信息安全漏洞事件响应制度.pdfVIP

XX有限公司

信息安全漏洞事件响应管理制度

目录：

第一章：总则

第二章：组织机构与职责

第三章：应急响应方案

第四章：信息安全漏洞事件应急响应流程

第一章总则

1.目的

为做好应对网络与信息安全漏洞事件的响应效率，提高应急处理能力，降低安全风险，结合

本公司ISO27001信息安全管理体系制度，制定本管理制度。

2.适用范围

本制度适用于XX有限公司及下属公司。

3.相关定义

信息安全漏洞事件分为为计算机病毒事件、蠕虫事件、特洛伊木马事件、僵尸网络事件、混

合程序攻击事件、网页内嵌恶意代码事件、拒绝服务攻击事件、后门攻击事件、漏洞攻击事

件、网络扫描窃听事件、干扰事件和其他网络攻击事件。

4.漏洞分级

《信息安全技术安全漏洞等级划分指南》（GB/T30279-2013）规定了信息系统安全漏洞的等

级划分要素和危害等级程度，给出了安全漏洞等级划分方法。据此标准开展漏洞处置工

作。结合本公司情况安全漏洞划分为高危、中危、低危三个等级。

4.1.高危漏洞是指可远程利用并能直接获取系统权限（服务器端权限、客户端权限）或

者能够导致严重级别的信息泄漏（泄漏大量用户信息或学校机密信息）的漏洞，包

括但不仅限于：命令注入、远程命令执行、上传获取WebShell、SQL注入、缓冲区

溢出、绕过认证直接访问管理后台、核心业务非授权访问、核心业务后台弱密码

等；

4.2.中危漏洞是指能直接盗取用户身份信息或者能够导致普通级别的信息泄漏的漏洞，

包括但不限于存储型XSS漏洞、客户端明文密码存储等；

低危漏洞是指能够导致轻微信息泄露的安全漏洞，包括但不仅限于反射型XSS（包

括反射型DOM-XSS）、JSONHijacking、CSRF、路径信息泄露、SVN信息泄露、

phpinfo等；

第二章组织机构与职责

1.组织机构：

公司XX部门设立应急小组，小组成员根据人员职能变化和制度应用范围变化动态变化调

整。

应急组成员的进入条件：

a)所有经理级及以上级别的开发、运维岗位人员；

b)信息安全专员，公司重要系统和产品的运维人员；

c)指定的其他相关人员；

2.小组职责

a)收集、分析信息安全漏洞和事件，及时上报重要信息；

b)负责本公司网络与信息安全病毒漏洞的监测预警和风险评估控制、隐患排查整改

工作；

c)协调和参与网络与信息安全突发事件应急演练；

d)小组相关人员清单见《附录》。

第三章应急响应方案

3.信息收集和通知机制

a)信息化部负责建立应急响应的成员邮件组***********、在公司XXXX平台

上建立信息安全应急事件的大项目，并建立紧急微信联络群；

b)信息化安全专员负责收集和监控最新的漏洞/病毒信息；

c)发现漏洞后立即向邮件组小组成员告知漏洞/病毒信息；

d)对于非工作日产生的突发事件，例如周末，节假日等，可以在微信群中紧急通

知。

4.响应和评估

a)应急小组在接到通知后，对事件2小时内做出响应，立即评估，4小时内判断事

件性质和危害程度，对风险和漏洞进行定级；

b)应急小组在24小时内，根据公司的网络状况与信息系统运行和承载业务情况，初

步判断事件的影响、危害和可能波及的范围，提出应对措施建议；

c)事件发生后，信息安全负责人在XXX应急事件的大项目里建立Issue来追踪和跟

进事件，待评估后，实施开始再回根据执行的复杂程度考虑依靠Issue跟随。

5.研究和判断

应急小组先期处置，采取各种技术措施，及时控制事态发展，最大限度地防止事件蔓延，把

对业务的影响降为最低。

6.处置和上报

a)风险处置策略包括：降低风险、转移风险、规避风险和接受风险。

b)风险接受准则

