外包项目安全管理考核细则

外包项目安全管理考核细则1总则1.1考核目的为规范外包项目安全管理，强化外包服务商安全责任意识，防范外包过程中的安全风险，保障企业信息资产、业务流程及客户数据安全，特制定本考核细则。1.2适用范围本细则适用于企业所有外包项目（包括但不限于IT系统开发与运维、业务流程外包、数据处理外包、人力资源外包等）的安全管理考核，覆盖外包项目全生命周期（需求调研、合同签订、实施交付、运维服务、项目收尾）。1.3考核原则1.客观公正：以事实为依据，采用量化指标与定性评价相结合的方式，避免主观臆断。2.量化可测：考核内容细化为具体指标，明确评分标准，确保结果可验证、可追溯。3.权责一致：明确甲乙双方安全责任，考核结果与服务商奖惩、合作资格直接挂钩。4.持续改进：通过考核发现问题，推动服务商完善安全管理体系，提升整体安全水平。2考核内容与评分标准本细则考核内容分为6大维度，总权重100分，具体如下：2.1安全资质审查（权重20%）考核目标：验证外包服务商及人员的安全资质有效性，确保其具备承担项目的安全能力。2.1.1服务商资质（权重8%）考核点：1.服务商需具备合法有效的营业执照，经营范围涵盖项目相关领域；2.提供近3年无重大安全事故记录证明（由第三方机构或行业主管部门出具）；3.具备项目所需的行业资质（如IT外包需具备系统集成资质、ICP经营许可证；数据处理外包需具备隐私信息管理体系认证等）。评分标准：缺少营业执照扣4分；无安全事故记录证明扣3分；行业资质不全扣1分。2.1.2人员资质（权重7%）考核点：1.项目核心人员（如项目经理、系统架构师、数据管理员）需具备相关安全证书（如CISSP、CEH、ISO____内审员等）；2.所有参与项目的人员需提供有效身份证明（如身份证、护照），并通过甲方组织的安全背景调查（无犯罪记录、无不良信用记录）。评分标准：核心人员无安全证书每人扣2分（最多扣6分）；人员未通过背景调查每人扣1分（最多扣1分）。2.1.3安全体系认证（权重5%）考核点：服务商需具备有效的安全管理体系认证（如ISO____信息安全管理体系、ISO____业务连续性管理体系），且认证范围覆盖项目领域。评分标准：无安全体系认证扣5分；认证范围未覆盖项目领域扣3分。2.2合同安全条款落实（权重15%）考核目标：确保外包合同中安全条款的有效性，明确双方安全责任与违约后果。2.2.1保密协议（权重5%）考核点：合同需包含保密条款，明确保密范围（如企业商业秘密、客户数据、技术文档）、保密期限（至少覆盖项目周期及结束后2年）、保密义务（如禁止泄露、复制、篡改保密信息）及违约责任。评分标准：未签订保密协议扣5分；保密范围不明确扣2分；保密期限不足扣1分。2.2.2安全责任划分（权重6%）考核点：合同需明确甲乙双方安全责任：1.甲方责任：提供安全要求文档、协助服务商开展安全培训、定期检查安全情况；2.服务商责任：遵守甲方安全政策、落实安全措施、承担因自身原因导致的安全事件责任（如数据泄露、系统瘫痪）。评分标准：未明确责任划分扣6分；责任描述模糊扣3分。2.2.3违约条款（权重4%）考核点：合同需明确安全违约的处罚措施（如违约金、终止合同、赔偿损失），违约金比例不低于合同金额的5%。评分标准：未约定违约条款扣4分；违约金比例不足扣2分。2.3项目实施安全管理（权重25%）考核目标：规范项目实施过程中的安全行为，防范因流程不规范导致的安全风险。2.3.1安全方案编制与执行（权重10%）考核点：1.服务商需在项目启动前编制《项目安全实施方案》，内容包括安全目标、风险评估、安全措施（如网络安全、系统安全、数据安全）、应急流程等；2.安全方案需经甲方信息安全部门审批后方可执行；3.实施过程中严格按照安全方案操作，不得擅自变更。