信息系統(tǒng)安全運維服務資質認證自評估表

1、精品信息系統(tǒng)安全運維服務資質認證自評估表組織名稱申報級別評估時間評估部門 / 人員序要點條款需提供證明材料號準備階段運維前的客戶需求調查報告，可結合結合1.采集客戶對信息系統(tǒng)運維服務時間的需求。需求調業(yè)務部門，公司高層的戰(zhàn)略規(guī)劃，內容必自評估結論不證明材料清單符符合合感謝下載載精品研與分析須有服務時間要求。2.進行信息系統(tǒng)運維預算，定義運維服務。與客戶進行溝通，達成共識并形成記3.錄 。運維前的信息系統(tǒng)運維預算表,內容應包括工作量、人力資源項目經費、項目節(jié)點等。運維前與客戶溝通的記錄，應有溝通結果雙方達成共識的體現。信息系統(tǒng)運維過程中的歷史數據清單；歷史數據清單的分析報告，內容包含指標僅二級要

2、求： 識別與分析信息系統(tǒng)運維完成情況、 違例操作、 重大事件、 重大（失過程中的歷史數據，提出系統(tǒng)運維的保障策略和解決方案。敗）變更等。4.根據報告的分析制定的運維策略，及實施方案；客戶需求調查報告，包含信息系統(tǒng)安全服僅二級要求： 分析客戶對信息系統(tǒng)安全服務的需求和類型。務的需求和類型；感謝下載載精品僅二級要求： 收集與分析信息系統(tǒng)的可信息系統(tǒng)的可用性指標清單，如整體指標5.或單系統(tǒng)指標等；用性指標，明確可用性指標的類型。以往提供服務的解決方案，對生產的影響6.僅二級要求： 分析以往服務的數據，提的分析報告；取出來未來可自動化的服務。根據以往安全事件的解決效率進行分析，適宜時提出來未來可自動化

3、的服務。僅一級要求： 內部團隊之間的安全運營服務級別設計、安全運營級別協議，兩者7.級別協議應和與安全運維第三方之間的應保持一致。的服務級別設計保持一致。僅一級要求： 安全組織中要設定安全領安全組織架構圖及相關運維人員清單，其導小組；在采用外包模式的情況下，執(zhí)中應有安全領導小組；8.行組還應包含安全運維服務供應商參與外包模式的執(zhí)行組中應有第三方參與運運維的人員。維的人員。僅一級要求： 采用基于 PDCA 的管理模信息系統(tǒng)安全運維服務有策劃，實施，監(jiān)9.視與評審和持續(xù)改進流程。型，從策劃，實施，監(jiān)視與評審和持續(xù)感謝下載載改進進行體系化的信息系統(tǒng)安全運維服務。僅一級要求：建立安全運維可視化視圖。基

4、于信息系統(tǒng)安全的生命周期，建10.立信息系統(tǒng)安全運維的整體策略?；诳蛻簟I(yè)務的價值體現，形成安全運維的整體視圖。制定安全運維服務目錄，目錄內容包括但不限于：初始服務、安全設備運維、11.日常巡檢服務、健康檢查、安全事件審計。準備階段運維服務設計12.信息系統(tǒng)相關的IT 資產進行識別。精品安全運維項目施工手冊和作業(yè)指導書；新建系統(tǒng)， 建設實施過程應重點關注信息系統(tǒng)的功能、性能和安全性等方面要求，應保留與客戶的需求分析記錄；系統(tǒng)改造中考慮造前技術測試驗證及在實施失敗后的回退措施；測試驗證中對舊系統(tǒng)的兼容問題，包括網絡兼容、系統(tǒng)兼容、應用兼容等，有驗證報告。安全運維服務目錄，內容包含條款要求。IT

