文档介绍：***肃四川长虹虹微公司发布蝿××××–××–××实施袈××××–××–××发布蚃信息系统安全漏洞评估及管理制度肄肂四川长虹电器股份有限公司莇虹微公司管理文件莃袂目录芀1 概况 2羃2 正文 原则 风险等级 评估范围 整改时效性 实施 6艿3 例外处理 7莅4 检查计划 8袃5 解释 8膂6 附录 8羂荿羅薄蒂肀羆蚂概况袁目的袀1、规范集团内部信息系统安全漏洞(包括操作系统、网络设备和应用系统)的评估及管理,降低信息系统安全风险;肇2、明确信息系统安全漏洞评估和整改各方职责。肅适用范围芀本制度适用于虹微公司管理的所有信息系统,非虹微公司管理的信息系统可参照执行。薀正文袅术语定义膃信息安全Informationsecurity蚀保护、维持信息的保密性、完整性和可用性,也可包括真实性、可核查性、抗抵赖性、可靠性等性质。莁信息安全漏洞Informationsecurityvulnerability袆信息系统在需求、设计、实现、配置、运行等过程中,有意或无意产生的缺陷,这些缺陷以不同形式存在于计算机信息系统的各个层次和环节之中,一旦被恶意主体利用,就会对信息系统的安全造成损害,影响信息系统的正常运行。薆资产Asset莃安全策略中,需要保护的对象,包括信息、数据和资源等等。螇风险Risk羇资产的脆弱性利用给定的威胁,对信息系统造成损害的潜在可能。风险的危害可通过事件发生的概率和造成的影响进行度量。蚄信息系统(Informationsystem)袃由计算机硬件、网络和通讯设备、计算机软件、信息资源、信息用户和规章制度组成的以处理信息流为目的的人机一体化系统,本制度信息系统主要包括操作系统、网络设备以及应用系统等。薈职责分工螅安全服务部:螂负责信息系统安全漏洞的评估和管理,漏洞修复的验证工作,并为发现的漏洞提供解决建议。节各研发部门芈研发部门负责修复应用系统存在的安全漏洞,并根据本制度的要求提供应用系统的测试环境信息和源代码给安全服务部进行安全评估。螆数据服务部膅数据服务部负责修复生产环境和测试环境操作系统、网络设备存在的安全漏洞,并根据本制度的要求提供最新最全的操作系统和网络设备的IP地址信息。蚁安全漏洞生命周期肈依据信息安全漏洞从产生到消亡的整个过程,信息安全漏洞的生命周期可分为以下几个阶段:袈漏洞的发现:通过人工或自动的方法分析、挖掘出漏洞的过程,且该漏洞可被验证和重现。芃漏洞的利用:利用漏洞对信息系统的保密性、完整性和可用性造成破坏的过程。肁漏洞的修复:通过补丁、升级版本或配置策略等方法对漏洞进行修补的过程,使该漏洞不能被利用。蝿漏洞的公开:通过公开渠道(如网站、邮件列表等)公布漏洞信息的过程。蚅信息安全漏洞管理蚅原则薀信息安全漏洞管理遵循以下:蕿分级原则:应根据对业务影响程度,对安全漏洞进行分级;同时对不同级别的安全漏洞执行不同的处理要求;螆及时性原则:安全服务部应及时把发现的漏洞发布给相关的负责人;各部门在对安全漏洞进行整改时,及时出具整改方案,及时进行研发或更新补丁和加固,及时消除漏洞与隐患;螄安全风险最小化原则:在处理漏洞信息时应以信息系统的风险最小化为原则;芄保密性原则:对于未修复前的安全漏洞,必须严格控制评估报告发放范围,对评估报告中敏感的信息进行屏蔽。艿风险等级螈充分考虑漏洞的利用难易程度以及对业务的影响情况,采取DREAD模型对安全漏洞进行风险等级划分。袂在量化风险的过程中,对每个威胁进行评分,并按照如下的公司计算风险值:蚃Risk=D+R+E+A+D羀薅DREAD模型芅类别等级肂高(3)螀中(2)蚆低(1)莃DamagePotential蒂潜在危害蒁获取完全权限;执行管理员操作;非法上传文件等等蚈泄露敏感信息螅泄露其他信息羁Reproducibility芁重复利用可能性蒅攻击者可以随意再次攻击袄攻击者可以重复攻击,但有时间或其他条件限制莀攻击者很难重复攻击过程螇Exploitability薇利用的困难程度羂初学者在短期内能掌握攻击方法螀熟练的攻击者才能完成这次攻击蒈漏洞利用条件非常苛刻薈Affectedusers芄影响的用户范围蒃所有用户,默认配置,关键用户膈部分用户,非默认配置莅极少数用户,匿名用户蒃Discoverability袃发现的难易程度羈漏洞很显眼,攻击条件很容易获得蒇在私有区域,部分人能看到,需要深入挖掘漏洞螅发现该漏洞极其困难莂说明:每一项都有3个等级,对应着权重,从而形成了一个矩阵。虿表一:安全漏洞等级评估模型薈最后得出安全漏洞风险等级:袄计算得分螁安全漏洞风险等级葿5-7分莅低风险芆8-