信息安全运维服务资质三级评价要求

Date14 8 月 2019

信息安全运维服务资质三级评价要求针对服务准备、服务设计、服务实施、服务报告四个阶段进行，
具体分级要求如下：
F1 信息安全运维服务资质三级评价要求
F1.1 准备阶段
F1.1.1 需求调研与分析
a) 调研客户信息系统安全现状，采集客户安全服务需求与目标，明确客户对信息系统安全运
维服务时间、服务期限、服务内容以及服务方式的需求。
b) 进行信息系统运维预算，定义运维服务。
c) 与客户进行沟通，达成共识并形成记录。
F1.1.2 签订服务协议
a) 与客户签订服务协议，明确范围、目标、时间、内容、金额、质量和输出等。
b) 明确安全运维的方式，方式包括但不限于：驻场值守方式，定期巡检方式，远程值守方式。
F1.2 方案设计阶段
a) 根据系统安全运维需求，编制安全运维服务方案，明确安全运维服务时间、服务内容、服
务方式、服务期限、服务人员、服务交付物、服务质量管理、服务沟通机制、服务风险管
理等方面要求。
b) 提供安全设备、业务系统的健康检查服务，并约定服务方式、检查频次和检查内容。
c) 专业人员负责安全管理的接口。
F1.3 服务实施阶段
a) 实施初始服务，完成资产识别。
b) 采集信息系统重要资产的安全配置、流量信息等安全信息。
c) 对安全设备进行日常维护及监控，并记录硬件故障。
d) 收集与分析网络及安全设备、服务器、数据库、中间件、应用系统的日志。
e) 实施日常巡检服务：对用户的安全设备、网络设备、服务器提供业务操作巡检、状态巡检、
安全策略配置巡检服务。
f) 实施日常安全运维服务：完成安全设备、网络设备、服务器、应用系统安全事件监控；病
毒监测、查杀及网络防病毒维护；漏洞扫描、安全加固、补丁安装；并有相关记录。
g) 对信息安全事件进行统计与分析。
h) 实施健康检查服务：完成安全设备、业务系统的健康检查服务。
F1.4 运维服务报告阶段
a) 向客户提交服务报告，定期收集与报告安全运维实施情况。
b) 汇总整理全年服务记录，形成年终安全运维服务总结报告。
c) 根据合同约定，配合组织项目验收，出具项目验收报告。