顺丰《SFSRC安全情报评分标准》正式开启运行。

2022年1月26日至以后

顺丰SRC

一、安全情报说明

安全情报按危害程度分五个等级，分别为【严重】、【高】、【中】、【低】、【无】五个等级，情报兑换积分，最高为100分。SFSRC结合利用场景中事件的严重程度及利用难度等综合因素给予相应定级。

安全情报提供者必须验证并提供相关证明材料（不限于文档/截图/视频）用于证明安全情报真实有效。

二、入侵/数据泄露情报评级标准

安全情报分为入侵/数据泄露情报、安全合规情报两大类。

SFSRC结合情报等级、业务系统重要程度和情报报告质量等综合因素给予相应积分，

评分参考范围如下：

1、业务系统等级划分

顺丰业务系统根据重要程度分为：核心业务系统、一般业务系统、关联业务系统。

【核心业务系统】：涉及顺丰速运订单支付、顺丰账号、顺丰用户/员工敏感信息、运单详细信息等相关系统，如：顺丰速运APP，顺丰速运小程序，顺丰官网、核心网络设备等。

【一般业务系统】：涉及顺丰运营数据、信息统计及运营支撑的网站或平台等，如：车辆管理、慈善基金网站、招投标系统和非公司级系统等。

【关联业务系统】：顺丰业务相关且非顺丰直接运营业务相关的网站/平台，如：顺丰关联公司的网站、平台、APP等。

2、数据泄露/入侵情报等级

1) 针对核心系统的的入侵情报，如核心服务器的入侵且提供了入侵方式等相关线索。

2) 核心业务数据库被拖取且提供了数据库名或数据库文件等相关线索。

3) 用户敏感数据大规模（敏感数据三元素组合一百万条以上，敏感数据二元素组合一千万条以上）被窃取且提供了攻击方法、窃取工具等关键线索等（用户名敏感信息：电话、地址、身份证等）

1) 针对非核心系统的入侵情报，能够帮助SFSRC对入侵事件溯源分析、定位攻击者身。

2) 针对非核心系统数据库被拖取且提供了数据名或数据库、文件等相关线索。

3) 用户敏感数据、员工敏感数据、经营运作敏感数据小规模（敏感数据三元素组合十万条以上，敏感数据二元素组合百万条以上）被窃取且提供了窃取方法、窃取工具等关键线索等；

4) 核心系统业务代码泄露；如:泄露核心系统完整代码，可外网连接的数据库账密。

1) 非法交易顺丰运单数据情报信息。

2) 外部黑产群或论坛，流出的针对顺丰的黑产工具，且可运行例如某恶意自动注册账号工具、自动扫单工具等。

3) 黑灰产组织基础信息。包括但不限于组织相关人员、架构、规模、地域、活动情况等信息、交流及销售渠道、使用的工具和平台、造成的相关影响、行业动态等；

1) 影响存在争议或影响相对较小的入侵/数据泄露情报

1) 不能证实、或人为制造的等虚假或无效威胁情报。

2) SFSRC已知或不具实效性的威胁情报

3) 提交可能售卖用户数据的暗网地址，且未提供其他有效信息。

4) 非顺丰业务相关的威胁情报。

3、安全合规情报等级

【高危及以上】

1) 影响重大，与相关法律法规存在严重冲突。

2) 对应问题严重且快递物流行业内罕见，针对通用隐私问题可以提供检测脚本或工具。

1) 有较大影响，与相关法律法规存在冲突。

1) 影响存在争议或影响相对较小。

注：上述高危及以上、中、低等级情报仅限面向互联网服务应用，如上架应用市场APP、互联网服务web等。

4、安全合规情报评级参考

在运行阶段，我们对提交的安全情报会及时跟进处理，因情报分析评级用时较长，还请大家理解，如对安全情报收集计划有任何建议，欢迎大家向我们反馈。

联系方式：

邮箱：[email protected]

微信号：SFNETSEC

祝大家身体健康，工作顺利！

                                                                                                                                                                                     顺丰安全应急响应中心