信息系統(tǒng)變更和發(fā)布管理辦法

1、信息系統(tǒng)變更和發(fā)布管理辦法第一章總則第一條目的：本管理辦法規(guī)定了我區(qū)信息系統(tǒng)的變更和發(fā)布管理，變更和發(fā)布管理作業(yè)操作流程和控制要點(diǎn)，確保變更需求的受理符合業(yè)務(wù)的優(yōu)先需要，并使變更和發(fā)布過程規(guī)范化，控制變更對(duì)銀行業(yè)務(wù)和已投產(chǎn)系統(tǒng)安全運(yùn)行的不利影響.達(dá)到降低信息系統(tǒng)變更和發(fā)布風(fēng)險(xiǎn)的目的。保障信息系統(tǒng)的安全穩(wěn)定運(yùn)行，特制定本管理辦法。第二條依據(jù):本管理辦法根據(jù)高新區(qū)信息安全管理策略制訂。第三條范圍：本管理辦法適用于我區(qū)信息系統(tǒng)變更和發(fā)布管理。第四條定義（一）軟件產(chǎn)品：泛指信息技術(shù)開發(fā)的生產(chǎn)業(yè)務(wù)系統(tǒng)和管理信息系統(tǒng)等應(yīng)用軟件項(xiàng)目。（二）生產(chǎn)業(yè)務(wù)系統(tǒng)：指我區(qū)從事金融服務(wù)的應(yīng)用網(wǎng)絡(luò)系統(tǒng).（三）管理信息系統(tǒng)：

2、指我區(qū)信息管理的計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)，具體指0劭、公系統(tǒng)、信貸管理、報(bào)表系統(tǒng)等用來進(jìn)行內(nèi)部管理的應(yīng)用軟件系統(tǒng).（四）業(yè)務(wù)部門：指我區(qū)相關(guān)業(yè)務(wù)部門。第五條遵循原則（五）監(jiān)督制約原則：針對(duì)信息系統(tǒng)變更和發(fā)布管理工作中各個(gè)環(huán)節(jié)，建立相應(yīng)的監(jiān)督檢查機(jī)制（六）計(jì)劃性原則：信息系統(tǒng)發(fā)布應(yīng)納入每年計(jì)算機(jī)應(yīng)用計(jì)劃，確保全行計(jì)算機(jī)系統(tǒng)資源、應(yīng)用環(huán)境、維護(hù)力量、操作技能能滿足系統(tǒng)安全、可靠運(yùn)行的要求。（七）可行性原則：具有普遍適用性和可操作性.（八）風(fēng)險(xiǎn)控制原則：若為新項(xiàng)目或新業(yè)務(wù)功能變更和發(fā)布，需進(jìn)行以下風(fēng)險(xiǎn)分析：1,備份機(jī)建設(shè)情況；2,應(yīng)用系統(tǒng)投產(chǎn)后的集中監(jiān)控方案；3,生產(chǎn)數(shù)據(jù)備份方案；4 .程序及系統(tǒng)備份方案；5

3、 .數(shù)據(jù)庫建庫/建表/建索引方式等；6 .對(duì)其他系統(tǒng)的影響。第二章組織與管理第六條職責(zé)劃分（一）需求部門：1,提出需求，并確認(rèn)用戶需求說明書；2.用戶測試階段確認(rèn)用戶測試計(jì)劃、記錄用戶測試問題、確認(rèn)用戶測試報(bào)告；3,接受用戶培訓(xùn)并提出反饋（二）信息化管理與服務(wù)中心：1 .在需求階段審閱和提出風(fēng)險(xiǎn)控制、合規(guī)和稽核方面的要求，在項(xiàng)目開發(fā)階段對(duì)有關(guān)風(fēng)險(xiǎn)控制、合規(guī)和稽核方面的測試結(jié)果進(jìn)行審閱；2。在項(xiàng)目實(shí)施后審閱階段對(duì)有關(guān)風(fēng)險(xiǎn)控制、合規(guī)和稽核要求的實(shí)施效果進(jìn)行審閱.3.負(fù)責(zé)受理所有變更和發(fā)布需求，會(huì)同其他相關(guān)部門對(duì)變更和發(fā)布需求進(jìn)行評(píng)估,并將評(píng)估意見向部門領(lǐng)導(dǎo)匯報(bào)；4。在詳細(xì)設(shè)計(jì)階段審閱和提出網(wǎng)絡(luò)、硬

