1、CCRC-QOT-0434-B/4信息系統(tǒng)安全運(yùn)維服務(wù)資質(zhì)認(rèn)證自評估表信息系統(tǒng)安全運(yùn)維服務(wù)資質(zhì)認(rèn)證自評估表組織名稱申報(bào)級別評估時(shí)間評估部門/人員序號要點(diǎn)條款需提供證明材料自評估結(jié)論證明材料清單符合不符合1.服務(wù)技術(shù)要求建立信息系統(tǒng)安全運(yùn)維服務(wù)流程。信息系統(tǒng)安全運(yùn)維服務(wù)流程，流程圖中應(yīng)包括每個(gè)階段對應(yīng)的職責(zé)、輸入輸出等。2.制定信息系統(tǒng)安全運(yùn)維服務(wù)規(guī)范并按照規(guī)范實(shí)施。信息系統(tǒng)安全運(yùn)維服務(wù)規(guī)范并按照規(guī)范實(shí)施。3.準(zhǔn)備階段-需求調(diào)研與分析調(diào)研客戶信息系統(tǒng)安全現(xiàn)狀，米集客戶安全服務(wù)需求與目標(biāo)，明確客戶對信息系統(tǒng)安全運(yùn)維服務(wù)時(shí)間、服務(wù)期限、服務(wù)內(nèi)容以及服務(wù)方式的需求。針對客戶的調(diào)研報(bào)告，其中包括對信息系

2、統(tǒng)安全運(yùn)維服務(wù)時(shí)間、服務(wù)期限、服務(wù)內(nèi)容以及服務(wù)方式的需求調(diào)研結(jié)果。4.進(jìn)行信息系統(tǒng)運(yùn)維預(yù)算，定義運(yùn)維服務(wù)。信息系統(tǒng)安全運(yùn)維預(yù)算，其中包括運(yùn)維服務(wù)內(nèi)容、每項(xiàng)服務(wù)的工作量、每項(xiàng)服務(wù)的人力資源項(xiàng)目經(jīng)費(fèi)等。5.與客戶進(jìn)行溝通，達(dá)成共識并形成記錄。與客戶溝通形成的記錄，內(nèi)容應(yīng)有對運(yùn)維服務(wù)項(xiàng)目達(dá)成共識的體現(xiàn)。第1頁共10頁中國網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心制序號要點(diǎn)條款需提供證明材料自評估結(jié)論證明材料清單符合不符合6.僅二級/一級要求：分析客戶對信息系統(tǒng)安全運(yùn)維服務(wù)的需求和類型。對客戶進(jìn)行調(diào)查的記錄，內(nèi)容中應(yīng)有信息系統(tǒng)安全運(yùn)維服務(wù)的需求和類型，如應(yīng)用安全：應(yīng)用系統(tǒng)安全測試、安全監(jiān)控、安全事件應(yīng)急等。7.僅二級

3、/一級要求：收集與分析信息系統(tǒng)的可用性指標(biāo)。所運(yùn)維信息系統(tǒng)的可用性指標(biāo)，如整體指標(biāo)或單系統(tǒng)指標(biāo)等。8.僅二級/一級要求：分析以往服務(wù)的數(shù)據(jù)，提取出來未來可自動(dòng)化的服務(wù)。（監(jiān)審時(shí)適用）運(yùn)維服務(wù)報(bào)告，其中應(yīng)對以往安全服務(wù)進(jìn)行總結(jié)，對安全事件的解決效率進(jìn)行分析，適宜時(shí)提出未來可自動(dòng)化的服務(wù)。9.僅一級要求：內(nèi)部團(tuán)隊(duì)之間的安全運(yùn)營級別協(xié)議應(yīng)和與安全運(yùn)維第三方之間的服務(wù)級別設(shè)計(jì)保持一致。服務(wù)級別協(xié)議中，安全運(yùn)維第三方之間的服務(wù)級別設(shè)計(jì)與內(nèi)部團(tuán)隊(duì)之間的安全運(yùn)營級別協(xié)議應(yīng)一致。10.僅一級要求：安全組織中要設(shè)定安全領(lǐng)導(dǎo)小組。安全組織架構(gòu)圖，其中應(yīng)有安全領(lǐng)導(dǎo)小組。11.準(zhǔn)備階段一簽訂服務(wù)協(xié)議與客戶簽訂服務(wù)協(xié)議

