1、附件 2 I C S 3 5 . 2 4 0 . 4 0 C C S A 1 1 JR 中 华 人 民 共 和 国 金 融 行 业 标 准 J R / T 0 2 1 4 2 0 2 1 金 融 网 络 安 全 网 络 安 全 众 测 实 施 指 南 F i n a n c i a l c y b e r s e c u r i t y G u i d e l i n e s o f i m p l e m e n t a t i o n f o r c r o w d s o u r c e d c y b e r s e c u r i t y t e s t i n g 2 0 2 1
2、- 0 2 - 1 0 发 布 2 0 2 1 - 0 2 - 1 0 实 施 中 国 人 民 银 行 发 布J R / T 0 2 1 4 2 0 2 1 I 目 次 前 言 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
3、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . I I 引 言 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
4、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . I I I 1 范 围 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
5、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 2 规 范 性 引 用 文 件 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
6、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 3 术 语 和 定 义 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
7、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 4 缩 略 语 . . . . . . . . . . . . . . . . . . . . . . . . . . .
8、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 5 众 测 通 则 . . . . . . . . .
9、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
10、 6 众 测 准 备 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
11、 . . . . . . . . . . . . . 3 7 众 测 实 施 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
12、 . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 8 分 析 与 报 告 编 制 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
13、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9 附 录 A （ 资 料 性 ） 网 络 安 全 众 测 协 议 书 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
14、 . . . . . . 1 2 附 录 B （ 资 料 性 ） 测 试 方 行 为 准 则 参 考 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 4 附 录 C （ 资 料 性 ） 金 融 行 业 漏 洞 评 级 参
