信息系统源代码安全扫描管理制度.docx

资源描述

附件 2：制度管理信息表制度基本信息项制度名称 XX 公司信息系统源代码安检测描管理规范制度层级 □基本制度 ■一般制度 □操作规范发文部门信息安全部主要业务领域信息科技现行版本 1.0 版现行版本印发日期主要关联制度 2019 年 X 月 X 日上次版本上次版本发文号上次印发日期密级起草人签发人本次版本有效截止日期修订信息本次修订要点秘密 2021 年 x 月 x 日 (对制度进行修订时填写) 历史修订记录备注 XX 信息系统源代码安检测描管理规范 (1.0 版， 2019 年) 目录 1 总则 1 1.1 目的 1 1.2 适用范围 1 2 源代码漏洞评级 1 3 源代码安检测描要求及流程 1 3.1 源代码安检测描要求 1 3.2 源代码安检测描流程 2 4 漏洞处理流程及时效要求 2 5 职责分工 3 5.1 信息安全部 3 5.2 各部门开发室 3 6 处罚规定 4 7 附则 4 附录一 4 1 总则 1.1 目的为规范 XX 公司信息系统源代码安检测描的操作流程，保障及时发现安全漏洞，加快漏洞处理响应时间，消除安全隐患，特制定本管理规范。 1.2 适用范围本规范适用于公司所有拥有源代码的信息系统，包括但不限于：自主开发和外购系统，系统类型包括 Web 系统、移动终端 APP、小程序、 SDK 等。 2 源代码漏洞评级源代码漏洞是在代码上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。源代码漏洞根据检测的难易程度、成功利用的可能性、潜在影响等维度进行评级，分为高危漏洞、中危漏洞、低危漏洞共三类，详细评级标准见附录一。 3 源代码安检测描要求及流程 3.1 源代码安检测描要求源代码安检测描以子系统为单位进行代码扫描、检测和漏洞跟 1 进。子系统代码扫描范围如下： ➢ 新项目或重大变更的子系统，在上线前必须经过源代码安检测描 ➢ 未经过源代码安检测描的存量子系统，信息安全部排期进行扫描 3.2 源代码安检测描流程需进行代码扫描的子系统可根据实际情况选择以下流程进行代码扫描： 1)开发人员提交代码至信息安全部，由信息安全部进行扫描并对扫描结果进行人工复查，提交最终扫描报告； 2)开发人员自行使用源代码安全检测平台进行代码扫描，并提交人工复查申请。信息安全部对扫描结果进行人工复查后提交最终扫描报告。开发人员根据信息安全部提交的最终扫描报告对漏洞进行确认和修复，并提交源代码至信息安全部进行复测，确认漏洞最终修复状态。 4 漏洞处理流程及时效要求 4.1 漏洞处理流程漏洞处理通过信息安全工单进行跟进，对于发现的源代码漏洞，信息安全部将漏洞的风险等级、详细信息描述及修复建议通知到处理负责人，处理负责人应在 2 个自然日内对漏洞的影响范围、整改修复计划进行确认，并在要求的处理时效内完成漏洞整改修复，逾期未修复漏洞将按逾期时间逐级上升至相关领导。因特殊情况无法在要求的 2 时效内完成整改，处理负责人需提前提交延期申请及修复计划，由信息安全部负责人、科技发展及创新条线总监及首席信息官审批。 4.2 漏洞处理时效要求源代码漏洞通常为局部代码存在的风险，在系统使用过程中不易发现，被利用的条件不一定具备，但一旦触发，可对系统造成破坏。结合源代码漏洞特点，不同级别漏洞的修复时效要求参考附录一。 5 职责分工 5.1 信息安全部 ➢ 发现公司信息系统在源代码层面存在的漏洞，及时将发现的漏洞转交相关部门做修复处理，并提供合理可行的修复建议。 ➢ 对本规范的执行情况进行检查，确保所有漏洞都按照既定流程进行了有效的处理。 5.2 各部门开发室负责公司各应用系统源码代码漏洞的修复工作，包括： ➢ 根据信息安全部提供的扫描报告或漏洞描述，制定修复工作日程，按照既定的时效要求进行整改修复。 ➢ 如确实存在特殊原因无法按时完成修复的，应在修复截止日期前向信息安全部申请延期，并共同协商延后的修复时间和排期。 3 6 处罚规定对出现严重违反本管理规范的违规行为而引发信息安全事件或令公司遭受名誉、经济等损失的，将视其所造成的影响或损失，依据行内相关处罚规定，对相关责任人进行处罚。 7 附则本规范由信息安全部制定、修改并负责解释。本规范自发布之日起施行。附录一漏洞等级评定标准修复时效 1)对程序有很大的影响，出现频率高； 1 个月高危 2)容易被检测和利用，且成功利用会造成巨大损失。 1)对程序有很大的影响，但出现频率不高； 2 个月中危 2)难以被检测和利用，但成功利用会造成巨大损失。 1)对程序影响不大 ,成功利用造成的损失较自行排期低危小。注：参考扫描工具的分级说明 4

展开阅读全文