上海市网络与信息安全服务外包指引-上海市信息安全行业协会.PDF

上海市网络与信息安全服务外包指引 第一章 总则 【目的】通过本指引，推动促进网络与信息安全外包服务市场健 康发展，规范网络与信息安全外包服务过程，保障用户单位和服务提 供方的合法权益。 【定义】 网络与信息安全服务是指涉及信息系统从设计、实施、 测试到运行、维护的各个阶段，覆盖咨询、评估、监测、响应、恢复、 培训等各个环节，为满足组织对信息系统安全保障需求，由专业的网 络与信息安全服务人员提供的一系列活动。 【适用范围】本指引适用于服务发包方（政府或企事业用户单位， 以下简称甲方）通过一定的程序选择、采购、监督、考核服务提供方 （网络与信息安全服务企业，以下简称乙方）的网络与信息安全外包 服务的全过程。 第二章 服务的选择和管理 【服务外包责任】 甲方委托乙方开展网络与信息安全外包服务， 甲方管理人应承担的责任不因外包而免除。 【服务机构选择】 甲方委托乙方开展服务活动前，应对乙方的服 务能力和资质进行评价，优先从合格的服务机构中选择。评价内容包 括但不限于企业资质、人员能力资质、产品技术能力证明、企业经营 业绩和发展稳定性、诚信度等因素。 【服务过程监督】在服务过程中，考虑到内部信息的敏感性，甲 1 方应实施信息暴露最小范围的原则；甲方应对乙方的服务能力和服务 质量进行监督并进行相应的记录,作为乙方的服务能力和信用评价参 考,为下次采购提供参考。 【服务效果考评】服务完成后，甲方应对乙方进行服务效果考评， 考评结果可以作为甲方下次采购乙方服务的参考。 【服务合同执行】甲方应为乙方开展网络与信息安全服务提供必 要的配合，并按合同约定按时支付服务费用。 【服务质量投诉】 甲方对乙方提供的服务质量不满意,可以向乙 方的服务质量管理部门进行投诉；如对乙方的处理结果不满意，可以 向行业协会等第三方行业自律机构反应，要求协调处理。 【服务损失追偿】乙方未按合同约定提供服务，在服务过程中给 甲方信息系统带来破坏或造成损失的，甲乙双方应根据合同约定处理, 必要时根据合同约定的管辖法院进行诉讼处理。 第三章 服务的提供和管理 【服务能力建设】 乙方通过管理体系的完善,人员能力的发展, 不断提升网络与信息安全专业服务能力。 【评估服务需求】乙方在获得甲方服务资格前，应充分理解甲方 的服务需求，并确保自身具备足够的服务能力(如人才、设备、制度 等)，满足甲方服务需求。 【服务价格】 乙方应根据甲方需求制定服务报价，鼓励提供合理 的服务价格，不应低价竞争，破坏行业秩序。 【开展服务】 乙方应建立良好的服务管理流程和体系，根据甲方 2 的实际需求与管理要求安排项目管理人员和技术人员有序的开展服 务工作。在服务过程中乙方应做到技术专业、响应及时、管理规范， 并配合甲方完成对服务效果的评估。 【服务人员约束】乙方应对服务人员进行约束，要求其遵守法律 法规、保密规定及合同约定，诚实守信、勤勉尽责，不得将甲方系统 漏洞、架构等情况泄漏给外部单位或无关的组织，不得与从事各类黑 客活动的个人和组织形成利益输送。 【投诉处理】 乙方应建立外包投诉受理制度，设立服务质量管理 负责岗位或部门，接受甲方的投诉并记录，对客户投诉及时处理。 第四章 服务满意度的监督和提升 【行业自律和服务监督】为维护服务外包过程中甲、乙双方的正 当权益，鼓励行业协会加强行业自律、监督制度建设，建立相关制度， 接受、协调服务外包过程中的争议处理，进行服务满意度监督和评价， 利用行业服务历史数据，行业企业服务能力和信用数据，定期发布网 络与信息安全服务外包能力评价报告，促进网络与信息安全服务规范 的不断完善和服务满意度的不断提升。 第五章 附则 对网络与信息安全服务的详细分类阐述参照 《附件一：网络与信 息安全服务的分类和服务要素》 【发布实施】本指引自发布之日起试行。 上海市信息