漏洞掃描制度

1、青島百森通支付有限公司漏洞掃描系統(tǒng)運(yùn)行安全管理制度第一章 總則第一條 為保障本公司信息網(wǎng)絡(luò)的安全、穩(wěn)定運(yùn)行，特制訂本制度。第二條 本制度適用于公司（以下簡(jiǎn)稱公司） 本部、分公司， 以及直屬各單位信息系統(tǒng) 的所有漏洞掃描及相關(guān)設(shè)備的管理和運(yùn)行。其他聯(lián)網(wǎng)單位參照?qǐng)?zhí)行。第二章 人員職責(zé)第三條 漏洞掃描系統(tǒng)管理員的任命 漏洞掃描系統(tǒng)管理員的任命應(yīng)遵循“任期有限、權(quán)限分散”的原則； 系統(tǒng)管理員的任期可根據(jù)系統(tǒng)的安全性要求而定， 最長(zhǎng)為三年， 期滿通過考核 后可以續(xù)任；必須簽訂保密協(xié)議書。第四條 漏洞掃描系統(tǒng)管理員的職責(zé)如下： 恪守職業(yè)道德， 嚴(yán)守企業(yè)秘密； 熟悉國(guó)家安全生產(chǎn)法以及有關(guān)通信管理的相關(guān) 規(guī)程

2、； 負(fù)責(zé)漏洞掃描軟件（包括漏洞庫(kù)）的管理、更新和公布； 負(fù)責(zé)對(duì)網(wǎng)絡(luò)系統(tǒng)所有服務(wù)器和專用網(wǎng)絡(luò)設(shè)備的首次、周期性和緊急的漏洞掃描； 負(fù)責(zé)查找修補(bǔ)漏洞的補(bǔ)丁程序，及時(shí)打補(bǔ)丁堵塞漏洞； 密切注意最新漏洞的發(fā)生、 發(fā)展情況， 關(guān)注和追蹤業(yè)界公布的漏洞疫情； 遵 守漏洞掃描設(shè)備各項(xiàng)管理規(guī)范。第三章 用戶管理第五條 只有漏洞掃描系統(tǒng)管理員才具有修改漏洞掃描設(shè)備配置、分析和掃描的權(quán) 限。第六條 為用戶級(jí)和特權(quán)級(jí)模式設(shè)置口令。 不能使用缺省口令， 確保用戶級(jí)和特權(quán)級(jí)模 式口令不同。每三個(gè)月進(jìn)行一次漏洞掃描。第七條 漏洞掃描設(shè)備口令長(zhǎng)度應(yīng)采用 8 位以上，由非純數(shù)字或字母組成， 并定期更換， 不能使用容易猜解的口

3、令。第四章 設(shè)備管理第八條 漏洞掃描設(shè)備的部署環(huán)境應(yīng)滿足相應(yīng)的國(guó)家標(biāo)準(zhǔn)和規(guī)范， 其網(wǎng)絡(luò)拓?fù)浜蛼呙璺?圍的更改要報(bào)送信息系統(tǒng)運(yùn)行管理部門批準(zhǔn)，以保證漏洞掃描設(shè)備發(fā)揮最大效 應(yīng)。第九條 漏洞掃描設(shè)備工作時(shí)會(huì)對(duì)網(wǎng)絡(luò)造成一定程度的影響， 應(yīng)避免在網(wǎng)絡(luò)運(yùn)行高峰 期進(jìn)行掃描，如有特殊情況應(yīng)通知有關(guān)的系統(tǒng)管理員第十條 漏洞掃描設(shè)備的規(guī)則設(shè)置、 更改的授權(quán)、 審批依據(jù) 漏洞掃描設(shè)備配置變更審批表（參見附表 1）進(jìn)行。漏洞掃描設(shè)備的規(guī)則設(shè)置、更改，應(yīng)該得到信息系 統(tǒng)運(yùn)行管理部門負(fù)責(zé)人的批準(zhǔn)，由系統(tǒng)管理員具體負(fù)責(zé)實(shí)施。第十一條 對(duì)掃描結(jié)果的分析和安全漏洞修補(bǔ)。 漏洞掃描后， 發(fā)現(xiàn)系統(tǒng)漏洞公告， 必 須及時(shí)找到修補(bǔ)

