GB-T 33136-2016 中文版 信息技术服务 服务管理与信息安全管理整合指南

GB/T33136-2016中文版信息技术服务服务管理与信息安全管理整合指南前言GB/T33136-2016《信息技术服务服务管理与信息安全管理整合指南》是由国家市场监督管理总局、国家标准化管理委员会联合发布实施的国家级推荐性信息技术服务与网络安全专项国家标准，是我国首部专门规范信息技术服务管理体系与信息安全管理体系一体化融合建设、同步运行、协同管控、闭环改进的专属实操指导文件。本标准深度衔接GB/T24405系列信息技术服务管理核心国标、GB/T22080系列信息安全管理体系基础规范，同步适配《中华人民共和国网络安全法》《数据安全法》及信息技术服务运维、外包服务交付、信息化系统全生命周期运营等行业专项管理要求，立足我国各类党政机关、企事业单位、信息技术服务商、第三方运维服务机构信息化运营管理实际现状，针对性解决长期以来国内组织机构IT服务管理与信息安全管理各自独立建设、两套体系并行运行、管理制度重复编制、岗位履职交叉重叠、运维流程与安全管控脱节、合规建设重复投入、体系落地形式化实效不足等突出共性痛点问题。随着我国各行各业信息化建设持续深化，信息技术运维服务常态化外包、信息化系统迭代升级、数据资源集中流转共享、IT服务交付全流程数字化运营成为常态，多数组织机构同时搭建信息技术服务管理体系与信息安全管理体系，但两套体系建设标准不统一、实施逻辑不互通、管控边界不清晰、运行协同不顺畅，出现重服务交付效率轻安全风险防控、重安全合规管控轻IT服务业务连续性、两套台账重复填报、双体系内审各自开展、管理资源严重浪费等实操乱象，既增加了组织机构信息化合规管理成本，也极易出现运维安全管控盲区与管理责任悬空隐患，无法适配信息化服务高质量运营与网络安全长效防护协同推进的核心刚需。GB/T33136-2016国标的正式实施，核心确立IT服务管理与信息安全管理一体化整合建设的统一实施逻辑、融合建设架构、协同运行规则、联合审核改进机制，明确双体系组织治理一体化、制度流程一体化、技术防护一体化、人员履职一体化、风险管控一体化、内审改进一体化全维度整合实施要求，不再支持两套体系独立分散建设运行模式，引导各类组织机构以整合化、一体化、协同化思路统筹推进IT服务高质量交付与信息安全常态化防护工作，既保障信息技术服务按时按质达标交付、运维业务连续稳定运行，又筑牢信息化运营全流程网络安全与数据安全防护底线，实现IT服务提质增效与信息安全合规可控双向赋能、一体发展，为全国各类组织机构双体系深度融合落地、合规长效运维、协同综合治理提供统一国标实操依据。一、标准适用范围本GB/T33136-2016信息技术服务管理与信息安全管理整合指南国家标准，全域适用于中华人民共和国境内所有开展信息技术规划建设、信息化系统运维保障、IT外包服务交付、数字化业务运营管理的各类党政机关行政事业单位、各类工矿商贸企业、金融能源交通重点行业机构、第三方信息技术运维服务提供商、数字化平台运营管理单位、信息化建设集成服务商等所有同步建立、运行、审核、优化信息技术服务管理体系与信息安全管理体系的各类组织机构。本标准全面覆盖双体系前期整合规划顶层设计、一体化组织治理架构搭建、融合化制度流程体系编制、IT运维服务与信息安全技术防护深度融合、岗位人员双重履职一体化管控、双体系联合风险识别评估处置、IT服务业务连续性与信息安全应急保障协同管理、双体系联合内部审核与统一管理评审、一体化体系持续迭代优化全生命周期整合实施所有环节，适配大型集团化组织机构双体系规模化综合治理、中型企事业单位标准化整合合规建设、小微机构轻量化一体化运维管理差异化实施需求，兼顾内部信息化自用运维管理与对外IT外包服务交付双向整合管控场景。