變更管理系統(tǒng)規(guī)章地制度

1、一、目的規(guī)范信息安全方向類的變更行為，降低系統(tǒng)故障風(fēng)險(xiǎn)，保障系統(tǒng)可用性。二、范圍本制度適用于IT生產(chǎn)環(huán)境中涉及到信息安全類的軟件、硬件、配置等變更或基于規(guī)避信息安全風(fēng) 險(xiǎn)原則發(fā)起的其它變更。三、定義（一）變更分級(jí)根據(jù)變更緊急程度將變更分為兩類：標(biāo)準(zhǔn)變更和緊急變更。變更類型及級(jí)別定義詳見(jiàn)附件1（二）變更流程標(biāo)準(zhǔn)變更管理流程詳見(jiàn) 附件2 ,緊急變更管理流程詳見(jiàn) 附件3。（三）職責(zé)與權(quán)限闡述本制度/流程涉及的部門（角色）職責(zé)與權(quán)限。1. 變更審批人的職責(zé)和權(quán)限對(duì)影響較大、風(fēng)險(xiǎn)較高的重要變更進(jìn)行審批。2. 變更審核人的職責(zé)和權(quán)限變更審核人負(fù)責(zé)審核變更實(shí)施方案，決策變更級(jí)別，監(jiān)控、管理變更實(shí)施的全過(guò)程，

2、并對(duì)影 響較大、風(fēng)險(xiǎn)較高的重要變更操作，向變更審批人請(qǐng)示。3. 變更申請(qǐng)人職責(zé)和權(quán)限撰寫變更實(shí)施文檔，確定變更的影響范圍、實(shí)施范圍和預(yù)期結(jié)果，以及變更失敗的回退計(jì)劃。4. 變更實(shí)施人的職責(zé)和權(quán)限嚴(yán)格按照變更描述文檔所述，按時(shí)按序執(zhí)行變更步驟和相應(yīng)驗(yàn)證步驟，如變更步驟失敗則執(zhí) 行回退計(jì)劃。在所有變更步驟執(zhí)行完畢后，變更實(shí)施人通知受影響部門和變更審核人。四、要求（一）變更準(zhǔn)備1. 對(duì)于標(biāo)準(zhǔn)變更，必須提前 1個(gè)工作日提交實(shí)施方案，并通知受影響用戶以及關(guān)聯(lián)系統(tǒng)負(fù)責(zé)人。對(duì)變更進(jìn)行分級(jí)，如遇變更時(shí)長(zhǎng)超過(guò)1小時(shí)的的標(biāo)準(zhǔn)變更，需要發(fā)布維護(hù)公告。2. 重大變更實(shí)施前必須對(duì)變更對(duì)象相關(guān)配置進(jìn)行備份，并判斷是否需要

3、發(fā)布維護(hù)公告。3. 變更方案必須通過(guò)測(cè)試，測(cè)試結(jié)果需填寫在變更申請(qǐng)表中（ 詳見(jiàn)附件4）。（二）變更審批1. 所有標(biāo)準(zhǔn)變更必須通過(guò)流程審批才能實(shí)施。變更申請(qǐng)人對(duì)于有固定周期、或低影響的標(biāo) 準(zhǔn)變更，可將變更計(jì)劃一次性提交審批。除非變更計(jì)劃發(fā)生改變，否則后續(xù)變更無(wú)需再 提交申請(qǐng)。2. 變更審核人必須根據(jù)變更級(jí)別定義對(duì)變更進(jìn)行分級(jí)（詳見(jiàn)附件1），對(duì)實(shí)施方案進(jìn)行操作可行性審批。對(duì)于重要變更、工作日的標(biāo)準(zhǔn)變更必須提交變更審批人審批。3. 緊急變更必須由變更審批人批準(zhǔn)，實(shí)施完畢后需補(bǔ)交審批流程。（三）變更實(shí)施1. 除非特批，關(guān)于信息安全類的變更時(shí)間需控制在每周四19:00至次日8:00期間。2. 在變更實(shí)施

4、后必須需由相關(guān)人員對(duì)影響范圍內(nèi)的應(yīng)用系統(tǒng)進(jìn)行驗(yàn)證。3. 變更實(shí)施人在變更成功實(shí)施后需通知變更審核人，在確認(rèn)實(shí)施成功后方可結(jié)束變更流程。4. 如遇變更失敗需執(zhí)行回退操作時(shí)，需獲得變更審核人批準(zhǔn)。失敗后需查明原因，并提交 相關(guān)文案。五、附錄附件1變更分類及級(jí)別定義1. 變更分類根據(jù)變更的緊急程度將變更類型劃分為標(biāo)準(zhǔn)變更和緊急變更，具體定義見(jiàn)下表:序號(hào)變更類型類型描述1標(biāo)準(zhǔn)變更提前計(jì)劃且需通過(guò)審批的才能實(shí)施的變更。例如：硬件設(shè)備更換、 防火墻策略更改等。2緊急變更在變更計(jì)劃之外，為應(yīng)對(duì)突發(fā)的緊急情況必須立即執(zhí)行的變更。例 女口：系統(tǒng)重大故障。2. 變更級(jí)別定義根據(jù)變更影響程度對(duì)變更進(jìn)行級(jí)別劃分，具體

