系統(tǒng)運維管理-信息安全漏洞管理規(guī)定.doc

信息安全漏洞管理規(guī)定 版本歷史 編制人： 審批人：目 錄目 錄2信息安全漏洞管理規(guī)定31.目的32. 范圍33. 定義33.1 ISMS33.2 安全弱點44. 職責和權限44.1 安全管理員的職責和權限44.2 系統(tǒng)管理員的職責和權限44.3 信息安全經(jīng)理、IT相關經(jīng)理的職責和權限54.4 安全審計員的職責和權限55. 內容55.1 弱點管理要求55.2 安全弱點評估75.3 系統(tǒng)安全加固75.4 監(jiān)督和檢查86. 參考文件87. 更改歷史記錄88. 附則89. 附件9 信息安全漏洞管理規(guī)定 1. 目的 建立信息安全漏洞管理流程的目的是為了加強公司信息安全保障能力，建立健全公司的安全管理體系，提高整體的網(wǎng)絡與信息安全水平，保證業(yè)務系統(tǒng)的正常運營，提高網(wǎng)絡服務質量，在公司安全體系框架下，本策略為規(guī)范公司信息資產(chǎn)的漏洞管理（主要包含IT設備的弱點評估及安全加固），將公司信息資產(chǎn)的風險置于可控環(huán)境之下。2. 范圍 本策略適用于公司所有在生產(chǎn)環(huán)境和辦公環(huán)境中使用的網(wǎng)絡系統(tǒng)、服務器、應用系統(tǒng)以及安全設 備。 3. 定義 3.1 ISMS 基于業(yè)務風險方法，建立、實施、運行、監(jiān)控、評審、保持和改進信息安全的體系，是公司整個管理體系的一部分。 3.2 安全弱點 安全弱點是由于系統(tǒng)硬件、軟件在設計實現(xiàn)時或者是在安全策略的制定配置上的錯誤而引起的缺陷，是違背安全策略的軟件或硬件特征。有惡意企圖的用戶能夠利用安全弱點非法訪問系統(tǒng)或者破壞系統(tǒng)的正常使用。 3.3 弱點評估 弱點評估是通過風險調查，獲取與系統(tǒng)硬件、軟件在設計實現(xiàn)時或者是在安全策略的制定配置的威脅和弱點相關的信息，并對收集到的信息進行相應分析，在此基礎上，識別、分析、評估風險，綜合評判給出安全弱點被利用造成不良事件發(fā)生的可能性及損失/影響程度的觀點，最終形成弱點評估報告。4. 職責和權限 闡述本制度/流程涉及的部門（角色）職責與權限。 4.1 安全管理員的職責和權限 1、制定安全弱點評估方案，報信息安全經(jīng)理和IT相關經(jīng)理進行審批； 2、進行信息系統(tǒng)的安全弱點評估； 3、生成弱點分析報告并提交給信息安全經(jīng)理和IT相關經(jīng)理備案； 4、根據(jù)安全弱點分析報告提供安全加固建議。 4.2 系統(tǒng)管理員的職責和權限 1、依據(jù)安全弱點分析報告及加固建議制定詳細的安全加固方案（包括回退方案），報信息安全經(jīng)理和IT相關經(jīng)理進行審批； 2、實施信息系統(tǒng)安全加固測試； 3、實施信息系統(tǒng)的安全加固； 4、在完成安全加固后編制加固報告并提交給信息安全經(jīng)理和IT相關經(jīng)理備案； 5、向信息安全審核員報告業(yè)務系統(tǒng)的安全加固情況。 4.3 信息安全經(jīng)理、IT相關經(jīng)理的職責和權限 1、信息安全經(jīng)理和IT相關經(jīng)理負責審核安全弱點評估方案、弱點分析報告、安全加固方案以及加固報告。 4.4 安全審計員的職責和權限 1、安全審計員負責安全加固后的檢查和驗證，以及定期的審核和匯報。5. 內容 5.1 弱點管理要求 通過定期的信息資產(chǎn)（主要是IT設備和系統(tǒng)）弱點評估可以及時知道公司安全威脅狀況，這對及時掌握公司主要IT設備和系統(tǒng)弱點的狀況是極為有重要的；通過評估后的安全加固，可以及時彌補發(fā)現(xiàn)的安全弱點，降低公司的信息安全風險。 5.1.1 評估及加固對象 a) 公司各類信息資產(chǎn)應定期進行弱點評估及相應加固工作。 b) 弱點評估和加固的信息資產(chǎn)可以分為如下幾類： i. 網(wǎng)絡設備：路由器、交換機、及其他網(wǎng)絡設備的操作系統(tǒng)及配置安全性。 