4、，明確范圍、目標(biāo)、時(shí)間、內(nèi)容、金額、質(zhì)量和輸出等。項(xiàng)目合同及保密協(xié)議，合同內(nèi)容應(yīng)至少包含服務(wù)范圍、目標(biāo)、時(shí)間、內(nèi)容、金額、質(zhì)里和輸出等。12.明確安全運(yùn)維的方式，方式包括但不限于：駐場值守方式，定期巡檢方式，遠(yuǎn)程值守方式。項(xiàng)目合同/協(xié)議中應(yīng)有明確的安全運(yùn)維模式。CCRC-QOT-0434-B/4信息系統(tǒng)安全運(yùn)維服務(wù)資質(zhì)認(rèn)證自評估表第2頁共10頁中國網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心制序號要點(diǎn)條款需提供證明材料自評估結(jié)論證明材料清單符合不符合13.僅二級/一級要求：簽訂服務(wù)級別協(xié)議。與客戶簽訂的服務(wù)級別協(xié)議，協(xié)議中應(yīng)承諾信息系統(tǒng)核心指標(biāo)，如：可用性、安全事件解決率等。14.方茶設(shè)計(jì)階段根據(jù)系統(tǒng)安全運(yùn)維需

5、求，編制安全運(yùn)維服務(wù)方案，明確安全運(yùn)維服務(wù)時(shí)間、服務(wù)內(nèi)容、服務(wù)方式、服務(wù)期限、服務(wù)人員、服務(wù)交付物、服務(wù)質(zhì)量管理、服務(wù)溝通機(jī)制、服務(wù)風(fēng)險(xiǎn)管理等方面要求。項(xiàng)目服務(wù)方案，內(nèi)容應(yīng)包括條款要求。15.在安全運(yùn)維服務(wù)方案中明確健康檢查服務(wù)的服務(wù)方式、檢查頻次和檢查內(nèi)容。項(xiàng)目服務(wù)方案對健康檢查服務(wù)的服務(wù)方式、檢查頻次和檢查內(nèi)容進(jìn)行明確。16.專業(yè)人員負(fù)責(zé)安全管理的接口。運(yùn)維項(xiàng)目中由高層指定的、負(fù)責(zé)安全管理接口的運(yùn)維管理人員信息。17.僅二級/一級要求：編制信息系統(tǒng)的可用，住計(jì)劃，監(jiān)控可用性事件，報(bào)告可用性執(zhí)行，指導(dǎo)可用性的改進(jìn)。信息系統(tǒng)可用性計(jì)劃；信息系統(tǒng)可用性事件記錄；信息系統(tǒng)可用性執(zhí)行報(bào)告、改進(jìn)報(bào)告。

6、18.僅二級/一級要求：識別與分析信息系統(tǒng)運(yùn)維過程中的歷史數(shù)據(jù)，提出系統(tǒng)運(yùn)維的保障策略和解決方案。（監(jiān)審信息系統(tǒng)運(yùn)維過程中的分析報(bào)告，主要分析項(xiàng)目應(yīng)有：歷史數(shù)據(jù)清單的分析報(bào)告，內(nèi)容包含運(yùn)維完成情況、重大事件、重大CCRC-QOT-0434-B/4信息系統(tǒng)安全運(yùn)維服務(wù)資質(zhì)認(rèn)證自評估表第3頁共10頁中國網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心制序號要點(diǎn)條款需提供證明材料自評估結(jié)論證明材料清單符合不符合時(shí)適用（失敗）變更等；基于以往運(yùn)維數(shù)據(jù)分析結(jié)果提出的新的運(yùn)維策略及解決方案。19.僅二級/一級要求：編制信息系統(tǒng)的安全基線。信息系統(tǒng)安全基線。20.僅二級要求：建立信息系統(tǒng)安全配置庫。配置庫信息，其中應(yīng)納入信息系統(tǒng)