15、 考 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 5 附 录 D （ 资 料 性 ） 网 络 安 全 众 测 授 权 委 托 书 . . . . . . . . . . . . . . . . . . . . . . . . . .
16、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 6 参 考 文 献 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
17、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 7J R / T 0 2 1 4 2 0 2 1 I I 前 言 本 文 件 按 照 G B / T 1 . 1 2 0 2 0 标 准 化 工 作 导 则 第 1 部 分 ： 标 准 化 文 件 的 结 构 和 起 草 规 则 的 规 定 起
18、草 。 请 注 意 本 文 件 的 某 些 内 容 可 能 涉 及 专 利 。 本 文 件 的 发 布 机 构 不 承 担 识 别 专 利 的 责 任 。 本 文 件 由 中 国 人 民 银 行 提 出 。 本 文 件 由 全 国 金 融 标 准 化 技 术 委 员 会 （ S A C / T C 1 8 0 ） 归 口 。 本 文 件 起 草 单 位 ： 中 国 人 民 银 行 科 技 司 、 中 国 工 商 银 行 股 份 有 限 公 司 、 工 银 科 技 有 限 公 司 、 北 京 中 金 安 服 科 技 有 限 公 司 、 中 国 银 行 股 份 有 限 公 司 、 中 国 农 业
19、银 行 股 份 有 限 公 司 、 中 国 建 设 银 行 股 份 有 限 公 司 、 中 国 民 生 银 行 股 份 有 限 公 司 、 兴 业 银 行 股 份 有 限 公 司 、 恒 丰 银 行 股 份 有 限 公 司 、 中 央 国 债 登 记 结 算 有 限 责 任 公 司 、 华 泰 证 券 股 份 有 限 公 司 、 海 通 证 券 股 份 有 限 公 司 、 中 国 平 安 保 险 （ 集 团 ） 股 份 有 限 公 司 、 中 国 太 平 洋 保 险 （ 集 团 ） 股 份 有 限 公 司 、 晋 商 银 行 股 份 有 限 公 司 、 西 安 银 行 股 份 有 限 公 司
20、、 江 苏 银 行 股 份 有 限 公 司 、 北 京 长 亭 未 来 科 技 有 限 公 司 、 百 度 时 代 网 络 技 术 （ 北 京 ） 有 限 公 司 、 北 京 奇 虎 科 技 有 限 公 司 、 上 海 艾 芒 信 息 科 技 有 限 公 司 、 北 京 神 州 绿 盟 科 技 有 限 公 司 、 奇 安 信 科 技 集 团 股 份 有 限 公 司 、 深 信 服 科 技 股 份 有 限 公 司 、 亚 信 科 技 （ 成 都 ） 有 限 公 司 、 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 、 北 京 启 明 星 辰 信 息 安 全 技 术 有 限 公 司 。
21、本 文 件 主 要 起 草 人 ： 李 伟 、 陈 立 吾 、 沈 筱 彦 、 车 珍 、 昝 新 、 夏 磊 、 王 涛 、 敦 宏 程 、 苏 建 明 、 王 贵 智 、 蒋 家 堂 、 王 晓 、 王 金 希 、 郭 铮 铮 、 秦 磊 、 俞 学 浩 、 何 启 翱 、 李 远 祥 、 刘 红 波 、 宋 克 亚 、 詹 丹 丹 、 李 乐 天 、 翟 海 超 、 张 爽 、 江 旺 、 陆 颂 华 、 于 惊 涛 、 林 利 钦 、 张 军 、 周 扬 、 茹 华 、 王 楠 、 王 心 玉 、 马 男 、 祁 晓 丹 、 何 源 源 、 凌 墨 缘 、 张 屹 、 张 帆 、 赵