5、 資產識別清單，內容有IT 資產識別的標識、分級、保護和軟件配置建立基礎資料檔案；有設備和系統(tǒng)的種類、型號、功能、物理位置、端口對應情況、部署情況等資產詳感謝下載載精品細信息。安全設備的日常維護，狀態(tài)檢查，定期查13.對安全設備進行日常維護及監(jiān)控，并記殺，故障處理、保養(yǎng)、更新、升級、故障錄硬件故障。檢測及排除， 并對安全設備出現的硬件故障進行統(tǒng)計的記錄。提供安全設備、業(yè)務系統(tǒng)的健康檢查服有安全運維服務使用者約定的服務方式（現場檢查，遠程檢查） 、檢查頻次和檢14.務，并約定服務方式、檢查頻次和檢查查的文件記錄。內容。安全設備、業(yè)務系統(tǒng)的健康檢查服務，應15.采集系統(tǒng)配置、流量信息、系統(tǒng)狀態(tài)等與

6、安全運維服務使用者約定的服務方式安全信息。（現場檢查，遠程檢查） 、檢查頻次和檢查的文件的記錄。收集與分析網絡及安全設備、服務器、有對網絡及安全設備日志，服務器、操作16.系統(tǒng)等日志， 網絡應用日志的記錄與分析操作系統(tǒng)、網絡應用的日志。報告。信息安全事件的統(tǒng)計表，分析報告；17.僅二級要求： 對信息安全事件進行統(tǒng)計信息系統(tǒng)的可用性事件、計劃、報告；與分析。安全運維角色清單。感謝下載載精品僅二級要求： 編寫安全運維服務目錄，目錄內容包括但不限于：運維監(jiān)控與分18.析、終端安全監(jiān)控、等級保護合規(guī)性運維。僅二級要求： 建立信息系統(tǒng)安全運維的19.問題管理程序。僅二級要求： 建立知識管理程序及初步20

7、.形成知識庫。僅二級要求： 編制信息系統(tǒng)的可用性計21.劃，監(jiān)控可用性事件，報告可用性執(zhí)行，指導可用性的改進。僅二級要求： 形成信息安全管理的組織安全運維服務目錄，內容應包含有條款的要求。信息系統(tǒng)問題管理程序，已審批并發(fā)布。知識管理程序，已審批并發(fā)布。信息系統(tǒng)的可用性事件、計劃、報告。信息安全管理的組織架構表，安全運維角22.架構，組織結構的構成要素與安全運維色清單，應與組織的構成要素對應?；顒咏巧鄬?3.僅一級要求： 編制安全運維項目作業(yè)指安全運維項目中各模塊作業(yè)指導書。導書。感謝下載載精品僅一級要求： 建設實施過程中應關注信24.息系統(tǒng)的功能、 性能和安全性方面要求。改造過程中應制定

8、測試計劃及回退措施。僅一級要求： 編寫安全運維服務目錄，25.目錄內容包括但不限于：安全通告及漏洞分析、應急響應服務。收集與建立配置管理數據庫，確保配置26.項目的機密性、完整性、可用性。準備階段27.運維服專業(yè)人員負責安全管理的接口。務導入28.建立服務目錄。建立事件響應和解決的機制,有基本的29.安全運維報告模式。有改造過程中的信息系統(tǒng)的測試計劃；有信息系統(tǒng)的基線、回退的措施文件。安全運維服務目錄，內容有條款要求的服務。完整的配置數據庫，能初步收集資產與配置項，并確保配置項目的機密性、完整性、可用性。完整的配置數據庫，能初步收集資產與配置項，并確保配置項目的機密性、完整性、可用性。安全運維

9、服務目錄。安全事件處理與應急響應流程，安全事件感謝下載載精品處理與上報流程。僅二級要求： 采用流程化管理方法，基滲透測試的計劃和記錄；建立安全事件處理流程，安全培訓服務流于安全事件處理流程、安全培訓服務流30.程，滲透測試的流程。程、滲透測試流程進行標準化的信息系統(tǒng)安全運維工作。31.僅一級要求： 基于滲透測試流程管理進運維過程中的滲透測試的計劃和記錄。行標準化的信息系統(tǒng)安全運維工作。僅一級要求： 編制信息安全產品和工具信息安全產品和工具定制開發(fā)計劃，內容32.定制開發(fā)計劃?？梢詰蛻粢蠡蚪M織自身的能力。明確安全事件處理與應急響應流程，流程包括但不限于：安全事件的分類、安33.全事件上報流程

