信息系統(tǒng)安全運維服務資質認證自表

1、CCRC-QOT-0434-B/4信息系統(tǒng)安全運維服務資質認證自評估表信息系統(tǒng)安全運維服務資質認證自評估表組織名稱申報級別評估時間評估部門/人員序號要點條款需提供證明材料自評估結論證明材料清單符合不符合1.服務技術要求建立信息系統(tǒng)安全運維服務流程。信息系統(tǒng)安全運維服務流程，流程圖中應包括每個階段對應的職責、輸入輸出等。2.制定信息系統(tǒng)安全運維服務規(guī)范并按照規(guī)范實施。信息系統(tǒng)安全運維服務規(guī)范并按照規(guī)范實施。3.準備階段-需求調研與分析調研客戶信息系統(tǒng)安全現狀，米集客戶安全服務需求與目標，明確客戶對信息系統(tǒng)安全運維服務時間、服務期限、服務內容以及服務方式的需求。針對客戶的調研報告，其中包括對信息系

2、統(tǒng)安全運維服務時間、服務期限、服務內容以及服務方式的需求調研結果。4.進行信息系統(tǒng)運維預算，定義運維服務。信息系統(tǒng)安全運維預算，其中包括運維服務內容、每項服務的工作量、每項服務的人力資源項目經費等。5.與客戶進行溝通，達成共識并形成記錄。與客戶溝通形成的記錄，內容應有對運維服務項目達成共識的體現。第1頁共10頁中國網絡安全審查技術與認證中心制序號要點條款需提供證明材料自評估結論證明材料清單符合不符合6.僅二級/一級要求：分析客戶對信息系統(tǒng)安全運維服務的需求和類型。對客戶進行調查的記錄，內容中應有信息系統(tǒng)安全運維服務的需求和類型，如應用安全：應用系統(tǒng)安全測試、安全監(jiān)控、安全事件應急等。7.僅二級

3、/一級要求：收集與分析信息系統(tǒng)的可用性指標。所運維信息系統(tǒng)的可用性指標，如整體指標或單系統(tǒng)指標等。8.僅二級/一級要求：分析以往服務的數據，提取出來未來可自動化的服務。（監(jiān)審時適用）運維服務報告，其中應對以往安全服務進行總結，對安全事件的解決效率進行分析，適宜時提出未來可自動化的服務。9.僅一級要求：內部團隊之間的安全運營級別協(xié)議應和與安全運維第三方之間的服務級別設計保持一致。服務級別協(xié)議中，安全運維第三方之間的服務級別設計與內部團隊之間的安全運營級別協(xié)議應一致。10.僅一級要求：安全組織中要設定安全領導小組。安全組織架構圖，其中應有安全領導小組。11.準備階段一簽訂服務協(xié)議與客戶簽訂服務協(xié)議

4、，明確范圍、目標、時間、內容、金額、質量和輸出等。項目合同及保密協(xié)議，合同內容應至少包含服務范圍、目標、時間、內容、金額、質里和輸出等。12.明確安全運維的方式，方式包括但不限于：駐場值守方式，定期巡檢方式，遠程值守方式。項目合同/協(xié)議中應有明確的安全運維模式。CCRC-QOT-0434-B/4信息系統(tǒng)安全運維服務資質認證自評估表第2頁共10頁中國網絡安全審查技術與認證中心制序號要點條款需提供證明材料自評估結論證明材料清單符合不符合13.僅二級/一級要求：簽訂服務級別協(xié)議。與客戶簽訂的服務級別協(xié)議，協(xié)議中應承諾信息系統(tǒng)核心指標，如：可用性、安全事件解決率等。14.方茶設計階段根據系統(tǒng)安全運維需

5、求，編制安全運維服務方案，明確安全運維服務時間、服務內容、服務方式、服務期限、服務人員、服務交付物、服務質量管理、服務溝通機制、服務風險管理等方面要求。項目服務方案，內容應包括條款要求。15.在安全運維服務方案中明確健康檢查服務的服務方式、檢查頻次和檢查內容。項目服務方案對健康檢查服務的服務方式、檢查頻次和檢查內容進行明確。16.專業(yè)人員負責安全管理的接口。運維項目中由高層指定的、負責安全管理接口的運維管理人員信息。17.僅二級/一級要求：編制信息系統(tǒng)的可用，住計劃，監(jiān)控可用性事件，報告可用性執(zhí)行，指導可用性的改進。信息系統(tǒng)可用性計劃；信息系統(tǒng)可用性事件記錄；信息系統(tǒng)可用性執(zhí)行報告、改進報告。