7、安全涉及的配置項(xiàng)，如安全設(shè)備的配置項(xiàng)有安全策略、管理員賬戶、IP等。21.僅一級要求：建立信息系統(tǒng)應(yīng)急事件響應(yīng)機(jī)制和恢復(fù)保障。信息系統(tǒng)的應(yīng)急響應(yīng)計(jì)劃和恢復(fù)計(jì)劃。22.僅一級要求：編制安全運(yùn)維項(xiàng)目作業(yè)指導(dǎo)書。安全運(yùn)維作業(yè)指導(dǎo)書，例如：配置核查操作手冊、常見安全事件處理指南等。23.僅一級要求：建立應(yīng)急響應(yīng)和災(zāi)難恢復(fù)機(jī)制，形成業(yè)務(wù)連續(xù)性計(jì)劃。發(fā)布且通過審批的業(yè)務(wù)連續(xù)，住計(jì)劃。24.僅一級要求：在安全運(yùn)維服務(wù)方案中明確漏洞管理的工作流程。漏洞管理的方案、流程。25.運(yùn)維服務(wù)實(shí)施實(shí)施初始服務(wù)，完成資產(chǎn)識別。資產(chǎn)識別表，為IT資產(chǎn)的標(biāo)識、分級、保護(hù)和軟件配置建立基礎(chǔ)資料檔案；有設(shè)備和系統(tǒng)的種類、型號、功

8、能、物理位置、端口對應(yīng)情況、部署情況等資產(chǎn)詳細(xì)信CCRC-QOT-0434-B/4信息系統(tǒng)安全運(yùn)維服務(wù)資質(zhì)認(rèn)證自評估表第4頁共10頁中國網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心制序號要點(diǎn)條款需提供證明材料自評估結(jié)論證明材料清單符合不符合息。26.米集信息系統(tǒng)重要資產(chǎn)的安全配置、流量信息等安全信息。對組織信息系統(tǒng)的安全配置、流量信息等安全信息進(jìn)行定期記錄。27.對安全設(shè)備進(jìn)行日常維護(hù)及監(jiān)控，并記錄硬件故障。安全設(shè)備的日常維護(hù)記錄，包括狀態(tài)檢查、更新、升級、故障檢測及排除、對安全設(shè)備出現(xiàn)的硬件故障進(jìn)行統(tǒng)計(jì)的記錄。28.收集與分析網(wǎng)絡(luò)及安全設(shè)備、服務(wù)器、數(shù)據(jù)庫、中間件、應(yīng)用系統(tǒng)的日志。進(jìn)行安全事件審計(jì)，應(yīng)有對網(wǎng)絡(luò)

9、及安全設(shè)備、服務(wù)器、數(shù)據(jù)庫、中間件、應(yīng)用系統(tǒng)日志的保存記錄與審計(jì)分析報(bào)告。29.實(shí)施日常巡檢服務(wù)：對用戶的安全設(shè)備、網(wǎng)絡(luò)設(shè)備、服務(wù)器提供業(yè)務(wù)操作巡檢、狀態(tài)巡檢、安全策略配置巡檢服務(wù)。日常巡檢記錄，主要針對條款要求內(nèi)容。30.實(shí)施日常安全運(yùn)維服務(wù)：完成安全設(shè)備、網(wǎng)絡(luò)設(shè)備、服務(wù)器、應(yīng)用系統(tǒng)安全事件監(jiān)控；病毒監(jiān)測、查殺及網(wǎng)絡(luò)防病毒維護(hù)；漏洞掃描、安全加固、補(bǔ)丁安裝；并后相關(guān)記錄。日常安全運(yùn)維服務(wù)記錄，主要針對條款要求內(nèi)容。31.對信息安全事件進(jìn)行統(tǒng)計(jì)與分析。信息安全事件的統(tǒng)計(jì)表，分析報(bào)告。CCRC-QOT-0434-B/4信息系統(tǒng)安全運(yùn)維服務(wù)資質(zhì)認(rèn)證自評估表第5頁共10頁中國網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中

