信息安全管理体系信息系统变更安全管理制度.docx

PAGE1

信息安全管理体系信息系统变更安全管理制度

目录

TOC\h\z\u第一章 总则 1

第二章 变更分类 1

第三章 变更管理流程 1

第四章 附则 4

附件 4

附件1：变更申请表 4

附件2：变更记录表 6

总则

为保证集团信息系统安全稳定运行，规范集团信息系统变更管理，提高变更的效率和质量，减少或避免变更对业务系统的影响，特制定本制度。

变更是指对信息系统需求的增补或修改，所做增补或修改可能会影响生产环境的安全性和稳定性。变更包括但不限于硬件设备、系统软件、应用软件、网络架构、服务文件(如网络服务协议)、账号权限以及配置变更。

变更分类

按照变更的紧急程度，将变更分为计划变更和紧急变更：

计划变更：有计划的变更，变更前有预留一定的时间通知变更有关各方；

紧急变更：为了改正生产环境下的某一重要问题而必须立即实施的变更。

对于计划变更需要进行申请审批，紧急变更也需要进行审批，但在紧急情况下可免去通知时间和正常的变更程序要求。

变更管理流程

计划变更管理流程如下：

变更申请：信息系统需要变更时，变更申请者应及时向其所在部门领导提出变更申请，说明变更的原由以及能够解决的问题，填写变更申请表，详见附件1：《变更申请表》。

部门变更审核：收到变更申请后，所在部门领导需判断是否需要网络运营中心技术人员的配合工作，如需配合，则需将变更申请提交至网络运营中心予以审核，如不需要，则按照各部门内部的变更程序进行变更。

网络运营中心变更审核：需要网络运营中心配合的变更工作，则由网络运营中心予以审核并组织相关技术人员对变更的重大程度进行判定：

一般变更，修改网络配置参数、账号权限等变更，不需要变更方案，总监审批通过后直接由相关技术人员实施变更；

重大变更，改变网络结构，业务系统的重大升级等变更，需要提交变更方案、变更测试方案及恢复方案，相关技术人员在测试环境中测试没有问题后才可以实施变更。

变更通知：实施变更前要通告相关部门人员，防止实施变更影响其他部门业务正常使用。

变更实施：由相关技术人员负责实施变更工作，网络运营中心技术人员配合变更工作，如变更失败应立即启动恢复方案恢复系统的正常运行，并在变更记录中详细记录失败原因。

变更跟踪：变更实施完成后，网络运营中心技术人员配合业务部门对变更进行后续跟踪、回顾、分析。如果有新问题、新故障出现，需及时反馈相关部门进行处理；如果没有问题，则变更完成。

变更记录：整个变更过程均要进行记录，网络运营中心变更实施人员填写记录表，详见附件2：《变更记录表》。变更结束后，提交给网络运营中心存档。

计划变更流程图如下：

紧急变更为突发性变更，可以因问题紧迫取得特别批准，由集团架构与安全委员会进行批准。接到批准后网络运营中心应迅速准备变更，如有测试时间，应组织相关人员紧急测试；如没有测试时间，在确定准备充分后由网络运营中心技术人员立即实施变更，并作变更记录。变更完成后第一时间向架构与安全委员会汇报变更情况。

附则

本制度的制定和修改需要经架构与安全委员会成员讨论通过后，管理委员会批准之日起生效。

本制度解释权属架构与安全委员会。

附件

附件1：变更申请表

变更申请表

申请人

申请部门

申请日期

实施人

变更类型

□硬件设备□网络架构

□系统软件□应用软件

□账号权限□配置

变更原因

变更内容

申请部门

意见：

签字：

时间：

网络运营中心

意见：

签字：

时间：

架构与安全委员会（紧急变更）

意见：

签字：

时间：

附件2：变更记录表

变更记录表

序号

变更时间

申请人

实施人

变更类型

变更内容

变更结果