| 检查项 | 资产台账、扫描覆盖、修复 SLA、例外审批、复测 |
|---|---|
| 时限 | 按严重级设定（如严重 7 天、高危 30 天） |
| 例外 | 需书面理由、补偿措施与到期重评 |
审计抽样示例
审计抽样示例
抽取 20 个高危漏洞：
- 15 个按期修复（有记录）
- 3 个超期（检查是否升级）
- 2 个例外（核对审批与补偿措施）漏洞管理审计要点
漏洞管理审计检查闭环：资产覆盖（是否漏扫资产）、扫描频率、评级与修复时限、例外审批、复测验证；重点看“超期未修复”清单与例外管理。
易错点
- 只扫互联网资产：内网与云上资产未纳入扫描范围
- 例外永久化：审批一次后多年不重评，实质未修复
数据来源与参考
- 漏洞管理公开实践（CIS Controls 语境）
- ISO/IEC 27002 技术脆弱性管理