boc it operations isae3402report亚太中文版-第六部分

1、第六部分 控制目标、控制措施、测服务水平管控制目标：合理保第六部分 控制目标、控制措施、测服务水平管控制目标：合理保证总行与海外机构间签署服务水平协议（SLA）和工作说明书服务标准定义、和管理序控制描执行的测总行与海外机构间的IT服务职责、服务内容和IT服务指标等分别在服务水平协议和工作说明书（SOW）中进行了定义与明确。部服务水平协议和SOW。询问未发现异检查检查 服务水平协议、工作说明书样本，获取 服务分工、服务内容、服务标准已被明检查 服务水平协议、工作说明书获取总行与海外机构已签署 服务水平协议和工作说数据中心负责 服务指标的执行情况，定期收集服务执行情况信息， 服询问未发现异检查检查

2、服务标准执行情，获取服务标准序控制描执行的测行情况序控制描执行的测行情况的依据供应商管控制目标1：合理保证供应商均通过背，中与供应商签供应商管控制目标1：合理保证供应商均通过背，中与供应商签订正式的商务合同，供应商质量得到评价序控制描执行的测询问未发现异检查包含服务内容、服务质量和 承诺等方询问未发现异检查中国 对供应商做总体评价，评价结果询问询问相关于供应商的评价管理流程未发现异检查控制目标 2 ：合理保证为数据中心提供长期驻场服务的外部IT服已签协议。服在数据中心的驻控制目标 2 ：合理保证为数据中心提供长期驻场服务的外部IT服已签协议。服在数据中心的驻理，对的工作质量进行评价序控制描执行

3、的测询问数据中心与外部IT 服务未发现异询问检查数据中心与外部IT 服务数据中心已建立对外部IT服务 的管理流程，通过必要的管理 对外IT服务 的驻场安全进行管理。询问关于外部IT 服务未发现异检查团队对外部IT 服务检查外部IT 服务使用团队对外部IT 服务服务的使用团队定期对外部IT 服作为对外部IT 服务询问关于外部IT 服务未发现异检查序控制描执行的测检查外序控制描执行的测检查外部IT 服务性能与容量管控制目标1：合理保证信息系统性能性能与容量管控制目标1：合理保证信息系统性能与容量被定期规划，性能与容量指标已。序控制描执行的测新技术对性能容量的影响性能容量评询问未发现异检查实交易平均

4、响应时业时段每秒交易并发CPU、内存等使用率和峰磁盘响应时间、使用率和传输网络利用询问询问有对性能与容量指标情况未发现异检查控制目标2：合理保证性能容量结果被定期分析，性能与容量管理水平序控控制目标2：合理保证性能容量结果被定期分析，性能与容量管理水平序控制描执行的测数据中心定期对性能与容量的 结果进满足当前业务需求及未来业务发展需要询问未发现异检查询问询问有性能与容量的优化管理情况未发现异检查性能与容量的 分析结果制定优化方案的依序控制描执行的测定UPS 输出电流、输出功率控控制目标1：合理保证用户基控制原则对信息系统及网络控控制目标1：合理保证用户基控制原则对信息系统及网络进。序控制描执行

5、的测 用户 ID“唯一性”原则：使用唯一的 ID对用户进行标识；“必需知道”和“最小 ”原则：最小的 权限；进行职责分离。包括申请与 间的询问未发现异检查检查信息系统 控制制度，获取制度中已体现 控制原则的依据，同时获取 控制制度已通过 并正式发布的依据。数据中心通过赋予用户唯一的ID 对系统（GenericID）询问询问有系统ID 的创建情况未发现异检查检查数据中心信息系统用户 ，获取ID唯一性的依据，并且确认系统中不存在通用 ID 的依控制目标2：合理保证所有对信息系统及网络已，发后及时调序控制描控制目标2：合理保证所有对信息系统及网络已，发后及时调序控制描执行的测控制团队主管 。 人基于