22、波 、 高 继 明 、 潘 立 亚 、 罗 伟 、 俞 斌 、 孙 林 。J R / T 0 2 1 4 2 0 2 1 I I I 引 言 本 文 件 是 在 收 集 、 分 析 评 估 金 融 机 构 实 施 网 络 安 全 众 测 流 程 以 及 面 临 的 安 全 风 险 点 的 基 础 上 ， 形 成 的 一 套 网 络 安 全 众 测 实 施 流 程 指 南 ， 内 容 涉 及 网 络 安 全 众 测 组 织 实 施 架 构 、 网 络 安 全 众 测 实 施 流 程 、 网 络 安 全 众 测 实 施 流 程 中 各 参 与 方 的 职 责 。 本 文 件 旨 在 规 范 金 融
23、 机 构 网 络 安 全 众 测 的 实 施 流 程 ， 指 导 金 融 机 构 在 安 全 可 控 的 前 提 下 开 展 网 络 安 全 众 测 。 本 文 件 可 作 为 金 融 机 构 网 络 安 全 众 测 实 施 方 法 的 依 据 。J R / T 0 2 1 4 2 0 2 1 1 金 融 网 络 安 全 网 络 安 全 众 测 实 施 指 南 1 范 围 本 文 件 提 供 了 金 融 信 息 系 统 网 络 安 全 众 测 （ 以 下 简 称 安 全 众 测 ） 工 作 实 施 过 程 的 指 导 ， 包 括 安 全 众 测 准 备 、 实 施 、 分 析 与 报 告 编
24、制 。 本 文 件 适 用 于 开 展 安 全 众 测 工 作 的 境 内 金 融 机 构 。 2 规 范 性 引 用 文 件 本 文 件 没 有 规 范 性 引 用 文 件 。 3 术 语 和 定 义 下 列 术 语 和 定 义 适 用 于 本 文 件 。 3 . 1 金 融 信 息 系 统 f i n a n c i a l i n f o r m a t i o n s y s t e m 金 融 行 业 相 关 的 应 用 、 服 务 、 信 息 技 术 资 产 或 其 他 信 息 处 理 组 件 。 来 源 ： G B / T 2 9 2 4 6 2 0 1 7 ， 2 . 3 9
25、3 . 2 网 络 安 全 众 测 c r o w d s o u r c e d s e c u r i t y t e s t i n g 企 业 授 权 专 业 机 构 ， 召 集 多 名 安 全 测 试 人 员 ， 为 企 业 提 供 漏 洞 发 现 服 务 ， 帮 助 其 发 现 安 全 漏 洞 及 安 全 隐 患 ， 并 参 照 服 务 质 量 与 效 果 ， 支 付 服 务 费 用 。 4 缩 略 语 下 列 缩 略 语 适 用 于 本 文 件 。 O W A S P ： 开 放 式 W e b 应 用 程 序 安 全 项 目 （ O p e n W e b A p p l i
26、c a t i o n S e c u r i t y P r o j e c t ） S Q L ： 结 构 化 查 询 语 言 （ S t r u c t u r e d Q u e r y L a n g u a g e ） 5 众 测 通 则 5 . 1 众 测 作 用 在 金 融 信 息 系 统 上 线 前 或 生 产 运 行 过 程 中 ， 金 融 信 息 系 统 的 运 营 或 使 用 单 位 、 主 管 或 监 管 单 位 委 托 专 业 机 构 ， 对 金 融 信 息 系 统 实 施 安 全 众 测 ， 发 现 并 解 决 潜 在 的 安 全 问 题 与 隐 患 ， 并 在
27、此 基 础 上 ， 整 改 相 关 安 全 问 题 ， 以 提 升 安 全 防 护 能 力 ， 满 足 业 务 的 安 全 平 稳 运 行 。J R / T 0 2 1 4 2 0 2 1 2 5 . 2 重 点 关 注 的 风 险 项 5 . 2 . 1 测 试 人 员 身 份 背 景 信 赖 度 实 施 安 全 众 测 的 测 试 人 员 来 自 社 会 大 众 或 不 同 的 组 织 机 构 ， 对 于 参 与 测 试 的 技 术 人 员 身 份 缺 少 可 靠 判 断 ， 信 赖 度 偏 低 。 5 . 2 . 2 测 试 人 员 行 为 传 统 的 安 全 测 试 模 式 下 ， 测
