![信息系统安全漏洞评估及管理制度_第1页](http://file4.renrendoc.com/view/df6c9345abde93ef0103f342fc5632cc/df6c9345abde93ef0103f342fc5632cc1.gif)
![信息系统安全漏洞评估及管理制度_第2页](http://file4.renrendoc.com/view/df6c9345abde93ef0103f342fc5632cc/df6c9345abde93ef0103f342fc5632cc2.gif)
![信息系统安全漏洞评估及管理制度_第3页](http://file4.renrendoc.com/view/df6c9345abde93ef0103f342fc5632cc/df6c9345abde93ef0103f342fc5632cc3.gif)
![信息系统安全漏洞评估及管理制度_第4页](http://file4.renrendoc.com/view/df6c9345abde93ef0103f342fc5632cc/df6c9345abde93ef0103f342fc5632cc4.gif)
![信息系统安全漏洞评估及管理制度_第5页](http://file4.renrendoc.com/view/df6c9345abde93ef0103f342fc5632cc/df6c9345abde93ef0103f342fc5632cc5.gif)
版权说明:本文档由用户提供并上传,收益归属内容提供方,若内容存在侵权,请进行举报或认领
文档简介
川长虹电器股份有限公司虹微公司管理文件信息系统安全漏洞评估及管理制度xxxx-xx-xx发布xxxx-xx-xx实施四川长虹虹微公司发布目录1概况 错误!未定义书签。目的 错误!未定义书签。目的 错误!未定义书签。2正文 错误!未定义书签。.术语定义 错误!未定义书签。.职责分工 错误!未定义书签。.安全漏洞生命周期 错误!未定义书签。.信息安全漏洞管理 错误!未定义书签。原则 错误!未定义书签。风险等级 错误!未定义书签。评估范围 错误!未定义书签。整改时效性 错误!未定义书签。实施 错误!未定义书签。3例外处理 错误!未定义书签。错误!未定义书签错误错误!未定义书签错误!未定义书签错误!未定义书签解释....附录....1概况1.1目的1、 规范集团内部信息系统安全漏洞(包括操作系统、网络设备和应用系统)的评估及管理,降低信息系统安全风险;2、 明确信息系统安全漏洞评估和整改各方职责。1.2适用范围本制度适用于虹微公司管理的所有信息系统,非虹微公司管理的信息系统可参照执行。2正文术语定义信息安全Informationsecurity保护、维持信息的保密性、完整性和可用性,也可包括真实性、可核查性、抗抵赖性、可靠性等性质。信息安全漏洞Informationsecurityvulnerability信息系统在需求、设计、实现、配置、运行等过程中,有意或无意产生的缺陷,这些缺陷以不同形式存在于计算机信息系统的各个层次和环节之中,一旦被恶意主体利用,就会对信息系统的安全造成损害,影响信息系统的正常运行。资产Asset安全策略中,需要保护的对象,包括信息、数据和资源等等。风险Risk资产的脆弱性利用给定的威胁,对信息系统造成损害的潜在可能。风险的危害可通过事件发生的概率和造成的影响进行度量。信息系统(Informationsystem)由计算机硬件、网络和通讯设备、计算机软件、信息资源、信息用户和规章制度组成的以处理信息流为目的的人机一体化系统,本制度信息系统主要包括操作系统、网络设备以及应用系统等。职责分工安全服务部:负责信息系统安全漏洞的评估和管理,漏洞修复的验证工作,并为发现的漏洞提供解决建议。各研发部门研发部门负责修复应用系统存在的安全漏洞,并根据本制度的要求提供应用系统的测试环境信息和源代码给安全服务部进行安全评估。数据服务部数据服务部负责修复生产环境和测试环境操作系统、网络设备存在的安全漏洞,并根据本制度的要求提供最新最全的操作系统和网络设备的IP地址信息。安全漏洞生命周期依据信息安全漏洞从产生到消亡的整个过程,信息安全漏洞的生命周期可分为以下几个阶段:a) 漏洞的发现:通过人工或自动的方法分析、挖掘出漏洞的过程,且该漏洞可被验证和重现。b) 漏洞的利用:利用漏洞对信息系统的保密性、完整性和可用性造成破坏的过程。c) 漏洞的修复:通过补丁、升级版本或配置策略等方法对漏洞进行修补的过程,使该漏洞不能被利用。d) 漏洞的公开:通过公开渠道(如网站、邮件列表等)公布漏洞信息的过程。信息安全漏洞管理2.4.1原则信息安全漏洞管理遵循以下:a) 分级原则:应根据对业务影响程度,对安全漏洞进行分级;同时对不同级别的安全漏洞执行不同的处理要求;b) 及时性原则:安全服务部应及时把发现的漏洞发布给相关的负责人;各部门在对安全漏洞进行整改时,及时出具整改方案,及时进行研发或更新补丁和加固,及时消除漏洞与隐患;c)安全风险最小化原则:在处理漏洞信息时应以信息系统的风险最小化为原则;