4、漏洞的補(bǔ)丁程序， 并通過專用工具， 及時(shí)下載打補(bǔ)丁， 堵塞漏洞。第十二條 漏洞掃描設(shè)備定期檢測(cè)和維護(hù)要求（首次實(shí)施） 。系統(tǒng)管理員對(duì)服務(wù)器和 專用網(wǎng)絡(luò)設(shè)備實(shí)施首次漏洞掃描。 服務(wù)器和專用網(wǎng)絡(luò)設(shè)備上線前， 必須進(jìn)行漏洞掃 描，并填寫漏洞掃描補(bǔ)丁記錄單 （附表 2）。第十三條 漏洞掃描設(shè)備定期檢測(cè)和維護(hù)要求（周期實(shí)施） 。系統(tǒng)管理員對(duì)服務(wù)器和專用網(wǎng)絡(luò)設(shè)備實(shí)施周期性漏洞掃描，并填寫漏洞掃描記錄單（附表 3）。第十四條漏洞掃描設(shè)備配置操作規(guī)程要求如下：記錄網(wǎng)絡(luò)環(huán)境， 定義漏洞掃描的網(wǎng)絡(luò)接口； 定義漏洞掃描的 IP 地址范圍；第十五條定義漏洞掃描的安全級(jí)別和掃描選項(xiàng)；安裝，升級(jí)最新的漏洞庫(kù)安裝，升級(jí)最新

5、的漏洞庫(kù)； 定義管理員清單和管理權(quán)限； 測(cè)試漏洞掃描設(shè)備的性能和做好網(wǎng)管數(shù)據(jù)庫(kù)。第十六條 漏洞掃描發(fā)現(xiàn)的安全事件處理和報(bào)告的要求。 一旦獲悉業(yè)界公布的漏洞 疫情， 并確認(rèn)它們存在嚴(yán)重的危害性， 即使公司當(dāng)前尚未出現(xiàn)受到侵?jǐn)_的跡象， 也 必須采取預(yù)防措施， 緊急更新庫(kù)， 通告公司， 對(duì)服務(wù)器和專用網(wǎng)絡(luò)設(shè)備實(shí)施緊急漏 洞掃描，及時(shí)調(diào)整防火墻策略，并填寫漏洞掃描記錄單 （附表 3）。第五章 附則第十七條 本制度由公司信息中心負(fù)責(zé)解釋。第十八條 本規(guī)定自頒布之日起實(shí)行，有新的修改版本頒布后，本規(guī)定自行終止附表1漏洞掃描設(shè)備配置變更審批表編號(hào):申請(qǐng)部門責(zé)任人聯(lián)系電話申請(qǐng)日期設(shè)備名稱設(shè)備類型設(shè)備型號(hào)設(shè)備位置授權(quán)性質(zhì)口新增策略 策略變更授權(quán)期限起始日期：結(jié)束日期：申請(qǐng)權(quán)限要求（所在網(wǎng)絡(luò)名稱 /IP范圍、掃描范圍、掃描方式、掃描目的等）：申請(qǐng)理由：申請(qǐng)部門意見：簽名：日期：信息系統(tǒng)運(yùn)行管理部門意見：簽名：日期：執(zhí)行記錄控制名稱控制目的掃描目標(biāo)地址掃描規(guī)則設(shè)置其他設(shè)置執(zhí)行人執(zhí)行日期附表2系統(tǒng)漏洞補(bǔ)丁記錄表編號(hào):記錄人記錄時(shí)間漏洞名稱漏洞通告發(fā)現(xiàn)時(shí)間漏洞通告發(fā)現(xiàn)地址漏洞補(bǔ)丁發(fā)現(xiàn)時(shí)間漏洞補(bǔ)丁發(fā)現(xiàn)地址漏洞補(bǔ)丁名稱漏洞補(bǔ)丁上載內(nèi)部網(wǎng)時(shí)間附表3 漏洞掃描記錄