本标准核心规范两大管理体系深度融合的通用实施规则、整合建设核心方法、协同运行管控细则、联合改进闭环要求，不替代信息技术服务管理体系与信息安全管理体系各自基础国标核心强制性合规条款，所有组织机构在严格遵守两套体系基础合规底线的前提下，必须按照本整合指南要求完成体系架构、制度流程、人员岗位、技术防护、审核改进全方位一体化融合整合，严禁继续保留两套体系独立运行、分开管控、重复建设的老旧管理模式。所有组织机构双体系新建整合搭建、存量双体系升级融合、年度联合合规自查、双体系统一认证审核、监管迎检整改优化工作，均需严格遵照本GB/T33136-2016整合实施规范执行，确保全国IT服务与信息安全双体系整合建设统一基准对标、一体化落地运行、协同化合规管控。二、规范性引用依据本标准所有双体系整合实施条款、一体化融合建设规则、协同运行管控要求、联合内审改进规范均严格规范性引用国家网络安全与信息技术服务基础性法律法规、信息技术服务管理系列国家标准、信息安全管理体系核心国标、网络安全等级保护基础规范、数据安全与信息化运维专项管理文件，所有规范性引用文件均为双体系整合建设实施的法定上位合规底线与基础技术依据，本标准所有整合实施内容不得与上位法律法规及核心国标强制性要求相抵触、相冲突。本标准作为双体系专属整合统筹规范，重点衔接GB/T24405信息技术服务管理体系核心规范、GB/T22080信息安全管理体系基础要求、GB/T22081信息安全控制措施通用标准，形成两套基础体系国标为支撑、本整合指南为统筹融合、一体化实操落地为目标的完整标准化管理体系，打通IT服务服务质量管控与信息安全风险防护标准壁垒，实现两类标准体系互通互认、协同衔接。各类组织机构开展双体系整合建设、一体化合规整改、联合内审认证工作时，可直接复用信息技术服务运维评估、网络安全等级保护测评、信息安全风险评估、数据安全合规核查等已有合规工作有效成果，无需针对两套体系重复开展同类基础资料编制、现场整改与合规测评工作，有效减轻组织机构重复合规建设负担、简化一体化运维管理压力，实现IT服务管理与信息安全管理合规成果互通共享、整合落地。所有双体系整合优化调整、一体化防护措施建设、联合管理改进工作，均需对标本整合指南及所有上位规范性引用文件要求，确保双体系整合建设合规统一、标准衔接、长效可控。三、核心专属术语与双体系整合基础统一定义信息技术服务与信息安全管理双体系整合：指按照GB/T33136-2016本整合指南规范要求，将组织机构原有独立运行的信息技术服务管理体系与信息安全管理体系，在顶层治理、制度流程、技术防护、人员岗位、风险管控、审核改进六大核心维度进行一体化融合重构，取消两套体系管理壁垒、合并重复管理环节、统一管控实施逻辑、协同日常运行管控、实行联合审核改进，形成一套组织架构、一套制度流程、一套运维台账、一体化协同管控的综合管理体系，兼顾IT服务交付质量达标与信息安全风险全程可控的一体化管理模式。信息技术服务管理体系：指以保障信息技术服务交付质量、规范IT运维服务流程、提升信息化服务满意度、保障IT业务连续运营为核心目标，围绕IT服务规划设计、服务目录管理、服务级别管控、事件问题管理、变更发布管理、配置资产管控等核心运维工作搭建的专项服务运营管理综合体，侧重IT服务效率、服务质量、运维履约与业务连续运营管控。信息安全管理体系：指以防范网络安全风险、保护数据资产安全、规范信息化操作行为、防控安全事件发生、落实合规监管要求为核心目标，围绕信息安全方针策略、资产安全管控、访问权限管理、安全事件处置、数据全生命周期防护等核心安全工作搭建的专项安全综合治理综合体，侧重网络安全、数据保密、风险防控、合规达标管控。双体系一体化治理架构：指整合IT服务管理与信息安全管理顶层决策、中层统筹、基层履职管理岗位，合并同类管理职能、统一分层责任划分，实现一套管理班子统筹服务运营与安全防护双重工作的专属组织治理模式。整合化统一制度流程体系：指剔除两套体系重复冗余制度条款、合并同类运维与安全管理流程、融合服务交付规范与安全管控要求，编制兼顾运维实操与安全合规的一体化专属制度与作业流程，杜绝制度重复、流程冲突、管理脱节问题。