F4-C-研發(fā)服務(wù)體系-006-V1.0-補(bǔ)丁管理規(guī)定

【補(bǔ)丁管理規(guī)定】F4-C-研發(fā)服務(wù)體系-006-V1.0第頁(yè)補(bǔ)丁管理規(guī)定目錄TOC\o"1-3"\h\u1總則 22適用范圍 23職責(zé)分工 24補(bǔ)丁管理 35附則 4

1總則1.1為加強(qiáng)北京訊鳥(niǎo)軟件有限公司（以下簡(jiǎn)稱“公司”）補(bǔ)丁的管理，規(guī)范補(bǔ)丁部署流程，保證信息系統(tǒng)補(bǔ)丁及時(shí)更新，確保公司企業(yè)信息網(wǎng)絡(luò)安全穩(wěn)定的運(yùn)行，特制定本規(guī)定。1.2本規(guī)定所涉及的補(bǔ)丁包括操作系統(tǒng)補(bǔ)丁、數(shù)據(jù)庫(kù)補(bǔ)丁和應(yīng)用系統(tǒng)補(bǔ)丁。2適用范圍本規(guī)定適用范圍為北京訊鳥(niǎo)軟件有限公司。3職責(zé)分工3.1操作系統(tǒng)補(bǔ)丁管理員3.1.1負(fù)責(zé)各操作系統(tǒng)（含瀏覽器、辦公軟件）補(bǔ)丁的管理。3.1.2負(fù)責(zé)收集操作系統(tǒng)漏洞信息，跟蹤最新補(bǔ)丁信息，評(píng)估漏洞威脅、成因和嚴(yán)重性。3.1.3負(fù)責(zé)提出操作系統(tǒng)漏洞修補(bǔ)要求和相關(guān)防護(hù)措施審批變更計(jì)劃。3.2數(shù)據(jù)庫(kù)補(bǔ)丁管理員3.2.1負(fù)責(zé)各數(shù)據(jù)庫(kù)補(bǔ)丁的管理。3.2.2負(fù)責(zé)收集數(shù)據(jù)庫(kù)漏洞信息，跟蹤最新補(bǔ)丁信息，評(píng)估漏洞威脅、成因和嚴(yán)重性。3.2.3負(fù)責(zé)提出數(shù)據(jù)庫(kù)漏洞修補(bǔ)要求和相關(guān)防護(hù)措施，審批變更計(jì)劃。3.3應(yīng)用系統(tǒng)補(bǔ)丁管理員3.3.1負(fù)責(zé)各應(yīng)用系統(tǒng)（含中間件）補(bǔ)丁的管理。3.3.2負(fù)責(zé)收集應(yīng)用系統(tǒng)漏洞信息，跟蹤最新補(bǔ)丁信息。評(píng)估漏洞威脅、成因和嚴(yán)重性。3.3.3負(fù)責(zé)提出應(yīng)用系統(tǒng)漏洞修補(bǔ)要求和相關(guān)防護(hù)措施，審批變更計(jì)劃。3.4補(bǔ)丁測(cè)試員3.4.1負(fù)責(zé)搭建測(cè)試環(huán)境，負(fù)責(zé)測(cè)試補(bǔ)丁和測(cè)試結(jié)果的記錄。3.4.2負(fù)責(zé)跟蹤最新補(bǔ)丁信息和下載補(bǔ)丁。3.5補(bǔ)丁安裝員3.5.1負(fù)責(zé)補(bǔ)丁的安裝或分發(fā)，負(fù)責(zé)制訂補(bǔ)丁修補(bǔ)計(jì)劃。3.5.2負(fù)責(zé)解決補(bǔ)丁安裝或分發(fā)過(guò)程中出現(xiàn)的問(wèn)題。4補(bǔ)丁管理4.1補(bǔ)丁由測(cè)試部或系統(tǒng)服務(wù)部統(tǒng)一進(jìn)行下載、測(cè)試和安裝，重要一級(jí)二級(jí)硬件或系統(tǒng)，未經(jīng)許可不可私自下載安裝補(bǔ)丁。