信息系统安全漏洞管理规范

附件信息系统安全漏洞管理规范第一章总则为规范我行信息系统安全漏洞的发现、评估及处理过程，及时发现安全漏洞，加快漏洞处理响应时间，及时消除安全隐患，特制订本规范。本规范适用于我行所有信息系统，包括但不限于：（一）应用系统：我行所有应用系统，包括自主开发和外购系统，系统类型包括系统、移动终端、小程序等。（二）基础组件：为我行提供基础服务的系统或者硬件设备，包括但不限于：操作系统、数据库、中间件、网络设备、安全设备等。名词定义（一）漏洞：指在硬件、软件、协议的具体实现、系统安全策略上存在的缺陷或安全管理存在的隐患，使攻击者能够在未授权的情况下访问或破坏系统；（二）信息安全工单：指处理通过安全测试、评审、安全扫描、人工检查、安全审计等途径发现的，未对信息系统的稳定运营造成影响但需要采取相应措施进行处置的信息安全潜在风险的流程单。（三）DMZ区：非军事化区，部署互联网前置服务器所在区域，DMZ为生产前置与互联网通讯的边界区域。本规范适用于我行各部门。第二章漏洞评级漏洞根据危害程度、影响范围、受影响业务类别等多维度进行评级，分为严重漏洞、高危漏洞、中危漏洞、低危漏洞共四类，详细评级标准见附件一。信息系统漏洞发现包括以下途径：（一）信息科技部信息安全中心通过渗透性测试结果及提供安全评审意见；（二）信息科技部信息安全中心通过安全评估、安全审计和现场检查等方式发现的安全管理漏洞；（三）在授权的情况下我行内部使用安全评估工具扫描的结果；（四）普通用户通过正规途径的上报告知，如通过安全应急响应中心及我行内部渠道上报的漏洞；（五）来自供应商、安全厂商或外部组织发布的漏洞通知，如银保监会、人民银行、公安部、网信办等。第三章漏洞处理流程及实效要求漏洞处理通过信息安全工单进行跟进，对应不同层面的漏洞，相应处理负责人对应关系如下：漏洞类型处理负责人应用系统漏洞信息科技部研发小组负责人基础组件漏洞信息科技部运行中心负责人安全管理漏洞各部门负责人对于发现的安全漏洞，信息科技部信息安全中心将漏洞的风险等级、详细信息描述与修复方案通知到处理负责人，处理负责人应在2个自然日内确认漏洞的影响范围、整改修复计划，并在下表中要求的处理时效内完成漏洞整改修复。因特殊情况无法在要求的时效内完成整改，处理负责人需提前提交延期申请及修复计划，由信息科技部信息安全中心负责人、信息科技部总经理及首席信息官审批。对应不同层面的漏洞，修复时效要求如下：（一）应用系统漏洞修复时效要求：漏洞等级修复时效严重2天高危7天中危14天（二）基础组件漏洞修复时效要求：漏洞等级互联网区生产区开发测试区管理区外联区办公区严重3天7天14天30天7天30天高7天14天21天90天14天90天中21天28天42天180天28天180天备注：1.基础组件包括操作系统、存储、数据库、网络、中间件等提供基础服务的系统或硬件设施。2.低风险漏洞根据实际情况确定是否修复及修复时间。3.如无特别说明，“天”指的是“自然日”。（三）安全管理漏洞修复实效要求漏洞等级修复时效严重7天高危14天中危28天第四章职责分工信息科技部信息安全中心职责：（一）发现我行信息系统、相关的基础组件和安全管理的漏洞，及时将发现的漏洞转交相关部门做修复处理，并提供合理可行的修复方案；（二）评估外部渠道获取的漏洞对我行的影响，及时将漏洞转交相关部门做修复处理，并提供可行的修复方案。（三）对本规范的执行情况进行检查，确保所有漏洞都按照既定流程进行了有效的处理。