的技术薄弱点控制程序.doc

信息科技部 技术薄弱点控制程序 A版 2011年6月1日 发布 2011年6月1日 实施 目录 1 目的 3 2 范围 3 3 相关文件 3 4 职责 3 5 程序 3 5.1 技术薄弱点信息收集 3 5.2 技术薄弱点的识别 4 6 记录 4 文件修订历史记录 版本 日期 修订者 修订描述 1.0 1 目的 为对阜新银行信息科技部，降低利用公布的技术脆弱性导致的风险。对其实施有效的、系统的、科学的管理。特制定此程序。 2 范围 本程序适用于阜新银行信息科技部所有信息处理设施。 3 相关文件 4 职责 4.1 网络管理员负责对信息科技部网络设备进行技术薄弱点的识别。 4.2 硬件管理员负责对信息科技部硬件设施进行技术薄弱点的识别。 4.3 由总经理指定分管副总对信息科技部开发、测试及软件系统的技术薄弱点进行识别。 5 程序 5.1 技术薄弱点信息收集 5.1.1 由阜新银行信息科技部文档管理员向相关职能人员提供信息科技部的《信息资产识别表》（资产清单）。 5.1.2 由文档管理员收集支持技术薄弱点管理所需的特定信息：软件供应商、版本号、部署的当前状态（即在什么系统上安装什么软件），以及在信息科技部内负责软件的人员。必要时其他相关职能人员配合文档管理员工作，帮助其收集信息。 5.2 技术薄弱点的识别 5.2.1 网络管理员、硬件管理员及总经理指定的分管副总根据《信息资产识别表》对所有的网络设备的技术薄弱点进行识别，并形成《薄多点报告处置单》。并依据此表对各技术薄弱点，对成本和风险双方面进行评估。网络管理员、硬件管理员及总经理指定的分管副总应根据《信息资产识别表》的变更或当发现其他新的或有用的资源时要对《薄多点报告处置单》进行更新。 5.2.2 网络管理员、硬件管理员及总经理指定的分管副总根据《薄多点报告处置单》制定针对薄弱点的应对措施并落实到责任人并根据时间的推移制定出相应的实施计划。要求根据设备的重要程度对需要解决的薄弱点进行紧急程度的排序，采取措施。 5.2.3 网络管理员、硬件管理员及分管副总经理在安装“补丁程序”之前应根据个人安装的相关经验或事先经过测试，确保它们是有效的，且不会导致不能容忍的负面影响。 5.2.4 如果没有可用的补丁，应考虑其他控制措施例如：关闭与薄弱点有关的服务和功能；采用或增加访问控制措施，如在网络边界上添加防火墙；增加监视以检测或预防实际的攻击；提高薄弱点意识； 5.2.5 应对所有在《薄多点报告处置单》中的设备实施日志审核。 5.2.6 应定期对《薄多点报告处置单》中的设备进行监视和评价，以确保其有效性和效果。 5.2.7 在《薄多点报告处置单》中处于高风险中的系统或系统设备应首先解决。 6 记录 《薄弱点报告处置单》 薄弱点报告处置单 编号： 日期: 报告人： 薄弱点描述： 报告人主管领导意见： 指派处理负责人_____________ 领导签字： 应对措施描述： 纠正预防措施： 指派处理负责人签字： 科技部领导审批： 科技部领导审批签字： 实施后验证 注：实施人不可验证 验证人： 信息安全管理体系文件 ISMSP-42-A 信息安全管理体系文件 ISMSP-42-R01