4.2補(bǔ)丁來(lái)源須為原廠商官方網(wǎng)站或原廠商工作人員，對(duì)于非法的補(bǔ)丁禁止安裝。4.34.3補(bǔ)丁安裝前應(yīng)先做好系統(tǒng)和數(shù)據(jù)備份工作，避免出現(xiàn)問(wèn)題進(jìn)行回退。經(jīng)嚴(yán)格測(cè)試通過(guò)后方可安裝。對(duì)測(cè)試不成功的補(bǔ)丁嚴(yán)禁安裝，測(cè)試結(jié)果記錄表見(jiàn)《補(bǔ)丁安裝計(jì)劃和實(shí)施方案》。4.4測(cè)試中發(fā)現(xiàn)的問(wèn)題應(yīng)做詳細(xì)分析，判斷發(fā)生問(wèn)題的原因并及時(shí)解決如果不能解決，須記錄發(fā)生問(wèn)題的環(huán)境，立即反饋給原廠商。4.5對(duì)于剛發(fā)布的嚴(yán)重等級(jí)漏洞，無(wú)補(bǔ)丁或未通過(guò)測(cè)試的補(bǔ)丁，可采用臨時(shí)解決辦法消除漏洞的威脅或者暫時(shí)接受該風(fēng)險(xiǎn)。4.6制訂補(bǔ)丁修補(bǔ)計(jì)劃須先分析信息資產(chǎn)、IT系統(tǒng)環(huán)境、IT網(wǎng)絡(luò)環(huán)境和信息資產(chǎn)重要等級(jí)，確定需要安裝的補(bǔ)丁和相應(yīng)嚴(yán)重等級(jí)，同時(shí)明確修補(bǔ)時(shí)間、修補(bǔ)方式和修補(bǔ)范圍。4.7補(bǔ)丁安裝須先填寫變更工單，或工作票。相應(yīng)補(bǔ)丁管理員和應(yīng)用系統(tǒng)管理員對(duì)變更的必要性、風(fēng)險(xiǎn)和修補(bǔ)計(jì)劃進(jìn)行評(píng)審，評(píng)審?fù)ㄟ^(guò)后由應(yīng)用系統(tǒng)管理員安排各級(jí)系統(tǒng)服務(wù)人員全過(guò)程配合補(bǔ)丁安裝員完成補(bǔ)丁的安裝和應(yīng)用系統(tǒng)的測(cè)試。4.8補(bǔ)丁安裝順序遵循“資產(chǎn)價(jià)值大、威脅等級(jí)高優(yōu)先安裝”的原則。對(duì)于漏洞級(jí)別為嚴(yán)重的補(bǔ)丁，無(wú)特殊情況須在補(bǔ)丁發(fā)布后1星期內(nèi)安裝。4.9補(bǔ)丁安裝完成后應(yīng)進(jìn)行全面檢查，以確認(rèn)補(bǔ)丁安裝情況，同時(shí)制定補(bǔ)丁清單列表。5附則5.1本辦法由北京訊鳥(niǎo)軟件有限公司系統(tǒng)服務(wù)部負(fù)責(zé)解釋。5.2本辦法自發(fā)布之日起施行。本制度相關(guān)修改及解釋權(quán)屬于研發(fā)服務(wù)體系文檔編號(hào)（由總經(jīng)辦填寫）F4-C-研發(fā)服務(wù)體系-006-V1.0密級(jí)內(nèi)部公開(kāi)文檔發(fā)布級(jí)別公司級(jí)文檔發(fā)布及實(shí)行范圍研發(fā)服務(wù)體系制度試行日期（可選）制度執(zhí)行日期2017/07/01文檔起草人簽字：日期：2017/07/01文檔修訂人：簽字：日期：修