ii. 服務器：操作系統(tǒng)的安全補丁、賬號號口令、安全配置、網(wǎng)絡服務、權限設置等。 iii. 應用系統(tǒng)：數(shù)據(jù)庫及通用應用軟件（如：WEB、Mail、DNS等）的安全補丁及安全配置，需應用部門在測試環(huán)境測試通過后方可在正式環(huán)境中進行安全補丁加載。 iv. 安全設備：VPN網(wǎng)關、防火墻、各類安全管理系統(tǒng)等設備或軟件的操作系統(tǒng)及配置安全性。 5.1.2 評估及加固過程中的安全要求 a) 在對信息資產(chǎn)進行弱點評估前應制定詳細的弱點評估方案，充分考慮評估中出現(xiàn)的風 險，同時制定對應的詳細回退方案。 b) 在對信息資產(chǎn)進行安全加固前應制定詳細的安全加固方案，明確實施對象和實施步驟， 如涉及到其他系統(tǒng)，應分析可能存在的風險以及應對措施，并與關聯(lián)部門和廠商溝通。 c) 對于重要信息資產(chǎn)的弱點評估及安全加固，在操作前要進行測試。需經(jīng)本部門經(jīng)理的確 認，同時上報信息安全經(jīng)理和IT相關經(jīng)理進行審批。 d) 對信息資產(chǎn)進行弱點評估和加固的時間應選擇在業(yè)務閑時段，并保留充裕的回退時間。 e) 對信息資產(chǎn)進行安全加固后，應進行總結并生成報告，進行弱點及加固措施的跟蹤。 f) 對信息資產(chǎn)進行安全加固完成后，應進行業(yè)務測試以確保系統(tǒng)的正常運行。加固實施期間業(yè)務系統(tǒng)支持人員應保證手機開機，確保出現(xiàn)問題時能及時處理。 g) 安全加固完成后次日，系統(tǒng)管理員及業(yè)務系統(tǒng)支持人員應對加固后的系統(tǒng)進行監(jiān)控，確 保系統(tǒng)的正常運行。 h) 弱點評估由IT相關經(jīng)理和安全管理員協(xié)助進行，安全加固由系統(tǒng)管理員執(zhí)行。如由供應 商或服務提供商協(xié)助實施安全加固，則應由系統(tǒng)管理員確保評估和加固的有效性并提交信息IT信息安全經(jīng)理和IT相關經(jīng)理進行評定。 5.2 安全弱點評估 5.2.1 公司每季度進行一次弱點評估工作，信息資產(chǎn)的弱點評估由安全管理員負責。 5.2.2 在進行信息資產(chǎn)弱點評估時應采用公司認可的掃描工具及檢查列表，弱點評估計劃需由 IT信息安全經(jīng)理和IT相關經(jīng)理進行確認和審批。 5.2.3 信息安全經(jīng)理和IT相關經(jīng)理弱點評估完成后，相關IT人員參考弱點評估報告編寫安全 加固方案，并進行系統(tǒng)安全加固工作。 5.2.4 安全管理員在各系統(tǒng)完成安全加固后，組織弱點評估復查，驗證加固后的效果。 5.2.5 所有安全弱點評估文檔應交付信息安全經(jīng)理和IT相關經(jīng)理備案。 5.3 系統(tǒng)安全加固 5.3.1 安全加固 a) 公司每次完成安全弱點評估后，各系統(tǒng)管理員應根據(jù)弱點評估結果確定需要加固的資 產(chǎn)，針對發(fā)現(xiàn)的安全弱點制定加固方案。 b) 安全加固前，加固人員應制定詳細的加固測試方案及加固實施方案（包括回退方案）并在測試環(huán)境中進行加固測試，確認無重大不良影響后才可實施正式加固。 c) 在完成安全加固后，加固人員應根據(jù)加固過程中弱點的處理情況編制加固報告。安全管 理員應對加固后的信息資產(chǎn)進行弱點評估復查，評估復查結果作為加固的措施驗證。 d) 所有加固文檔應交付信息安全經(jīng)理及IT相關經(jīng)理備案。 5.3.2 緊急安全加固 a) 當安全管理部發(fā)現(xiàn)高危漏洞時，提出緊急加固建議，通知相關IT人員進行測試后進行緊 急變更實施加固并事后給出評估報告。 5.4 監(jiān)督和檢查 5.4.1 安全審計員負責對信息安全弱點管理的執(zhí)行情況進行檢查，可通過安全漏洞掃描和現(xiàn)場 人工抽查進行審計和檢查，檢查的內容包括