评分标准：未编制安全方案扣10分；方案未审批扣5分；未按方案执行扣3分（每发现1次违规操作加扣1分，最多扣5分）。2.3.2变更安全管理（权重8%）考核点：项目实施过程中如需变更（如系统架构调整、数据流程修改），需履行以下流程：1.提交变更申请，说明变更内容、原因及安全风险；2.甲方信息安全部门评估变更风险，出具审批意见；3.变更前进行安全测试（如漏洞扫描、渗透测试），确保变更不会引入新风险；4.变更后记录变更内容及安全验证结果。评分标准：未履行变更流程扣8分；变更前未做风险评估扣4分；变更后未记录扣2分。2.3.3现场安全监督（权重7%）考核点：1.服务商需配合甲方开展现场安全检查（如每月1次），提供安全日志（如系统访问日志、操作记录）、漏洞扫描报告、补丁更新记录等资料；2.现场作业需遵守甲方安全规定（如进入机房需登记、使用甲方提供的设备、禁止携带外接存储设备）。评分标准：不配合现场检查扣7分；安全资料不全扣3分；违反现场安全规定每发现1次扣1分（最多扣4分）。2.4数据安全保护（权重20%）考核目标：保障项目涉及数据的保密性、完整性、可用性，防止数据泄露或滥用。2.4.1数据分类与标识（权重5%）考核点：服务商需按照甲方《数据分类标准》（如公开、内部、敏感、机密）对项目数据进行分类，并在数据存储、传输、使用过程中添加明显标识（如文件名前缀“机密-”、数据库字段标记“敏感数据”）。评分标准：未进行数据分类扣5分；分类不符合甲方标准扣3分；未添加标识扣2分。2.4.2数据访问控制（权重6%）考核点：1.采用“最小权限原则”分配数据访问权限，仅授予员工完成工作所需的最低权限；2.数据访问需进行身份认证（如用户名+密码、双因子认证），禁止共享账号；3.定期（每季度1次）review数据访问权限，及时收回离职或调岗人员的权限。评分标准：权限分配不符合最小权限原则扣6分；未采用身份认证扣3分；未定期review权限扣2分。2.4.3数据存储与传输安全（权重5%）考核点：1.敏感数据（如客户身份证号、银行卡号）需加密存储（如AES-256加密）；3.数据存储设备（如服务器、硬盘）需由甲方统一管理，禁止服务商私自存储数据。评分标准：敏感数据未加密存储扣5分；数据传输未用安全协议扣3分；私自存储数据扣2分。2.4.4数据销毁与交接（权重4%）考核点：1.项目结束后，服务商需按照甲方要求销毁所有项目数据（如物理粉碎硬盘、消磁、删除云存储数据），并提供销毁证明；2.数据交接需履行审批流程，交接清单需注明数据分类、数量、接收人，双方签字确认。评分标准：未销毁数据扣4分；销毁未提供证明扣2分；交接未履行流程扣1分。2.5应急响应与整改（权重10%）考核目标：提升服务商应对安全事件的能力，确保事件及时处置，防止扩大影响。2.5.1应急预案与演练（权重4%）考核点：1.服务商需编制《项目安全应急预案》，内容包括事件分级（如一般事件、重大事件、特别重大事件）、响应流程（如上报、处置、恢复）、责任分工（如应急小组职责、联系方式）；2.每半年组织一次应急演练（如数据泄露演练、系统宕机演练），演练记录需提交甲方信息安全部门。评分标准：未编制应急预案扣4分；未定期演练扣2分；演练记录不全扣1分。2.5.2安全事件处理（权重3%）考核点：1.发生安全事件后，服务商需在1小时内上报甲方信息安全部门，不得隐瞒；2.按照应急预案及时处置事件（如隔离受影响系统、恢复数据、调查原因）；3.事件处置完成后，3日内提交《安全事件报告》，说明事件原因、影响、处置措施及改进计划。评分标准：隐瞒事件扣3分；未及时处置扣2分；未提交报告扣1分。2.5.3问题整改落实（权重3%）考核点：对甲方检查或审计中发现的安全问题，服务商需在规定期限内（一般问题3日内，重大问题7日内）整改，并提交《整改报告》，说明整改措施及结果。评分标准：未按期整改扣3分；整改不彻底扣2分；未提交报告扣1分。