4、件、操作系統(tǒng)和數(shù)據(jù)庫等方面的配置和容量要求；5。在設(shè)計(jì)與編程階段提供網(wǎng)絡(luò)、硬件、操作系統(tǒng)和數(shù)據(jù)庫的參數(shù)配置；6。在測試階段配合項(xiàng)目組設(shè)立網(wǎng)絡(luò)、硬件、操作系統(tǒng)和數(shù)據(jù)庫環(huán)境；7。配合對(duì)系統(tǒng)進(jìn)行聯(lián)合測試，把信息系統(tǒng)版本軟件、相關(guān)配置文件、標(biāo)準(zhǔn)數(shù)據(jù)和相關(guān)文檔提供給信息化管理與服務(wù)中心；8。將信息系統(tǒng)發(fā)布到使用部門，系統(tǒng)上線時(shí)會(huì)同項(xiàng)目組搭建生產(chǎn)系統(tǒng)并進(jìn)行程序移植，組織定期對(duì)變更和發(fā)布效果進(jìn)行分析和總結(jié)。9.接收管理和備份軟件開發(fā)中心提供的源程序、相關(guān)標(biāo)準(zhǔn)數(shù)據(jù)、配置文件、相關(guān)文檔；10。負(fù)責(zé)設(shè)計(jì)、編程、糾錯(cuò)和開發(fā)質(zhì)量控制，編制系統(tǒng)設(shè)計(jì)規(guī)格書；11.落實(shí)項(xiàng)目管理制度和業(yè)務(wù)操作手冊的編制工作，參加制定上線方案

5、制定編制上線實(shí)施計(jì)劃；12。負(fù)責(zé)系統(tǒng)切換上線的技術(shù)支持工作；13.負(fù)責(zé)項(xiàng)目驗(yàn)收資料整理匯總，配合項(xiàng)目驗(yàn)收工作。14。負(fù)責(zé)對(duì)需要測試評(píng)估的軟件進(jìn)行分析測試；15。負(fù)責(zé)提交測試分析報(bào)告.第三章信息系統(tǒng)變更第七條信息系統(tǒng)變更，指由于新增信息系統(tǒng)功能、系統(tǒng)邏輯改變、系統(tǒng)錯(cuò)誤修正、系統(tǒng)補(bǔ)丁安裝及版本更新、系統(tǒng)配置修改及業(yè)務(wù)參數(shù)修改等原因，而對(duì)已投產(chǎn)系統(tǒng)進(jìn)行局部改變的一切活動(dòng)。已投產(chǎn)系統(tǒng)變更需求主要來源于以下幾種情況：（一）由于業(yè)務(wù)快速發(fā)展，業(yè)務(wù)部門對(duì)現(xiàn)有已投產(chǎn)系統(tǒng)的功能或設(shè)置進(jìn)行變更或通過新增功能來滿足需求；（二）用戶在使用過程中發(fā)生的一些操作錯(cuò)誤，或技術(shù)人員、監(jiān)控管理軟件自動(dòng)發(fā)現(xiàn)的故障或事件，需要通過

6、安裝程序補(bǔ)丁或修改配置等操作進(jìn)行修改；（三）廠商定期發(fā)布的系統(tǒng)補(bǔ)丁，涉及系統(tǒng)的功能、性能、安全漏洞，需要在已投產(chǎn)系統(tǒng)中進(jìn)行安裝；（四）由于系統(tǒng)容量擴(kuò)充或與已投產(chǎn)系統(tǒng)存在數(shù)據(jù)交換或數(shù)據(jù)共享的其他已投產(chǎn)系統(tǒng)發(fā)生變化后引發(fā)的已投產(chǎn)系統(tǒng)變更。第八條信息系統(tǒng)變更的提出，必須由申請(qǐng)部門填寫系統(tǒng)變更流程單（附件1）第一部分，申請(qǐng)信息。在申請(qǐng)信息填寫階段的主要工作內(nèi)容包括：（一）申請(qǐng)人需選擇變更類型；（二）描述變更內(nèi)容和目的；（三）是否存在其他措施滿足變更需求；（四）如不實(shí)施變更可能對(duì)客戶、合規(guī)、外部利益相關(guān)方、內(nèi)部管理和操作、安全控制、系統(tǒng)可用性和數(shù)據(jù)準(zhǔn)確性的影響；（五）選擇變更的急迫性。第九條申請(qǐng)部門主管

