漏洞管理政策

1. 引言

本文档定义了如何跟踪、评估和修复 DeskCamera 软件中的漏洞。DeskCamera 是一款本地部署的离线应用程序，用于在客户本地网络中将屏幕数据传输至 NVR/VMS 系统。它不录制视频或音频，也不收集个人数据。连接云基础设施是可选的，仅用于许可验证或更新检查。在此过程中不会传输任何个人信息。

2. 目的

通过结构化的评估、修复和持续更新流程，将已知漏洞的暴露风险降至最低，从而确保 DeskCamera 的安全性和可靠性。

3. 范围

本政策适用于所有版本的 DeskCamera 软件、内部开发系统、代码仓库以及集成在软件中的所有第三方组件。

4. 治理与角色职责

• 首席技术官（CTO）：负责本政策并评估关键漏洞
• 开发团队：负责漏洞的监测、评估与修复
• 安全负责人：协调漏洞响应和外部沟通（如有必要）

5. 漏洞识别

• 持续监控 CVE 信息源和供应商的依赖性通告
• 开发过程中进行内部代码审查和静态分析工具的使用
• 来自客户或道德研究人员通过 [email protected] 报告的漏洞信息

6. 分类与风险评估

• 根据 CVSS 分数及业务影响将漏洞分为 紧急（Emergency）、高、中、低四个等级
• 风险评分考虑漏洞被利用的可能性、功能影响和攻击面大小

7. 修复流程

• 紧急（Emergency）和高等级漏洞须在 5 个工作日内处理完毕
• 安全补丁将在测试后整合进下一个可用版本中
• 在发现已知风险时，主动更新第三方依赖组件

8. 更新与发布流程

• 构建版本使用保存在离线 USB 介质上的安全证书进行签名
• 新的安装程序发布在 DeskCamera 官方网站上
• 如有需要，通过“安全公告”板块通知客户

9. 客户责任

• 客户需自行手动下载和安装更新
• DeskCamera 无法远程推送更新或访问客户环境，因此客户需遵循最佳安全实践

10. 审查与测试

• 本政策由 CTO 每年审查一次
• 使用 GitHub 进行版本控制
• 若发生安全事件或发布新漏洞通告，将更新漏洞管理实践

11. 审计记录与变更追踪

• 所有代码变更和访问历史通过 Azure DevOps Server 自动记录
• 提交记录、用户活动和权限更改信息保存在内部 SQL Server 数据库中
• 所有版本均保留 Git 提交历史，基于角色的访问控制确保可追溯性
• 审计流程符合 ISO 27001 和 SOC 2 关于安全软件开发的建议