外部人员安全管理.docxVIP

外部人员安全管理

外部人员通常是指软件开发商，硬件供应商，系统集成商，设备维护商，和服务提供商，实习生，临时工等非内部人员。外部人员在访问时可以分成物理访问和信息访问，具体如下：

物理访问，如对办公室、机房的物理访问；

信息访问，如对信息系统、主机、网络设备、数据库的访问。

对于实际访问的外部人员，按照访问的时间长短和访问的性质，可以分为临时来访的外部人员，和非临时来访的外部人员两种，具体如下：

临时来访的外部人员，指因业务洽谈、参观、交流、提供短期和不频繁的技术支持服务而临时来访的外部组织或个人。

非临时来访的外部人员，指因从事合作开发、参与项目工程、提供技术支持、售后服务、服务外包或顾问服务等，办公和工作的外部组织或个人。

对于这两种短期和长期的实际物理和信息访问，应规定不同的安全管理要求，负责接待的部门和接待人对外部人员来访的安全负责，并对访问机房等敏感区域持谨慎态度。具体管理要求应包括：

遵守XXX单位的各项信息安全标准和管理规定；

必须签署保密协议，必须签署安全承诺协议，或在合同中规定相关的内容；

对其维护目标的安全配置要求，必须符合相应的网络设备、主机、操作系统、数据库和通用应用程序等XXX单位的安全配置标准文档中相应规定；

申请访问权限时，必须阐明其申请理由、访问方式、要求权限、访问时间和地点等内容，XXX单位的安全管理人员需要核实其申请访问权限的必要性和访问方式，评估其可能带来的安全风险，尽可能采取一些措施来降低风险。在风险可接受的情况下，才批准其访问权限的申请，并尽可能不给超级用户权限。保留外部人员接入及访问系统的登记记录。至少包括：访问权限、访问时限、记录账户。

开展人员离场后的清理工作。至少包括：保留清理记录、及时清除离场后的所有访问权限、记录访问权限清除时间。