1、信息系統(tǒng)安全運維服務(wù)資質(zhì)認證自評估表申報級別序 號要點條款需提供證明材料自評估結(jié)論證明材料清單符合不 符 合服務(wù)技術(shù) 要求建立信息系統(tǒng)安全運維服務(wù)流程。信息系統(tǒng)安全運維服務(wù)流程，流程圖中應(yīng)包括每個階段對應(yīng)的職責、輸入輸出等。制定信息系統(tǒng)安全運維服務(wù)規(guī)范并按照 規(guī)范實施。信息系統(tǒng)安全運維服務(wù)規(guī)范并按照規(guī)范實 施。準備階段-需求調(diào) 研與分析調(diào)研客戶信息系統(tǒng)安全現(xiàn)狀，米集客戶 安全服務(wù)需求與目標，明確客戶對信息 系統(tǒng)安全運維服務(wù)時間、服務(wù)期限、服 務(wù)內(nèi)容以及服務(wù)方式的需求。針對客戶的調(diào)研報告，其中包括對信息系統(tǒng) 安全運維服務(wù)時間、 服務(wù)期限、服務(wù)內(nèi)容以 及服務(wù)方式的需求調(diào)研結(jié)果。進行信息系統(tǒng)運維預(yù)算

2、，定義運維服務(wù)。信息系統(tǒng)安全運維預(yù)算， 其中包括運維服務(wù) 內(nèi)容、每項服務(wù)的工作量、每項服務(wù)的人力 資源項目經(jīng)費等。與客戶進行溝通，達成共識并形成記 錄。與客戶溝通形成的記錄， 內(nèi)容應(yīng)有對運維服 務(wù)項目達成共識的體現(xiàn)。評估部門/人 員組織 名稱評估 時間僅二級/一級要求：分析客戶對信息系統(tǒng) 安全運維服務(wù)的需求和類型。對客戶進行調(diào)查的記錄，內(nèi)容中應(yīng)有信息系 統(tǒng)安全運維服務(wù)的需求和類型，如應(yīng)用安 全：應(yīng)用系統(tǒng)安全測試、安全監(jiān)控、安全事 件應(yīng)急等。僅二級/一級要求：收集與分析信息系統(tǒng) 的可用性指標。所運維信息系統(tǒng)的可用性指標，如整體指標 或單系統(tǒng)指標等。僅二級/一級要求：分析以往服務(wù)的數(shù) 據(jù)，提取出來

3、未來可自動化的服務(wù)。（監(jiān)審時適用）運維服務(wù)報告，其中應(yīng)對以往安全服務(wù)進行 總結(jié)，對安全事件的解決效率進行分析，適宜時提出未來可自動化的服務(wù)。僅一級要求：內(nèi)部團隊之間的安全運營 級別協(xié)議應(yīng)和與安全運維第一方之間的 服務(wù)級別設(shè)計保持一致。服務(wù)級別協(xié)議中，安全運維第三方之間的服 務(wù)級別設(shè)計與內(nèi)部團隊之間的安全運營級 別協(xié)議應(yīng)一致。僅一級要求：安全組織中要設(shè)定安全領(lǐng) 導小組。安全組織架構(gòu)圖，其中應(yīng)有安全領(lǐng)導小組。準備階段 簽訂服 務(wù)協(xié)議與客戶簽訂服務(wù)協(xié)議， 明確范圍、目標、 時間、內(nèi)容、金額、質(zhì)量和輸出等。項目合同及保密協(xié)議， 合同內(nèi)容應(yīng)至少包含 服務(wù)范圍、目標、時間、內(nèi)容、金額、質(zhì)量 和輸出等。明確

4、安全運維的方式，方式包括但不限 于：駐場值守方式，定期巡檢方式，遠 程值守方式。項目合冋/協(xié)議中應(yīng)有明確的安全運維模 式。僅二級/ 一級要求：簽訂服務(wù)級別協(xié)議。與客戶簽訂的服務(wù)級別協(xié)議，協(xié)議中應(yīng)承諾信息系統(tǒng)核心指標，如：可用性、安全事件 解決率等。方案設(shè)計 階段根據(jù)系統(tǒng)安全運維需求，編制安全運維 服務(wù)方案，明確安全運維服務(wù)時間、服 務(wù)內(nèi)容、服務(wù)方式、服務(wù)期限、服務(wù)人項目服務(wù)方案，內(nèi)容應(yīng)包括條款要求。員、服務(wù)交付物、服務(wù)質(zhì)量管理、服務(wù) 溝通機制、服務(wù)風險管理等方面要求。在安全運維服務(wù)方案中明確健康檢查服 務(wù)的服務(wù)方式、檢查頻次和檢查內(nèi)容。項目服務(wù)方案對健康檢查服務(wù)的服務(wù)方式、 檢杳頻次和檢杳內(nèi)容

5、進行明確。專業(yè)人員負責安全管理的接口。運維項目中由高層指定的、負責安全管理接口的運維管理人員信息。僅二級/一級要求：編制信息系統(tǒng)的可用 性計劃，監(jiān)控可用性事件，報告可用性 執(zhí)行，指導可用性的改進。信息系統(tǒng)可用性計劃；信息系統(tǒng)可用性事件 記錄；信息系統(tǒng)可用性執(zhí)行報告、改進報告。僅二級/一級要求：識別與分析信息系統(tǒng) 運維過程中的歷史數(shù)據(jù)，提出系統(tǒng)運維 的保障策略和解決方案。（監(jiān)審時適用信息系統(tǒng)運維過程中的分析報告，主要分析項目應(yīng)有：歷史數(shù)據(jù)清單的分析報告，內(nèi)容包含運維完成情況、重大事件、重大（失敗） 變更等；基于以往運維數(shù)據(jù)分析結(jié)果提出的 新的運維策略及解決方案。僅二級/一級要求：編制信息系統(tǒng)的安