双体系联合风险管控：指同步识别IT服务运维运营风险与信息安全网络数据风险，统一风险评估标准、整合风险处置措施、协同风险常态化监测，实现运维运营风险与安全风险一体化识别、一体化评估、一体化处置的协同管控模式。一体化联合内审与管理评审：指不再单独开展IT服务体系内审与信息安全体系内审，合并审核计划、整合审核要点、实行一次全面联合审核，同步开展双体系统一管理评审，同步整改双体系各类不符合项，实现审核减负、整改同步、改进协同的闭环管理机制。双体系持续迭代优化：指结合IT服务运维业务变化、信息安全风险演变、合规标准更新双重因素，同步优化一体化管理架构、融合制度流程、协同防护措施，确保双体系整合体系动态适配信息化运营与安全管控新形势。四、双体系整合一体化实施六大核心专属基本原则全国各类组织机构开展信息技术服务管理与信息安全管理体系整合建设、一体化运行、协同改进工作，必须严格遵循本GB/T33136-2016标准明确的六大双体系整合专属刚性实施原则，所有整合规划设计、组织架构重构、制度流程融合、技术防护整合、人员履职统筹、审核改进优化工作均不得偏离整合核心原则要求，杜绝形式化简单合并、重运维轻安全、重安全轻服务、整合流于表面、两套体系实质依旧分立等问题，确保双体系深度融合、实效落地、协同赋能。第一，服务为本、安全护航协同兼顾原则，双体系整合核心目标既要保障信息技术服务交付质量达标、IT运维业务高效顺畅、信息化运营连续稳定，也要筑牢信息安全防护底线、严控网络与数据安全风险，不得以牺牲服务质量换取安全管控，也不得以弱化安全防护提升运维效率，实现IT服务提质与信息安全合规双向兼顾、协同共生、互相赋能。第二，一体融合、去重减负实效优先原则，双体系整合坚持深度融合而非表面叠加，全面合并两套体系重复管理岗位、重复制度流程、重复台账资料、重复审核环节，删减冗余无效管理内容，简化基层实操管理负担，杜绝形式化整合、纸面化融合，确保整合管理贴合运维实操、落地可用、减负增效。第三，风险导向、运维安全同步管控原则，整合管理全过程以运维运营风险与信息安全风险双风险协同管控为核心主线，在IT运维服务全流程嵌入安全管控要求，在信息安全管理工作中兼顾运维业务连续运营需求，同步识别、同步评估、同步处置两类风险，实现运维流程有安全管控、安全管理不阻碍运维实操。第四，统一架构、分责协同履职原则，双体系整合实行一套顶层治理架构统一统筹，运维管理岗位与安全管理岗位分工明确、协同配合、履职互补，既明确IT服务交付质量主体责任，也压实信息安全防护管理责任，避免责任交叉推诿、管理边界模糊、履职监管缺位问题。第五，全程闭环、整合持续改进原则，双体系整合管理遵循一体化策划实施、一体化运行运维、一体化监视核查、一体化评审整改、一体化迭代优化全闭环管理逻辑，摒弃两套体系各自闭环、互不衔接的老旧模式，实现整合体系动态运维、长效管控、持续优化。第六，合规底线不松、整合适配实操原则，双体系整合不得降低信息技术服务管理与信息安全管理各自法定合规底线，所有整合优化工作必须在守住双重合规底线的基础上贴合组织机构信息化运维实操现状，兼顾合规达标与实操可用，杜绝为简化管理降低安全标准、为整合融合弱化服务管控的违规行为。五、双体系整合一体化整体专属实施架构体系GB/T33136-2016标准打破双体系各自独立建设、分立运行的传统模式，全新构建顶层一体化治理组织架构、双体系融合统一制度流程体系、IT运维与安全技术协同防护体系、全员双重岗位履职管控体系、双风险协同应急与业务连续保障体系、联合内审评审与一体化持续改进体系六大板块环环相扣、层层支撑、闭环衔接的双体系整合专属整体实施架构，彻底解决两套体系管理割裂、工作脱节、资源浪费、管控盲区等核心问题，凸显整合一体化、运维安全化、实操务实化、合规长效化的核心建设特质。