2021年安全漏洞管理核心制度.doc

文档介绍：文件名称
版本号
文件编号
机密等级
公布日期
生效日期
拟制
日期
审核
日期
同意
日期
XXXX
安全漏洞管理制度
创建/变更人
改变状态
变更摘要(章节/
内容)
版本
创建/变更时间
同意人
文件修订履历
改变状态：新建，增加，修改,删除
目录
1引言 5
5
5
5
2漏洞获知 5
3级别定义和处理时间要求 5
5
5
5
6
4职责分工 6
6
IT中心 6
6
5漏洞处理流程 7
6罚则 8
1引言

本制度规范了XXXX（以下简称：XXXX）信息系统安全漏洞发觉、评定及处理过程。保障尽早发觉安全漏洞，立即消除安全隐患。加紧安全处理响应时间，加强信息资产安全。

本制度阅读对象为单位全部运维人员、产品开发人员、测试和质量保障人员等。各产品开发、运行、系统运维、质量测试等部门责任人应通读并认真实施本制度中和其职责相关要求。

本制度中信息系统描述适适用于XXXX信息系统：
应用系统：全部业务相关应用系统，包含自主开发和外购产品。
操作系统：Windows、Linux 和 UNIX 等。
数据库：Oracle、MySQL、Sql Server 等。
中间件：Tomcat，Apache，Nginx 等。
网络设备：交换机、路由器等。
安全设备：安全管理、审计、防护设备等。
2漏洞获知
漏洞获知通常有以下方法：
来自软、硬件厂商和国际、中国著名安全组织安全通告。
单位信息安全部门工作人员渗透测试结果及安全评审意见。
使用安全漏洞评定工具扫描。
来自单位合作安全厂商或友好外部安全组织给出漏洞通知。
3等级定义和处理时间要求

对于没有CVE评级安全漏洞统一参考附录一标准进行漏洞评级。

：依据CVE标准。
：依据CVE标准。
：依据CVE标准。
（包含应用组件包）：依据CVE标准。
：详见附录一。

1操作系统层面：依据CVE标准。
2网络层面：依据CVE标准。
3.