HRBank-ISMS-03-05-V1.0 信息系统漏洞扫描实施细则.docxVIP

PAGE / NUMPAGES 信息系统漏洞扫描管理实施细则 总则 为规范科技发展部信息系统漏洞扫描工作，指导漏洞扫描工作的具体实施，特制定本细则。 本细则所称漏洞是指网络设备、操作系统和应用系统等信息系统中能被利用并造成安全危害的弱点；漏洞扫描是指使用漏洞扫描工具进行探测，找到信息系统存在的安全隐患的过程；目标主机是指漏洞扫描的对象。 本细则适用于科技发展部信息系统漏洞扫描相关的各项工作。 角色与职责 信息安全工作指挥小组负责审批漏洞扫描计划，审议漏洞扫描的报告和漏洞处理计划。 科技发展部风险管理组负责漏洞扫描相关各项工作的监督与检查。 运维中心安全组负责制订漏洞扫描计划、申请使用漏洞扫描工具、执行漏洞扫描、处理和分析扫描结果并形成报告、发布漏洞修复的通知以及跟踪漏洞修复的实施情况。 运维中心网络管理组负责为信息系统漏洞扫描的实施提供网络支持，配合安全组确定扫描接入点，提供目标主机的IP地址等网络信息。 各部门负责配合漏洞扫描的实施，包括：提供漏洞扫描计划中目标主机的相关信息、参与评估实施漏洞扫描的风险并做好相应的应急准备、制订信息系统漏洞修补计划并实施修补改进措施。 基本要求 信息系统漏洞扫描应使用指定的漏洞扫描工具，工具的漏洞特征库应及时更新，禁止使用未经授权的其他漏洞扫描工具。 漏洞扫描前应制订漏洞扫描计划，分阶段实施漏洞扫描工作，确保办公网每年完成一次全面的漏洞扫描，生产