信息服务安全管理规范.pdfVIP

编号： SM-ZD-40622 信息服务安全管理规范 Through the process agreement to achieve a unified action policy for different people, so as to coordinate action, reduce blindness, and make the work orderly. 编制： ____________________ 审核： ____________________ 批准： ____________________ 本文档下载后可任意修改 FS 精编管理制度 | MODEL SYSTEM 信息服务安全管理规范 简介：该制度资料适用于公司或组织通过程序化、标准化的流程约定，达成上下级或不 同的人员之间形成统一的行动方针，从而协调行动，增强主动性，减少盲目性，使工作 有条不紊地进行。文档可直接下载或修改，使用时请详细阅读内容。 1 目的 保护组织的信息系统被外部方访问时的安全，保证公司 信息系统安全水平不会因为外部方访问、提供产品和服务而 降低；及时、有效、可控的管理外部方所提供的服务质量、 服务交付和安全状况，规范公司外部方服务管理相关的流程 及安全要求。 2 适用范围 适用于对所有访问公司信息系统外部方的安全管理，以 及对外部方服务的管理。 3 术语和定义 第三方服务：因业务或其它原因，对组织信息系统进行 访问、操作、服务的外部组织。 4 职责和权限 4.1 信息安全领导办公室 负责对组织所有外部方进行统一管理； 第 2页/ 总5页 FS 精编管理制度 | MODEL SYSTEM 识别外部方访问或服务时的风险； 负责对第三方访问机密信息访问的审批和管理。 4.2 各部门 协助信息安全领导办公室做好对外部方服务的管理和 监督。 5 相关活动 5.1 第三方服务需求确定 根据业务工作需要，由各部门提出第三方服务需求，并 由 XXX 部汇总后报信息安全领导办公室审批。 服务需求内容除服务内容、水平和要求外，还应明确是 否涉及访问公司的机密级信息。 5.2 第三方服务安全管理 5.3.1 公司与第三方服务方应签订相关服务协议，在协 议中明确服务内容、服务水平、信息安全要求等内容。 5.3.2 对组织的秘密信息一般不允许外部方进行访问。 特殊情况下，必须经信息安全领导办公室审核后，经副总经 理批准后方可访问。 在新建、改建、扩建信息系统时，如确需对公司的信息 第 3页/ 总5页 FS 精编管理制度 | MODEL SYSTEM 系统进行访问，应由接待部门提出申请，经信息安全领导办 公室批准后，仅限访问公司的内部 (含 ) 以下内部的信息。 接等部门在提出申请时，需要明确如下内容：外部方的 基本情况、访问的范围、所涉及公司内部信息的安全级别、 访问信息系统的时限等。 信息安全领导办公室对提出的申请，进行评审，识别存 在的安全风险，必要时制定相应的控制措施。如： 对外部方所能访问的信息进行限制； 对外部方访问公司信息系统的过程进行监控； 与外部方签署安全保密协议。 5.3.3 信息系统的日常维护由公司的 XXX 部门负责，如 需要外部方进行技术支持， 先提出申请， 经批准后方可实施， 且必须有公