7、審批簽字后提交信息化管理與服務(wù)中心進(jìn)行處理。第十條信息化管理與服務(wù)中心收到變更申請(qǐng)后，和變更申請(qǐng)部門充分溝通，理解變更需求的合理性，審閱變更的影響和急迫性，并會(huì)同其他相關(guān)部門對(duì)可行的變更實(shí)施方案和變更對(duì)已投產(chǎn)系統(tǒng)的影響做出評(píng)估，最終形成建議的變更日期，填寫至系統(tǒng)變更流程單第二部分，變更需求評(píng)估信息，交信息化管理與服務(wù)中心負(fù)責(zé)人進(jìn)行審批。第十一條信息化管理與服務(wù)中心組織變更需求評(píng)估時(shí)，應(yīng)充分考慮系統(tǒng)是否已存在滿足變更需求的功能或設(shè)置；是否存在其他操作手段，能達(dá)到同樣的變更需求效果。第十二條信息化管理與服務(wù)中心組織變更需求評(píng)估時(shí)，了解實(shí)施變更：（一）是否需要進(jìn)行開發(fā)，以及開發(fā)的工時(shí)；（二）是否需要

8、進(jìn)行操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、中間件、硬件和網(wǎng)絡(luò)的變更；（三）是否需要進(jìn)行后臺(tái)數(shù)據(jù)變更；（四）是否存在信息安全控制的考慮因素；（五）結(jié)合信息化管理與服務(wù)中心現(xiàn)有的資源，統(tǒng)籌安排變更實(shí)施時(shí)間表；（六）實(shí)施相關(guān)變更時(shí)，可能導(dǎo)致的業(yè)務(wù)中斷或服務(wù)水平下降。第十三條綜合對(duì)變更需求合理性的評(píng)估和變更實(shí)施影響的評(píng)估，信息化管理與服務(wù)中心在系統(tǒng)變更流程單的第二部分提出變更的建議日期，并進(jìn)行資源協(xié)調(diào)。在信息化管理與服務(wù)中心負(fù)責(zé)人進(jìn)行審批后，通知相關(guān)部門：（一）如不建議實(shí)施變更，則向變更申請(qǐng)部門說明理由；（二）如建議實(shí)施變更，則告知建議變更的時(shí)間及對(duì)客戶服務(wù)和內(nèi)部操作的影響，要求變更申請(qǐng)部門和相關(guān)部門進(jìn)行準(zhǔn)備；第十四

9、條對(duì)涉及軟件開發(fā)的需求變更，向信息化管理與服務(wù)中心提出申請(qǐng)。第十五條對(duì)不涉及軟件開發(fā)的需求變更，信息化管理與服務(wù)中心根據(jù)需要，提交信息化管理與服務(wù)中心相關(guān)人員負(fù)責(zé)制定變更的測試步驟，落實(shí)測試人員在測試環(huán)境中對(duì)變更進(jìn)行測試，測試人員對(duì)測試結(jié)果進(jìn)行記錄并簽字確認(rèn)。第十六條信息安全人員對(duì)變更進(jìn)行上線前審閱，確保系統(tǒng)變更過程中的系統(tǒng)安全。信息安全人員完成上線前審閱后，信息化管理與服務(wù)中心進(jìn)行上線處理。信息安全人員根據(jù)變更的風(fēng)險(xiǎn)程度，進(jìn)行上線后審閱，確保達(dá)到變更目標(biāo)。第十七條為控制已投產(chǎn)系統(tǒng)的變更對(duì)客戶服務(wù)和業(yè)務(wù)操作帶來的影響，確保生產(chǎn)環(huán)境的完整性和可靠性，信息化管理與服務(wù)中心應(yīng)制定一系列控制變更的策略

10、和制度，嚴(yán)格控制變更的規(guī)模、涉及面及信息安全風(fēng)險(xiǎn).包括：（一）信息化管理與服務(wù)中心負(fù)責(zé)人每周對(duì)集中的變更工作計(jì)劃進(jìn)行審閱，確保充分有效的技術(shù)資源或系統(tǒng)供應(yīng)商/開發(fā)商技術(shù)資源，保證變更的有序進(jìn)行；（二）除非是需要立即實(shí)施的特急變更，信息化管理與服務(wù)中心應(yīng)選擇非業(yè)務(wù)繁忙時(shí)間，如凌晨、周末或公眾假期進(jìn)行變更上線；（三）信息化管理與服務(wù)中心進(jìn)行周密計(jì)劃，包括制定意外應(yīng)急措施；（四）分離已投產(chǎn)系統(tǒng)與開發(fā)或測試系統(tǒng)的管理職責(zé)；（五）保證已投產(chǎn)系統(tǒng)和開發(fā)或者測試系統(tǒng)相分離，禁止開發(fā)人員在未經(jīng)授權(quán)的情況下進(jìn)入已投產(chǎn)系統(tǒng)；（六）只有在得到管理層批準(zhǔn)執(zhí)行緊急修復(fù)任務(wù)時(shí)，開發(fā)人員才能訪問已投產(chǎn)系統(tǒng)，所有的緊急修復(fù)活