6、18.僅二級/一級要求：識別與分析信息系統(tǒng)運維過程中的歷史數據，提出系統(tǒng)運維的保障策略和解決方案。（監(jiān)審信息系統(tǒng)運維過程中的分析報告，主要分析項目應有：歷史數據清單的分析報告，內容包含運維完成情況、重大事件、重大CCRC-QOT-0434-B/4信息系統(tǒng)安全運維服務資質認證自評估表第3頁共10頁中國網絡安全審查技術與認證中心制序號要點條款需提供證明材料自評估結論證明材料清單符合不符合時適用（失敗）變更等；基于以往運維數據分析結果提出的新的運維策略及解決方案。19.僅二級/一級要求：編制信息系統(tǒng)的安全基線。信息系統(tǒng)安全基線。20.僅二級要求：建立信息系統(tǒng)安全配置庫。配置庫信息，其中應納入信息系統(tǒng)

7、安全涉及的配置項，如安全設備的配置項有安全策略、管理員賬戶、IP等。21.僅一級要求：建立信息系統(tǒng)應急事件響應機制和恢復保障。信息系統(tǒng)的應急響應計劃和恢復計劃。22.僅一級要求：編制安全運維項目作業(yè)指導書。安全運維作業(yè)指導書，例如：配置核查操作手冊、常見安全事件處理指南等。23.僅一級要求：建立應急響應和災難恢復機制，形成業(yè)務連續(xù)性計劃。發(fā)布且通過審批的業(yè)務連續(xù)，住計劃。24.僅一級要求：在安全運維服務方案中明確漏洞管理的工作流程。漏洞管理的方案、流程。25.運維服務實施實施初始服務，完成資產識別。資產識別表，為IT資產的標識、分級、保護和軟件配置建立基礎資料檔案；有設備和系統(tǒng)的種類、型號、功

8、能、物理位置、端口對應情況、部署情況等資產詳細信CCRC-QOT-0434-B/4信息系統(tǒng)安全運維服務資質認證自評估表第4頁共10頁中國網絡安全審查技術與認證中心制序號要點條款需提供證明材料自評估結論證明材料清單符合不符合息。26.米集信息系統(tǒng)重要資產的安全配置、流量信息等安全信息。對組織信息系統(tǒng)的安全配置、流量信息等安全信息進行定期記錄。27.對安全設備進行日常維護及監(jiān)控，并記錄硬件故障。安全設備的日常維護記錄，包括狀態(tài)檢查、更新、升級、故障檢測及排除、對安全設備出現的硬件故障進行統(tǒng)計的記錄。28.收集與分析網絡及安全設備、服務器、數據庫、中間件、應用系統(tǒng)的日志。進行安全事件審計，應有對網絡

9、及安全設備、服務器、數據庫、中間件、應用系統(tǒng)日志的保存記錄與審計分析報告。29.實施日常巡檢服務：對用戶的安全設備、網絡設備、服務器提供業(yè)務操作巡檢、狀態(tài)巡檢、安全策略配置巡檢服務。日常巡檢記錄，主要針對條款要求內容。30.實施日常安全運維服務：完成安全設備、網絡設備、服務器、應用系統(tǒng)安全事件監(jiān)控；病毒監(jiān)測、查殺及網絡防病毒維護；漏洞掃描、安全加固、補丁安裝；并后相關記錄。日常安全運維服務記錄，主要針對條款要求內容。31.對信息安全事件進行統(tǒng)計與分析。信息安全事件的統(tǒng)計表，分析報告。CCRC-QOT-0434-B/4信息系統(tǒng)安全運維服務資質認證自評估表第5頁共10頁中國網絡安全審查技術與認證中

10、心制序號要點條款需提供證明材料自評估結論證明材料清單符合不符合32.實施健康檢查服務：完成安全設備、業(yè)務系統(tǒng)的健康檢查服務。安全設備、業(yè)務系統(tǒng)的健康檢查服務記錄，主要關注可靠性、可用性、持續(xù)性等。33.僅二級/一級要求：收集與建立配置管理數據庫，確保配置項目的機密性、完整性、可用性（專職管理）。配置數據庫，應能初步收集資產與配置項，并確保配置項目的機密性、完整性、可用性（專職管理），如安全設備的配置項有安全策略、管理員賬戶、IP等。34.僅二級/一級要求：實施安全設備、網絡設備、中間件、數據庫、服務器等資產的安全配置管理，定期對配置項進行更劫加維護。配置項的更新加維護記錄。35.僅二級/一級要