6、“按需开必需知道”和“最小 ”原则对申请进行 。询问未发现异检查序控制描执行的测申请与 间的职责分离，操作与检查间询问未发现异检查检查ID申请单，获取申请和 由不同人完成检查对用户ID申请单和用户权限检查 ，获序控制描执行的测序控制描执行的测询问未发现异检查与开放 系统用户 、离职 ，获检查数据中心已建立网络 流程，对接入中心 网络以及对网络设备的 流程进行 络 均需经过网络通讯团队主管审管的 ；询问未发现异检查控制目标3：合理保证在用户完操作后，回收用户权限或重ID。控制目标 4：合理保证对系统冗余帐号或赋权过高控制目标3：合理保证在用户完操作后，回收用户权限或重ID。控制目标 4：合理保证

7、对系统冗余帐号或赋权过高的情况开展定期检查，对用户操作的合规性进行检序控制描执行的测户ID 及权限的检查。帐号询问询问有对用户 ID 及权限定期检查的未发现异序控制描执行的测主管及总控中心ID 管理员的询问询问有用户使用的管理流程未发现异检查用户ID 申请表，获取数据中心已建用户的回收流程作后，总控中心ID 管理员负责在该ID进ID，总控中心ID管理员ID的询问询问有用户的回收流程未发现异检查用户ID 申请表，获取序控制描执行的测络通讯团队主管控制目标 5：合理保口令的安全标准已被建立，并根据口令安全标准对口令进控制目标 5：合理保口令的安全标准已被建立，并根据口令安全标准对口令进行配序控制描

8、执行的测口令进行 认证，主机系统口令满足以口令长度至少为6 个字符询问未发现异观察序控制描执行的测汇总用户ID 及权限队主管检查是否存在冗余ID 或赋权过大冗余ID、调整系统权限。况检查检查对用户ID 及权限的审阅对用户ID 及权限进行审阅的依据。团队每周对系统系统ID 的操作情况询问未发现异检查序控制描执行的测口令必须包含字序控制描执行的测口令必须包含字母和数字口令最长有效期为30 天用户历保留个数为8 个用户口令登陆尝试次数为 4 次口令长度至少为8 个字符口令必须包含字母、数字和字符用户口令错误输入次数限制为 8 次最长有效期为28 天询问未发现异观察现场观察开放 口令安全配置信息，获取

9、数据中心已根据口令配置标准对开放 登录口控制目标 6：合理保证网络设备的安全配置标准已被建立，并按照标准对网络设备进行配控制目标 6：合理保证网络设备的安全配置标准已被建立，并按照标准对网络设备进行配序控制描执行的测数据中心已建立 技术标准，对网络交换机、路由器、 及 检测等询问询问有网络设备配置标准的建立情况未发现异检查观察询问未发现异检查查，对网络设备配置进行备份，备份结询问询问有对网络设备配置的管理情况未发现异序控制描执行的测在更改后的40控制目标 7：合理保证数据中心已部署网络防恶设备及保护措序控制描执控制目标 7：合理保证数据中心已部署网络防恶设备及保护措序控制描执行的测（IDS（I

10、PS 询问未发现异检查数据中心的终端每天与询问未发现异观察现场观察终端防 的版本与服务器防病毒 的版本号，获取终端 库版本与服务器 库版本相一致的依据。序控制描执行的测保存一年检查检查网络设备配置检查 与备份结果，获取序控制描执行的测现场观察序控制描执行的测现场观察终端防 与服务器 的配置，获取终端 库与服务器 库定期同检查变更管控制目标1：合理保证所有生产变更申请已得、变变更管控制目标1：合理保证所有生产变更申请已得、变更程序经过测试、变更上线获得正、对上线后的变更进行了验证与后评序控制描执行的测均需录入生产运维流程管理 （变更模的变更流程，包括变更的申请、 、测试、上线前 、上线、上线后验