10、心制序號要點(diǎn)條款需提供證明材料自評估結(jié)論證明材料清單符合不符合32.實(shí)施健康檢查服務(wù)：完成安全設(shè)備、業(yè)務(wù)系統(tǒng)的健康檢查服務(wù)。安全設(shè)備、業(yè)務(wù)系統(tǒng)的健康檢查服務(wù)記錄，主要關(guān)注可靠性、可用性、持續(xù)性等。33.僅二級/一級要求：收集與建立配置管理數(shù)據(jù)庫，確保配置項(xiàng)目的機(jī)密性、完整性、可用性（專職管理）。配置數(shù)據(jù)庫，應(yīng)能初步收集資產(chǎn)與配置項(xiàng)，并確保配置項(xiàng)目的機(jī)密性、完整性、可用性（專職管理），如安全設(shè)備的配置項(xiàng)有安全策略、管理員賬戶、IP等。34.僅二級/一級要求：實(shí)施安全設(shè)備、網(wǎng)絡(luò)設(shè)備、中間件、數(shù)據(jù)庫、服務(wù)器等資產(chǎn)的安全配置管理，定期對配置項(xiàng)進(jìn)行更劫加維護(hù)。配置項(xiàng)的更新加維護(hù)記錄。35.僅二級/一級要

11、求：根據(jù)制定的安全配置基線，定期進(jìn)行安全配置核查工作。安全配置核查記錄。36.僅二級/一級要求：實(shí)施運(yùn)維監(jiān)控與分析并形成記錄。完成對各類安全事件的集中管理和分析，以數(shù)據(jù)來分析各個(gè)指標(biāo)的趨勢，形成相關(guān)記錄。37.僅一級要求：實(shí)施安全培訓(xùn)服務(wù)：完成安全意識、基本安全技術(shù)的培訓(xùn)服務(wù)。安全培訓(xùn)服務(wù)記錄。38.僅一級要求：實(shí)施安全通告及漏洞分析服務(wù)：完成業(yè)界動(dòng)態(tài)的通告、收集國家安全政策及法律法規(guī)、漏洞通告、通告與漏洞分析記錄，內(nèi)容為業(yè)界動(dòng)態(tài)的通告、收集國家安全政策及法律法規(guī)、漏洞通告、病毒通告、廠商安全通告及其他CCRC-QOT-0434-B/4信息系統(tǒng)安全運(yùn)維服務(wù)資質(zhì)認(rèn)證自評估表第6頁共10頁中國網(wǎng)絡(luò)

12、安全審查技術(shù)與認(rèn)證中心制序號要點(diǎn)條款需提供證明材料自評估結(jié)論證明材料清單符合不符合病毒通告、廠商安全通告及其他安全通告。安全通告，以及基于通告進(jìn)行的分析。39.僅一級要求：實(shí)施應(yīng)急響應(yīng)服務(wù)：完成應(yīng)急響應(yīng)預(yù)案制定，對應(yīng)急事件及時(shí)響應(yīng)，并對應(yīng)急預(yù)案進(jìn)行演練，形成相關(guān)記錄。應(yīng)急響應(yīng)記錄；應(yīng)急響應(yīng)故案，應(yīng)急演練的記錄。40.僅一級要求：依據(jù)運(yùn)維變更管理程序，對運(yùn)維實(shí)施過程中方案、資源變更進(jìn)行有效控制，完整記錄變更過程。運(yùn)維過程中的艾更記錄。41.42.僅一級要求：依據(jù)風(fēng)險(xiǎn)評估方案與計(jì)劃實(shí)施信息系統(tǒng)風(fēng)險(xiǎn)評估；依據(jù)滲透測試方案與計(jì)劃實(shí)施信息系統(tǒng)滲透測試。風(fēng)險(xiǎn)評估記錄與報(bào)告；滲透測試報(bào)告。43.僅一級要求：