信息科技部运行中心职责：负责我行操作系统、数据库、中间件、网络设备等基础组件安全漏洞的修复工作，包括：（一）维护我行信息系统所有设备（包括虚拟机）和信息资产列表，能够根据漏洞描述迅速定位受影响设备，评估影响范围；（二）根据信息科技部信息安全中心提供的扫描报告或漏洞描述，制定修复工作日程，按照本规范第三章时效要求进行整改修复。（三）如确实存在特殊原因无法按时完成修复的，应在修复截止日期前向信息科技部信息安全中心申请延期，并共同协商延后的修复时间和排期。各信息科技部研发小组职责：负责我行各应用系统层面漏洞的修复工作，包括：（一）根据信息科技部信息安全中心提供的扫描报告或漏洞描述，制定修复工作日程，按照本规范第三章时效要求进行整改修复；（二）如确实存在特殊原因无法按时完成修复的，应在修复截止日期前向信息科技部信息安全中心申请延期，并共同协商延后的修复时间和排期。第五章处罚规定对出现严重违反本管理规范的违规行为而引发信息安全事件或令我行遭受名誉、经济等损失的，将视其所造成的影响或损失，依据行内相关处罚规范，对相关责任人进行处罚。第六章附则本规范由信息科技部制定、修改并负责解释。本规范自发布之日起施行。附件：1.漏洞评级标准附件-1漏洞评级标准指标名称详细说明严重漏洞1.直接获取权限的漏洞（服务器权限、重要产品客户端权限），包括但不限于远程任意命令执行、上传Webshell、可利用远程缓冲区溢出、可利用的ActiveX堆栈溢出、可利用浏览器Useafterfree漏洞、可利用远程内核代码执行漏洞以及其它因逻辑问题导致的可利用的远程代码执行漏洞；2.直接导致严重的信息泄漏漏洞，包括但不限于重要DB的SQL注入漏洞；3.直接导致严重影响的逻辑漏洞。高危漏洞1.能直接盗取用户身份信息的漏洞，包括重要业务（如手机银行、微信银行等）的重点页面的存储型XSS漏洞、普通站点的SQL注入漏洞；2.越权访问，包括但不限于敏感管理后台登录；3.高风险的信息泄漏漏洞，包括但不限于可直接利用的敏感数据泄漏；4.本地任意代码执行，包括但不限于本地可利用的堆栈溢出、UAF、Doublefree、Formatstring、本地提权、文件关联的DLL劫持（不包括加载不存在的DLL文件及加载正常DLL未校验合法性）以及其它逻辑问题导致的本地代码执行漏洞；5.直接获取客户端权限的漏洞，包括但不限于远程任意命令执行、远程缓冲区溢出、可利用的ActiveX堆栈溢出、浏览器Useafterfree漏洞、远程内核代码执行漏洞以及其它因逻辑问题导致的远程代码执行漏洞；6.可获取敏感信息或者执行敏感操作的重要客户端产品（例如手机银行APP）的XSS漏洞。中危漏洞1.需交互才能获取用户身份信息的漏洞，包括但不限于反射型XSS（包括反射型DOM-XSS）、JSONHijacking、重要敏感操作的CSRF、普通业务的存储型XSS；2.远程应用拒绝服务漏洞、敏感信息泄露、内核拒绝服务漏洞、可获取敏感信息或者执行敏感操作的客户端产品的XSS漏洞；3.普通信息泄漏漏洞，包括但不限于客户端明文存储密码、密码明文传输、包含敏感信息的源代码压缩包泄漏。低危漏洞1.只在特定非流行浏览器环境下（如IE6等）才能获取用户身份信息的漏洞，包括但不限于反射型XSS（包括反射型DOM-XSS）、普通业务的存储型XSS等；2.轻微信息泄漏漏洞，包括但不限于路径泄漏、SVN文件泄漏、Phpinfo、Logcat敏感信息泄漏；3）PC客户端及移动客户端本地拒绝服务漏洞，包括但不限于组件权限导致的本地拒绝服务漏洞；4.越权访问，包括但不限于绕过客户端主动防御，URL跳转漏洞、绕过恶意网址检测