报市工信局。

3.3  预警研判和发布

县区工信主管部门组织对监测信息进行研判，认为需要立即采取防范措施的，及时通知有关企业，对可能发生一般及以上工业信息安全事件的信息及时向市工业信息安全应急办和属地网信部门报告。

市工业信息安全应急办组织研判，认为可能发生特别重大、重大工业信息安全事件的，及时向中共南昌市委网络安全应急办公室（ 以下简称“ 市网络安全应急办”）和江西省工业控制信息安全应急办公室（ 以下简称“ 省工控安全应急办”）报告；认为可能发生较大工业信息安全事件的，确定和发布黄色预警和涉及县区预警，并向市网络安全应急办和省工控安全应急办报告；认为可能发生一般工业信息安全事件的，确定和发布蓝色预警。

红色、橙色预警分别由工业和信息化部和省工控安全应急办确定和发布。

预警通报信息内容包括：风险/事件的类别、起始时间、可能影响范围、警示事项、应采取的措施和时限要求、发布机关等（详见附件 3）。

3.4  预警响应

3.4.1  红色、橙色预警响应

（ 1 ）接收到预警指令后，市工业信息安全应急办立即启动应急预案，组织开展预警响应工作。及时了解预警信息发展态势，加强向省工控安全应急办和市网络安全应急办报告。迅速召集市工业信息安全技术支撑队伍和专家队伍等研究对策，落实省工控安全应急办下达的工作要求。组织对事态发展情况进行跟踪研判，研究制定防范措施和应急工作方案，协调组织资源调度和市县联动的各项准备工作。全办人员 24 小时值班，重要情况及时报告。

（2）预警事件涉及的县区工信主管部门实行 24 小时值班，相关人员保持通信联络畅通。加强工业信息安全事件监测和事态

发展信息搜集工作，组织指导技术支撑队伍、相关运行单位开展应急或准备、风险评估和控制工作，及时向市工业信息安全应急办和属地网信部门报告应急处置情况；其他县区工信主管部门要加强对所属工业信息系统安全监测，如发现预警事件波及其所属工业信息系统，应立即报告市工业信息安全应急办和市网络安全应急办。

（3）预警事件涉及的县区工业信息安全技术支撑队伍进入待命状态，针对预警信息研究制定应对方案，检查应急车辆、设备、软件工具等，确保处于良好状态。

（4）工业企业保持联络畅通，接到预警通报后，要立刻落实相关要求，组织技术力量开展应急处置准备、风险评估和风险管控工作。

3.4.2  黄色预警响应

（1）市工业信息安全应急办立即启动应急预案，组织开展预警响应。及时了解预警信息发展态势，做好风险评估、应急准备和风险控制工作，加强向省工控安全应急办和市网络安全应急办报告。全办人员 24 小时值班，重要情况及时报告并通报县区工信主管部门。

（2）预警事件涉及的县区工信主管部门实行 24 小时值班，密切监测所属工业信息系统安全状况，及时向市工业信息安全应急办和属地网信部门报告监测情况；其他县区要加强对所属工业信息系统安全状况的监测，如发现预警事件波及其所属工业信息系统，必须立即报告市工业信息安全应急办和市网络安全应急办。

（3）预警事件涉及的县区工业信息安全技术支撑队伍要做好应急处置或准备、风险评估和控制工作，保持联络畅通，检查应急车辆、设备、软件工具等，确保处于良好状态。

（4）工业企业要保持联络畅通，接到工信主管部门预警通报后，要立刻落实相关要求，组织技术力量开展应急处置准备、风险评估和风险管控工作。

3.4.3  蓝色预警响应

有关县区工信主管部门接蓝色预警后，启动应急预案，组织开展预警响应，并向市工业信息安全应急办和属地网信部门报告。

事发工业企业要保持联络畅通，接到工信主管部门预警通报后，要立刻落实相关要求，组织技术力量开展应急处置准备、风险评估和风险管控工作。

3.5  预警解除

预警发布部门根据实际情况，确定是否解除预警，并及时发布预警解除信息。

4 应急处置

4.1  事件报告

工业信息安全事件发生后，事发工业企业应立即启动应急预案，实施处置并及时报送信息。事发县区工信主管部门立即组织先期处置，控制事态，消除隐患，同时组织初步研判，注意保存证据，做好信息通报工作。对于初判为特别重大、重大、较大工业信息安全事件的，县区工信主管部门立即报告市工业信息安全应急办和属地网信部门。初判为特别、重大工业信息安全事件的，市工业信息安全应急办立即报告省工控安全应急办和市网络安全应急办。

报告信息主要包括：事件涉及的工业信息系统名称及运营管理单位、发生时间、地点、原因、来源、类型、性质、危害、影响范围、发展趋势、处置措施等（详见附件4）。

4.2  应急响应

工业信息安全事件应急响应分为四级，由高至低依次为 I 级、 II 级、III 级和 IV 级响应，分别对应特别重大、重大、较大和一般工业信息安全事件。

4.2.1  应急响应启动程序

市工业信息安全应急办对事件信息进行研判，属于特别重大、重大工业信息安全事件的，及时报告省工控安全应急办和市网络安全应急办，并向省工控安全应急办提出 I 级、II 级响应的建议。

