漏洞掃描制度

1、青島百森通支付有限公司漏洞掃描系統(tǒng)運行安全管理制度第一章 總則第一條 為保障本公司信息網(wǎng)絡的安全、穩(wěn)定運行，特制訂本制度。第二條 本制度適用于公司（以下簡稱公司） 本部、分公司， 以及直屬各單位信息系統(tǒng) 的所有漏洞掃描及相關(guān)設備的管理和運行。其他聯(lián)網(wǎng)單位參照執(zhí)行。第二章 人員職責第三條 漏洞掃描系統(tǒng)管理員的任命 漏洞掃描系統(tǒng)管理員的任命應遵循“任期有限、權(quán)限分散”的原則； 系統(tǒng)管理員的任期可根據(jù)系統(tǒng)的安全性要求而定， 最長為三年， 期滿通過考核 后可以續(xù)任；必須簽訂保密協(xié)議書。第四條 漏洞掃描系統(tǒng)管理員的職責如下： 恪守職業(yè)道德， 嚴守企業(yè)秘密； 熟悉國家安全生產(chǎn)法以及有關(guān)通信管理的相關(guān) 規(guī)程

2、；負責漏洞掃描軟件（包括漏洞庫）的管理、更新和公布； 負責對網(wǎng)絡系統(tǒng)所有服務器和專用網(wǎng)絡設備的首次、周期性和緊急的漏洞掃 描；負責查找修補漏洞的補丁程序，及時打補丁堵塞漏洞；密切注意最新漏洞的發(fā)生、 發(fā)展情況， 關(guān)注和追蹤業(yè)界公布的漏洞疫情； 遵守 漏洞掃描設備各項管理規(guī)范。第三章用戶管理第五條 只有漏洞掃描系統(tǒng)管理員才具有修改漏洞掃描設備配置、分析和掃描的權(quán)限。第六條 為用戶級和特權(quán)級模式設置口令。 不能使用缺省口令， 確保用戶級和特權(quán)級模 式口令不同。每三個月進行一次漏洞掃描。第七條 漏洞掃描設備口令長度應采用 8 位以上，由非純數(shù)字或字母組成， 并定期更換， 不能使用容易猜解的口令。第四

3、章設備管理第八條 漏洞掃描設備的部署環(huán)境應滿足相應的國家標準和規(guī)范， 其網(wǎng)絡拓撲和掃描范 圍的更改要報送信息系統(tǒng)運行管理部門批準，以保證漏洞掃描設備發(fā)揮最大效應。第九條 漏洞掃描設備工作時會對網(wǎng)絡造成一定程度的影響， 應避免在網(wǎng)絡運行高峰期 進行掃描，如有特殊情況應通知有關(guān)的系統(tǒng)管理員第十條 漏洞掃描設備的規(guī)則設置、 更改的授權(quán)、 審批依據(jù) 漏洞掃描設備配置變更審 批表（參見附表 1）進行。漏洞掃描設備的規(guī)則設置、更改，應該得到信息系統(tǒng) 運行管理部門負責人的批準，由系統(tǒng)管理員具體負責實施。第十一條 對掃描結(jié)果的分析和安全漏洞修補。 漏洞掃描后， 發(fā)現(xiàn)系統(tǒng)漏洞公告， 必須及時找到修補漏洞的補丁程

4、序，并通過專用工具，及時下載打補丁，堵塞漏洞。第十二條 漏洞掃描設備定期檢測和維護要求（首次實施） 。系統(tǒng)管理員對服務器和 專用網(wǎng)絡設備實施首次漏洞掃描。 服務器和專用網(wǎng)絡設備上線前， 必須進行漏洞掃 描，并填寫漏洞掃描補丁記錄單 （附表 2）。第十三條 漏洞掃描設備定期檢測和維護要求（周期實施） 。系統(tǒng)管理員對服務器和專用網(wǎng)絡設備實施周期性漏洞掃描，并填寫漏洞掃描記錄單（附表 3）。第十四條 漏洞掃描設備配置操作規(guī)程要求如下： 記錄網(wǎng)絡環(huán)境， 定義漏洞掃描的網(wǎng) 絡接口；定義漏洞掃描的 IP 地址范圍；第十五條 定義漏洞掃描的安全級別和掃描選項；安裝，升級最新的漏洞庫 安裝，升級最新的漏洞庫；

5、定義管理員清單和管理權(quán)限； 測試漏洞掃描設備的性能和做好網(wǎng)管數(shù)據(jù)庫。第十六條 漏洞掃描發(fā)現(xiàn)的安全事件處理和報告的要求。 一旦獲悉業(yè)界公布的漏洞疫 情，并確認它們存在嚴重的危害性， 即使公司當前尚未出現(xiàn)受到侵擾的跡象， 也必 須采取預防措施， 緊急更新庫， 通告公司， 對服務器和專用網(wǎng)絡設備實施緊急漏洞 掃描，及時調(diào)整防火墻策略，并填寫漏洞掃描記錄單 （附表 3）。第五章附則第十七條 本制度由公司信息中心負責解釋。第十八條 本規(guī)定自頒布之日起實行，有新的修改版本頒布后，本規(guī)定自行終止附表 1 漏洞掃描設備配置變更審批表編號：申請部門責任人聯(lián)系電話申請日期設備名稱設備類型設備型號設備位置授權(quán) 性質(zhì)新增策略 策略變更授權(quán) 期限起始日期： 結(jié)束日期：申請權(quán)限要求（所在網(wǎng)絡名稱 /IP 范圍、掃描范圍、掃描方式、掃描目的等） ：申請理由：申請部門意見：簽名： 日期：信息系統(tǒng)運行管理部門意見：簽名： 日期：執(zhí)行記錄控制名稱控制目的掃描目標地址掃描規(guī)則設置其他設置執(zhí)行人 執(zhí)行日期附表 2 系統(tǒng)漏洞補丁記錄表編號：記錄人記錄時間漏洞名稱漏洞通告發(fā)現(xiàn)時間漏洞通告發(fā)現(xiàn)地址漏洞補丁發(fā)現(xiàn)時間漏洞補丁發(fā)現(xiàn)地址漏洞補丁名稱漏洞補丁上載內(nèi)部網(wǎng)時間附表 3 漏洞掃描記錄單