信息系统外包服务规范.docxVIP

信息系统外包服务规范

信息系统外包服务规范

一、（1）信息系统外包服务边界与分类体系的规范界定。信息系统外包服务规范的首要任务是厘清服务边界，明确何种活动属于外包、何种责任不得转移。信息系统外包是指委托方在保留自身信息科技管理责任与网络安全主体责任的前提下，将原本由内部承担的信息系统开发、测试、部署、运维、安全保障、数据处理及技术支持等活动中可分离的部分，以合同方式委托给外部专业服务商持续提供的行为。规范需将外包与单纯的产品采购、云服务租赁、业务外包区分开来：云服务租赁侧重计算存储资源获取，而外包是在此之上叠加运维管理与责任界面；业务外包转移的是业务流程本身，信息系统外包转移的是技术作业能力。在分类上，规范应覆盖信息技术外包（ITO）下的软件研发外包、系统运行维护外包、基础架构管理外包、数据与安全服务外包，以及嵌入业务流程的技术性处理外包。对于软件开发外包，外部力量仅承担应用系统编码与测试，硬件网络由委托方自行建设；对于系统运行外包，承包商负责系统建设后的运行维护与稳定保障，并保证客户数据安全；对于业务外包，承包商不仅处理业务操作，还承担配套信息系统建设。规范还需根据接触数据敏感度划分普通外包、重要外包与关键外包，涉及客户个人信息、重要业务数据、核心交易链路或跨境外包的，必须适用更严准入与监控规则。

（2）外包全生命周期阶段控制与节点门禁规范。信息系统外包不是单次采购动作，而是涵