信息系統(tǒng)安全漏洞評估及管理制度v10(編輯修改稿)
2025-05-14 07:07 本頁面
【文章內(nèi)容簡介】 時間或其他條件限制攻擊者很難重復(fù)攻擊過程Exploitability利用的困難程度初學(xué)者在短期內(nèi)能掌握攻擊方法熟練的攻擊者才能完成這次攻擊漏洞利用條件非?？量藺ffected users影響的用戶范圍所有用戶，默認(rèn)配置，關(guān)鍵用戶部分用戶，非默認(rèn)配置極少數(shù)用戶，匿名用戶Discoverability發(fā)現(xiàn)的難易程度漏洞很顯眼，攻擊條件很容易獲得在私有區(qū)域，部分人能看到，需要深入挖掘漏洞發(fā)現(xiàn)該漏洞極其困難說明：每一項都有3個等級，對應(yīng)著權(quán)重，從而形成了一個矩陣。表一：安全漏洞等級評估模型最后得出安全漏洞風(fēng)險等級：計算得分安全漏洞風(fēng)險等級57分低風(fēng)險811分中風(fēng)險1215分高風(fēng)險表二：風(fēng)險等級對應(yīng)分?jǐn)?shù) 評估范圍1) 安全服務(wù)部應(yīng)定期對信息系統(tǒng)進行例行的安全漏洞評估，操作系統(tǒng)層面的評估主要以自動化工具為主，應(yīng)用系統(tǒng)層面評估以自動化工具和手動測試相結(jié)合。2) 操作系統(tǒng)層面評估的范圍為所有生產(chǎn)系統(tǒng)的服務(wù)器；網(wǎng)絡(luò)層面評估的范圍為公司內(nèi)部網(wǎng)絡(luò)所有的路由器、交換機、防火墻等網(wǎng)絡(luò)設(shè)備；應(yīng)用系統(tǒng)層面評估的范圍為所有生產(chǎn)環(huán)境的應(yīng)用系統(tǒng)，包括對互聯(lián)網(wǎng)開發(fā)的應(yīng)用系統(tǒng)以及內(nèi)網(wǎng)的應(yīng)用系統(tǒng)。3) 操作系統(tǒng)層面安全漏洞評估的周期為每季度一次，并出具漏洞評估報告。4) 應(yīng)用系統(tǒng)層面的安全評估，新系統(tǒng)在第一個版本上線前，必須經(jīng)過安全測試和源代碼安全掃描。5) 應(yīng)用系統(tǒng)層面的安全評估，對于原有系統(tǒng)進行版本更新的，按照下面的規(guī)則進行評估：① 如果本次版本中涉及信息安全漏洞整改的，在上線前必須經(jīng)過安全測試；② 如果本次版本中沒有涉及信息安全漏洞整改的依據(jù)下面的規(guī)則進行安全測試：a、應(yīng)用系統(tǒng)安全級別為高級別的，每間隔3個版本進行一次安全測試，；b、應(yīng)用系統(tǒng)安全級別為中級或低級別的，每間隔5個版本進行一次安全測試，；c、如果需要進行測試的版本為緊急版本，可以延后到下一個正常版本進行安全測試。6) 安全服務(wù)部應(yīng)定期跟進安全漏洞的修復(fù)情況，并對已修復(fù)的安全漏洞進行驗證。7) 信息系統(tǒng)安全評估報告中應(yīng)包括信息系統(tǒng)安全水平、漏洞
公司管理相關(guān)推薦
鄂ICP備17016276號-1