11、证和后询问询问有生产变更管理规范的建立情况未发现异检查过 并正式发布的依据。生效，标准变更、例行变更、紧急变更流程分别如下：询问询问有生产变更申请的流程未发现异检查序控制描执行的测序控制描执行的测数据中心的变更控制 负责对标准变对生产系统影响度大、范围广变，询问未发现异检查变更程序进 试，并将变更程序测试 中。发布测试人完成测试 后，将测试 转给他人复核。询问未发现异检查开发环境、测试环境和生产环境做到物询问未发现异序控制描执行的测。序控制描执行的测。检查变更上线申请。上线申请的 人综合生产变更实施方案、变更程序测试 对上线申请进行 。各类型变更对应 人责 ；据中心主管总监做一级 ；一级审批通

12、过后，由变更控制 做二级；心主管总监获取一级 ，向变更控制 获取二级 。询问询问有生产变更上线的流程未发现异检查询问未发现异序控制描执行的测检查序控制描执行的测检查询问询问有对生产变更后评价管理情况未发现异检查询问未发现异检查变更申变变更部对变更过程询问未发现异检查控制目标 2：合理保证对生产变更的定期审阅，确保变更流程的合控制目标 3：控制目标 2：合理保证对生产变更的定期审阅，确保变更流程的合控制目标 3：合理保证操作系统及数据库的补丁在上线前进行了技术评序控制描执行的测询问未发现异检查过 并正式发布的依据。技术管理 进行审核，审核通过后才能对补丁进行实施上线。补丁的上线遵询问询问有系统补

13、丁管理流程未发现异检查检查技术评审书，获取对系统补丁的评估序控制描执行的测实施结果、 情况，分析生产变更流程看当前存在 及对应措施。审阅人将根据审阅结果出具变更管理流程 。询问询问有对生产变更的定期审阅流程未发现异检查序控制描执行的测变更管序控制描执行的测变更管理流程核依据数据管控制目标1：合理保证所有从系提取生产数据数据管控制目标1：合理保证所有从系提取生产数据的行为均获得数据所属机构或部门。序控制描执行的测询问未发现异检查制度已通过 并正式发布的依据。所有从系统 提取生产数据的情况，数门的 。获得数据所属机构或部门的 后，还需获得数据中心分管总监的 。 获取后由负责业务系统运维的对应团队从

14、系统 提取生产数据询问询问有关于生产数据使用流程未发现异检查控制目标 2：合理保证出于测试目的获取生产数据时必须使用脱敏程序控制目标 2：合理保证出于测试目的获取生产数据时必须使用脱敏程序进行脱敏控制目标 3：合理保证数据被定期备份，备介质被明确标识，备份数据恢复测试被定期执行序控制描执行的测务需求、 要求，制定备份策略。备份策略明确了是否需要异地备份、备份周询问未发现异检查序控制描执行的测询问询问有关于生产数据的脱敏流程未发现异检查序控制描执行的测数据中心使用 名序控制描执行的测数据中心使用 名规范对备份介质进行标识。对备份介质进行 登记，登才能 备份介质 场所询问询问有关于备份介质的管理方

15、法未发现异检查检查带库系统磁带介质 ，获取备份 介质使用 名规范，介质信息被 登记观察场所已部署环境保护控制措施的用。备份抽检需 抽检时间抽检结果等询问询问有备份数据抽检的管理情况未发现异检查运行管控制目标1：合理保证生产运行标准操作程序已被建立控制目标2：运行管控制目标1：合理保证生产运行标准操作程序已被建立控制目标2：合理保证批处理作业被准确执行，批处理得的变更受控，批处理作业得，结果。序控制描执行的测作业做 安排。此外，数据中心还部署 TWS（TivoliWorkloadScheduler）作业询问未发现异观察序控制描执行的测（SOP，询问未发现异检查时获取生产运行日常操作制度已通过 并

