网络与信息安全风险实践培训.pptxVIP

网络与信息安全风险培训 目录 Contents 考核要求 安全风险排查行动 信息安全管理原则 管理原则 谁主管谁负责、谁运营谁负责、谁使用谁负责、谁接入谁负责 防护原则 同步规划，同步建设，同步运行 业务流程安全要求 零漏洞 提供IP 提供URL 三个月检查一次 进程登记 口令修改 漏洞整改工作 零漏洞原则 所有发现的漏洞均必须整改，不分高危、中危、低危级别。 高危1天内，中危3天内，低危7天内 紧急故障 上线前零漏洞、现网零漏洞 目录 Contents 考核要求 安全风险排查行动 常见不规范现象 开展安全风险排查行动，杜绝管理风险 在信息安全管理方面亟待提升，确保安全管理制度落地并在业务的规划、建设、运行实现三同步。 资产梳理 风险排查 总结报告 形成机制 一、资产登记，风险排查，纳入巡检 设备入网进行资产登记，包括主机、网络设备、数据库、应用软件、中间件等。 对每台设备运行的服务和端口需进行登记，关闭无用服务，纳入日常巡检范围。 应维护已开通的防火墙策略。 二、中间件排查 第三方组件指在应用开发过程中所引入的第三方的代码、控件、组件、库文件与应用产品等。常见的第三方组件包括: (一) 开发过程引入的开源或非开源库文件，如Java的jar文件等等： (二) 非开发方自身开发的内容管理系统、论坛、博客等应用，如Discuz等等； (三) 公开的开发框架，如Struts、Spri