28、 试 人 员 的 行 为 不 可 见 、 不 可 控 、 不 可 审 计 、 不 可 溯 源 ， 一 旦 在 安 全 众 测 事 中 或 事 后 发 生 安 全 事 件 ， 缺 少 对 事 件 的 定 位 和 溯 源 条 件 。 5 . 2 . 3 系 统 运 行 在 安 全 众 测 时 ， 需 要 模 拟 黑 客 对 设 备 和 系 统 进 行 一 定 的 攻 击 测 试 工 作 ， 可 能 对 系 统 的 运 行 造 成 一 定 的 影 响 ， 甚 至 会 影 响 业 务 连 续 性 ， 如 O W A S P 排 名 前 十 的 操 作 都 具 有 一 定 的 风 险 性 。 5 . 2
29、 . 4 敏 感 信 息 泄 漏 众 测 实 施 过 程 中 ， 有 可 能 造 成 被 测 系 统 的 业 务 数 据 或 状 态 敏 感 信 息 泄 露 。 如 针 对 核 心 数 据 库 的 S Q L 注 入 等 操 作 ， 造 成 如 客 户 身 份 信 息 、 客 户 账 号 信 息 、 网 络 拓 扑 、 I P 地 址 、 业 务 流 程 、 安 全 漏 洞 信 息 、 配 置 参 数 、 运 行 日 志 、 告 警 信 息 等 的 泄 露 。 5 . 3 实 施 主 体 和 职 责 5 . 3 . 1 众 测 需 求 方 众 测 需 求 方 （ 以 下 简 称 需 求 方 ）
30、 ： 是 发 起 安 全 众 测 、 授 权 安 全 众 测 行 为 的 组 织 ， 一 般 为 金 融 机 构 。 5 . 3 . 2 众 测 组 织 方 众 测 组 织 方 （ 以 下 简 称 组 织 方 ） ： 是 在 需 求 方 的 授 权 下 ， 负 责 众 测 测 试 方 的 召 集 和 管 理 ， 并 提 供 测 试 报 告 的 组 织 。 组 织 方 宜 具 备 如 下 条 件 ： a ) 从 事 相 关 安 全 测 试 或 检 测 评 估 工 作 两 年 以 上 ， 无 违 法 记 录 。 b ) 法 定 代 表 人 及 主 要 业 务 、 技 术 人 员 无 犯 罪 记 录
31、 。 c ) 具 有 完 备 的 保 密 管 理 、 项 目 管 理 、 质 量 管 理 、 人 员 管 理 和 培 训 教 育 等 安 全 管 理 制 度 。 d ) 对 国 家 安 全 、 社 会 秩 序 、 公 共 利 益 不 构 成 威 胁 。 组 织 方 宜 履 行 如 下 义 务 ： a ) 遵 守 国 家 有 关 法 律 法 规 和 技 术 标 准 ， 提 供 安 全 、 客 观 、 公 正 的 安 全 众 测 服 务 ， 保 证 服 务 质 量 。 b ) 保 护 在 众 测 活 动 中 知 悉 的 国 家 秘 密 、 商 业 秘 密 和 个 人 隐 私 。 c ) 保 障 测
32、 试 人 员 的 身 份 与 背 景 可 靠 。 d ) 对 测 试 人 员 进 行 安 全 保 密 教 育 ， 与 其 签 订 安 全 保 密 责 任 书 ， 规 定 履 行 的 安 全 保 密 义 务 和 承 担 的 法 律 责 任 ， 并 负 责 检 查 落 实 。 5 . 3 . 3 众 测 测 试 方 众 测 测 试 方 （ 以 下 简 称 测 试 方 ） ： 是 通 过 自 身 技 术 在 需 求 方 授 权 的 前 提 下 对 测 试 目 标 进 行 安 全 测 试 ， 帮 助 需 求 方 查 找 计 算 机 系 统 或 网 络 系 统 的 漏 洞 的 安 全 测 试 人 员 。
33、 测 试 方 宜 具 备 如 下 条 件 ：J R / T 0 2 1 4 2 0 2 1 3 a ) 年 满 1 8 周 岁 。 b ) 无 违 法 及 犯 罪 记 录 。 测 试 方 宜 履 行 如 下 义 务 ： a ) 遵 守 国 家 有 关 法 律 法 规 和 技 术 标 准 、 需 求 方 和 组 织 方 的 相 关 要 求 ， 在 授 权 的 范 围 内 开 展 安 全 众 测 服 务 ， 提 供 准 确 、 真 实 、 客 观 的 网 络 安 全 漏 洞 。 b ) 保 护 在 众 测 活 动 中 知 悉 的 国 家 秘 密 、 商 业 秘 密 和 个 人 隐 私 ， 履 行
