IT變更管理制度

規(guī)范信息安全方向類的變更行為，降低系統(tǒng)故障風(fēng)險(xiǎn)，保障系統(tǒng)可用性。三三■二.范三三■本制度適用于IT生產(chǎn)環(huán)境中涉及到信息安全類的軟件、硬件、配置等變更或基于規(guī)避信息安全風(fēng)險(xiǎn)原則發(fā)起的其它變更。三、定義㈠變更分級根據(jù)變更緊急程度將變更分為兩類標(biāo)準(zhǔn)變更和緊急變更。變更類型及級別定義詳見附件1（二）虹流程標(biāo)準(zhǔn)變更管理流程詳見附件2，緊急變更管理流程詳見附件3（三）職責(zé)與權(quán)限闡述本制度/流程涉及的部門（角色）職責(zé)與權(quán)限。.如審批人的職責(zé)和權(quán)限對影響較大、風(fēng)險(xiǎn)較高的重要變更進(jìn)行審批。.如審核人的職責(zé)和權(quán)限變更審核人負(fù)責(zé)審核變更實(shí)施方案，決策變更級別，監(jiān)控、管理變更實(shí)施的全過程，并對影響較大、風(fēng)險(xiǎn)較高的重要變更操作，向變更審批人請示。.變更申請人職責(zé)和權(quán)限撰寫變更實(shí)施文檔，確定變更的影響范圍、實(shí)施范圍和預(yù)期結(jié)果，以及變更失敗的回退計(jì)劃。.如實(shí)施人的職責(zé)和權(quán)限嚴(yán)格按照變更描述文檔所述，按時(shí)按序執(zhí)行變更步驟和相應(yīng)驗(yàn)證步驟，如變更步驟失敗則執(zhí)行回退計(jì)劃。在所有變更步驟執(zhí)行完畢后，變更實(shí)施人通知受影響部門和變更審核人。㈠變更準(zhǔn)備.對于標(biāo)準(zhǔn)變更，必須提前1個(gè)工作日提交實(shí)施方案，并通知受影響用戶以及關(guān)聯(lián)系統(tǒng)負(fù)責(zé)人。對變更進(jìn)行分級，如遇變更時(shí)長超過1小時(shí)的的標(biāo)準(zhǔn)變更，需要發(fā)布維護(hù)公告。.重大變更實(shí)施前必須對變更對象相關(guān)配置進(jìn)行備份，并判斷是否需要發(fā)布維護(hù)公告。.變更方案必須通過測試，測試結(jié)果需填寫在變更申請表中（詳見附件4）。（二）變更審批.所有標(biāo)準(zhǔn)變更必須通過流程審批才能實(shí)施。變更申請人對于有固定周期、或低影響的標(biāo)準(zhǔn)變更，可將變更計(jì)劃一次性提交審批。除非變更計(jì)劃發(fā)生改變，否則后續(xù)變更無需再提交申請。.變更審核人必須根據(jù)變更級別定義對變更進(jìn)行分級（詳見附件1），對實(shí)施方案進(jìn)行操作可行性審批。對于重要變更、工作日的標(biāo)準(zhǔn)變更必須提交變更審批人審批。.緊急變更必須由變更審批人批準(zhǔn)，實(shí)施完畢后需補(bǔ)交審批流程。㈢變更實(shí)施.除非特批，關(guān)于信息安全類的變更時(shí)間需控制在每周四19:00至次日8:00期間。.在變更實(shí)施后必須需由相關(guān)人員對影響范圍內(nèi)的應(yīng)用系統(tǒng)進(jìn)行驗(yàn)證。.變更實(shí)施人在變更成功實(shí)施后需通知變更審核人在確認(rèn)實(shí)施成功后方可結(jié)束變更流程。.如遇變更失敗需執(zhí)行回退操作時(shí)，需獲得變更審核人批準(zhǔn)。失敗后需查明原因，并提交相關(guān)文案。五.1附錄附件1變更分類及級別定義.變更分類根據(jù)變更的緊急程度將變更類型劃分為標(biāo)準(zhǔn)變更和緊急變更，具體定義見下表:序號變更類型類型描述1標(biāo)準(zhǔn)變更提前計(jì)劃且需通過審批的才能實(shí)施的變更。例如：硬件設(shè)備更換、防火墻策略更改等。2緊急變更在變更計(jì)劃之外，為應(yīng)對突發(fā)的緊急情況必須立即執(zhí)行的變更。例如：系統(tǒng)重大故障。.變更級別定義根據(jù)變更影響程度對變更進(jìn)行級別劃分，具體定義見下表:序號級別級別描述1重要滿足下列條件之一即可認(rèn)為是"重要：1）影響公司核心業(yè)務(wù)；2）系統(tǒng)需停機(jī)時(shí)間超過1小時(shí)；3）實(shí)施風(fēng)險(xiǎn)較大，易造成數(shù)據(jù)丟失，例如丟失當(dāng)天業(yè)務(wù)數(shù)據(jù)。2一般1）系統(tǒng)部分組件或集群部分主機(jī)不能提供服務(wù)，例如Web集群WEB01服務(wù)器停機(jī)維護(hù)；2）停機(jī)時(shí)間不超過1小時(shí)；3）回退方式簡單，不會(huì)影響業(yè)務(wù)數(shù)據(jù)。附件2標(biāo)準(zhǔn)變更管理流程標(biāo)準(zhǔn)變更管理流程流程流程節(jié)點(diǎn)說明流程流程節(jié)點(diǎn)說明變更申請?zhí)峤蛔兏暾堊兏暾埍?變更申請者在提交變更前應(yīng)事先與變更系統(tǒng)負(fù):人進(jìn)行溝通，確定變更方案，如有條件，需對其:行測試后再提交變更申請表。變更申請表必須完1填寫（見附表一），必須明確計(jì)劃變更時(shí)間，變!時(shí)間，變更方案，測試記錄，回退方案，驗(yàn)證方案，配置修改項(xiàng)。變更審批變更計(jì)劃與變方案核實(shí).變更審核人檢查變更申請單是否填寫完整，描述是否準(zhǔn)確清晰，評估該變更是否必須實(shí)施。.變更審核人對變更級別進(jìn)行判斷，如為重要變更需提交給變更審批人進(jìn)行審批。.變更實(shí)施人對變更方案，變更計(jì)劃進(jìn)行核實(shí),組織協(xié)調(diào)變更所需的各類資源。通知用戶及關(guān)系統(tǒng)負(fù)責(zé)人.變更計(jì)劃通過審批后變更審核人應(yīng)提前通知用戶以及關(guān)聯(lián)系統(tǒng)負(fù)責(zé)人。變更申請?zhí)峤蛔兏暾堊兏暾埍?變更申請者在提交變更前應(yīng)事先與變更系統(tǒng)負(fù):人進(jìn)行溝通，確定變更方案，如有條件，需對其:行測試后再提交變更申請表。變更申請表必須完1填寫（見附表一），必須明確計(jì)劃變更時(shí)間，變!時(shí)間，變更方案，測試記錄，回退方案，驗(yàn)證方案，配置修改項(xiàng)。變更審批變更計(jì)劃與變方案核實(shí).變更審核人檢查變更申請單是否填寫完整，描述是否準(zhǔn)確清晰，評估該變更是否必須實(shí)施。.變更審核人對變更級別進(jìn)行判斷，如為重要變更需提交給變更審批人進(jìn)行審批。.變更實(shí)施人對變更方案，變更計(jì)劃進(jìn)行核實(shí),組織協(xié)調(diào)變更所需的各類資源。通知用戶及關(guān)系統(tǒng)負(fù)責(zé)人.變更計(jì)劃通過審批后變更審核人應(yīng)提前通知用戶以及關(guān)聯(lián)系統(tǒng)負(fù)責(zé)人。變更前備份.變更實(shí)施人在實(shí)施變更前需對變更對象實(shí)施備份。變更實(shí)施.變更實(shí)施人需按變更方案實(shí)施變更。變更實(shí)施■■■ 否驗(yàn)證變更是否成功？..執(zhí)行回退.變更實(shí)施■■■ 否驗(yàn)證變更是否成功？..執(zhí)行回退.變更實(shí)施人在實(shí)施變更后需驗(yàn)證系統(tǒng)是否正常、并觀察確認(rèn)。如果變更失敗在獲得變更審核人或變更審批人同意后立即回退。確認(rèn)配置更新

