ISO27001：2013第三方访问策略.pdfVIP

第三方访问策略 发布部门 技术部 生效时间 2015 年 02 月 01 日 批准人 文件编号 XXXX-A-03-13 第三方在支持硬件和软件管理以及客户运作方面有重要作用。第三方可以远程对 数据和审核日志进行评审、 备份和修改， 他们可以纠正软件和操作系统中的问题， 介绍 可以监控并调整系统性能，可以监控硬件性能和错误，可以修改周遭系统，并重 新设置警告极限。由第三方设置的限制和控制可以消除或降低收入、信誉损失或 遭破坏的风险。 该策略的目的是为第三方访问信息资源以及支持性服务 (A/C, UPS, PDU, 火灾控 目 的 制等 ) 、第三方职责以及信息保护建立准则。 该策略适用于负责新的信息资源安装以及现有信息资源操作和保持的所有人员， 适用范围 以及可以批准第三方因保养、监控以及故障处理目的而访问信息资源的人员。 术语定义 略 第三方必须遵守相应的策略、操作标准以及协议，包括但不仅限于： 安全策略； 保密策略； 审核策略； 软件注册策略； 信息资源使用策略。 第三方协议和合同必须规定： 第三方应该访问的信息； 第三方怎样保护信息； 合同结束时第三方所拥有的信息返回、毁灭或处置方法； 第三 第三方只能使用用于商业协议目的的信息和信息资源； 方访 在合同期间第三方所获得的任何信息都不能用于第三方自己的目的或泄 问策 漏给他人。 略 应该向综合部提供与第三方的合同要点。合同要点能确保第三方符合策略的 要求 ； 每一个第三方必须提供在为合同工作的所有员工清单。员工发生变更时必须 在 24 小时之内更新并提供； 每一个在组织场所内工作的第三方员工都必须佩带身份识别卡。当合同结束 时，此卡应该归还； 可以访问敏感信息资源的每一个第三方员工都不能处理这些信息； 第三方员工应该直接向恰当的人员直接报告所有安全事故； 如果第三方参与安全事故管理，那么必须在合同中明确规定其职责； 第三方必须遵守所有适用的更改控制过程和程序； 第 1 页 共 2 页 定期进行的工作任务和时间必须在合同中规定。规定条件之外的工作必须由 相应的管理者书面批准； 必须对第三方访问进行唯一标识，并且对其进行的口令管理必须符合口令实 施规范和特殊访问实施规范。第三方主要的工作活动必须形成日志并且在管 理者需要的时候可以访问。日志的内容包括但不仅限于：人员变化、口令变 化、项目进度重要事件、启动和结束时； 当第三方员工离职时， 第三方必须确保所有敏感信息在 24 小时内被收回或销 毁； 在合同或邀请结束时，第三方应该将所有信息返回或销毁，并在