ISMS-B-33變更管理程序

深圳市恒雙展業(yè)科技有限公司變更管理程序編號：ISMS-B-33版本號：V1.0編制：曹飛澎日期：2019-11-01審核：汪倩日期：2019-11-01批準：汪倩日期：2019-11-01受控狀態(tài)1目的為對組織內(nèi)的軟件的硬件與軟件的變更進行有效控制，確保系統(tǒng)的各項安全要求得到識別并執(zhí)行，防止未經(jīng)授權及不充分的變更所造成的系統(tǒng)故障與業(yè)務中斷，保證系統(tǒng)安全，特制定本程序。2范圍本程序適用于本組織IT設備（包括傳輸線路)、軟件（操作系統(tǒng)及應用系統(tǒng))等方面的變更控制的管理。3職責3.1綜合管理部負責以下方面的IT設備及軟件方面的變更管理：組織內(nèi)辦公用計算機和網(wǎng)絡設備及軟件；服務器設備；財務管理系統(tǒng)等設備及軟件；電子商務系統(tǒng)設備及軟件。3.2各部門負責自行開發(fā)的軟件變更管理。4相關文件《信息安全管理手冊》《變更管理安全策略》5程序5.1變更分類IT設備變更：包括系統(tǒng)中服務器、網(wǎng)絡設備、傳輸線路及計算機終端的新增、減少及其設備本身的變化（包括設備的報廢）；操作系統(tǒng)軟件變更：包括新安裝、補丁、版本升級及更換；自行開發(fā)軟件變更：包括小型業(yè)務變更、版本升級；軟件包的變更。5.2IT設備變更控制軟件設備（包括傳輸線路)的變更需求由變更管理部門根據(jù)組織業(yè)務發(fā)展的需要提出，填寫《變更跟蹤表》，經(jīng)變更管理部門經(jīng)理批準后予以實施。5.3操作系統(tǒng)軟件變更當軟件廠商發(fā)布操作系統(tǒng)或應用軟件的更新補丁或版本時，綜合管理部負責分析更新內(nèi)容對公司現(xiàn)有業(yè)務及工作的影響，IT人員可以先選一臺測試機安裝最新補丁，在未發(fā)現(xiàn)對工作業(yè)務產(chǎn)生重要負面影響的前提下，為使用該操作系統(tǒng)或應用軟件的用戶安裝補丁。5.4軟件的變更控制當客戶重新對項目的某一或某些模塊進行重要要求時，項目組負責跟蹤客戶的新要求,進行業(yè)務及可以行性分析，組織有關人員進行方案評審，考慮系統(tǒng)改造對現(xiàn)有業(yè)務的影響，并制定有效的風險控制措施，方案在評審通過后，修改《需求開發(fā)說明書》，針對發(fā)生變更的模塊，修改相應的詳細設計書，數(shù)據(jù)庫說明書，源程序。并對整個項目重新進行測試。在軟件正式變更前，項目組應考慮以下方面的安全要求：變更對目前業(yè)務的影響；變更對現(xiàn)有軟件的影響；變更實施前應進行安全測試；不成功的變更恢復措施。在變更實施前，由變更管理部門填寫《變更跟蹤表》，明確變更的原因、變更范圍、變更影響的分析及對策（包括不成功變更的恢復措施），經(jīng)IT部批準后予以實施。5.5變更實施的安全要求在變更實施之前，必要時，將重要的數(shù)據(jù)、系統(tǒng)軟件進行備份，以便變更不成功之后的恢復。在變更實施之前，必要時，應和相關部門協(xié)商，以便確定適當?shù)淖兏鼤r間，盡可能的將對業(yè)務的影響減至最低。5.6變更驗收與記錄當變更成功提交后，需由用戶進行驗收，確認其是否已完成用戶所提的要求，達到預期的效果，并記錄此次變更操作。5.7設備報廢設備報廢應由綜合管理部填寫《設施報廢記錄》得到總經(jīng)理批準后實施。報廢設備中存有敏感信息，必須予以清除并在《設施報廢記錄》中予以說明5.8變更后軟件備份要求當變更完成后，需將此次所運行的軟件進行備份，包括其相關資料，以便再一次變更以及資料查詢；如果此次變更涉及到一些資料文件，則這些資料文件也必須做相應的變更并存檔。5.9變更不成功的恢復措施取消所做變更，從備份資料中獲得原始