现在2013年度RSA信息安全大会（RSA2013）正在热烈召开，会上知名安全专家们建议软件制造商和互联网服务供应商，预定在2013年底发布的安全漏洞处理流程中，需要准备两个新的ISO标准来适应新的安全需求，其中包括了ISO 30111和ISO 29147。
ISO 30111涵盖了所有漏洞处理流程中，无论是内部确认，或被外部人员报告的。

ISO 29147则涵盖了如终端用户、安全研究人员和黑客等外部人员所暴露的漏洞。

微软的高级安全策略主管兼标准制定者，凯蒂·牟索利斯（Katie Moussouris）希望，ISO 29147可以更容易地报告软件和服务的漏洞。

凯蒂告诉参加本年度旧金山RSA会议的与会者，“该标准在漏洞的风险评估和应用调整中将会起到更大的建设性意见”。

ISO 29147提供准备接受外部漏洞报告的指导方针，第一个要求是对供应商提出的，将使报告者更容易地同内部的负责人取得联系。

凯蒂说道，“漏洞发现者可以很容易地找到提交漏洞报告的门路，它必须是明显的，并是容易使用的。因为如果不是这样，他们就可能会求助于其他的渠道，如媒体或网络论坛等”。

接下来的事情就是确认收到的漏洞报告，该标准将保证报告必须在7天内完成处理。

而ISO 30111也提供了调查和修补漏洞的指导方针和建议：

1.有一个组织和过程来支持排查、整治；

2.执行根本原因分析，找出所有可能受影响的产品、服务；

3.如果漏洞影响多个产品、服务，根据严重等级来定优先级；

4.平衡解决速度——如果是高威胁，可以考虑立即采取临时的解决办法；

5.如可能与其他供应商展开协作。

当然也有几种可能，对修正不适用，如下：

1.一个无法复制的脆弱性；

2.该漏洞是已在调查中；

3.该漏洞仅影响已经过时的产品；

4.漏洞是无法利用的；

5.漏洞是在第三方产品、服务。

凯蒂期望ISO 30111能切实提高供应商展开安全漏洞的调查和整治级别，提高封堵安全漏洞的速度和质量水平。

转自：51CTO.com
原文链接：http://netsecurity.51cto.com/art/201303/382894.htm

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)