顶层一体化治理组织架构作为双体系整合实施的核心统领板块，核心聚焦组织机构高层双体系整合决策、运维与安全资源统一调配、跨部门运维安全协同统筹、重大运维及安全事项联合审批、整合管理工作考核督办等顶层统筹工作，彻底解决以往运维管理与安全管理部门各自为政、工作互不协同、决策各自独立、管理边缘化弱化的突出问题，明确机构主要负责人为双体系整合管理第一责任人，分管运维与安全领导协同分管、运维安全牵头部门联合落实、各业务部门一岗双责履职的分层一体化责任体系，将双体系整合运维与安全管理工作纳入机构年度信息化核心考核范畴，确保整合建设高层重视、责任压实、统筹推进。双体系融合统一制度流程体系作为整合实施的核心基础支撑板块，重点摒弃两套制度简单叠加、重复编制、条款冲突的老旧模式，全面合并IT服务运维管理制度与信息安全管控制度，整合运维服务流程与安全防护操作流程，剔除重复冗余通用条款，增补运维与安全协同管控专属融合内容，编制一套适配信息化运维实操、兼顾服务质量与安全合规的一体化精简制度流程，让制度贴合运维实操、流程兼顾安全管控、基层易于执行落地，杜绝制度形式化、流程相冲突、管理两张皮的顽疾问题。IT运维与安全技术协同防护体系作为双体系整合安全落地的核心实操板块，聚焦信息化系统运维操作、IT服务交付实施、设备日常运维巡检、系统变更发布管理、数据运维流转处理等核心IT运维场景，同步嵌入网络安全边界防护、访问权限安全管控、运维操作安全审计、数据安全保密防护、运维漏洞隐患修复等安全技术措施，实现每一项IT运维操作同步落实安全管控要求，每一项安全防护措施适配运维业务实操需求，兼顾IT运维便捷高效与信息安全有效防护。全员双重岗位履职管控体系作为双体系整合人员管理特色板块，按照管理层、运维实操岗、安全管控岗、业务使用岗、外包运维合作岗五类核心群体，明确各岗位IT服务履职与信息安全履职双重岗位职责，实行一岗双责、一人双职一体化管控，压实岗位运维服务责任与安全防护责任，常态化开展运维安全一体化培训宣教，提升全员运维实操与安全防护双重履职能力。双风险协同应急与业务连续保障体系聚焦IT运维服务故障中断、信息化系统运行故障、网络安全攻击、数据泄露损坏等运维与安全复合型突发事件，整合IT运维应急处置预案与信息安全突发事件应急预案，建立一体化应急响应机制、协同故障处置流程、运维数据统一备份恢复方案，确保复合型突发事件快速协同处置、IT运维业务快速恢复、运维与安全风险同步管控。联合内审评审与一体化持续改进体系作为双体系整合长效运维的收尾闭环板块，整合双体系内审计划、合并审核核查要点、开展一体化联合内审与统一管理评审，同步梳理运维服务短板与安全防护薄弱环节，一体化整改优化整合体系架构、制度流程与防护措施，确保双体系整合长效适配信息化运营发展、持续优化提质增效、合规稳定达标运行。六、双体系一体化组织治理与一岗双责履职整合实施要求双体系整合落地见效的核心关键在于组织治理一体化重构与全员一岗双责履职压实到位，GB/T33136-2016标准专门针对组织机构信息化运维与安全管理协同工作特征，明确分层级、分岗位、分群体的一体化组织搭建与双重履职专项实施规范，彻底解决以往运维与安全组织分立、岗位责任单一、履职互不衔接、外包运维管控松散等突出管理短板。在一体化组织治理架构专项搭建方面，所有组织机构必须成立由机构主要负责人担任组长的双体系整合管理专项工作领导小组，统一统筹信息技术服务运维管理与信息安全防护管理全量顶层决策、资源调配、重大事项审批、整改督办统筹工作，不再分别设立运维管理领导小组与安全管理领导小组，实现顶层决策一体化统筹。明确信息化综合管理部门作为双体系整合日常牵头落实机构，统一负责一体化制度执行、运维安全日常巡检、隐患排查整改、台账统一归档、联合内审迎检对接等常态化实操工作，不再设置独立运维管理科室与安全管理科室分立管理模式，实行一个部门统筹两项核心工作。