軟件和補丁升級管理新規(guī)制度

密級：文檔編號：軟件和補丁升級管理制度中國電信云南企業(yè)運行維護部二〇一十二個月八月文檔信息文檔名稱文檔密級文檔編號確定人確定時間審核人審核時間同意人批按時間版本控制版本號日期參與人員更新說明分發(fā)控制編號讀者文檔權限和文檔關鍵關系1存檔、讀取本文檔存檔2讀取必需根據本文檔要求進行管理和使用34概述為確保云南電信運行維護部全部計算機系統(tǒng)（包含主機服務器、存放、網絡設備、通信設備、個人計算機、系統(tǒng)軟件、應用軟件等）正常運行，需要立即更新計算機系統(tǒng)軟件補丁，特制訂本制度。適用范圍：適適用于云南電信運行維護部所轄范圍系統(tǒng)。跟進和更新系統(tǒng)管理員負責跟進各產品安全漏洞信息和產品廠商公布安全更新補丁信息。安全補丁依據其對應漏洞嚴重程度分為三個等級：緊急補丁、關鍵補丁和通常補丁；緊急補丁必需在15天內完成加載，關鍵補丁必需在30天內完成加載，通常補丁要求3個月內完整加載。系統(tǒng)管理員分別經主管領導同意后采取公告和郵件形式向相關業(yè)務系統(tǒng)管理員和分企業(yè)信息系統(tǒng)管理部門通告安全補丁信息。獲取系統(tǒng)管理員負責從正式渠道獲取軟件及安全補丁，正式渠道包含集團企業(yè)下發(fā)、產品廠商提供或從產品廠商網站下載安全補丁。系統(tǒng)管理員負責對安全補丁進行完整性校驗，確保獲取安全補丁軟件未被修改和可用。測試軟件及補丁升級加載之前必需經過嚴格測試，嚴禁未經測試直接在生產系統(tǒng)上加載。加載經上級信息系統(tǒng)管理部門測試后下發(fā)補丁能夠不做測試。補丁測試方法有兩種：試驗機測試和現(xiàn)網測試。試驗機測試必需進行，試驗機配置環(huán)境需要和現(xiàn)網環(huán)境盡可能一致，并考慮差異性帶來風險；條件許可情況下（如有測試設備或備機）能夠進行現(xiàn)網測試。補丁測試內容包含安裝測試、功效性測試、兼容性測試和回退測試：安裝測試關鍵測試補丁安裝過程是否正確無誤，補丁安裝后系統(tǒng)是否正常運行。功效性測試關鍵測試補丁是否對安全漏洞進行了修補。兼容性測試關鍵測試補丁加載后是否對應用系統(tǒng)帶來影響，業(yè)務是否能夠正常運行?；赝藴y試關鍵包含補丁卸載測試、系統(tǒng)還原測試。補丁測試工作由系統(tǒng)集成商或系統(tǒng)管理員負責實施。必需對補丁現(xiàn)場測試和現(xiàn)網測試限定時間，測試完成后需要編寫具體測試匯報，給出明確測試結論。系統(tǒng)管理員需要把《補丁測試匯報》提交部門主管領導進行審核，審核經過后能夠進行補丁加載和公布。為確保系統(tǒng)集成商立即配合補丁測試和安裝工作，需要經過協(xié)議方法，明確集成商安全補丁測試和安裝責任，約束條款最少應包含：試驗機測試環(huán)境構建，在要求時間內完成補丁測試，補丁加載，補丁加載失敗時測試和分析，補丁和應用沖突時系統(tǒng)改造和升級等工作。安裝軟件補丁安裝前，系統(tǒng)管理員依據需要給出應急方法提議，比如經過加強訪問控制、臨時關閉服務、加強安全審計等應急方法來加強網絡安全，各相關業(yè)務系統(tǒng)依據提議采取合適防護方法，并加強對系統(tǒng)監(jiān)控，立即發(fā)覺和匯報安全事件。補丁加載前，必需向主管領導提交《安全補丁測試匯報》、《安全補丁安裝計劃和實施方案》、《安全補丁回退實施方案》，經審批經過后按計劃實施，審批周期應限制在2個工作日內，并盡可能縮短。在補丁安裝前，必需做好數(shù)據備份工作，確保任何操作全部可回退，在抵達回退時間補丁加載沒有完成時，開啟回退操作，確保業(yè)務正常運行。補丁加載必需安排在業(yè)務比較空閑時間進行，對補丁加載操作過程必需具體統(tǒng)計。同時必需維護已成功加載設備、未加載設備及加載失敗設備清單。關鍵業(yè)務主機補丁加載提議要求廠商工程師現(xiàn)場支持。驗證補丁安裝完成后，業(yè)務系統(tǒng)管理員必需查看系統(tǒng)信息，確保安全補丁已經成功加載。必需對加載補丁后系統(tǒng)