10、、安全事件處理流程、準 備 階 段 安全事件的事后處理。服務協議的特殊要明確安全運維的方式，方式包括但不限34.求 于：駐場值守方式，定期巡檢方式，遠程值守方式。僅二級要求： 簽訂服務級別協議,建立信35.息系統(tǒng)應急事件響應機制和恢復保障。建立安全事件處理流程，應急響應流程，內容應包括條款要求；服務級別協議協議，其中內容包括運維的方式。服務級別協議，內容包括承諾信息系統(tǒng)核感謝下載載36.僅二級要求： 建立問題管理程序。僅二級要求： 建立信息系統(tǒng)安全的配置精品心指標；應急響應計劃、系統(tǒng)恢復計劃。信息系統(tǒng)的問題管理程序，已審批并發(fā)布。配置庫，系統(tǒng)安全配置項之間有關聯信37.庫及關聯關系信息。息。有

11、已通過審核并發(fā)布的信息系統(tǒng)安全運僅一級要求： 建立信息系統(tǒng)安全運維服38.維服務級別管理程序；務級別管理程序，簽訂服務級別協議。僅一級要求： 建立信息系統(tǒng)應急事件響查看客戶有服務級別協議。應急響應計劃、系統(tǒng)恢復計劃的演練記39.應機制和恢復保障。錄；僅一級要求： 對客戶滿意度進行趨勢分40.析。客戶滿意度調查報告與趨勢分析報告；感謝下載載精品41.42.43.服務實施階僅一級要求： 建立應急響應和災難恢復機制，形成業(yè)務連續(xù)性計劃。實施初始服務：完成資產識別，定期配置項的更新和維護，實施相關運維流程。實施安全設備運維服務： 完成日常維護，狀態(tài)檢查，定期查殺，故障處理、保養(yǎng)、更新、升級、故障檢測及

12、排除，并對安全設備出現的硬件故障進行統(tǒng)計記錄。發(fā)布且通過審批的業(yè)務連續(xù)性計劃。資產識別表，對配置項的更新和維護記錄，實施相關運維流程的記錄。日常維護，巡檢、狀態(tài)檢查，定期查殺，故障處理、保養(yǎng)、更新、升級、故障檢測及排除的記錄；信息安全事件審計報告，如網絡及安全設段44.45.實施日常巡檢服務： 完成安全設備監(jiān)控；病毒監(jiān)測、查殺及網絡防病毒維護，并有相關記錄。實施健康檢查服務：完成安全設備、業(yè)務系統(tǒng)的健康檢查服務。備日志、服務器、操作系統(tǒng)、網絡應用的日志；安全設備、業(yè)務系統(tǒng)的健康檢查服務，主要工作針對于設備的可用性、持續(xù)性，并提供相應服務記錄。感謝下載載精品實施安全事件審計服務：完成網絡及安46

13、.全設備日志、服務器、操作系統(tǒng)、網絡應用的日志、并且進行記錄。組建運維服務臺職能，培養(yǎng)服務臺人員47.的專業(yè)能力。建立事件管理程序和信息安全服務請求48.管理程序。僅二級要求： 實施運維監(jiān)控與分析并形49.成記錄。僅二級要求：進行等級保護合規(guī)性運50.維。實施安全事件審計服務，內容包含條款中的要求。建立服務臺；提供服務臺人員的培訓記錄。事件管理程序，已審批并發(fā)布；服務請求管理程序，已審批并發(fā)布。運維監(jiān)控分析報告，內容以數據來分析各個指標的趨勢。針對信息系統(tǒng)安全建立保護等級；對信息系統(tǒng)分級的標準；感謝下載載精品僅二級要求： 實施安全通告及漏洞分析服務：完成業(yè)界動態(tài)的通告、收集國家51.安全政策及

14、法律法規(guī)、漏洞通告、病毒通告、廠商安全通告及其他安全通告。僅二級要求： 實施應急響應服務：完成52.應急響應預案制定，對應急事件及時響應，并對應急進行演練，形成相關記錄僅一級要求： 建立運維變更管理程序，對運維實施過程中方案、資源變更進行53.有效控制，完整記錄變更過程。僅一級要求： 制定運維應急處置方案和恢復策略，對運維過程中的應急事件及通告與漏洞分析記錄，內容為業(yè)界動態(tài)的通告、收集國家安全政策及法律法規(guī)、漏洞通告、病毒通告、廠商安全通告及其他安全通告，并生成分析報告。通告與漏洞分析記錄；應急響應服預案，應急演練的記錄；變更管理程序，已審批并發(fā)布；運維過程中的變更記錄單。針對運維有審批并發(fā)布