13、依據(jù)漏洞管理方案實(shí)施信息系統(tǒng)漏洞管理工作。運(yùn)維服務(wù)過程中漏洞的發(fā)現(xiàn)、分析、驗(yàn)證、跟蹤、修復(fù)等過程記錄。44.運(yùn)維服務(wù)報(bào)告向客戶提交服務(wù)報(bào)告，定期收集與報(bào)告安全運(yùn)維實(shí)施情況。安全運(yùn)維的定期服務(wù)報(bào)告，服務(wù)報(bào)告應(yīng)對一段時(shí)間內(nèi)運(yùn)維服務(wù)實(shí)現(xiàn)情況進(jìn)行統(tǒng)計(jì)與分析。45.匯總整理全年服務(wù)記錄，形成年終安年終安全運(yùn)維總結(jié)報(bào)告，對全年的服務(wù)情CCRC-QOT-0434-B/4信息系統(tǒng)安全運(yùn)維服務(wù)資質(zhì)認(rèn)證自評估表第7頁共10頁中國網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心制序號要點(diǎn)條款需提供證明材料自評估結(jié)論證明材料清單符合不符合全運(yùn)維服務(wù)總結(jié)報(bào)告。況進(jìn)行總結(jié)與分析。46.根據(jù)合同約定，配合組織項(xiàng)目驗(yàn)收，出具項(xiàng)目驗(yàn)收報(bào)告。項(xiàng)目驗(yàn)收

14、報(bào)告。47.僅二級/一級要求：應(yīng)定期收集與分析安全運(yùn)維的關(guān)鍵指標(biāo)數(shù)據(jù)，數(shù)據(jù)包括但不限于：異常報(bào)告及時(shí)率、異常漏報(bào)率、故障隱患發(fā)現(xiàn)率、異常主動(dòng)發(fā)現(xiàn)率、問題解決率、漏洞掃描覆蓋率、加固設(shè)備覆蓋率、安全補(bǔ)丁安裝及時(shí)率、安全事件次數(shù)。（參照服務(wù)合同）運(yùn)維服務(wù)報(bào)告，其中的統(tǒng)計(jì)分析數(shù)據(jù)應(yīng)包括：異常報(bào)告及時(shí)率、異常漏報(bào)率、故障隱患發(fā)現(xiàn)率、異常主動(dòng)發(fā)現(xiàn)率、問題解決率、漏洞掃描覆蓋率、加固設(shè)備覆蓋率、安全補(bǔ)丁安裝及時(shí)率、安全事件次數(shù)。48.僅二級/一級要求：建立客戶滿意度調(diào)查機(jī)制。客戶滿意度調(diào)查的方式、方法、分析方法等；滿意度調(diào)查的實(shí)施情況與分析情況。49.僅一級要求：對客戶滿意度進(jìn)行趨勢分析?？蛻魸M意度調(diào)查報(bào)告與趨勢分析報(bào)告。50.僅一級要求：對客戶系統(tǒng)的安全態(tài)勢做出分析，并給出安全建議。對客戶系統(tǒng)的安全態(tài)勢分析報(bào)告，報(bào)告中需給出針對性的安全加固處理建議。51.上一年度提出的觀察項(xiàng)整改情況（如有）52.CCRC-QOT-0434-B/4信息系統(tǒng)安全運(yùn)維服務(wù)資質(zhì)認(rèn)證自評估表第8頁共10頁中國網(wǎng)絡(luò)安全審查技術(shù)與認(rèn)證中心制序號要點(diǎn)條款需提供證明材料自評估結(jié)論證明材料清單符合不符合53.54.上一年度提出的不符合項(xiàng)整改情況（