11、求：根據制定的安全配置基線，定期進行安全配置核查工作。安全配置核查記錄。36.僅二級/一級要求：實施運維監(jiān)控與分析并形成記錄。完成對各類安全事件的集中管理和分析，以數據來分析各個指標的趨勢，形成相關記錄。37.僅一級要求：實施安全培訓服務：完成安全意識、基本安全技術的培訓服務。安全培訓服務記錄。38.僅一級要求：實施安全通告及漏洞分析服務：完成業(yè)界動態(tài)的通告、收集國家安全政策及法律法規(guī)、漏洞通告、通告與漏洞分析記錄，內容為業(yè)界動態(tài)的通告、收集國家安全政策及法律法規(guī)、漏洞通告、病毒通告、廠商安全通告及其他CCRC-QOT-0434-B/4信息系統(tǒng)安全運維服務資質認證自評估表第6頁共10頁中國網絡

12、安全審查技術與認證中心制序號要點條款需提供證明材料自評估結論證明材料清單符合不符合病毒通告、廠商安全通告及其他安全通告。安全通告，以及基于通告進行的分析。39.僅一級要求：實施應急響應服務：完成應急響應預案制定，對應急事件及時響應，并對應急預案進行演練，形成相關記錄。應急響應記錄；應急響應故案，應急演練的記錄。40.僅一級要求：依據運維變更管理程序，對運維實施過程中方案、資源變更進行有效控制，完整記錄變更過程。運維過程中的艾更記錄。41.42.僅一級要求：依據風險評估方案與計劃實施信息系統(tǒng)風險評估；依據滲透測試方案與計劃實施信息系統(tǒng)滲透測試。風險評估記錄與報告；滲透測試報告。43.僅一級要求：

13、依據漏洞管理方案實施信息系統(tǒng)漏洞管理工作。運維服務過程中漏洞的發(fā)現、分析、驗證、跟蹤、修復等過程記錄。44.運維服務報告向客戶提交服務報告，定期收集與報告安全運維實施情況。安全運維的定期服務報告，服務報告應對一段時間內運維服務實現情況進行統(tǒng)計與分析。45.匯總整理全年服務記錄，形成年終安年終安全運維總結報告，對全年的服務情CCRC-QOT-0434-B/4信息系統(tǒng)安全運維服務資質認證自評估表第7頁共10頁中國網絡安全審查技術與認證中心制序號要點條款需提供證明材料自評估結論證明材料清單符合不符合全運維服務總結報告。況進行總結與分析。46.根據合同約定，配合組織項目驗收，出具項目驗收報告。項目驗收

14、報告。47.僅二級/一級要求：應定期收集與分析安全運維的關鍵指標數據，數據包括但不限于：異常報告及時率、異常漏報率、故障隱患發(fā)現率、異常主動發(fā)現率、問題解決率、漏洞掃描覆蓋率、加固設備覆蓋率、安全補丁安裝及時率、安全事件次數。（參照服務合同）運維服務報告，其中的統(tǒng)計分析數據應包括：異常報告及時率、異常漏報率、故障隱患發(fā)現率、異常主動發(fā)現率、問題解決率、漏洞掃描覆蓋率、加固設備覆蓋率、安全補丁安裝及時率、安全事件次數。48.僅二級/一級要求：建立客戶滿意度調查機制。客戶滿意度調查的方式、方法、分析方法等；滿意度調查的實施情況與分析情況。49.僅一級要求：對客戶滿意度進行趨勢分析。客戶滿意度調查報告與趨勢分析報告。50.僅一級要求：對客戶系統(tǒng)的安全態(tài)勢做出分析，并給出安全建議。對客戶系統(tǒng)的安全態(tài)勢分析報告，報告中需給出針對性的安全加固處理建議。51.上一年度提出的觀察項整改情況（如有）52.CCRC-QOT-0434-B/4信息系統(tǒng)安全運維服務資質認證自評估表第8頁共10頁中國網絡安全審查技術與認證中心制序號要點條款需提供證明材料自評估結論證明材料清單符合不符合53.54.上一年度提出的不符合項整改情況（