漏洞掃描系統安全運行管理制度
第一章 總則
第一條 為保障電網公司信息網絡的安全、穩定運行,特制訂本制度。
第二條 本制度適用于海南電網公司(以下簡稱公司)本部、分公司,以及直屬各單位信息系統的所有漏洞掃描及相關設備的管理和運行。其他聯網單位參照執行。
第二章 人員職責
第三條 漏洞掃描系統管理員的任命
漏洞掃描系統管理員的任命應遵循“任期有限、權限分散”的原則;
系統管理員的任期可根據系統的安全性要求而定,最長為三年,期滿通過考核后可以續任;
必須簽訂保密協議書。
第四條 漏洞掃描系統管理員的職責如下:
恪守職業道德,嚴守企業秘密;熟悉國家安全生產法以及有關通信管理的相關規程;
負責漏洞掃描軟件(包括漏洞庫)的管理、更新和公布;
負責對網絡系統所有服務器和專用網絡設備的首次、周期性和緊急的漏洞掃描;
負責查找修補漏洞的補丁程序,及時打補丁堵塞漏洞;
密切注意最新漏洞的發生、發展情況,關注和追蹤業界公布的漏洞疫情;
遵守漏洞掃描設備各項管理規范。
第三章 用戶管理
第五條 只有漏洞掃描系統管理員才具有修改漏洞掃描設備配置、分析和掃描的權限。
第六條 為用戶級和特權級模式設置口令。不能使用缺省口令,確保用戶級和特權級模式口令不同。
第七條 漏洞掃描設備口令長度應采用8位以上,由非純數字或字母組成,并定期更換,不能使用容易猜解的口令。
第四章 設備管理
第八條 漏洞掃描設備的部署環境應滿足相應的國家標準和規范,其網絡拓撲和掃描范圍的更改要報送信息系統運行管理部門批準,以保證漏洞掃描設備發揮最大效應。
第九條 漏洞掃描設備工作時會對網絡造成一定程度的影響,應避免在網絡運行高峰期進行掃描,如有特殊情況應通知有關的系統管理員
第十條 漏洞掃描設備的規則設置、更改的授權、審批依據《漏洞掃描設備配置變更審批表》(參見附表1)進行。漏洞掃描設備的規則設置、更改,應該得到信息系統運行管理部門負責人的批準,由系統管理員具體負責實施。
第十一條 對掃描結果的分析和安全漏洞修補。漏洞掃描后,發現系統漏洞公告,必須及時找到修補漏洞的補丁程序,并通過專用工具,及時下載打補丁,堵塞漏洞。
第十二條 漏洞掃描設備定期檢測和維護要求(首次實施)。系統管理員對服務器和專用網絡設備實施首次漏洞掃描。服務器和專用網絡設備上線前,必須進行漏洞掃描,并填寫《漏洞掃描補丁記錄單》(附表2)。
第十三條 漏洞掃描設備定期檢測和維護要求(周期實施)。系統管理員對服務器和專用網絡設備實施周期性漏洞掃描,并填寫《漏洞掃描記錄單》(附表3)。
第十四條 漏洞掃描設備配置操作規程要求如下:
記錄網絡環境,定義漏洞掃描的網絡接口;
定義漏洞掃描的ip地址范圍;
定義漏洞掃描的安全級別和掃描選項;
安裝,升級最新的漏洞庫;
定義管理員清單和管理權限;
測試漏洞掃描設備的性能和做好網管數據庫。
第十五條 漏洞掃描發現的安全事件處理和報告的要求。一旦獲悉業界公布的漏洞疫情,并確認它們存在嚴重的危害性,即使公司當前尚未出現受到侵擾的跡象,也必須采取預防措施,緊急更新庫,通告公司,對服務器和專用網絡設備實施緊急漏洞掃描,及時調整防火墻策略,并填寫《漏洞掃描記錄單》(附表3)。
第五章 附則
第十六條 本制度由海南電網公司信息中心負責解釋。
第十七條 本規定自頒布之日起實行,有新的修改版本頒布后,本規定自行終止
