39、信息安全外包运维管理制度

第一章总则第一条目的与依据为规范公司信息安全外包运维服务的管理，明确各方责任，保障公司信息系统及数据的机密性、完整性和可用性，防范信息安全风险，依据国家相关法律法规及公司内部信息安全管理规定，特制定本制度。第二条适用范围本制度适用于公司所有涉及信息系统及相关基础设施外包运维服务的规划、采购、实施、监控、评估和终止等活动。本制度所指外包运维服务提供商（以下简称“服务提供商”），是指接受公司委托，提供信息系统运行维护、技术支持等服务的外部组织。公司各部门及所有参与外包运维活动的人员均须遵守本制度。第三条基本原则信息安全外包运维管理遵循以下原则：（一）安全优先：信息安全是外包运维的首要考量，任何操作不得损害公司信息安全。（二）风险可控：对外包运维过程中的各类风险进行识别、评估和管理，确保风险处于可接受水平。（三）权责明确：清晰界定公司与服务提供商在信息安全方面的权利和义务。（四）过程监管：对服务提供商的服务过程进行持续监控和审计，确保服务质量和安全措施落实。（五）合规性：确保外包运维活动符合国家法律法规及公司内部规章制度要求。第二章组织与职责第四条公司信息安全管理部门公司信息安全管理部门是信息安全外包运维的归口管理部门，主要职责包括：（一）组织制定和修订信息安全外包运维相关管理制度和流程。（二）组织对服务提供商的信息安全资质、能力进行评估与准入审查。（三）监督外包运维服务合同中信息安全条款的落实情况。（四）组织或参与外包运维过程中的信息安全事件应急响应。（五）定期对服务提供商的信息安全表现进行审计和评估。（六）负责外包运维相关的信息安全培训和意识宣贯。第五条业务需求部门业务需求部门是外包运维服务的直接使用和需求提出部门，主要职责包括：（一）根据业务需求提出外包运维服务申请，并明确安全需求。（二）参与服务提供商的选择过程，从业务角度评估其服务能力。（三）在日常工作中监督服务提供商的服务行为，及时发现并报告安全问题。（四）配合信息安全管理部门进行外包运维安全事件的调查与处理。第六条服务提供商服务提供商应严格遵守本制度及外包服务合同中的安全要求，主要职责包括：（一）建立并实施有效的信息安全管理体系，确保服务人员具备必要的安全意识和技能。（二）严格按照合同约定和操作规程提供运维服务，防止发生安全事件。（三）采取必要的技术和管理措施，保护公司信息资产的安全。（四）主动报告服务过程中发生的信息安全事件或潜在风险。（五）配合公司进行信息安全审计、检查和事件调查。（六）接受公司的安全管理和监督，对发现的问题及时整改。第三章服务提供商选择与准入第七条服务提供商评估在选择服务提供商前，信息安全管理部门应会同业务需求部门及相关技术部门，对候选服务提供商进行全面评估，评估内容至少包括：（一）信息安全资质认证情况。（二）信息安全管理体系建设及运行状况。（三）过往类似项目的安全服务经验和口碑。（四）技术实力、人员专业技能及安全背景。（五）数据保护能力和应急响应能力。（六）服务质量保障机制和安全合规性承诺。第八条合同安全条款外包服务合同中必须包含明确的信息安全条款，至少涵盖：（一）双方的信息安全责任划分。（二）服务范围、内容、标准及安全要求。（三）访问公司信息系统和数据的权限、条件及限制。（四）信息保密义务及保密期限（应覆盖服务期及服务终止后）。（五）安全事件的报告流程、响应时限及责任承担。（六）数据备份、恢复及服务终止时的数据处理要求。（七）公司对服务提供商进行安全审计和检查的权利。（八）违反安全条款的违约责任。第九条准入审批服务提供商的选择和合同签订前，须经过公司规定的审批流程。信息安全管理部门需对合同中的安全条款进行审核并出具意见。未通过信息安全评估和审批的服务提供商，不得准入。第四章服务交付与执行管理第十条访问控制管理（一）服务提供商人员如需访问公司信息系统，必须通过公司统一的身份认证机制。公司应严格控制其访问权限，遵循最小权限原则和按需分配原则。（二）为服务提供商人员创建的账户应专人专用，并明确标注。账户权限的变更和撤销应及时进行，并保留记录。（三）严禁服务提供商人员共享账户、转借账户或使用未经授权的账户进行操作。（四）远程访问公司内部系统必须采用公司指定的安全接入方式，并满足相关安全要求。未经批准，服务提供商不得擅自远程访问。（五）服务提供商人员在公司现场进行运维操作时，应遵守公司的物理安全管理规定，并有公司相关人员陪同或监督。第十一条数据安全管理（一）服务提供商在服务过程中接触、处理的公司数据，必须严格按照合同约定和公司数据安全管理规定执行。