5、定義見(jiàn)下表:序號(hào)級(jí)別級(jí)別描述1重要滿足下列條件之一即可認(rèn)為是“重要”：1）影響公司核心業(yè)務(wù)；2）系統(tǒng)需停機(jī)時(shí)間超過(guò) 1小時(shí)；3）實(shí)施風(fēng)險(xiǎn)較大，易造成數(shù)據(jù)丟失，例如丟失當(dāng)天業(yè)務(wù)數(shù)據(jù)。2一般1）系統(tǒng)部分組件或集群部分主機(jī)不能提供服務(wù)，例如Web集群WEB01服務(wù)器停機(jī)維護(hù)；2）停機(jī)時(shí)間不超過(guò)1小時(shí)；3）回退方式簡(jiǎn)單，不會(huì)影響業(yè)務(wù)數(shù)據(jù)。附件2標(biāo)準(zhǔn)變更管理流程標(biāo)準(zhǔn)變更管理流程流程流程節(jié)點(diǎn)說(shuō)明變更申請(qǐng)通過(guò)1.變更申請(qǐng)者在提交變更前應(yīng)事先與變更系統(tǒng)負(fù)責(zé) 人進(jìn)行溝通，確定變更方案，如有條件，需對(duì)其進(jìn) 行測(cè)試后再提交變更申請(qǐng)表。變更申請(qǐng)表必須完整 填寫（見(jiàn)附表一），必須明確計(jì)劃變更時(shí)間，變更 時(shí)間，變更方案，

6、測(cè)試記錄，回退方案，驗(yàn)證方 案，配置修改項(xiàng)。2.變更審核人檢查變更申請(qǐng)單是否填寫完整，描 述是否準(zhǔn)確清晰，評(píng)估該變更是否必須實(shí)施。變更審批變更實(shí)施重要變更級(jí)別變更計(jì)劃與變更 方案核實(shí)1通知用戶及關(guān)聯(lián) 系統(tǒng)負(fù)責(zé)人1變更前備份1r變更實(shí)施一般不通過(guò)通過(guò)變更審批人是確認(rèn)配置更新 結(jié)果3.變更審核人對(duì)變更級(jí)別進(jìn)行判斷，如為重要變 更需提交給變更審批人進(jìn)行審批。4.變更實(shí)施人對(duì)變更方案，變更計(jì)劃進(jìn)行核實(shí), 組織協(xié)調(diào)變更所需的各類資源。5.變更計(jì)劃通過(guò)審批后變更審核人應(yīng)提前通知用 戶以及關(guān)聯(lián)系統(tǒng)負(fù)責(zé)人。6.變更實(shí)施人在實(shí)施變更前需對(duì)變更對(duì)象實(shí)施備 份。7.變更實(shí)施人需按變更方案實(shí)施變更。8.變更實(shí)施人在實(shí)

7、施變更后需驗(yàn)證系統(tǒng)是否正 常、并觀察確認(rèn)。如果變更失敗在獲得變更審 核人或變更審批人同意后立即回退。9.變更實(shí)施完畢后變更實(shí)施人需更新有關(guān)配置 信息，并確認(rèn)更新結(jié)果。附件3緊急變更管理流程緊急變更管理流程流程流程節(jié)點(diǎn)說(shuō)明變更執(zhí)行. 開(kāi)始 .制定變更方案不通過(guò)變更審核人通過(guò)一般1.故障處理人員制定緊急變更方案，并 請(qǐng)示變更審核人批準(zhǔn)。2.變更審核人組織各方對(duì)方案可行性進(jìn) 行評(píng)估。3.變更審核人對(duì)變更級(jí)別進(jìn)行判斷，如 為重要變更，需請(qǐng)示變更審批人。變更級(jí)別變更實(shí)施4.變更審批人對(duì)變更進(jìn)行審批5.變更實(shí)施人立即依據(jù)商定方案實(shí)施變 更。6.變更實(shí)施后變更實(shí)施人需對(duì)系統(tǒng)進(jìn)行 驗(yàn)證。7.變更完成后，變更實(shí)施人需按變更申 請(qǐng)表補(bǔ)交變更申請(qǐng)。8.變更審核人對(duì)申請(qǐng)進(jìn)行審批，檢查申 請(qǐng)表填寫是否完整，是否與實(shí)際情況吻 合。附件4變更申請(qǐng)表變更申請(qǐng)表變更項(xiàng)目名稱變更審核人變更申請(qǐng)人批準(zhǔn)日期變更實(shí)施人計(jì)劃變更時(shí)間變更類別標(biāo)準(zhǔn)緊急變更級(jí)別一般重要變更實(shí)施對(duì)象：應(yīng)用系統(tǒng)應(yīng)用系統(tǒng)名稱：