34、安 全 保 密 义 务 和 承 担 相 应 的 法 律 责 任 。 5 . 3 . 4 众 测 审 计 方 众 测 审 计 方 （ 以 下 简 称 审 计 方 ） ： 是 根 据 需 求 方 的 要 求 ， 对 安 全 众 测 过 程 进 行 管 控 、 监 控 、 审 计 和 评 价 的 组 织 。 审 计 方 宜 具 备 如 下 条 件 ： a ) 从 事 相 关 安 全 测 试 审 计 或 评 估 工 作 两 年 以 上 ， 无 违 法 记 录 。 b ) 法 定 代 表 人 及 主 要 业 务 、 技 术 人 员 无 犯 罪 记 录 。 c ) 具 有 完 备 的 保 密 管 理 、
35、项 目 管 理 、 质 量 管 理 、 人 员 管 理 和 培 训 教 育 等 安 全 管 理 制 度 。 d ) 对 国 家 安 全 、 社 会 秩 序 、 公 共 利 益 不 构 成 威 胁 。 e ) 审 计 方 与 组 织 方 、 测 试 方 宜 相 互 权 限 隔 离 。 审 计 方 宜 履 行 如 下 义 务 ： a ) 遵 守 国 家 有 关 法 律 法 规 和 技 术 标 准 ， 提 供 安 全 、 客 观 、 公 正 的 安 全 众 测 审 计 服 务 ， 保 证 服 务 质 量 。 b ) 保 护 在 众 测 活 动 中 知 悉 的 国 家 秘 密 、 商 业 秘 密 和
36、个 人 隐 私 。 c ) 履 行 安 全 保 密 义 务 和 承 担 相 应 的 法 律 责 任 。 5 . 4 实 施 过 程 安 全 众 测 实 施 过 程 包 括 众 测 准 备 、 众 测 实 施 和 分 析 、 报 告 编 制 三 个 过 程 。 6 众 测 准 备 6 . 1 概 述 众 测 准 备 工 作 是 开 展 安 全 众 测 工 作 的 前 提 和 基 础 ， 是 整 个 安 全 众 测 过 程 有 效 性 的 保 证 。 众 测 准 备 工 作 是 否 充 分 直 接 关 系 到 后 续 工 作 能 否 顺 利 开 展 。 其 主 要 任 务 是 确 定 安 全 测
37、试 对 象 、 时 间 范 围 、 众 测 实 施 方 案 与 安 全 管 理 方 案 ， 完 成 测 试 人 员 的 召 集 和 认 证 审 核 、 准 备 安 全 管 控 平 台 等 众 测 基 础 环 境 ， 为 众 测 实 施 做 好 准 备 。 6 . 2 工 作 流 程 众 测 准 备 的 基 本 工 作 流 程 见 图 1 。J R / T 0 2 1 4 2 0 2 1 4 图 1 众 测 准 备 工 作 流 程 图 6 . 3 主 要 任 务 6 . 3 . 1 项 目 启 动 在 项 目 启 动 任 务 中 ， 需 求 方 、 组 织 方 和 审 计 方 组 建 安 全 众
38、 测 项 目 组 ， 从 基 本 资 料 、 人 员 、 计 划 安 排 等 方 面 为 安 全 众 测 项 目 的 实 施 做 基 本 准 备 。 输 入 ： 网 络 安 全 众 测 协 议 书 （ 见 附 录 A ） 。 任 务 描 述 ： 根 据 需 求 方 与 组 织 方 和 审 计 方 签 订 的 网 络 安 全 众 测 协 议 书 ， 组 织 方 和 审 计 方 组 建 众 测 项 目 组 ， 从 人 员 方 面 做 好 准 备 ， 并 编 制 项 目 计 划 书 。 项 目 计 划 书 可 包 含 项 目 概 述 、 工 作 依 据 、 技 术 思 路 、 工 作 内 容 和 项