d)保密性原则:对于未修复前的安全漏洞,必须严格控制评估报告发放范围,对评估报告中敏感的信息进行屏蔽。2.4.2风险等级充分考虑漏洞的利用难易程度以及对业务的影响情况,采取DREAD模型对安全漏洞进行风险等级划分。在量化风险的过程中,对每个威胁进行评分,并按照如下的公司计算风险值:Risk=D+R+E+A+DDREAD模型遍等级高⑶中⑵低⑴DamagePotential潜在危害获取完全权限;执行管理员操作;非法上传文件等等泄露敏感信息泄露其他信息Reproducibility重复利用可能性攻击者可以随意再次攻击攻击者可以重复攻击,但有时间或其他条件限制攻击者很难重复攻击过程Exploitability利用的困难程度初学者在短期内能掌握攻击方法熟练的攻击者才能完成这次攻击漏洞利用条件非常苛刻Affectedusers影响的用户范围所有用户,默认配置,关键用户部分用户,非默认配置极少数用户,匿名用户Discoverability发现的难易程度漏洞很显眼,攻击条件很容易获得在私有区域,部分人能看^」,需要深入挖掘漏洞发现该漏洞极其困难说明:每一项都有3个等级,对应着权重,从而形成了一个矩阵。表一:安全漏洞等级评估模型最后得出安全漏洞风险等级:计算得分安全漏洞风险等级5-7分低风险8-11分中风险12-15分高风险表二:风险等级对应分数2.4.3评估范围1) 安全服务部应定期对信息系统进行例行的安全漏洞评估,操作系统层面的评估主要以自动化工具为主,应用系统层面评估以自动化工具和手动测试相结合。2) 操作系统层面评估的范围为所有生产系统的服务器;网络层面评估的范围为公司内部网络所有的路由器、交换机、防火墙等网络设备;应用系统层面评估的范围为所有生产环境的应用系统,包括对互联网开发的应用系统以及内网的应用系统。3) 操作系统层面安全漏洞评估的周期为每季度一次,并出具漏洞评估报告。4) 应用系统层面的安全评估,新系统在第一个版本上线前,必须经过安全测试和源代码安全扫描。5) 应用系统层面的安全评估,对于原有系统进行版本更新的,按照下面的规则进行评估:如果本次版本中涉及信息安全漏洞整改的,在上线前必须经过安全测试;如果本次版本中没有涉及信息安全漏洞整改的依据下面的规则进行安全测试:a、 应用系统安全级别为高级别的,每间隔3个版本进行一次安全测试,比如在版本进行了安全测试,那下次测试在版本需要进行安全测试;b、 应用系统安全级别为中级或低级别的,每间隔5个版本进行一次安全测试,比如在版本进行了安全测试,那下次测试在版本需要进行安全测试;c、 如果需要进行测试的版本为紧急版本,可以延后到下一个正常版本进行安全测试。6) 安全服务部应定期跟进安全漏洞的修复情况,并对已修复的安全漏洞进行验证。7) 信息系统安全评估报告中应包括信息系统安全水平、漏洞风险等级的分布情况、漏洞的详细信息、漏洞的解决建议等。2.4.4整改时效性依据信息系统部署的不同方式和级别,以及发现的安全漏洞不同级别,整改时效性有一定的差异。2.4.4.1应用系统安全漏洞整改时效性要求依据DREAD模型,和应用系统的不同级别,应用系统安全漏洞处理时效要求如下表,低风险安全漏洞不做强制性要求。应用系统安全级别整改的时效性高风险漏洞中风险安全漏洞高级5个工作日10个工作日中级10个工作日10个工作日低级1个月内1个月内表三:应用系统安全漏洞整改时效性要求2.4.4.2操作系统安全漏洞整改时效性要求依据操作系统所处网络区域的不同,操作系统的安全漏洞处理时效要求如下表,低风险安全漏洞不做强制性要求。