2.6人员安全管理（权重10%）考核目标：规范服务商人员的安全行为，提升其安全意识。2.6.1人员背景调查（权重3%）考核点：服务商需对所有参与项目的人员进行背景调查，包括：1.无犯罪记录（由公安机关出具）；2.无不良信用记录（由征信机构出具）；3.过往工作经历核实（如前雇主评价、工作内容真实性）。评分标准：未做背景调查每人扣1分（最多扣3分）；调查内容不全每人扣0.5分（最多扣1分）。2.6.2安全培训与考核（权重4%）考核点：1.服务商需对人员进行岗前安全培训，内容包括甲方安全政策、项目安全要求、应急处理流程；2.每季度组织一次安全考核（如笔试、实操），考核不合格者不得上岗；3.培训与考核记录需提交甲方信息安全部门。评分标准：未做岗前培训每人扣1分（最多扣4分）；未定期考核扣2分；记录不全扣1分。2.6.3权限管理与离职处置（权重3%）考核点：1.人员离职时，服务商需及时收回其所有系统权限（如账号、密钥），并通知甲方；2.离职人员需签署《离职保密承诺书》，承诺不泄露甲方信息。评分标准：未及时收回权限每人扣1分（最多扣3分）；未签署承诺书每人扣0.5分（最多扣1分）。3考核方法与流程3.1考核主体考核由甲方信息安全部门牵头，联合项目管理部门、法律部门共同实施。必要时可邀请第三方安全机构参与专项审计。3.2考核周期1.日常检查：每月1次，覆盖项目实施过程中的安全管理情况；2.专项审计：每年1次，对项目全生命周期安全管理进行全面评估；3.事件追溯：发生安全事件时，立即启动追溯考核，重点核查事件原因及责任；4.满意度评价：每季度1次，由甲方项目组对服务商安全表现进行评分（如安全意识、响应速度、问题解决能力）。3.3考核方式考核方式说明日常检查甲方信息安全部门依据《外包项目安全检查清单》（附件1）进行现场核查，记录问题并打分。专项审计第三方安全机构出具审计报告，包括安全风险评估、合规性检查结果等，作为考核关键依据。事件追溯根据安全事件调查报告，倒查服务商在安全管理中的漏洞，扣除相应分数。满意度评价甲方项目组通过问卷评分（如1-5分），取平均值计入考核总分（权重10%）。3.4考核流程1.自评：服务商每月提交《安全管理自评报告》，说明本月安全管理情况及问题整改结果；2.检查：甲方信息安全部门进行日常检查，核对自评报告与实际情况，打分并反馈问题；3.审计：第三方机构开展专项审计，出具审计报告；4.汇总：甲方信息安全部门汇总日常检查、专项审计、事件追溯、满意度评价的分数，形成最终考核结果；5.反馈：考核结果通过书面形式反馈给服务商，告知其优势与不足，要求整改问题。4考核结果应用4.1结果等级划分考核总分100分，分为三个等级：优秀：90分及以上，安全管理体系完善，未发生安全事件；合格：70-89分，安全管理基本符合要求，偶发轻微安全事件；不合格：69分及以下，安全管理存在重大漏洞，发生过重大安全事件或多次轻微事件。4.2奖惩措施4.2.1优秀服务商优先考虑与该服务商开展新的合作项目；给予合同金额1%-3%的奖励（具体比例根据项目规模确定）；在供应商评级中列为A级，享受绿色通道（如简化审批流程、缩短付款周期）。4.2.2合格服务商要求提交《安全改进计划》，明确改进目标、措施及时间节点；增加日常检查频率（每月2次），跟踪改进情况；若连续2次考核为合格，需重新评估其合作资格。4.2.3不合格服务商立即终止当前外包合同，收回所有项目数据及资源；将服务商纳入甲方供应商黑名单，3年内不得参与甲方任何外包项目；情节严重的（如导致重大数据泄露、造成重大经济损失），追究其法律责任，要求赔偿损失。4.3整改与复查对考核中发现的问题，服务商需在规定期限内整改（一般问题3日内，重大问题7日内）；甲方信息安全部门在整改期限结束后进行复查，复查合格的，恢复其合作资格；复查不合格