（二）严禁服务提供商未经授权收集、复制、存储、传输、使用或披露公司数据，特别是敏感信息。（三）涉及公司敏感数据的操作，应有详细记录，并采取加密等保护措施。（四）服务提供商不得将公司数据带离指定的工作环境，确有必要的，须经公司信息安全管理部门批准，并采取严格的安全措施。（五）服务过程中产生的中间数据、备份数据等，在服务结束后应按照公司要求进行处理（如删除、销毁或归还）。第十二条运维操作管理（一）服务提供商应制定详细的运维操作规程，并经公司审核确认。操作应严格按照规程执行，并保留完整的操作记录。（二）对信息系统的重大变更（如系统升级、配置修改等），服务提供商必须提前向公司提交变更申请和方案，经审批后方可实施。变更过程应进行风险评估和回退准备。（三）服务提供商应建立健全事件管理流程，对运维过程中发生的故障、告警等事件及时响应、处理和报告。（四）服务提供商在进行可能影响系统安全的操作前，必须获得公司明确授权，并在公司人员监督下进行。第十三条资产与设备管理（一）公司提供给服务提供商使用的硬件设备、软件介质等资产，应有清晰的登记和交接记录。服务提供商应妥善保管和使用，防止损坏、丢失或被滥用。（二）服务提供商自带的工具、设备接入公司网络前，必须经过公司的安全检查，确保无恶意代码和安全隐患。（三）服务终止时，服务提供商应将所有公司资产及相关文档资料完整归还，并配合进行清点和验收。第十四条人员管理与保密（一）服务提供商应确保其派驻的服务人员具备相应的专业技能和良好的职业道德，并对其进行背景审查。（二）服务提供商人员上岗前，必须签署保密协议，并参加公司组织的信息安全意识培训，熟悉公司的安全规定。（三）服务提供商应对其人员进行持续的安全意识教育和管理，防止发生人为安全事件。（四）服务提供商人员发生变动时，应及时通知公司，并办理账户注销、权限回收等手续。新派驻人员需重新履行审批和培训流程。第五章服务终止与离场管理第十五条服务终止流程（一）外包服务合同到期或因其他原因终止前，公司与服务提供商应共同制定服务终止计划，明确资产交接、数据处理、知识转移等事项。（二）信息安全管理部门应参与服务终止过程的监督，确保所有安全要求得到满足。第十六条资源回收与清理（一）服务终止后，公司应立即回收服务提供商人员的所有访问权限，注销相关账户。（二）服务提供商应归还所有公司提供的资产、文档资料（包括电子版和纸质版）。（三）服务提供商应按照合同约定，彻底删除或销毁其存储介质中包含的公司数据，并提供书面证明。公司有权进行抽查和验证。（四）服务提供商自带设备中如曾存储公司数据，应在公司监督下进行彻底清除。第十七条知识转移与总结服务终止时，服务提供商应向公司完整移交运维过程中形成的技术文档、操作手册、故障处理经验等知识资产。公司应对外包服务周期内的信息安全状况进行总结评估，为后续外包决策提供依据。第六章监督与审计第十八条日常监督业务需求部门和信息安全管理部门应加强对服务提供商日常服务行为的监督，定期检查其安全措施的落实情况，对发现的安全隐患及时提出整改要求。第十九条安全审计信息安全管理部门应定期或不定期对服务提供商的服务活动进行安全审计，可采取现场检查、日志审查、技术检测等多种方式。审计内容包括但不限于访问控制、操作行为、数据保护、安全事件处理等。服务提供商应积极配合审计工作，提供必要的资料和协助。第二十条绩效评价公司应建立服务提供商信息安全绩效评价机制，结合日常监督、安全审计、事件响应等情况，定期对服务提供商的信息安全表现进行评价。评价结果可作为后续合作的重要依据。对评价不合格的服务提供商，应要求其限期整改，情节严重的，可终止合作。第七章安全事件响应与报告第二十一条事件报告服务提供商在服务过程中发生或发现信息安全事件（如数据泄露、系统入侵、病毒感染等），必须立即停止相关操作，保护现场，并在第一时间向公司信息安全管理部门和业务需求部门报告。报告内容应包括事件发生时间、地点、现象、影响范围等。第二十二条事件处置（一）发生信息安全事件后，公司信息安全管理部门应立即启动应急响应预案，组织相关部门和服务提供商进行事件调查和处置，防止事态扩大。（二）服务提供商应全力配合公司的事件调查和处置工作，提供所有必要的信息和技术支持。（三）事件处置完毕后，应组织编写事件分析报告，总结经验教训，提出改进措施。第二十三条责任追究对于因服务提供商原因造成的信息安全事件，公司将根据合同约定和相关规定，追究其违约责任；情节严重，构成犯罪的，将移交司法机关处