信息系統(tǒng)安全漏洞評估及管理制度v10(編輯修改稿)
2025-05-15 06:17 本頁面
【文章內(nèi)容簡介】 時間或其他條件限制攻擊者很難重復攻擊過程Exploitability利用的困難程度初學者在短期內(nèi)能掌握攻擊方法熟練的攻擊者才能完成這次攻擊漏洞利用條件非常苛刻Affected users影響的用戶范圍所有用戶，默認配置，關鍵用戶部分用戶，非默認配置極少數(shù)用戶，匿名用戶Discoverability發(fā)現(xiàn)的難易程度漏洞很顯眼，攻擊條件很容易獲得在私有區(qū)域，部分人能看到，需要深入挖掘漏洞發(fā)現(xiàn)該漏洞極其困難說明：每一項都有3個等級，對應著權(quán)重，從而形成了一個矩陣。表一：安全漏洞等級評估模型最后得出安全漏洞風險等級：計算得分安全漏洞風險等級57分低風險811分中風險1215分高風險表二：風險等級對應分數(shù) 評估范圍1) 安全服務部應定期對信息系統(tǒng)進行例行的安全漏洞評估，操作系統(tǒng)層面的評估主要以自動化工具為主，應用系統(tǒng)層面評估以自動化工具和手動測試相結(jié)合。2) 操作系統(tǒng)層面評估的范圍為所有生產(chǎn)系統(tǒng)的服務器；網(wǎng)絡層面評估的范圍為公司內(nèi)部網(wǎng)絡所有的路由器、交換機、防火墻等網(wǎng)絡設備；應用系統(tǒng)層面評估的范圍為所有生產(chǎn)環(huán)境的應用系統(tǒng)，包括對互聯(lián)網(wǎng)開發(fā)的應用系統(tǒng)以及內(nèi)網(wǎng)的應用系統(tǒng)。3) 操作系統(tǒng)層面安全漏洞評估的周期為每季度一次，并出具漏洞評估報告。4) 應用系統(tǒng)層面的安全評估，新系統(tǒng)在第一個版本上線前，必須經(jīng)過安全測試和源代碼安全掃描。5) 應用系統(tǒng)層面的安全評估，對于原有系統(tǒng)進行版本更新的，按照下面的規(guī)則進行評估：① 如果本次版本中涉及信息安全漏洞整改的，在上線前必須經(jīng)過安全測試；② 如果本次版本中沒有涉及信息安全漏洞整改的依據(jù)下面的規(guī)則進行安全測試：a、應用系統(tǒng)安全級別為高級別的，每間隔3個版本進行一次安全測試，；b、應用系統(tǒng)安全級別為中級或低級別的，每間隔5個版本進行一次安全測試，；c、如果需要進行測試的版本為緊急版本，可以延后到下一個正常版本進行安全測試。6) 安全服務部應定期跟進安全漏洞的修復情況，并對已修復的安全漏洞進行驗證。7) 信息系統(tǒng)安全評估報告中應包括信息系統(tǒng)安全水平、漏洞
公司管理相關推薦
鄂ICP備17016276號-1