admin 管理员组文章数量: 887021
2024年1月28日发(作者：网页弹窗广告代码)
附件
信息系统安全漏洞管理规范
第一章 总则
第一条 为规范我行信息系统安全漏洞的发现、评估及处理过程，及时发现安全漏洞，加快漏洞处理响应时间，及时消除安全隐患，特制订本规范。
第二条 本规范适用于我行所有信息系统，包括但不限于：
（一）应用系统：我行所有应用系统，包括自主开发和外购系统，系统类型包括系统、移动终端、小程序等。
（二）基础组件：为我行提供基础服务的系统或者硬件设备，包括但不限于：操作系统、数据库、中间件、网络设备、安全设备等。
第三条 名词定义
（一）漏洞：指在硬件、软件、协议的具体实现、系统安全策略上存在的缺陷或安全管理存在的隐患，使攻击者能够在未授权的情况下访问或破坏系统；
（二）信息安全工单：指处理通过安全测试、评审、安全扫描、人工检查、安全审计等途径发现的，未对信息系统的稳定运营造成影响但需要采取相应措施进行处置的信息安全潜在风险的流程单。
（三）DMZ区：非军事化区，部署互联网前置服务器所在区域，DMZ为生产前置与互联网通讯的边界区域。
第四条 本规范适用于我行各部门。
第二章 漏洞评级
第五条 漏洞根据危害程度、影响范围、受影响业务类别等多维度进行评级，分为严重漏洞、高危漏洞、中危漏洞、低危漏洞共四类，详细评级标准见附件一。
第六条 信息系统漏洞发现包括以下途径：
（一）信息科技部信息安全中心通过渗透性测试结果及提供安全评审意见；
（二）信息科技部信息安全中心通过安全评估、安全审计和现场检查等方式发现的安全管理漏洞；
（三）在授权的情况下我行内部使用安全评估工具扫描的结果；
（四）普通用户通过正规途径的上报告知，如通过安全应急响应中心及我行内部渠道上报的漏洞；
（五）来自供应商、安全厂商或外部组织发布的漏洞通知，如银保监会、人民银行、公安部、网信办等。
第三章 漏洞处理流程及实效要求
第七条 漏洞处理通过信息安全工单进行跟进，对应不同层面的漏洞，相应处理负责人对应关系如下：
漏洞类型
应用系统漏洞
基础组件漏洞
安全管理漏洞
处理负责人
信息科技部研发小组负责人
信息科技部运行中心负责人
各部门负责人
第八条 对于发现的安全漏洞，信息科技部信息安全中心将漏洞的风险等级、详细信息描述与修复方案通知到处理负责人，处理负责人应在2个自然日内确认漏洞的影响范围、整改修复计划，并在下表中要求的处理
时效内完成漏洞整改修复。因特殊情况无法在要求的时效内完成整改，处理负责人需提前提交延期申请及修复计划，由信息科技部信息安全中心负责人、信息科技部总经理及首席信息官审批。
第九条 对应不同层面的漏洞，修复时效要求如下：
（一）应用系统漏洞修复时效要求：
漏洞等级
严重
高危
中危
修复时效
2天
7天
14天
（二）基础组件漏洞修复时效要求：
漏洞
互联网区 生产区 开发测试区 管理区 外联区 办公区
等级
严重
高
中
3天
7天
21天
7天
14天
28天
14天
21天
42天
30天
90天
180天
7天
14天
28天
30天
90天
180天
备注：
1.基础组件包括操作系统、存储、数据库、网络、中间件等提供基础服务的系统或硬件设施。
2.低风险漏洞根据实际情况确定是否修复及修复时间。
3.如无特别说明，“天”指的是“自然日”。
（三）安全管理漏洞修复实效要求
漏洞等级
严重
高危
中危
修复时效
7天
14天
28天
第四章 职责分工
第十条 信息科技部信息安全中心职责：
（一）发现我行信息系统、相关的基础组件和安全管理的漏洞，及时将发现的漏洞转交相关部门做修复处理，并提供合理可行的修复方案；
（二）评估外部渠道获取的漏洞对我行的影响，及时将漏洞转交相关部门做修复处理，并提供可行的修复方案。
（三）对本规范的执行情况进行检查，确保所有漏洞都按照既定流程进行了有效的处理。
第十一条 信息科技部运行中心职责：负责我行操作系统、数据库、中间件、网络设备等基础组件安全漏洞的修复工作，包括：
（一）维护我行信息系统所有设备（包括虚拟机）和信息资产列表，能够根据漏洞描述迅速定位受影响设备，评估影响范围；
（二）根据信息科技部信息安全中心提供的扫描报告或漏洞描述，制定修复工作日程，按照本规范第三章时效要求进行整改修复。
