ICS35040

L80.

中華人民共和國國家標準

GB/T30276—2020

代替

GB/T30276—2013

信息安全技術

網絡安全漏洞管理規范

Informationsecuritytechnology—

Specificationforcybersecurityvulnerabilitymanagement

2020-11-19發布2021-06-01實施

國家市場監督管理總局發布

國家標準化管理委員會

GB/T30276—2020

目次

前言

…………………………Ⅰ

范圍

1………………………1

規范性引用文件

2…………………………1

術語和定義

3………………1

網絡安全漏洞管理流程

4…………………2

網絡安全漏洞管理要求

5…………………3

漏洞發現和報告

5.1……………………3

漏洞接收

5.2……………3

漏洞驗證

5.3……………3

漏洞處置

5.4……………4

漏洞發布

5.5……………5

漏洞跟蹤

5.6……………5

證實方法

6…………………5

參考文獻

………………………6

GB/T30276—2020

前言

本標準按照給出的規則起草

GB/T1.1—2009。

本標準代替信息安全技術信息安全漏洞管理規范與

GB/T30276—2013《》,GB/T30276—2013

相比主要技術變化如下

,:

修改了范圍的表述見第章年版的第章

———(1,20131);

增加了規范性引用文件刪除了規范性引用文件見

———GB/T30279—2020,GB/T18336.1—2008(

第章年版的第章

2,20132);

增加了術語網絡產品和服務的提供者網絡運營者漏洞收錄組織漏洞應急組織漏

———“()”“”“”“”“

洞發現漏洞報告漏洞接收漏洞驗證漏洞發布見

”“”“”“”“”(3.2、3.3、3.4、3.5、3.6、3.7、3.8、3.9、

3.10);

刪除了術語修復措施廠商漏洞管理組織漏洞發現者年版的

———“”“”“”“”(20133.1、3.3、3.4、3.5);

修改了漏洞管理流程從漏洞管理的角度出發重新定義了漏洞管理流程的各階段將原來的

———,,,

預防收集消減發布管理階段調整為漏洞發現和報告漏洞接收漏洞驗證漏洞處置漏

“、、、”“、、、、

洞發布漏洞跟蹤并提出各管理階段中各相關角色應遵循的要求見第章第章

、”,(4、5,2013

年版的第章第章

4、5);

刪除了附錄規范性附錄漏洞處理策略年版的附錄

———“A()”(2013A)。

請注意本文件的某些內容可能涉及專利本文件的發布機構不承擔識別這些專利的責任

。。

本標準由全國信息安全標準化技術委員會提出并歸口

(SAC/TC260)。

本標準起草單位國家計算機網絡應急技術處理協調中心中國信息安全測評中心國家信息技術

:、、

安全研究中心中國電子技術標準化研究院上海交通大學恒安嘉新北京科技股份公司網神信息技

、、、()、

術北京股份有限公司上海斗象信息科技有限公司北京數字觀星科技有限公司阿里巴巴北京軟

()、、、()

件服務有限公司公安部第三研究所中國科學院大學北京奇虎科技有限公司

、、、。

本標準主要起草人云曉春舒敏崔牧凡王文磊嚴寒冰賈子驍陳悅任澤君崔婷婷高繼明

:、、、、、、、、、、

王桂溫郭亮謝忱白曉媛王宏李斌孟魁姜開達黃道麗趙旭東趙蕓偉蔣凌云郝永樂葉潤國

、、、、、、、、、、、、、、

劉楠張玉清姚一楠

、、。

本標準所代替標準的歷次版本發布情況為

:

———GB/T30276—2013。

Ⅰ

GB/T30276—2020

信息安全技術

網絡安全漏洞管理規范

1范圍

本標準規定了網絡安全漏洞管理流程各階段包括漏洞發現和報告接收驗證處置發布跟蹤

(、、、、、

等的管理流程管理要求以及證實方法

)、。

本標準適用于網絡產品和服務的提供者網絡運營者漏洞收錄組織漏洞應急組織等開展的網絡

、、、

安全漏洞管理活動

。

2規范性引用文件

下列文件對于本文件的應用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

信息安全技術術語

GB/T25069

信息安全技術網絡安全漏洞標識與描述規范

GB/T28458—2020

信息安全技術網絡安全漏洞分類分級指南

GB/T30279—2020

3術語和定義

界定的以及下列術語和定義適用于本文件

GB/T25069、GB/T28458—2020。

31

.

用戶user

使用網絡產品和服務的個人或組織

。

32

.

網絡產品和服務的提供者providerofnetworkproductsandservices

()

提供網絡產品和服務的個人或組織

。

33

.

網絡運營者networkoperator

網絡的所有者