服務(wù)外包能力要求-資料下載頁
2025-04-13 05:05本頁面
【正文】 以下活動，包含：明確產(chǎn)品或服務(wù)的要求已經(jīng)滿足需求；a) 與需求或設(shè)計不一致的表述已得到完善或更改；b) 必要的測試已經(jīng)實施； 交付后針對軟件開發(fā)服務(wù)，適宜時，組織應(yīng)進(jìn)行軟件補丁的發(fā)布。BB附 錄 B （規(guī)范性附錄）業(yè)務(wù)流程外包（BPO）服務(wù)實現(xiàn)基于流程管理的不同特性，BPO可分為如下類別：a) 與供應(yīng)鏈相關(guān)的流程管理；如：物流、倉儲；b) 與組織顧客相關(guān)的流程管理；如：呼叫中心、大堂服務(wù)；c) 生產(chǎn)流程的管理；如：業(yè)務(wù)流程研發(fā)、數(shù)據(jù)處理；d) 支持性流程管理；如：財務(wù)、人力資源 需求管理 在需求確定階段，組織應(yīng)：a) 定義服務(wù)的類別；b) 定義服務(wù)的特性。如：業(yè)務(wù)復(fù)雜性、獨立性、關(guān)鍵性?！?需求評審階段，組織應(yīng)：a) 評審準(zhǔn)則應(yīng)考慮服務(wù)過程中的責(zé)任、義務(wù)、風(fēng)險；b) 確保服務(wù)過程涉及的相關(guān)方參與評審。 需求變更控制階段，組織應(yīng)根據(jù)變更的特點，制定響應(yīng)方案，包括考慮響應(yīng)速度。 服務(wù)策劃根據(jù)服務(wù)特性，組織應(yīng)：a) 為每一類服務(wù)設(shè)計服務(wù)交付策略，確保服務(wù)要求得到滿足；b) 考慮特定的安全要求。 服務(wù)提供的控制組織應(yīng)基于顧客相關(guān)的業(yè)務(wù)流程，制定顧客業(yè)務(wù)流程相關(guān)的作業(yè)指導(dǎo)文件，必要時得到顧客的確認(rèn)。CC附 錄 C （規(guī)范性附錄）安全控制項本附錄所列的控制措施是外包服務(wù)過程中必須考慮的基本控制，組織還應(yīng)結(jié)合自己外包服務(wù)的具體要求，制定并實施額外的安全控制措施?！?安全管理組織a) 建立服務(wù)安全組織，支持對外包服務(wù)潛在的安全脆弱性的識別；b) 確保外包服務(wù)人員能夠充分的理解并有效地執(zhí)行；c) 實施有效的安全審計；d) 評估安全控制措施的有效性?！?法律法規(guī)符合性a) 制定相應(yīng)規(guī)程，識別適用于組織的法律法規(guī)和合同義務(wù)；b) 依照相關(guān)的法律、法規(guī)和合同要求，保護(hù)個人信息和隱私；c) 確保在使用具有知識產(chǎn)權(quán)的資產(chǎn)時，符合法律、法規(guī)和合同要求?！?人力資源a) 結(jié)合業(yè)務(wù)特點確定相應(yīng)的崗位和任用條件，識別人員的技能和經(jīng)驗；b) 向外包服務(wù)人員進(jìn)行安全保密教育，包括安全管理策略、管理制度等；c) 識別外包服務(wù)人員未授權(quán)操作、突發(fā)人事變更或惡意操作等可能威脅安全的活動；d) 與相應(yīng)人員簽訂保密協(xié)議； 資產(chǎn)管理a) 編制并維護(hù)資產(chǎn)清單，如必要，須對相關(guān)方資產(chǎn)進(jìn)行管理；b) 明確資產(chǎn)的責(zé)任人；c) 資產(chǎn)的使用、處理和歸還進(jìn)行授權(quán)和管理，并形成文件和記錄。 訪問控制a) 通過有效的信息系統(tǒng)授權(quán)和服務(wù)訪問機(jī)制，防止未授權(quán)的人員接入信息系統(tǒng)；b) 按照最小化原則，正式授權(quán)服務(wù)人員訪問信息系統(tǒng)中的資源，當(dāng)不再使用時立即注銷；c) 監(jiān)控訪問過程并定期審查訪問日志；d) 除非授權(quán)的外部訪問行為之外，不允許私自遠(yuǎn)程接入信息系統(tǒng)；e) 監(jiān)控人員的未經(jīng)授權(quán)的訪問、數(shù)據(jù)修改行為?！?物理和環(huán)境安全a) 建立物理安全策略和流程；b) 設(shè)置清晰安全邊界保護(hù)關(guān)鍵和敏感信息及處理設(shè)施；c) 安全區(qū)域應(yīng)由適合的入口控制措施，以確保只有授權(quán)人員才允許訪問；d) 應(yīng)為組織辦公場所和提供外包服務(wù)場所和設(shè)施涉及并采取物理安全措施，以防備惡意攻擊、事故和自然災(zāi)害?！?通信和操作管理a) 文件化的操作規(guī)范；b) 建立操作過程的備份機(jī)制，并定期進(jìn)行數(shù)據(jù)恢復(fù)測試，以確保備份恢復(fù)的有效性和完整性；c) 定期檢查網(wǎng)絡(luò)配置；d) 若需要接入外部網(wǎng)絡(luò)時，應(yīng)評估外部拉入的網(wǎng)絡(luò)安全措施有效性；e) 評估是否需要增加額外的控制措施，以確保內(nèi)部的網(wǎng)絡(luò)不被攻擊；f) 嚴(yán)格限制未授權(quán)的網(wǎng)絡(luò)接入；g) 建立適當(dāng)?shù)牟僮饕?guī)程，防止對數(shù)據(jù)、文檔、電子介質(zhì)等的未授權(quán)的復(fù)制、使用、移動和破壞；h) 監(jiān)控介質(zhì)操作過程；i) 確保審計記錄包含以下參數(shù)：如事件發(fā)生的日期和時間、事件的類型、活動的用戶賬戶、事件的成功和失敗等；j) 定期復(fù)查審計記錄，以判斷未授權(quán)的訪問和網(wǎng)絡(luò)連接嘗試?！?業(yè)務(wù)連續(xù)性管理a) 調(diào)查并確定信息技術(shù)服務(wù)冗余的級別，保證業(yè)務(wù)的持續(xù)性能力；b) 確保服務(wù)外包的業(yè)務(wù)連續(xù)性計劃得以恰當(dāng)?shù)臏y試和驗證?！?安全事件管理a) 應(yīng)建立正式的安全事件管理流程；b) 及時采取方式彌補安全事件和脆弱性；c) 應(yīng)用防護(hù)措施轉(zhuǎn)移識別的安全事件?！?供應(yīng)鏈安全a) 制定供應(yīng)關(guān)系安全策略；b) 應(yīng)定期對供應(yīng)商的服務(wù)提供能力和產(chǎn)品質(zhì)量監(jiān)測和評審；c) 應(yīng)對供應(yīng)商提供服務(wù)的變更進(jìn)行管理以控制潛在的風(fēng)險。17
公司管理相關(guān)推薦
鄂ICP備17016276號-1