魏为民 ，张运琴 ，翟亚红

(1.上海电力大学 计算机科学与技术学院，上海 200090；2.中国网络安全审查技术与认证中心，北京 100020)

0 引言

2013 年10 月，国际标准化组织(International Organization for Standardization，ISO) 正式发布了ISO/IEC 27001：2013《Information technology—Security techniques—Information security management systems—Requirements》，取代使用了8 年之久的ISO/IEC 27001：2005。2016 年8 月，国家质量监督检验检疫总局与国家标准化管理委员会联合发布了GB/T 22080-2016/ISO/IEC 27001:2013《信息技术 安全技术 信息安全管理体系 要求》，该标准使用翻译法等同采用ISO/IEC 27001：2013，其中附录A 包括14 个控制域、35 个控制目标、114 项控制措施，并增加了资料性附录NA 和NB[1]。按惯例，ISO 每5 年左右会对标准进行一次升级，2019 年6 月，经评审和确认，ISO/IEC 27001：2013 标准维持现状[2]。上述标准中信息安全管理体系(Information Security Management Systems，ISMS)是指“基于业务风险方法，建立、实施、运行、监视、评审、保持和改进信息安全的体系，是一个组织整个管理体系的一部分[3]”。本文将重点讨论信息安全管理体系标准GB/T 22080-2016 附录A 中的“A.12.6技术方面的脆弱性管理(Technical vulnerability management)”，包含“A.12.6.1 技术方面脆弱性的管理(Management of technical vulnerabilities)”和“A.12.6.2软件安装限制(Restrictions on software installation)”两项控制措施，其目标是“防止对技术脆弱性的利用(To prevent exploitation of technical vulnerabilities)”。

所谓脆弱性(vulnerability)，又称弱点或漏洞，ISO/IEC 27000：2016 中将脆弱性定义为“可能被一个或多个威胁利用的资产或控制的弱点[3]”，而威胁是“可能对系统或组织造成危害的不期望事件的潜在原由[3]”。在GB/T 20984-2007 中的定义是“脆弱性是可能被威胁所利用的资产或若干资产的薄弱环节[4]”。由此可见，脆弱性是资产或系统本身固有的，如果没有被威胁所利用，仅仅脆弱性本身是不会对资产或系统造成损害的[4]。风险评估(risk assessment)是信息安全管理体系实施过程中最重要的一个活动，脆弱性识别(vulnerability identification)是风险评估中最重要的一个环节。……