15、的變更管理程序；運維過程中的變更應有響應的變更記錄。有已審批并發(fā)布的應急處置方案和恢復感謝下載載精品時進行響應。應定期收集與分析安全運維報告的數據，包括但不限于：異常報告及時率、異常漏報率、維護作業(yè)計劃的及時完成54.率、故障隱患發(fā)現率、 異常主動發(fā)現率、問題解決率、漏洞掃描覆蓋率、加固設備覆蓋率、安全補丁安裝及時率、安全事件次數。監(jiān)視評審階段對運維實現情況進行監(jiān)視測量，未能實55.現的目標應采取糾正預防措施。56.建立與分析客戶滿意度調查。策略；運維過程中的響應時間是否達到方案要求。運維數據收集記錄，內容應包含條款中的要求。安全運維實現情況監(jiān)視測量清單，如客戶滿意度、投訴建議、KPI等；糾正

16、預防措施記錄單?？蛻魸M意度調查報告，內容應包括對滿意度分析。感謝下載載精品僅二級要求： 按照計劃的時間間隔執(zhí)行內部審核， 應至少滿足：既定標準的要57.求、滿足安全運維服務需求和客戶所提出的 SMS 要求、有效被實施和維護。僅二級要求： 定期回顧安全運維服務，確保其持續(xù)適用和有效。管理評審的輸入至少包括：客戶反饋、服務和流程的58.執(zhí)行情況和符合性、當前和預測資源水平、糾正措施的進展情況、可能影響安全運維服務的變更、改進的機會。僅一級要求： 形成體系化的審核機制及59.企業(yè)文化。僅一級要求： 體系化的服務監(jiān)視管理，60.形成審核機制。僅一級要求： 定期評審客戶對安全運維61.服務的滿意度。應在

17、運維過程和監(jiān)視過程中識別改進項 62. 安全運維運 目，制定持續(xù)改進計劃，計劃應包括對改進機會的評估標準。內部審核的響應文件與記錄；管理評審的響應文件與記錄，內容應包含服務和流程的執(zhí)行情況和符合性；當前和預測資源水平；糾正措施的進展情況；可能影響安全運維服務的變更；改進的機會，如指標為滿足、運維中存在的問題、服務提升點等。內部審核機制形成體系，表現形式如：體系文件、 PDCA 流程、第三方認證等；建立服務監(jiān)視管理流程客戶滿意度調查表，包括：定期評審、主動回訪等。安全運維持續(xù)改進計劃；感謝下載載精品維持續(xù)改進應有文件化的程序用以識別、記錄、批63.準、評估、測量和報告改進措施。應采取預防措施，以

18、消除潛在的不符合64.項的原因，以防止其發(fā)生。僅二級要求： 改進機會應劃分優(yōu)先級，65.策劃被批準的改進機會。僅二級要求： 改進活動應進行管理，至66.少包括： 設定改進目標、 確保批準的改進活動被實施、 報告被實施的改進計劃。僅一級要求： 持續(xù)服務改進，形成持續(xù)67.服務改進文化和意識。查看改進計劃的評估標準。包括：識別過程、記錄過程、是否有批準過程、評估、測量和適合的報告機制。安全運維預防措施文件，及其有效性驗證的記錄。改進機會分析報告，及其批準證據；優(yōu)先級排序的方式不限，但應有合理性。改進活動的計劃、 實施、有效性測量記錄；內容包括設定改進目標、確保批準的改進活動被實施、報告被實施的改進計劃。有服務改進的意識以培訓，宣貫的方式傳達到員工，有相應的記錄。感謝下載載精品僅一級要求： 基于運維服務的缺陷，提對運維的重大事件、失敗變更、服務不達68.出改進策略和方案。標等不良情況進行分析，提出改進計劃。僅一級要求： 分析