信息系統(tǒng)安全漏洞評(píng)估及管理制度v10(編輯修改稿)
2025-05-15 06:17 本頁面
【文章內(nèi)容簡(jiǎn)介】 時(shí)間或其他條件限制攻擊者很難重復(fù)攻擊過程Exploitability利用的困難程度初學(xué)者在短期內(nèi)能掌握攻擊方法熟練的攻擊者才能完成這次攻擊漏洞利用條件非常苛刻Affected users影響的用戶范圍所有用戶，默認(rèn)配置，關(guān)鍵用戶部分用戶，非默認(rèn)配置極少數(shù)用戶，匿名用戶Discoverability發(fā)現(xiàn)的難易程度漏洞很顯眼，攻擊條件很容易獲得在私有區(qū)域，部分人能看到，需要深入挖掘漏洞發(fā)現(xiàn)該漏洞極其困難說明：每一項(xiàng)都有3個(gè)等級(jí)，對(duì)應(yīng)著權(quán)重，從而形成了一個(gè)矩陣。表一：安全漏洞等級(jí)評(píng)估模型最后得出安全漏洞風(fēng)險(xiǎn)等級(jí)：計(jì)算得分安全漏洞風(fēng)險(xiǎn)等級(jí)57分低風(fēng)險(xiǎn)811分中風(fēng)險(xiǎn)1215分高風(fēng)險(xiǎn)表二：風(fēng)險(xiǎn)等級(jí)對(duì)應(yīng)分?jǐn)?shù) 評(píng)估范圍1) 安全服務(wù)部應(yīng)定期對(duì)信息系統(tǒng)進(jìn)行例行的安全漏洞評(píng)估，操作系統(tǒng)層面的評(píng)估主要以自動(dòng)化工具為主，應(yīng)用系統(tǒng)層面評(píng)估以自動(dòng)化工具和手動(dòng)測(cè)試相結(jié)合。2) 操作系統(tǒng)層面評(píng)估的范圍為所有生產(chǎn)系統(tǒng)的服務(wù)器；網(wǎng)絡(luò)層面評(píng)估的范圍為公司內(nèi)部網(wǎng)絡(luò)所有的路由器、交換機(jī)、防火墻等網(wǎng)絡(luò)設(shè)備；應(yīng)用系統(tǒng)層面評(píng)估的范圍為所有生產(chǎn)環(huán)境的應(yīng)用系統(tǒng)，包括對(duì)互聯(lián)網(wǎng)開發(fā)的應(yīng)用系統(tǒng)以及內(nèi)網(wǎng)的應(yīng)用系統(tǒng)。3) 操作系統(tǒng)層面安全漏洞評(píng)估的周期為每季度一次，并出具漏洞評(píng)估報(bào)告。4) 應(yīng)用系統(tǒng)層面的安全評(píng)估，新系統(tǒng)在第一個(gè)版本上線前，必須經(jīng)過安全測(cè)試和源代碼安全掃描。5) 應(yīng)用系統(tǒng)層面的安全評(píng)估，對(duì)于原有系統(tǒng)進(jìn)行版本更新的，按照下面的規(guī)則進(jìn)行評(píng)估：① 如果本次版本中涉及信息安全漏洞整改的，在上線前必須經(jīng)過安全測(cè)試；② 如果本次版本中沒有涉及信息安全漏洞整改的依據(jù)下面的規(guī)則進(jìn)行安全測(cè)試：a、應(yīng)用系統(tǒng)安全級(jí)別為高級(jí)別的，每間隔3個(gè)版本進(jìn)行一次安全測(cè)試，；b、應(yīng)用系統(tǒng)安全級(jí)別為中級(jí)或低級(jí)別的，每間隔5個(gè)版本進(jìn)行一次安全測(cè)試，；c、如果需要進(jìn)行測(cè)試的版本為緊急版本，可以延后到下一個(gè)正常版本進(jìn)行安全測(cè)試。6) 安全服務(wù)部應(yīng)定期跟進(jìn)安全漏洞的修復(fù)情況，并對(duì)已修復(fù)的安全漏洞進(jìn)行驗(yàn)證。7) 信息系統(tǒng)安全評(píng)估報(bào)告中應(yīng)包括信息系統(tǒng)安全水平、漏洞
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1