银行安全漏洞管理办法.docxVIP

银行安全漏洞管理办法

第一章总则

第一条目的依据

为规范本行安全漏洞全生命周期管理，防范漏洞引发的网络攻击、数据泄露、业务中断等安全风险，保障信息系统与客户资金、信息安全，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《银行业保险业网络安全监管办法》《网络安全等级保护条例》及行业监管要求，结合本行实际，制定本办法。

第二条适用范围

本办法适用于本行所有信息资产的漏洞管理，包括但不限于：

1.业务类系统：核心账务系统、信贷管理系统、网上银行、手机银行、微信银行、直销银行、开放银行接口、柜面系统、自助终端系统、支付清算系统等；

2.基础类资产：服务器、网络设备（交换机、路由器、防火墙、WAF、IDS/IPS）、安全设备、终端设备、操作系统、数据库、中间件、云平台、容器集群、开源组件等；

3.管理类系统：办公自动化系统、人力资源管理系统、财务管理系统、邮件系统、内部协作平台等；

4.第三方合作资产：外包开发系统、合作方对接接口、委外运维资产、外包人员访问终端等。

第三条管理原则

1.全生命周期管理原则：覆盖漏洞发现、核验、定级、整改、复测、归档、溯源全流程，无流程断点；

2.风险优先级原则：根据漏洞危害程度、影响范围、可利用性综合判定处置优先级，高风险漏洞优先处置；

3.最小影响原则：漏洞整改过程中需制定业务连续性预案，