admin管理员组

文章数量:1585963

2024年4月24日发(作者：)

附件

信息系统安全漏洞管理规范

第一章 总则

第一条 为规范我行信息系统安全漏洞的发现、评估及处理过程，及

时发现安全漏洞，加快漏洞处理响应时间，及时消除安全隐患，特制订本

规范。

第二条 本规范适用于我行所有信息系统，包括但不限于：

（一）应用系统：我行所有应用系统，包括自主开发和外购系统，系

统类型包括系统、移动终端、小程序等。

（二）基础组件：为我行提供基础服务的系统或者硬件设备，包括但

不限于：操作系统、数据库、中间件、网络设备、安全设备等。

第三条 名词定义

（一）漏洞：指在硬件、软件、协议的具体实现、系统安全策略上存

在的缺陷或安全管理存在的隐患，使攻击者能够在未授权的情况下访问或

破坏系统；

（二）信息安全工单：指处理通过安全测试、评审、安全扫描、人工

检查、安全审计等途径发现的，未对信息系统的稳定运营造成影响但需要

采取相应措施进行处置的信息安全潜在风险的流程单。

（三）DMZ区：非军事化区，部署互联网前置服务器所在区域，DMZ

为生产前置与互联网通讯的边界区域。

第四条 本规范适用于我行各部门。

第二章 漏洞评级

第五条 漏洞根据危害程度、影响范围、受影响业务类别等多维度进

行评级，分为严重漏洞、高危漏洞、中危漏洞、低危漏洞共四类，详细评

级标准见附件一。

第六条 信息系统漏洞发现包括以下途径：

（一）信息科技部信息安全中心通过渗透性测试结果及提供安全评审

意见；

（二）信息科技部信息安全中心通过安全评估、安全审计和现场检查

等方式发现的安全管理漏洞；

（三）在授权的情况下我行内部使用安全评估工具扫描的结果；

（四）普通用户通过正规途径的上报告知，如通过安全应急响应中心

及我行内部渠道上报的漏洞；

（五）来自供应商、安全厂商或外部组织发布的漏洞通知，如银保监

会、人民银行、公安部、网信办等。

第三章 漏洞处理流程及实效要求

第七条 漏洞处理通过信息安全工单进行跟进，对应不同层面的漏

洞，相应处理负责人对应关系如下：

漏洞类型

应用系统漏洞

基础组件漏洞

安全管理漏洞

处理负责人

信息科技部研发小组负责人

信息科技部运行中心负责人

各部门负责人

第八条 对于发现的安全漏洞，信息科技部信息安全中心将漏洞的风

险等级、详细信息描述与修复方案通知到处理负责人，处理负责人应在2

个自然日内确认漏洞的影响范围、整改修复计划，并在下表中要求的处理

本文标签： 漏洞处理系统包括负责人

版权声明：本文标题：信息系统安全漏洞管理规范 内容由热心网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：https://www.elefans.com/xitong/1713955156a380014.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。