结构化的漏洞跟踪与修复协同
漏洞管理服务
Upstream BPO 承接漏洞运营，覆盖漏洞接收、资产与责任人关联、修复跟踪、例外事务管理、闭环取证与报告。团队遵循客户批准的严重程度、风险与修复框架。
漏洞管理支持是对漏洞全生命周期的运营管理：接收、去重、资产关联、修复跟踪、例外管理与闭环取证。
适合需要在重复出现的漏洞发现中获得更清晰责任归属、时效可见性与一致修复跟踪的企业。
服务包含哪些内容
- 漏洞接收与归一化
- 资产与责任人关联
- 修复与时效跟踪
- 例外与闭环取证
服务内容
我们接收并登记经批准的漏洞发现，统一经批准的字段与引用信息，把发现项关联到经批准的资产与责任人，维护客户既定的严重程度与优先级字段，跟踪处置动作、责任人、时限与状态，记录经批准的例外及其有效期，复核为闭环提交的取证材料，并编制发现项、时效、例外与闭环报告。
漏洞运营常见的问题
发现项分散在不同工具与团队
当来源、重复项、资产、责任人与严重程度信息分散在不同工具与团队时，很难对发现项排定优先级。
资产归属不清
资产归属不清会拖慢修复规划，也让基础设施、应用与业务团队之间的问责变得困难。
修复状态陈旧
当处置动作、时限、依赖、例外与闭环取证未被一致更新时，陈旧的状态记录会降低风险可见性。
例外与闭环取证不完整
不完整的例外或取证材料，会让人难以区分已接受的风险、正在推进的修复与真正经过验证的闭环。
服务范围
系统、工具、访问权限、控制措施责任、升级阈值与决策权均由客户定义。
漏洞接收
接收并登记经批准的漏洞发现，涵盖发现项、来源与记录。
发现项归一化支持
统一经批准的字段与引用信息，涵盖重复项、字段与分类体系。
资产与责任人关联
把发现项关联到经批准的资产与问责责任人，涵盖资产、责任人与系统。
严重程度与优先级维护
维护客户既定的严重程度与优先级字段，涵盖严重程度、优先级与规则。
修复跟踪
跟踪处置动作、责任人、时限与状态，涵盖动作、时限与时效。
例外事务管理
记录经批准的例外及其有效期信息，涵盖例外、控制措施与到期。
闭环取证复核支持
复核为闭环提交的经批准取证材料，涵盖取证、核查与状态。
漏洞报告
编制发现项、时效、例外与闭环报告，涵盖报告、趋势与治理。
运营模式
严重程度评级、修复优先级与风险接受决策始终归客户所有。
接收与归一化
来自客户批准来源的发现项会被登记、去重，并按约定的严重程度定义完成归一化。
资产关联
关联工作依据客户维护的资产与归属记录进行。Upstream BPO 不会独立判定资产归属。
修复状态跟踪
每个发现项都带有责任人、时限与当前状态，团队按客户设定的节奏催办未结项。
例外与取证
团队按客户既定规则记录例外申请、审批取证、有效期与闭环取证材料。
渗透测试边界
渗透测试与攻击性安全评估不属于本服务范围。
服务边界
漏洞的消除、风险接受、严重程度调整与修复动作本身始终由客户掌握；跟踪工作本身并不构成技术性修复。渗透测试与资产覆盖的完整性仍由客户负责。
从来源梳理到正式运营
安全范围、系统、访问权限、服务时间、人员配置、质量阈值、升级目标与爬坡周期按项目约定。
发现来源梳理
确认发现项来源、资产清单、归属模型与业务量。
规程与优先级定义
记录归一化规则、严重程度模型与例外处理方式。
方案与团队设计
明确团队结构、质量管控与产能要求。
权限与工具开通
在约定边界内开通访问权限，配置台账与报告。
培训与校准
以经批准的规程与参考发现项培训团队。
受控试点
在既定范围内验证接收、资产关联、修复跟踪与报告，随后再扩大。
产能爬坡
在业务量与试点得到验证后扩大覆盖与人员。
持续优化
复盘时效、重复出现的发现项与对规程的反馈。
典型应用场景
以下是企业把漏洞运营交由外部团队承接时最常见的场景。
发现项接收
接收、登记并归一化经批准的漏洞发现。
资产与责任人关联
把发现项关联到经批准的资产、系统与问责责任人。
修复跟踪
跟踪处置动作、责任人、时限、依赖关系与状态。
例外事务管理
记录经批准的例外、控制措施与有效期信息。
闭环取证
复核为授权闭环决策提交的取证材料。
漏洞报告
编制发现项、时效、例外与闭环摘要。
服务场景
- 发现项台账
- 资产管理系统
- 修复任务队列
- 例外登记表
- 取证材料库
- 漏洞报告
服务行业
以下行业对漏洞运营的需求最为集中。
- 银行与金融服务
- 科技与 SaaS
- 电信
- 医疗健康与生命科学
面向中国及亚洲市场的服务
中文漏洞台账由具备中文工作能力的人员维护，这在处理发现项描述、审批与记录时尤为重要。我们不会声称在没有实体的国家设有办公室，也不提供中国境内的本地交付团队。语言覆盖、服务时间与运营设计按项目约定。
数据与权限
访问权限、权限边界、发现项数据的处理规则与操作留痕要求，在启动前确认并形成书面约定。
- 账号按最小必要权限开通
- 团队操作在您的系统中留痕
- 严重程度评级与风险接受归客户
- 操作规程变更以版本方式记录
常见问题
- 什么是漏洞管理支持？
- 它是对漏洞全生命周期的运营管理：接收、去重、资产关联、修复跟踪、例外管理与闭环取证。
- 团队能否接收并归一化发现项？
- 可以。来自客户批准来源的发现项会被登记、去重，并按约定的严重程度定义完成归一化。
- 团队能否关联资产与责任人？
- 可以，依据客户维护的资产与归属记录进行。Upstream BPO 不会独立判定资产归属。
- 修复状态如何跟踪？
- 每个发现项都带有责任人、时限与当前状态，团队按客户设定的节奏催办未结项。
- 严重程度与风险接受由谁掌握？
- 由客户掌握。严重程度评级、修复优先级与风险接受决策始终归客户所有。
- 能否管理例外与闭环取证？
- 可以。团队按客户既定规则记录例外申请、审批取证、有效期与闭环取证材料。
- 是否包含渗透测试？
- 不包含。渗透测试与攻击性安全评估不属于本服务范围。
- 漏洞管理可以从试点开始吗？
- 可以。试点可在既定范围内验证接收、资产关联、修复跟踪与报告，随后再扩大覆盖。
- 发现项数量如何扩容？
- 产能依据扫描频率、发现项数量、资产规模与约定的修复跟踪节奏进行规划。
- 漏洞管理能保证漏洞被彻底消除吗？
- 不能。漏洞的消除、风险接受、严重程度调整与修复动作本身始终由客户掌握；跟踪工作本身并不构成技术性修复。渗透测试与资产覆盖的完整性仍由客户负责。