各业务职能部门、信息化使用班组分别设立兼职双体系管理员，同步落实本部门IT服务运维使用管理与信息安全日常防护履职工作，形成主要负责人总负责、分管领导协同管、综合部门牵头抓、兼职人员具体落的四级一体化分层治理组织架构，杜绝运维与安全管理无人统筹、责任悬空、工作脱节问题。组织机构严格按照一岗双责要求设置岗位，所有信息化相关岗位同步明确运维服务履职职责与信息安全履职职责，严禁岗位只承担运维责任不落实安全责任、只管控安全不保障运维服务的单一履职模式，所有一体化管理工作定岗到人、履职留痕、追责有据，确保整合组织架构健全完善、层级清晰、责任明确、履职落地到位。在全员一岗双责分层履职管控方面，针对五类核心群体实行一体化双重履职差异化管控实施要求。对于机构经营管理决策层人员，重点压实双体系整合统筹决策、运维安全资源保障调配、重大运维安全事项联合审批督办责任，定期专题审议一体化整合管理运行情况，不得重运维效益轻安全防护、重安全合规轻运维服务保障。对于信息化综合专职运维安全人员，重点落实IT运维服务实操保障、信息化系统日常运维巡检、网络安全防护运维、风险隐患双重排查、一体化台账归档管理核心工作职责，严格执行运维操作安全规范与安全管控运维适配原则，严控运维操作失误与网络安全双重风险。对于普通业务办公使用人员，重点规范信息化设备合规使用、业务系统规范操作、办公信息保密管理、运维故障规范上报履职行为，严禁违规操作信息化设备、私自修改系统配置、外传业务敏感数据，同步落实岗位运维使用责任与信息安全保密责任。对于内部管理职能岗位人员，重点落实本部门信息化使用管理、运维需求规范提报、部门信息安全自查管控履职要求，协同配合一体化双体系整合管理工作推进落实。对于外包运维合作服务商及外部技术人员，严格落实运维资质合规审核、限时按需开放运维权限、运维全程旁站监管、双重安全保密协议签署、运维离场权限立即清零专项管控要求，严控外包运维带来的运维服务风险与信息安全传导风险，全方位筑牢双体系整合人员双重履职第一道核心防线。七、双体系融合统一制度流程体系一体化编制与落地规范GB/T33136-2016标准明确要求双体系制度流程建设必须彻底摒弃两套制度分立编制、重复堆砌、条款冲突的老旧模式，坚持运维安全融合、精简务实适配、实操落地可用核心编制原则，结合组织机构IT运维服务交付、信息化系统运维管控、业务数据流转使用、外包运维协同管理专属工作场景，编制贴合运维实操、兼顾安全合规、基层易于执行的一体化融合专属制度流程体系，杜绝制度繁杂冗余、条款运维安全脱节、纸面化形式化无效管控等突出问题。双体系一体化制度流程整体分为整合纲领性总制度、运维安全融合专项管控制度、岗位双重履职实操作业规范、一体化履职留痕台账记录四大层级，逐级精简适配、逐级融合落地，适配不同规模组织机构双体系整合差异化管理合规需求。整合纲领性总制度包含双体系整合管理总方针、信息技术服务与信息安全一体化综合管理办法、一岗双责分级履职责任落实总则三大核心基础文件，明确双体系整合总体工作目标、一体化治理核心原则、分层双重岗位总责任、整合体系建设总体发展方向，作为组织机构双体系一体化管理工作顶层总依据，内容简洁凝练、兼顾运维服务与安全防护双重核心定位，不堆砌重复冗余无关内容。运维安全融合专项管控制度为一体化制度体系核心主体，重点编制IT运维服务与网络边界安全一体化管理、信息化系统运维操作与访问权限安全融合管理、业务数据运维使用与全生命周期保密融合管理、IT服务变更发布与安全风险审批一体化管理、运维事件故障处置与安全事件应急协同管理、外包IT运维服务与供应链安全融合管理六大整合专属专项制度，彻底合并原有分立运维制度与安全制度，剔除相互冲突、重复冗余条款，增补运维操作嵌入安全管控、安全管理适配运维连续开展的融合专属核心内容，每一项专项制度均对应信息化运维具体实操场景，条款清晰易懂、流程协同明确、基层实操性强。