16、正序控制描执行的测检查序控制描执行的测检查依据数据中心总监的一，以及变更管的二询问询问有关于批处理变更流程未发现异检查班 负责全程 ，以发现批处理作业的异常情况。对于值班 无法当场处理的作业异常情况，值班 将在运维管理流程 中创建故障单，通过故障处理的询问询问有关于批处理作的情况未发现异检查执行过程已被 ，异常情况已得到处理的依检查开放 系统运行综述，获取开放 系统批处理执行情况已被 ，异常已被跟进处检查与批处理运行相关的故障单，获取批处序控制描执行的测作业的异常情况序控制描执行的测作业的异常情况已被跟进的依据询问询问有关于批处理作的情况未发现异检查事件、故障与问题管控制目标1: 合理保证事件

17、事件、故障与问题管控制目标1: 合理保证事件、故障与问题被识别与处理，建立了事件及故障的升级机序控制描执行的测管理 对所有事件、故障、问题进行管理，并对处理过程进行 。询问未发现异检查获取事件、故障与问题管理制度已通过 并观察数据中心已建立事件受理与升级流程事件受事件的确认、关闭与升事件处理完毕后，由事件识别者对询问询问有事件的处理流程未发现异检查理 ，获取被升级为故障的事件在故障处理获取被升级为问题的事件单及其对序控制描执行的测序控制描执行的测决，则该事件 在解决后得到检查数据中心已建立故障受理与升级流程故障受故障的确认、关闭与升询问询问有故障的处理流程未发现异检查获取被升级至问题的故障单及

18、其对应 处理 ，获取被升级为问题的故障在问题处理检查控制目标2：合理保证事件、故障、问题的产生根源得到分析，并制定相应控制目标2：合理保证事件、故障、问题的产生根源得到分析，并制定相应的预防措施序控制描执行的测询问未发现异检查序控制描执行的测据数据中心已建立问题受理与关闭流程问题受题分派给适当的团队进行处理。问由各团队的技负责任问题的确认与关的处理进行确认，问题经理进行最询问询问有问题的处理流程未发现异检查序控制描执行的测序控制描执行的测与日志管控制目标1：合理保证系统组件的运行情况得，并时发现的告警进行处理控制目标2：合理保证对IT组与日志管控制目标1：合理保证系统组件的运行情况得，并时发现

19、的告警进行处理控制目标2：合理保证对IT组件结果被定期分析控制目标3：合理保证对生产系统日志被开启、保存、保护及定期审序控制描执行的测询问未发现异序控制描执行的测 询问询问有结果的分析情况未发现异检查序控制描执行的测询问询问有对告警单的处理流程未发现异检查序控制描执行的测检查序控制描执行的测检查日志管理制度已通过 并正式发布的依据询问未发现异观察询问询问有日志保存的情况未发现异观察只才日志文件询问未发现异检查序控制描执行的测序控制描执行的测系统日志，以发现 操作行为，对发现的 操作行为将 在每月的日志查中检查的情况进行 。团队 用户的操作行为，并将结果在日志审计 中询问询问有对日志进行审计的情

20、况未发现异检查的依据6.10 应急与灾备管控制目标1：合理保证信息系统应急管6.10 应急与灾备管控制目标1：合理保证信息系统应急管理措施已被建立，定期进行应急演练并根据演练结果对应急计划进行修序控制描执行的测中国 已建立了整体的应急管理制度，询问询问有关于应急计划的建设情况未发现异检查案已被管理层 ，并通过正式的发布 对中心 发布的依据。头团队负责填写演练 。并根据 结询问询问有关于应急演练的管理情况未发现异检查在演练前牵头团队负责组织应急预案参演 进行 的预案培训，以确保全体 对应急预案、演练流程有 的询问询问有关于应急演练培训的情况未发现异检查检查应急演练培，获取各团队在演练控制目标 2：合理保证灾备管理措施已被建立，定期将灾备系统应用版本控制目标 2：合理保证灾备管理措施已被建立，定期将灾备系统应用版本与生产系统应用版本进行同序控制描执行的测询问未发现异检查询问未发现异检查检查与灾备系统 版本升级相关的变更单，获取灾备系统