信息系統(tǒng)變更和發(fā)布管理辦法(編輯修改稿)
2025-05-04 23:02 本頁面
【文章內(nèi)容簡介】 審閱，確保系統(tǒng)變更過程中的系統(tǒng)安全。信息安全人員完成上線前審閱后， IT運行維護中心進行上線處理。信息安全人員根據(jù)變更的風險程度，進行上線后審閱，確保達到變更目標。第十七條 為控制已投產(chǎn)系統(tǒng)的變更對客戶服務和業(yè)務操作帶來的影響，確保生產(chǎn)環(huán)境的完整性和可靠性，IT部門應制定一系列控制IT變更的策略和制度，嚴格控制變更的規(guī)模、涉及面及信息安全風險。包括：(一) IT運行維護中心負責人每周對集中的變更工作計劃進行審閱，確保充分有效的IT技術資源或系統(tǒng)供應商/開發(fā)商技術資源，保證變更的有序進行；(二) 除非是需要立即實施的特急變更，IT運行維護中心應選擇非業(yè)務繁忙時間，如凌晨、周末或公眾假期進行變更上線；(三) IT運行維護中心進行周密計劃，包括制定意外應急措施；(四) 分離已投產(chǎn)系統(tǒng)與開發(fā)或測試系統(tǒng)的管理職責；(五) 保證已投產(chǎn)系統(tǒng)和開發(fā)或者測試系統(tǒng)相分離，禁止開發(fā)人員在未經(jīng)授權的情況下進入已投產(chǎn)系統(tǒng)；(六) 只有在得到管理層批準執(zhí)行緊急修復任務時，開發(fā)人員才能訪問已投產(chǎn)系統(tǒng)，所有的緊急修復活動都應立即進行記錄和審核；(七) 開發(fā)人員對已投產(chǎn)系統(tǒng)進行變更必須經(jīng)過嚴格的審批和控制；開發(fā)人員訪問已投產(chǎn)系統(tǒng)時必須由IT運行維護中心系統(tǒng)管理員對其訪問進行監(jiān)督和記錄，并在訪問結束后系統(tǒng)管理員及時禁用或刪除開發(fā)人員在已投產(chǎn)系統(tǒng)中使用的賬號；(八) 對已投產(chǎn)系統(tǒng)進行變更必須經(jīng)過嚴格的授權之后才能進行操作實施，操作實施過程必須受到嚴格監(jiān)控。第十八條 變更實施上線前需進行用戶測試，并在變更上線后由變更申請部門負責人對變更進行簽字確認。第十九條 對于上線過程可能導致業(yè)務暫時中斷或導致業(yè)務操作發(fā)生重大變化的IT變更，IT運行維護中心必須在上線前以書面方式告知相關業(yè)務部門(至少包括行長辦公室和客戶服務中心)影響的業(yè)務范圍和時間，并提供相關技術支持。第二十條 IT變更上線執(zhí)行的工作內(nèi)容和相關要求參照《XX銀行IT開發(fā)方法指引》中對上線的要求和描述。第二十一條 變更計劃與步驟、回退計劃與步驟、IT測試步驟與結果、信息安全審閱意見、用戶測試確認等變更實施信息記錄在《已投產(chǎn)系統(tǒng)變更流程單》第三部分，變更計劃和測試接受信息。 IT運行維護中心負責人負責對變更實施信息進行審閱。第二十二條 急變更是指在某些緊急情況下，對已投產(chǎn)系統(tǒng)需要在沒有完整的系統(tǒng)測試，或無法完成正式審批流程的情況下進行的變更。如：因系統(tǒng)缺陷需要對已投產(chǎn)系統(tǒng)進行立即修補，或突發(fā)的監(jiān)管要求對已投產(chǎn)系統(tǒng)進行緊急變更（如利率的緊急調整）。第二十三條 緊急變更應由變更申請部門相關負責人提出，獲得IT運行維護中心負責人的審批或者授權方可進行?？梢越邮艿膶徟绞交蛘呤跈嗍荌T運行維護中心負責人的口頭授權或郵件授權等，并在緊急變更實施之后，補足相應的《已投產(chǎn)系統(tǒng)變更流程單》并由相關負責人員簽字，進行備案。第二十四條 在緊急變更實施前，須進行測試。緊急變更前未能實現(xiàn)測試的，須事后補足相應的測試及測試文檔，并由相關測試人員簽字。第二十五條 緊急變更應記錄日志，由IT運行維護中心和變更申請部門共同審核和簽字確認，并進行程序和數(shù)據(jù)備份，以便必要時可以恢復到原來的程序版本和數(shù)據(jù)版本。第二十六條 變更實施后，IT運行維護中心組織IT其他相關部門（IT軟件開發(fā)中心、安全科等）對變更實施的結果進行定期集中評估，主要應從以下幾個方面對變更實施的情況進行總結：(一) 變更是否達到預期目標；(二) 變更是否存在負面影響；(三) 一段時期內(nèi)實施的變更數(shù)量（包括總量
公司管理相關推薦
鄂ICP備17016276號-1