接省工控安全应急办通知要求我市启动 I 级、II 级响应的，市工业信息安全应急办立即组织应急响应工作，并向市网络安全应急办报告。市工业信息安全应急办进入 I 级、II 级响应状态，组织开展应急工作。

市工业信息安全应急办初步判定需要启动 III 级响应的，及时报告市工信局，经批准后，进入 III 级响应状态，组织开展应急工作，并向省工控安全应急办和市网络安全应急办报告。

县区工信主管部门按照市工业信息安全应急办通知要求，进入 IV 级响应，组织开展应急工作。

对于事态蔓延较快，需要提高响应等级的，市工业信息安全应急办及时汇总研判，确定响应等级，并报告省工控安全应急办和市网络安全应急办。

4.2.2 I 级、II 级响应

4.2.2.1  启动指挥体系

（ 1 ）在工业和信息化部和省工控安全应急办启动或同意启动 I 级、II 级响应后，市工业信息安全应急办进入应急状态，在省工控安全应急办的统一指挥下，履行应急处置工作的统一领导、指挥、协调职责。全办人员 24 小时值班，并派员参加省工控安全应急办工作。

（2）事发县区工信主管部门进入应急状态，在市工业信息安全应急办的统一领导、指挥、协调下，负责组织本地工业信息安全应急处置和支援保障工作，相关人员实行 24 小时值班，并派员参加市工业信息安全办工作。

4.2.2.2  掌握事件动态

（ 1）跟踪事态发展。事发县区工信主管部门及时将事态发展变化和处置进展情况报市工业信息安全应急办和属地网信部门。

（2）检查影响范围。有关县区工信主管部门立即全面了解本地范围内工业信息系统是否受到事件的波及或影响，并将有关情况及时报市工业信息安全应急办和属地网信部门。

（3）及时通报情况。市工业信息安全应急办负责汇总上述情况，重大事项及时报省工控安全应急办和市网络安全应急办。

4.2.2.3  决策部署

市工业信息安全应急办组织有关县区工信主管部门、技术支撑队伍、专家队伍和有关企业及时研究对策意见，对应对工作进行决策部署。

4.2.2.4  处置实施

（ 1）控制事态防止蔓延。有关县区工信主管部门负责组织实施，尽快控制事态，组织、督促相关运行单位有针对性地加强防范，防止事件蔓延。市工业信息安全应急办指导协调市工业信息安全技术支撑队伍提供技术支撑。

（2）消除隐患恢复系统。有关县区工信主管部门要根据事件发生原因，有针对性采取措施，备份数据、保护设备、排查隐患、恢复受破坏工业信息系统正常运行。

（3）调查取证。事发企业在应急恢复过程中应保留相关证据。对于人为破坏活动，市公安局、市国家安全局、市委保密机要局按职责负责组织开展调查取证工作。

（4）信息发布。按照省、市宣传部门要求，市工信局组织工业信息安全事件的应急新闻工作，指导协调有关县区开展新闻发布和舆论引导工作。

4.2.3    III 级响应

4.2.3.1  启动指挥体系

（ 1 ）确定启动 III 级响应后，市工业信息安全应急办进入应急状态，履行应急处置工作的统一领导、指挥、协调职责。全办人员 24 小时值班。

（2）有关县区工信主管部门进入应急状态，在市工业信息安全应急办的统一领导、指挥、协调下，按照相关应急预案负责本地应急处置工作和支援保障工作，相关人员实行 24 小时值班，并派员参加市工业信息安全应急办工作。

4.2.3.2  掌握事件动态

（ 1）跟踪事态发展。事发县区工信主管部门及时将事态发展变化情况和处置进展情况报市工业信息安全应急办和属地网信部门。市工业信息安全应急办将有关重大事项及时通报相关县区工信主管部门。

（2）检查影响范围。有关县区工信主管部门全面了解本地范围内的工业信息系统是否受到事件的波及或影响，并将有关情况及时报市工业信息安全应急办和属地网信部门。

（3）及时通报情况。市工业信息安全应急办负责汇总、通报上述有关情况，重大事项及时报省工控安全应急办和市网络安全应急办。

4.2.3.3  决策部署

市工业信息安全应急办召集有关县区工信主管部门、市工业信息安全技术支撑队伍和专家队伍及时研究对策意见，对应对工

作进行决策部署。

4.2.3.4  处置实施

（ 1）控制事态防止蔓延。有关县区工信主管部门负责组织实施，尽快控制事态；组织督促相关运行单位有针对性地加强防范，防止事件蔓延。市工业信息安全应急办指导协调市工业信息安全技术支撑队伍提供技术支撑。