6、全 基線。信息系統(tǒng)安全基線。僅二級要求：建立信息系統(tǒng)安全配置庫。配置庫信息，其中應(yīng)納入信息系統(tǒng)安全涉及 的配置項，如安全設(shè)備的配置項有安全策 略、管理員賬戶、IP等。僅一級要求：建立信息系統(tǒng)應(yīng)急事件響 應(yīng)機制和恢復(fù)保障。信息系統(tǒng)的應(yīng)急響應(yīng)計劃和恢復(fù)計劃。僅一級要求：編制安全運維項目作業(yè)指 導書。安全運維作業(yè)指導書， 例如：配置核查操作 手冊、常見安全事件處理指南等。僅一級要求：建立應(yīng)急響應(yīng)和災(zāi)難恢復(fù) 機制，形成業(yè)務(wù)連續(xù)性計劃。發(fā)布且通過審批的業(yè)務(wù)連續(xù)性計劃。僅一級要求：在安全運維服務(wù)方案中明 確漏洞管理的工作流程。漏洞管理的方案、流程。運維服務(wù) 實施實施初始服務(wù)，完成資產(chǎn)識別。資產(chǎn)識別表，為I

7、T資產(chǎn)的標識、分級、保 護和軟件配置建立基礎(chǔ)資料檔案；有設(shè)備和系統(tǒng)的種類、型號、功能、物理位置、端口 對應(yīng)情況、部署情況等資產(chǎn)詳細信息。米集信息系統(tǒng)重要資產(chǎn)的安全配置、流 量信息等安全信息。對組織信息系統(tǒng)的安全配置、流量信息等安 全信息進行定期記錄。對安全設(shè)備進行日常維護及監(jiān)控，并記 錄硬件故障。安全設(shè)備的日常維護記錄，包括狀態(tài)檢查、 更新、升級、故障檢測及排除、對安全設(shè)備 出現(xiàn)的硬件故障進行統(tǒng)計的記錄。收集與分析網(wǎng)絡(luò)及安全設(shè)備、服務(wù)器、 數(shù)據(jù)庫、中間件、應(yīng)用系統(tǒng)的日志。進行安全事件審計，應(yīng)有對網(wǎng)絡(luò)及安全設(shè) 備、服務(wù)器、數(shù)據(jù)庫、中間件、應(yīng)用系統(tǒng)日 志的保存記錄與審計分析報告。實施日常巡檢服務(wù)：

8、對用戶的安全設(shè)備、 網(wǎng)絡(luò)設(shè)備、服務(wù)器提供業(yè)務(wù)操作巡檢、 狀態(tài)巡檢、安全策略配置巡檢服務(wù)。日常巡檢記錄，主要針對條款要求內(nèi)容。實施日常安全運維服務(wù)： 完成安全設(shè)備、 網(wǎng)絡(luò)設(shè)備、服務(wù)器、應(yīng)用系統(tǒng)安全事件 監(jiān)控；病毒監(jiān)測、查殺及網(wǎng)絡(luò)防病毒維 護；漏洞掃描、安全加固、補丁安裝； 并有相關(guān)記錄。日常安全運維服務(wù)記錄，主要針對條款要求 內(nèi)容。對信息安全事件進行統(tǒng)計與分析。信息安全事件的統(tǒng)計表，分析報告。實施健康檢查服務(wù)：完成安全設(shè)備、業(yè) 務(wù)系統(tǒng)的健康檢查服務(wù)。安全設(shè)備、業(yè)務(wù)系統(tǒng)的健康檢查服務(wù)記錄， 主要關(guān)注可靠性、可用性、持續(xù)性等。僅二級/一級要求：收集與建立配置管理 數(shù)據(jù)庫，確保配置項目的機密性、完整

9、性、可用性（專職管理）。配置數(shù)據(jù)庫，應(yīng)能初步收集資產(chǎn)與配置項， 并確保配置項目的機密性、完整性、可用性（專職管理），如安全設(shè)備的配置項有安全 策略、管理員賬戶、IP等。僅二級/ 一級要求：實施安全設(shè)備、網(wǎng)絡(luò) 設(shè)備、中間件、數(shù)據(jù)庫、服務(wù)器等資產(chǎn) 的安全配置管理，定期對配置項進行更 新和維護。配置項的更新和維護記錄。僅二級/一級要求：根據(jù)制定的安全配置 基線，定期進行安全配置核查工作。安全配置核查記錄。僅二級/一級要求：實施運維監(jiān)控與分析 并形成記錄。完成對各類安全事件的集中管理和分析，以數(shù)據(jù)來分析各個指標的趨勢，形成相關(guān)記 錄。僅一級要求：實施安全培訓服務(wù)：完成 安全意識、基本安全技術(shù)的培訓服務(wù)。安全培訓服務(wù)記錄。僅一級要求：實施安全通告及漏洞分析 服務(wù)：完成業(yè)界動態(tài)的通告、收集國家 安全政策及法律法規(guī)、漏洞通告、病毒 通告、廠商安全通告及其他安全通告。通告與漏洞分析記錄，內(nèi)容為業(yè)界動態(tài)的通 告、收集國家安全政策及法律法規(guī)、漏洞通告、病毒通告、廠商安全通告及其他安全通 告，以及基