39、 目 组 织 等 。 输 出 / 产 品 ： 项 目 计 划 书 。 6 . 3 . 2 明 确 测 试 要 求 在 明 确 测 试 要 求 任 务 中 ， 需 求 方 向 组 织 方 和 审 计 方 明 确 测 试 对 象 、 测 试 时 间 、 测 试 人 数 限 制 、 测 试 安 全 管 控 方 式 、 测 试 人 员 行 为 准 则 （ 见 附 录 B ） 等 安 全 众 测 工 作 的 具 体 测 试 要 求 。 输 入 ： 网 络 安 全 众 测 协 议 书 。 任 务 描 述 ： 根 据 需 求 方 与 组 织 方 和 审 计 方 签 订 的 网 络 安 全 众 测 协 议 书
40、 ， 需 求 方 向 组 织 方 和 审 计 方 明 确 测 试 对 象 、 测 试 时 间 、 测 试 人 数 限 制 、 测 试 安 全 管 控 方 式 、 测 试 人 员 行 为 准 则 、 审 计 要 求 等 安 全 众 测 工 作 的 具 体 测 试 要 求 。 输 出 / 产 品 ： 测 试 要 求 。J R / T 0 2 1 4 2 0 2 1 5 6 . 3 . 3 明 确 验 收 标 准 在 明 确 验 收 标 准 任 务 中 ， 需 求 方 向 组 织 方 和 审 计 方 明 确 项 目 验 收 标 准 、 漏 洞 评 级 标 准 、 奖 励 计 算 方 式 等 安 全
41、众 测 工 作 的 具 体 验 收 标 准 。 输 入 ： 网 络 安 全 众 测 协 议 书 。 任 务 描 述 ： 根 据 需 求 方 与 组 织 方 和 审 计 方 签 订 的 网 络 安 全 众 测 协 议 书 ， 需 求 方 向 组 织 方 和 审 计 方 明 确 项 目 验 收 标 准 、 漏 洞 评 级 标 准 （ 见 附 录 C ） 、 奖 励 计 算 方 式 等 安 全 众 测 工 作 的 具 体 验 收 标 准 。 输 出 / 产 品 ： 验 收 标 准 。 6 . 3 . 4 测 试 和 审 计 授 权 在 测 试 和 审 计 授 权 任 务 中 ， 需 求 方 以 书
42、面 的 形 式 向 组 织 方 和 审 计 方 授 权 众 测 和 众 测 审 计 。 输 入 ： 网 络 安 全 众 测 协 议 书 。 任 务 描 述 ： 根 据 需 求 方 与 组 织 方 和 审 计 方 签 订 的 网 络 安 全 众 测 协 议 书 ， 需 求 方 向 组 织 方 和 审 计 方 以 书 面 的 形 式 向 组 织 方 和 审 计 方 授 权 众 测 和 众 测 审 计 。 输 出 / 产 品 ： 网 络 安 全 众 测 授 权 委 托 书 （ 见 附 录 D ） 。 6 . 3 . 5 测 试 人 员 组 织 在 测 试 人 员 组 织 任 务 中 ， 组 织 方
43、在 需 求 方 的 授 权 和 委 托 下 ， 招 募 和 组 织 安 全 测 试 人 员 ， 对 安 全 测 试 人 员 进 行 实 名 认 证 和 背 景 调 查 。 输 入 ： 网 络 安 全 众 测 授 权 委 托 书 。 任 务 描 述 ： 根 据 需 求 方 向 组 织 方 授 予 的 网 络 安 全 众 测 授 权 委 托 书 ， 组 织 方 招 募 和 组 织 安 全 测 试 人 员 ， 对 安 全 测 试 人 员 进 行 实 名 认 证 和 背 景 调 查 。 输 出 / 产 品 ： 安 全 测 试 人 员 清 单 。 6 . 3 . 6 保 密 教 育 与 保 密 协 议
44、在 保 密 教 育 与 保 密 协 议 任 务 中 ， 组 织 方 根 据 需 求 方 对 于 安 全 众 测 项 目 的 要 求 ， 对 测 试 人 员 进 行 安 全 保 密 宣 传 和 教 育 培 训 工 作 ， 包 括 项 目 测 试 范 围 、 项 目 测 试 时 间 、 项 目 测 试 行 为 准 则 、 安 全 保 密 要 求 等 ， 与 测 试 人 员 签 署 安 全 保 密 协 议 。 输 入 ： 网 络 安 全 众 测 授 权 委 托 书 / 安 全 测 试 人 员 清 单 。 任 务 描 述 ： 组 织 方 根 据 需 求 方 要 求 向 测 试 人 员 进 行 安 全
