運維管理規(guī)定(編輯修改稿)
2024-10-29 07:12 本頁面
【文章內(nèi)容簡介】 ....................................................................................9信息安全漏洞管理規(guī)定建立信息安全漏洞管理流程的目的是為了加強公司信息安全保障能力，建立健全公司的安全管理體系，提高整體的網(wǎng)絡(luò)與信息安全水平，保證業(yè)務(wù)系統(tǒng)的正常運營，提高網(wǎng)絡(luò)服務(wù)質(zhì)量，在公司安全體系框架下，本策略為規(guī)范公司信息資產(chǎn)的漏洞管理（主要包含IT設(shè)備的弱點評估及安全加固），將公司信息資產(chǎn)的風(fēng)險置于可控環(huán)境之下。本策略適用于公司所有在生產(chǎn)環(huán)境和辦公環(huán)境中使用的網(wǎng)絡(luò)系統(tǒng)、服務(wù)器、應(yīng)用系統(tǒng)以及安全設(shè)備。 ISMS 基于業(yè)務(wù)風(fēng)險方法，建立、實施、運行、監(jiān)控、評審、保持和改進信息安全的體系，是公司整個管理體系的一部分。 安全弱點安全弱點是由于系統(tǒng)硬件、軟件在設(shè)計實現(xiàn)時或者是在安全策略的制定配置上的錯誤而引起的缺陷，是違背安全策略的軟件或硬件特征。有惡意企圖的用戶能夠利用安全弱點非法訪問系統(tǒng)或者破壞系統(tǒng)的正常使用。 弱點評估弱點評估是通過風(fēng)險調(diào)查，獲取與系統(tǒng)硬件、軟件在設(shè)計實現(xiàn)時或者是在安全策略的制定配置的威脅和弱點相關(guān)的信息，并對收集到的信息進行相應(yīng)分析，在此基礎(chǔ)上，識別、分析、評估風(fēng)險，綜合評判給出安全弱點被利用造成不良事件發(fā)生的可能性及損失/影響程度的觀點，最終形成弱點評估報告。闡述本制度/流程涉及的部門（角色）職責(zé)與權(quán)限。 安全管理員的職責(zé)和權(quán)限制定安全弱點評估方案，報信息安全經(jīng)理和IT相關(guān)經(jīng)理進行審批；進行信息系統(tǒng)的安全弱點評估；生成弱點分析報告并提交給信息安全經(jīng)理和IT相關(guān)經(jīng)理備案；根據(jù)安全弱點分析報告提供安全加固建議。 系統(tǒng)管理員的職責(zé)和權(quán)限依據(jù)安全弱點分析報告及加固建議制定詳細的安全加固方案（包括回退方案），報信息安全經(jīng)理和IT相關(guān)經(jīng)理進行審批；實施信息系統(tǒng)安全加固測試；實施信息系統(tǒng)的安全加固；在完成安全加固后編制加固報告并提交給信息安全經(jīng)理和IT相關(guān)經(jīng)理備案；向信息安全審核員報告業(yè)務(wù)系統(tǒng)的安全加固情況。 信息安全經(jīng)理、IT相關(guān)經(jīng)理的職責(zé)和權(quán)限信息安全經(jīng)理和IT相關(guān)經(jīng)理負責(zé)審核安全弱點評估方案、弱點分析報告、安全加固方案以及加固報告。 安全審計員的職責(zé)和權(quán)限安全審計員負責(zé)安全加固后的檢查和驗證，以及定期的審核和匯報。 弱點管理要求通過定期的信息資產(chǎn)（主要是IT設(shè)備和系統(tǒng)）弱點評估可以及時知道公司安全威脅狀況，這對及時掌握公司主要IT設(shè)備和系統(tǒng)弱點的狀況是極為有重要的；通過評估后的安全加固，可以及時彌補發(fā)現(xiàn)的安全弱點，降低公司的信息安全風(fēng)險。 評估及加固對象a)公司各類信息資產(chǎn)應(yīng)定期進行弱點評估及相應(yīng)加固工作。b)弱點評估和加固的信息資產(chǎn)可以分為如下幾類：：路由器、交換機、及其他網(wǎng)絡(luò)設(shè)備的操作系統(tǒng)及配置安全性。：操作系統(tǒng)的安全補丁、賬號號口令、安全配置、網(wǎng)絡(luò)服務(wù)、權(quán)限設(shè)置等。：數(shù)據(jù)庫及通用應(yīng)用軟件（如：WEB、Mail、DNS等）的安全補丁及安全配置，需應(yīng)用部門在測試環(huán)境測試通過后方可在正式環(huán)境中進行安全補丁加載。：VPN網(wǎng)關(guān)、防火墻、各類安全管理系統(tǒng)等設(shè)備或軟件的操作系統(tǒng)及配置安全性。 評估及加固過程中的安全要求a)在對信息資產(chǎn)進行弱點評估前應(yīng)制定詳細的弱點評估方案，充分考慮評估中出現(xiàn)的風(fēng)險，同時制定對應(yīng)的詳細回退方案。b)在對信息資產(chǎn)進行安全加固前應(yīng)制定詳細的安全加固方案，明確實施對象和實施步驟，如涉及到其他系統(tǒng)，應(yīng)分析可能存在的風(fēng)險以及應(yīng)對措施，并與關(guān)聯(lián)部門和廠商溝通。c)對于重要信息資產(chǎn)的弱點評估及安全加固，在操作前要進行測試。需經(jīng)本部門經(jīng)理的確認，同時上報信息安全經(jīng)理和IT相關(guān)經(jīng)理進行審批。d)對信息資產(chǎn)進行弱點評估和加固的時間應(yīng)選擇在業(yè)務(wù)閑時段，并保留充裕的回退時間。e)對信息資產(chǎn)進行安全加固后，應(yīng)進行總結(jié)并生成報告，進行弱點及加固措施的跟蹤。f)對信息資產(chǎn)進行安全加固完成后，應(yīng)進行業(yè)務(wù)測試以確保系統(tǒng)的正常運行。加固實施期間業(yè)務(wù)系統(tǒng)支持人員應(yīng)保證手機開機，確保出現(xiàn)問題時能及時
職業(yè)教育相關(guān)推薦
鄂ICP備17016276號-1