漏洞掃描系統(tǒng)運行安全管理制度

1、 專業(yè)技術(shù)文件 / DOCUMENT TEMPLATE 編號： 漏洞掃描系統(tǒng)運行安全管理制度（完整 正式 規(guī)范）編制人：_審核人：_日 期：_漏洞掃描系統(tǒng)運行安全管理制度說明：該文件為本公司員工進行生產(chǎn)和各項管理工作共同的技術(shù)依據(jù)，通過對具體的工作環(huán)節(jié)進行規(guī)范、約束，以確保生產(chǎn)、管理活動的正常、有序、優(yōu)質(zhì)進行。本文檔可根據(jù)實際情況進行修改和使用。第一章總則 第一條為保障電網(wǎng)公司信息網(wǎng)絡(luò)的安全、穩(wěn)定運行，特制訂本制度。 第二條本制度適用于海南電網(wǎng)公司（以下簡稱公司）本部、分公司，以及直屬各單位信息系統(tǒng)的所有漏洞掃描及相關(guān)設(shè)備的管理和運行。其他聯(lián)網(wǎng)單位參照執(zhí)行。 第二章人員職責(zé) 第三條漏洞掃描系統(tǒng)

2、管理員的任命 漏洞掃描系統(tǒng)管理員的任命應(yīng)遵循任期有限、權(quán)限分散的原則； 系統(tǒng)管理員的任期可根據(jù)系統(tǒng)的安全性要求而定，最長為三年，期滿通過考核后可以續(xù)任； 必須簽訂保密協(xié)議書。 第四條漏洞掃描系統(tǒng)管理員的職責(zé)如下： 恪守職業(yè)道德，嚴(yán)守企業(yè)秘密；熟悉國家安全生產(chǎn)法以及有關(guān)通信管理的相關(guān)規(guī)程； 負(fù)責(zé)漏洞掃描軟件（包括漏洞庫）的管理、更新和公布； 負(fù)責(zé)對網(wǎng)絡(luò)系統(tǒng)所有服務(wù)器和專用網(wǎng)絡(luò)設(shè)備的首次、周期性和緊急的漏洞掃描； 負(fù)責(zé)查找修補漏洞的補丁程序，及時打補丁堵塞漏洞； 密切注意最新漏洞的發(fā)生、發(fā)展情況，關(guān)注和追蹤業(yè)界公布的漏洞疫情； 遵守漏洞掃描設(shè)備各項管理規(guī)范。 第三章用戶管理 第五條只有漏洞掃描系統(tǒng)

3、管理員才具有修改漏洞掃描設(shè)備配置、分析和掃描的權(quán)限。 第六條為用戶級和特權(quán)級模式設(shè)置口令。不能使用缺省口令，確保用戶級和特權(quán)級模式口令不同。 第七條漏洞掃描設(shè)備口令長度應(yīng)采用8位以上，由非純數(shù)字或字母組成，并定期更換，不能使用容易猜解的口令。 第四章設(shè)備管理 第八條漏洞掃描設(shè)備的部署環(huán)境應(yīng)滿足相應(yīng)的國家標(biāo)準(zhǔn)和規(guī)范，其網(wǎng)絡(luò)拓?fù)浜蛼呙璺秶母囊獔笏托畔⑾到y(tǒng)運行管理部門批準(zhǔn)，以保證漏洞掃描設(shè)備發(fā)揮最大效應(yīng)。 第九條漏洞掃描設(shè)備工作時會對網(wǎng)絡(luò)造成一定程度的影響，應(yīng)避免在網(wǎng)絡(luò)運行高峰期進行掃描，如有特殊情況應(yīng)通知有關(guān)的系統(tǒng)管理員 第十條漏洞掃描設(shè)備的規(guī)則設(shè)置、更改的授權(quán)、審批依據(jù)漏洞掃描設(shè)備配置變更審

4、批表（參見附表1）進行。漏洞掃描設(shè)備的規(guī)則設(shè)置、更改，應(yīng)該得到信息系統(tǒng)運行管理部門負(fù)責(zé)人的批準(zhǔn)，由系統(tǒng)管理員具體負(fù)責(zé)實施。 第十一條對掃描結(jié)果的分析和安全漏洞修補。漏洞掃描后，發(fā)現(xiàn)系統(tǒng)漏洞公告，必須及時找到修補漏洞的補丁程序，并通過專用工具，及時下載打補丁，堵塞漏洞。 第十二條漏洞掃描設(shè)備定期檢測和維護要求（首次實施）。系統(tǒng)管理員對服務(wù)器和專用網(wǎng)絡(luò)設(shè)備實施首次漏洞掃描。服務(wù)器和專用網(wǎng)絡(luò)設(shè)備上線前，必須進行漏洞掃描，并填寫漏洞掃描補丁記錄單（附表2）。 第十三條漏洞掃描設(shè)備定期檢測和維護要求（周期實施）。系統(tǒng)管理員對服務(wù)器和專用網(wǎng)絡(luò)設(shè)備實施周期性漏洞掃描，并填寫漏洞掃描記錄單（附表3）。 第十四條漏洞掃描設(shè)備配置操作規(guī)程要求如下： 記錄網(wǎng)絡(luò)環(huán)境，定義漏洞掃描的網(wǎng)絡(luò)接口； 定義漏洞掃描的IP地址范圍； 定義漏洞掃描的安全級別和掃描選項； 安裝，升級最新的漏洞庫； 定義管理員清單和管理權(quán)限； 測試漏洞掃描設(shè)備的性能和做好網(wǎng)管數(shù)據(jù)庫。 第十五條漏洞掃描發(fā)現(xiàn)的安全事件處理和報告的要求。一旦獲悉業(yè)界公布的漏洞疫情，并確認(rèn)它們存在嚴(yán)重的危害性，即使公司當(dāng)前尚未出現(xiàn)受到侵?jǐn)_的跡象，也必須采取預(yù)防措施，緊急更新庫，通告公司，對服務(wù)器和專用網(wǎng)絡(luò)設(shè)備實施緊急漏洞掃描，及時調(diào)整防火墻策略，并填寫漏洞掃描記錄單（附表3）。