第三方运维人员安全管理规范.docxVIP

第三方运维人员安全管理规范

一、总则

1.1目的与适用范围

本规范用于规范第三方运维人员（以下简称「外包运维」）在甲方生产环境内的入场、授权、操作、审计与退出全生命周期管理，核心目标是：在保证运维效率的同时，杜绝因外包人员操作引发的数据泄露、误操作事故与越权访问。

适用范围：

?与甲方签订运维服务合同的所有外部单位（原厂维保、驻场外包、远程代维）派驻人员

?涉及系统：生产服务器、数据库、网络设备、中间件、云平台控制台、监控平台

?不适用于纯办公IT桌面支持（该类人员执行《桌面支持人员管理办法》，仅参照本规范第4章账号管理）

1.2责任分工

角色

责任

考核指标

甲方IT安全负责人（安全经理）

审批入场申请、账号权限终审、每季度权限复核

复核完成率100%，季度末5个工作日内出报告

甲方运维接口人（每外包单位指定1名）

陪同巡检、变更单审核、日常行为监督

变更单审核记录齐全率100%

外包单位项目经理

人员背景审查、保密协议签署、离职账号回收申报

人员变动24小时内申报

外包运维人员

按授权范围操作、如实记录操作日志

违规一次即触发事件流程

二、人员入场管理

人员入场是安全管理的第一道关口，此环节漏审一个人，后续所有技术管控都要为此付出十倍代价。

2.1入场前置条件（缺一不得入场）

外包单位在人员入场前5个工作日提交《第三方运维人员入场申请