11、動(dòng)都應(yīng)立即進(jìn)行記錄和審核；（七）開發(fā)人員對(duì)已投產(chǎn)系統(tǒng)進(jìn)行變更必須經(jīng)過嚴(yán)格的審批和控制；開發(fā)人員訪問已投產(chǎn)系統(tǒng)時(shí)必須由信息化管理與服務(wù)中心系統(tǒng)管理員對(duì)其訪問進(jìn)行監(jiān)督和記錄，并在訪問結(jié)束后系統(tǒng)管理員及時(shí)禁用或刪除開發(fā)人員在已投產(chǎn)系統(tǒng)中使用的賬號(hào)；（八）對(duì)已投產(chǎn)系統(tǒng)進(jìn)行變更必須經(jīng)過嚴(yán)格的授權(quán)之后才能進(jìn)行操作實(shí)施，操作實(shí)施過程必須受到嚴(yán)格監(jiān)控。第十八條變更實(shí)施上線前需進(jìn)行用戶測試，并在變更上線后由變更申請(qǐng)部門負(fù)責(zé)人對(duì)變更進(jìn)行簽字確認(rèn)第十九條對(duì)于上線過程可能導(dǎo)致業(yè)務(wù)暫時(shí)中斷或?qū)е聵I(yè)務(wù)操作發(fā)生重大變化的變更，信息化管理與服務(wù)中心必須在上線前以書面方式告知相關(guān)業(yè)務(wù)部門影響的業(yè)務(wù)范圍和時(shí)間，并提供相關(guān)技術(shù)支持

12、。第二十條變更上線執(zhí)行的工作內(nèi)容和相關(guān)要求進(jìn)行。第二十一條變更計(jì)劃與步驟、回退計(jì)劃與步驟、測試步驟與結(jié)果、信息安全審閱意見、用戶測試確認(rèn)等變更實(shí)施信息記錄在系統(tǒng)變更流程單第三部分，變更計(jì)劃和測試接受信息。信息化管理與服務(wù)中心負(fù)責(zé)人負(fù)責(zé)對(duì)變更實(shí)施信息進(jìn)行審閱。第二十二條急變更是指在某些緊急情況下，對(duì)已投產(chǎn)系統(tǒng)需要在沒有完整的系統(tǒng)測試，或無法完成正式審批流程的情況下進(jìn)行的變更。如：因系統(tǒng)缺陷需要對(duì)已投產(chǎn)系統(tǒng)進(jìn)行立即修補(bǔ)，或突發(fā)的監(jiān)管要求對(duì)已投產(chǎn)系統(tǒng)進(jìn)行緊急變更.第二十三條緊急變更應(yīng)由變更申請(qǐng)部門相關(guān)負(fù)責(zé)人提出，獲得信息化管理與服務(wù)中心負(fù)責(zé)人的審批或者授權(quán)方可進(jìn)行。可以接受的審批方式或者授權(quán)是信息化

13、管理與服務(wù)中心負(fù)責(zé)人的口頭授權(quán)或郵件授權(quán)等，并在緊急變更實(shí)施之后，補(bǔ)足相應(yīng)的系統(tǒng)變更流程單并由相關(guān)負(fù)責(zé)人員簽字，進(jìn)行備案。第二十四條在緊急變更實(shí)施前，須進(jìn)行測試。緊急變更前未能實(shí)現(xiàn)測試的，須事后補(bǔ)足相應(yīng)的測試及測試文檔，并由相關(guān)測試人員簽字.第二十五條緊急變更應(yīng)記錄日志，由信息化管理與服務(wù)中心和變更申請(qǐng)部門共同審核和簽字確認(rèn)，并進(jìn)行程序和數(shù)據(jù)備份，以便必要時(shí)可以恢復(fù)到原來的程序版本和數(shù)據(jù)版本。第二十六條變更實(shí)施后，信息化管理與服務(wù)中心組織其他相關(guān)部門對(duì)變更實(shí)施的結(jié)果進(jìn)行定期集中評(píng)估，主要應(yīng)從以下幾個(gè)方面對(duì)變更實(shí)施的情況進(jìn)行總結(jié)：（一）變更是否達(dá)到預(yù)期目標(biāo)；（二）變更是否存在負(fù)面影響；（三）一段時(shí)期內(nèi)實(shí)施的變更數(shù)量（包括總量以及按變更類型分類的數(shù)量）（四）變更以及變更請(qǐng)求的理由清單和類型分析、以及未來控制變更數(shù)量的跟進(jìn)措施；（五）變更回退的數(shù)量及其原因。第二十七條系統(tǒng)變更流程單填寫完整后由信息化管理與服務(wù)中心進(jìn)行整理，并由信息化管理與服務(wù)中心負(fù)責(zé)人安排人員進(jìn)行定期審閱，最終交信息化管理與服務(wù)中