信息系统安全运维务资质认证自评估表.docVIP

ISCCC-QOT-0434-B/3 信息系统安全运维服务资质认证自评估表 中国信息安全认证中心 制 第 PAGE 9 页 共 NUMPAGES 10 页 信息系统安全运维服务资质认证自评估表 组织名称 申报级别 评估时间 评估部门/人员 序号 要点 条款 需提供证明材料 自评估结论 证明材料清单 符合 不符合 服务技术要求 建立信息系统安全运维服务流程。 信息系统安全运维服务流程，流程图中应包括每个阶段对应的职责、输入输出等。 制定信息系统安全运维服务规范并按照规范实施。 信息系统安全运维服务规范并按照规范实施。 准备阶段-需求调研与分析 调研客户信息系统安全现状，采集客户安全服务需求与目标，明确客户对信息系统安全运维服务时间、服务期限、服务内容以及服务方式的需求。 针对客户的调研报告，其中包括对信息系统安全运维服务时间、服务期限、服务内容以及服务方式的需求调研结果。 进行信息系统运维预算，定义运维服务。 信息系统安全运维预算，其中包括运维服务内容、每项服务的工作量、每项服务的人力资源项目经费等。 与客户进行沟通，达成共识并形成记录 。 与客户沟通形成的记录，内容应有对运维服务项目达成共识的体现。 仅二级/一级要求：分析客户对信息系统安全服务的需求和类型。 对客户进行调查的记录，内容中应有信息系统安全服务的需求和类型，如应用安全：应用系统安全测试、安全监控、安全事件应急等。 仅二级/一级要求：收集与分析信息系统的可用性指标。 所运维信息系统的可用性指标，如整体指标或单系统指标等。 仅二级/一级要求：分析以往服务的数据，提取出来未来可自动化的服务。（监审时适用） 运维服务报告，其中应对以往安全服务的总结与安全事件的解决效率进行分析，提出未来可自动化的服务。 仅一级要求：内部团队之间的安全运营级别协议应和与安全运维第三方之间的服务级别设计保持一致。 服务级别协议中，安全运维第三方之间的服务级别设计与内部团队之间的安全运营级别协议应一致。 仅一级要求：安全组织中要设定安全领导小组。 安全组织架构图，其中应有安全领导小组。 准备阶段—签订服务协议 与客户签订服务协议，明确范围、目标、时间、内容、金额、质量和输出等。 项目合同及保密协议，合同内容应至少包含服务范围、目标、时间、内容、金额、质量和输出等。 明确安全运维的方式，方式包括但不限于：驻场值守方式，定期巡检方式，远程值守方式。 项目合同/协议中应有明确的安全运维模式。 仅二级/一级要求：签订服务级别协议。 与客户签订的服务级别协议，协议中应承诺信息系统核心指标，如：可用性、安全事件解决率等。 方案设计阶段 根据系统安全运维需求，编制安全运维服务方案，明确安全运维服务时间、服务内容、服务方式、服务期限、服务人员、服务交付物、服务质量管理、服务沟通机制、服务风险管理等方面要求。 项目服务方案，内容应包括条款要求。 提供安全设备、业务系统的健康检查服务，并约定服务方式、检查频次和检查内容。 安全设备、业务系统的健康检查服务记录，应与安全运维服务使用者约定的服务方式（现场检查，远程检查）、检查频次和检查内容一致，健康检查服务重点关注安全设备、业务系统的可靠性（设备或者系统在一定条件、一定时间下完成一定任务稳定运行的概率）、可用性。 专业人员负责安全管理的接口。 运维项目中由高层指定的、负责安全管理接口的运维管理人员信息。 仅二级/一级要求：编制信息系统的可用性计划，监控可用性事件，报告可用性执行，指导可用性的改进。 信息系统可用性计划；信息系统可用性事件记录；信息系统可用性执行报告、改进报告。 仅二级/一级要求：识别与分析信息系统运维过程中的历史数据，提出系统运维的保障策略和解决方案。（监审时适用 信息系统运维过程中的分析报告，主要分析项目应有：历史数据清单的分析报告，内容包含运维完成情况、重大事件、重大（失败）变更等；基于以往运维数据分析结果提出的新的运维策略及解决方案。 仅二级/一级要求：编制信息系统的安全基线。 信息系统安全基线。 仅二级要求：建立信息系统安全的配置库。 配置库信息，其中应纳入信息系统安全涉及的配置项，如安全设备的配置项有安全策略、管理员账户、IP等。 仅一级要求：建立信息系统应急事件响应机制和恢复保障。 信息系统的应急响应计划和恢复计划