所处网络区域整改的时效性高风险漏洞中风险漏洞对外提供服务区域Window操作系统3个月内Linux&unix操作系统6个月内对于影响特别严重,易受攻击的漏洞,根据公司安全组的通告立即整改完成Window操作系统3个月内Linux&unix操作系统6个月内对内提供服务区域Window操作系统6个月内Linux&unix操作系统12个月内对于影响特别严重,易受攻击的漏洞,根据公司安全组的通告立即整改完成Window操作系统6个月内Linux&unix操作系统12个月内表四:操作系统安全漏洞整改时效性要求2.4.5实施根据安全漏洞生命周期中漏洞所处的不同状态,将漏洞管理行为对应为预防、发现、消减、发布和跟踪等阶段。1) 漏洞的预防针对集团内部自行开发的Web应用系统,应采用安全开发生命周期流程(SDL-IT),在需求、设计、编码、测试、上线等阶段关注信息安全,提高应用系统的安全水平。数据服务部应依据已发布的安全配置标准,对计算机操作系统进行安全加固、及时安装补丁、关闭不必要的服务、安装安全防护产品等操作。2) 漏洞的发现安全服务部应根据本制度的要求对公司的应用系统、操作系统和网络设备进行安全测试,及时发现信息系统存在的安全漏洞;安全服务部同时还应建立和维护公开的漏洞收集渠道,漏洞的来源应同时包括集团内部、厂商及第三方安全组织;安全服务部应在规定时间内验证自行发现或收集到的漏洞是否真实存在,并依据DREAD模型,确定漏洞的风险等级,并出具相应的解决建议。3)漏洞的发布安全服务部依据及时性原则,把发现的安全漏洞通知到相关的负责人;漏洞的发布应遵循保密性原则,在漏洞未整改完成前,仅发送给信息系统涉及的研发小组或管理小组,对敏感信息进行屏蔽。4) 漏洞的消减安全漏洞所涉及的各部门应遵循及时处理原则,根据本制度的要求在规定时间内修复发现的安全漏洞;数据服务部在安装厂商发布的操作系统及应用软件补丁时,应保证补丁的有效性和安全性,并在安装之前进行测试,避免因更新补丁而对产品或系统带来影响或新的安全风险;在无法安装补丁或更新版本的情况下,各部门应共同协商安全漏洞的解决措施。5) 漏洞的跟踪安全服务部应建立漏洞跟踪机制,对曾经出现的漏洞进行归档,并定期统计漏洞的修补情况,以便确切的找出信息系统的短板,为安全策略的制定提供依据。安全服务部应定期对安全漏洞的管理情况、安全漏洞解决措施和实施效果进行检查和审计,包括:预防措施是否落实到位,漏洞是否得到有效预防;已发现的漏洞是否得到有效处置;漏洞处理
温馨提示
- 1. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
- 2. 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
- 3. 本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
- 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
- 5. 人人文库网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
- 6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
- 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。
最新文档
- 2021英利PANDA Bifacial组件安装手册
- 互换性与测量技术基础(第3版) 课件第5章-表面结构
- 研究物质性质的程序 第三课时 高一上学期化学鲁科版(2019)必修第一册
- 商务数据可视化 第3章
- 无线电管理“智能化”建设项目需求
- 高血压防治指南2023年修订版
- 滋养心灵-2024-2025学年道德与法治七年级上册同步备课课件(统编版)
- 黄金卷04(考试版)-【赢在高考·黄金8卷】备战2024年高考地理模拟卷(全国卷老教材)
- 黄金卷07(解析版)-【赢在高考·黄金8卷】备战2024年高考地理模拟卷(山东专用)
- 小儿推拿发热
- (精选)山东省普通高中毕业证书
- 《手机摄影》全套课件(完整版)
- 学校请假条(代存根)(共1页)
- 火工品领用发放及交回工作流程
- JGJ_T231-2021建筑施工承插型盘扣式钢管脚手架安全技术标准(高清-最新版)
- 如何计算悬挑式钢管脚手架
- 制定医师带徒工作计划实施方案
- 供应商联络函 (2)
- 电影项目前期筹备PPT课件
- 尿脓毒血症ppt课件
- VMC850立式加工中心中文使用说明书
评论
0/150
提交评论