ISO/IEC 29147 与 ISO/IEC 30111 - 漏洞披露与漏洞处理流程

企业获得 ISO/IEC 29147 与 ISO/IEC 30111 国际标准认证，可帮助企业有效应对组织内外部的漏洞风险。

 

关于标准

1. ISO/IEC 29147 漏洞披露

ISO/IEC 29147 是一项国际标准，为组织提供有关披露产品和服务漏洞的要求和建议。漏洞披露可帮助用户保护其系统和数据、优先考虑防御性投资并更好地评估风险。漏洞披露的目标是降低与利用漏洞相关的风险。当多个供应商受到影响时，协调一致的漏洞披露尤其重要。

 

2. ISO/IEC 30111 漏洞处理流程

ISO/IEC 30111 是一项国际标准，提供了有关如何处理和修复产品或服务中报告的潜在漏洞的要求和建议，涉及报告的调查并确定优先级、开发、测试和部署补救措施以及改进安全开发等活动。

 

ISO/IEC 29147 涉及组织和报告者之间的接口，而 ISO/IEC 30111 则涉及组织内部流程，包括漏洞的分类、调查和修复。ISO/IEC 29147 应与 ISO/IEC 30111 结合使用。因此，两项标准需一并认证。

 

DNV NEWS - ISO 29147 & ISO 30111 Intro - 2

 

为什么组织需要漏洞管理

获得 ISO/IEC 29147 及 ISO/IEC 30111 认证意味着组织已实施了标准化的漏洞披露与处理流程。该流程涵盖软件产品或系统漏洞的识别、分析、解决和披露。通过遵循这一流程，组织可以证明其对安全、质量和客户满意度的承诺。

 

它还可以降低网络攻击、法律责任和声誉受损的风险。此外，通过 ISO/IEC 29147 及 ISO/IEC 30111 认证还能帮助组织改善内部沟通、协作以及参与漏洞处理的不同利益相关者之间的协调。它还能促进与外部各方（如供应商、研究人员和客户）的信息和最佳实践交流。

 

实施 ISO/IEC 29147 与 ISO/IEC 30111 可帮助企业：

  • 在漏洞被攻击者利用之前识别并解决漏洞，从而提高产品或服务的安全性和质量。
  • 通过展示积极负责的漏洞管理方法，提高客户、合作伙伴和监管机构的信任度。　
  • 通过最大限度地减少漏洞的影响和暴露，降低处理安全事件、漏洞和诉讼的成本和风险。
  • 遵守有关安全的法律法规要求，如《网络安全法》、《网络产品安全漏洞管理规定》。
  • 与安全和风险管理的最佳实践和框架保持一致，如 ISO/IEC 27001 或 NIST SP 800-53。

 

该认证适用于哪些企业

该标准适用于开发、维护或分发软件产品的任何组织，包括但不限于：

  • 希望建立清晰一致的流程来接收和处理来自外部来源的漏洞报告的软件供应商；
  • 希望确保他们使用的软件是安全的，并使用最新的补丁和修复程序进行更新的软件用户；
  • 希望向客户和利益相关者展示其对安全性和可信度的承诺的软件服务提供商；
  • 希望验证和确认软件组织的安全实践和流程的软件认证机构。

 

如何获得认证

为申请第三方认证，您需要实施一套有效且符合标准要求的漏洞披露与漏洞处理流程管理体系。DNV 是经认可的第三方认证机构。我们提供相关的培训服务和认证服务。

 

 

相关服务