結(jié)果.變更實(shí)施完畢后變更實(shí)施人需更新有關(guān)配置信息，并確認(rèn)更新結(jié)果。結(jié)束

結(jié)束附件3緊急變更管理流程緊急變更管理流程流程流程節(jié)點(diǎn)說明變更準(zhǔn)備變更執(zhí)行變更實(shí)施.故障處理人員制定緊急變更方案，并請示變更審核人批準(zhǔn)。.變更審核人組織各方對方案可行性進(jìn)行評估。.變更審核人對變更級別進(jìn)行判斷，如為重要變更，需請示變更審批人。.變更審批人對變更進(jìn)行審批。.附件3緊急變更管理流程緊急變更管理流程流程流程節(jié)點(diǎn)說明變更準(zhǔn)備變更執(zhí)行變更實(shí)施.故障處理人員制定緊急變更方案，并請示變更審核人批準(zhǔn)。.變更審核人組織各方對方案可行性進(jìn)行評估。.變更審核人對變更級別進(jìn)行判斷，如為重要變更，需請示變更審批人。.變更審批人對變更進(jìn)行審批。.變更實(shí)施人立即依據(jù)商定方案實(shí)施變更。.變更實(shí)施后變更實(shí)施人需對系統(tǒng)進(jìn)行驗(yàn)證。補(bǔ)交變更申請.變更審核人對申請進(jìn)行審批，檢查申請表填寫是否完整，是否與實(shí)際情況吻

附件4變更申請表變更申請表變更項(xiàng)目名稱變更審核人變更申請人批準(zhǔn)日期變更實(shí)施人計(jì)劃變更時(shí)間變更類別□標(biāo)準(zhǔn) □緊急變更級別□一般 □重要變更實(shí)施對象：□應(yīng)用系統(tǒng)應(yīng)用系統(tǒng)