信息系統(tǒng)安全漏洞評(píng)估及管理制度v10-資料下載頁(yè)
2025-04-17 07:07本頁(yè)面
【正文】 服務(wù)部同時(shí)還應(yīng)建立和維護(hù)公開(kāi)的漏洞收集渠道，漏洞的來(lái)源應(yīng)同時(shí)包括集團(tuán)內(nèi)部、廠商及第三方安全組織；216。 安全服務(wù)部應(yīng)在規(guī)定時(shí)間內(nèi)驗(yàn)證自行發(fā)現(xiàn)或收集到的漏洞是否真實(shí)存在，并依據(jù)DREAD模型，確定漏洞的風(fēng)險(xiǎn)等級(jí)，并出具相應(yīng)的解決建議。3) 漏洞的發(fā)布216。 安全服務(wù)部依據(jù)及時(shí)性原則，把發(fā)現(xiàn)的安全漏洞通知到相關(guān)的負(fù)責(zé)人；216。 漏洞的發(fā)布應(yīng)遵循保密性原則，在漏洞未整改完成前，僅發(fā)送給信息系統(tǒng)涉及的研發(fā)小組或管理小組，對(duì)敏感信息進(jìn)行屏蔽。4) 漏洞的消減216。 安全漏洞所涉及的各部門(mén)應(yīng)遵循及時(shí)處理原則，根據(jù)本制度的要求在規(guī)定時(shí)間內(nèi)修復(fù)發(fā)現(xiàn)的安全漏洞；216。 數(shù)據(jù)服務(wù)部在安裝廠商發(fā)布的操作系統(tǒng)及應(yīng)用軟件補(bǔ)丁時(shí)，應(yīng)保證補(bǔ)丁的有效性和安全性，并在安裝之前進(jìn)行測(cè)試，避免因更新補(bǔ)丁而對(duì)產(chǎn)品或系統(tǒng)帶來(lái)影響或新的安全風(fēng)險(xiǎn)；216。 在無(wú)法安裝補(bǔ)丁或更新版本的情況下，各部門(mén)應(yīng)共同協(xié)商安全漏洞的解決措施。5) 漏洞的跟蹤216。 安全服務(wù)部應(yīng)建立漏洞跟蹤機(jī)制，對(duì)曾經(jīng)出現(xiàn)的漏洞進(jìn)行歸檔，并定期統(tǒng)計(jì)漏洞的修補(bǔ)情況，以便確切的找出信息系統(tǒng)的短板，為安全策略的制定提供依據(jù)。216。 安全服務(wù)部應(yīng)定期對(duì)安全漏洞的管理情況、安全漏洞解決措施和實(shí)施效果進(jìn)行檢查和審計(jì)，包括：① 預(yù)防措施是否落實(shí)到位，漏洞是否得到有效預(yù)防；② 已發(fā)現(xiàn)的漏洞是否得到有效處置；③ 漏洞處理過(guò)程是否符合及時(shí)處理和安全風(fēng)險(xiǎn)最小化等原則。3 例外處理 如因特殊原因，不能按照規(guī)定的時(shí)效性要求完成漏洞修復(fù)的，可申請(qǐng)延期，申請(qǐng)延期必須經(jīng)過(guò)研發(fā)總監(jiān)或數(shù)據(jù)服務(wù)部部長(zhǎng)和安全服務(wù)部部長(zhǎng)審批。如因特殊原因，不能進(jìn)行修復(fù)的，必須申請(qǐng)例外，按風(fēng)險(xiǎn)接受處理，申請(qǐng)例外必須經(jīng)過(guò)研發(fā)總監(jiān)或數(shù)據(jù)服務(wù)部總監(jiān)和安全服務(wù)部總監(jiān)審批。4 檢查計(jì)劃安全服務(wù)部每年組織1次對(duì)信息系統(tǒng)安全漏洞的評(píng)估和管理工作進(jìn)行檢查。5 解釋本流程制度由安全服務(wù)部負(fù)責(zé)解釋。6 附錄 無(wú) 第 9 頁(yè) 共 9 頁(yè)
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1