变更管理制度

变更管理制度为规范上海XX信息系统变更管理，建立系统变更流程安全保障机制通过对变更流程中申请、审批、实施、测试、回退等步骤进行控制，确保信息系统安全有效运行，特制订本管理办法。一、 变更定义信息系统变更可分为日常变更、紧急变更，定义如下：日常变更：日常运维管理工作中非紧急变更，分为一般变更、较大变更和重大变更。一般变更：变更不影响信息系统的正常运行，变更影响范围及变更风险很小的变更，如更改普通用户权限，对非重要位置的参数进行变更等；较大变更：变更可能影响信息系统的正常运行，变更影响范围及变更风险一般的变更，如非核心业务系统补丁升级，网络安全策略变更等；•重大变更：变更需要停止信息系统运行，变更影响范围及变更风险很大的变更，如更改网络结构，核心业务系统补丁升级等。紧急变更•紧急变更：是指在系统维护管理过程中应变系统紧急突发故障的变更，且如不尽快采取相关措施将造成更大的风险。二、 变更职责变更申请人指系统相关人员，如系统维护人员、用户、厂商、管理人员等，其变更职责如下：负责识别变更需求，提出变更申请。变更审批人指具备变更事项审批权限人员，如信息安全委员会、信息安全管理小组，其变更职责如下：•负责组织变更的审批、评审；•负责组织重大技术变更的计划，回退过程的测试与演练；•负责组织重大技术变更的测试、实施。变更管理委员会指信息部变更管理人，其职责如下：协助变更申请人递交变更申请协调变更控制管理流程；•负责组织制定常规变更计划；负责组织人员实施常规变更；•负责向信息安全委员会进行重大技术变更的申请和报告；•负责本文件的编制和管理；参与变更的审批、评估；参与变更的计划，回退过程的测试与演练；参与变更的测试、实施；参与变更后的跟踪与反馈。协助制定、调整变更计划及发布实施计划；•总结变更过程中发现的问题并及时对变更实施和制度的进行改进。变更实施人主要职责如下：•负责调派和协调变更实施资源；•负责规划和提交变更实施方案；负责记录变更实施过程情况；•负责提交变更实施过程文档和总结报告。三、 变更申请任何变更都必须进行申请和审批，变更管理委员应对变更事项进行分门别类的记录。变更申请人按照实际需求填写附件4《变更申请表》，明确变更类型、变更负责人、变更实施人、变更操作流程等。变更管理委员判断变类型，协助变更申请人向相关变更审批人提交申请。四、 变更方案制定与评审根据变更类型，制定评审和审批方式。一般变更可不提交变更实施方案，但必须进行变更申请和记录。较大变更和重大变更应制定变更实施方案，方案制定原则应以降低变更实施过程风险和保障变更实施安全为原则，方案应包括更前的备份、变更计划、实施人员、实施流程、所用工具、回退计划、回退不成功的应急预案等。在变更实施前，应由变更管理委员会、变更事项所涉及到管理人员、业务人员、组成评审小组对较大变更实施方案进行评审；变更实施方案通过后，由相关变更审批人进行签字审批•在变更实施前，应由信息安全委员会、变更事项所涉及到管理人员、业务人员、组成评审小组对重大变更方案进行评审，必要时，重大变更方案评审进行专家评审；变更实施方案通过后，由相关变更审批人进行签字审批。应根据信息系统可能遇到的紧急故障，提前制定紧急变更实施方案，方案制定原则应以降低变更实施过程风险和快速响应故障为原则，方案应包括实施人员、实施流程、实施工具、回退计划、回退不成功的应急预案。•在紧急故障发生前，应由变更管理委员会召集相关管理人员、业务人员对紧急变更进行评审；变更实施方案通过后，由相关变更审批人进行签字审批。五、 变更实施任何变更的实施，都必须经过审批，变更实施负责人应对变更实施过程进彳亍记录。一般变更实施变更实施人根据变更申请表中申请内容、领导意见，进行实施。变更实施人记录变更事件、事件、类型。较大变更实施变更实施前由变更实施人员进行备份，变更实施后进行变更情况记录；•如变更不成功，立即按照变更实施计划中的回退计划实行变更回退过程，使其状态回到变更前的状态，并进行记录；变更完成后由变更实施人员进行后期跟踪及反馈，并进行记录。重大变更实施变更实施前由相关人员进行实施测试，并对测试情况进行记录，测试通过后方可实施；•变更实施前通知所有将受变更影响的用户；变更实施前由变更实施人员进行备份，变更实施后进行变更情况记录；重大变更后，需要系统负责人进行验证、测试。变更完成后由安全委员会负责领导组织进行后期跟踪及反馈，并进行记录；•重大变更结束后，对相关文件进行更新，报告安全委员会。紧急变更实施•变更实施负责人根据变更申请书和已有的紧急变更实施方案，进行紧急实施。变更实施前由变更实施人员进行备份，变更实施后进行变更情况记录；如变更不成功，立即按照变更实施计划中的回退计划实行变更回退过程，使其状态回到变更前的状态，并进行记录。六、 变更回退当变更实施失败或者无法在规定的时间内完成，则需要进行回退。在下一次实施前，变更请求者必须重新提交新的变更申请单，以便重新进行审批。变更失败处理流程如下：变更失败报告遇到变更失败或者无法在规定的时间内无法完成变更时，变更实施人及时向变更管理委员会报告事件情况、已采取的措施，变更实施人及时评估即时修改错误、继续变更的风险。变更失败回退•变更领导人组织相关实施人员按照变更实施方案中的回退计划进行回退，并保障回退实施安全。变更方案再制定与实施•发生变更失败事件后，事发单位进行变更失败分析和总结，多方分析变更过程中造成失败的原因重新制定变更计划，完善变更失败应急措施，保障人员操作等可控性，具体变更方案评审参照本章第五节，变更实