GB/T 32926-2016信息安全技術(shù)政府部門(mén)信息技術(shù)服務(wù)外包信息安全管理規(guī)范

ICS35040

L80.

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

GB/T32926—2016

信息安全技術(shù)政府部門(mén)信息技術(shù)服務(wù)

外包信息安全管理規(guī)范

Informationsecuritytechnology—Informationsecuritymanagementspecification

forgovernmentinformationtechnologyserviceoutsourcing

2016-08-29發(fā)布2017-03-01實(shí)施

中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局發(fā)布

中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

GB/T32926—2016

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語(yǔ)和定義

3………………1

綜述

4………………………2

服務(wù)外包信息安全管理基本原則

4.1…………………2

服務(wù)外包信息安全管理角色和職責(zé)

4.2………………2

服務(wù)外包信息安全管理模型

4.3………………………3

規(guī)劃準(zhǔn)備

5…………………3

服務(wù)外包信息安全風(fēng)險(xiǎn)評(píng)估

5.1………………………3

服務(wù)外包信息安全管理策略和制度

5.2………………4

機(jī)構(gòu)和人員選擇

6…………………………4

外包服務(wù)機(jī)構(gòu)和人員風(fēng)險(xiǎn)評(píng)估

6.1……………………4

服務(wù)外包合同

6.2………………………5

服務(wù)外包信息安全管理計(jì)劃

6.3………………………6

信息安全保密協(xié)議

6.4…………………6

外包服務(wù)機(jī)構(gòu)備案

6.5…………………6

運(yùn)行監(jiān)督

7…………………7

服務(wù)過(guò)程評(píng)估審計(jì)

7.1…………………7

階段成果交付驗(yàn)證

7.2…………………7

改進(jìn)和完成

8………………7

服務(wù)改進(jìn)

8.1……………7

服務(wù)退出

8.2……………7

附錄規(guī)范性附錄服務(wù)外包基本信息安全控制

A()……………………9

參考文獻(xiàn)

……………………12

Ⅰ

GB/T32926—2016

前言

本標(biāo)準(zhǔn)按照給出的規(guī)則起草

GB/T1.1—2009。

本標(biāo)準(zhǔn)由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出并歸口

(SAC/TC260)。

本標(biāo)準(zhǔn)起草單位北京信息安全測(cè)評(píng)中心工業(yè)和信息化部電子科學(xué)技術(shù)情報(bào)研究所信息產(chǎn)業(yè)信

:、、

息安全測(cè)評(píng)中心中國(guó)信息安全研究院有限公司

、。

本標(biāo)準(zhǔn)主要起草人劉海峰錢(qián)秀檳梁博趙章界劉迎霍珊珊張曉梅王春佳李晨旸張恒

:、、、、、、、、、、

張益耿貴寧

、。

Ⅲ

GB/T32926—2016

引言

隨著經(jīng)濟(jì)社會(huì)的快速發(fā)展政府部門(mén)在打造和建設(shè)服務(wù)型政府不斷提高為人民服務(wù)能力和水平的

,、

過(guò)程中越來(lái)越多地采用和依賴信息化手段并為此開(kāi)展了與信息化相關(guān)的信息技術(shù)咨詢信息系統(tǒng)集

,,、

成運(yùn)行維護(hù)安全測(cè)評(píng)等服務(wù)外包工作大量政務(wù)信息化工作的外包既解決了政府行政資源有限和

、、。,

公共服務(wù)效能要求日益提高之間的矛盾也提高了政府部門(mén)信息化工程的質(zhì)量但政府部門(mén)在享受信

,。

息技術(shù)服務(wù)外包帶來(lái)便捷的同時(shí)也面臨外包服務(wù)機(jī)構(gòu)背景復(fù)雜服務(wù)人員流動(dòng)性大內(nèi)部管理不規(guī)范

,、、

等問(wèn)題帶來(lái)的信息安全風(fēng)險(xiǎn)如果缺乏對(duì)服務(wù)外包活動(dòng)信息安全的標(biāo)準(zhǔn)化管理將對(duì)政府部門(mén)行政辦

,,

公人民群眾生產(chǎn)生活乃至國(guó)家安全帶來(lái)巨大損失

、,。

本標(biāo)準(zhǔn)用于規(guī)范和指導(dǎo)政府部門(mén)采購(gòu)和使用信息技術(shù)服務(wù)本標(biāo)準(zhǔn)通過(guò)對(duì)政府部門(mén)服務(wù)外包過(guò)程

。

進(jìn)行梳理建立了政府部門(mén)信息技術(shù)服務(wù)外包信息安全管理模型在明確了服務(wù)外包信息安全管理角色

,,

和責(zé)任的同時(shí)將管理活動(dòng)劃分為規(guī)劃準(zhǔn)備機(jī)構(gòu)和人員選擇運(yùn)行監(jiān)督改進(jìn)完成四個(gè)階段分別提出

,、、、,

信息安全管理規(guī)范為政府部門(mén)信息技術(shù)服務(wù)外包的安全管理提供參考

,。

政府部門(mén)在信息技術(shù)服務(wù)外包的信息安全管理過(guò)程中還要基于本標(biāo)準(zhǔn)提出的規(guī)范要求和基本控

,

制措施結(jié)合自身服務(wù)外包項(xiàng)目實(shí)際提出與組織機(jī)構(gòu)人員管理數(shù)據(jù)管理信息技術(shù)服務(wù)類型等相適

,,、、、

應(yīng)的控制措施分階段有側(cè)重地對(duì)服務(wù)外包活動(dòng)實(shí)施管理以便信息安全管理規(guī)范的要求能夠切實(shí)指

,、,

導(dǎo)不同層級(jí)政府部門(mén)實(shí)際的服務(wù)外包信息安全管理工作提升其服務(wù)外包信息安全水平

,。

Ⅳ

GB/T32926—2016

信息安全技術(shù)政府部門(mén)信息技術(shù)服務(wù)

外包信息安全管理規(guī)范

1范圍

本標(biāo)準(zhǔn)建立了政府部門(mén)信息技術(shù)服務(wù)外包信息安全管理模型提出了政府部門(mén)信息技術(shù)服務(wù)外包

,

信息安全管理生命周期各階段活動(dòng)的管理要求

。

本標(biāo)準(zhǔn)適用于政府部門(mén)采購(gòu)和使用信息技術(shù)服務(wù)

。

政府部門(mén)開(kāi)展涉密信息技術(shù)服務(wù)外包工作參照國(guó)家保密局相關(guān)保密規(guī)定和標(biāo)準(zhǔn)執(zhí)行不在本標(biāo)準(zhǔn)

,,

范圍內(nèi)

。

2規(guī)范性引用文件

下列文件對(duì)于本文件的應(yīng)用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

信息安全技術(shù)術(shù)語(yǔ)

GB/T25069—2010

信息安全技術(shù)政府部門(mén)信息安全管理基本要求

GB/T29245—2012

3術(shù)語(yǔ)和定義

界定的以及下列術(shù)語(yǔ)和定義適用于本文件

GB/T25069—2010。

31

.

信息技術(shù)服務(wù)informationtechnologyservice

供方為需方提供開(kāi)發(fā)應(yīng)用信息技術(shù)的服務(wù)