（2）消除隐患恢复系统。有关县区工信主管部门要根据事件发生原因，有针对性地采取措施，备份数据、保护设备、排查隐患、恢复受破坏工业信息系统正常运行。

（3）调查取证。事发企业在应急恢复过程中应保留相关证据。对于人为破坏活动，市公安局、市国家安全局、市委保密机要局按职责分工负责组织开展调查取证工作，并及时向市工业信息安全应急办通报有关情况。

（4）信息发布。按照市宣传部门要求，市工信局组织工业信息安全事件的应急新闻工作，指导协调有关县区开展新闻发布和舆论引导工作。

4.2.4    IV 级响应

事发企业启动本企业应急预案，组织实施应急处置工作，并将处置情况报属地工信主管部门。

4.3  应急结束

I 级响应结束：由工业和信息化部结束 I 级响应，省工控安全应急办及时将 I 级响应结束信息通报市工信局和工业企业。

II 级响应结束：由省工信厅结束 II 级响，省工控安全应急办及时将 II 级响结束信息通报市工信局和工业企业。

III 级响应结束：由市工信局决定，市工业信息安全应急办及时将 III 级响应结束信息通报有关县区工信主管部门和工业企业。

III 级响应结束后 ， 向省工控安全应急办和市网络安全应急办报告。

IV 级响应结束： 由事发企业决定并宣布 IV 级响应结束，向属地工信主管部门和网信主管部门报告。

5 调查与评估

特别重大和重大工业信息安全事件由省工信厅组织市工信局和工业企业进行调查处理、总结评估。

较大工业信息安全事件由市工信局组织事发县区工信主管部门和工业企业调查处理、总结评估。相关总结调查报告及时报省工控安全应急办和市网络安全应急办。总结调查报告应对事件的起因、性质、影响、责任等进行分析评估，提出处理意见和改进措施。

一般工业信息安全事件由事发县区工信主管部门组织工业企业调查处理和总结评估，相关总结调查报告及时报市工业信息安全应急办和属地网信部门。

总结调查报告应客观公正，具备专业性，对事件的起因、性质、影响、责任等进行分析评估并提出处理意见和改进措施。事件的调查处理和总结评估工作，原则上在应急响应结束后30 天内完成。

6 预防工作

6.1   日常管理

县区工信主管部门、工业企业要做好工业信息安全事件 日常预防工作，制定和完善相关应急预案，做好工业信息系统安全检查、隐患排查、风险评估和容灾备份，健全工业信息安全信息通报机制，及时采取有效措施，减少和避免工业信息安全事件的发生及危害，提高事件的能力。

6.2  宣传

工信主管部门应充分利用各种传播媒介及其他有效的宣传形式，加强突发网络与信息安全事件预防和处置的有关法律、法规和政策的宣贯，开展网络安全和工业互联网基本知识、技能、典型案例的宣传活动。

6.3  培训

市工信局定期组织工业信息安全和工业互联网知识培训。

县区工信主管部门和各工业企业要将网络与信息安全事件的应急知识列为领导干部和有关人员的培训内容，加强应急预案的培训和宣贯，提高防范意识和实战能力。

6.4 演练

市工信局定期组织应急演练，检验和完善预案，提高应急处置能力。

县区工信主管部门应定期组织应急演练，并将演练情况报市工信局。各重点工业企业、工业互联网平台企业定期组织应急预案演练。

6.5  重要敏感时期预防措施

在国家、省、市重要活动、会议期间，市工信局统筹协调工业信息安全保障工作，加强工业信息安全监测预警、事件防范和应急响应。县区工信主管部门应加强工业信息安全监测和风险研判，及时预警可能造成重大影响的风险和隐患，重点部门、重点岗位保持 24 小时值班，及时发现和处置工业信息安全事件隐患。相关重点工业企业应加强对工业信息系统的巡查巡检力度，原则上不在敏感时期对工业信息系统进行调整或升级。

7 保障措施

7.1  落实责任

按照“ 谁主管谁负责，谁运营谁负责” 的原则，建立健全工业信息安全应急工作机制，落实工业信息安全工作责任制，把责任落实到具体部门、具体岗位和具体人员身上。

7.2  技术支撑

加强工业信息安全技术支撑队伍建设，做好工业信息安全事件的监测预警、预防防护、应急处置、应急技术的支撑工作。市工信局定期遴选市级工业信息安全技术支撑队伍。县区工信主管部门、重点工业企业应配备必要的工业信息安全工业技术人才和队伍，加强与市工业信息安全相关技术支撑单位的沟通、协调，建立必要的信息共享机制。

7.3  经费保障

财政部门做好工业信息安全相关资金统筹保障工作。

各县区工信主管部门利用现有政策和资金保障渠道，支持工业信息安全人才培养、技术研发、技术支撑队伍建设、监测预警平台建设、基础平台建设、应急演练物资保障等工作的开展，为工业信息安全应急管理工作提供必要的经费保障。

各工业企业要落实人、财、物保障，加强工业信息安全管理人才引进和培训，做好技术储备。新建或改建工业信息系统须同步规划安全保障措施，落实专项保障经费。

7.4  物资保障