（三）如确实存在特殊原因无法按时完成修复的，应在修复截止日期前向信息科技部信息安全中心申请延期，并共同协商延后的修复时间和排期。
第十二条 各信息科技部研发小组职责：负责我行各应用系统层面漏洞的修复工作，包括：
（一）根据信息科技部信息安全中心提供的扫描报告或漏洞描述，制定修复工作日程，按照本规范第三章时效要求进行整改修复；
（二）如确实存在特殊原因无法按时完成修复的，应在修复截止日期前向信息科技部信息安全中心申请延期，并共同协商延后的修复时间和排
期。
第五章 处罚规定
第十三条 对出现严重违反本管理规范的违规行为而引发信息安全事件或令我行遭受名誉、经济等损失的，将视其所造成的影响或损失，依据行内相关处罚规范，对相关责任人进行处罚。
第六章 附则
第十四条 本规范由信息科技部制定、修改并负责解释。
第十五条 本规范自发布之日起施行。
附件：1.漏洞评级标准
附件-1
漏洞评级标准
指标名称 详细说明
1.直接获取权限的漏洞（服务器权限、重要产品客户端权限），包括但不限于远程任意命令执行、上传Webshell、可利用远程缓冲区溢出、可利用的ActiveX堆栈溢出、可利用浏览器Useafterfree漏洞、可利用远程内核代码执行漏严重漏洞
洞以及其它因逻辑问题导致的可利用的远程代码执行漏洞；
2.直接导致严重的信息泄漏漏洞，包括但不限于重要DB的SQL注入漏洞；
3.直接导致严重影响的逻辑漏洞。
1.能直接盗取用户身份信息的漏洞，包括重要业务（如手机银行、微信银行等）的重点页面的存储型XSS漏洞、普通站点的SQL注入漏洞；
2.越权访问，包括但不限于敏感管理后台登录；
3.高风险的信息泄漏漏洞，包括但不限于可直接利用的敏感数据泄漏；
4.本地任意代码执行，包括但不限于本地可利用的堆栈溢出、UAF、Doublefree、Formatstring、本地提权、文件关高危漏洞 联的DLL劫持（不包括加载不存在的DLL文件及加载正常DLL未校验合法性）以及其它逻辑问题导致的本地代码执行漏洞；
5.直接获取客户端权限的漏洞，包括但不限于远程任意命令执行、远程缓冲区溢出、可利用的ActiveX堆栈溢出、浏览器Useafterfree漏洞、远程内核代码执行漏洞以及其它因逻辑问题导致的远程代码执行漏洞；
6.可获取敏感信息或者执行敏感操作的重要客户端产品（例如手机银行APP）的XSS漏洞。
1.需交互才能获取用户身份信息的漏洞，包括但不限于反射型XSS（包括反射型DOM-XSS）、JSON Hijacking、重要敏感操作的CSRF、普通业务的存储型XSS；
2.远程应用拒绝服务漏洞、敏感信息泄露、内核拒绝服务漏中危漏洞
洞、可获取敏感信息或者执行敏感操作的客户端产品的XSS漏洞；
3.普通信息泄漏漏洞，包括但不限于客户端明文存储密码、密码明文传输、包含敏感信息的源代码压缩包泄漏。
1.只在特定非流行浏览器环境下（如IE6等）才能获取用户身份信息的漏洞，包括但不限于反射型XSS（包括反射型DOM-XSS）、普通业务的存储型XSS等；
2.轻微信息泄漏漏洞，包括但不限于路径泄漏、SVN文件泄漏、Phpinfo、Logcat敏感信息泄漏；
3）PC客户端及移动客户端本地拒绝服务漏洞，包括但不限于组件权限导致的本地拒绝服务漏洞；
低危漏洞 4.越权访问，包括但不限于绕过客户端主动防御， URL跳转漏洞、绕过恶意网址检测机制的第三方URL跳转(注：跳转到正常网站的不属于跳转漏洞，跳转测试POC，如能跳转到该站点，且无任何提示，则存在漏洞，否则漏洞并不存在)；
5.难以利用但又可能存在安全隐患的问题，包括但不限于可能引起传播和利用的Self-XSS、非重要的敏感操作CSRF以及需借助中间人攻击的远程代码执行漏洞并提供了有效POC。
版权声明：本文标题：信息系统安全漏洞管理规范 内容由网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：http://www.freenas.com.cn/free/1706443593h506365.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。
发表评论