信息安全漏洞事件响应制度.pdfVIP

人人好公，则天下太平；人人营私，则天下大乱。——刘鹗

XX有限公司

信息安全漏洞事件响应管理制度

目录：

第一章：总则

第二章：组织机构与职责

第三章：应急响应方案

第四章：信息安全漏洞事件应急响应流程

人人好公，则天下太平；人人营私，则天下大乱。——刘鹗

第一章总则

1.目的

为做好应对网络与信息安全漏洞事件的响应效率，提高应急处理能力，降低安全风险，结合

本公司ISO27001信息安全管理体系制度，制定本管理制度。

2.适用范围

本制度适用于XX有限公司及下属公司。

3.相关定义

信息安全漏洞事件分为为计算机病毒事件、蠕虫事件、特洛伊木马事件、僵尸网络事件、混

合程序攻击事件、网页内嵌恶意代码事件、拒绝服务攻击事件、后门攻击事件、漏洞攻击事

件、网络扫描窃听事件、干扰事件和其他网络攻击事件。

4.漏洞分级

《信息安全技术安全漏洞等级划分指南》（GB/T30279-2013）规定了信息系统安全漏洞的等

级划分要素和危害等级程度，给出了安全漏洞等级划分方法。据此标准开展漏洞处置工

作。结合本公司情况安全漏洞划分为高危、中危、低危三个等级。

4.1.高危漏洞是指可远程利用并能直接获取系统权限（服务器端权限、客户端权限）或

者能够导致严重级别的信息泄漏（泄漏大量用户信息或学校机密信息）的漏洞，包

括但不仅限于：命令注入、远程命令执行、上传获取WebShell、SQL注入、缓冲区

溢出、绕过认证直接访问管理后台、核心业务非授权访问、核心业务后台弱密码

等；

4.2.中危漏洞是指能直接盗取用户身份信息或者能够导致普通级别的信息泄漏的漏洞，

包括但不限于存储型XSS漏洞、客户端明文密码存储等；

低危漏洞是指能够导致轻微信息泄露的安全漏洞，包括但不仅限于反射型XSS（包

括反射型DOM-XSS）、JSONHijacking、CSRF、路径信息泄露、SVN信息泄露、

phpinfo等；

第二章组织机构与职责

人人好公，则天下太平；人人营私，则天下大乱。——刘鹗

1.组织机构：

公司XX部门设立应急小组，小组成员根据人员职能变化和制度应用范围变化动态变化调

整。

应急组成员的进入条件：

a)所有经理级及以上级别的开发、运维岗位人员；

b)信息安全专员，公司重要系统和产品的运维人员；

c)指定的其他相关人员；

2.小组职责

a)收集、分析信息安全漏洞和事件，及时上报重要信息；

b)负责本公司网络与信息安全病毒漏洞的监测预警和风险评估控制、隐患排查整改

工作；

c)协调和参与网络与信息安全突发事件应急演练；

d)小组相关人员清单见《附录》。

第三章应急响应方案

3.信息收集和通知机制

a)信息化部负责建立应急响应的成员邮件组***********、在公司XXXX平台

上建立信息安全应急事件的大项目，并建立紧急微信联络群；

b)