變更管理系統(tǒng)規(guī)章地制度

1、一、目的規(guī)范信息安全方向類的變更行為，降低系統(tǒng)故障風(fēng)險，保障系統(tǒng)可用性。二、范圍本制度適用于IT生產(chǎn)環(huán)境中涉及到信息安全類的軟件、硬件、配置等變更或基于規(guī)避信息安全風(fēng) 險原則發(fā)起的其它變更。三、定義（一）變更分級根據(jù)變更緊急程度將變更分為兩類：標(biāo)準(zhǔn)變更和緊急變更。變更類型及級別定義詳見附件1（二）變更流程標(biāo)準(zhǔn)變更管理流程詳見 附件2 ,緊急變更管理流程詳見 附件3。（三）職責(zé)與權(quán)限闡述本制度/流程涉及的部門（角色）職責(zé)與權(quán)限。1. 變更審批人的職責(zé)和權(quán)限對影響較大、風(fēng)險較高的重要變更進行審批。2. 變更審核人的職責(zé)和權(quán)限變更審核人負責(zé)審核變更實施方案，決策變更級別，監(jiān)控、管理變更實施的全過程，

2、并對影 響較大、風(fēng)險較高的重要變更操作，向變更審批人請示。3. 變更申請人職責(zé)和權(quán)限撰寫變更實施文檔，確定變更的影響范圍、實施范圍和預(yù)期結(jié)果，以及變更失敗的回退計劃。4. 變更實施人的職責(zé)和權(quán)限嚴(yán)格按照變更描述文檔所述，按時按序執(zhí)行變更步驟和相應(yīng)驗證步驟，如變更步驟失敗則執(zhí) 行回退計劃。在所有變更步驟執(zhí)行完畢后，變更實施人通知受影響部門和變更審核人。四、要求（一）變更準(zhǔn)備1. 對于標(biāo)準(zhǔn)變更，必須提前 1個工作日提交實施方案，并通知受影響用戶以及關(guān)聯(lián)系統(tǒng)負責(zé)人。對變更進行分級，如遇變更時長超過1小時的的標(biāo)準(zhǔn)變更，需要發(fā)布維護公告。2. 重大變更實施前必須對變更對象相關(guān)配置進行備份，并判斷是否需要

3、發(fā)布維護公告。3. 變更方案必須通過測試，測試結(jié)果需填寫在變更申請表中（ 詳見附件4）。（二）變更審批1. 所有標(biāo)準(zhǔn)變更必須通過流程審批才能實施。變更申請人對于有固定周期、或低影響的標(biāo) 準(zhǔn)變更，可將變更計劃一次性提交審批。除非變更計劃發(fā)生改變，否則后續(xù)變更無需再 提交申請。2. 變更審核人必須根據(jù)變更級別定義對變更進行分級（詳見附件1），對實施方案進行操作可行性審批。對于重要變更、工作日的標(biāo)準(zhǔn)變更必須提交變更審批人審批。3. 緊急變更必須由變更審批人批準(zhǔn)，實施完畢后需補交審批流程。（三）變更實施1. 除非特批，關(guān)于信息安全類的變更時間需控制在每周四19:00至次日8:00期間。2. 在變更實施

4、后必須需由相關(guān)人員對影響范圍內(nèi)的應(yīng)用系統(tǒng)進行驗證。3. 變更實施人在變更成功實施后需通知變更審核人，在確認(rèn)實施成功后方可結(jié)束變更流程。4. 如遇變更失敗需執(zhí)行回退操作時，需獲得變更審核人批準(zhǔn)。失敗后需查明原因，并提交 相關(guān)文案。五、附錄附件1變更分類及級別定義1. 變更分類根據(jù)變更的緊急程度將變更類型劃分為標(biāo)準(zhǔn)變更和緊急變更，具體定義見下表:序號變更類型類型描述1標(biāo)準(zhǔn)變更提前計劃且需通過審批的才能實施的變更。例如：硬件設(shè)備更換、 防火墻策略更改等。2緊急變更在變更計劃之外，為應(yīng)對突發(fā)的緊急情況必須立即執(zhí)行的變更。例 女口：系統(tǒng)重大故障。2. 變更級別定義根據(jù)變更影響程度對變更進行級別劃分，具體

5、定義見下表:序號級別級別描述1重要滿足下列條件之一即可認(rèn)為是“重要”：1）影響公司核心業(yè)務(wù)；2）系統(tǒng)需停機時間超過 1小時；3）實施風(fēng)險較大，易造成數(shù)據(jù)丟失，例如丟失當(dāng)天業(yè)務(wù)數(shù)據(jù)。2一般1）系統(tǒng)部分組件或集群部分主機不能提供服務(wù)，例如Web集群WEB01服務(wù)器停機維護；2）停機時間不超過1小時；3）回退方式簡單，不會影響業(yè)務(wù)數(shù)據(jù)。附件2標(biāo)準(zhǔn)變更管理流程標(biāo)準(zhǔn)變更管理流程流程流程節(jié)點說明變更申請通過1.變更申請者在提交變更前應(yīng)事先與變更系統(tǒng)負責(zé) 人進行溝通，確定變更方案，如有條件，需對其進 行測試后再提交變更申請表。變更申請表必須完整 填寫（見附表一），必須明確計劃變更時間，變更 時間，變更方案，

6、測試記錄，回退方案，驗證方 案，配置修改項。2.變更審核人檢查變更申請單是否填寫完整，描 述是否準(zhǔn)確清晰，評估該變更是否必須實施。變更審批變更實施重要變更級別變更計劃與變更 方案核實1通知用戶及關(guān)聯(lián) 系統(tǒng)負責(zé)人1變更前備份1r變更實施一般不通過通過變更審批人是確認(rèn)配置更新 結(jié)果3.變更審核人對變更級別進行判斷，如為重要變 更需提交給變更審批人進行審批。4.變更實施人對變更方案，變更計劃進行核實, 組織協(xié)調(diào)變更所需的各類資源。5.變更計劃通過審批后變更審核人應(yīng)提前通知用 戶以及關(guān)聯(lián)系統(tǒng)負責(zé)人。6.變更實施人在實施變更前需對變更對象實施備 份。7.變更實施人需按變更方案實施變更。8.變更實施人在實

7、施變更后需驗證系統(tǒng)是否正 常、并觀察確認(rèn)。如果變更失敗在獲得變更審 核人或變更審批人同意后立即回退。9.變更實施完畢后變更實施人需更新有關(guān)配置 信息，并確認(rèn)更新結(jié)果。附件3緊急變更管理流程緊急變更管理流程流程流程節(jié)點說明變更執(zhí)行. 開始 .制定變更方案不通過變更審核人通過一般1.故障處理人員制定緊急變更方案，并 請示變更審核人批準(zhǔn)。2.變更審核人組織各方對方案可行性進 行評估。3.變更審核人對變更級別進行判斷，如 為重要變更，需請示變更審批人。變更級別變更實施4.變更審批人對變更進行審批5.變更實施人立即依據(jù)商定方案實施變 更。6.變更實施后變更實施人需對系統(tǒng)進行 驗證。7.變更完成后，變更實施人需按變更申 請表補交變更申請。8.變更審核人對申請進行審批，檢查申 請表填寫是否完整，是否與實際情況吻 合。附件4變更申請表變更申請表變更項目名稱變更審核人變更申請人批準(zhǔn)日期變更實施人計劃變更時間變更類別標(biāo)準(zhǔn)緊急變更級別一般重要變更實施對象：應(yīng)用系統(tǒng)應(yīng)用系統(tǒng)名稱：