岗位双重履职实操作业规范针对专职运维安全人员、业务使用岗位、外包运维岗位分别编制简易一体化实操操作细则，简化专业复杂技术术语、明确日常运维操作与安全管控同步步骤、标注岗位运维安全禁止操作行为，让基层岗位人员简单易懂、快速上手、规范履职，避免制度专业晦涩难懂、运维与安全操作脱节无法落地执行的问题。一体化履职台账记录按照精简合并减负原则统一编制，整合IT运维巡检记录、安全隐患排查台账、运维安全一体化培训记录、应急协同演练记录、岗位权限管理记录、运维操作审计记录核心必备台账，杜绝两套台账重复填报、基层工作负担过重问题，所有台账全程履职留痕、可查可溯、适配联合内审核查与监管迎检刚需。一体化制度流程编制完成后，组织机构需组织全员运维安全一体化制度专项宣贯培训工作，确保所有岗位人员熟知自身双重履职要求与整合制度执行规范，常态化开展制度落地执行现场督查工作，严禁制度编制完成后束之高阁、运维与安全工作依旧分立执行的形式化问题，结合IT运维业务调整、信息化场景更新、合规监管要求变化常态化修订优化一体化制度流程内容，确保双体系融合制度体系始终适配信息化运维实际、贴合运维安全协同管控刚需、长效合规落地稳定运行。八、IT运维服务与信息安全技术协同防护整合实施细则本标准针对组织机构信息化运维核心实操应用场景，制定IT运维服务与信息安全技术协同防护一体化整合实施细则，兼顾IT运维服务高效便捷交付、信息化系统稳定连续运行与信息安全全方位有效防护，杜绝重运维轻安全导致安全风险高发、重安全轻运维影响信息化业务正常运营的两极问题，全面覆盖信息化网络基础运维协同防护、IT运维终端设备协同管控、核心业务系统运维安全整合防护、业务数据运维使用安全防护、IT变更发布运维安全协同管控五大核心整合技术场景。信息化网络基础运维协同防护层面，重点落实办公及业务网络日常运维保障与网络边界安全防护一体化同步运维，统筹网络通畅运维保障与网络攻击病毒防护管控，在网络日常巡检、设备运维调试、网络扩容优化等常规运维工作中同步开展网络安全漏洞排查、安全策略优化、非法接入检测工作，实现网络运维与网络安全巡检同步开展、问题同步处置、隐患同步整改，保障信息化基础网络运维通畅与网络安全防护双重达标。IT运维终端设备协同管控层面，针对办公电脑、业务终端、运维操作设备、信息化外设终端等日常运维设备，统一落实终端运维故障检修、系统升级维护与终端病毒防护、安全基线加固、补丁漏洞修复一体化同步管控，在终端运维检修操作过程中同步规范外接设备使用、禁止违规软件安装、留存运维操作审计日志，筑牢终端运维实操与终端安全防护双重防线，防范终端运维操作不当引发故障与安全双重风险。核心业务系统运维安全整合防护层面，聚焦各类业务信息化管理系统、数字化运营平台、核心运维服务系统日常运维保障、故障修复、版本迭代工作，严格落实系统运维账号权限精细化分级管控、运维操作高强度安全认证、运维全程日志审计留存、系统运维漏洞同步排查修复一体化防护措施，严控系统运维越权操作、违规变更、数据篡改、系统瘫痪等运维故障与安全叠加风险，保障核心业务系统运维服务稳定与系统安全防护双重可靠。业务数据运维使用安全防护层面，严格对标数据安全管理相关规范，落实业务数据日常运维归集、备份恢复、流转使用与数据加密存储、脱敏处理、访问授权、安全销毁一体化全生命周期协同管控，在数据运维备份、数据共享使用、数据迁移流转等常规运维工作中同步落实数据安全保密要求，严禁运维操作过程中违规导出、私自外传、随意泄露敏感业务数据，防范数据运维操作引发数据泄露安全事件。IT变更发布运维安全协同管控层面，针对信息化系统变更升级、功能发布、配置调整等运维变更工作，建立变更运维与安全风险同步审批、同步评估、同步测试一体化管控机制，变更实施前开展安全风险预判评估，变更实施中同步落实安全防护监测，变更完成后同步开展运维效果核验与安全隐患排查，防范运维变更操作引发系统故障与安全漏洞叠加风险，确保IT运维变更高效稳妥、安全可控。