45、保 密 宣 传 和 教 育 培 训 工 作 ， 与 测 试 人 员 签 署 安 全 保 密 协 议 。 输 出 / 产 品 ： 培 训 记 录 ， 安 全 保 密 协 议 。 6 . 3 . 7 审 计 平 台 准 备 在 审 计 平 台 准 备 任 务 中 ， 审 计 方 按 照 需 求 方 对 于 安 全 众 测 项 目 的 要 求 ， 准 备 管 控 与 审 计 平 台 环 境 ， 以 及 测 试 方 安 全 接 入 所 需 的 账 号 口 令 等 信 息 。 输 入 ： 网 络 安 全 众 测 授 权 委 托 书 。 任 务 描 述 ： 根 据 需 求 方 向 审 计 方 授 予 的
46、网 络 安 全 众 测 授 权 委 托 书 ， 审 计 方 准 备 管 控 与 审 计 平 台 环 境 ， 以 及 测 试 方 安 全 接 入 所 需 的 账 号 口 令 等 信 息 。 输 出 / 产 品 ： 审 计 平 台 及 认 证 信 息 。 6 . 4 各 实 施 主 体 职 责 6 . 4 . 1 众 测 需 求 方J R / T 0 2 1 4 2 0 2 1 6 宜 考 虑 以 下 工 作 ： a ) 成 立 众 测 项 目 管 理 团 队 ， 包 括 项 目 负 责 人 、 漏 洞 审 核 处 理 负 责 人 、 安 全 监 测 负 责 人 。 b ) 与 组 织 方 、 审
47、 计 方 签 订 网 络 安 全 众 测 授 权 委 托 书 及 安 全 保 密 协 议 。 c ) 明 确 测 试 对 象 、 测 试 时 间 、 测 试 人 员 数 量 、 测 试 人 员 行 为 准 则 、 漏 洞 评 级 标 准 、 漏 洞 发 现 奖 励 方 式 与 标 准 等 众 测 项 目 实 施 参 数 。 d ) 建 立 测 试 过 程 中 安 全 监 控 机 制 及 突 发 事 件 应 急 预 案 ， 协 调 各 部 门 人 员 做 好 测 试 期 间 的 安 全 监 控 和 应 急 响 应 。 e ) 组 织 开 展 项 目 启 动 会 ， 宣 讲 项 目 实 施 方 案
48、 ， 动 员 内 外 部 做 好 测 试 准 备 工 作 和 测 试 期 间 的 安 全 保 障 工 作 。 6 . 4 . 2 众 测 组 织 方 宜 考 虑 以 下 工 作 ： a ) 成 立 项 目 实 施 小 组 和 应 急 小 组 ， 明 确 项 目 负 责 人 。 b ) 与 需 求 方 签 署 网 络 安 全 众 测 授 权 委 托 书 及 安 全 保 密 协 议 。 c ) 对 需 求 方 进 行 认 证 以 及 对 测 试 对 象 进 行 所 有 权 校 验 ， 确 保 需 求 方 测 试 对 象 范 围 合 法 ， 所 有 权 校 验 需 包 括 但 不 限 于 W e b
49、 应 用 服 务 、 移 动 A P P 。 d ) 对 测 试 方 进 行 个 人 / 企 业 实 名 认 证 ， 并 签 署 安 全 保 密 协 议 。 e ) 通 过 技 能 考 核 设 置 测 试 方 的 准 入 门 槛 ， 同 时 建 立 测 试 方 的 信 誉 体 系 及 优 胜 劣 汰 机 制 ， 对 不 符 合 相 关 法 律 法 规 及 不 按 需 求 方 要 求 进 行 测 试 的 测 试 方 进 行 处 罚 及 清 退 ， 确 保 身 份 可 信 、 技 能 可 行 。 f ) 对 测 试 人 员 进 行 安 全 保 密 宣 传 和 教 育 培 训 工 作 ， 包 括 项
50、 目 测 试 范 围 、 项 目 测 试 时 间 、 测 试 行 为 准 则 、 安 全 保 密 要 求 等 ， 并 签 署 测 试 协 议 和 安 全 保 密 协 议 。 g ) 协 助 需 求 方 和 审 计 方 ， 完 成 测 试 管 控 平 台 的 账 号 申 请 、 接 入 认 证 账 号 发 放 、 培 训 教 育 等 工 作 。 6 . 4 . 3 众 测 测 试 方 宜 考 虑 以 下 工 作 ： a ) 认 真 学 习 项 目 的 相 关 要 求 ， 包 括 项 目 测 试 范 围 、 项 目 测 试 时 间 、 项 目 测 试 行 为 准 则 、 安 全 保 密 要 求 。
