最後一次修改：19 3 月, 2025
政策編號 4204 安全回應計劃程序
概述
安全回應計畫 (SRP) 可推動安全與作業群組從意識與溝通的角度整合工作，並在危機時刻 (安全漏洞被識別或利用) 協調回應。具體來說，SRP 定義產品說明、聯絡資訊、升級路徑、預期服務層級協定 (SLA)、嚴重性與影響分類，以及緩解/修復時間表。
透過要求作業群組將 SRP 作為其業務連續性作業的一部分，以及在開發新產品或服務並準備發佈給消費者時，這可確保在發生事故時，能迅速進行緩解和修復。
目的
本程序的目的是建立資訊安全團隊支援的所有作業群組都必須制定並維護安全回應計 畫的規定。這可確保安全事件回應團隊擁有所有必要資訊，以便在特定安全事件發生時，制定成功的回應措施。
范围
本程序適用於 PCSD 內任何已建立和界定的作業群組或實體。
程序
安全回應計畫 (SRP) 的制定、實施與執行，主要由負責制定 SRP 的特定作業群組與資訊安全團隊合作負責。
作業群組應適當促進適用於其負責服務或產品的 SRP。作業群組安全協調員或領導者更應與網路安全工程師合作，共同開發與維護安全回應計畫。
服務或產品說明
- SRP 中的產品說明必須清楚定義要部署的服務或應用程式，並額外注意資料流程和邏輯圖。清楚定義的架構非常有用。
联系信息
- SRP 必須包括在非營業時間內，若發生事故並需要上級處理時，可提供服務的專門團隊成員的聯絡資訊。
- 根據服務或產品的商業價值以及對客戶的影響，這可能是全天候的要求。
- SRP 文件必須包含專責團隊成員的所有電話號碼和電子郵件地址。
分流
- SRP 必須定義與安全事件回應團隊合作協調的分流步驟，以達到迅速減緩安全漏洞的目標。
- 此步驟通常包括驗證報告的弱點或危害。
已識別的緩解措施和測試
- SRP 必須包含在部署前確定和測試緩解措施的定義流程。
- 這些詳細資訊應包括短期緩解措施以及補救程序。
緩解和補救時間表
- SRP 必須包括針對已識別漏洞的回應等級，並根據嚴重性以及對消費者、品牌和公司的影響，定義預期的修復時間表。
- 這些回應指導方針應該仔細對應到報告弱點的嚴重性等級。
最後更新狀態：
2015 年 1 月更新
繁體中文 
English 
Español de México 
Deutsch 
Français 
Italiano 
日本語 
한국어 
Lietuvių kalba 
Português do Brasil 
Русский