所有协同技术防护措施实施均贴合信息化运维实操场景，不增设不必要复杂管控流程，实现技术防护融入运维全流程、安全管控赋能IT服务运营的整合实施核心目标。九、双体系联合风险管控与运维安全数据一体化保护实施要求双体系联合风险管控与数据一体化保护是GB/T33136-2016双体系整合管理的核心重中之重，标准结合IT运维服务运营风险与信息安全数据风险双重管控刚需，专门制定运维安全一体化风险识别、评估、处置与业务数据全生命周期协同保护实施规范，同步防控运维服务运营故障风险与网络数据安全泄露风险，筑牢双体系整合管理风险防控核心防线。在双体系联合风险识别评估环节，组织机构摒弃运维风险与安全风险分开识别、单独评估的老旧模式，建立一体化联合风险识别机制，同步梳理IT运维服务流程、信息化核心资产、业务运营关键环节、数据流转核心节点，同步排查运维服务交付不达标、运维故障频发、服务履约违约等运维运营风险，以及网络攻击、系统入侵、数据泄露、设备损坏等信息安全风险，统一风险评估分级标准，合并风险台账记录，实行运维安全风险一体化分级管控，精准识别两类风险叠加隐患、交叉隐患，从源头防范复合型风险事件发生。在双风险协同处置管控环节，针对评估确定的各类运维运营与信息安全风险，一体化制定风险规避、风险降低、风险转移、风险承受差异化处置措施，将运维服务优化整改与安全防护加固工作同步推进，对高等级双重风险实行重点挂牌督办、专项整改优化，确保运维风险有效管控、安全风险彻底清零，避免单一风险处置引发另一类风险反弹。在运维安全数据一体化协同保护环节，严格遵循数据运维必需、最小使用、安全保密核心原则，在业务数据日常运维归集、备份存储、运维使用、共享传输、销毁报废全流程中，同步落实IT运维数据保障要求与数据安全保密防护要求，数据运维备份工作同步做好加密存储防护，数据运维使用严格执行最小权限访问管控，数据运维传输全程采用加密传输方式，废旧数据及退役存储设备运维销毁同步执行数据安全清零规范，严禁运维操作过程中违规处置敏感业务数据、弱化数据安全防护。组织机构常态化开展双体系联合风险自查自纠专项工作，定期排查运维服务薄弱短板与信息安全管控漏洞，同步整改运维服务不达标与安全防护不到位等双重问题，常态化开展全员运维安全一体化风险防控宣教培训工作，提升全员风险协同防控意识，严格落实IT运维服务提质与信息安全保密双重法定管理责任，确保双体系联合风险可控在控、业务数据运维安全合规双重达标。十、双体系应急协同处置与IT业务连续性一体化管理实施规范结合IT运维服务不可中断、信息化业务连续运营至关重要、运维故障与安全事件极易叠加发酵的行业特点，GB/T33136-2016标准专门明确双体系应急协同处置与IT业务连续性一体化管理专属实施规范，重点防范IT运维服务大面积中断、核心业务系统故障停运、网络安全攻击入侵、业务数据损毁泄露等运维安全复合型突发事件，确保事件快速协同响应、运维业务快速恢复、双重风险同步管控降损。组织机构需结合自身信息化运维规模与双体系整合实施等级，合并原有IT运维故障应急预案与信息安全突发事件应急预案，编制一体化运维安全协同综合应急预案，明确应急统一组织机构、运维安全协同响应流程、复合型事件快速处置分工、IT业务快速恢复保障措施、事后联合复盘整改全流程核心内容，预案贴合信息化运维实操场景，简化应急处置复杂流程、明确运维与安全协同处置步骤，确保复合型突发事件发生后第一时间一体化启动响应、同步处置隐患、最大限度降低运维停运损失与安全事件危害。组织机构按照整合管控常态化要求开展一体化应急协同演练工作，每年至少开展两次运维安全联合专项应急演练，重点演练IT系统故障运维恢复、网络安全事件协同处置、业务数据损毁备份恢复核心实操场景，提升运维安全一体化应急处置实操能力，杜绝应急预案纸面化、联合演练走过场、突发复合型事件处置无序等问题。IT业务连续性一体化管理方面，核心聚焦信息化核心业务运维不中断、服务交付不停滞双重核心目标，对核