網(wǎng)絡安全第三方服務管理規(guī)定

1、網(wǎng)絡安全第三方服務管理規(guī)定1. 目的和范圍對第三方提供的服務進行規(guī)范，減少由于服務不規(guī)范帶來的信息安全方面的風險。2. 引用文件(1) 下列文件中的條款通過本規(guī)定的引用而成為本規(guī)定的條款。凡是注日期的引用文件，其隨后所有的修改單(不包括勘誤的內(nèi)容)或修訂版均不適用于本標準，然而，鼓勵各部門研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本標準。(2) ISO/IEC27001:2005 信息技術-安全技術-信息安全管理體系要求(3) ISO/IEC27002:2005 信息技術-安全技術-信息安全管理實施細則3. 職責和權限(1) 技術部：是信息安全方面的第三方服務的

2、歸口管理部門，負責對信息安全方面的第三方服務的定期監(jiān)控和評審。(2) 技術部：是日常行政管理方面的第三方服務的歸口管理部門，負責對行政方面的第三方服務的定期監(jiān)控和評審。負責第三方服務合同中條款的審核。4. 第三方服務管理規(guī)定(1) 技術部匯總各部門的資產(chǎn)識別表，整理出公司的第三方服務匯總表，明確需要按本規(guī)定進行管理的第三方服務項目和其中重要的第三方服務。(2) 將設備、網(wǎng)絡、系統(tǒng)、軟件、信息安全、保安、保潔等事項進行外包時，重要的第三方服務必須簽訂要與第三方服務提供方簽署服務合同，能接觸到公司敏感信息資產(chǎn)的服務項目的服務合同中應包含第三方保密要求的內(nèi)容。(3) 所有的第三方服務的提供方需提供服

3、務人員的姓名、 聯(lián)系方式等信息，技術部匯總第三方服務廠商聯(lián)系表(4) 重要的第三方服務人員服務時相關的原始服務單據(jù)由歸口管理部門負責驗收簽字并保存好相關服務記錄。(5) 對服務提供方技術人員在現(xiàn)場處理需要設備入網(wǎng)時，必須經(jīng)技術部門領導同意后方可入網(wǎng)。(6) 對第三方提供服務的能力進行評定，必要時通過招投標，確定合格第三方。(7) 要確保第三方保持充分的提供服務的能力，即便發(fā)生重大的服務故障或災難也能保持服務的連貫性。(8) 每次第三方服務完成時指定專人按照服務合同要求對服務內(nèi)容和質(zhì)量進行記錄和評審，并在相關服務原始記錄中作好驗收簽字確認。(9) 第三方服務歸口管理部門應每年對服務提供商進行定期

4、評審，以確認是否繼續(xù)列為合格服務商。(10) 當服務提供方發(fā)生變更時，進行服務提供方變更登記，并進行服務、現(xiàn)有狀態(tài)的評估。對變更后的服務提供方進行服務評估。5. 實施策略(1) 第三方服務管理規(guī)定中涉及的第三方服務管理總表 包括第三方服務匯總表、 第三方服務廠商聯(lián)系表共 2 個表單。(2) 技術部整理出公司的第三方服務匯總表(3) 重要的第三方服務必須簽訂要與第三方服務提供方簽署服務合同, 能接觸到公司敏感信息資產(chǎn)的服務項目的服務合同中應包含第三方保密要求的內(nèi)容。(4) 技術部匯總第三方服務廠商聯(lián)系表。(5) 第三方服務歸口管理部門應每年對服務提供商進行定期評審, 必要時調(diào)整服務供方.(6) . 相關記錄本程序發(fā)生的記錄匯總表表1-1 ISMS文件日常應用格式匯總表號記錄編p記錄名稱保管 場所保存 期限保存形 式備注表A.1ISMS-3014